# Derecho de acceso y de supresión: responder en un mes, sin pánico URL: https://pulsaiq.com/es/guias/derecho-acceso-supresion/ Última revisión: 2026-10-23 Idioma: es Base jurídica: RGPD, arts. 12, 15 y 17 Un proceso para las solicitudes de acceso y de supresión que puede repetir cada vez que alguien pregunta «¿qué datos tienen sobre mí?» o dice «bórrenlo todo». Con los plazos contados al día y siete respuestas modelo listas para adaptar. ## En dos minutos - **Plazo: un mes desde la recepción** de la solicitud, aunque nadie la haya leído todavía. Puede prorrogarlo otros dos meses si las solicitudes son complejas o numerosas, pero tiene que decírselo a la persona, con los motivos, *dentro* del primer mes. Art. 12, apartado 3 - **Gratis.** Solo puede cobrar un canon razonable por copias adicionales, o denegar o cobrar cuando la solicitud sea manifiestamente infundada o excesiva, y tiene que poder demostrarlo. Art. 12, apartado 5; art. 15, apartado 3 - **No hay palabras mágicas.** Un correo a info@, una carta o un mensaje a un compañero pueden ser una solicitud válida. La persona no tiene que dar motivos ni mencionar el RGPD. CEPD, Directrices 01/2022 - **Acceso** significa una copia de los datos más ocho datos concretos sobre cómo los usa. Remitir a su política de privacidad no basta. Art. 15 - **Supresión** tiene seis supuestos y cinco excepciones. A menudo la respuesta correcta es «hemos borrado esto y conservamos aquello hasta esta fecha, por este motivo». En España, además, lo suprimido se bloquea. Art. 17; LOPDGDD, art. 32 ## Para quién es
Es para usted si

Recibe estas solicitudes en una pequeña o mediana organización (dirección, recursos humanos, atención al cliente), o es el delegado de protección de datos (DPO) que la apoya.

No es para usted si

Busca un análisis de las solicitudes de acceso en un litigio, o en organismos públicos con reglas propias. Para eso, hable con un abogado.

La Oficina Rocha, Marta, Inês, Rui y las personas que les escriben son ficticios. Las reglas, los plazos y las conclusiones de las autoridades son reales y tienen fuente.

## «Envíenme todo lo que tienen sobre mí» Marta es la responsable de administración de la Oficina Rocha, una fábrica de muebles de 45 personas cerca de Braga, en el norte de Portugal, con tienda online. También «lleva el RGPD», los viernes por la tarde. Hoy, al vaciar el buzón general info@, encuentra esto: > **De:** paulo.m…@gmail.com · **Para:** info@ · 6 de octubre, 22:47 > > Buenas noches. Dejé la empresa en junio. Me gustaría recibir todos los datos personales que la Oficina Rocha tiene sobre mí. Gracias, Paulo Mendes El correo tiene tres semanas. La primera reacción de Marta es muy habitual: «lo mandó a la dirección equivocada, ¿esto cuenta?». Cuenta. El reloj empezó el 6 de octubre y se para el 6 de noviembre. Quedan diez días. Llama a Inês, la DPO externa que apoya a la empresa. Inês mantiene la calma: «Diez días bastan si empezamos hoy. Vamos a hacerlo en el orden correcto». Esta guía es ese orden. Pasa a menudo. Cuando las autoridades europeas de protección de datos analizaron 1185 organizaciones en 2024, uno de los problemas más frecuentes fue no reconocer las solicitudes que no mencionan el RGPD o que llegan por canales que no están pensados para ellas. Y el 74 % de esas organizaciones había recibido entre cero y diez solicitudes de acceso el año anterior. Con tan pocas solicitudes, nadie recuerda el procedimiento cuando hace falta. Fuente: [CEPD, informe de la acción coordinada de 2024 sobre el derecho de acceso](https://www.edpb.europa.eu/system/files/2025-01/edpb_cef-report-2024_20250116_rightofaccess_en.pdf) (adoptado el 16 de enero de 2025, en inglés). ## Reconocer la solicitud El RGPD no fija ninguna forma para la solicitud. Puede llegar por correo electrónico, carta, teléfono, formulario web, redes sociales o en persona a un compañero. La persona no tiene que escribir «artículo 15» ni explicar para qué quiere los datos. El Comité Europeo de Protección de Datos (CEPD) es claro: no debe valorar el «porqué», y no puede denegar solo porque la solicitud no mencione la ley. Hay un límite razonable. Si ha publicado un canal específico y alguien escribe a una dirección que no tiene nada que ver (el ejemplo del CEPD es el correo del personal de limpieza), puede que la solicitud no cuente. Pero una dirección general como info@ o la de atención al cliente sí cuenta, y el CEPD espera que haga «todos los esfuerzos razonables» para hacerla llegar a quien corresponda. El tiempo que la solicitud pasa perdida en un buzón no amplía el plazo.

Qué hacer ahora

Tres hábitos, el mismo día
  1. 1Hacerla llegarDé a quien lee los buzones compartidos (recepción, info@, atención al cliente, recursos humanos) una regla sencilla: cualquier mensaje que pida «mis datos», «bórrenme», «denme de baja» o algo parecido va el mismo día a una persona con nombre.
  2. 2RegistrarlaAnote cada solicitud en un registro de solicitudes: fecha de recepción, canal, tipo, plazo y responsable.
  3. 3Acusar reciboEnvíe un acuse de recibo con el plazo. El CEPD recomienda confirmar por escrito cuándo empieza y cuándo termina el plazo.Usar el modelo 1
[CEPD, Directrices 01/2022 sobre el derecho de acceso, v2.1](https://www.edpb.europa.eu/documents/guideline/guidelines-012022-on-data-subject-rights-right-of-access_en), apartados 13, 50 y 52 a 57 y ejemplos 8 y 9. ## Contar el plazo al día El RGPD dice «un mes», no 30 días. El cómputo sigue las normas de la UE sobre plazos: el día en que llega la solicitud no cuenta, y el plazo termina el mismo día del mes siguiente. Si ese día no existe, termina el último día del mes. Si cae en sábado, domingo o festivo, pasa al siguiente día hábil. | Solicitud recibida | Plazo de un mes | Por qué | |--------------------|-------------------|-------------------------------------------------------------------------| | 6 oct 2026 (mar) | 6 nov 2026 (vie) | El mismo día del mes siguiente. Es el caso de Paulo. | | 31 ene 2027 (dom) | 1 mar 2027 (lun) | No existe el 31 de febrero, así que el 28. Es domingo, así que el lunes. | | 3 mar 2027 (mié) | 5 abr 2027 (lun) | El 3 de abril es sábado, así que el siguiente día hábil. | Algunas autoridades, como la CNPD (la autoridad portuguesa de protección de datos), dicen al público que puede esperar respuesta en «30 días». Trabajar con 30 días es la forma más segura de no pasarse nunca del mes. **Prórroga.** Puede añadir hasta dos meses «en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes». Con dos condiciones: decírselo a la persona dentro del primer mes y dar el motivo ([modelo 4](#r4)). Una prórroga enviada el día 35 llega tarde. **¿Responde a solicitudes en España?** La Ley Orgánica 3/2018 (LOPDGDD) concreta tres puntos del derecho de acceso. Si trata una gran cantidad de datos de la persona y la solicitud no dice a qué se refiere, puede pedirle que lo especifique antes de responder (art. 13, apartado 1), aunque sin usarlo para recortar la respuesta (vea el paso 7). El acceso se entiende atendido si le da un sistema de acceso remoto, directo y seguro a todos sus datos, de forma permanente (art. 13, apartado 2). Y pedir el acceso más de una vez en seis meses puede considerarse repetitivo, salvo que haya una causa legítima (art. 13, apartado 3). La Agencia Española de Protección de Datos (AEPD) publica modelos para que los ciudadanos ejerzan estos derechos: conviene conocerlos, porque son los que le llegarán. [LOPDGDD](https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673), arts. 12 y 13; [AEPD, Modelos y formularios](https://www.aepd.es/derechos-y-deberes/modelos-y-formularios). Art. 12, apartado 3, del RGPD; [Reglamento (CEE, Euratom) 1182/71](https://eur-lex.europa.eu/legal-content/ES/ALL/?uri=CELEX:31971R1182), art. 3; [CNPD, Direito ao apagamento dos dados](https://www.cnpd.pt/cidadaos/direitos/direito-ao-apagamento-dos-dados/) (en portugués). ## Comprobar la identidad, con proporción Pida más información solo cuando tenga dudas razonables sobre quién hace la solicitud, y solo lo que de verdad necesite. El reflejo de pedir a todo el mundo una copia del DNI es un error: el CEPD dice que, en general, no es una forma adecuada de autenticar a alguien y crea un riesgo de seguridad. En su informe de 2024, las autoridades escribieron que pedir un documento de identidad de forma indiscriminada «puede constituir un tratamiento excesivo». Use lo que ya tiene. Un cliente con cuenta en la tienda online puede confirmar a través de la cuenta. Un antiguo trabajador puede confirmar algo que solo él y la empresa saben, o recibir la respuesta en los datos de contacto que ya figuran en su expediente. En el caso de Paulo, su correo personal ya estaba en su expediente de recursos humanos, así que Inês no pidió nada más. Si de verdad necesita comprobarlo, pregunte en los primeros días ([modelo 2](#r2)) para no gastar el mes esperando. Art. 12, apartado 6, y considerando 64 del RGPD; CEPD, Directrices 01/2022, apartados 73 a 77 y ejemplos 13 y 14; [CEPD, informe de la acción coordinada de 2024](https://www.edpb.europa.eu/system/files/2025-01/edpb_cef-report-2024_20250116_rightofaccess_en.pdf). ## Acceso: lo que tiene que enviar Una respuesta de acceso tiene dos partes. Piense en una carpeta con una copia dentro y una hoja de presentación encima.
Parte A · art. 15, apartado 3

Una copia de los datos

Una reproducción fiel e inteligible. Puede incluir extractos de documentos, o documentos enteros, cuando haga falta para que la persona entienda los datos y pueda ejercer sus derechos. Si la solicitud llegó por correo electrónico, responda en un formato electrónico de uso común.

La primera copia es gratis, aunque la persona la quiera para otra cosa, como preparar una reclamación judicial.

Parte B · art. 15, apartado 1

Ocho datos, aplicados a la persona

  1. aPara qué usa los datos (fines)
  2. bQué categorías de datos tiene
  3. cA quién se los ha comunicado. Si la persona lo pide, los destinatarios concretos, no solo las categorías
  4. dCuánto tiempo los conserva, o los criterios
  5. eLos derechos de rectificación, supresión, limitación y oposición
  6. fEl derecho a presentar una reclamación ante una autoridad de control
  7. gDe dónde salieron los datos, si no los dio la persona
  8. hLas decisiones automatizadas o la elaboración de perfiles, y la lógica aplicada
Además · art. 15, apartado 2Si los datos se transfirieron fuera del Espacio Económico Europeo, las garantías que protegen esa transferencia.

Lo que ya ha decidido el Tribunal de Justicia

C-154/21 · Österreichische PostDestinatarios concretosSi la persona lo pide, se indican los destinatarios concretos, no solo las categorías, salvo que sea imposible o la solicitud sea manifiestamente infundada o excesiva.
C-487/21 · CRIFQué es una copiaUna reproducción fiel e inteligible de los datos.
C-307/22 · FTPrimera copia gratisLa primera copia es gratuita y la persona no tiene que justificar la solicitud.
Oculte lo que es de otros, no deniegueLa copia no puede afectar a los derechos de otras personas (art. 15, apartado 4). Los correos de Paulo mencionan a clientes y compañeros. La respuesta no es denegar, sino tachar lo que pertenece a otros y entregar el resto. El Tribunal también ha dicho que la persona tiene derecho a saber cuándo y por qué se consultaron sus datos, pero en general no el nombre de cada empleado que los consultó (C-579/21).
Art. 15 del RGPD; TJUE [C-154/21](https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:62021CJ0154), [C-487/21](https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX%3A62021CJ0487), [C-307/22](https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=celex%3A62022CJ0307), [C-579/21](https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX%3A62021CJ0579); CEPD, Directrices 01/2022. ## Dónde buscar El primer problema que encontraron las autoridades en 2024 fueron búsquedas demasiado estrechas: mirar solo en la base de datos principal y olvidar los correos, los metadatos, los archivos que no son texto o las copias de seguridad. Recuerdan que no puede limitar la respuesta a los datos que usted considere relevantes.
Seis lugares que revisar, uno a uno
El mapa ya existeSi tiene un registro de actividades de tratamiento, cada fila dice qué datos tiene, para qué y dónde. El CEPD recomienda usarlo precisamente para esto.
Guía 1: haga su registro en una tarde
En la Oficina Rocha, Rui, de informática, buscó el nombre y las direcciones de correo de Paulo en los buzones, el servidor de archivos y el programa de nóminas, y confirmó que las grabaciones de junio ya se habían borrado en el ciclo normal. Le llevó una mañana. Marta sacó el expediente de personal. Inês lo revisó todo y tachó los datos de clientes y compañeros. [CEPD, informe de la acción coordinada de 2024](https://www.edpb.europa.eu/system/files/2025-01/edpb_cef-report-2024_20250116_rightofaccess_en.pdf), problema 1 y recomendaciones; art. 30 del RGPD. ## «Borren mi cuenta y todo lo que tengan sobre mí» Paulo recibió su respuesta el 4 de noviembre, dos días antes del plazo. Marta respira. Entonces llega un mensaje por el formulario de la tienda online de Sofia, una clienta que compró una mesa en 2024 y recibe la newsletter. Borrarlo todo parece sencillo. Pero la factura de la mesa lleva el nombre y la dirección de Sofia, y la ley fiscal obliga a conservarla. La newsletter sale por una plataforma externa. Y hay copias de seguridad cada noche. Marta escribe a Inês: «¿Lo borro o no?». La respuesta: «Las dos cosas. Vamos a ver qué es qué». ## Supresión: cuándo hay que borrar y cuándo se puede conservar El derecho de supresión, también llamado «derecho al olvido», no es absoluto. Primero compruebe si se da alguno de los supuestos. Después compruebe si se aplica alguna excepción, caso por caso y por escrito.
1

Tiene que suprimir, sin dilación indebida, cuando

Art. 17, apartado 1
  1. aLos datos ya no son necesarios para el fin con el que se recogieron.
  2. bLa persona retira su consentimiento y no hay otra base jurídica.
  3. cLa persona se opone (art. 21) y no prevalecen otros motivos legítimos, o se opone a la mercadotecnia directa.
  4. dLos datos se han tratado de forma ilícita.
  5. eHay una obligación legal de suprimirlos.
  6. fSe obtuvieron de un menor en relación con servicios en línea (art. 8).
2

Puede conservarlos, en la medida necesaria, para

Art. 17, apartado 3
  1. aLa libertad de expresión e información.
  2. bCumplir una obligación legal, o una misión de interés público.
  3. cRazones de interés público en el ámbito de la salud pública.
  4. dFines de archivo en interés público, investigación científica o histórica, o estadísticos.
  5. eLa formulación, el ejercicio o la defensa de reclamaciones.
El caso de Sofia
Borrado
  • La cuenta de la tienda online, cerrada
  • Su historial de navegación y sus preferencias
  • Su suscripción a la newsletter
  • Su contacto en la plataforma de email marketing, a petición de la empresa
Conservado
  • La factura, porque lo exige la ley fiscal, pero solo durante el plazo legal y solo para ese fin
La respuesta a Sofia: modelo 6

Tres puntos donde tropiezan las organizaciones

Copias de seguridadLa mitad de las autoridades de la acción coordinada de 2025 señaló problemas con las copias de seguridad. Si no puede borrar un registro concreto de una copia, documente cuándo caduca esa copia, asegúrese de que los datos no se vuelven a usar si se restaura y dígaselo a la persona.
«Anonimizado» que no lo esCambiar un nombre por un código o tapar media dirección de correo es casi siempre seudonimización. Los datos siguen siendo datos personales y la solicitud no está atendida.
Avisar a los destinatariosTiene que comunicar la supresión a cada destinatario al que se comunicaron los datos, salvo que sea imposible o exija un esfuerzo desproporcionado, y decirle a la persona quiénes son esos destinatarios si lo pide.

Cerrar una cuenta no es lo mismo que suprimir los datos. Las autoridades han pedido más conciencia de esta diferencia, porque muchas organizaciones tratan las dos cosas como una sola.

En España, suprimir empieza por bloquear. La LOPDGDD obliga a bloquear los datos cuando se suprimen: quedan apartados y sin usar, solo a disposición de jueces y tribunales, el Ministerio Fiscal y las administraciones competentes, como la AEPD, para posibles responsabilidades y durante su plazo de prescripción. Cumplido ese plazo, se destruyen (art. 32).

Arts. 17 y 19 del RGPD; [LOPDGDD](https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673), arts. 15 y 32; [CEPD, informe de la acción coordinada de 2025 sobre el derecho de supresión](https://www.edpb.europa.eu/system/files/2026-02/edpb_cef-report_2025_right-to-erasure_en.pdf) (adoptado el 10 de febrero de 2026, en inglés); [AEPD, Tus derechos de protección de datos](https://www.aepd.es/preguntas-frecuentes/1-tus-derechos/2-tus-derechos-de-proteccion-de-datos). ## Denegar o limitar, sobre terreno firme Solo puede denegar, o cobrar un canon razonable, si la solicitud es manifiestamente infundada o excesiva, por ejemplo porque es repetitiva. El CEPD dice que estos conceptos deben interpretarse de forma estricta, y le corresponde a usted demostrar que la solicitud lo es. Una solicitud repetida porque su primera respuesta estaba incompleta es solo un recordatorio, no una solicitud nueva. Tampoco use la denegación para ahorrarse trabajo. Si alguien pide todo y usted tiene años de datos en muchos sistemas, puede preguntarle si prefiere empezar por un área concreta ([modelo 3](#r3)). Pero el CEPD advierte de que esta petición de concreción no puede servir para limitar la respuesta. Si dice «todo», envíe todo. Siempre que no atienda una solicitud, total o parcialmente, tiene que responder en el plazo de un mes con los motivos e informar a la persona de que puede reclamar ante una autoridad de control y acudir a los tribunales ([modelo 7](#r7)). Art. 12, apartados 4 y 5, y art. 15, apartado 4, del RGPD; CEPD, Directrices 01/2022, apartado 29 y sección 6. ## Siete cosas que no hacer
2024 · Derecho de acceso1185 organizacionesanalizadas por 30 autoridades
2025 · Derecho de supresión764 organizacionesanalizadas por 32 autoridades, entre ellas la CNPD portuguesa

Estos problemas aparecieron una y otra vez.

  1. 1
    No tener un procedimiento escrito.Diecisiete autoridades encontraron organizaciones sin un procedimiento de supresión documentado y actualizado. Algunas revisan el suyo cada cinco años, o nunca.
  2. 2
    No reconocer la solicitud ni acusar recibo.Las solicitudes que no mencionan el RGPD, o que llegan por canales no pensados para ellas, se quedan sin respuesta.
  3. 3
    Pedir a todos el DNI.Formularios web obligatorios, solicitudes solo por escrito y el documento de identidad por defecto son barreras para ejercer el derecho.
  4. 4
    Buscar solo en la base de datos principal.Los correos, los metadatos, los archivos que no son texto y las copias de seguridad se quedan fuera.
  5. 5
    Responder con la política de privacidad.Información genérica, destinatarios solo por categorías y plazos de conservación vagos, en lugar de respuestas adaptadas a la persona.
  6. 6
    Guardar el registro de solicitudes para siempre.Plazos de conservación de las propias solicitudes que van de seis meses a 45 años, o ninguno. Fije un plazo y guarde estos registros por separado.
  7. 7
    Aplicar las excepciones de forma automática.Más de una docena de autoridades vieron excepciones del art. 17, apartado 3, aplicadas sin un análisis caso por caso, y denegaciones sin motivo documentado.
[CEPD, informe de 2024 (acceso)](https://www.edpb.europa.eu/system/files/2025-01/edpb_cef-report-2024_20250116_rightofaccess_en.pdf); [CEPD, informe de 2025 (supresión)](https://www.edpb.europa.eu/system/files/2026-02/edpb_cef-report_2025_right-to-erasure_en.pdf). ## El mes, día a día

El mismo flujo sirve para el acceso y para la supresión. Los días se cuentan desde la recepción de la solicitud.

  1. Día 0Registrar. Anotarla y acusar recibo.
  2. Días 1–5Comprobar. La identidad, solo si hay dudas. El alcance de la solicitud.
  3. Días 5–20Reunir. Buscar en cada sistema y proveedor, con el registro de actividades como mapa. Para la supresión: decidir qué se borra, qué se queda y por qué.
  4. Días 20–25Revisar. Tachar los datos de terceros. Preparar los ocho datos de información.Prorrogar ahora, si hace falta
  5. Hasta el día 30Enviar. Respuesta, copia, prueba del envío. Cerrar la entrada del registro.
## Siete respuestas listas para adaptar Sustituya todo lo que está entre \[corchetes\]. Escriba como escribe una persona a otra: estas respuestas las lee quien preguntó y, a veces, una autoridad de control.
Al principio
01Acuse de reciboDía 0. Para todas las solicitudes.
Asunto: Hemos recibido su solicitud – ref. [número]
Estimado/a [nombre]:

Recibimos su solicitud el [fecha de recepción], en la que pide [resumen: acceso a sus datos personales / la supresión de sus datos].

Le responderemos como muy tarde el [fecha límite]. Si la solicitud resulta especialmente compleja y necesitamos más tiempo, se lo diremos antes de esa fecha y le explicaremos por qué.

La referencia de su solicitud es [número]. Si tiene cualquier duda, basta con responder a este correo.

Un saludo,
[Nombre]
[Cargo] · [Organización]
Base: art. 12, apartado 3, del RGPD. El CEPD recomienda confirmar por escrito cuándo empieza y cuándo termina el plazo (Directrices 01/2022, apartado 57).
02Comprobación de identidadSolo si hay una duda razonable. Envíela en los primeros días.
Asunto: Su solicitud – ref. [número] – confirmación
Estimado/a [nombre]:

Para proteger sus datos, necesitamos estar seguros de que la solicitud viene de usted. En este caso, [motivo concreto: el correo que ha usado no es el que está asociado a su cuenta].

Puede confirmarlo de cualquiera de estas formas:
– [opción proporcionada 1: responder desde el correo asociado a su cuenta]
– [opción proporcionada 2: indicarnos el número de un pedido reciente]

No hace falta que nos envíe una copia de su documento de identidad. En cuanto tengamos su confirmación, seguiremos con su solicitud.

Un saludo,
[Nombre] · [Organización]
Base: art. 12, apartado 6, del RGPD; CEPD, Directrices 01/2022, apartados 73 a 77.
03Pregunta sobre el alcancePara grandes volúmenes de datos. Nunca para limitar la respuesta.
Asunto: Su solicitud de acceso – ref. [número]
Estimado/a [nombre]:

Ya hemos empezado a reunir sus datos. Tenemos información sobre usted en [lista: su expediente de personal, correos de trabajo de [año] a [año], registros de acceso al edificio].

Para enviarle primero lo que más le interesa, ¿hay algún área o periodo concreto que prefiera recibir? Si prefiere todo, díganoslo y se lo enviaremos completo dentro del plazo, como muy tarde el [fecha límite].

Un saludo,
[Nombre] · [Organización]
Base: considerando 63 del RGPD; art. 13, apartado 1, de la LOPDGDD; CEPD, Directrices 01/2022, apartado 35, letra b). Si no recibe respuesta, siga con la solicitud completa.
Si necesita más tiempo
04PrórrogaTiene que llegar dentro del primer mes, con el motivo.
Asunto: Su solicitud – ref. [número] – nuevo plazo
Estimado/a [nombre]:

Estamos trabajando en su solicitud del [fecha de recepción]. Necesitamos más tiempo porque [motivo concreto: sus datos están en siete sistemas distintos e incluyen unos [N] correos de varios años, que tenemos que revisar para proteger los datos de otras personas].

Por ese motivo, y como permite el artículo 12, apartado 3, del RGPD, ampliamos el plazo. Le responderemos como muy tarde el [nueva fecha, como máximo tres meses después de la recepción].

[Opcional: Mientras tanto, le adjuntamos [la parte que ya está lista].]

Si no está de acuerdo con esta prórroga, puede presentar una reclamación ante [autoridad de control, p. ej. la Agencia Española de Protección de Datos: www.aepd.es].

Un saludo,
[Nombre] · [Organización]
Base: art. 12, apartado 3, del RGPD. Envíela antes de que termine el primer mes, con un motivo concreto.
En la respuesta final
05Respuesta de accesoLa carta que acompaña a la copia de los datos.
Asunto: Respuesta a su solicitud de acceso – ref. [número]
Estimado/a [nombre]:

En respuesta a su solicitud del [fecha de recepción], le adjuntamos una copia de los datos personales que tratamos sobre usted [formato: archivo PDF / carpeta zip protegida con contraseña, que le enviamos por separado].

1. Para qué usamos sus datos: [fines concretos, p. ej. gestionar su contrato de trabajo, pagar las nóminas, cumplir las obligaciones fiscales y de Seguridad Social].
2. Qué datos tratamos: [categorías: identificación, datos de contacto, datos bancarios, registro de jornada, evaluaciones de desempeño].
3. A quién se los hemos comunicado: [destinatarios concretos: Tesorería General de la Seguridad Social, Agencia Tributaria, [nombre de la gestoría], [nombre de la aseguradora]].
4. Cuánto tiempo los conservamos: [plazo o criterios para cada categoría].
5. Sus derechos: puede pedirnos que rectifiquemos o suprimamos sus datos, o que limitemos su tratamiento, y puede oponerse a él.
6. Puede presentar una reclamación ante [autoridad de control, p. ej. la Agencia Española de Protección de Datos: www.aepd.es].
7. De dónde salieron los datos: [nos los dio usted / los obtuvimos de [origen]].
8. Decisiones automatizadas: [no tomamos decisiones basadas únicamente en el tratamiento automatizado sobre usted / descripción y lógica aplicada].
[Si procede: Transferencias fuera del EEE: [país, garantía utilizada].]

Para proteger a otras personas, hemos tachado [datos de compañeros y clientes] en [documentos].

Si falta algo, o tiene alguna pregunta, basta con responder a este correo.

Un saludo,
[Nombre] · [Organización]
Base: art. 15, apartados 1 a 4, del RGPD. No sustituya los puntos 1 a 8 por un enlace a su política de privacidad.
06Confirmación de supresiónTotal o parcial, con lo que se queda y hasta cuándo.
Asunto: Su solicitud de supresión – ref. [número]
Estimado/a [nombre]:

Hemos atendido su solicitud del [fecha de recepción].

Lo que hemos suprimido: [su cuenta de la tienda online, el historial de pedidos que aparecía en ella, sus preferencias y su contacto en nuestra lista de la newsletter].

Lo que tenemos que conservar: [las facturas de sus compras], porque [obligación legal concreta: la normativa fiscal nos obliga a conservarlas durante el plazo legal]. Solo las conservaremos para ese fin y las borraremos el [fecha o criterio].

[En España: Los datos suprimidos quedan bloqueados, sin ningún uso, a disposición únicamente de jueces y tribunales, el Ministerio Fiscal y las administraciones competentes durante el plazo de prescripción de posibles responsabilidades. Después se destruirán.]

A quién más hemos avisado: hemos pedido a [nombre de la plataforma de email marketing / otros destinatarios] que borre sus datos.

Copias de seguridad: sus datos siguen existiendo en las copias de seguridad hechas antes de hoy. Esas copias se borran automáticamente como muy tarde el [fecha], y no volveremos a usar sus datos si alguna vez hay que restaurar una copia.

Si no está de acuerdo con esta respuesta, puede presentar una reclamación ante [autoridad de control, p. ej. la Agencia Española de Protección de Datos: www.aepd.es] o acudir a los tribunales.

Un saludo,
[Nombre] · [Organización]
Base: art. 17, apartados 1 y 3, y art. 19 del RGPD; art. 32 de la LOPDGDD. Compruebe los plazos legales de conservación con su gestoría.
07Denegación motivadaRara. Siempre con los motivos y cómo reclamar.
Asunto: Su solicitud – ref. [número]
Estimado/a [nombre]:

Hemos analizado su solicitud del [fecha de recepción] y no vamos a atenderla [en su totalidad / en parte: indique qué parte].

El motivo: [explicación concreta, p. ej. el [fecha] respondimos a una solicitud de acceso idéntica con una copia completa de sus datos, y desde entonces no hemos tratado datos nuevos sobre usted. / Los datos cuya supresión pide son necesarios para defendernos en un procedimiento judicial en curso, ref. [número] (artículo 17, apartado 3, letra e), del RGPD), y se suprimirán cuando termine el procedimiento.]

Si no está de acuerdo, tiene derecho a presentar una reclamación ante [autoridad de control, p. ej. la Agencia Española de Protección de Datos: www.aepd.es] y a acudir a los tribunales.

Un saludo,
[Nombre] · [Organización]
Base: art. 12, apartados 4 y 5, del RGPD; en España, art. 13, apartado 3, de la LOPDGDD. Guarde una nota interna del análisis que justifica la denegación.
## Una propuesta de la UE apunta a las solicitudes de acceso «abusivas» En noviembre de 2025, la Comisión Europea presentó el paquete Digital Omnibus, COM(2025) 837. Para el derecho de acceso, propone tres cambios en el art. 12, apartado 5: permitir al responsable denegar o cobrar cuando el derecho de acceso se use para fines distintos de proteger los propios datos; rebajar la carga de la prueba, de modo que baste con que el responsable tenga «motivos razonables para creer» que una solicitud es excesiva; y, en un considerando, tratar como excesivas las solicitudes «demasiado amplias e indiferenciadas». El CEPD y el Supervisor Europeo de Protección de Datos (SEPD) compartieron el objetivo de dar más claridad, pero pidieron que se eliminaran esas tres redacciones (Dictamen conjunto 2/2026, de 10 de febrero de 2026). Recuerdan que, según la sentencia del Tribunal de Justicia en el asunto C-307/22, las personas no tienen que justificar sus solicitudes. En octubre de 2026, los embajadores de la UE tenían en su orden del día el mandato del Consejo para negociar con el Parlamento Europeo. La propuesta no es ley. **Las reglas de esta guía se aplican hoy.** Actualizaremos este recuadro cuando se publique un texto definitivo en el Diario Oficial. Analizamos la propuesta con más detalle, brechas de datos incluidas, en nuestro artículo sobre el Digital Omnibus. Por otra parte, otra propuesta (Omnibus IV) va a ampliar la exención de llevar un registro de actividades de tratamiento a las organizaciones con menos de 1000 personas, salvo en las actividades de alto riesgo (acuerdo provisional del 26 de junio de 2026). Aunque quede exento, seguirá necesitando saber dónde están sus datos para responder a estas solicitudes. [COM(2025) 837](https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=celex:52025PC0837); [CEPD y SEPD, Dictamen conjunto 2/2026](https://www.edpb.europa.eu/system/files/documents/2026-02/edpb_edps_jointopinion_202602_digitalomnibus_en.pdf); [orden del día del Coreper, octubre de 2026](https://data.consilium.europa.eu/doc/document/ST-13654-2026-REV-3/en/pdf); [procedimiento 2025/0130(COD)](https://oeil.europarl.europa.eu/oeil/en/procedure-file?reference=2025%2F0130%28COD%29). ## Checklist
0 de 10 marcados
Cuando llega
Mientras preparo la respuesta
Antes de pulsar enviar
## Preguntas frecuentes ### ¿Cuánto tiempo tengo para responder a una solicitud de acceso? Un mes desde la recepción, hasta el mismo día del mes siguiente (art. 12, apartado 3). Si la solicitud es compleja o tiene muchas, puede prorrogarlo hasta dos meses más, siempre que se lo diga a la persona dentro del primer mes y le explique por qué. ### ¿Puedo pedir una copia del DNI para confirmar la identidad? Por regla general, no. Solo puede pedir más información cuando tenga dudas razonables sobre quién hace la solicitud (art. 12, apartado 6), y el CEPD considera que una copia de un documento de identidad no es, en general, un medio adecuado. Use lo que ya tiene, como la cuenta del cliente o los datos de contacto que constan en su expediente. ### ¿Puedo cobrar por la copia de los datos? La primera copia es gratuita, y la persona no tiene que explicar para qué la quiere (C-307/22). Solo puede cobrar un canon razonable por copias adicionales (art. 15, apartado 3) o cuando la solicitud sea manifiestamente infundada o excesiva, y tiene que poder demostrarlo (art. 12, apartado 5). ### Un cliente ha pedido la supresión. ¿También tengo que borrar las facturas? No, mientras la ley fiscal le obligue a conservarlas. El derecho de supresión no se aplica en la medida en que el tratamiento sea necesario para cumplir una obligación legal (art. 17, apartado 3, letra b). Conserve solo la factura, solo para ese fin y solo durante el plazo legal, borre el resto y explíquelo en su respuesta. En España, además, los datos suprimidos se bloquean durante el plazo de prescripción (LOPDGDD, art. 32). ### ¿Quién responde a la solicitud: la empresa o el DPO? La empresa, como responsable del tratamiento. El DPO asesora, vigila el plazo y es punto de contacto para las personas (art. 38, apartado 4), pero la decisión y la respuesta corresponden al responsable. La guía para DPO externos con varios clientes explica dónde termina el papel del DPO. ### ¿Y si mi respuesta envía por error datos de otra persona? Es una brecha de datos personales. Intente recuperar el mensaje o pida que se borre, regístrelo y evalúe el riesgo: si hay riesgo, tiene 72 horas para notificarlo a la autoridad de control. La guía de las primeras 72 horas muestra cómo decidir. ## Fuentes ### Legislación y jurisprudencia - [Reglamento (UE) 2016/679 (RGPD)](https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32016R0679), arts. 8, 12, 15, 17, 19, 21 y 30 y considerandos 63 y 64 (EUR-Lex) - [Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD)](https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673), arts. 12, 13, 15 y 32 (BOE) - [Reglamento (CEE, Euratom) 1182/71](https://eur-lex.europa.eu/legal-content/ES/ALL/?uri=CELEX:31971R1182), normas aplicables a los plazos (EUR-Lex) - [TJUE, C-154/21, Österreichische Post](https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:62021CJ0154) (12 ene 2023), destinatarios - [TJUE, C-487/21, F.F. y CRIF](https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX%3A62021CJ0487) (4 may 2023), qué es una «copia» - [TJUE, C-579/21, J.M. y Pankki S](https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX%3A62021CJ0579) (22 jun 2023), consultas de los empleados - [TJUE, C-307/22, FT y DW](https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=celex%3A62022CJ0307) (26 oct 2023), primera copia gratuita ### Comité Europeo de Protección de Datos (CEPD) - [Directrices 01/2022 sobre el derecho de acceso, v2.1](https://www.edpb.europa.eu/documents/guideline/guidelines-012022-on-data-subject-rights-right-of-access_en) (abril de 2023) - [Informe de la acción coordinada de 2024, derecho de acceso](https://www.edpb.europa.eu/system/files/2025-01/edpb_cef-report-2024_20250116_rightofaccess_en.pdf) (en inglés) - [Informe de la acción coordinada de 2025, derecho de supresión](https://www.edpb.europa.eu/system/files/2026-02/edpb_cef-report_2025_right-to-erasure_en.pdf) (en inglés) - [CEPD y SEPD, Dictamen conjunto 2/2026 sobre el Digital Omnibus](https://www.edpb.europa.eu/system/files/documents/2026-02/edpb_edps_jointopinion_202602_digitalomnibus_en.pdf) (en inglés) ### Autoridades nacionales y proceso legislativo - [AEPD, Tus derechos de protección de datos](https://www.aepd.es/preguntas-frecuentes/1-tus-derechos/2-tus-derechos-de-proteccion-de-datos) - [AEPD, Modelos y formularios](https://www.aepd.es/derechos-y-deberes/modelos-y-formularios), modelos para ejercer los derechos - [CNPD, Direito de acesso aos dados](https://www.cnpd.pt/cidadaos/direitos/direito-de-acesso-aos-dados/) (en portugués) - [CNPD, Direito ao apagamento dos dados](https://www.cnpd.pt/cidadaos/direitos/direito-ao-apagamento-dos-dados/) (en portugués) - [Comisión Europea, COM(2025) 837, Digital Omnibus](https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=celex:52025PC0837) - [Consejo de la UE, orden del día del Coreper, 9 oct 2026](https://data.consilium.europa.eu/doc/document/ST-13654-2026-REV-3/en/pdf) (en inglés) - [Parlamento Europeo, procedimiento 2025/0130(COD), Omnibus IV](https://oeil.europarl.europa.eu/oeil/en/procedure-file?reference=2025%2F0130%28COD%29) **Última revisión:** 21 de octubre de 2026. Revisamos esta guía cada vez que cambian la ley o las orientaciones de las autoridades. Esta guía es información general sobre el RGPD y no constituye asesoramiento jurídico. Para casos concretos, hable con su DPO o con un abogado. La Oficina Rocha y todas las personas de las escenas son ficticias.