Cando un cliente escribe pedindo "exercer os seus dereitos ARCO", moitas empresas non saben nin que está pedindo exactamente nin en que prazo deben contestar. A propia sigla é parte do problema: ARCO pertence a unha lei que xa non está en vigor. Esta guía aclara que significan realmente eses dereitos hoxe, cal é o catálogo correcto baixo o RGPD e, sobre todo, como debe unha organización atender unha solicitude paso a paso, sen erros.
En 15 segundos
- "Dereitos ARCO" é terminoloxía en desuso: procede da LOPD de 1999. O RGPD ampliou e renomeou o catálogo.
- Hoxe son sete dereitos (arts. 15 a 22 RGPD): acceso, rectificación, supresión, limitación, portabilidade, oposición e decisións automatizadas.
- O prazo de resposta é dun mes, ampliable a dous en casos complexos (art. 12 RGPD).
- O exercicio é gratuíto, salvo solicitudes manifestamente infundadas ou excesivas.
- Antes de responder, hai que verificar a identidade de quen solicita.
Que eran os dereitos ARCO e por que xa non se chaman así
ARCO é o acrónimo de catro dereitos: Acceso, Rectificación, Cancelación e Oposición. Naceu coa antiga Lei Orgánica 15/1999 (LOPD), que foi a norma española de protección de datos ata que o RGPD empezou a aplicarse en maio de 2018. Durante case dúas décadas foi a forma habitual de referirse aos dereitos dos cidadáns sobre os seus datos, e por iso a sigla segue tan arraigada que moitas persoas a usan aínda.
O matiz importante para unha empresa é este: hoxe "dereitos ARCO" é terminoloxía en desuso. Coa entrada en aplicación do Regulamento (UE) 2016/679 (RGPD) e a aprobación da Lei Orgánica 3/2018 (LOPDGDD), o catálogo non só cambiou de nome, senón que se ampliou. A "cancelación" desdobrouse e precisouse, e apareceron dereitos novos que a LOPD de 1999 non contemplaba. Seguir falando de "os catro dereitos ARCO" en 2026 é quedar curto: déixanse fóra varias facultades que o interesado si pode exercer.
Para o posicionamento e a busca, a sigla segue sendo útil —moita xente a teclea—, pero para a operativa real dunha organización o correcto é traballar co catálogo actualizado. Ese é o que hai que coñecer cando chega unha solicitude.
O catálogo actual de dereitos do RGPD
O RGPD regula os dereitos dos interesados nos seus artigos 15 a 22, e a LOPDGDD desenvólveos e concrétaos para España nos seus artigos 12 a 18. Son sete dereitos. Os catro clásicos seguen aí —coa "cancelación" convertida en "supresión"— e súmanse tres que non existían coa denominación ARCO:
| Dereito | Artigo RGPD | Que permite ao interesado |
|---|---|---|
| Acceso | Art. 15 | Saber se a empresa trata os seus datos e obter unha copia, xunto con información sobre fins, categorías, destinatarios e prazos. |
| Rectificación | Art. 16 | Corrixir datos inexactos e completar os que estean incompletos. |
| Supresión ("dereito ao esquecemento") | Art. 17 | Solicitar o borrado dos seus datos cando concorra algún dos supostos previstos (xa non son necesarios, retira o consentimento, etc.). |
| Limitación do tratamento | Art. 18 | Pedir que os seus datos se "conxelen" temporalmente —consérvanse pero non se usan— mentres se resolve, por exemplo, unha impugnación da súa exactitude. |
| Portabilidade | Art. 20 | Recibir nun formato estruturado e de uso común os datos que facilitou, e transmitilos a outro responsable. Só aplica a tratamentos baseados en consentimento ou contrato e realizados por medios automatizados. |
| Oposición | Art. 21 | Oporse ao tratamento por motivos relacionados coa súa situación particular. En marketing directo, a oposición é incondicional. |
| Decisións automatizadas e perfís | Art. 22 | Non ser obxecto de decisións baseadas unicamente en tratamento automatizado —incluída a elaboración de perfís— que produzan efectos xurídicos ou lle afecten significativamente. |
Hai un oitavo elemento que non é un dereito autónomo pero convén ter presente: o art. 19 RGPD obriga á empresa a comunicar calquera rectificación, supresión ou limitación a cada destinatario ao que se comunicasen os datos, salvo que resulte imposible ou esixa un esforzo desproporcionado. É dicir, atender un dereito non sempre se esgota na propia base de datos: pode arrastrar avisos a provedores ou encargados.
Convén desmontar aquí un equívoco frecuente: ningún destes dereitos é absoluto. O de supresión, por exemplo, non obriga a borrar se a empresa debe conservar os datos para cumprir unha obriga legal —unha factura ten os seus propios prazos fiscais—. Responder correctamente non é dicir sempre que si, senón saber cando o dereito aplica e cando hai unha base legal que o modula.
Prazo de resposta, gratuidade e identificación
As regras comúns a todos os dereitos están no art. 12 RGPD, e son as que máis se incumpren por descoñecemento. Tres son especialmente importantes para calquera empresa.
O prazo: un mes, ampliable a dous
A empresa dispón dun mes desde a recepción da solicitude para responder. Ese prazo pode ampliarse en dous meses adicionais cando as solicitudes sexan especialmente complexas ou se acumulen varias, pero a ampliación hai que comunicala ao interesado —cos seus motivos— dentro do primeiro mes. O prazo corre aínda que a empresa decida non atender a solicitude: mesmo nese caso hai que contestar nun mes explicando por que e lembrando a posibilidade de reclamar ante a autoridade de control.
A gratuidade
O exercicio dos dereitos é, por regra xeral, gratuíto (art. 12.5 RGPD). Non se pode condicionar a resposta a ningún pago nin establecer trabas que na práctica desincentiven ao interesado. A excepción —solicitudes infundadas ou excesivas— explícase máis abaixo e é de interpretación estrita.
A identificación do solicitante
Antes de entregar datos ou actuar sobre eles, a empresa debe verificar de forma razoable que quen solicita é o interesado. Entregar os datos dunha persoa a un terceiro que se fai pasar por ela sería, en si mesmo, unha brecha de confidencialidade. O art. 12.6 RGPD permite pedir información adicional para confirmar a identidade cando existan dúbidas fundadas, pero esa verificación debe ser proporcionada: pedir unha fotocopia do DNI "por defecto" a todo o mundo adoita ser excesivo e contrario ao principio de minimización.
Como responde a túa empresa, paso a paso
Cando chega unha solicitude —por email, formulario web, carta ou mesmo de viva voz—, convén seguir sempre o mesmo circuíto interno. Esta lista funciona como protocolo básico de resposta:
Checklist: atender unha solicitude de dereitos
- Rexistra a data de entrada. O prazo dun mes empeza a contar desde ese momento; anota o día para non perder o control.
- Identifica que dereito se exerce. Non fai falta que o interesado cite o artigo nin use a palabra correcta: se alguén pide "que borredes os meus datos", é unha supresión (art. 17), aínda que diga "cancelación".
- Verifica a identidade do solicitante de forma proporcionada, pedindo datos adicionais só se hai dúbidas fundadas.
- Localiza os datos en todos os teus sistemas apoiándote no Rexistro de Actividades de Tratamento: que tratamentos afectan, en que software están e que provedores os teñen.
- Valora se o dereito aplica ou se existe unha base legal que o modula (obriga de conservación fiscal, laboral, etc.).
- Executa a acción: entrega a copia, corrixe o dato, suprime, limita, exporta ou opón, segundo corresponda.
- Propaga o cambio a encargados e destinatarios cando proceda (art. 19 RGPD).
- Responde por escrito e documenta. Contesta ao interesado dentro do prazo e garda constancia da solicitude e do actuado, como proba de responsabilidade proactiva.
O paso que máis empresas descoidan é o penúltimo e o último: documentar. Non abonda con facer as cousas ben; hai que poder demostrar que se fixeron. Conservar a solicitude recibida, a verificación de identidade e a resposta enviada é o que permite acreditar, se algún día se pregunta, que a organización atendeu o dereito en prazo e en forma.
"O problema case nunca é negarse a atender un dereito. É non saber onde están os datos do que o pide. Unha empresa que non ten mapeados os seus tratamentos responde tarde, incompleta e sen poder demostrar o que fixo."
Mario P. Talamillo · Socio director, Certix®
Solicitudes infundadas ou excesivas
O art. 12.5 RGPD contempla unha válvula de escape para casos abusivos: cando as solicitudes dun mesmo interesado sexan manifestamente infundadas ou excesivas, en particular polo seu carácter repetitivo, a empresa pode optar por cobrar un canon razoable —limitado aos custos administrativos— ou por negarse a actuar.
Agora ben, esta excepción é de interpretación estrita e convén manexala con prudencia:
- A carga da proba recae na empresa. É a organización quen debe demostrar o carácter infundado ou excesivo, non o interesado quen debe xustificar por que exerce o seu dereito.
- Repetir non equivale a abusar. Que alguén exercese un dereito hai meses non converte en excesiva unha nova solicitude se as circunstancias cambiaron.
- Negarse tamén esixe resposta. Aínda que se rexeite a solicitude, hai que contestar en prazo explicando o motivo e lembrando a vía de reclamación ante a autoridade de control.
Na práctica, invocar esta excepción á lixeira xera máis risco que atender a solicitude. Só ten sentido cando o patrón de abuso é evidente e está documentado.
Como Certix te axuda a xestionalas
Atender ben unha solicitude de dereitos non depende de ter unha plantilla de resposta gardada, senón de que a organización saiba onde están os seus datos e quen os trata. Ese coñecemento non se improvisa o día que chega o email: constrúese antes, cun mapa de tratamentos correcto e un circuíto interno claro de quen recibe, quen verifica e quen executa.
En Certix traballamos precisamente esa base. Partimos dunha análise real da túa actividade, deixamos documentados os teus tratamentos e establecemos o protocolo de resposta a dereitos como parte do sistema de protección de datos, non como un anexo illado. Cando chega unha solicitude, o teu equipo sabe que facer, en que prazo e como documentalo.
Podes afondar no marco normativo coa nosa guía completa do RGPD e a guía da LOPDGDD, ou falar directamente connosco sobre como deixar preparada a xestión de dereitos na túa empresa.
Preguntas frecuentes
Os dereitos ARCO seguen existindo co RGPD?
A sigla ARCO (Acceso, Rectificación, Cancelación e Oposición) procede da antiga LOPD de 1999 e hoxe é terminoloxía en desuso. O RGPD e a LOPDGDD ampliaron e renomearon ese catálogo: acceso (art. 15), rectificación (art. 16), supresión ou dereito ao esquecemento (art. 17), limitación (art. 18), portabilidade (art. 20), oposición (art. 21) e o dereito a non ser obxecto de decisións automatizadas (art. 22). Cando unha empresa recibe unha solicitude debe responder conforme a este catálogo actual, máis amplo que as catro letras orixinais.
Que prazo ten a miña empresa para responder a unha solicitude de dereitos?
O art. 12 RGPD fixa un prazo xeral dun mes desde a recepción da solicitude, ampliable en dous meses adicionais cando sexan especialmente complexas ou numerosas. Se se amplía, hai que informar ao interesado da ampliación e os seus motivos dentro do primeiro mes. Aínda que a empresa decida non atender a solicitude, debe comunicalo igualmente nun mes, explicando as razóns e indicando a posibilidade de reclamar ante a autoridade de control.
Pode a miña empresa cobrar por atender unha solicitude de dereitos?
Como regra xeral, non: o exercicio dos dereitos é gratuíto (art. 12.5 RGPD). Só cando as solicitudes dun mesmo interesado sexan manifestamente infundadas ou excesivas, en particular por repetitivas, a empresa pode cobrar un canon razoable polos custos administrativos ou negarse a actuar. Nese caso, é a empresa quen debe demostrar o carácter infundado ou excesivo da solicitude.
Teño que identificar a quen exerce o dereito antes de darlle os seus datos?
Si. Antes de facilitar información ou actuar sobre os datos hai que verificar de forma razoable que quen solicita é o interesado, para non entregar datos persoais a un terceiro. O art. 12.6 RGPD permite pedir información adicional para confirmar a identidade cando existan dúbidas fundadas, pero esa verificación debe ser proporcionada e non pode converterse nunha barreira para desanimar o exercicio do dereito.
En resumo
Falar de "dereitos ARCO" en 2026 é falar co vocabulario dunha lei derrogada. O catálogo vixente é máis amplo —sete dereitos entre os artigos 15 e 22 do RGPD— e vén acompañado de regras de tramitación moi concretas: prazo dun mes, gratuidade e verificación de identidade. Para unha empresa, atendelos ben non é cuestión de ter unha plantilla, senón de saber onde están os seus datos e dispoñer dun circuíto claro para responder en prazo e deixalo documentado. Ese é o traballo que convén ter feito antes de que chegue a primeira solicitude.
Lecturas relacionadas
- Guía completa do RGPD — o marco onde se regulan os dereitos dos interesados.
- Guía da LOPDGDD — como a lei española desenvolve e concreta eses dereitos.
- Rexistro de Actividades de Tratamento (RAT) — o mapa de datos que sostén toda resposta a unha solicitude.
Este contido é meramente orientativo e divulgativo; non constitúe en ningún caso asesoramento xurídico especializado. A aplicación da normativa a cada caso concreto require análise individualizada.
Sabería a túa empresa responder mañá a unha solicitude de dereitos?
En Certix deixamos preparado o protocolo de atención de dereitos a partir dunha análise real dos teus tratamentos, para que respondas en prazo e con constancia.
Falar cun consultor