En corto. «Derechos ARCO» (acceso, rectificación, cancelación y oposición) es la denominación que se usaba antes del Reglamento general de protección de datos (RGPD). Hoy la norma reconoce siete derechos a las personas cuyos datos tratas, en los artículos 15 a 22 del Reglamento (UE) 2016/679: acceso, rectificación, supresión, limitación del tratamiento, portabilidad, oposición y no ser objeto de decisiones automatizadas. Tu empresa tiene que responder en un mes desde la recepción de la solicitud, ampliable en dos meses más si es compleja y se avisa a tiempo (artículo 12.3). La respuesta es gratuita salvo solicitudes manifiestamente infundadas o excesivas (12.5). Y quien debe poder demostrar que contestó eres tú, no el solicitante (artículo 12.4 de la LOPDGDD).
Esta guía explica qué pide cada derecho, cómo organizar el procedimiento en una pyme y qué papel tiene el delegado de protección de datos (DPO). El resto del tema está en el hub de protección de datos para empresas.
¿Qué son los derechos ARCO y por qué hoy se habla de derechos RGPD?
ARCO es una sigla que junta cuatro derechos: acceso, rectificación, cancelación y oposición. Viene de la normativa anterior al RGPD y se sigue usando en el lenguaje corriente. El Reglamento no emplea esa sigla. Sustituye «cancelación» por supresión (el llamado derecho al olvido, artículo 17) y añade tres derechos que ARCO no recogía: limitación del tratamiento (artículo 18), portabilidad (artículo 20) y el derecho a no ser objeto de decisiones individuales automatizadas (artículo 22).
La Ley Orgánica 3/2018 (LOPDGDD) desarrolla el procedimiento en sus artículos 12 a 18. Todavía conserva una huella del vocabulario antiguo: el artículo 12.6 permite que quienes ejercen la patria potestad ejerzan en nombre de los menores de catorce años los derechos «de acceso, rectificación, cancelación, oposición o cualesquiera otros». Por eso se ven ambas denominaciones, pero manda la del Reglamento.
¿Cuáles son los siete derechos y qué exigen a tu empresa?
Son acceso, rectificación, supresión, limitación del tratamiento, portabilidad, oposición y no ser objeto de decisiones individuales automatizadas, regulados en los artículos 15 a 22 del RGPD. La tabla resume qué exige cada uno.
| Derecho | Artículo RGPD | Qué puede pedir la persona | Límites o matices clave |
|---|---|---|---|
| Acceso | 15 | Confirmar si tratas sus datos, acceder a ellos y a información sobre fines, categorías, destinatarios, plazo de conservación y origen; recibir una copia | Una copia adicional puede cobrarse con un canon razonable; no puede perjudicar derechos de terceros |
| Rectificación | 16 | Corregir datos inexactos y completar los incompletos | El afectado debe indicar los datos y la corrección, con documentación si es preciso (LOPDGDD 14) |
| Supresión | 17 | Que borres sus datos cuando ya no sean necesarios, retire el consentimiento, se oponga, el tratamiento sea ilícito, haya obligación legal de suprimirlos o se obtuvieran de un menor en servicios de la sociedad de la información | No aplica si el tratamiento es necesario, entre otros casos, para una obligación legal, una misión de interés público o la defensa de reclamaciones (17.3) |
| Limitación | 18 | Que congeles el uso de los datos mientras se verifica su exactitud, cuando el tratamiento sea ilícito y se oponga a borrar, cuando tú ya no los necesites pero ella sí para reclamaciones, o mientras se resuelve una oposición | Los datos limitados solo se conservan y se tratan en supuestos tasados (18.2); debe constar claramente en tus sistemas (LOPDGDD 16.2) |
| Portabilidad | 20 | Recibir los datos que ella facilitó en formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable | Solo si el tratamiento se basa en consentimiento o contrato y se hace por medios automatizados (20.1) |
| Oposición | 21 | Oponerse por motivos de su situación particular a tratamientos basados en interés público o interés legítimo; oponerse siempre a la mercadotecnia directa | Tras la oposición paras de tratar, salvo motivos legítimos imperiosos que prevalezcan o defensa de reclamaciones (21.1); en mercadotecnia directa no hay excepción (21.3) |
| Decisiones automatizadas | 22 | No ser objeto de una decisión basada únicamente en tratamiento automatizado, incluidos perfiles, que produzca efectos jurídicos o le afecte significativamente | Admite excepciones (contrato, ley, consentimiento explícito); cuando la excepción es el contrato o el consentimiento, con derecho a intervención humana, a expresar su punto de vista y a impugnar (22.3) |
Hay además una obligación asociada: comunicar cada rectificación, supresión o limitación a los destinatarios a los que hayas cedido los datos, salvo que sea imposible o exija un esfuerzo desproporcionado (artículo 19).
¿Cuánto tiempo tengo para responder a una solicitud?
Un mes desde la recepción de la solicitud. El artículo 12.3 del RGPD lo dice así: informar de las actuaciones realizadas «en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud».
Ese plazo puede ampliarse otros dos meses «en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes». Pero hay una condición que se olvida con frecuencia: debes avisar al interesado de la prórroga dentro del primer mes e indicarle los motivos del retraso. Si no avisas dentro del primer mes, incumples esa obligación de información.
Si decides no atender la solicitud, el artículo 12.4 te obliga a informar, sin dilación y como máximo en un mes, de las razones y de la posibilidad de reclamar ante la autoridad de control y de ejercitar acciones judiciales.
¿Se puede cobrar por atender un derecho?
Por regla general no. El artículo 12.5 establece que toda comunicación y actuación en virtud de los artículos 15 a 22 es gratuita. Lo repite el artículo 12.7 de la LOPDGDD.
Hay dos excepciones, y las dos exigen que la solicitud sea manifiestamente infundada o excesiva, «especialmente debido a su carácter repetitivo»:
- Cobrar un canon razonable basado en los costes administrativos.
- Negarte a actuar.
La carga de demostrar ese carácter es tuya (12.5). La LOPDGDD concreta algo para el acceso: puede considerarse repetitivo ejercerlo más de una vez en seis meses, a menos que exista causa legítima (artículo 13.3). También prevé que si la persona elige un medio distinto del que le ofreces y eso supone un coste desproporcionado, la solicitud se considera excesiva y asume ella el exceso de coste (artículo 13.4).
Cobrar de más tiene consecuencia sancionadora: exigir un canon superior a los costes afrontados es una infracción leve (artículo 74.b de la LOPDGDD), y cobrar un canon fuera de los supuestos que permite el artículo 12.5 del RGPD es infracción muy grave (artículo 72.1.j).
¿Cómo compruebo quién me escribe?
Puedes pedir información adicional si tienes dudas razonables sobre su identidad. El artículo 12.6 del RGPD permite solicitar «la información adicional necesaria para confirmar la identidad» en las solicitudes de los artículos 15 a 21. Pide solo lo que justifique la duda: exigir el DNI a quien escribe desde el correo registrado como cliente es difícil de justificar (criterio mío, no un artículo).
Otros puntos de identificación y representación:
- Representante. Los derechos pueden ejercerse directamente o por medio de representante legal o voluntario (LOPDGDD 12.1). Pide el documento que acredite la representación.
- Tratamientos sin identificación. En los casos del artículo 11.2, el artículo 12.2 del RGPD dice que no puedes negarte a actuar salvo que demuestres que no estás en condiciones de identificar al interesado. Si la persona aporta información adicional que permita su identificación y no la atiendes, entra en la infracción leve del artículo 74.d de la LOPDGDD.
- Canal elegido. Informa de los medios disponibles, que han de ser fácilmente accesibles, y no deniegues el ejercicio porque la persona use otro medio (LOPDGDD 12.2).
¿Qué reglas especiales tiene cada derecho en la LOPDGDD?
La LOPDGDD remite al Reglamento y añade matices prácticos para el acceso, la supresión y la limitación.
- Acceso (artículo 13). Si tratas una gran cantidad de datos de la persona y no precisa a qué se refiere, puedes pedirle que concrete los datos o actividades antes de entregar la información. Y se entiende atendido si le das acceso remoto, directo y seguro a la totalidad de sus datos, comunicándole cómo acceder.
- Supresión (artículo 15). Si la supresión viene de una oposición a mercadotecnia directa, puedes conservar los datos identificativos necesarios para impedir tratamientos futuros con esa finalidad.
- Limitación (artículo 16). El hecho de que los datos estén limitados debe constar claramente en tus sistemas.
Si una ley sectorial establece un régimen especial para ciertos tratamientos, prevalece (LOPDGDD 12.5).
¿Cómo montar el procedimiento interno en una pyme?
No hace falta una aplicación específica para empezar. Hace falta que cualquier trabajador sepa a quién pasar la solicitud y que alguien la cierre a tiempo. Un procedimiento mínimo tiene nueve pasos, del canal de entrada a la prueba de lo hecho.
- Canal y aviso. Publica al menos un medio de contacto claro en tu política de privacidad y en las comunicaciones. Recuerda que los medios deben ser de fácil acceso (LOPDGDD 12.2).
- Registro de entrada. Anota fecha de recepción, canal, persona, derecho solicitado y quién la gestiona. El plazo de un mes cuenta desde la recepción, así que esa fecha es el dato más importante.
- Identificación. Comprueba identidad o representación. Si pides documentación adicional, déjalo por escrito. El artículo 12.6 no dice que pedir información adicional suspenda el plazo, así que trabaja como si el mes siguiera corriendo.
- Clasificación. Identifica qué derecho se ejerce. Una misma carta puede pedir acceso y supresión a la vez.
- Localización de los datos. Aquí ayuda el registro de actividades de tratamiento, que te dice qué sistemas y qué encargados contienen datos de esa persona.
- Análisis de la procedencia. Comprueba si hay una excepción: obligación legal de conservar, defensa de reclamaciones, derechos de terceros en una copia, etc.
- Respuesta. Por escrito, en un lenguaje claro y sencillo (artículo 12.1), por el medio que corresponda, con la acción hecha o con las razones de la denegación y la vía de reclamación.
- Propagación. Si hay rectificación, supresión o limitación, avisa a los destinatarios (artículo 19) y a tus encargados.
- Prueba. Guarda la solicitud, la respuesta y las fechas. La prueba del cumplimiento del deber de responder recae sobre el responsable (LOPDGDD 12.4).
Si tienes encargados del tratamiento, como una gestoría o un proveedor de correo, pueden tramitar las solicitudes por cuenta del responsable solo «si así se estableciere en el contrato o acto jurídico que les vincule» (LOPDGDD 12.3). Revisa esa cláusula y, en cualquier caso, pide que te trasladen las solicitudes que reciban en cuanto las reciban, porque el plazo corre para ti.
¿Qué papel tiene el DPO en el ejercicio de derechos?
El artículo 38.4 del RGPD establece que los interesados pueden ponerse en contacto con el delegado de protección de datos «por lo que respecta a todas las cuestiones relativas al tratamiento de sus datos personales y al ejercicio de sus derechos». Si has designado un DPO, su contacto debe figurar en la información que das (artículos 13.1.b y 14.1.b) y es una vía válida para presentar solicitudes.
Su papel es asesorar y supervisar, no responder en tu lugar. Entre sus funciones están informar y asesorar al responsable sobre sus obligaciones y supervisar su cumplimiento (artículo 39.1). En la práctica, el DPO revisa el procedimiento, resuelve dudas sobre casos difíciles (¿procede esta supresión?, ¿hay motivos legítimos imperiosos?) y comprueba que los plazos se cumplen. La respuesta jurídica es de la empresa.
La LOPDGDD le da además un papel antes de la reclamación. Si has designado DPO, la persona afectada puede dirigirse a él antes de reclamar ante la AEPD, y el DPO comunicará la decisión en el plazo máximo de dos meses desde la recepción. Y si la reclamación llega a la AEPD, esta puede remitirla al DPO para que responda en un mes (LOPDGDD 37).
Si necesitas un DPO que monte y vigile este procedimiento, mira el servicio de DPO externo o la comparación entre DPO interno y externo.
¿Qué pasa si no atiendo un derecho?
Depende de la gravedad: no atender una solicitud es infracción leve (artículo 74.c de la LOPDGDD), e impedir u obstaculizar el ejercicio, o no atenderlo de forma reiterada, es muy grave (artículo 72.1.k). La lista siguiente recoge las conductas concretas.
- No atender las solicitudes de ejercicio de los derechos de los artículos 15 a 22 es infracción leve (artículo 74.c), salvo que sea de aplicación el 72.1.k.
- Impedir, obstaculizar o no atender de forma reiterada el ejercicio de esos derechos es infracción muy grave (artículo 72.1.k).
- Exigir un canon superior a los costes es leve (74.b), y cobrar un canon fuera de los supuestos que permite el artículo 12.5 del RGPD es muy grave (72.1.j). No notificar rectificaciones, supresiones o limitaciones a los destinatarios (artículo 19 del RGPD) también (74.e).
En el Reglamento, según el artículo 83.5.b, las infracciones de los derechos de los interesados de los artículos 12 a 22 se sancionan con multas de hasta 20 millones de euros o, tratándose de una empresa, de hasta el 4 % del volumen de negocio total anual global del ejercicio anterior, optándose por la cuantía mayor. Son topes máximos. Puedes estimar un rango con la calculadora de sanciones del RGPD.
Preguntas frecuentes
¿Los derechos ARCO siguen vigentes?
La sigla ya no es la denominación legal. El RGPD sustituyó la cancelación por la supresión y añadió la limitación, la portabilidad y el derecho frente a decisiones automatizadas. Los derechos de acceso, rectificación y oposición siguen, con el contenido de los artículos 15, 16 y 21 del Reglamento, desarrollados por los artículos 13, 14 y 18 de la LOPDGDD.
¿En qué plazo hay que contestar a una solicitud de derechos?
En un mes desde la recepción, ampliable otros dos meses si la solicitud es compleja o hay muchas, siempre que informes de la prórroga y de sus motivos dentro del primer mes (artículo 12.3 del RGPD). Si no vas a atender la solicitud, debes explicarlo igualmente en ese mes e indicar la vía de reclamación ante la autoridad de control y la judicial (artículo 12.4).
¿Puedo pedir el DNI a quien ejerce un derecho?
Solo si tienes dudas razonables sobre su identidad y en la medida necesaria para confirmarla. El artículo 12.6 del RGPD permite pedir información adicional para confirmar la identidad en las solicitudes de los artículos 15 a 21. Si la persona ya está identificada por el canal habitual, pedir más documentación es difícil de justificar.
¿Se puede cobrar por atender un derecho de acceso?
No por la primera respuesta, que es gratuita (artículo 12.5 del RGPD). Puedes cobrar un canon razonable por cualquier otra copia que se solicite (artículo 15.3) y, si la solicitud es manifiestamente infundada o excesiva, cobrar un canon basado en costes o negarte a actuar, asumiendo tú la carga de probarlo. La LOPDGDD considera repetitivo pedir el acceso más de una vez en seis meses, salvo causa legítima (artículo 13.3).
¿Está obligada una pyme a tener un procedimiento escrito?
El texto no impone un formato, pero el deber de atender en plazo e informar de los medios alcanza a todos los responsables (RGPD 12, LOPDGDD 12.2) y la prueba de haber respondido recae sobre ti (LOPDGDD 12.4). Un procedimiento escrito, aunque sea de una página, es la forma práctica de demostrarlo.
Siguientes pasos
Si quieres revisar cómo atiende tu empresa estas solicitudes o necesitas un DPO que lleve el procedimiento, reserva una consulta: la primera sesión de 30 minutos no tiene coste. Para el panorama general del cumplimiento, consulta la guía de cumplimiento del RGPD para empresas.
Fuentes
- Reglamento (UE) 2016/679 (RGPD), copia en el BOE (DOUE-L-2016-80807): artículos 12, 13.1.b, 14.1.b, 15 a 22, 38.4, 39.1 y 83.5.b.
- Ley Orgánica 3/2018 (LOPDGDD), texto consolidado (BOE-A-2018-16673): artículos 12 a 18, 37, 72.1.k y 74.
- AEPD: Ejerce tus derechos: resumen oficial de las características del ejercicio de derechos.
Herramientas gratuitas relacionadas
Sin registro y con fuentes oficiales. Comprueba tu caso en 2 minutos.