Un software para gestionar derechos ARCO y solicitudes RGPD debe ayudar a recibir las peticiones, identificar qué se solicita, coordinar la búsqueda de datos y demostrar la respuesta. Su utilidad se comprueba con expedientes completos, incluidos los difíciles: una solicitud recibida fuera del formulario, una identidad dudosa, datos en varios sistemas o una supresión parcial. Una alerta de vencimiento no garantiza por sí sola que el derecho se haya atendido correctamente.
Esta guía permite definir requisitos y comparar herramientas en España, con referencias comprobadas el 29 de septiembre de 2026. La elección depende del volumen, los canales, los responsables internos y la complejidad de los datos. Un procedimiento manual bien organizado puede resultar suficiente en algunos casos; una aplicación aporta valor cuando resuelve problemas concretos de coordinación, seguridad o prueba.
Definir el proceso antes de comparar proveedores
Empiece por reconstruir varios expedientes recientes o ejemplos ficticios representativos. Anote dónde entró la solicitud, quién la interpretó, qué sistemas hubo que consultar y cómo se entregó el resultado. El objetivo es encontrar las tareas que generan retrasos o errores. Comprar una bandeja central no resuelve una búsqueda que depende de empleados que desconocen sus responsabilidades.
Separe tres necesidades: gestionar el expediente, localizar los datos y ejecutar las decisiones en los sistemas de origen. Una herramienta puede ser excelente para asignar tareas y no disponer de conectores para buscar información. Otra puede encontrar documentos y carecer de un procedimiento para revisar datos de terceros. El contrato y la demostración deben permitir reconocer estas diferencias sin confundir funcionalidades anunciadas con operaciones ya disponibles.
El catálogo de derechos de los interesados incluye más que las antiguas siglas ARCO. Acceso, rectificación, supresión, oposición, limitación, portabilidad y decisiones individuales automatizadas plantean preguntas distintas. El producto debe permitir combinarlas cuando una persona pide, por ejemplo, conocer sus datos y corregir una información errónea. Dividir internamente las tareas no debería obligarla a presentar varias solicitudes nuevas.
Recibir por canales accesibles sin imponer una vía exclusiva
La AEPD explica las reglas generales del ejercicio de derechos, y el artículo 12 de la LOPDGDD exige medios fácilmente accesibles. No puede denegarse un derecho por el solo hecho de que la persona utilice otro medio. Un formulario específico facilita la organización, pero no debe convertirse en una barrera para quien ya ha enviado una petición comprensible por otro canal adecuado.
Pida al proveedor que muestre cómo incorporar correos, cartas y solicitudes recibidas por el servicio de atención. La fecha relevante no debe sustituirse por la fecha en que un empleado crea el expediente en la aplicación. Guarde el mensaje original y registre cualquier traslado interno. Defina también cómo detectar una petición de derechos que no cite el RGPD ni utilice terminología jurídica.
Esto no significa que cualquier mensaje enviado a una dirección privada aleatoria de un empleado deba tratarse como un canal designado. La organización necesita pautas coherentes sobre los medios que ofrece y las comunicaciones que recibe ordinariamente. En la implantación, forme a quienes atienden al público y establezca una derivación rápida. Una herramienta sirve de poco si solo conoce las peticiones que llegan por su propio formulario.
Calcular el mes y documentar las decisiones sobre plazos
El artículo 12.3 del RGPD exige actuar sin dilación indebida y, como máximo, en un mes desde la recepción. Cuando sea necesario por la complejidad y el número de solicitudes, el plazo puede ampliarse otros dos meses. La persona debe conocer la ampliación y sus motivos dentro del primer mes. La carga habitual de trabajo no debería convertirse en una prórroga automática aplicada a todos los expedientes.
Compruebe que el programa trabaja con meses y permite revisar el cálculo, en lugar de sustituirlos indiscriminadamente por treinta días. Distinga la fecha de recepción, el plazo legal, los objetivos internos y las fechas de cada tarea. Los avisos deben llegar a una persona disponible y escalar cuando no exista actuación. Una alerta enviada a un trabajador de vacaciones no aporta una solución operativa.
Si no se da curso a la petición, el artículo 12.4 exige comunicar sin dilación, y a más tardar en un mes, los motivos y la posibilidad de reclamar ante una autoridad de control y ejercitar acciones judiciales. No basta con marcar «rechazada» en el sistema. Cualquier incidencia de identidad o aclaración debe quedar documentada y someterse al criterio jurídico aplicable; el programa no debe reiniciar o suspender el reloj sin justificación.
Verificar identidad y representación de forma proporcionada
La información adicional para confirmar la identidad se pide cuando existen dudas razonables, conforme al artículo 12.6. Solicitar sistemáticamente una copia íntegra del DNI puede generar un tratamiento excesivo. Valore el canal, la relación previa y la sensibilidad del resultado. Una sesión autenticada puede aportar información relevante, aunque debe comprobarse que el acceso sigue siendo fiable en el caso concreto.
Solicite una demostración de varios métodos de verificación y de las restricciones de acceso a los justificantes. La persona que busca documentos no necesita necesariamente consultar una copia del documento de identidad. Registre qué comprobación se realizó y cuál fue su resultado, conservando solo la evidencia necesaria. Evite trasladar el mismo justificante a todas las áreas por una configuración predeterminada del expediente.
La LOPDGDD permite actuar mediante representante legal o voluntario. La herramienta debería distinguir al interesado de su representante y permitir revisar el alcance de la representación. No confunda la identidad de quien envía el correo con la de quien ejerce el derecho. En un supuesto de representación insuficiente, la respuesta debe explicar qué falta de forma concreta, sin exigir acreditaciones ajenas al trámite.
Localizar datos sin prometer una búsqueda infalible
El inventario de sistemas y el registro de actividades ayudan a orientar la búsqueda, pero no contienen necesariamente todos los datos de una persona. El proceso puede requerir consultas al sistema comercial, la aplicación de soporte, un archivo documental o un encargado externo. Mantenga una lista de responsables y una forma de comprobar que cada área ha contestado, incluso cuando indica que no ha encontrado información.
Si el software ofrece conectores, pruebe su alcance con datos ficticios: documentos adjuntos, nombres anteriores, cuentas duplicadas y archivos históricos. Pregunte qué sistemas quedan fuera, cómo detecta errores y cuándo se actualiza el índice. Un resultado vacío puede significar que no existen datos o que la integración no ha funcionado. El expediente debe permitir distinguir ambas situaciones antes de comunicar una conclusión.
La relación con un software general de cumplimiento RGPD puede facilitar la coordinación con tratamientos y proveedores. Evalúe esa integración mediante un recorrido concreto, no mediante una afirmación genérica de centralización. La búsqueda debe conservar criterios y responsables suficientes para explicar el trabajo realizado, sin copiar masivamente datos de todos los clientes a una segunda plataforma de acceso indiscriminado.
Revisar la copia antes de enviarla
El derecho de acceso comprende los datos personales y la información del artículo 15, no solo una explicación de categorías. La guía del derecho de acceso ayuda a identificar el contenido exigible. Cuando un documento aporta el contexto necesario para entender los datos, una extracción incompleta puede resultar insuficiente; ello tampoco convierte el acceso en un derecho automático a cualquier documento empresarial íntegro.
Incluya en la evaluación del producto una revisión de terceros, comentarios internos y documentos mixtos. El artículo 15.4 protege los derechos y libertades de otros, pero exige una valoración concreta, no una exclusión indiscriminada de todas las comunicaciones internas. El ocultamiento debe conservar el sentido de la información que corresponde al solicitante. Una función de marcado visual debe producir un archivo final donde lo ocultado no pueda recuperarse fácilmente.
La primera copia es gratuita. Las reglas sobre copias adicionales y solicitudes manifiestamente infundadas o excesivas no autorizan a cobrar automáticamente por cualquier petición repetida. La organización debe poder justificar la decisión. Si se utiliza un portal de acceso, compruebe que permite obtener los datos e información debidos: mostrar únicamente el perfil visible del cliente puede dejar fuera otros tratamientos importantes.
Ejecutar cada derecho con sus condiciones
La rectificación requiere corregir la información inexacta y completar la incompleta cuando corresponda; no siempre consiste en borrar un documento histórico. La herramienta debería registrar qué dato se modifica, por qué y en qué sistemas. Si el interesado discute una valoración, habrá que examinar la naturaleza de la información y la respuesta adecuada. Un botón de edición no resuelve ese juicio.
En la supresión, identifique los datos que dejan de ser necesarios y los que deban mantenerse por una causa aplicable. Los fundamentos y excepciones del artículo 17 requieren un examen real. Conservar determinadas facturas no autoriza a mantener activo todo el perfil comercial. La guía de supresión y olvido permite preparar una respuesta parcial que explique qué se elimina y qué permanece, con su motivo.
La portabilidad tiene condiciones específicas: tratamiento automatizado, basado en consentimiento o contrato, y datos comprendidos en su ámbito. No abarca indiscriminadamente cualquier análisis derivado. Los datos que afectan también a otras personas necesitan salvaguardas; su carácter mixto no exige siempre excluir el conjunto. La oposición al marketing directo, por su parte, debe interrumpir ese tratamiento y los perfiles relacionados con él, sin esperar a una revisión comercial posterior.
Distinguir limitación, bloqueo y conservación de pruebas
La limitación del artículo 18 del RGPD y el bloqueo del artículo 32 de la LOPDGDD no son nombres intercambiables para cualquier dato inactivo. En España, el bloqueo vinculado a la rectificación o supresión reserva los datos para determinadas responsabilidades durante sus plazos de prescripción, con acceso y usos restringidos. Después procede la destrucción, salvo las excepciones aplicables establecidas por la autoridad competente.
Pida que el proveedor explique cómo implementa esos estados. Ocultar una ficha en la interfaz no impide que la utilice una campaña, un informe o una exportación. Los permisos y las integraciones deben respetar la decisión. Si existe una copia de respaldo, documente su ciclo y los mecanismos para que una restauración no reactive datos previamente suprimidos o excluidos de comunicaciones.
El expediente de atención también contiene datos personales y necesita su propio criterio de conservación. Puede ser necesario demostrar la solicitud y la respuesta, pero no conservar indefinidamente todos los documentos entregados. Defina qué evidencia basta, quién puede consultarla y cuándo se revisa o destruye. La prueba del cumplimiento no debe producir una nueva base de datos sin límites.
Coordinar a los encargados y destinatarios
Cuando intervenga un encargado, el artículo 28 prevé asistencia mediante medidas técnicas y organizativas apropiadas, teniendo en cuenta la naturaleza del tratamiento y en la medida de lo posible. El contrato u otro acto jurídico vinculante conforme al Derecho de la Unión o de un Estado miembro debe organizar esa colaboración por escrito, también en formato electrónico. Una promesa de colaboración sin contactos ni procedimiento puede fallar cuando el expediente ya está abierto.
El artículo 19 exige comunicar la rectificación, supresión o limitación a los destinatarios correspondientes, salvo imposibilidad o esfuerzo desproporcionado, e informar al interesado sobre ellos si lo solicita. El sistema debería permitir documentar comunicaciones y excepciones. No confunda enviar una tarea al proveedor con recibir confirmación de que ha realizado la operación. El responsable necesita conocer qué queda pendiente.
El propio proveedor del software puede actuar como encargado respecto de los expedientes alojados. Examine sus subencargados, instrucciones, seguridad, asistencia y condiciones de salida. Al finalizar el servicio, deben aplicarse las reglas de devolución o supresión y eliminación de copias, salvo conservación exigida por el Derecho de la Unión o de un Estado miembro. La ubicación europea del servidor no resuelve por sí sola todos los accesos y transferencias.
Preparar respuestas con revisión y entrega segura
Los modelos de respuesta a derechos ARCO pueden servir de punto de partida. La aplicación debe permitir adaptarlos a los hechos, incluir los motivos concretos y controlar las versiones. Una denegación que reproduce párrafos generales sin explicar el caso deja al interesado sin comprender la decisión. Distinga una propuesta de respuesta de la respuesta aprobada y enviada.
Si se utilizan funciones de inteligencia artificial para resumir o redactar, pruebe cómo se verifican sus resultados y qué información recibe el proveedor. No introduzca expedientes reales en una demostración comercial sin analizar antes esa comunicación. La revisión debe detectar datos inventados, omisiones y referencias legales erróneas. El expediente necesita una persona responsable de la decisión, aunque ciertas tareas mecánicas se automaticen.
La entrega exige comprobar destinatario, formato y confidencialidad. Una copia correcta enviada a otra persona puede convertirse en una violación de datos. Pruebe los enlaces temporales, las restricciones y la accesibilidad del canal ofrecido; no imponga un procedimiento que la persona no pueda utilizar. Conserve evidencia proporcionada de envío o puesta a disposición y gestione los mensajes devueltos en lugar de cerrar automáticamente el expediente.
Comparar costes y comprobar la salida del servicio
Pida presupuestos basados en el mismo volumen y los mismos supuestos. Distinga expedientes, usuarios, entidades, almacenamiento, conectores, soporte e implantación. Aclare qué ocurre cuando aumenta el número de solicitudes o hace falta incorporar un nuevo sistema. Un precio inicial bajo puede resultar poco informativo si la búsqueda, el ocultamiento o la exportación se contratan por separado.
Antes de decidir, realice una prueba completa con tres situaciones: acceso sencillo, solicitud que afecta a varios sistemas y supresión parcialmente limitada por una obligación de conservación. Observe el trabajo real del equipo, los permisos y las decisiones pendientes. Use los criterios de comparación de software RGPD para valorar la cobertura y la checklist española de cumplimiento para identificar dependencias fuera de la herramienta.
Solicite un exportado de prueba que incluya fechas, tareas, decisiones, comunicaciones y documentos necesarios. Debe poder interpretarse sin depender de una pantalla que desaparezca al cancelar la suscripción. Defina quién revisará la migración y la eliminación de las copias restantes. La capacidad de cambiar de proveedor forma parte de la evaluación inicial, no debería descubrirse cuando vence el contrato.
Medir resultados sin confundir rapidez con cumplimiento
La LOPDGDD atribuye al responsable la prueba de haber respondido. Eso justifica conservar evidencia fiable, pero no hace obligatorio un producto concreto. Tampoco toda falta de respuesta se califica automáticamente como muy grave: el artículo 72.1.k contempla impedimento, obstaculización o falta reiterada de atención, mientras que el artículo 74.c recoge la falta de atención cuando no procede aquella calificación. Las sanciones RGPD dependen de los hechos y del régimen aplicable.
Revise expedientes cerrados para comprobar que la respuesta cubre lo pedido, que los datos se entregaron a la persona correcta y que las operaciones prometidas se ejecutaron. Las métricas útiles incluyen tareas pendientes, fallos de búsqueda, retrasos de proveedores y reaperturas motivadas. Reducir el tiempo medio cerrando solicitudes incompletas empeora el proceso aunque el panel muestre mejores resultados.
La guía de la AEPD como autoridad de control ayuda a situar las reclamaciones y obligaciones de cooperación. Una buena compra permite explicar cada decisión y corregir sus fallos. La organización sigue siendo responsable de asignar personas, mantener las integraciones y atender al interesado cuando el caso no encaja en el flujo previsto.