Los derechos ARCO (acceso, rectificación, cancelación y oposición) venían de la antigua LOPD. Hoy el RGPD los recoge en sus artículos 15 a 22 y añade limitación, portabilidad y no ser objeto de decisiones automatizadas. Cualquier empresa que trate datos tiene que atenderlos gratis y responder en un mes, prorrogable dos más si la solicitud es compleja.
Los derechos ARCO son los derechos de acceso, rectificación, cancelación y oposición que tiene cualquier persona sobre sus datos. El nombre viene de la antigua Ley 15/1999, hoy derogada. Desde el RGPD, la «cancelación» se llama supresión y se han sumado tres derechos más. Si un cliente, un paciente o un empleado te pide alguno de ellos, tienes que contestarle gratis y, como regla general, en un mes.
De ARCO a los derechos del RGPD: qué ha cambiado
El Reglamento (UE) 2016/679 regula los derechos de las personas en sus artículos 15 a 22. La Ley Orgánica 3/2018 (LOPDGDD) los desarrolla en sus artículos 12 a 18. Las siglas ARCO se siguen usando por costumbre, y también verás ARCO-POL o ARSOPOL para incluir los nuevos. Lo que importa es saber qué puede pedir cada persona:
| Derecho | Qué puede pedir la persona | Artículo RGPD |
|---|---|---|
| Acceso | Saber si tratas sus datos, recibir una copia y conocer para qué los usas, a quién se los das y cuánto tiempo los guardas | 15 |
| Rectificación | Que corrijas los datos inexactos o completes los incompletos | 16 |
| Supresión (la antigua cancelación) | Que borres sus datos cuando ya no hacen falta, retira el consentimiento o se trataron sin base legal | 17 |
| Limitación | Que dejes los datos «congelados» mientras se resuelve una duda sobre su exactitud o una oposición | 18 |
| Portabilidad | Recibir los datos que te dio en un formato estructurado y de lectura mecánica, o que se los pases a otra empresa | 20 |
| Oposición | Que dejes de usar sus datos por su situación particular o, siempre, para publicidad | 21 |
| Decisiones automatizadas | No quedar sometida a una decisión tomada solo por una máquina que le afecte de forma importante, y pedir que la revise una persona | 22 |
Los tres primeros son los que más llegan a una pyme. Los explicamos uno a uno en el derecho de acceso, el derecho de rectificación y el derecho de supresión.
¿Cómo te llega una solicitud?
Casi nunca con el título «ejercicio del derecho de acceso». Lo normal es un correo de un excliente que dice «borradme de vuestra lista», un paciente que pide «todo lo que tengáis mío» o un antiguo empleado que quiere saber qué se guarda de él. Todo eso son ejercicios de derechos y corre el plazo desde que lo recibes.
La persona puede pedirlo por el medio que quiera. El artículo 12.2 de la LOPDGDD obliga a informar de los medios disponibles, que deben ser fáciles de usar, y prohíbe denegar el derecho solo porque la persona haya elegido otro canal. Si te lo piden por WhatsApp o en el mostrador, cuenta igual. También puede pedirlo un representante legal o voluntario (artículo 12.1 LOPDGDD), y en el caso de menores de catorce años, quienes tengan la patria potestad (artículo 12.6).
El plazo: un mes, ampliable dos más
El artículo 12.3 del RGPD fija un mes desde que recibes la solicitud. Puedes prorrogarlo otros dos meses si la petición es compleja o te llegan muchas, pero tienes que avisar a la persona dentro del primer mes y explicarle por qué.
Si decides no atenderla, también tienes que contestar en un mes: explicando los motivos y recordando que puede reclamar ante la AEPD y acudir a los tribunales (artículo 12.4 RGPD). Callarse es la peor opción, porque la persona puede reclamar y la carga de demostrar que respondiste es tuya (artículo 12.4 LOPDGDD).
¿Quién tiene que responder?
El responsable del tratamiento: la empresa o el autónomo que decide para qué se usan los datos. Si eres una clínica, es la clínica, aunque la historia clínica esté en un programa de un proveedor.
- Si tienes encargados (gestoría, informático, programa en la nube), pueden tramitar las solicitudes en tu nombre solo si así lo dice el contrato que os une (artículo 12.3 LOPDGDD). Si no, te las tienen que pasar a ti.
- Si tienes delegado de protección de datos, puede coordinar la respuesta, pero la obligación sigue siendo del responsable.
- Dentro de la empresa, decide quién recibe estas peticiones y a quién se las pasa. En una peluquería será la dueña; en una gestoría con diez personas, conviene que sea una sola persona con un suplente.
¿Puedes cobrar? Casi nunca
Atender los derechos es gratis (artículo 12.5 RGPD y 12.7 LOPDGDD). Solo hay dos salidas cuando una solicitud es manifiestamente infundada o excesiva, sobre todo por repetitiva: cobrar un canon razonable basado en los costes administrativos o negarte a actuar. En ambos casos tienes que poder demostrar que era infundada o excesiva.
Para el derecho de acceso hay dos reglas concretas: la primera copia es gratis y por las siguientes puedes cobrar un canon razonable (artículo 15.3 RGPD), y la LOPDGDD permite considerar repetitivo pedir acceso más de una vez en seis meses, salvo causa legítima (artículo 13.3).
¿Y si no sé si quien escribe es quien dice ser?
Si tienes dudas razonables sobre la identidad, puedes pedir la información adicional necesaria para confirmarla (artículo 12.6 RGPD). Pide lo justo: si escribe desde el correo o el teléfono que ya tienes en su ficha, normalmente basta. No conviertas la comprobación en un obstáculo, y no entregues datos a un tercero (un cónyuge, un hijo mayor de edad, un abogado) sin que acredite que le representa.
Cuándo puedes decir que no
Los derechos no son absolutos. Algunos ejemplos habituales en una pyme:
- Supresión de facturas: no puedes borrar lo que la ley te obliga a conservar. Lo que haces es bloquear esos datos (artículo 32 LOPDGDD) y borrar el resto.
- Oposición a un tratamiento por contrato: la oposición del artículo 21.1 se refiere a tratamientos basados en interés legítimo o interés público. Un cliente no puede oponerse a que le factures lo que te ha comprado.
- Acceso a datos de terceros: la copia no puede perjudicar los derechos de otras personas (artículo 15.4 RGPD). Si un correo menciona a otro cliente, tapas sus datos.
- Oposición a la publicidad: aquí no hay excepción. Si alguien no quiere recibir publicidad, dejas de enviársela (artículo 21.3 RGPD).
Decir que no también es responder: por escrito, en plazo y con el motivo.
Lista de comprobación para tu negocio
- Pon en tu política de privacidad y en tus cláusulas un correo o una dirección para ejercer los derechos. Si tienes web, comprueba que aparece con nuestra herramienta gratuita de revisión.
- Avisa a quien atiende el teléfono, el mostrador o el correo general de que estas peticiones existen y de a quién pasarlas el mismo día.
- Ten modelos de respuesta para acceso, rectificación, supresión y oposición.
- Lleva un registro sencillo: fecha de entrada, quién lo pide, qué pide, qué contestaste y cuándo. Es tu prueba si hay reclamación.
- Revisa que tus contratos con proveedores digan quién atiende estas solicitudes y cómo te las pasan.
- Comprueba que tu registro de actividades recoge dónde están los datos de cada persona. Si no sabes dónde están, no puedes darlos ni borrarlos en un mes.
En Adapta RGPD el procedimiento para atender derechos va con el resto de tu documentación, y las consultas están incluidas en todos los planes: si te llega una solicitud que no sabes cómo contestar, nos la reenvías y te decimos qué responder.
Preguntas frecuentes
¿Qué significan las siglas ARCO?
Acceso, Rectificación, Cancelación y Oposición. Eran los derechos de la antigua Ley 15/1999. Con el RGPD la cancelación pasa a llamarse supresión y se añaden la limitación del tratamiento, la portabilidad y el derecho a no ser objeto de decisiones automatizadas.
¿Cuánto tiempo tengo para responder a un derecho ARCO?
Un mes desde que recibes la solicitud. Puedes ampliarlo dos meses más si es compleja o tienes muchas, avisando a la persona dentro del primer mes y explicando el motivo (artículo 12.3 del RGPD).
¿Puedo cobrar por atender una solicitud de acceso?
No por la primera copia. Solo puedes cobrar un canon razonable por copias adicionales o si la solicitud es manifiestamente infundada o excesiva, por ejemplo por repetirse sin motivo, y tienes que poder demostrarlo.
¿Tengo que contestar si no tengo datos de esa persona?
Sí. El derecho de acceso incluye saber si tratas o no sus datos, así que debes responder igualmente, aunque sea para decir que no tienes ninguno.
¿Qué pasa si no respondo?
La persona puede presentar una reclamación ante la Agencia Española de Protección de Datos. Como la prueba de haber respondido corresponde a la empresa, no contestar te deja sin defensa.
