Tu compañía telefónica, tu supermercado con tarjeta de puntos, la aseguradora del coche o la red social que usas cada día saben cosas de ti que no recuerdas haberles contado. El artículo 15 del Reglamento General de Protección de Datos te da derecho a preguntar qué tienen, a recibir una copia gratis y a saber con quién lo han compartido. La empresa tiene un mes para contestar.
TL;DR: esta guía es para cualquiera que quiera saber qué datos guarda una empresa sobre él, por curiosidad, por una reclamación o antes de darse de baja. Al terminar sabrás qué puedes pedir, cómo redactar la solicitud con el modelo oficial de la AEPD, cuánto pueden tardar y qué hacer si no te responden.
¿Qué te tienen que dar exactamente?
Mucho más que una lista de campos. El artículo 15 obliga al responsable del tratamiento a confirmarte si trata datos tuyos y, si lo hace, a darte una copia de esos datos junto con esta información:
- Para qué los usa (los fines).
- Qué categorías de datos trata.
- A quién se los ha comunicado o comunicará, incluidos destinatarios fuera de la UE, y con qué garantías se transfieren.
- Cuánto tiempo piensa conservarlos o, si no puede decirlo, con qué criterio decide el plazo.
- De dónde los sacó, si no se los diste tú.
- Si toma decisiones automatizadas o elabora perfiles contigo y, en ese caso, información significativa sobre la lógica aplicada y sus consecuencias.
- Que tienes derecho a rectificar, suprimir, limitar u oponerte, y a reclamar ante una autoridad de control.
La primera copia es gratis. Por copias adicionales pueden cobrarte un canon razonable basado en costes administrativos. Si pides por vía electrónica, te lo deben dar en un formato electrónico de uso común, salvo que pidas otra cosa.
Paso 1: localiza a quién dirigirte
La solicitud va al responsable del tratamiento, es decir, la empresa u organismo que tiene tus datos. La propia Agencia Española de Protección de Datos insiste en sus instrucciones: la AEPD no tiene tus datos y no puede dártelos.
Busca en la política de privacidad de la empresa el canal para ejercer derechos o el contacto de su delegado de protección de datos. Usar ese canal facilita las cosas, pero no es obligatorio. Las Directrices 01/2022 del Comité Europeo de Protección de Datos sobre el derecho de acceso aclaran que el RGPD no impone ningún requisito formal a quien pide acceso. Basta con enviarla a un punto de contacto oficial de la empresa.
Paso 2: redacta la solicitud (o usa el modelo de la AEPD)
La forma más sencilla es partir del formulario para el ejercicio del derecho de acceso que publica la AEPD. Rellenas los datos de la empresa, los tuyos y firmas. El modelo ya pide todo lo que enumera el artículo 15 y recuerda el plazo de un mes.
Tres detalles que conviene saber antes de enviarlo:
- No tienes que explicar por qué lo pides. El CEPD lo dice sin rodeos: el interesado no tiene que motivar la solicitud, y a la empresa no le corresponde valorar si te va a servir de algo.
- No deberían exigirte copia del DNI por sistema. Las directrices del CEPD consideran desproporcionado pedir una copia del documento de identidad a quien la empresa ya ha autenticado, por ejemplo con los datos que usó para registrarte como cliente. El formulario de la AEPD añade que la verificación puede hacerse por medios electrónicos sin almacenar copias del documento. Si tienen dudas razonables sobre tu identidad, sí pueden pedirte información adicional (artículo 12.6).
- Guarda prueba del envío. Si luego tienes que reclamar, la AEPD te pedirá copia de la solicitud y de la respuesta, o algo que demuestre que la empresa la recibió.
Un aviso práctico: piénsalo antes de mandar la misma petición cada mes. Las instrucciones del modelo de la AEPD indican que se podrá considerar repetitivo ejercer el derecho más de una vez en seis meses sin causa legítima, y el artículo 12.5 permite cobrar o negarse ante solicitudes manifiestamente excesivas.
Paso 3: cuenta los plazos y, si no contestan, reclama
El artículo 12.3 del RGPD fija el ritmo:
- La empresa debe responder sin dilación y como máximo en un mes desde que recibe tu solicitud.
- Puede prorrogar dos meses más si la petición es compleja o recibe muchas, pero tiene que avisarte dentro del primer mes y explicarte por qué.
- Si decide no atenderte, debe decírtelo también dentro de ese mes, con los motivos y recordándote que puedes reclamar ante la autoridad de control y acudir a los tribunales.
El CEPD añade un matiz útil: la respuesta debe reflejar los datos tal como estaban cuando la empresa recibió la petición, incluso si son incorrectos.
Pasado el mes sin respuesta, o con una respuesta incompleta, puedes reclamar ante la AEPD. Según la página de la AEPD sobre cómo interponer una reclamación, existe en su sede electrónica un canal específico para «solicitudes de derechos no atendidas». La reclamación se presenta preferentemente por vía telemática con el formulario de la sede.
Adjunta la solicitud que enviaste, la respuesta si la hubo y la prueba de recepción. Sin eso, el expediente se atasca.
¿Y las herramientas de «descarga tus datos»?
Algunas plataformas ofrecen exportaciones automáticas. Google Takeout es un ejemplo: según la ayuda oficial de Google, eliges qué productos incluir (correo, documentos, calendario, fotos, vídeos de YouTube…), recibes un enlace por correo o el archivo en Drive, Dropbox u otros servicios, y el archivo caduca en unos siete días. El proceso puede tardar desde minutos hasta varios días. Google advierte de que descargar tus datos no los borra de sus servidores.
Estas herramientas son cómodas, pero no equivalen al derecho de acceso. Una exportación te da tus contenidos; el artículo 15 te da además los fines, los destinatarios, los plazos de conservación y la lógica de las decisiones automatizadas. Si lo que te interesa es saber con quién se han compartido tus datos o cómo te perfilan, la exportación no basta: pide el acceso formal.
Mi lectura es que el derecho de acceso es el más infrautilizado del RGPD y, a la vez, el que más poder te da, porque todos los demás (rectificar, borrar, oponerte) dependen de saber primero qué hay. Funciona especialmente bien con servicios donde no ves lo que se recoge: los asistentes de voz que guardan grabaciones de lo que oyen o los coches conectados que recopilan ubicación y hábitos de conducción. Y conviene tenerlo presente también al ordenar tu vida digital pensando en el futuro, junto a la herencia digital y lo que pasa con tus cuentas online cuando mueres. La respuesta de la empresa suele ser larga y árida; aun así, leerla es la mejor auditoría de privacidad que puedes hacer gratis.