¿Quieres saber qué datos tuyos tiene una empresa, para qué los usa y a quién se los ha pasado? El derecho de acceso del RGPD sirve exactamente para eso: es gratuito, la empresa tiene en principio un mes para responderte y la Agencia Española de Protección de Datos (AEPD) ofrece un formulario para pedirlo. Te contamos qué puedes exigir, cómo redactar la solicitud y qué hacer si no te hacen caso.
Qué es el derecho de acceso
La AEPD lo explica en su página sobre el derecho de acceso: es «tu derecho a dirigirte al responsable del tratamiento para conocer si está tratando o no tus datos de carácter personal» y, en caso afirmativo, a obtener una serie de información concreta.
La base legal es el artículo 15 del Reglamento (UE) 2016/679, el Reglamento General de Protección de Datos. Según ese artículo, tienes derecho a obtener del responsable «confirmación de si se están tratando o no datos personales que le conciernen» y, en tal caso, acceso a esos datos y a una lista de información adicional. La ley española, la Ley Orgánica 3/2018 (LOPDGDD), no crea un derecho distinto: su artículo 13 dice que se ejercitará «de acuerdo con lo establecido en el artículo 15 del Reglamento (UE) 2016/679».
Qué información tienes derecho a recibir
Si la empresa trata datos tuyos, no basta con que te lo confirme. La AEPD enumera todo lo que tienes derecho a obtener:
- Una copia de tus datos personales que son objeto del tratamiento.
- Los fines del tratamiento, es decir, para qué los usan.
- Las categorías de datos personales que se traten.
- Los destinatarios o categorías de destinatarios a los que se comunicaron o se comunicarán, en particular los de países terceros u organizaciones internacionales.
- El plazo previsto de conservación o, si no es posible, los criterios para determinarlo.
- La existencia de tu derecho a pedir la rectificación o supresión de tus datos, la limitación del tratamiento o a oponerte a él.
- El derecho a presentar una reclamación ante una autoridad de control.
- Si los datos no se obtuvieron directamente de ti, cualquier información disponible sobre su origen.
- La existencia de decisiones automatizadas, incluida la elaboración de perfiles, y en esos casos información significativa sobre la lógica aplicada, su importancia y las consecuencias previstas para ti.
Fíjate en dos puntos. El del origen te permite saber de dónde ha sacado una empresa tus datos cuando tú no se los diste. El de las decisiones automatizadas obliga, cuando existen, a darte información significativa sobre la lógica aplicada. Y el artículo 15.2 del reglamento suma otro: si tus datos se transfieren a un tercer país o a una organización internacional, tienes derecho a conocer las garantías adecuadas de esa transferencia.
A quién se dirige y por qué canal
La solicitud va al responsable del tratamiento, que el formulario de la AEPD describe como la «empresa o entidad que esté tratando sus datos». No va a la AEPD: la agencia avisa de que «no dispone de sus datos personales» y de que solo puede facilitar los datos de contacto de los delegados de protección de datos de las entidades que le hayan comunicado su designación.
Sobre el canal, la AEPD recuerda en su página Ejerce tus derechos que el responsable «está obligado a informarte sobre los medios para ejercitar estos derechos», que esos medios deben ser accesibles y que no se puede denegar el derecho «por el solo motivo de que optes por otro medio». El formulario añade que no estás obligado a usar los canales específicos de la empresa: puedes enviar la solicitud a un punto de contacto oficial del responsable. Y el RGPD contempla expresamente que la presentes por medios electrónicos.
Puedes hacerlo tú mismo o a través de tu representante legal o voluntario; en ese caso, habrá que acreditar la representación. Y no te extrañe si te responde el encargado del tratamiento en lugar del responsable: puede hacerlo si ambos lo han establecido en el contrato o acto jurídico que les vincula.
Qué tiene que llevar la solicitud
El formulario de la agencia tiene tres bloques. El primero recoge los datos del responsable: nombre o razón social y dirección de la oficina o servicio ante el que ejerces el derecho. El segundo, los tuyos o los de tu representante legal: nombre, domicilio, DNI, NIE o pasaporte y correo electrónico, junto a la declaración de que ejerces el derecho de acceso conforme al artículo 15 del RGPD. El tercero es la solicitud propiamente dicha.
En ella pides que se te facilite el acceso gratuitamente, en el plazo de un mes desde la recepción, y que te remitan la copia de tus datos junto con fines, categorías, destinatarios, garantías de las transferencias, conservación, decisiones automatizadas y origen. Se cierra con lugar, fecha y firma, y la AEPD recomienda acompañarlo de un escrito que exponga «de manera detallada todos los datos que permitan identificar el objeto de su pretensión».
Ojo con la identificación. Tienes que estar suficientemente identificado y la solicitud debe ir firmada. Si el responsable tiene dudas sobre tu identidad, puede pedirte información adicional para confirmarla, también por medios electrónicos, y sin necesidad de pedir y guardar copias de tu DNI, NIE o pasaporte junto con la solicitud. El artículo 12.6 del RGPD la vincula a que el responsable tenga «dudas razonables». Si el acceso es presencial, pueden pedirte cualquier documento que acredite tu identidad. Y si la empresa no puede identificar qué datos son tuyos, te lo dirá y podrá denegar el acceso, salvo que aportes información adicional que lo permita.
Gratis, con una excepción
El ejercicio del derecho es gratuito. El artículo 12.5 del reglamento establece que las actuaciones realizadas en virtud de los artículos 15 a 22 serán «a título gratuito», y el artículo 12.7 de la LOPDGDD lo repite. La copia de tus datos también entra: el artículo 15.3 obliga al responsable a facilitarla, aunque puede cobrar «un canon razonable basado en los costes administrativos» por cualquier otra copia que le pidas.
La excepción llega cuando las solicitudes sean «manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo». En ese caso, el responsable puede cobrar un canon razonable en función de los costes administrativos o negarse a actuar. Pero la carga de la prueba es suya: el reglamento dice que «soportará la carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud».
Un mes de plazo y el formato de la respuesta
Según la AEPD, las solicitudes «deben responderse en el plazo de un mes», aunque ese plazo se puede prorrogar otros dos meses teniendo en cuenta la complejidad y el número de solicitudes. El artículo 12.3 del RGPD precisa que el mes cuenta «a partir de la recepción de la solicitud» y que, si hay prórroga, el responsable tiene que comunicártela dentro de ese primer mes, «indicando los motivos de la dilación». No vale alargarlo en silencio.
Si la empresa decide no dar curso a tu solicitud, también tiene que decírtelo sin dilación y, a más tardar, en un mes desde que la recibe, con las razones y avisándote de que puedes reclamar ante una autoridad de control y ejercitar acciones judiciales.
En cuanto al formato, si presentas la solicitud por medios electrónicos, el artículo 15.3 establece que la información se te facilitará «en un formato electrónico de uso común», salvo que pidas otra cosa. Las instrucciones del formulario admiten que el responsable te mande la información y los datos por correo electrónico, siempre que aplique las garantías necesarias teniendo en cuenta la naturaleza de los datos, o mediante otra herramienta con las debidas garantías. Además, el reglamento exige que la información llegue de forma «concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo».
Lo que añade la ley española
La LOPDGDD no cambia el derecho, pero su artículo 13 le pone varios matices prácticos:
- Muchos datos: si el responsable trata una gran cantidad de datos tuyos y no especificas si quieres todos o una parte, puede pedirte, antes de darte la información, que concretes los datos o actividades de tratamiento a los que te refieres.
- Acceso remoto: el derecho se entiende otorgado si la empresa te facilita un sistema de acceso remoto, directo y seguro que garantice, de modo permanente, el acceso a la totalidad de tus datos, y basta con que te diga cómo entrar. Aun así, puedes pedirle la información del artículo 15.1 del RGPD que no esté en ese sistema.
- Solicitudes repetitivas: a efectos del artículo 12.5 del RGPD, se puede considerar repetitivo ejercer el derecho de acceso más de una vez en seis meses, salvo que exista causa legítima.
- Medios caros: si eliges un medio distinto al que te ofrecen y supone un coste desproporcionado, la solicitud se considera excesiva y el exceso de costes corre de tu cuenta.
Su artículo 12 añade dos detalles: la prueba de que se ha respondido a tu solicitud recae sobre el responsable, y los titulares de la patria potestad pueden ejercer el derecho de acceso en nombre de los menores de catorce años.
Qué hacer si no te responden o lo hacen mal
Si pasa el plazo sin respuesta o lo que te mandan no te satisface, toca acudir a la autoridad de control. El artículo 77 del RGPD reconoce a todo interesado el derecho a presentar una reclamación ante una autoridad de control, «en particular en el Estado miembro en el que tenga su residencia habitual, lugar de trabajo o lugar de la supuesta infracción». Esa autoridad tiene que informarte del curso y del resultado de la reclamación, incluida la posibilidad de acceder a la tutela judicial.
Para que la AEPD pueda tramitar tu reclamación cuando no te han atendido en el plazo máximo de un mes o la respuesta es insatisfactoria, las instrucciones del formulario piden que aportes copia de la solicitud que enviaste al responsable y la respuesta recibida o, en su caso, cualquier documento o prueba que permita deducir que la recibió. Por eso conviene guardar constancia del envío desde el primer momento.
Paso a paso para pedir tus datos
- Identifica al responsable del tratamiento, la empresa o entidad que crees o sabes que tiene tus datos, y mira qué medios ofrece para ejercer tus derechos.
- Descarga el formulario de acceso de la AEPD y rellena los datos del responsable y los tuyos.
- Adjunta un escrito que detalle el objeto de tu petición, como recomienda el propio formulario.
- Firma la solicitud y envíala por el canal que te ofrezcan o a un punto de contacto oficial, también por vía electrónica, y guarda prueba del envío.
- Cuenta un mes desde que la reciben; si necesitan prórroga, deben avisarte dentro de ese mes con los motivos, y puede alargarse otros dos meses.
- Revisa la respuesta: debe incluir la copia de tus datos y la información del artículo 15.
- Si no contestan o la respuesta no te convence, reclama ante la AEPD con la solicitud, la respuesta o la prueba de que la recibieron.
Te puede interesar
Tech Planet participa en el programa de afiliados de Amazon. Si compras a través de estos enlaces, recibimos una pequeña comisión sin coste extra para ti, lo que nos ayuda a seguir creando contenido como este.
| Imagen | Producto | Características | Comprar |
|---|---|---|---|
 |
UGREEN NASync DXP2800 | Intel N100 · 8 GB DDR5 · dos bahías de 3,5″ y dos ranuras M.2 NVMe | Ver precio en Amazon |
 |
Synology DiskStation DS224+, sin discos | Dos bahías, sin discos · copia de seguridad y restauración · acceso y sincronización multiplataforma | Ver precio en Amazon |
 |
WD Red Plus 4 TB | 4 TB · clase 5.400 rpm · SATA 6 Gb/s · CMR y 128 MB de caché · tecnología NASware | Ver precio en Amazon |
 |
Seagate IronWolf 4 TB | 4 TB · SATA 6 Gb/s · para NAS de hasta ocho bahías (ST4000VNZ06) | Ver precio en Amazon |
