GDPR data subject access request checklist: Guía Práctica Para Responder En Plazos

Qué exige el artículo 15 del GDPR al responsable del tratamiento

El derecho de acceso es la puerta de entrada al resto de derechos. Cuando un interesado lo ejerce, el responsable debe confirmar si trata sus datos personales y, en caso afirmativo, entregar una copia junto con información estructurada: finalidades, categorías de datos, destinatarios o categorías de destinatarios, plazos de conservación previstos, derechos que le asisten, origen de los datos y la existencia de decisiones automatizadas con efectos jurídicos relevantes (art. 22). La primera copia es gratuita.

En la práctica, la mayoría de incidencias no vienen de una negativa a responder, sino de la falta de trazabilidad: no saber qué sistemas contienen datos del solicitante, quién los trata ni durante cuánto tiempo se conservan. Un inventario de actividades de tratamiento actualizado (art. 30) es el mejor acelerador de cualquier respuesta.

Plazos y cómputo: el reloj de un mes

El art. 12.3 del GDPR fija un mes desde la recepción de la solicitud. Ese plazo puede prorrogarse dos meses adicionales cuando la solicitud sea compleja o el responsable haya recibido varias solicitudes del mismo interesado. La prórroga no es automática: hay que informar al interesado dentro del primer mes, explicando los motivos.

Cómo justificar y notificar una prórroga

Documenta el motivo concreto (volumen de datos, dispersión geográfica, necesidad de coordinar con encargados del tratamiento), envía la notificación por un canal verificable y deja constancia en el registro de solicitudes. Una prórroga mal justificada es una infracción tan clara como una respuesta tardía.

El cómputo arranca cuando la solicitud llega por cualquier canal, incluido un perfil de red social corporativo o un correo enviado a un comercial. Por eso conviene centralizar la entrada y formar a los equipos de contacto.

GDPR data subject access request checklist: diez pasos operativos

Esta GDPR data subject access request checklist resume el flujo mínimo que un equipo de cumplimiento debería poder demostrar en una auditoría.

1. Canal único y público. Publica una dirección dedicada (por ejemplo, privacidad@empresa.com) en la política de privacidad y forma a atención al cliente para redirigir cualquier petición.
2. Verificación de identidad proporcionada. El art. 12.6 permite pedir información adicional si existen dudas razonables, pero no exige copia del documento de identidad por defecto.
3. Registro inmediato. Fecha y hora de entrada, canal, solicitante, responsable asignado y plazo límite calculado.
4. Búsqueda exhaustiva. CRM, ERP, RRHH, correo, tickets, copias de seguridad, herramientas SaaS y hojas de cálculo locales. Documenta los sistemas consultados y también los resultados negativos.
5. Redacción de datos de terceros. El art. 15.4 protege los derechos de otras personas; hay que suprimir o anonimizar sus datos sin destruir el sentido de la respuesta.
6. Evaluación de excepciones. Secreto profesional, investigaciones penales, derechos de propiedad intelectual o normativa sectorial aplicable.
7. Formato de entrega. Copia en formato electrónico de uso común cuando la solicitud se presentó por medios electrónicos.
8. Respuesta motivada. Incluye la información del art. 15.1 y, si deniegas parcialmente, la base jurídica y el derecho a reclamar ante la autoridad de control.
9. Cierre con evidencia. Guarda la respuesta enviada, el acuse de recibo y el expediente interno de búsqueda.
10. Revisión posterior. Cada solicitud revela huecos en el registro de tratamientos o en los plazos de conservación.

Excepciones, límites y derechos de terceros

El derecho de acceso no es absoluto. Los Estados miembros pueden limitarlo mediante ley (art. 23) por motivos como seguridad nacional, defensa, prevención del delito o protección del propio interesado. Además, el art. 15.4 obliga a ponderar los derechos de terceros cuyos datos aparezcan en la misma comunicación.

Un error habitual es invocar «datos internos» o «información confidencial de la empresa» como excepción genérica. La confidencialidad comercial no figura en la lista del art. 23; si se alega, debe estar prevista en la ley nacional aplicable y motivarse caso por caso.

Evidencias, auditoría y conexión con otros sistemas de gestión

La documentación de solicitudes encaja bien en un sistema de gestión ya existente. Si tu organización trabaja bajo ISO 9001, puedes tratar el procedimiento de acceso como un proceso documentado con indicadores: plazo medio de respuesta, porcentaje de prórrogas y reclamaciones recibidas. Bajo ISO/IEC 27001, la trazabilidad de accesos y la clasificación de la información refuerzan la fase de búsqueda.

Cuando la solicitud afecta a expedientes técnicos de productos regulados —documentación de conformidad, informes de ensayo, fichas de seguridad—, conviene coordinar al equipo de cumplimiento de producto. La guía sobre la participación del organismo notificado y los requisitos de intervención del organismo notificado ayudan a delimitar qué documentación es de libre disposición y cuál exige un análisis previo. Para maquinaria sujeta al Reglamento (UE) 2023/1230, la guía práctica de cumplimiento describe qué expedientes técnicos se generan y quién los custodia.

Errores frecuentes que aparecen en las reclamaciones

• Responder solo con un extracto de la base de datos principal e ignorar el correo electrónico.
• Confundir el derecho de acceso con el derecho de portabilidad (art. 20): no todo acceso debe entregarse en formato estructurado y reutilizable.
• Cobrar tasas sin justificar que la solicitud es manifiestamente infundada o excesiva (art. 12.5).
• No informar del derecho a reclamar ante la autoridad de control.
• Dejar la solicitud en manos de una única persona, sin suplencia ni control de vencimientos.

Una GDPR data subject access request checklist no sustituye al criterio jurídico, pero sí garantiza que ningún paso esencial se olvide cuando el reloj ya está corriendo.