El derecho de acceso del artículo 15 del RGPD permite saber si una organización trata datos personales del solicitante y, cuando los trata, obtener acceso, una copia y la información necesaria para entender ese tratamiento. Para el responsable, cumplir exige reconstruir una situación individual: qué datos conserva, para qué los utiliza, de dónde proceden y a quién los comunica. Remitir una política de privacidad genérica no sustituye esa respuesta.
La obligación se cumple sin dilación indebida y, como máximo ordinario, dentro de un mes desde la recepción. Existen reglas para ampliar el plazo y límites que deben justificarse, pero no un derecho de la organización a posponer la búsqueda hasta que llegue una reclamación. Esta guía desarrolla el procedimiento español, junto con el artículo 13 de la LOPDGDD, y distingue el acceso de los demás derechos ARCO+.
Qué es el derecho de acceso RGPD y qué obliga a entregar
Hay tres componentes relacionados: confirmar el tratamiento, facilitar los datos y explicar sus circunstancias. Si no se tratan datos de esa persona, también hay que comunicarlo. Antes de afirmar que no existen, conviene comprobar los identificadores utilizados: un antiguo correo electrónico, un número de cliente o una referencia de expediente pueden localizar registros que el nombre actual no encuentra.
La copia incluye datos aportados por el interesado y otros que le conciernen, como observaciones, valoraciones o resultados de perfiles, cuando sean datos personales. No se limita a los campos visibles en la cuenta del usuario. Puede abarcar grabaciones, correspondencia, registros de operaciones y datos archivados que continúen siendo objeto de tratamiento. El alcance depende de la información existente y de su relación con la persona, no del nombre comercial del sistema que la contiene.
El acceso no obliga a crear datos inexistentes ni a reconstruir información que ya se eliminó lícitamente antes de recibir la solicitud. Sin embargo, una eliminación posterior no debe frustrar el derecho sobre datos que estaban disponibles al recibirla. Por eso, el responsable necesita coordinar la búsqueda con las reglas de borrado: identificar el conjunto pertinente, evitar su desaparición durante la tramitación y limitar esa conservación adicional al tiempo necesario.
Recibir la solicitud y delimitar su alcance
No hace falta citar el artículo 15 ni utilizar una fórmula jurídica. Una petición como «quiero saber qué datos conserváis sobre mí» puede activar el derecho. Un formulario facilita el trabajo, pero no debe convertirse en una condición exclusiva cuando la solicitud llega por otro canal adecuado. La recepción por atención al cliente exige trasladarla internamente sin reiniciar el cómputo cuando por fin llegue al equipo de privacidad.
Conviene registrar la fecha, el canal, la identidad disponible y el contenido original. Si una persona pide documentos contractuales, acceso a sus datos y cancelación de publicidad en el mismo mensaje, hay que separar las pretensiones. Resolver la petición de documentos no demuestra por sí solo haber atendido el acceso, y remitir una copia de datos no ejecuta automáticamente la oposición comercial. El derecho de oposición tiene su propia decisión y debe aplicarse donde corresponda.
Cuando existe una gran cantidad de información y la petición no concreta si afecta a todos los datos o a una parte, el artículo 13.1 LOPDGDD permite solicitar una especificación. Esto sirve para ayudar a identificar lo buscado, no para obligar a renunciar al acceso completo. Puede ofrecerse una explicación de las actividades existentes y pedir si interesa un período o servicio concreto. La amplitud de la petición, por sí sola, no prueba que sea excesiva.
Plazo y forma de respuesta
El artículo 12.3 exige actuar sin dilación indebida y, a más tardar, en un mes desde la recepción. Un mes no equivale siempre a treinta días. El responsable debe calcular la fecha aplicable y prever tiempo para localizar los datos, examinar límites y preparar la entrega; no reservar todo el trabajo para el último día. Acusar recibo resulta útil, pero no satisface la petición de acceso.
La complejidad y el número de solicitudes pueden justificar hasta dos meses adicionales. La prórroga requiere comunicar sus motivos dentro del primer mes; no basta una respuesta automática que invoque una carga de trabajo genérica. Un supuesto complejo podría exigir recuperar información distribuida entre varios servicios y revisar documentos con datos de terceros. Es necesario explicar la dificultad real y continuar trabajando, porque la ampliación no suprime la exigencia de diligencia.
Si el responsable no actúa, debe informar sin dilación y, como máximo, dentro de un mes desde la recepción de los motivos y de la posibilidad de reclamar ante una autoridad de control y acudir a los tribunales, conforme al artículo 12.4. No debe utilizar una prórroga como forma de retrasar un rechazo ya decidido. Si solo puede atender parte del acceso, entrega lo procedente y explica la limitación restante con la precisión que permita la norma aplicable.
Verificación de identidad y solicitudes de terceros
El artículo 12.6 permite pedir información adicional necesaria cuando existan dudas razonables sobre la identidad. La comprobación debe guardar relación con esas dudas. Una solicitud enviada desde una sesión autenticada no plantea siempre el mismo riesgo que un correo desconocido que pide un historial financiero completo. Repetir una comprobación ya suficiente puede añadir obstáculos y nuevos datos que después habrá que proteger.
Pedir sistemáticamente una copia íntegra del DNI no es una solución universal. Primero se examinan los medios disponibles: autenticación de la cuenta, confirmación mediante un canal previamente validado u otros elementos proporcionados. Si se necesita documentación, se explica para qué y se evita recoger información ajena a esa finalidad. Las copias de identidad recibidas para verificar una solicitud no deberían acabar en una carpeta accesible a todos los empleados.
Cuando actúa un representante, hay que comprobar tanto su identidad como su habilitación para ese acceso concreto. Ser familiar, compañero de trabajo o abogado no acredita automáticamente un mandato. La prueba requerida debe ser suficiente y proporcionada, sin imponer formalidades innecesarias. La respuesta se dirige al destinatario autorizado y por un canal seguro; verificar correctamente al solicitante no compensa enviar después el expediente a una dirección equivocada.
Buscar datos sin limitarse a la ficha del cliente
El registro de actividades de tratamiento ayuda a identificar finalidades, sistemas y responsables internos, pero no suele ser un índice individual de cada documento. El procedimiento necesita conectarlo con ubicaciones concretas: CRM, facturación, soporte, archivo documental, aplicaciones de personal y servicios externos. Cada equipo debe conocer qué buscar y cómo devolver resultados, evitando respuestas vagas como «no tenemos nada más» sin una comprobación identificable.
Pensemos en una persona que fue candidata y después cliente. Buscar solo su número de comprador omitiría la candidatura, los mensajes de selección o una evaluación conservada. La consulta debe utilizar los identificadores pertinentes y los sistemas donde razonablemente puedan encontrarse datos. No se trata de recopilar información sobre personas de nombre parecido, sino de definir criterios que reduzcan tanto omisiones como divulgaciones erróneas.
Los encargados deben prestar la asistencia prevista en el artículo 28 para atender derechos. Por ello, el responsable debe saber cómo solicitar una extracción al proveedor y qué limitaciones técnicas existen antes de necesitarla. Una exportación automática puede servir como punto de partida, pero necesita revisión: puede omitir comentarios internos, adjuntos o datos de sistemas retirados que todavía se conservan. La responsabilidad de dar una respuesta suficiente no desaparece por externalizar la búsqueda.
Qué información acompaña a la copia de datos
El artículo 15.1 exige explicar las finalidades, categorías de datos, destinatarios o categorías de destinatarios, plazo previsto de conservación o criterios utilizados, y los derechos de rectificación, supresión, limitación y oposición. También comprende la posibilidad de reclamar, la información disponible sobre el origen cuando los datos no proceden del interesado y la existencia de las decisiones automatizadas contempladas por la norma, con información significativa sobre su lógica, importancia y consecuencias previstas.
Cuando hay transferencias a terceros países u organizaciones internacionales, el artículo 15.2 permite conocer las garantías adecuadas relativas a ellas. No debe confundirse esa explicación con enumerar proveedores sin indicar qué papel desempeñan. La respuesta ha de corresponder al tratamiento del solicitante; una lista general de cualquier empresa con la que la organización podría trabajar no siempre permite comprender quién recibió sus datos.
La sentencia del TJUE de 12 de enero de 2023, C-154/21, Österreichische Post, establece el derecho a conocer la identidad concreta de los destinatarios a los que se comunicaron o comunicarán los datos, salvo imposibilidad de identificarlos o solicitud manifiestamente infundada o excesiva. La alternativa de indicar categorías no constituye una elección libre para ocultar destinatarios identificables. Conviene distinguir las comunicaciones realizadas de escenarios meramente posibles.
Documentos completos, extractos y derechos de terceros
La copia debe ser fiel e inteligible. No existe un derecho incondicional a recibir cualquier documento íntegro por el hecho de contener un dato propio, pero tampoco una exclusión general de documentos completos. En C-487/21, CRIF, el TJUE explicó que pueden ser necesarios extractos de documentos, documentos enteros o extractos de bases de datos cuando resulten indispensables para comprender los datos y ejercer efectivamente los derechos.
Un listado de códigos incomprensibles puede ser insuficiente aunque reproduzca técnicamente los valores almacenados. Si una anotación clasifica a la persona como «R3», debe explicarse su significado en el contexto del tratamiento. Cuando una frase aislada pierde sentido, añadir el contexto pertinente puede resultar necesario. Esto no implica entregar indiscriminadamente todos los archivos internos ni revelar información sin relación con el interesado.
Los derechos y libertades de otras personas requieren una valoración concreta conforme al artículo 15.4. Pueden justificar ocultaciones selectivas, separación de anexos o una explicación que proteja información ajena, sin privar al solicitante de sus propios datos. Antes de denegar un correo completo porque aparecen terceros, se examina si es posible facilitar lo pertinente suprimiendo datos que no deban revelarse. La existencia de un secreto comercial tampoco autoriza por sí sola una negativa total.
Gratuidad, solicitudes repetidas y acceso remoto
La primera copia es gratuita. Por copias adicionales solicitadas por el interesado, el artículo 15.3 permite un canon razonable basado en los costes administrativos. Es un supuesto distinto de las solicitudes manifiestamente infundadas o excesivas del artículo 12.5, que pueden permitir un canon razonable o la negativa, siempre que el responsable demuestre esa condición. La mera incomodidad o el coste ordinario de buscar datos no convierten el acceso en un servicio facturable.
En España, el artículo 13.3 LOPDGDD permite considerar repetitivo el ejercicio más de una vez durante seis meses, salvo causa legítima. No establece una prohibición automática de volver a pedir datos. Una nueva comunicación, un cambio de tratamiento o indicios de que la respuesta anterior era incompleta pueden ser relevantes. El responsable debe examinar lo pedido y justificar el carácter excesivo conforme al RGPD, no limitarse a contar mensajes.
El artículo 13.2 LOPDGDD contempla un sistema remoto, directo y seguro que garantice permanentemente el acceso a la totalidad de los datos. Un portal que solo muestra compras recientes no satisface esa condición si existen otros datos fuera de él. Además, el interesado puede pedir la información del artículo 15.1 que no figure en el sistema. Cuando elige un medio diferente que genera un coste desproporcionado, el artículo 13.4 regula el exceso de costes; tampoco permite cobrar una tarifa general por ejercer el derecho.
Entrega segura y cierre documentado
La información debe presentarse de forma comprensible y accesible. Si la solicitud es electrónica, la copia se facilita en formato electrónico de uso común, salvo petición distinta. Un PDF puede ser adecuado para ciertos contenidos y una hoja estructurada para otros; el formato no debe impedir entender las relaciones entre registros. Conviene acompañar abreviaturas y campos técnicos de explicaciones y comprobar que los adjuntos se abren correctamente.
La seguridad de la entrega debe ser proporcional a los datos. Un enlace protegido, con autenticación y un período de disponibilidad suficiente, puede resultar más apropiado que un adjunto de gran sensibilidad enviado sin protección. El responsable debe prever cómo ayudar a una persona que no logra descargarlo. La imposibilidad de abrir un archivo no se resuelve afirmando que el sistema ya registró un envío.
Al cerrar, se conserva prueba proporcionada de la solicitud, las búsquedas, el contenido entregado, las limitaciones y las comunicaciones. No es necesario guardar indefinidamente una segunda copia completa de toda la información sensible para demostrar cumplimiento. El expediente de gestión debe tener sus propios criterios de conservación. Esta revisión puede revelar datos inexactos o conservación excesiva, que requieren decisiones separadas de rectificación o supresión.
Errores que pueden motivar una reclamación
Los problemas relevantes incluyen no contestar, omitir sistemas, rechazar sin fundamento, exigir identificación excesiva o entregar datos a una persona equivocada. No todo defecto da lugar a la misma medida ni a una multa automática. La actuación de la AEPD depende de los hechos, sus competencias y el procedimiento; las sanciones RGPD requieren valorar las circunstancias aplicables.
Una revisión útil consiste en reconstruir una solicitud hipotética desde la recepción hasta la descarga. Si nadie puede explicar dónde se registra la fecha inicial, quién pide datos al proveedor o cómo se redacta una negativa parcial, el problema es operativo. El checklist RGPD en España ayuda a conectar este procedimiento con las demás obligaciones, sin sustituir el análisis particular de cada solicitud.
Preguntas frecuentes
¿Debo explicar para qué quiero acceder a mis datos?
No es necesario justificar un motivo para ejercer el acceso. La organización puede pedir información proporcionada para identificar al solicitante o localizar el tratamiento, pero no condicionar la respuesta a que considere convincente su finalidad.
¿Puede la empresa responder solo con su política de privacidad?
No, si trata datos de la persona. La política puede apoyar la explicación general, pero la respuesta debe incluir los datos y la información que corresponde al tratamiento individual. Tampoco basta una confirmación de que la solicitud se recibió.
¿Una reclamación permite dejar de responder?
No. La presentación de una reclamación no elimina las obligaciones del responsable. Debe seguir evaluando y atendiendo la solicitud y explicar las actuaciones realizadas, sin utilizar el procedimiento ante la autoridad como razón automática para suspenderlas.
Fuentes normativas e interpretativas: RGPD, artículos 12 y 15, LOPDGDD, artículo 13, guía de acceso de la AEPD y Directrices 01/2022 del CEPD, versión final 2.1.