Cualquier persona cuyos datos trate tu empresa puede escribirte para acceder a ellos, corregirlos, pedir que los borres o negarse a un uso concreto. No es un trámite opcional ni una cortesía: son derechos reconocidos en el RGPD y tu organización tiene la obligación de atenderlos, por norma general en el plazo de un mes. Esta guía explica, uno por uno, qué permite cada derecho, cuándo aplica, qué límites tiene y cómo se responde en la práctica desde el lado de la empresa.
Es el detalle operativo de cada derecho. Si buscas una visión general de todos ellos y de cómo encajan en la relación entre el interesado y tu organización, empieza por la guía de derechos de los interesados frente a la empresa.
En 15 segundos
- Acceso (art. 15): saber qué datos tienes de una persona y para qué los usas.
- Rectificación (art. 16): corregir datos inexactos o completar los incompletos.
- Supresión o «derecho al olvido» (art. 17): borrar los datos, salvo excepciones legales.
- Oposición (art. 21): parar un tratamiento concreto; frente al marketing, sin condiciones.
- Plazo de respuesta: un mes desde la recepción (art. 12), prorrogable dos meses en casos complejos.
Derecho de acceso (art. 15 RGPD)
El derecho de acceso permite a cualquier persona saber si tu empresa trata sus datos y, en caso afirmativo, obtener una copia de ellos junto con información sobre cómo los usas. Es el punto de partida del resto de derechos: sin acceso, el interesado no puede saber si necesita rectificar, oponerse o pedir la supresión.
Cuando alguien ejerce el acceso, tu organización debe facilitarle una copia de sus datos personales y, además, informarle de:
- Los fines del tratamiento y las categorías de datos que manejas sobre esa persona.
- Los destinatarios a los que has comunicado o vas a comunicar sus datos, incluidos los de otros países.
- El plazo previsto de conservación o los criterios para determinarlo.
- La existencia del resto de derechos (rectificación, supresión, oposición, limitación) y del derecho a reclamar ante la autoridad de control.
- El origen de los datos cuando no se hayan obtenido directamente del interesado.
- La existencia, en su caso, de decisiones automatizadas, incluida la elaboración de perfiles.
Límites del derecho de acceso
La primera copia es gratuita. La empresa puede cobrar un canon razonable por copias adicionales, basado en los costes administrativos. Existe además un límite importante: el derecho a obtener copia no puede afectar negativamente a los derechos y libertades de terceros (art. 15.4 RGPD). Si un documento contiene datos de otras personas, se facilita de forma que se protejan esos datos ajenos —por ejemplo, anonimizando o separando la información de terceros— en lugar de negar el acceso por completo.
Derecho de rectificación (art. 16 RGPD)
El derecho de rectificación permite al interesado corregir los datos inexactos que tengas sobre él y completar los que estén incompletos, incluso mediante una declaración adicional. Es, probablemente, el derecho más sencillo de atender y también uno de los más frecuentes: un cambio de domicilio, un teléfono que ya no es correcto, un nombre mal escrito.
Desde el lado de la empresa, atender una rectificación bien hecha implica dos cosas. La primera, actualizar el dato en todos los sistemas donde figure, no solo en el CRM principal: si el dato erróneo se replicó en una hoja de cálculo, en la herramienta de facturación o en la plataforma de email, la corrección debe alcanzarlos a todos. La segunda, cuando esos datos se hayan comunicado a terceros, informar a esos destinatarios de la rectificación, salvo que resulte imposible o exija un esfuerzo desproporcionado.
Conviene no confundir «rectificar» con «lo que el cliente prefiera». La rectificación se refiere a datos objetivamente inexactos. Una valoración interna, un histórico de incidencias o un dato correcto que al interesado simplemente no le gusta no se «rectifican»: para esos supuestos, el cauce puede ser la oposición o la supresión, con sus propios requisitos.
Derecho de supresión o «derecho al olvido» (art. 17 RGPD)
El derecho de supresión —conocido popularmente como «derecho al olvido»— permite al interesado pedir que se eliminen sus datos personales. Es el derecho que más malentendidos genera, en las dos direcciones: ni la empresa está obligada a borrar todo lo que se le pida, ni puede negarse en bloque a hacerlo.
Cuándo procede la supresión
El art. 17 RGPD enumera los supuestos en los que procede el borrado. Los más habituales en el día a día de una empresa son:
- Los datos ya no son necesarios para los fines para los que se recogieron.
- El interesado retira el consentimiento en el que se basaba el tratamiento y no existe otra base jurídica que lo ampare.
- El interesado se opone al tratamiento y no prevalecen motivos legítimos para continuarlo.
- Los datos se han tratado de forma ilícita.
- Deben suprimirse para cumplir una obligación legal.
Cuándo NO procede: los límites del olvido
Aquí está la clave para una empresa. El art. 17.3 establece que la supresión no procede cuando el tratamiento es necesario, entre otros, para cumplir una obligación legal, para formular, ejercer o defender reclamaciones, o por razones de interés público. El caso más cotidiano es el de la conservación obligatoria: una empresa no puede borrar las facturas de un cliente que lo solicita, porque la normativa mercantil y fiscal le obliga a conservarlas durante unos plazos determinados.
La respuesta correcta, por tanto, casi nunca es «lo borro todo» ni «no borro nada». Es un análisis dato por dato: se suprime lo que ya no tiene base jurídica y se bloquea lo que deba conservarse por ley —manteniéndolo a disposición solo de jueces, tribunales o administraciones durante el plazo legal— para destruirlo después de forma segura.
El «derecho al olvido» tiene además una vertiente muy conocida frente a los buscadores de internet: la posibilidad de solicitar que ciertos resultados asociados al nombre de una persona dejen de aparecer en las búsquedas. La LOPDGDD también recoge de forma expresa el derecho al olvido en búsquedas de internet y en servicios de redes sociales. Es un ámbito distinto al de la supresión frente a tu propia base de datos, pero comparte el mismo fundamento del art. 17 RGPD.
"El error más común no es negarse a borrar, es borrar de golpe. Una empresa que suprime sin pensar puede quedarse sin la factura que necesitaba para defenderse de una reclamación dos años después. El olvido bien hecho distingue lo que ya no toca guardar de lo que la ley obliga a conservar."
Mario P. Talamillo · Socio director, Certix®
Derecho de oposición (art. 21 RGPD)
El derecho de oposición permite al interesado pedir que se deje de tratar sus datos para una finalidad concreta. No busca corregir ni borrar: busca frenar un uso. Su alcance depende mucho de en qué base jurídica se apoye el tratamiento al que se opone.
Oposición por motivos personales
Cuando el tratamiento se basa en el interés legítimo de la empresa o en una misión de interés público, el interesado puede oponerse alegando motivos relacionados con su situación particular. La empresa deja de tratar esos datos salvo que acredite motivos legítimos imperiosos que prevalezcan sobre los intereses del interesado, o que el tratamiento sea necesario para formular o defender reclamaciones. Es decir, no es automático: hay que ponderar.
Oposición al marketing directo: sin condiciones
Frente a la publicidad y el marketing directo, la oposición es incondicional. Si una persona pide dejar de recibir comunicaciones comerciales, tu empresa debe cesar sin necesidad de que justifique nada (art. 21.2 y 21.3 RGPD). No cabe pedir motivos, ni ofrecer «alternativas», ni demorar el cese. En la práctica, esto se traduce en enlaces de baja que funcionen de verdad, en la baja efectiva del contacto en todas las herramientas de envío y en dejar constancia de la fecha para no reincidir.
Limitación (art. 18) y portabilidad (art. 20)
Junto a los cuatro derechos anteriores, el RGPD reconoce otros dos que conviene conocer porque aparecen con frecuencia en las solicitudes.
Derecho de limitación (art. 18 RGPD)
La limitación es una especie de «pausa». El interesado no pide borrar ni corregir: pide que sus datos se marquen y se dejen de tratar temporalmente, conservándolos pero sin usarlos, mientras se resuelve una situación. Procede, entre otros supuestos, cuando el interesado ha impugnado la exactitud de un dato (durante el tiempo que la empresa tarda en verificarlo) o cuando se ha opuesto a un tratamiento y está pendiente comprobar si prevalecen los motivos de la empresa. Durante la limitación, los datos solo pueden tratarse con el consentimiento del interesado o para reclamaciones.
Derecho de portabilidad (art. 20 RGPD)
La portabilidad permite al interesado recibir los datos que él mismo ha facilitado en un formato estructurado, de uso común y lectura mecánica (por ejemplo, CSV o JSON), y transmitirlos a otro responsable. Tiene tres condiciones acumulativas: solo alcanza a los datos aportados por el propio interesado, solo cuando el tratamiento se basa en el consentimiento o en un contrato, y solo cuando se realiza por medios automatizados. Quedan fuera los datos inferidos o las valoraciones que haya elaborado la empresa.
Tabla resumen de los derechos
| Derecho | Artículo | Qué permite | Límite principal |
|---|---|---|---|
| Acceso | Art. 15 | Obtener copia de sus datos e información sobre su uso. | No perjudicar derechos de terceros. |
| Rectificación | Art. 16 | Corregir datos inexactos y completar los incompletos. | Solo datos objetivamente inexactos. |
| Supresión (olvido) | Art. 17 | Eliminar los datos cuando ya no hay base para tratarlos. | Obligación legal de conservar; reclamaciones. |
| Limitación | Art. 18 | Pausar el tratamiento sin borrar, de forma temporal. | Supuestos tasados en la norma. |
| Portabilidad | Art. 20 | Recibir y transmitir sus datos en formato reutilizable. | Solo datos aportados por él; base de consentimiento o contrato. |
| Oposición | Art. 21 | Frenar un tratamiento concreto; marketing sin condiciones. | Motivos legítimos imperiosos (salvo marketing). |
Cómo responde una empresa: checklist
Recibir una solicitud de derechos no debería generar improvisación. El proceso es siempre el mismo, con independencia del derecho que se ejerza. El plazo general de respuesta es de un mes desde la recepción (art. 12.3 RGPD), prorrogable dos meses más en casos complejos, siempre avisando dentro del primer mes.
- Registrar la fecha de entrada. El plazo de un mes corre desde que recibes la solicitud, llegue por email, formulario, carta o el canal que sea. Deja constancia del día.
- Verificar la identidad de forma proporcionada. Si tienes dudas razonables, puedes pedir información adicional para confirmar que quien solicita es el titular (art. 12.6 RGPD), sin convertirlo en una barrera desproporcionada.
- Identificar qué derecho se ejerce. A veces el interesado no lo nombra correctamente; interpreta la petición por su contenido, no por la etiqueta que use.
- Localizar todos los datos. Busca en todos los sistemas, no solo en el principal. Aquí el Registro de Actividades de Tratamiento es la herramienta que te dice dónde están los datos y quién los tiene.
- Aplicar la respuesta correcta. Facilitar, corregir, suprimir, bloquear, limitar o cesar según el derecho, analizando los límites y las obligaciones legales de conservación.
- Comunicar a terceros. Si los datos se cedieron a encargados o destinatarios, trasládales la rectificación o supresión cuando proceda.
- Responder por escrito y de forma gratuita. Explica qué se ha hecho. Si no atiendes la solicitud, informa de los motivos y del derecho a reclamar ante la autoridad de control.
Cómo Certix te ayuda
La mayoría de los problemas con los derechos de los interesados no vienen de la mala fe, sino de la falta de un procedimiento. Una empresa que no sabe dónde están sus datos no puede responder bien a un acceso, y una que borra por reflejo puede incumplir sus propias obligaciones de conservación. Todo empieza por tener el mapa de tratamientos ordenado, algo que se trabaja con el Registro de Actividades de Tratamiento.
En Certix diseñamos el procedimiento de atención de derechos a la medida de tu organización: los canales de recepción, las plantillas de respuesta, la verificación de identidad y los criterios para decidir, dato por dato, qué se suprime y qué se conserva. Y lo enmarcamos en el conjunto de la normativa, que puedes revisar en nuestra guía completa del RGPD.
Preguntas frecuentes
¿Cuánto tiempo tiene una empresa para responder a un derecho de acceso o rectificación?
El plazo general es de un mes desde la recepción de la solicitud (art. 12.3 RGPD). Puede prorrogarse dos meses adicionales cuando la solicitud sea especialmente compleja o se acumulen muchas peticiones, pero la prórroga debe comunicarse al interesado dentro del primer mes explicando los motivos. La respuesta es gratuita con carácter general; solo cabe cobrar o negarse cuando la solicitud es manifiestamente infundada o excesiva, y la carga de probarlo recae en la empresa.
¿La empresa puede negarse a borrar los datos si el cliente lo pide?
En algunos casos sí. El derecho de supresión del art. 17 RGPD no es absoluto: no procede cuando la empresa necesita conservar los datos para cumplir una obligación legal (por ejemplo, la conservación fiscal o contable de las facturas), para formular o defenderse frente a reclamaciones, o cuando otra base jurídica ampara el tratamiento. Lo correcto no es borrar sin más ni negarse en bloque, sino analizar dato por dato: suprimir lo que ya no tiene base y bloquear lo que deba conservarse por ley durante el plazo legal antes de su destrucción.
¿En qué se diferencia el derecho de oposición del de supresión?
El derecho de oposición (art. 21 RGPD) permite pedir que se deje de tratar los datos para una finalidad concreta, especialmente cuando el tratamiento se basa en el interés legítimo o en una misión de interés público. La supresión (art. 17) va más allá: busca eliminar los datos. En la práctica, una oposición estimada suele derivar en la supresión o el bloqueo de esos datos para esa finalidad. Frente al marketing directo, la oposición es incondicional: basta con solicitarlo para que la empresa deba cesar el envío de publicidad.
¿Cómo se verifica que quien pide sus datos es realmente el titular?
El art. 12.6 RGPD permite solicitar la información adicional necesaria para confirmar la identidad del solicitante cuando existan dudas razonables. No significa exigir una fotocopia del DNI de forma automática: la verificación debe ser proporcionada. Muchas veces basta con contrastar datos que ya obran en el sistema o confirmar la petición desde el correo o el canal que el interesado ya tenía asociado. Pedir documentación excesiva puede convertirse en una barrera injustificada al ejercicio del derecho.
En resumen
Acceso, rectificación, supresión y oposición no son cuatro versiones de lo mismo: cada uno responde a una necesidad distinta y se atiende de una forma distinta. Lo que comparten es el marco de respuesta —el plazo de un mes, la gratuidad, la verificación proporcionada de identidad— y el hecho de que ninguno se resuelve bien por reflejo. La supresión no es «borrar todo», la oposición no siempre es automática y la rectificación no cubre cualquier dato que incomode. Tener un procedimiento claro convierte una solicitud potencialmente conflictiva en un trámite ordenado.
Lecturas relacionadas
- Derechos de los interesados frente a la empresa — la visión general de todos los derechos y cómo encajan.
- Guía completa del RGPD — el marco normativo en el que se insertan estos derechos.
- Registro de Actividades de Tratamiento (RAT) — el mapa que permite localizar los datos para responder.
Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado.
¿Sabrías responder hoy a una solicitud de acceso o supresión?
En Certix diseñamos el procedimiento de atención de derechos de tu empresa a partir de un análisis real de tu actividad, sin plantillas genéricas.
Hablar con un consultor