Una respuesta a una solicitud de derechos debe reflejar lo que la organización ha comprobado y ejecutado. La expresión «derechos ARCO» sigue utilizándose, pero el RGPD incluye también limitación, portabilidad y garantías frente a determinadas decisiones automatizadas. No basta con elegir una carta por su título: una misma petición puede activar varios derechos, cada uno con sus condiciones. El objetivo es explicar una decisión concreta y facilitar su ejercicio efectivo.
Los modelos siguientes son estructuras adaptables para recepción, verificación, acceso, rectificación, supresión, oposición, limitación, portabilidad, prórroga y denegación. No son respuestas universales listas para enviar sin revisión. Complete los hechos, los sistemas afectados y las vías de reclamación aplicables. Las instrucciones y ejemplos ayudan a construir un expediente que relacione solicitud, comprobaciones, actuaciones y comunicación final, sin convertir el archivo de atención en una nueva colección innecesaria de datos personales.
Reconozca la petición aunque no utilice su formulario
El artículo 12 LOPDGDD permite ejercer los derechos directamente o mediante representante legal o voluntario. El responsable debe ofrecer medios accesibles y no puede denegar el ejercicio solo porque la persona haya escogido otro medio. Una solicitud recibida en un canal habitual de atención requiere una derivación diligente, aunque no incluya el número de un artículo. La guía de derechos ARCO y RGPD permite identificar qué resultado está pidiendo realmente la persona.
Registre la fecha de recepción, la petición original y el responsable de tramitarla. Distinga cuándo llegó de cuándo alguien la abrió o la trasladó al equipo de privacidad. Si interviene un encargado, establezca su asistencia de acuerdo con el contrato o acto jurídico correspondiente; externalizar un sistema no elimina la responsabilidad de responder. Una cuenta compartida o un buzón sin sustitución durante vacaciones puede causar retrasos aunque existan buenas plantillas.
Cuando la solicitud sea ambigua, formule una pregunta concreta y siga avanzando en los componentes claros. No exija que la persona enumere bases de datos internas ni motive por qué desea acceso. Si pide «borrar todo y explicarme qué tienen», analice ambas cuestiones y preserve la información necesaria para contestar correctamente. Una interpretación razonable del lenguaje ordinario es más útil que obligar a repetir la petición con terminología jurídica.
Calcule el plazo sin reiniciarlo artificialmente
El artículo 12.3 RGPD exige informar sobre las actuaciones sin dilación indebida y, en todo caso, dentro de un mes desde la recepción. Puede ampliarse hasta otros dos meses cuando sea necesario por la complejidad y el número de solicitudes, informando de la ampliación y sus motivos dentro del primer mes. No es una prórroga automática ni convierte un mes en un tiempo mínimo de espera. Una respuesta sencilla debe tramitarse sin retraso injustificado.
La identidad exige una valoración específica. El artículo 12.6 permite pedir información adicional necesaria cuando existan dudas razonables. Las directrices definitivas del CEPD sobre acceso, apartado 159, contemplan la suspensión mientras se espera información necesaria para verificar la identidad, si se solicita sin dilación indebida. No autorizan una pausa rutinaria, indefinida o basada en información excesiva, ni un mes nuevo cada vez que llega una respuesta.
Si no va a actuar sobre la petición, total o parcialmente, el artículo 12.4 exige comunicar los motivos sin dilación y, como máximo, dentro de un mes desde la recepción, junto con la posibilidad de reclamar ante una autoridad de control y acudir a la tutela judicial. Distinga esa obligación de la ampliación para tramitar una petición compleja. No utilice un acuse genérico como sustituto de la decisión ni una prórroga como forma de posponer una negativa ya adoptada.
ACUSE DE RECIBO
Hemos recibido el [fecha de recepción] su solicitud sobre [petición
comprendida]. La tramitamos con referencia [identificador].
Le informaremos sobre las actuaciones sin dilación indebida y dentro
del plazo aplicable, calculado desde la recepción. La fecha prevista
es [fecha comprobada]. Si resulta necesaria una ampliación legal,
le comunicaremos dentro del primer mes sus motivos y duración.
Puede contactar con [canal y responsable de atención].
VERIFICACIÓN ADICIONAL, SOLO SI RESULTA NECESARIA
Existe una duda razonable sobre su identidad porque [motivo concreto].
Para proteger sus datos necesitamos [información mínima/método].
Puede utilizar [alternativa proporcionada, si procede].
[Explique el efecto justificado sobre el cómputo, si corresponde,
sin prometer un nuevo mes completo ni pedir documentación excesiva.]
Verifique identidad y representación de forma proporcionada
Considere primero la relación existente y las garantías del canal utilizado. Una sesión autenticada puede aportar evidencia útil, pero no ofrece una respuesta universal para cualquier operación. Tampoco resulta adecuado solicitar siempre una copia completa del DNI. Determine qué duda necesita resolver y qué método menos invasivo proporciona seguridad suficiente. Si requiere documentación, limite los datos y explique su uso y conservación en el expediente.
La representación debe comprobarse en función de la solicitud y el riesgo de comunicar información a otra persona. Una autorización para recibir un documento no debe interpretarse como poder general para gestionar cualquier tratamiento. Verifique el alcance y la identidad con medidas proporcionadas. La LOPDGDD contempla además reglas específicas sobre representación de menores; no deduzca del simple hecho de ser familiar que existe autorización para recibir todos los datos de una persona adulta.
La minimización de datos sigue siendo aplicable durante la tramitación. Evite duplicar documentación identificativa en múltiples carpetas o adjuntarla a comunicaciones internas innecesarias. Conserve la evidencia que permita justificar la verificación, con acceso restringido y una conservación razonada. El expediente debe demostrar que se actuó diligentemente sin crear un riesgo adicional por acumular documentos sensibles que no hacen falta.
Acceso: entregue los datos y la información correspondiente
El derecho de acceso comprende confirmar si se tratan datos, acceder a ellos y obtener la información del artículo 15. Una relación genérica de categorías no sustituye la copia de los datos concretos. Busque en sistemas, archivos y proveedores relevantes; explique códigos y contexto. Una exportación técnicamente extensa puede ser incomprensible o incompleta si omite notas, decisiones o fuentes que forman parte del tratamiento.
Revise la información sobre destinatarios con arreglo a los hechos y la jurisprudencia aplicable: no utilice categorías por comodidad cuando deba facilitar identidades concretas. Proteja los derechos de terceros mediante medidas específicas, evitando rechazar todo un expediente porque contenga sus nombres. La copia puede necesitar fragmentos de documentos o documentos completos cuando sean esenciales para una reproducción fiel e inteligible. La elección del formato no debe hacer ineficaz el derecho.
RESPUESTA FAVORABLE AL ACCESO
En respuesta a su solicitud de [fecha], confirmamos que tratamos
[datos relativos a la persona]. En [anexos/canal seguro] facilitamos
una copia y la explicación de códigos y contexto necesaria.
Información sobre este tratamiento:
- Finalidades y categorías de datos: [detalle pertinente].
- Destinatarios: [identidad concreta cuando sea exigible; categorías
solo cuando proceda jurídicamente].
- Conservación: [plazos o criterios aplicables].
- Origen: [información disponible si no se obtuvieron de usted].
- Derechos de rectificación, supresión, limitación y oposición:
[información ajustada a sus condiciones y canal de ejercicio].
- Reclamación: [autoridad de control competente y vía accesible].
- Decisiones automatizadas del artículo 22.1 y 22.4, incluida
elaboración de perfiles: [existencia y, cuando corresponda,
información significativa sobre lógica, importancia y consecuencias].
- Transferencias a terceros países u organizaciones internacionales:
[si existen, información sobre garantías adecuadas del artículo 46].
[Si se limita alguna parte, añada decisión motivada y recursos.]
Un portal de cliente puede facilitar acceso, pero no basta con remitir a cualquier área privada. El artículo 13.2 LOPDGDD contempla un sistema remoto, directo y seguro que garantice de forma permanente el acceso a la totalidad de los datos; la persona puede pedir la información del artículo 15.1 que no esté incluida. Compare el contenido visible con el alcance real antes de usar esa vía. Si el portal muestra pedidos, pero omite notas o fuentes relevantes, explique cómo se facilitará el resto. Compruebe también que el destinatario puede entrar y conservar la información pertinente. Un enlace caducado o un error de autenticación necesita seguimiento, no una marca automática de expediente terminado.
Rectificación: compruebe el dato y propague la corrección
La rectificación exige identificar la inexactitud o el carácter incompleto y la modificación solicitada. El artículo 14 LOPDGDD contempla documentación justificativa cuando sea precisa, no una exigencia universal de aportar pruebas para cualquier error evidente. Determine dónde aparece el dato y qué sistemas lo reutilizan. Corregir una pantalla mientras el dato antiguo vuelve a importarse no resuelve el problema.
El artículo 19 RGPD exige comunicar rectificaciones, supresiones o limitaciones a los destinatarios a quienes se hayan comunicado los datos, salvo que resulte imposible o exija un esfuerzo desproporcionado; a petición de la persona, se le informa sobre esos destinatarios. Analice esa obligación y documente cualquier excepción. No prometa una propagación ya completada si todavía está pendiente confirmar actuaciones de otros destinatarios.
RECTIFICACIÓN
Hemos atendido su solicitud de [fecha] respecto de [dato].
La información actualizada es [resultado, sin revelar datos ajenos]
y la corrección se ha aplicado en [ámbito] el [fecha].
Respecto de otros destinatarios, [actuación conforme al artículo 19,
o excepción concreta justificada]. Puede solicitar información sobre
los destinatarios correspondientes a través de [canal].
[Explique cualquier parte no atendida con motivos y recursos.]
Supresión, conservación legal y bloqueo no son lo mismo
El derecho de supresión requiere examinar los supuestos del artículo 17.1 y las excepciones aplicables del apartado 3. Una obligación legal que exija conservar ciertos datos puede impedir su eliminación para ese fin, pero no autoriza mantener todos los usos anteriores. Identifique datos, finalidad, norma o motivo concreto y duración. Invocar de forma abstracta «posibles responsabilidades» no explica qué se conserva ni por qué.
El bloqueo del artículo 32 LOPDGDD opera cuando procede la rectificación o supresión, con su régimen y excepciones. Consiste en identificar y reservar los datos, impidiendo su tratamiento, incluida la visualización, salvo su puesta a disposición de las autoridades previstas para exigir responsabilidades y durante el plazo de prescripción correspondiente. Después deben destruirse. No es equivalente a guardar una ficha marcada como inactiva si el equipo comercial todavía puede consultarla o utilizarla.
Distinga, por tanto, conservación activa por una finalidad legal subsistente, bloqueo cuando sea exigible y destrucción. La limitación del artículo 18 constituye otra figura, con presupuestos propios. El sistema y la carta deben reflejar la situación real. No envíe una confirmación de eliminación total mientras conserva copias operativas accesibles, ni afirme que el RGPD ordena borrar inmediatamente todo soporte sin examinar las obligaciones y condiciones aplicables.
SUPRESIÓN TOTAL O PARCIAL
Tras valorar su solicitud de [fecha], hemos suprimido [datos/usos]
en [ámbito] con fecha [fecha].
[Si corresponde: conservamos exclusivamente [datos] para [finalidad
subsistente y base concreta], durante [plazo/criterio].]
[Si resulta exigible bloqueo: [datos] quedan bloqueados conforme al
artículo 32 LOPDGDD, con acceso y finalidad limitados legalmente,
hasta [plazo/criterio], tras lo cual se destruirán.]
[Detalle actuación del artículo 19 y cualquier limitación motivada,
con información de reclamación y tutela judicial.]
Oposición y retirada del consentimiento requieren ejecución
Cuando la oposición afecta a mercadotecnia directa, los datos dejan de tratarse para esa finalidad, incluida la elaboración de perfiles relacionada. No se exige una ponderación que permita continuar por interés comercial. En cambio, la oposición por motivos relacionados con la situación particular frente a tratamientos basados en las letras e o f del artículo 6.1 tiene su régimen: deben examinarse los motivos legítimos imperiosos o la formulación, ejercicio o defensa de reclamaciones que permita el artículo 21.
La retirada del consentimiento tampoco debe confundirse con una solicitud genérica de oposición. Debe poder realizarse en cualquier momento y con la misma facilidad que otorgarlo, y obliga a cesar la actividad que dependía de ese consentimiento, sin afectar a la licitud previa. Para publicidad, mantenga una exclusión mínima cuando corresponda para evitar nuevos envíos, como contempla el artículo 15.2 LOPDGDD. Esa lista no puede reutilizarse como audiencia comercial.
OPOSICIÓN A MERCADOTECNIA DIRECTA
Hemos aplicado su oposición de [fecha] y cesado el uso de sus datos
para [mercadotecnia y perfiles relacionados] en [ámbito].
[Cuando corresponda: conservamos únicamente la información necesaria
para impedir futuros tratamientos de mercadotecnia directa.]
La medida se ha trasladado a [sistemas/prestadores pertinentes].
Puede comunicar cualquier incidencia a [contacto].
La información sobre publicidad y actuaciones de la AEPD ayuda a reconocer los riesgos de una baja que no llega a todos los canales. Compruebe campañas pendientes, sincronizaciones y listas exportadas. Una carta favorable no acredita por sí misma que el envío se haya detenido. Si un sistema vuelve a incorporar al destinatario desde otra fuente, debe resolverse la causa de esa reincorporación.
Limitación y portabilidad tienen resultados distintos
La limitación procede en los supuestos del artículo 18: impugnación de exactitud mientras se verifica; tratamiento ilícito cuando la persona se opone a suprimir y pide limitar; necesidad de datos para reclamaciones de la persona aunque el responsable ya no los necesite; u oposición pendiente de comprobar la prevalencia de motivos. Durante ella, además de conservar, el tratamiento exige las condiciones del artículo 18.2. La persona debe ser informada antes de levantar la limitación.
LIMITACIÓN
Atendemos su solicitud de [fecha] por [supuesto del artículo 18].
Los datos [descripción] quedan limitados desde [fecha].
Se conservarán y solo podrán tratarse adicionalmente en los supuestos
permitidos por el artículo 18.2 RGPD. Le informaremos antes de levantar
esta limitación. [Detalle destinatarios y medidas aplicadas.]
La portabilidad exige tratamiento automatizado basado en consentimiento o en la necesidad contractual correspondiente y datos facilitados por la persona, incluidos los observados en los términos de las directrices. Los perfiles inferidos se distinguen de esos datos. Los registros compartidos requieren proteger derechos de terceros, no excluirse de manera automática. La transmisión directa a otro responsable se exige cuando sea técnicamente posible; la falta de esa vía no elimina el derecho a recibir una copia adecuada.
PORTABILIDAD
Facilitamos los datos comprendidos en el artículo 20 RGPD relativos
a [tratamiento] mediante [formato estructurado, de uso común y lectura
mecánica], con [explicación de campos/unidades].
[Si se solicita transmisión directa: posibilidad técnica, destino
verificado y actuación realizada o impedimento concreto.]
[Explique datos excluidos y motivos; si procede, acceso por otra vía.
Añada recursos cuando una parte no se atienda.]
Si la petición cuestiona una decisión exclusivamente automatizada con efectos jurídicos o similares significativos, examine separadamente el artículo 22, sus excepciones y garantías aplicables. No la cierre como una simple petición de copia. Puede requerir revisar la intervención humana, la posibilidad de expresar el punto de vista e impugnar la decisión, según el supuesto. Derive esa valoración a quien conozca el proceso y pueda modificar su resultado cuando proceda.
Prórrogas y negativas deben explicar el caso concreto
Una solicitud repetida no es automáticamente abusiva. La carga de justificar una petición manifiestamente infundada o excesiva corresponde al responsable. La regla española del artículo 13.3 sobre accesos repetidos en seis meses incluye la excepción de causa legítima y se conecta con el artículo 12.5 RGPD. Además existen reglas específicas sobre copias adicionales y elección de medios desproporcionadamente costosos. No aplique una tarifa general a cualquier derecho ni convierta estas excepciones en un obstáculo habitual.
PRÓRROGA, COMUNICADA DENTRO DEL PRIMER MES
La solicitud se recibió el [fecha]. Por [complejidad/número de
solicitudes y necesidad concreta], ampliamos el plazo conforme al
artículo 12.3 en [periodo necesario, máximo dos meses adicionales].
Le informaremos de las actuaciones como máximo el [fecha calculada],
sin dilación indebida. [Indique avances o partes ya disponibles.]
DENEGACIÓN TOTAL O PARCIAL
No atendemos [parte precisa] de su solicitud de [fecha] por
[hechos y fundamento jurídico concreto]. Hemos valorado [alternativas]
y [resultado]. Sí se atiende [parte restante, si existe].
Puede reclamar ante [autoridad de control competente; AEPD cuando
corresponda, www.aepd.es] y ejercer su derecho a la tutela judicial
conforme al artículo 79 RGPD ante el órgano jurisdiccional competente.
[Complete la información sobre la vía aplicable, cuando proceda.]
Contacto para aclaraciones: [canal], sin limitar dichos recursos.
Cierre el expediente con evidencia suficiente
Compruebe destinatario, anexos, medidas de ocultación y canal antes del envío. Conserve solicitud, decisiones, actuaciones y prueba razonable de respuesta, con una política de acceso y conservación adecuada. La LOPDGDD atribuye al responsable la prueba del cumplimiento del deber de responder. Un sistema de gestión de solicitudes puede apoyar esa organización si se verifica su funcionamiento, pero no garantiza por sí solo la suficiencia de la respuesta.
El registro de actividades ayuda a localizar procesos; no necesariamente contiene todas las fuentes técnicas. Complete las búsquedas y actuaciones con quienes conocen los sistemas. La guía de la AEPD como autoridad y la evaluación de herramientas de cumplimiento aportan contexto, sin sustituir la revisión concreta. Documente lo ejecutado, no solo la intención de cumplir.
Preguntas frecuentes
¿Pedir identidad concede un mes nuevo?
No automáticamente. La recepción es el punto de partida. La suspensión por información necesaria para verificar identidad tiene condiciones y exige diligencia; no equivale a reiniciar siempre el plazo. Justifique la duda, limite la información y explique el cómputo correspondiente. No use una petición innecesaria de DNI para ganar tiempo.
¿Basta con mencionar la AEPD al denegar?
No. La decisión debe incluir motivos concretos y comunicarse sin dilación, como máximo dentro de un mes desde la recepción. El artículo 12.4 exige informar tanto de reclamación ante una autoridad de control como de tutela judicial. Adapte la autoridad y la vía al caso; no sustituya esa información por una invitación a volver a llamar.
¿Toda respuesta tardía es una infracción muy grave?
No debe afirmarse así. El artículo 72.1.k LOPDGDD se refiere al impedimento, obstaculización o falta de atención reiterada del ejercicio. Otros incumplimientos tienen su propia calificación y contexto. El deber de atender sigue siendo exigible, pero no corresponde presentar toda demora aislada como una sanción o categoría automática.