Diagrama de flujo del ejercicio de derechos RGPD (de recepción a cierre)
Diagrama del proceso de ejercicio de derechos RGPD: registra la solicitud e inicia el plazo de un mes, verifica la identidad, clasifica el derecho, busca en sistemas y encargados, oculta datos de terceros, amplía y documenta.
Cómo funciona
Renombra los carriles con tus propios roles
Sustituye Interesado, Equipo de privacidad, Delegado de protección de datos, Asesoría jurídica y Responsables de sistemas y datos por los roles que de verdad tienes. Muchas organizaciones no están obligadas a designar delegado de protección de datos ni tienen abogado en plantilla: fusiona esos dos carriles en un responsable de privacidad y nombra al despacho externo al que consultas los casos difíciles, en vez de dibujar un revisor que nunca revisa. Mantén separado el carril de responsables de sistemas y datos sea cual sea tu tamaño, porque la búsqueda la hace quien opera los sistemas y no quien es propietario del proceso.
Enumera todos los canales por los que puede entrar una solicitud
Una solicitud no tiene que presentarse por escrito, no tiene que citar el RGPD y no tiene que llegar al equipo de privacidad. Escribe cada vía que recorre de verdad —buzón de soporte, formulario de contacto, redes sociales, teléfono, correo postal, recepción, un mando intermedio, el escrito de un abogado— y da a cada una un responsable con la instrucción de remitirla el mismo día sin valorarla. Después decide el único sitio donde se registran las solicitudes, para que la fecha de recepción exista en un sistema y no en los enviados de alguien.
Escribe tus reglas de identidad antes de necesitarlas
Decide de antemano qué verificación corresponde a cada tipo de solicitante: un titular de cuenta ya autenticado, un antiguo empleado, un tercero que actúa con poder de representación, un padre o una madre que pregunta por un menor. Di qué prueba despeja qué duda, cuánto tiempo la conservas y cuándo se elimina. Deja después por escrito tu posición sobre si pedir pruebas de identidad suspende el plazo, porque los criterios de las autoridades no coinciden y la postura que adoptes tiene que ser coherente y estar documentada, no decidirse solicitud a solicitud.
Construye el inventario de sistemas del que depende la búsqueda
«Buscar en sistemas, copias y encargados» vale lo que valga la lista que tiene detrás. Toma tu registro de actividades de tratamiento y conviértelo en una lista de comprobación que nombre cada aplicación, buzón, unidad compartida, sistema de tickets, instalación de videovigilancia, archivo de grabaciones y encargado del tratamiento, con quién ejecuta la búsqueda y cuánto tarda. Añade tu posición estable sobre copias de seguridad y archivos históricos. Una lista de comprobación hace que la misma solicitud dé el mismo resultado dos veces, que es justo lo que examina un inspector.
Fija el estándar de ocultación y de excepciones
Asocia tus criterios a «Revisar datos de terceros y secreto profesional» para que la ocultación no se improvise: cuándo se pueden comunicar datos de un tercero, cuándo se le pide consentimiento, cuándo es razonable comunicarlos sin él, y cómo se invoca el secreto profesional y quién lo invoca. Enumera las limitaciones a los derechos que aplicas en tu jurisdicción —en España, las que recoge la LOPDGDD junto al propio RGPD— y exige que quede registrado el motivo de cada elemento retenido. Una ocultación hecha sin motivo escrito no la puede defender meses después alguien que no estaba allí.
Pon fechas internas dentro del mes y después publícalo
Trabaja hacia atrás desde el plazo y da a cada paso su propia fecha objetivo: búsqueda terminada el día diez, revisión terminada el día dieciocho, firma el día veinticuatro. El mes legal es el límite exterior, no el plan, y la decisión de ampliar hay que tomarla cuando todavía queda tiempo para comunicarla. Después recorre el diagrama terminado con el equipo que recibe las solicitudes, un responsable de sistemas y quien firme las respuestas, corrígelo hasta que refleje lo que de verdad hacen, y publica esa versión conservando las anteriores.
Preguntas frecuentes
¿Cuáles son los pasos de un proceso de ejercicio de derechos RGPD?
Recibir la solicitud por el canal que sea, registrarla e iniciar el plazo de un mes desde la fecha de recepción, acusar recibo, verificar la identidad de forma proporcional, clasificar qué derecho se está ejerciendo, comprobar si la solicitud es manifiestamente infundada o excesiva, acordar el alcance y hacer una única pregunta de aclaración solo si de verdad hace falta, buscar en todos los sistemas, copias de seguridad y encargados del tratamiento que puedan guardar los datos, revisar el resultado en busca de información de terceros y de secreto profesional, aplicar las excepciones que procedan dejando registrado el motivo de cada una, decidir si la solicitud es lo bastante compleja como para necesitar la prórroga de dos meses y comunicárselo al interesado si lo es, preparar la respuesta con su motivación, entregarla de forma segura a la persona verificada, registrar la solicitud y todas las decisiones tomadas, e informar de cómo reclamar si no queda conforme. Los pasos que más se saltan son la clasificación y la revisión de datos de terceros, y son justo los dos que generan reclamaciones.
¿Qué plazo hay para responder a una solicitud de acceso?
Un mes. El artículo 12.3 del RGPD obliga al responsable del tratamiento a facilitar información sobre las actuaciones realizadas sin dilación indebida y, en cualquier caso, en el plazo de un mes desde la recepción de la solicitud. Es un mes natural y no un cómputo de días hábiles, así que va de fecha a fecha: termina en el día equivalente del mes siguiente, en el último día de ese mes cuando no existe día equivalente, y en el siguiente día hábil cuando el día equivalente cae en fin de semana o festivo. Puede ampliarse otros dos meses cuando la solicitud es compleja o cuando la misma persona ha presentado varias, pero solo si informas al interesado de la prórroga y de sus motivos dentro del primer mes. Las autoridades de control no coinciden en si el plazo se suspende mientras esperas pruebas de identidad o una aclaración del alcance, así que deja por escrito qué criterio sigues y aplícalo siempre igual. En la práctica el plazo casi nunca se pierde en la búsqueda. Se pierde en los días que la solicitud pasa dando vueltas por la organización antes de llegar a quien tiene que contestarla.
¿Se puede denegar una solicitud de ejercicio de derechos?
A veces, pero rara vez por los motivos que primero se invocan. El artículo 12.5 permite al responsable del tratamiento cobrar un canon razonable o negarse a actuar cuando la solicitud es manifiestamente infundada o excesiva, y la carga de demostrarlo recae en el responsable. Amplia, inoportuna o presentada en mitad de un conflicto no es lo mismo que excesiva. Más allá de eso, la normativa nacional —en España, la LOPDGDD— prevé limitaciones que permiten retener material concreto en lugar de denegar la solicitud entera, y el derecho de supresión del artículo 17 está condicionado: su apartado 3 preserva los datos que estás obligado a conservar por ley o que necesitas para formular, ejercer o defender reclamaciones. Denegar no es callar. Sigues teniendo que contestar dentro del plazo, explicar los motivos e informar de que la persona puede reclamar ante la autoridad de control y acudir a la vía judicial. Por eso este diagrama dibuja la denegación como un paso que produce una respuesta, se registra junto a cualquier otro resultado y puede escalar, en vez de dejar que una solicitud denegada se caiga del proceso sin hacer ruido.
¿Qué se hace con los datos de otras personas en la respuesta?
Una solicitud de acceso es un derecho a los datos personales de quien la presenta, no a una copia de todos los documentos que lo mencionan, y las dos cosas se confunden con facilidad cuando el material son hilos de correo, expedientes de reclamación o notas de evaluación del desempeño. El artículo 15.4 dice que el derecho a obtener copia no puede afectar negativamente a los derechos y libertades de otros. En la práctica eso deja tres opciones para cada dato de un tercero: ocultarlo, pedir el consentimiento de esa persona para comunicarlo, o valorar que la comunicación es razonable sin su consentimiento atendiendo a qué datos son, a si esa persona está sujeta a un deber de confidencialidad y a si se ha negado. Registra qué opción tomaste y por qué. Haz la revisión una sola vez sobre el conjunto ya recopilado, que la valide una persona con nombre y apellidos, y conserva una copia sin ocultaciones de lo revisado para poder explicar la decisión si alguien la discute.
¿En qué se diferencia esto de un diagrama de solicitud de acceso a datos?
Responden ante autoridades distintas. El proceso de solicitud de acceso a datos que hay en /es/templates/proceso-de-solicitud-de-acceso-a-datos es interno: un empleado o un equipo pide acceso a un conjunto de datos para hacer su trabajo, y la organización decide en función de la finalidad, la sensibilidad, la base jurídica y las condiciones de uso, y concede después un permiso acotado, con fecha de caducidad y revocable. Ahí no hay más plazo que el que tú mismo te pongas, y puedes decir que no sin más. Esta página es un derecho reconocido por ley que ejerce un ciudadano. El plazo viene del artículo 12.3 y no de un acuerdo de nivel de servicio, el resultado es un paquete de información que se entrega y no un permiso que se concede, y la persona que está al otro lado puede reclamar ante la autoridad de control si te equivocas. Si estás gobernando quién puede consultar una tabla dentro de la empresa, usa la plantilla interna. Si alguien de fuera pregunta qué tienes sobre él, usa esta.