El derecho de acceso (artículo 15 del RGPD) permite a cualquier persona saber si una empresa trata sus datos y, si es así, obtener una copia gratuita y la información de para qué se usan, a quién se comunican y cuánto tiempo se guardan. La empresa debe responder en un mes, prorrogable dos más si la solicitud es compleja.
El derecho de acceso es el derecho de cualquier persona a preguntarte si tienes datos suyos y, si los tienes, a recibir una copia y una explicación de qué haces con ellos. Lo regula el artículo 15 del RGPD. Tienes un mes para contestar, la primera copia es gratis y tienes que responder aunque no tengas ningún dato de esa persona.
¿Qué puede pedir exactamente?
El artículo 15.1 del RGPD da derecho a dos cosas. La primera es una confirmación: si tratas o no sus datos. La segunda, si los tratas, es el acceso a esos datos y a esta información:
- Para qué los usas (los fines).
- Qué tipos de datos tienes: identificativos, de contacto, bancarios, de salud…
- A quién se los has comunicado o se los vas a comunicar, y si alguno está fuera de la Unión Europea.
- Cuánto tiempo los vas a guardar o, si no lo sabes, con qué criterio lo decides.
- Que puede pedir la rectificación, la supresión o la limitación, u oponerse.
- Que puede reclamar ante la Agencia Española de Protección de Datos.
- De dónde salieron, si no te los dio él.
- Si tomas decisiones automatizadas o haces perfiles que le afecten, con información útil sobre la lógica que siguen.
Además, el artículo 15.3 obliga a entregar una copia de los datos. Si la petición llega por correo electrónico, la copia se envía en un formato electrónico de uso común, salvo que la persona pida otra cosa.
Ejemplos de lo que te pueden pedir
| Negocio | Quién lo pide | Qué le entregas |
|---|---|---|
| Clínica de fisioterapia | Un paciente | Su ficha, la historia clínica, las facturas y la información del artículo 15.1 |
| Gestoría | Un antiguo empleado | Su expediente laboral, nóminas, registros de jornada y los datos que se hayan comunicado a la Seguridad Social |
| Tienda online | Un cliente | Datos de la cuenta, pedidos, direcciones de envío y si está en la lista de envíos comerciales |
| Comunidad de propietarios | Un vecino | Sus datos en el libro de propietarios, recibos y, si aparece, las imágenes de las cámaras dentro del plazo de conservación |
¿Cuánto tiempo tengo?
Un mes desde que recibes la solicitud (artículo 12.3 RGPD). Si es compleja o tienes muchas, puedes ampliar dos meses más, pero tienes que avisar a la persona dentro del primer mes y decirle por qué. Si pides que concrete o que acredite su identidad, contesta pronto: el reloj no espera a que tú te pongas.
Cómo responder paso a paso
- Anota la fecha de entrada. Desde ahí cuenta el mes. Y la prueba de que respondiste es tuya (artículo 12.4 LOPDGDD).
- Comprueba la identidad si tienes dudas razonables. Puedes pedir la información necesaria para confirmarla (artículo 12.6 RGPD). Si escribe desde el correo que ya tienes en su ficha, normalmente basta.
- Busca en todos los sitios. Programa de gestión, correo, hojas de cálculo, papel, WhatsApp de empresa, la plataforma de citas, la gestoría. Tu registro de actividades te dice dónde mirar.
- Si tienes muchísimos datos de esa persona y no ha concretado, puedes pedirle antes que especifique a qué datos o actividades se refiere (artículo 13.1 LOPDGDD).
- Revisa la copia antes de enviarla. Tapa los datos de otras personas: el artículo 15.4 dice que la copia no puede perjudicar los derechos de otros.
- Envía la respuesta con la copia y la información del artículo 15.1, por un canal seguro. Un documento con datos de salud no se manda como adjunto abierto a cualquier dirección.
- Guarda constancia de qué enviaste, cuándo y por qué medio.
¿Puedo cobrar por la copia?
La primera, no. Atender los derechos es gratis (artículo 12.5 RGPD y 12.7 LOPDGDD). Por copias adicionales puedes cobrar un canon razonable basado en los costes administrativos (artículo 15.3 RGPD).
Si alguien repite la solicitud sin motivo, la LOPDGDD permite considerar repetitivo el acceso pedido más de una vez en seis meses, salvo que haya una causa legítima (artículo 13.3). En ese caso puedes cobrar un canon o negarte, pero tienes que poder demostrar que la petición era excesiva. Y si la persona exige un medio distinto del que le ofreces que suponga un coste desproporcionado, ese exceso de coste lo asume ella (artículo 13.4).
¿Y si le doy acceso desde un área de clientes?
La LOPDGDD lo contempla. Si ofreces un sistema de acceso remoto, directo y seguro que le permita ver todos sus datos de forma permanente, basta con decirle cómo entrar para tener la solicitud por atendida (artículo 13.2). Por ejemplo, el área privada de una tienda online o el portal del paciente de una clínica.
Ojo: si en ese sistema no está la información del artículo 15.1 (fines, destinatarios, plazos…), la persona puede pedírtela aparte y tienes que dársela.
Errores que vemos a menudo
- No contestar porque «no tenemos nada suyo». Hay que responder igual, confirmando que no tratas sus datos.
- Mandar solo la ficha del cliente. El acceso incluye la información del artículo 15.1, no solo los datos.
- Pedir una fotocopia del DNI por sistema cuando la identidad ya está clara. Pide solo lo necesario.
- Entregar datos a un familiar sin autorización ni representación acreditada.
- Enviar la copia sin revisar y dejar a la vista datos de otros clientes o compañeros.
- Confundirlo con el acceso a documentos de un expediente o a las grabaciones para un juicio. Aquí hablamos de los datos personales de quien lo pide.
Qué preparar esta semana
- Decide quién recibe estas peticiones y avisa a quien atiende el correo, el teléfono y el mostrador.
- Haz una plantilla de respuesta con los ocho puntos del artículo 15.1 ya rellenos para tus tratamientos habituales: solo tendrás que añadir la copia.
- Comprueba que tu política de privacidad dice dónde ejercer los derechos. Puedes revisar tu web con nuestra herramienta gratuita.
- Apunta en una lista todos los sitios donde guardas datos de clientes y empleados.
El resto de derechos y cómo se relacionan los tienes en la guía de derechos ARCO. Si quieres que te dejemos el procedimiento preparado con tus tratamientos reales, es parte de la documentación que hacemos en Adapta RGPD.
Preguntas frecuentes
¿Tengo que dar acceso a las grabaciones de las cámaras?
Si la persona aparece en ellas y aún las conservas, sí: las imágenes son datos personales. Debes entregarlas de forma que no se identifique a otras personas que salgan, por ejemplo difuminándolas, o explicar por qué no puedes hacerlo sin perjudicar a terceros.
¿Un trabajador puede pedir todos sus datos a la empresa?
Sí. Puede pedir su expediente, nóminas, registros de jornada y la información de para qué se usan sus datos y a quién se comunican. La empresa tiene un mes para responder.
¿Puedo negarme si sé que me lo pide para demandarme?
No. El motivo por el que alguien ejerce el derecho de acceso no es una causa para denegarlo. Solo puedes negarte si la solicitud es manifiestamente infundada o excesiva, y tendrás que demostrarlo.
¿El derecho de acceso es lo mismo que pedir la historia clínica?
La historia clínica tiene además su propia regulación sanitaria, pero los datos de salud del paciente también están cubiertos por el derecho de acceso del RGPD. En la práctica, la clínica debe facilitar al paciente sus datos y la información del artículo 15.
