El derecho a la portabilidad permite recibir determinados datos personales en un formato reutilizable y transmitirlos a otro responsable sin obstáculos indebidos. También permite solicitar la transmisión directa cuando sea técnicamente posible. No comprende automáticamente todo lo que una organización sabe sobre una persona: exige comprobar la base jurídica, el carácter automatizado del tratamiento y el origen de los datos que se solicitan.
Para responder correctamente hay que separar tres decisiones: qué información entra en el artículo 20 del RGPD, cómo entregarla de forma útil y cómo proteger a las personas afectadas durante la operación. Esta guía explica ese recorrido, con ejemplos de conjuntos mixtos, exportaciones y cambios de proveedor. La portabilidad no sustituye al acceso ni implica por sí misma borrar los datos o cancelar un contrato.
Qué es el derecho a la portabilidad de datos
El artículo 20 del RGPD concede el derecho a recibir datos que conciernen a la persona y que esta ha facilitado al responsable, en un formato estructurado, de uso común y lectura mecánica. Su finalidad práctica es permitir que la persona los reutilice y los lleve a otro servicio, sin que el primer responsable lo impida.
Se requieren conjuntamente dos condiciones: tratamiento basado en el consentimiento de los artículos 6.1.a o 9.2.a, o en el contrato previsto en el artículo 6.1.b, y tratamiento por medios automatizados. La existencia de una relación comercial no basta para clasificar todos sus tratamientos como contractuales. Debe tratarse de operaciones necesarias para el contrato con la persona o de medidas precontractuales solicitadas por ella.
Por ejemplo, una empresa puede utilizar cierta información para prestar el servicio contratado y conservar otra por obligación legal. La petición debe analizarse por operaciones y datos, en lugar de aceptar o rechazar de golpe todo el expediente. La elección de la base de legitimación permite distinguir estas situaciones; no debe cambiarse retrospectivamente solo para evitar atender un derecho.
La AEPD explica la portabilidad dentro de los derechos de las personas. El consentimiento es una de las posibles bases, no la única. Cuando sea el fundamento utilizado, deben cumplirse sus requisitos; los ejemplos de consentimiento RGPD ayudan a distinguir una autorización válida de una aceptación genérica de condiciones.
Qué datos entran y cuáles no
Los datos facilitados incluyen la información aportada activamente, como un formulario cumplimentado, y pueden incluir datos observados a partir del uso del servicio. Los registros de actividad y las transacciones pueden pertenecer a esta segunda categoría. Deben seguir cumpliéndose las condiciones del artículo 20: que un dato exista en formato electrónico no lo convierte por ese solo motivo en portable.
Las directrices WP242 rev.01 sobre portabilidad distinguen los datos facilitados de los inferidos o derivados creados por el responsable. Una puntuación elaborada a partir de un modelo no tiene el mismo origen que los movimientos utilizados para calcularla. La exclusión de esa puntuación de la portabilidad no decide por sí sola si debe facilitarse información sobre ella al ejercer otros derechos.
Prepare un inventario específico para la petición. Identifique los campos, el sistema de procedencia, el período solicitado y la razón de inclusión o exclusión. No hace falta entregar al interesado toda la documentación técnica interna, pero el equipo que prepara el fichero necesita criterios claros. Una decisión vaga como «datos del cliente» puede producir tanto omisiones como entregas excesivas.
Piense en una aplicación deportiva hipotética: el usuario introduce su peso y genera registros de entrenamiento, mientras el proveedor calcula una predicción de rendimiento. El análisis debe diferenciar esos componentes y comprobar la base jurídica de cada operación, incluidas las condiciones aplicables si hay datos de salud. No conviene exportar o excluir el perfil entero por el nombre de una única tabla.
Portabilidad frente a derecho de acceso
El derecho de acceso permite conocer si se tratan datos personales, obtener acceso a ellos y recibir la información del artículo 15. No está limitado a las bases de consentimiento o contrato. La portabilidad tiene condiciones más estrechas y una exigencia específica de reutilización técnica. Una organización puede tener que atender el acceso a datos que no sean portables.
La diferencia no se reduce a afirmar que el acceso siempre se entrega en PDF y la portabilidad en CSV. En una solicitud electrónica, el artículo 15.3 prevé un formato electrónico de uso común salvo que se pida otra cosa; además, la copia debe ser adecuada para el ejercicio efectivo del derecho. Un mismo fichero puede servir como parte de ambos procesos, pero las obligaciones no son idénticas.
Si el mensaje mezcla acceso y portabilidad, identifique ambas peticiones y responda de forma coordinada. No utilice la inaplicabilidad del artículo 20 para rechazar automáticamente el acceso. Tampoco presente un documento narrativo como si fuera una exportación reutilizable cuando los requisitos de portabilidad sí se cumplen. Explique las diferencias que afecten al resultado sin exigir a la persona conocimientos jurídicos especializados.
Portar tampoco equivale a suprimir. La persona puede recibir sus datos y seguir utilizando el servicio. Si solicita además la supresión de información, ese derecho requiere un análisis separado de sus fundamentos y excepciones. La exportación no autoriza al responsable a borrar registros que deba conservar ni a cancelar unilateralmente una relación contractual todavía vigente.
Datos de terceros y conjuntos mixtos
El artículo 20.4 exige respetar los derechos y libertades de otras personas. No establece una exclusión absoluta de cualquier registro que mencione a un tercero. Un historial de pagos o de comunicaciones puede referirse simultáneamente al solicitante y a otras personas. El análisis debe valorar las consecuencias de la entrega y las garantías posibles, evitando tanto la denegación indiscriminada como la divulgación sin control.
Primero determine qué parte del conjunto concierne al solicitante y por qué es necesaria para que su información resulte útil. Después examine los datos ajenos incorporados y los riesgos de su reutilización. Puede ser pertinente limitar campos o facilitar una selección, pero una eliminación sistemática de toda referencia compartida podría vaciar el derecho. La solución debe ser explicable para ese conjunto y ese uso.
El receptor no obtiene una autorización general para explotar datos de terceros en sus propios fines. Por ejemplo, una agenda trasladada por un usuario no legitima automáticamente que el nuevo servicio envíe publicidad a todos sus contactos. La legitimación, la finalidad y la minimización siguen siendo exigibles. Esa responsabilidad es distinta de la decisión del emisor sobre cómo atender la solicitud.
Cuando existan dudas, pida la intervención de quienes puedan valorar tanto el riesgo jurídico como el contenido técnico. Un filtro automático por nombres ajenos puede borrar información esencial o dejar datos sensibles ocultos en texto libre. Registre la regla aplicada y revise una muestra adecuada al caso. El objetivo es una entrega útil con garantías, no un fichero aparentemente limpio pero jurídicamente mal delimitado.
Cómo responder a una solicitud de portabilidad
Registre el contenido y la fecha de recepción, identifique al responsable al que se dirige y asigne una persona encargada de coordinarla. El flujo general de derechos ARCO+ debe abarcar solicitudes recibidas por distintos canales. Un traslado interno no cambia el comienzo del plazo, y el uso de un portal no debería convertirse en una barrera injustificada.
Verifique la identidad de forma proporcionada. Si hay dudas razonables, el artículo 12.6 permite pedir la información adicional necesaria; no impone recabar el DNI completo en todos los casos. La transmisión de un historial extenso puede causar un daño relevante si llega a otra persona, pero ese riesgo debe resolverse con comprobaciones adecuadas, no acumulando documentos por rutina.
Determine qué sistemas pueden contener datos dentro del alcance. El registro de actividades de tratamiento ayuda a localizar procesos y responsables internos, aunque no es una relación exhaustiva de cada dato individual. Puede hacer falta consultar los sistemas de negocio, los proveedores y los repositorios de archivo. Documente las búsquedas pendientes antes de afirmar que la exportación está completa.
El plazo general para informar de las actuaciones es un mes desde la recepción, sin dilación indebida. Puede ampliarse otros dos meses cuando sea necesario según la complejidad y el número de solicitudes, comunicando la ampliación y sus motivos dentro del primer mes. No es un plazo automático de tres meses ni una razón para demorar una exportación sencilla que ya está preparada.
Si se rechaza la solicitud total o parcialmente, deben comunicarse las razones sin dilación y, a más tardar, dentro de un mes, junto con la posibilidad de reclamar ante una autoridad de control y acudir a la vía judicial. La respuesta debe distinguir la falta de condiciones del artículo 20 de una imposibilidad técnica de transmisión directa. Son cuestiones distintas y pueden producir resultados distintos.
Elegir un formato que permita reutilizar la información
CSV, JSON o XML pueden ser formatos adecuados según el conjunto, pero el nombre de la extensión no garantiza el cumplimiento. Un archivo estructurado necesita conservar el significado de los campos, las relaciones y los valores. Si las fechas cambian de interpretación o los importes pierden su moneda, el resultado puede ser difícil de reutilizar aunque el sistema lo abra sin errores.
Acompañe el fichero de explicaciones suficientes sobre los campos y los códigos relevantes. En un historial, puede ser importante distinguir la fecha del hecho de la fecha de registro y explicar el huso horario. Esas aclaraciones no requieren entregar secretos técnicos ajenos al derecho. Ayudan a que la persona o el nuevo servicio interpreten correctamente los datos facilitados.
Compruebe también los caracteres, los separadores y los valores ausentes. Una exportación que sustituye todos los campos vacíos por cero puede crear información falsa. Si se han omitido categorías por quedar fuera del derecho, explíquelo en la respuesta. No introduzca valores inventados para que el fichero cumpla una estructura aparentemente completa.
Un ensayo de lectura puede revelar problemas antes del envío. Abra la exportación con una herramienta adecuada al formato y compare varios registros con la fuente, sin crear más copias reales de las necesarias. Compruebe los límites de cantidad y período: algunos sistemas solo exportan lo visible en pantalla. Un resultado parcial no debe presentarse como la totalidad solicitada.
Transmisión directa: posibilidad técnica y seguridad
Si la persona solicita la transmisión directa a otro responsable, debe facilitarse cuando sea técnicamente posible. El RGPD no obliga a todos los responsables a adoptar sistemas totalmente compatibles entre sí. Sin embargo, la falta de una integración comercial concreta no permite concluir sin más que ninguna transmisión es posible. Examine los medios disponibles y explique una imposibilidad real.
Confirme quién es el destinatario, cuál es el canal y qué conjunto se enviará. Evite que una dirección mal escrita o un enlace remitido por un tercero cambien el destino sin verificación. La intensidad de la comprobación depende del contenido y del riesgo. No es necesario imponer siempre la misma tecnología, pero sí adoptar medidas apropiadas de confidencialidad e integridad.
Cuando la transmisión directa no sea viable, sigue siendo necesario valorar la entrega a la propia persona en un formato adecuado si el derecho resulta aplicable. No confunda las dos facultades. El expediente debe mostrar qué se intentó o valoró y qué alternativa se ofreció. Así se evita que un problema entre sistemas se convierta en un rechazo completo e injustificado.
Si el envío desde el responsable se dirige a un destinatario en un tercer país, analice las reglas aplicables a las transferencias internacionales. La petición de portabilidad no elimina automáticamente ese análisis ni convierte cualquier destino en adecuado. Deben distinguirse las actuaciones del responsable de una posterior decisión personal del interesado sobre el fichero que ya ha recibido.
El cambio de servicio no elimina otras reglas sectoriales
La portabilidad de un número telefónico y la portabilidad de datos del artículo 20 tienen objetos y condiciones diferentes. Mantener el número al cambiar de operador no equivale a recibir cualquier registro personal de la compañía. Del mismo modo, determinadas vías de acceso a información financiera tienen su regulación sectorial. Conviene identificar qué mecanismo está pidiendo realmente la persona.
No debe inferirse de la existencia de una interfaz bancaria o de telecomunicaciones que todo tratamiento del sector se basa en contrato o consentimiento. Puede haber obligaciones legales, funciones específicas y datos con distintos orígenes. Resuelva el alcance por operación. La documentación comercial del proveedor o la denominación del servicio no sustituye esa comprobación jurídica.
La aplicación de la normativa en telecomunicaciones aporta contexto, pero una sanción sectorial no demuestra por sí sola una infracción de portabilidad. Para utilizar una resolución como referencia hay que comprobar los hechos, los artículos aplicados y su situación procesal. No es necesario atribuir frecuencias o importes no verificados para explicar cómo atender correctamente una solicitud.
Responsabilidades del receptor y evidencia del cierre
El nuevo responsable debe valorar qué datos necesita y con qué fundamento puede tratarlos. Recibir un fichero a petición del usuario no justifica incorporar automáticamente todas sus columnas a nuevas finalidades. Antes de importarlo, determine qué campos son pertinentes, qué información debe facilitarse y qué medidas protegen a las personas incluidas. La portabilidad facilita el control del interesado; no suspende los demás principios.
En el lado emisor, conserve evidencia proporcionada del conjunto entregado, el formato, el canal y el momento de transmisión. Puede bastar una descripción, identificadores de versión y confirmaciones, según el caso; guardar indefinidamente una nueva copia completa no siempre es necesario. La limitación de la conservación también se aplica a los expedientes de ejercicio de derechos.
Si el enlace expira o el destinatario comunica un fallo, determine cómo gestionar la incidencia y facilitar de nuevo la información cuando corresponda. Marcar el expediente como cerrado antes de comprobar una entrega razonablemente acreditada puede ocultar un problema. La respuesta final debe permitir entender lo realizado y cualquier parte que haya quedado excluida con su justificación.
FAQ
¿Puedo pedir todos mis datos mediante portabilidad?
No necesariamente. El artículo 20 se refiere a datos que te conciernen y has facilitado, dentro de tratamientos automatizados basados en el consentimiento o el contrato en los términos del RGPD. Los datos observados pueden estar incluidos; los inferidos o derivados quedan fuera de este derecho. El acceso tiene una finalidad y un alcance diferentes y puede seguir siendo aplicable.
¿Los datos de otras personas se excluyen siempre?
No. En registros mixtos hay que evaluar los derechos y libertades de esas personas y aplicar garantías adecuadas. No debe denegarse todo automáticamente ni entregar información ajena sin analizarla. La decisión depende del contenido, la finalidad de la transmisión y las consecuencias previsibles, y el receptor mantiene sus propias obligaciones.
¿Recibir el fichero cancela el servicio o borra mis datos?
No por sí solo. La portabilidad es independiente de la cancelación contractual y de la supresión. Si también se ejercita este último derecho, deben examinarse sus requisitos y excepciones. La organización debe explicar cada decisión y no aprovechar la exportación para cerrar unilateralmente una cuenta o eliminar información que todavía deba conservar legalmente.