El derecho de rectificación permite corregir datos personales inexactos y completar los incompletos, teniendo en cuenta la finalidad del tratamiento. Para una organización, cumplirlo implica comprobar el error, corregir su origen, trasladar el cambio a los sistemas afectados y comunicarlo a los destinatarios cuando corresponda. Cambiar una dirección en una pantalla no basta si la facturación o un proveedor siguen utilizando la versión equivocada.
El artículo 16 del RGPD exige actuar sin dilación indebida. Las reglas del artículo 12 regulan la respuesta, su plazo y las posibles excepciones. En España también deben considerarse el artículo 14 de la LOPDGDD, sobre el contenido de la solicitud, y su artículo 32, sobre el bloqueo de datos rectificados. Esta guía explica cómo tomar y acreditar esas decisiones sin convertir cada petición en una recopilación excesiva de documentos.
Qué es el derecho de rectificación
El artículo 16 del RGPD protege frente a información inexacta relativa a una persona. También permite completar información incompleta, incluso mediante una declaración adicional. La valoración se hace en relación con los fines del tratamiento: un registro puede describir correctamente una situación pasada y, al mismo tiempo, resultar inadecuado si se utiliza como si describiera la situación actual.
Una dirección antigua ilustra esta diferencia. Puede ser correcta en una factura histórica y errónea como dirección para futuras comunicaciones. Rectificar no siempre consiste en sustituir todas las apariciones del dato por una única versión nueva. Hay que distinguir el documento histórico, el dato operativo y el contexto que necesita conservarse para que cada registro siga siendo exacto.
La rectificación se relaciona con el deber de exactitud del artículo 5.1.d. El responsable debe adoptar medidas razonables para corregir o suprimir datos inexactos respecto de sus fines, aunque nadie haya ejercido formalmente el derecho. Una solicitud puede revelar un fallo compartido por muchos expedientes; en ese caso conviene examinar el origen del problema y no limitarse a corregir la fila del reclamante.
Datos inexactos frente a datos incompletos
Un importe asociado a otra persona, un apellido mal transcrito o una condición de impago que ya no corresponde son posibles problemas de exactitud. La primera tarea consiste en identificar qué afirmación contiene el registro y por qué se considera incorrecta. El responsable debe contrastar la información disponible, explicar las discrepancias y decidir qué modificación está justificada.
Completar un registro tampoco obliga a incorporar cualquier documento que la persona quiera añadir. El complemento debe ser pertinente para la finalidad y necesario para evitar una representación incompleta. Por ejemplo, una anotación de incidencia puede necesitar reflejar que posteriormente se resolvió. No hace falta incorporar a ese expediente toda una conversación familiar que no guarde relación con el hecho registrado.
Las opiniones y valoraciones requieren atención especial. Una discrepancia con una conclusión profesional no demuestra por sí sola que el registro sea inexacto, pero tampoco permite descartar el derecho automáticamente. Puede haber errores en los hechos de partida, en la atribución de la opinión o en la fecha. Documentar una explicación adicional puede ser adecuado cuando ayuda a representar fielmente la información relevante.
Qué debe contener la solicitud en España
El artículo 14 de la LOPDGDD establece que la persona debe identificar los datos y la corrección solicitada, aportando documentación justificativa cuando sea preciso. La explicación de la AEPD sobre rectificación recoge este enfoque. No es necesario exigir una denominación jurídica exacta para reconocer una petición suficientemente clara.
Si el mensaje dice solamente que todos los datos son incorrectos, puede ser necesario pedir una aclaración útil. Explique qué información falta para localizar el registro o entender la corrección. Evite cuestionarios genéricos que no aportan nada al caso. La colaboración del interesado facilita la comprobación, pero el responsable no debe trasladarle la carga de reconstruir sistemas internos que solo la organización conoce.
La documentación debe ser proporcionada. Para corregir un error evidente de transcripción puede bastar información ya disponible en una relación autenticada. Para una discrepancia relevante puede ser razonable solicitar un justificante concreto. El hecho de que la ley mencione documentación cuando sea precisa no autoriza a pedir una copia completa del DNI, una escritura o un expediente médico en cualquier solicitud.
Los modelos pueden ayudar a ordenar la petición o la contestación. Los modelos de respuesta a derechos deben adaptarse al dato, a la decisión y a los pasos realmente ejecutados. Un texto que afirma haber corregido todos los sistemas sería engañoso si todavía falta la confirmación del proveedor que gestiona uno de ellos.
Recepción e identificación sin obstáculos innecesarios
Registre la fecha de recepción, el contenido original y el canal. Si el cliente escribió primero a atención al público, el traslado posterior al departamento jurídico no reinicia el plazo. El procedimiento general de derechos ARCO+ debe permitir reconocer estas peticiones fuera de un formulario específico y asignarlas a una persona que pueda coordinar la respuesta.
Cuando existan dudas razonables sobre la identidad, el artículo 12.6 permite solicitar información adicional necesaria para confirmarla. La comprobación debe ajustarse al riesgo de modificar datos de otra persona y a los medios ya disponibles. No es equivalente corregir un teléfono desde una cuenta autenticada que cambiar datos sensibles a petición de un remitente desconocido.
Si actúa un representante, compruebe la representación y su alcance. Una vez comprobada, los empleados que ejecutan la modificación no necesitan necesariamente ver toda la documentación de identidad o poder. Aplique la minimización de datos también al expediente del derecho: conserve las evidencias necesarias y limite quién puede consultarlas.
Plazo y comunicación a destinatarios
El responsable debe informar sobre sus actuaciones sin dilación indebida y, a más tardar, dentro de un mes desde la recepción. No se trata de un plazo uniforme de treinta días ni de una autorización para esperar hasta el último día ante un error que puede corregirse antes. El deber de rectificar sin dilación y el plazo de respuesta deben leerse conjuntamente.
El plazo puede ampliarse otros dos meses cuando sea necesario, considerando la complejidad y el número de solicitudes. La ampliación y sus motivos deben comunicarse dentro del primer mes. La falta de organización o un traslado entre departamentos no convierte automáticamente la petición en compleja. Deje constancia del motivo concreto y de los trabajos que siguen pendientes.
Si no se atiende la solicitud, el artículo 12.4 exige informar sin dilación y, como máximo, en un mes, de las razones y de la posibilidad de reclamar ante una autoridad de control y acudir a la vía judicial. Esto también importa en una denegación parcial. Explique qué dato se ha corregido y qué parte se mantiene, con un fundamento comprensible para la persona.
El ejercicio es gratuito como regla general. Las solicitudes manifiestamente infundadas o excesivas permiten las medidas limitadas del artículo 12.5, cuya justificación corresponde al responsable. No puede cobrarse una tarifa ordinaria por corregir un error porque el cambio requiera intervención de un proveedor. La excepción no debe convertirse en una política general de atención al cliente.
Cómo tramitar una rectificación
Localice el dato de origen y sus usos. Una copia en la aplicación comercial, otra en el sistema de cobros y otra en un fichero de intercambio pueden depender de fuentes diferentes. Identifique qué equipo controla cada versión y qué sincronización podría volver a introducir el error. La decisión de rectificar debe incluir una instrucción suficientemente precisa para quienes ejecutarán el cambio.
Contraste el dato con fuentes adecuadas a la finalidad. No basta afirmar que es correcto porque coincide con el sistema informático: ese sistema puede ser precisamente el origen del fallo. Examine la documentación relevante, las fechas y la relación con la persona. Cuando dos fuentes fiables discrepen, documente cómo se ha resuelto la discrepancia o qué aclaración adicional resulta necesaria.
Si la persona impugna la exactitud, puede solicitar la limitación del tratamiento durante el período que permita al responsable verificarla, conforme al artículo 18.1.a. Esa situación exige controlar los usos permitidos y reflejar la limitación claramente. No debe confundirse con el bloqueo español de datos ya rectificados, que responde a otra función jurídica.
Después de ejecutar la modificación, compruebe su resultado. Una prueba práctica consiste en revisar el siguiente documento generado o una consulta del sistema afectado. También conviene comprobar la importación nocturna o el intercambio con el proveedor. El objetivo es que la corrección permanezca y se use correctamente, no solo que la tarea aparezca marcada como finalizada.
Qué hacer con la versión anterior y las copias
El artículo 32 de la LOPDGDD obliga a bloquear los datos cuando se procede a su rectificación o supresión, con las previsiones y posibles excepciones que contempla la propia norma. El bloqueo supone identificarlos y reservarlos, impidiendo su tratamiento, incluida su visualización ordinaria. Su disponibilidad queda limitada a las autoridades indicadas para exigir posibles responsabilidades derivadas del tratamiento durante sus plazos de prescripción.
Transcurridos esos plazos, procede destruirlos. No significa conservar indefinidamente cualquier dato erróneo dentro de la ficha activa del cliente. Defina qué versión se bloquea, quién puede gestionar su disponibilidad excepcional y qué plazo corresponde al caso. El acceso corriente de empleados a un histórico equivocado no queda justificado por llamarlo archivo o copia de seguridad.
En sistemas donde el bloqueo no sea posible o requiera una adaptación desproporcionada, el artículo 32.4 prevé una copia segura con evidencia de autenticidad, fecha y ausencia de manipulación. Esa solución tiene condiciones; no equivale a dejar el dato accesible porque modificar el programa sea incómodo. La política de conservación debe distinguir información activa, bloqueada y destinada a destrucción.
Las copias de seguridad necesitan una gestión coherente con la rectificación. Si una restauración recupera una versión anterior, el procedimiento debe evitar que vuelva a utilizarse como vigente. Identifique cómo se reaplican las correcciones y quién comprueba el resultado. No invente un plazo técnico de borrado inmediato de todas las copias: documente las medidas reales y su adecuación a las obligaciones aplicables.
A quién debe comunicarse el cambio
El artículo 19 exige comunicar la rectificación a los destinatarios a quienes se hayan comunicado los datos, salvo que resulte imposible o exija un esfuerzo desproporcionado. Además, si la persona lo solicita, debe informársele sobre esos destinatarios. La excepción requiere valorar el caso; una lista incompleta de destinatarios por mala organización no constituye por sí sola una justificación suficiente.
Prepare una comunicación que identifique el dato afectado y el cambio necesario sin revelar información ajena a la finalidad. Un identificador de expediente puede ser más adecuado que reenviar toda la documentación aportada por la persona. Conserve evidencia del envío y gestione los errores de entrega relevantes. Así podrá explicar qué se comunicó, a quién y con qué resultado conocido.
El registro de actividades de tratamiento puede ayudar a encontrar categorías de destinatarios y sistemas, pero no sustituye necesariamente el registro de comunicaciones concretas. Para resolver una petición individual puede hacer falta consultar trazas o expedientes. No debe presentarse el registro general como una lista automática y completa de todas las personas que recibieron un dato.
La casuística española: ficheros de morosidad
En los sistemas comunes de información crediticia, el artículo 20 de la LOPDGDD establece condiciones específicas. Entre ellas figuran deudas ciertas, vencidas y exigibles, cuya existencia o cuantía no haya sido objeto de las reclamaciones o procedimientos vinculantes indicados en la norma. También regula la información del acreedor, la notificación de la inclusión y las condiciones de consulta y mantenimiento. No basta una etiqueta interna de impago.
El acreedor y la entidad que mantiene el sistema son corresponsables respecto de estos tratamientos; al acreedor le corresponde garantizar los requisitos de inclusión y responder de la inexistencia o inexactitud de la deuda. Una solicitud puede referirse a identidad, importe, pago realizado o procedencia de la inclusión. Distinga qué hecho debe corregirse y si, además, procede una supresión por incumplirse las condiciones legales.
La entidad que mantiene el sistema debe notificar la inclusión y los derechos dentro de los treinta días siguientes a la notificación de la deuda al sistema, permaneciendo los datos bloqueados durante ese período. Es un plazo distinto del mes para responder al ejercicio del derecho. El artículo 20 también prevé un tratamiento específico cuando se solicita la limitación impugnando la exactitud: se comunica la existencia de esa circunstancia sin facilitar los datos concretos mientras se resuelve.
Una simple discrepancia comercial no permite concluir automáticamente que toda deuda deba desaparecer, ni autoriza a mantener cualquier anotación. Examine la documentación y las condiciones aplicables. Para entender las vías de supervisión puede consultarse la guía de la AEPD; las consecuencias de un incumplimiento deben valorarse sin atribuir al caso una sanción automática o una estadística no acreditada.
Cierre, evidencia y prevención del error
La respuesta debe indicar el resultado de forma clara: corrección efectuada, complemento incorporado o motivo de denegación total o parcial. No prometa cambios que todavía no se han ejecutado. Si el expediente revela otros derechos, como una petición de acceso a la información o de oposición a determinados usos, trátelos según sus condiciones, sin confundirlos con la rectificación.
El expediente debería permitir reconstruir la recepción, la comprobación, la decisión, la ejecución y las comunicaciones. Una herramienta de gestión de solicitudes puede ayudar si esas funciones están disponibles y se utilizan correctamente. No es obligatoria una plataforma concreta. Lo relevante es que una persona autorizada pueda verificar el proceso y detectar tareas que todavía faltan.
Por último, examine si el error puede repetirse. Una importación que elimina un apellido compuesto o mezcla expedientes exige corregir también la causa. Incorpore el aprendizaje al control de cumplimiento RGPD con una acción y un responsable. La rectificación individual queda mejor resuelta cuando el sistema deja de reproducir la misma inexactitud.
FAQ
¿Puedo negar la rectificación si considero correcto el dato?
Puede denegarse una modificación que no proceda, pero hay que contrastar la exactitud respecto de la finalidad y explicar el fundamento. La respuesta se facilita sin dilación y, como máximo, en un mes, con información sobre reclamación ante la autoridad de control y tutela judicial. Una afirmación genérica sobre la fiabilidad del sistema no sustituye esa comprobación.
¿Rectificar significa borrar toda la historia del expediente?
No necesariamente. Deben distinguirse los datos operativos actuales, los hechos históricos correctamente descritos y las versiones que deban bloquearse conforme a la legislación española. El resultado no puede seguir presentando un dato erróneo como vigente. La conservación del contexto necesita una finalidad y condiciones, no una autorización ilimitada para reutilizar versiones equivocadas.
¿Debo avisar siempre a todos los destinatarios?
La regla del artículo 19 exige la comunicación, con la excepción de imposibilidad o esfuerzo desproporcionado. Documente el fundamento si aplica la excepción. También debe informar a la persona sobre esos destinatarios cuando lo solicite. Actualizar solo la base interna puede dejar sin resolver la circulación del dato inexacto fuera de la organización.