Derecho de acceso y de supresión: responder en un mes, sin pánico

Para quién es

La Oficina Rocha, Marta, Inês, Rui y las personas que les escriben son ficticios. Las reglas, los plazos y las conclusiones de las autoridades son reales y tienen fuente.

Escena 1 · martes 27 de octubre, 9:10

«Envíenme todo lo que tienen sobre mí»

Marta es la responsable de administración de la Oficina Rocha, una fábrica de muebles de 45 personas cerca de Braga, en el norte de Portugal, con tienda online. También «lleva el RGPD», los viernes por la tarde. Hoy, al vaciar el buzón general info@, encuentra esto:

De: paulo.m…@gmail.com · Para: info@ · 6 de octubre, 22:47

Buenas noches. Dejé la empresa en junio. Me gustaría recibir todos los datos personales que la Oficina Rocha tiene sobre mí. Gracias, Paulo Mendes

El correo tiene tres semanas. La primera reacción de Marta es muy habitual: «lo mandó a la dirección equivocada, ¿esto cuenta?». Cuenta. El reloj empezó el 6 de octubre y se para el 6 de noviembre. Quedan diez días.

Llama a Inês, la DPO externa que apoya a la empresa. Inês mantiene la calma: «Diez días bastan si empezamos hoy. Vamos a hacerlo en el orden correcto». Esta guía es ese orden.

Pasa a menudo. Cuando las autoridades europeas de protección de datos analizaron 1185 organizaciones en 2024, uno de los problemas más frecuentes fue no reconocer las solicitudes que no mencionan el RGPD o que llegan por canales que no están pensados para ellas. Y el 74 % de esas organizaciones había recibido entre cero y diez solicitudes de acceso el año anterior. Con tan pocas solicitudes, nadie recuerda el procedimiento cuando hace falta.

Fuente: CEPD, informe de la acción coordinada de 2024 sobre el derecho de acceso (adoptado el 16 de enero de 2025, en inglés).

Plantilla gratuita: el Registro de solicitudes de acceso y supresión convierte esta guía en una hoja de cálculo lista para usar.

PASO 1

Reconocer la solicitud

El RGPD no fija ninguna forma para la solicitud. Puede llegar por correo electrónico, carta, teléfono, formulario web, redes sociales o en persona a un compañero. La persona no tiene que escribir «artículo 15» ni explicar para qué quiere los datos. El Comité Europeo de Protección de Datos (CEPD) es claro: no debe valorar el «porqué», y no puede denegar solo porque la solicitud no mencione la ley.

Hay un límite razonable. Si ha publicado un canal específico y alguien escribe a una dirección que no tiene nada que ver (el ejemplo del CEPD es el correo del personal de limpieza), puede que la solicitud no cuente. Pero una dirección general como info@ o la de atención al cliente sí cuenta, y el CEPD espera que haga «todos los esfuerzos razonables» para hacerla llegar a quien corresponda. El tiempo que la solicitud pasa perdida en un buzón no amplía el plazo.

CEPD, Directrices 01/2022 sobre el derecho de acceso, v2.1, apartados 13, 50 y 52 a 57 y ejemplos 8 y 9.

PASO 2

Contar el plazo al día

El RGPD dice «un mes», no 30 días. El cómputo sigue las normas de la UE sobre plazos: el día en que llega la solicitud no cuenta, y el plazo termina el mismo día del mes siguiente. Si ese día no existe, termina el último día del mes. Si cae en sábado, domingo o festivo, pasa al siguiente día hábil.

Algunas autoridades, como la CNPD (la autoridad portuguesa de protección de datos), dicen al público que puede esperar respuesta en «30 días». Trabajar con 30 días es la forma más segura de no pasarse nunca del mes.

Prórroga. Puede añadir hasta dos meses «en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes». Con dos condiciones: decírselo a la persona dentro del primer mes y dar el motivo (modelo 4). Una prórroga enviada el día 35 llega tarde.

¿Responde a solicitudes en España?

La Ley Orgánica 3/2018 (LOPDGDD) concreta tres puntos del derecho de acceso. Si trata una gran cantidad de datos de la persona y la solicitud no dice a qué se refiere, puede pedirle que lo especifique antes de responder (art. 13, apartado 1), aunque sin usarlo para recortar la respuesta (vea el paso 7). El acceso se entiende atendido si le da un sistema de acceso remoto, directo y seguro a todos sus datos, de forma permanente (art. 13, apartado 2). Y pedir el acceso más de una vez en seis meses puede considerarse repetitivo, salvo que haya una causa legítima (art. 13, apartado 3). La Agencia Española de Protección de Datos (AEPD) publica modelos para que los ciudadanos ejerzan estos derechos: conviene conocerlos, porque son los que le llegarán.

LOPDGDD, arts. 12 y 13; AEPD, Modelos y formularios.

Art. 12, apartado 3, del RGPD; Reglamento (CEE, Euratom) 1182/71, art. 3; CNPD, Direito ao apagamento dos dados (en portugués).

PASO 3

Comprobar la identidad, con proporción

Pida más información solo cuando tenga dudas razonables sobre quién hace la solicitud, y solo lo que de verdad necesite. El reflejo de pedir a todo el mundo una copia del DNI es un error: el CEPD dice que, en general, no es una forma adecuada de autenticar a alguien y crea un riesgo de seguridad. En su informe de 2024, las autoridades escribieron que pedir un documento de identidad de forma indiscriminada «puede constituir un tratamiento excesivo».

Use lo que ya tiene. Un cliente con cuenta en la tienda online puede confirmar a través de la cuenta. Un antiguo trabajador puede confirmar algo que solo él y la empresa saben, o recibir la respuesta en los datos de contacto que ya figuran en su expediente. En el caso de Paulo, su correo personal ya estaba en su expediente de recursos humanos, así que Inês no pidió nada más.

Si de verdad necesita comprobarlo, pregunte en los primeros días (modelo 2) para no gastar el mes esperando.

Art. 12, apartado 6, y considerando 64 del RGPD; CEPD, Directrices 01/2022, apartados 73 a 77 y ejemplos 13 y 14; CEPD, informe de la acción coordinada de 2024.

PASO 4

Acceso: lo que tiene que enviar

Una respuesta de acceso tiene dos partes. Piense en una carpeta con una copia dentro y una hoja de presentación encima.

Lo que ya ha decidido el Tribunal de Justicia

Art. 15 del RGPD; TJUE C-154/21, C-487/21, C-307/22, C-579/21; CEPD, Directrices 01/2022.

PASO 5

Dónde buscar

El primer problema que encontraron las autoridades en 2024 fueron búsquedas demasiado estrechas: mirar solo en la base de datos principal y olvidar los correos, los metadatos, los archivos que no son texto o las copias de seguridad. Recuerdan que no puede limitar la respuesta a los datos que usted considere relevantes.

En la Oficina Rocha, Rui, de informática, buscó el nombre y las direcciones de correo de Paulo en los buzones, el servidor de archivos y el programa de nóminas, y confirmó que las grabaciones de junio ya se habían borrado en el ciclo normal. Le llevó una mañana. Marta sacó el expediente de personal. Inês lo revisó todo y tachó los datos de clientes y compañeros.

CEPD, informe de la acción coordinada de 2024, problema 1 y recomendaciones; art. 30 del RGPD.

Escena 2 · dos semanas después

«Borren mi cuenta y todo lo que tengan sobre mí»

Paulo recibió su respuesta el 4 de noviembre, dos días antes del plazo. Marta respira. Entonces llega un mensaje por el formulario de la tienda online de Sofia, una clienta que compró una mesa en 2024 y recibe la newsletter.

Borrarlo todo parece sencillo. Pero la factura de la mesa lleva el nombre y la dirección de Sofia, y la ley fiscal obliga a conservarla. La newsletter sale por una plataforma externa. Y hay copias de seguridad cada noche. Marta escribe a Inês: «¿Lo borro o no?». La respuesta: «Las dos cosas. Vamos a ver qué es qué».

PASO 6

Supresión: cuándo hay que borrar y cuándo se puede conservar

El derecho de supresión, también llamado «derecho al olvido», no es absoluto. Primero compruebe si se da alguno de los supuestos. Después compruebe si se aplica alguna excepción, caso por caso y por escrito.

Tres puntos donde tropiezan las organizaciones

Cerrar una cuenta no es lo mismo que suprimir los datos. Las autoridades han pedido más conciencia de esta diferencia, porque muchas organizaciones tratan las dos cosas como una sola.

En España, suprimir empieza por bloquear. La LOPDGDD obliga a bloquear los datos cuando se suprimen: quedan apartados y sin usar, solo a disposición de jueces y tribunales, el Ministerio Fiscal y las administraciones competentes, como la AEPD, para posibles responsabilidades y durante su plazo de prescripción. Cumplido ese plazo, se destruyen (art. 32).

Arts. 17 y 19 del RGPD; LOPDGDD, arts. 15 y 32; CEPD, informe de la acción coordinada de 2025 sobre el derecho de supresión (adoptado el 10 de febrero de 2026, en inglés); AEPD, Tus derechos de protección de datos.

PASO 7

Denegar o limitar, sobre terreno firme

Solo puede denegar, o cobrar un canon razonable, si la solicitud es manifiestamente infundada o excesiva, por ejemplo porque es repetitiva. El CEPD dice que estos conceptos deben interpretarse de forma estricta, y le corresponde a usted demostrar que la solicitud lo es. Una solicitud repetida porque su primera respuesta estaba incompleta es solo un recordatorio, no una solicitud nueva.

Tampoco use la denegación para ahorrarse trabajo. Si alguien pide todo y usted tiene años de datos en muchos sistemas, puede preguntarle si prefiere empezar por un área concreta (modelo 3). Pero el CEPD advierte de que esta petición de concreción no puede servir para limitar la respuesta. Si dice «todo», envíe todo.

Siempre que no atienda una solicitud, total o parcialmente, tiene que responder en el plazo de un mes con los motivos e informar a la persona de que puede reclamar ante una autoridad de control y acudir a los tribunales (modelo 7).

Art. 12, apartados 4 y 5, y art. 15, apartado 4, del RGPD; CEPD, Directrices 01/2022, apartado 29 y sección 6.

Lo que encontraron las autoridades

Siete cosas que no hacer

Estos problemas aparecieron una y otra vez.

1. 1
   No tener un procedimiento escrito.Diecisiete autoridades encontraron organizaciones sin un procedimiento de supresión documentado y actualizado. Algunas revisan el suyo cada cinco años, o nunca.
2. 2
   No reconocer la solicitud ni acusar recibo.Las solicitudes que no mencionan el RGPD, o que llegan por canales no pensados para ellas, se quedan sin respuesta.
3. 3
   Pedir a todos el DNI.Formularios web obligatorios, solicitudes solo por escrito y el documento de identidad por defecto son barreras para ejercer el derecho.
4. 4
   Buscar solo en la base de datos principal.Los correos, los metadatos, los archivos que no son texto y las copias de seguridad se quedan fuera.
5. 5
   Responder con la política de privacidad.Información genérica, destinatarios solo por categorías y plazos de conservación vagos, en lugar de respuestas adaptadas a la persona.
6. 6
   Guardar el registro de solicitudes para siempre.Plazos de conservación de las propias solicitudes que van de seis meses a 45 años, o ninguno. Fije un plazo y guarde estos registros por separado.
7. 7
   Aplicar las excepciones de forma automática.Más de una docena de autoridades vieron excepciones del art. 17, apartado 3, aplicadas sin un análisis caso por caso, y denegaciones sin motivo documentado.

CEPD, informe de 2024 (acceso); CEPD, informe de 2025 (supresión).

Para imprimir

El mes, día a día

Respuestas modelo

Siete respuestas listas para adaptar

Sustituya todo lo que está entre [corchetes]. Escriba como escribe una persona a otra: estas respuestas las lee quien preguntó y, a veces, una autoridad de control.

Estimado/a [nombre]:
Recibimos su solicitud el [fecha de recepción], en la que pide [resumen: acceso a sus datos personales / la supresión de sus datos].
Le responderemos como muy tarde el [fecha límite]. Si la solicitud resulta especialmente compleja y necesitamos más tiempo, se lo diremos antes de esa fecha y le explicaremos por qué.
La referencia de su solicitud es [número]. Si tiene cualquier duda, basta con responder a este correo.
Un saludo,
[Nombre]
[Cargo] · [Organización]

Estimado/a [nombre]:

Para proteger sus datos, necesitamos estar seguros de que la solicitud viene de usted. En este caso, [motivo concreto: el correo que ha usado no es el que está asociado a su cuenta].
Puede confirmarlo de cualquiera de estas formas:
– [opción proporcionada 1: responder desde el correo asociado a su cuenta]
– [opción proporcionada 2: indicarnos el número de un pedido reciente]
No hace falta que nos envíe una copia de su documento de identidad. En cuanto tengamos su confirmación, seguiremos con su solicitud.
Un saludo,
[Nombre] · [Organización]

Estimado/a [nombre]:

Ya hemos empezado a reunir sus datos. Tenemos información sobre usted en [lista: su expediente de personal, correos de trabajo de [año] a [año], registros de acceso al edificio].
Para enviarle primero lo que más le interesa, ¿hay algún área o periodo concreto que prefiera recibir? Si prefiere todo, díganoslo y se lo enviaremos completo dentro del plazo, como muy tarde el [fecha límite].
Un saludo,
[Nombre] · [Organización]

Estimado/a [nombre]:
Estamos trabajando en su solicitud del [fecha de recepción]. Necesitamos más tiempo porque [motivo concreto: sus datos están en siete sistemas distintos e incluyen unos [N] correos de varios años, que tenemos que revisar para proteger los datos de otras personas].
Por ese motivo, y como permite el artículo 12, apartado 3, del RGPD, ampliamos el plazo. Le responderemos como muy tarde el [nueva fecha, como máximo tres meses después de la recepción].
[Opcional: Mientras tanto, le adjuntamos [la parte que ya está lista].]
Si no está de acuerdo con esta prórroga, puede presentar una reclamación ante [autoridad de control, p. ej. la Agencia Española de Protección de Datos: www.aepd.es].
Un saludo,
[Nombre] · [Organización]

Estimado/a [nombre]:
En respuesta a su solicitud del [fecha de recepción], le adjuntamos una copia de los datos personales que tratamos sobre usted [formato: archivo PDF / carpeta zip protegida con contraseña, que le enviamos por separado].

Para qué usamos sus datos: [fines concretos, p. ej. gestionar su contrato de trabajo, pagar las nóminas, cumplir las obligaciones fiscales y de Seguridad Social].
Qué datos tratamos: [categorías: identificación, datos de contacto, datos bancarios, registro de jornada, evaluaciones de desempeño].
A quién se los hemos comunicado: [destinatarios concretos: Tesorería General de la Seguridad Social, Agencia Tributaria, [nombre de la gestoría], [nombre de la aseguradora]].
Cuánto tiempo los conservamos: [plazo o criterios para cada categoría].
Sus derechos: puede pedirnos que rectifiquemos o suprimamos sus datos, o que limitemos su tratamiento, y puede oponerse a él.
Puede presentar una reclamación ante [autoridad de control, p. ej. la Agencia Española de Protección de Datos: www.aepd.es].
De dónde salieron los datos: [nos los dio usted / los obtuvimos de [origen]].
Decisiones automatizadas: [no tomamos decisiones basadas únicamente en el tratamiento automatizado sobre usted / descripción y lógica aplicada].
[Si procede: Transferencias fuera del EEE: [país, garantía utilizada].]

Para proteger a otras personas, hemos tachado [datos de compañeros y clientes] en [documentos].
Si falta algo, o tiene alguna pregunta, basta con responder a este correo.
Un saludo,
[Nombre] · [Organización]

Estimado/a [nombre]:

Hemos atendido su solicitud del [fecha de recepción].
Lo que hemos suprimido: [su cuenta de la tienda online, el historial de pedidos que aparecía en ella, sus preferencias y su contacto en nuestra lista de la newsletter].
Lo que tenemos que conservar: [las facturas de sus compras], porque [obligación legal concreta: la normativa fiscal nos obliga a conservarlas durante el plazo legal]. Solo las conservaremos para ese fin y las borraremos el [fecha o criterio].
[En España: Los datos suprimidos quedan bloqueados, sin ningún uso, a disposición únicamente de jueces y tribunales, el Ministerio Fiscal y las administraciones competentes durante el plazo de prescripción de posibles responsabilidades. Después se destruirán.]
A quién más hemos avisado: hemos pedido a [nombre de la plataforma de email marketing / otros destinatarios] que borre sus datos.
Copias de seguridad: sus datos siguen existiendo en las copias de seguridad hechas antes de hoy. Esas copias se borran automáticamente como muy tarde el [fecha], y no volveremos a usar sus datos si alguna vez hay que restaurar una copia.
Si no está de acuerdo con esta respuesta, puede presentar una reclamación ante [autoridad de control, p. ej. la Agencia Española de Protección de Datos: www.aepd.es] o acudir a los tribunales.
Un saludo,
[Nombre] · [Organización]

Estimado/a [nombre]:

Hemos analizado su solicitud del [fecha de recepción] y no vamos a atenderla [en su totalidad / en parte: indique qué parte].
El motivo: [explicación concreta, p. ej. el [fecha] respondimos a una solicitud de acceso idéntica con una copia completa de sus datos, y desde entonces no hemos tratado datos nuevos sobre usted. / Los datos cuya supresión pide son necesarios para defendernos en un procedimiento judicial en curso, ref. [número] (artículo 17, apartado 3, letra e), del RGPD), y se suprimirán cuando termine el procedimiento.]
Si no está de acuerdo, tiene derecho a presentar una reclamación ante [autoridad de control, p. ej. la Agencia Española de Protección de Datos: www.aepd.es] y a acudir a los tribunales.
Un saludo,
[Nombre] · [Organización]

Lo que puede cambiar · actualizado el 21 oct 2026

Una propuesta de la UE apunta a las solicitudes de acceso «abusivas»

En noviembre de 2025, la Comisión Europea presentó el paquete Digital Omnibus, COM(2025) 837. Para el derecho de acceso, propone tres cambios en el art. 12, apartado 5: permitir al responsable denegar o cobrar cuando el derecho de acceso se use para fines distintos de proteger los propios datos; rebajar la carga de la prueba, de modo que baste con que el responsable tenga «motivos razonables para creer» que una solicitud es excesiva; y, en un considerando, tratar como excesivas las solicitudes «demasiado amplias e indiferenciadas».

El CEPD y el Supervisor Europeo de Protección de Datos (SEPD) compartieron el objetivo de dar más claridad, pero pidieron que se eliminaran esas tres redacciones (Dictamen conjunto 2/2026, de 10 de febrero de 2026). Recuerdan que, según la sentencia del Tribunal de Justicia en el asunto C-307/22, las personas no tienen que justificar sus solicitudes.

En octubre de 2026, los embajadores de la UE tenían en su orden del día el mandato del Consejo para negociar con el Parlamento Europeo. La propuesta no es ley. Las reglas de esta guía se aplican hoy. Actualizaremos este recuadro cuando se publique un texto definitivo en el Diario Oficial. Analizamos la propuesta con más detalle, brechas de datos incluidas, en nuestro artículo sobre el Digital Omnibus.

Por otra parte, otra propuesta (Omnibus IV) va a ampliar la exención de llevar un registro de actividades de tratamiento a las organizaciones con menos de 1000 personas, salvo en las actividades de alto riesgo (acuerdo provisional del 26 de junio de 2026). Aunque quede exento, seguirá necesitando saber dónde están sus datos para responder a estas solicitudes.

COM(2025) 837; CEPD y SEPD, Dictamen conjunto 2/2026; orden del día del Coreper, octubre de 2026; procedimiento 2025/0130(COD).

Antes de enviar

Checklist

Dudas habituales

Preguntas frecuentes

¿Cuánto tiempo tengo para responder a una solicitud de acceso?

Un mes desde la recepción, hasta el mismo día del mes siguiente (art. 12, apartado 3). Si la solicitud es compleja o tiene muchas, puede prorrogarlo hasta dos meses más, siempre que se lo diga a la persona dentro del primer mes y le explique por qué.

¿Puedo pedir una copia del DNI para confirmar la identidad?

Por regla general, no. Solo puede pedir más información cuando tenga dudas razonables sobre quién hace la solicitud (art. 12, apartado 6), y el CEPD considera que una copia de un documento de identidad no es, en general, un medio adecuado. Use lo que ya tiene, como la cuenta del cliente o los datos de contacto que constan en su expediente.

¿Puedo cobrar por la copia de los datos?

La primera copia es gratuita, y la persona no tiene que explicar para qué la quiere (C-307/22). Solo puede cobrar un canon razonable por copias adicionales (art. 15, apartado 3) o cuando la solicitud sea manifiestamente infundada o excesiva, y tiene que poder demostrarlo (art. 12, apartado 5).

Un cliente ha pedido la supresión. ¿También tengo que borrar las facturas?

No, mientras la ley fiscal le obligue a conservarlas. El derecho de supresión no se aplica en la medida en que el tratamiento sea necesario para cumplir una obligación legal (art. 17, apartado 3, letra b). Conserve solo la factura, solo para ese fin y solo durante el plazo legal, borre el resto y explíquelo en su respuesta. En España, además, los datos suprimidos se bloquean durante el plazo de prescripción (LOPDGDD, art. 32).

¿Quién responde a la solicitud: la empresa o el DPO?

La empresa, como responsable del tratamiento. El DPO asesora, vigila el plazo y es punto de contacto para las personas (art. 38, apartado 4), pero la decisión y la respuesta corresponden al responsable. La guía para DPO externos con varios clientes explica dónde termina el papel del DPO.

¿Y si mi respuesta envía por error datos de otra persona?

Es una brecha de datos personales. Intente recuperar el mensaje o pida que se borre, regístrelo y evalúe el riesgo: si hay riesgo, tiene 72 horas para notificarlo a la autoridad de control. La guía de las primeras 72 horas muestra cómo decidir.

Solo fuentes oficiales

Fuentes

Legislación y jurisprudencia

• Reglamento (UE) 2016/679 (RGPD), arts. 8, 12, 15, 17, 19, 21 y 30 y considerandos 63 y 64 (EUR-Lex)
• Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), arts. 12, 13, 15 y 32 (BOE)
• Reglamento (CEE, Euratom) 1182/71, normas aplicables a los plazos (EUR-Lex)
• TJUE, C-154/21, Österreichische Post (12 ene 2023), destinatarios
• TJUE, C-487/21, F.F. y CRIF (4 may 2023), qué es una «copia»
• TJUE, C-579/21, J.M. y Pankki S (22 jun 2023), consultas de los empleados
• TJUE, C-307/22, FT y DW (26 oct 2023), primera copia gratuita

Comité Europeo de Protección de Datos (CEPD)

• Directrices 01/2022 sobre el derecho de acceso, v2.1 (abril de 2023)
• Informe de la acción coordinada de 2024, derecho de acceso (en inglés)
• Informe de la acción coordinada de 2025, derecho de supresión (en inglés)
• CEPD y SEPD, Dictamen conjunto 2/2026 sobre el Digital Omnibus (en inglés)

Autoridades nacionales y proceso legislativo

• AEPD, Tus derechos de protección de datos
• AEPD, Modelos y formularios, modelos para ejercer los derechos
• CNPD, Direito de acesso aos dados (en portugués)
• CNPD, Direito ao apagamento dos dados (en portugués)
• Comisión Europea, COM(2025) 837, Digital Omnibus
• Consejo de la UE, orden del día del Coreper, 9 oct 2026 (en inglés)
• Parlamento Europeo, procedimiento 2025/0130(COD), Omnibus IV

Última revisión: 21 de octubre de 2026. Revisamos esta guía cada vez que cambian la ley o las orientaciones de las autoridades.

Esta guía es información general sobre el RGPD y no constituye asesoramiento jurídico. Para casos concretos, hable con su DPO o con un abogado.

La Oficina Rocha y todas las personas de las escenas son ficticias.