23 Jun Derecho de acceso del RGPD: cómo atenderlo correctamente en tu startup
Imagina que un lunes por la mañana encuentras este email en tu bandeja de entrada: «Quiero saber qué datos tenéis míos y para qué los usáis.» Lo envía un usuario que se registró en la plataforma de tu startup hace dos años y ahora quiere saber qué tiene vuestra base de datos sobre él.
¿Qué haces? ¿Lo reenvías a alguien del equipo? ¿Lo ignoras pensando que es una molestia puntual? ¿Le mandas una exportación de la fila de la base de datos con sus datos?
Si tu respuesta fue cualquiera de las tres anteriores, sigue leyendo. Porque atender mal —o no atender— una solicitud de derecho de acceso es una infracción del RGPD, y la AEPD sanciona. Pero sobre todo, porque con un proceso claro, atender estas solicitudes es más sencillo de lo que parece.
Qué es el derecho de acceso y qué lo regula
El derecho de acceso está recogido en el artículo 15 del Reglamento General de Protección de Datos (RGPD). Es el derecho que tiene cualquier persona a preguntarle a una empresa: ¿qué datos míos tenéis y qué hacéis con ellos?
Pero atención: no es solo un «sí o no» sobre si tienes datos suyos. La respuesta que exige el RGPD es considerablemente más completa que un volcado de base de datos. Más adelante veremos exactamente qué tienes que incluir.
Lo que sí conviene dejar claro desde el principio es que este derecho no necesita justificación. El interesado no tiene que explicar por qué lo pide. No tiene que demostrar que tiene razón para solicitarlo. Tiene el derecho y punto.
Quién puede ejercerlo y en qué casos aplica a tu startup
Puede ejercerlo cualquier persona cuyos datos estés tratando: clientes, usuarios registrados, suscriptores de tu newsletter, candidatos que enviaron su CV, ex empleados, proveedores individuales…
Si tu startup trata datos de personas físicas —y casi con toda seguridad lo hace— estás obligada a atender estas solicitudes. Esto incluye startups en fase muy temprana, SaaS con pocos usuarios, apps móviles y plataformas B2B que tratan datos de contactos.
La única excepción relevante para startups sería si tratas exclusivamente datos de empresas (entidades jurídicas), sin datos de personas físicas. Pero en la práctica, los datos de contacto de los empleados de esas empresas suelen ser datos personales.
Por dónde pueden llegar las solicitudes (y por qué importa)
Aquí viene algo que muchas startups no saben: las solicitudes no tienen que llegar por un canal específico para ser válidas.
Una solicitud de derecho de acceso puede llegar por email, por un formulario de tu web, por carta postal, a través de una red social (sí, incluso por DM de Instagram o LinkedIn) o incluso de forma verbal en persona.
Si llega por cualquiera de esas vías y está suficientemente clara —»quiero saber qué datos tenéis míos»—, el plazo para responder empieza a correr desde ese momento.
Lo que esto implica en la práctica: necesitas tener un canal habilitado y visible para recibir estas solicitudes. Lo más habitual y recomendable es incluir una dirección de email o un formulario específico en tu política de privacidad. Algo como: «Para ejercer tus derechos, escríbenos a privacidad@tuempresa.com.»
Esto no solo es buena práctica: hace que las solicitudes lleguen a quien las tiene que gestionar en lugar de perderse en la bandeja general de soporte.
Cómo verificar la identidad del solicitante (sin pedirle más de lo necesario)
Antes de responder con los datos de alguien, tienes que asegurarte de que la solicitud la hace la propia persona y no un tercero. Esto es lógico: no puedes enviar los datos personales de un usuario a alguien que se hace pasar por él.
Pero aquí está el matiz importante que muchas empresas malentienden: la verificación de identidad tiene que ser proporcional al tratamiento.
No puedes pedir el DNI a alguien cuya única relación contigo es un email de newsletter. La verificación adecuada en ese caso sería confirmar que el correo desde el que escribe es el mismo con el que se suscribió.
Algunas pautas prácticas:
- Si el usuario tiene una cuenta en tu plataforma: pídele que envíe la solicitud desde el email registrado o que lo haga desde dentro de su cuenta.
- Si es un suscriptor de newsletter: confirma que el email coincide con el de la lista.
- Si la solicitud llega por un canal inusual y no puedes cruzar datos: pide un dato mínimo de verificación (ej. confirmar un dato que ya tenías, como la fecha de registro o el nombre de usuario), nunca el máximo posible.
- Solo cuando el tratamiento implica datos sensibles o el riesgo de suplantación es real puede ser razonable pedir una copia del DNI.
El CEPD (Comité Europeo de Protección de Datos) lo deja claro en sus Directrices 01/2022: la verificación no puede convertirse en una barrera que disuada al interesado de ejercer sus derechos.
Paso a paso: cómo atender la solicitud
Aquí está el proceso que deberías tener documentado e interiorizado en tu equipo.
Paso 1 — Acuse de recibo inmediato
Cuando llega una solicitud, lo primero es confirmar al solicitante que la has recibido. No es obligatorio legalmente, pero es buena práctica y evita que el usuario piense que le estás ignorando.
Un ejemplo sencillo: «Hemos recibido tu solicitud de ejercicio del derecho de acceso. La atenderemos en el plazo máximo de un mes. Si necesitamos algún dato adicional para verificar tu identidad, te lo comunicaremos.»
Anota la fecha de recepción desde este momento. El plazo de un mes corre desde ahí.
Paso 2 — Verifica la identidad
Aplica el criterio de proporcionalidad explicado antes. Si hay dudas razonables sobre la identidad, pide confirmación por el canal más natural. Guarda constancia de este paso.
Paso 3 — Localiza todos los datos del interesado en tus sistemas
Este es el paso más laborioso, especialmente si tienes datos dispersos en varios sistemas. Necesitas revisar:
- Base de datos principal de usuarios/clientes
- CRM (HubSpot, Pipedrive, Salesforce…)
- Plataforma de email marketing (Mailchimp, ActiveCampaign, Brevo…)
- Herramienta de soporte (Intercom, Zendesk, Freshdesk…)
- Logs de actividad si los conservas
- Archivos y documentos compartidos
- Copias de seguridad (importante: los datos en backup también cuentan)
- Datos compartidos con encargados del tratamiento (terceros proveedores)
Tener un Registro de Actividades de Tratamiento (RAT) actualizado facilita enormemente este paso, porque ya tienes mapeado dónde viven los datos y quién los trata.
Paso 4 — Prepara la respuesta completa
No basta con mandar una exportación de la fila de la base de datos. La respuesta al derecho de acceso según el artículo 15 del RGPD debe incluir todos estos elementos:
1. Una copia de los datos personales que estás tratando. Los datos reales, no solo las categorías. Nombres, emails, historial de compras, conversaciones de soporte, registros de actividad: todo lo que tengas sobre esa persona.
2. Los fines del tratamiento. Para qué usas esos datos. Si los usas para distintos fines (facturación, marketing, mejora del producto, análisis de comportamiento), indícalos todos.
3. Las categorías de datos. Datos de identificación, datos de contacto, datos de comportamiento en la plataforma, datos financieros si los tienes, etc.
4. Los destinatarios o categorías de destinatarios. ¿Con quién compartes sus datos? Subcontratistas, plataformas de analytics, pasarelas de pago, servicios de email marketing, herramientas de soporte…
5. El plazo previsto de conservación. O, si no puedes dar una fecha exacta, los criterios para determinarlo. Por ejemplo: «mientras dure la relación contractual y durante los 5 años posteriores por obligaciones fiscales.»
6. La existencia de sus otros derechos. Rectificación, supresión, limitación del tratamiento, portabilidad, oposición. Tienes que informarle de que puede ejercerlos.
7. El derecho a reclamar ante la AEPD. Aunque estés cumpliendo perfectamente, el interesado tiene derecho a saber que puede presentar una reclamación ante la autoridad supervisora si considera que sus derechos han sido vulnerados.
8. El origen de los datos, si no los obtuviste directamente del interesado. Por ejemplo, si captaste sus datos a través de una plataforma de generación de leads o a través de un tercero, tienes que indicarlo.
9. Información sobre decisiones automatizadas y perfilado, si las realizas. Si usas IA o algoritmos para tomar decisiones sobre el usuario que le afecten de forma significativa —scoring, segmentación con consecuencias, recomendaciones en procesos de selección—, tienes que informarle de la lógica aplicada y las consecuencias previstas.
Paso 5 — Entrega en el formato adecuado
Si la solicitud llegó por email, responde por email. Si llegó por un canal electrónico, la respuesta debe ser electrónica, a menos que el interesado solicite algo diferente.
El formato tiene que ser inteligible. Un dump de JSON o un archivo CSV sin cabeceras no cumple. Tiene que ser algo que la persona pueda leer y entender sin ser técnica. Un PDF bien estructurado, un email con secciones claras o un documento Word son opciones válidas.
La primera copia es siempre gratuita. Si el interesado pide copias adicionales, puedes cobrar un canon razonable basado en los costes administrativos.
Paso 6 — Registra todo
Guarda constancia de: la solicitud recibida (fecha y canal), los pasos de verificación realizados, la respuesta enviada y la fecha de envío. Este registro es tu escudo ante una posible reclamación o inspección de la AEPD.
Los plazos que no puedes incumplir
Plazo ordinario: 1 mes desde que recibes la solicitud. No desde que verificas la identidad, no desde que localizas los datos: desde que recibes la solicitud.
Ampliación: hasta 2 meses adicionales si la solicitud es especialmente compleja o si tienes un volumen elevado de solicitudes simultáneas. Pero tienes que comunicar esta ampliación al interesado dentro del primer mes, explicando los motivos.
Si no respondes en plazo, el interesado puede reclamar directamente ante la AEPD. Y la AEPD sanciona el incumplimiento. No responder no es una opción.
Un apunte relevante: si recibes la solicitud y tienes dudas razonables sobre la identidad del solicitante, puedes solicitar información adicional para verificarla. El plazo queda en suspenso hasta que recibas esa confirmación. Pero cuidado con usar esto como táctica dilatoria: tiene que haber una duda real y justificada.
Cuándo puedes denegar o limitar una solicitud
No siempre estás obligada a responder de la misma manera. Hay supuestos en los que puedes negarte parcialmente o cobrar un canon.
Solicitudes manifiestamente infundadas o excesivas. Si un mismo interesado envía solicitudes repetitivas en periodos cortos de tiempo sin que haya habido cambios relevantes en el tratamiento, puedes cobrar un canon razonable o negarte a tramitarla. Pero la carga de la prueba de que la solicitud es excesiva recae sobre ti, no sobre el interesado.
El Tribunal de Justicia de la UE ha avalado incluso denegar una primera solicitud si se demuestra que fue presentada con intención abusiva (para crear artificialmente condiciones que permitan reclamar una indemnización, y no para conocer el tratamiento de los datos). El umbral es muy alto y la empresa tiene que poder probarlo fehacientemente.
Cuando los datos contienen información de terceros. Si para responder tendrías que revelar datos personales de otras personas, puedes limitar la respuesta para proteger los derechos de esos terceros. Por ejemplo, si en un hilo de soporte hay datos de otro cliente.
En ningún caso puedes denegar simplemente porque la solicitud sea incómoda, porque no tengas tiempo o porque no tengas un proceso montado.
Errores frecuentes que cometen las startups
No responder. El más común y el más costoso. Ignorar la solicitud o perderla en la bandeja de soporte es la vía directa a una sanción de la AEPD.
Pedir el DNI de manera sistemática. Genera fricción innecesaria y en muchos casos es desproporcionado. La AEPD puede considerar que estás poniendo barreras al ejercicio del derecho.
Mandar solo una exportación de base de datos. Cumple parcialmente, pero no incluye los fines del tratamiento, los destinatarios, los plazos de conservación ni la información sobre los derechos adicionales. No es suficiente.
Confundir el derecho de acceso con el derecho de portabilidad. Son derechos distintos. El acceso (art. 15) obliga a informar y entregar una copia inteligible de los datos. La portabilidad (art. 20) obliga a entregar los datos en formato estructurado y legible por máquina para que puedan transferirse a otro responsable. La portabilidad además solo aplica cuando el tratamiento se basa en consentimiento o en la ejecución de un contrato.
No documentar la gestión. Aunque respondas correctamente, si no tienes registro de ello y la persona reclama después, no podrás demostrarlo ante la AEPD.
Responder con retraso por falta de proceso interno. El plazo de un mes no admite excusas organizativas. Si no tienes asignada la responsabilidad y un flujo claro, el mes pasa volando.
Por qué esto importa más allá de la multa
Atender bien el derecho de acceso no es solo una obligación legal: es una señal de confianza hacia tus usuarios.
En un entorno donde los usuarios son cada vez más conscientes de sus derechos digitales, una startup que responde de forma clara, rápida y completa a una solicitud de acceso genera confianza. Una que no responde o que pone pegas, la pierde.
Y si alguna vez buscas financiación o pasas por un proceso de due diligence, los inversores y compradores miran el cumplimiento de protección de datos. Tener un protocolo documentado para atender solicitudes de derechos es uno de esos detalles que distinguen a una startup madura de una que improvisa.
¿Tu startup está preparada para gestionar estas solicitudes?
Si leyendo este artículo te has dado cuenta de que no tienes un proceso claro para atender el derecho de acceso, no eres la única. La mayoría de startups en etapas tempranas no lo tienen hasta que les llega la primera solicitud.
La buena noticia es que no es complicado. Se trata de tener un canal habilitado, un proceso documentado y a alguien responsable de gestionarlo. Si quieres ayuda para montar ese protocolo o para revisar si tu adaptación al RGPD está completa, en Emprender Seguro podemos ayudarte.