Gestionar la protección de datos en una empresa o negocio digital implica mucho más que redactar una política de privacidad o colocar un banner de cookies. Uno de los puntos donde la Agencia Española de Protección de Datos (AEPD) impone un mayor volumen de sanciones administrativas es la mala gestión de las solicitudes de los usuarios.
Entender qué son los derechos ARCO en el RGPD y cómo deben responderse en tiempo y forma es indispensable para mantener el cumplimiento normativo de tu organización.
¿Qué son los derechos ARCO?
El término derechos ARCO es el acrónimo tradicional que engloba los cuatro derechos fundamentales de protección de datos reconocidos históricamente en la normativa española (LOPD 15/1999):
- Acceso: Permite al ciudadano saber si una entidad está tratando sus datos personales, con qué finalidad y a quién se han cedido.
- Rectificación: Faculta al interesado a corregir información inexacta o incompleta que conste en los ficheros o sistemas del responsable.
- Cancelación: Consistía en solicitar el borrado de datos imprecisos o excesivos (concepto sustituido y ampliado por el actual RGPD).
- Oposición: Otorga el derecho a exigir que no se realice un determinado tratamiento de sus datos personales.
Evolución normativa: De derechos ARCO a derechos ARCO-POL bajo el RGPD
Con la entrada en vigor del Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales (LOPDGDD 3/2018), el abanico de facultades del ciudadano se amplió. Por ello, en el sector técnico y legal se suele hablar de derechos ARCO-POL o derechos ARSULIPO, incorporando tres nuevas figuras:
- Portabilidad (P): Recibir los datos en un formato estructurado y de lectura mecánica para transmitirlos a otro responsable.
- Olvido / Supresión (O / S): Evolución del derecho de cancelación que abarca la eliminación de datos en motores de búsqueda e internet bajo ciertos requisitos.
- Limitación del tratamiento (L): Solicitar la suspensión cautelar del procesamiento de la información mientras se verifica una rectificación o impugnación.
¿Por qué la mala gestión de los derechos ARCO genera sanciones RGPD?
Impedir, obstaculizar o ignorar el ejercicio de los derechos ARCO en el RGPD constituye una infracción calificada como grave o muy grave por la LOPDGDD y el propio reglamento europeo.
Las razones operativas por las que las empresas reciben sanciones de la AEPD suelen ser:
1. Incumplimiento de los plazos legales de respuesta
El plazo general establecido por el RGPD para responder a cualquier solicitud de derechos es de un mes natural a partir de la recepción de la petición. Este plazo solo puede prorrogarse dos meses adicionales en casos de alta complejidad, siempre informando motivadamente al interesado dentro del primer mes.
2. Canales de atención defectuosos o inaccesibles
Es obligatorio poner a disposición del usuario un canal gratuito y claro (como una dirección de correo específica, por ejemplo protecciondedatos@tuempresa.com). Exigir trámites burocráticos innecesarios o no contestar correos recibidos en la dirección señalada en la política de privacidad suele derivar en reclamaciones ante la AEPD.
3. Falta de prueba de entrega o de acuse de recibo
La carga de la prueba sobre el cumplimiento corresponde al responsable del tratamiento. Si un usuario ejercita sus derechos y la empresa no conserva la constancia documental de haber respondido formalmente, la AEPD considerará desatendido el derecho.
4. Exigir requisitos desproporcionados
Pedir fotocopia compulsada del DNI o documentación excesiva cuando la identidad ya ha sido verificada a través del canal habitual de usuario se considera una traba injustificada que puede ser sancionada.
| Tipo de Infracción | Motivo habitual | Posible sanción AEPD / RGPD |
| Grave / Muy Grave | Ignorar o denegar injustificadamente derechos ARCO | Hasta 20 millones € o 4% de la facturación global |
| Leve / Grave | Responder fuera del plazo de 1 mes sin justificación | Apercibimiento o multas administrativas variables |
Protocolo recomendado para gestionar las solicitudes en tu empresa
Para garantizar el cumplimiento normativo en la atención de solicitudes de derechos ARCO RGPD, es recomendable implantar el siguiente procedimiento interno:
- Centralizar la recepción: Definir un punto único de entrada para las peticiones de privacidad (vía web o correo electrónico).
- Identificar la solicitud: Confirmar la identidad del remitente mediante un medio proporcional.
- Registro de entrada y salida: Documentar la fecha exacta de recepción para computar el margen del mes legal.
- Verificación técnica: Comprobar si los datos existen en la base de datos o en sistemas de encargados de tratamiento (como CRM o herramientas de marketing email).
- Respuesta formal y motivada: Responder siempre, incluso cuando proceda denegar el derecho por algún imperativo legal, indicando explicitamente al usuario su facultad de acudir a la tutela de la AEPD.
¿Necesitas auditoría o asistencia para gestionar solicitudes RGPD en tu empresa?
Evita sanciones administrativas no deseadas y asegura el cumplimiento de la normativa de protección de datos en tu negocio. En Dataibérica ponemos a tu disposición a nuestro equipo experto en RGPD y consultoría legal para implantar protocolos seguros en la gestión de derechos ARCO.
