Cuando un cliente escribe pidiendo "ejercer sus derechos ARCO", muchas empresas no saben ni qué está pidiendo exactamente ni en qué plazo deben contestar. La propia sigla es parte del problema: ARCO pertenece a una ley que ya no está en vigor. Esta guía aclara qué significan realmente esos derechos hoy, cuál es el catálogo correcto bajo el RGPD y, sobre todo, cómo debe una organización atender una solicitud paso a paso, sin errores.
En 15 segundos
- "Derechos ARCO" es terminología en desuso: procede de la LOPD de 1999. El RGPD amplió y renombró el catálogo.
- Hoy son siete derechos (arts. 15 a 22 RGPD): acceso, rectificación, supresión, limitación, portabilidad, oposición y decisiones automatizadas.
- El plazo de respuesta es de un mes, ampliable a dos en casos complejos (art. 12 RGPD).
- El ejercicio es gratuito, salvo solicitudes manifiestamente infundadas o excesivas.
- Antes de responder, hay que verificar la identidad de quien solicita.
Qué eran los derechos ARCO y por qué ya no se llaman así
ARCO es el acrónimo de cuatro derechos: Acceso, Rectificación, Cancelación y Oposición. Nació con la antigua Ley Orgánica 15/1999 (LOPD), que fue la norma española de protección de datos hasta que el RGPD empezó a aplicarse en mayo de 2018. Durante casi dos décadas fue la forma habitual de referirse a los derechos de los ciudadanos sobre sus datos, y por eso la sigla sigue tan arraigada que muchas personas la usan todavía.
El matiz importante para una empresa es este: hoy "derechos ARCO" es terminología en desuso. Con la entrada en aplicación del Reglamento (UE) 2016/679 (RGPD) y la aprobación de la Ley Orgánica 3/2018 (LOPDGDD), el catálogo no solo cambió de nombre, sino que se amplió. La "cancelación" se desdobló y precisó, y aparecieron derechos nuevos que la LOPD de 1999 no contemplaba. Seguir hablando de "los cuatro derechos ARCO" en 2026 es quedarse corto: se dejan fuera varias facultades que el interesado sí puede ejercer.
Para el posicionamiento y la búsqueda, la sigla sigue siendo útil —mucha gente la teclea—, pero para la operativa real de una organización lo correcto es trabajar con el catálogo actualizado. Ese es el que hay que conocer cuando llega una solicitud.
El catálogo actual de derechos del RGPD
El RGPD regula los derechos de los interesados en sus artículos 15 a 22, y la LOPDGDD los desarrolla y concreta para España en sus artículos 12 a 18. Son siete derechos. Los cuatro clásicos siguen ahí —con la "cancelación" convertida en "supresión"— y se suman tres que no existían con la denominación ARCO:
| Derecho | Artículo RGPD | Qué permite al interesado |
|---|---|---|
| Acceso | Art. 15 | Saber si la empresa trata sus datos y obtener una copia, junto con información sobre fines, categorías, destinatarios y plazos. |
| Rectificación | Art. 16 | Corregir datos inexactos y completar los que estén incompletos. |
| Supresión ("derecho al olvido") | Art. 17 | Solicitar el borrado de sus datos cuando concurra alguno de los supuestos previstos (ya no son necesarios, retira el consentimiento, etc.). |
| Limitación del tratamiento | Art. 18 | Pedir que sus datos se "congelen" temporalmente —se conservan pero no se usan— mientras se resuelve, por ejemplo, una impugnación de su exactitud. |
| Portabilidad | Art. 20 | Recibir en un formato estructurado y de uso común los datos que facilitó, y transmitirlos a otro responsable. Solo aplica a tratamientos basados en consentimiento o contrato y realizados por medios automatizados. |
| Oposición | Art. 21 | Oponerse al tratamiento por motivos relacionados con su situación particular. En marketing directo, la oposición es incondicional. |
| Decisiones automatizadas y perfiles | Art. 22 | No ser objeto de decisiones basadas únicamente en tratamiento automatizado —incluida la elaboración de perfiles— que produzcan efectos jurídicos o le afecten significativamente. |
Hay un octavo elemento que no es un derecho autónomo pero conviene tener presente: el art. 19 RGPD obliga a la empresa a comunicar cualquier rectificación, supresión o limitación a cada destinatario al que se hayan comunicado los datos, salvo que resulte imposible o exija un esfuerzo desproporcionado. Es decir, atender un derecho no siempre se agota en la propia base de datos: puede arrastrar avisos a proveedores o encargados.
Conviene desmontar aquí un equívoco frecuente: ninguno de estos derechos es absoluto. El de supresión, por ejemplo, no obliga a borrar si la empresa debe conservar los datos para cumplir una obligación legal —una factura tiene sus propios plazos fiscales—. Responder correctamente no es decir siempre que sí, sino saber cuándo el derecho aplica y cuándo hay una base legal que lo modula.
Plazo de respuesta, gratuidad e identificación
Las reglas comunes a todos los derechos están en el art. 12 RGPD, y son las que más se incumplen por desconocimiento. Tres son especialmente importantes para cualquier empresa.
El plazo: un mes, ampliable a dos
La empresa dispone de un mes desde la recepción de la solicitud para responder. Ese plazo puede ampliarse en dos meses adicionales cuando las solicitudes sean especialmente complejas o se acumulen varias, pero la ampliación hay que comunicarla al interesado —con sus motivos— dentro del primer mes. El plazo corre aunque la empresa decida no atender la solicitud: incluso en ese caso hay que contestar en un mes explicando por qué y recordando la posibilidad de reclamar ante la autoridad de control.
La gratuidad
El ejercicio de los derechos es, por regla general, gratuito (art. 12.5 RGPD). No se puede condicionar la respuesta a ningún pago ni establecer trabas que en la práctica desincentiven al interesado. La excepción —solicitudes infundadas o excesivas— se explica más abajo y es de interpretación estricta.
La identificación del solicitante
Antes de entregar datos o actuar sobre ellos, la empresa debe verificar de forma razonable que quien solicita es el interesado. Entregar los datos de una persona a un tercero que se hace pasar por ella sería, en sí mismo, una brecha de confidencialidad. El art. 12.6 RGPD permite pedir información adicional para confirmar la identidad cuando existan dudas fundadas, pero esa verificación debe ser proporcionada: pedir una fotocopia del DNI "por defecto" a todo el mundo suele ser excesivo y contrario al principio de minimización.
Cómo responde tu empresa, paso a paso
Cuando llega una solicitud —por email, formulario web, carta o incluso de viva voz—, conviene seguir siempre el mismo circuito interno. Esta lista funciona como protocolo básico de respuesta:
Checklist: atender una solicitud de derechos
- Registra la fecha de entrada. El plazo de un mes empieza a contar desde ese momento; anota el día para no perder el control.
- Identifica qué derecho se ejerce. No hace falta que el interesado cite el artículo ni use la palabra correcta: si alguien pide "que borréis mis datos", es una supresión (art. 17), aunque diga "cancelación".
- Verifica la identidad del solicitante de forma proporcionada, pidiendo datos adicionales solo si hay dudas fundadas.
- Localiza los datos en todos tus sistemas apoyándote en el Registro de Actividades de Tratamiento: qué tratamientos afectan, en qué software están y qué proveedores los tienen.
- Valora si el derecho aplica o si existe una base legal que lo module (obligación de conservación fiscal, laboral, etc.).
- Ejecuta la acción: entrega la copia, corrige el dato, suprime, limita, exporta u opón, según corresponda.
- Propaga el cambio a encargados y destinatarios cuando proceda (art. 19 RGPD).
- Responde por escrito y documenta. Contesta al interesado dentro del plazo y guarda constancia de la solicitud y de lo actuado, como prueba de responsabilidad proactiva.
El paso que más empresas descuidan es el penúltimo y el último: documentar. No basta con hacer las cosas bien; hay que poder demostrar que se hicieron. Conservar la solicitud recibida, la verificación de identidad y la respuesta enviada es lo que permite acreditar, si algún día se pregunta, que la organización atendió el derecho en plazo y en forma.
"El problema casi nunca es negarse a atender un derecho. Es no saber dónde están los datos del que lo pide. Una empresa que no tiene mapeados sus tratamientos responde tarde, incompleta y sin poder demostrar lo que hizo."
Mario P. Talamillo · Socio director, Certix®
Solicitudes infundadas o excesivas
El art. 12.5 RGPD contempla una válvula de escape para casos abusivos: cuando las solicitudes de un mismo interesado sean manifiestamente infundadas o excesivas, en particular por su carácter repetitivo, la empresa puede optar por cobrar un canon razonable —limitado a los costes administrativos— o por negarse a actuar.
Ahora bien, esta excepción es de interpretación estricta y conviene manejarla con prudencia:
- La carga de la prueba recae en la empresa. Es la organización quien debe demostrar el carácter infundado o excesivo, no el interesado quien debe justificar por qué ejerce su derecho.
- Repetir no equivale a abusar. Que alguien haya ejercido un derecho hace meses no convierte en excesiva una nueva solicitud si las circunstancias han cambiado.
- Negarse también exige respuesta. Aunque se rechace la solicitud, hay que contestar en plazo explicando el motivo y recordando la vía de reclamación ante la autoridad de control.
En la práctica, invocar esta excepción a la ligera genera más riesgo que atender la solicitud. Solo tiene sentido cuando el patrón de abuso es evidente y está documentado.
Cómo Certix te ayuda a gestionarlas
Atender bien una solicitud de derechos no depende de tener una plantilla de respuesta guardada, sino de que la organización sepa dónde están sus datos y quién los trata. Ese conocimiento no se improvisa el día que llega el email: se construye antes, con un mapa de tratamientos correcto y un circuito interno claro de quién recibe, quién verifica y quién ejecuta.
En Certix trabajamos precisamente esa base. Partimos de un análisis real de tu actividad, dejamos documentados tus tratamientos y establecemos el protocolo de respuesta a derechos como parte del sistema de protección de datos, no como un anexo aislado. Cuando llega una solicitud, tu equipo sabe qué hacer, en qué plazo y cómo documentarlo.
Puedes profundizar en el marco normativo con nuestra guía completa del RGPD y la guía de la LOPDGDD, o hablar directamente con nosotros sobre cómo dejar preparada la gestión de derechos en tu empresa.
Preguntas frecuentes
¿Los derechos ARCO siguen existiendo con el RGPD?
La sigla ARCO (Acceso, Rectificación, Cancelación y Oposición) procede de la antigua LOPD de 1999 y hoy es terminología en desuso. El RGPD y la LOPDGDD ampliaron y renombraron ese catálogo: acceso (art. 15), rectificación (art. 16), supresión o derecho al olvido (art. 17), limitación (art. 18), portabilidad (art. 20), oposición (art. 21) y el derecho a no ser objeto de decisiones automatizadas (art. 22). Cuando una empresa recibe una solicitud debe responder conforme a este catálogo actual, más amplio que las cuatro letras originales.
¿Qué plazo tiene mi empresa para responder a una solicitud de derechos?
El art. 12 RGPD fija un plazo general de un mes desde la recepción de la solicitud, ampliable en dos meses adicionales cuando sean especialmente complejas o numerosas. Si se amplía, hay que informar al interesado de la ampliación y sus motivos dentro del primer mes. Aunque la empresa decida no atender la solicitud, debe comunicarlo igualmente en un mes, explicando las razones e indicando la posibilidad de reclamar ante la autoridad de control.
¿Puede mi empresa cobrar por atender una solicitud de derechos?
Como regla general, no: el ejercicio de los derechos es gratuito (art. 12.5 RGPD). Solo cuando las solicitudes de un mismo interesado sean manifiestamente infundadas o excesivas, en particular por repetitivas, la empresa puede cobrar un canon razonable por los costes administrativos o negarse a actuar. En ese caso, es la empresa quien debe demostrar el carácter infundado o excesivo de la solicitud.
¿Tengo que identificar a quien ejerce el derecho antes de darle sus datos?
Sí. Antes de facilitar información o actuar sobre los datos hay que verificar de forma razonable que quien solicita es el interesado, para no entregar datos personales a un tercero. El art. 12.6 RGPD permite pedir información adicional para confirmar la identidad cuando existan dudas fundadas, pero esa verificación debe ser proporcionada y no puede convertirse en una barrera para desanimar el ejercicio del derecho.
En resumen
Hablar de "derechos ARCO" en 2026 es hablar con el vocabulario de una ley derogada. El catálogo vigente es más amplio —siete derechos entre los artículos 15 y 22 del RGPD— y viene acompañado de reglas de tramitación muy concretas: plazo de un mes, gratuidad y verificación de identidad. Para una empresa, atenderlos bien no es cuestión de tener una plantilla, sino de saber dónde están sus datos y disponer de un circuito claro para responder en plazo y dejarlo documentado. Ese es el trabajo que conviene tener hecho antes de que llegue la primera solicitud.
Lecturas relacionadas
- Guía completa del RGPD — el marco donde se regulan los derechos de los interesados.
- Guía de la LOPDGDD — cómo la ley española desarrolla y concreta esos derechos.
- Registro de Actividades de Tratamiento (RAT) — el mapa de datos que sostiene toda respuesta a una solicitud.
Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado.
¿Sabría tu empresa responder mañana a una solicitud de derechos?
En Certix dejamos preparado el protocolo de atención de derechos a partir de un análisis real de tus tratamientos, para que respondas en plazo y con constancia.
Hablar con un consultor