Derechos de los interesados: acceso, supresión, oposición y cómo responder en un mes

Resumen en 30 segundos

Cualquier persona cuyos datos tratas (cliente, empleado, candidato, contacto) puede pedirte que le digas qué datos tienes, que los corrijas, que los borres, que dejes de usarlos o que se los entregues en un archivo. Son los art. 15 a 22 del RGPD y los art. 12 a 18 de la LOPDGDD.
Tienes un mes desde que recibes la solicitud para contestar, prorrogable dos meses más si es compleja y avisas en ese primer mes (art. 12.3 del RGPD). Contestas siempre, también para decir que no tienes datos o que no procede.
Es gratis. Solo puedes cobrar o negarte ante peticiones manifiestamente infundadas o repetitivas, y la carga de probarlo es tuya (art. 12.5).
No siempre tienes que borrar: facturas, nóminas o historias clínicas se conservan porque otra ley lo exige (art. 17.3.b). Bloqueas y explicas.
Si no respondes, la persona reclama ante la AEPD, que te da un mes más y luego te ordena cumplir en diez días hábiles. La multa puede llegar al 4 % de la facturación (art. 83.5.b del RGPD). En 2026 la AEPD ha estimado reclamaciones contra clínicas y consultas pequeñas por contestar tarde o a medias.

¿Qué derechos tiene una persona sobre sus datos?

Los derechos de los interesados son las herramientas que la normativa de protección de datos da a cada persona para controlar lo que las empresas hacen con su información. Antes de 2018 se hablaba de derechos ARCO (acceso, rectificación, cancelación y oposición). El RGPD los amplió y la LOPDGDD los desarrolla en España. Hoy son ocho.

Derecho	Qué puede pedir la persona	RGPD	LOPDGDD
Información	Saber quién eres, para qué usas sus datos, con qué base, a quién los cedes, cuánto los guardas y qué derechos tiene. Se cumple con la cláusula de protección de datos al recoger los datos.	Art. 13 y 14	Art. 11
Acceso	Confirmación de si tratas sus datos, una copia de ellos y la información del art. 15.1: fines, categorías, destinatarios, plazo de conservación, origen, decisiones automatizadas y derecho a reclamar. Primera copia gratis; las siguientes, canon razonable.	Art. 15	Art. 13
Rectificación	Corregir datos inexactos o completar los incompletos. Debe indicar qué dato y qué corrección, con justificante si hace falta.	Art. 16	Art. 14
Supresión (olvido)	Que borres sus datos cuando ya no son necesarios, retira el consentimiento, se opone, el tratamiento es ilícito o una ley obliga a borrarlos. No procede si otra ley te obliga a conservarlos o los necesitas para defenderte de una reclamación.	Art. 17	Art. 15
Limitación	Que congeles el uso de sus datos (solo conservarlos) mientras discutís su exactitud, mientras valoras una oposición o porque los necesita para una reclamación. Debe quedar marcado en tus sistemas.	Art. 18	Art. 16
Portabilidad	Recibir los datos que te dio, en formato estructurado y de lectura mecánica (CSV, JSON), o que se los envíes a otra empresa. Solo para tratamientos automatizados basados en consentimiento o contrato.	Art. 20	Art. 17
Oposición	Que dejes de tratar sus datos por motivos de su situación personal cuando te basas en interés legítimo o misión pública. Para marketing directo basta con que lo diga: paras siempre y sin excusas.	Art. 21	Art. 18
Decisiones automatizadas	No ser objeto de una decisión basada solo en un tratamiento automático con efectos jurídicos o similares (denegar un crédito o un seguro por un algoritmo), salvo contrato, ley o consentimiento explícito. Puede pedir intervención humana.	Art. 22	Art. 18

Dos matices útiles. El art. 13.2 de la LOPDGDD da por atendido el acceso si ofreces un área de cliente segura donde la persona ve todos sus datos. Y el art. 15.2 permite, cuando alguien se opone al marketing, guardar sus datos identificativos mínimos en una lista de exclusión para no volver a escribirle.

¿Cómo se ejercen? Identidad, representantes, menores y fallecidos

No hay formulario obligatorio. Vale un correo, una carta, un mensaje por el chat de la tienda online o una nota en el mostrador. El art. 12.2 de la LOPDGDD te obliga a ofrecer un medio fácil (una dirección de correo en tu política de privacidad) y te prohíbe rechazar la solicitud «por el solo motivo» de que la persona use otro canal. Según las Directrices 01/2022 del Comité Europeo de Protección de Datos (CEPD), solo puedes ignorar lo enviado a una dirección claramente incorrecta.

Sobre la identidad, el art. 12.6 del RGPD solo te permite pedir «la información adicional necesaria» cuando tengas dudas razonables. El CEPD lo concreta (párrafos 73 a 79): si la persona te escribe desde el correo con el que es cliente o firmó el contrato, ya está autenticada, y pedirle el DNI es desproporcionado. Si lo pides porque no hay otra forma, compruébalo y bórralo. Mientras esperas la aclaración, el plazo queda en suspenso (párrafo 159).

Representante. Cualquier persona puede actuar por medio de un representante legal o voluntario (art. 12.1 de la LOPDGDD). Pide la autorización firmada y la identidad de ambos.
Menores. Desde los 14 años ejercen sus derechos por sí mismos, porque a esa edad pueden consentir el tratamiento (art. 7 de la LOPDGDD). Por debajo, lo hacen sus padres o tutores (art. 12.6).
Personas fallecidas. Familiares, personas vinculadas de hecho y herederos pueden pedir el acceso, la rectificación o la supresión de los datos del difunto, salvo que este lo hubiera prohibido (art. 3 de la LOPDGDD). Los herederos siempre acceden a los datos patrimoniales.
Tu gestor o tu proveedor. El encargado del tratamiento puede tramitar las solicitudes por tu cuenta si lo pactasteis en el contrato (art. 12.3 de la LOPDGDD) y, en todo caso, debe ayudarte a responder (art. 28.3.e del RGPD). La responsabilidad de contestar sigue siendo tuya.

¿Cuánto tiempo tienes y qué debes contestar?

El art. 12.3 del RGPD fija un mes desde la recepción. El plazo corre desde que la solicitud entra en tu buzón oficial, aunque nadie la lea ese día (Directrices 01/2022, párrafos 57 y 159). Se cuenta de fecha a fecha: recibida el 5 de marzo, vence el 5 de abril; recibida el 31 de agosto, el 30 de septiembre; si cae en festivo, el siguiente día hábil (párrafos 160 y 161). Puedes ampliarlo dos meses más por la complejidad o el número de solicitudes, pero tienes que comunicar la prórroga y su motivo dentro del primer mes. El CEPD avisa de que es una excepción: si la usas a menudo, tu procedimiento interno falla (párrafo 162).

Plazos de una solicitud de derechos

Día 0RecepciónEntra por cualquier canal oficial (correo, formulario, carta, mostrador). Anota la fecha y confirma la recepción.
Días 1-5Identidad y alcanceComprueba quién es. Solo si hay dudas razonables pides datos adicionales; el plazo se suspende hasta que los tengas.
Hasta 1 mesRespuesta (o aviso de prórroga)Entregas los datos, ejecutas la corrección o el borrado, o deniegas por escrito con el motivo y el derecho a reclamar.
Hasta 3 mesesPrórroga excepcionalSolo por complejidad o volumen, avisada dentro del primer mes con sus motivos (art. 12.3 RGPD).
DespuésReclamación ante la AEPDSi no contestas o contestas mal, la persona reclama. La AEPD te traslada la queja y te da un mes; luego resuelve en seis meses.

Fuente: art. 12.3 y 12.4 del RGPD; art. 64.1 y 65.4 de la LOPDGDD; Directrices 01/2022 del CEPD, párrafos 57 y 159-162.

Respondes siempre, incluso para decir que no tienes datos de esa persona. Si decides no atender la solicitud, el art. 12.4 te obliga a explicar las razones en ese mismo mes y a recordar que puede reclamar ante la AEPD o acudir a los tribunales. Si te escribió por medios electrónicos, contestas por medios electrónicos salvo que pida otra cosa. Guarda la solicitud y tu respuesta: la prueba de haber contestado es tuya (art. 12.4 de la LOPDGDD).

Atender los derechos es gratuito (art. 12.5 del RGPD y art. 12.7 de la LOPDGDD). Solo ante solicitudes «manifiestamente infundadas o excesivas» puedes cobrar un canon basado en tus costes administrativos o negarte a actuar, y debes poder demostrarlo. La LOPDGDD da dos ejemplos: repetir el acceso más de una vez en seis meses sin causa legítima (art. 13.3) y exigir un medio distinto al ofrecido que cueste mucho más (art. 13.4, la persona paga el exceso). Cobrar fuera de esos casos es infracción muy grave (art. 72.1.j).

Cómo atender una solicitud en seis pasos

RegistrarFecha de entrada, canal, qué pide y quién. Acusa recibo.
IdentificarConfirma que es quien dice ser con lo que ya tienes; pide más solo si hay dudas.
LocalizarBusca sus datos en todos los sistemas: facturación, CRM, correo, nóminas, cámaras, gestoría.
DecidirProcede el derecho o hay una excepción (obligación legal, defensa de reclamaciones, derechos de terceros).
EjecutarEntrega la copia, corrige, borra o bloquea. Avisa a quien cediste los datos (art. 19 RGPD).
Responder y archivarContesta por escrito antes del mes con lo hecho y el derecho a reclamar. Guarda la prueba.

Fuente: art. 12, 15 a 19 del RGPD y art. 12 de la LOPDGDD.

¿Tengo que borrar los datos si me lo piden?

No siempre. El derecho de supresión procede en los casos del art. 17.1 del RGPD (datos ya innecesarios, consentimiento retirado, oposición, tratamiento ilícito) y decae en los del art. 17.3: cuando una obligación legal te exige conservar los datos (la de conservar las facturas, por ejemplo), cuando los necesitas para defenderte de reclamaciones o por libertad de expresión, salud pública o archivo. La respuesta correcta suele ser mixta: borras lo que ya no necesitas y bloqueas lo que la ley te obliga a guardar. Bloquear significa dejar los datos fuera de uso, accesibles solo para Hacienda, la Seguridad Social, los jueces o tu propia defensa, y borrarlos al vencer el plazo.

Un cliente te pide que borres todos sus datos. ¿Qué haces?

Solo tienes datos de marketing o de un presupuesto sin contratoBorras todo y confirmas por escritoArt. 17.1.a y b del RGPD. Puedes conservar el correo en una lista de exclusión (art. 15.2 LOPDGDD).
Le has facturado o ha sido tu empleadoBorras lo accesorio y bloqueas facturas, contratos y nóminasArt. 17.3.b: 4 años por la LGT, 6 por el Código de Comercio, 4 para Seguridad Social. Se lo explicas.
Hay una reclamación o un pleito abierto o previsibleConservas lo necesario para defenderte y lo comunicasArt. 17.3.e. La AEPD lo aceptó en PD-00087-2026 (expediente de consumo abierto).
Es un paciente y pide borrar su historia clínicaNo puedes: mínimo 5 años desde el altaArt. 17.1 de la Ley 41/2002. Sí borras lo que no sea documentación clínica (marketing, recordatorios).

Documento	Plazo mínimo de conservación	Norma
Facturas emitidas y recibidas, justificantes	4 años (prescripción tributaria) desde el fin del plazo de declaración	Art. 66 y 29.2.e de la LGT
Libros, correspondencia y documentación mercantil	6 años desde el último asiento	Art. 30 del Código de Comercio
Contratos, nóminas y documentación laboral	3 años (infracciones laborales) y 4 años (Seguridad Social) desde la fecha de la infracción	Art. 4.1 y 4.2 de la LISOS
Historia clínica	5 años desde el alta de cada proceso asistencial	Art. 17.1 de la Ley 41/2002
Imágenes de videovigilancia	Al revés: máximo 1 mes, salvo que prueben una infracción	Art. 22.3 de la LOPDGDD

Son mínimos legales; tu registro de actividades de tratamiento debe recoger el plazo que aplicas a cada tratamiento y la respuesta al interesado debe citarlo.

Casos frecuentes en un negocio pequeño

Un exempleado pide su expediente. Tiene derecho a una copia de sus datos y a la información del art. 15.1 aunque la relación haya terminado con un despido o una discusión sobre el finiquito. Entregas lo que existe (contrato, nóminas, comunicaciones sobre él, evaluaciones), sin redactar documentos nuevos. Si un informe menciona a compañeros, tapas sus datos (art. 15.4). No borres su expediente aunque lo pida: la LISOS te obliga a conservarlo cuatro años.

Un cliente quiere que borres todo, pero le has facturado. Borras marketing, perfil y datos accesorios; bloqueas facturas y contratos; se lo explicas con plazos y norma. Si además se opone al marketing, apúntale en tu lista de exclusión.

Un candidato pide acceso al informe de selección. Tiene derecho a sus datos, incluidas las valoraciones que hiciste sobre él. Puedes reservarte las notas estrictamente internas y provisionales y las que revelen datos de otros candidatos. La AEPD aplicó esa lógica en PD-00083-2026 a los test de una consulta de psicología: resultados e informes interpretativos se entregan; las notas de uso exclusivamente personal del profesional, no.

Baja de una newsletter. Es un derecho de oposición al marketing directo: paras «en todo momento» y sin justificar nada (art. 21.2 y 21.3 del RGPD). Cada envío debe llevar una vía sencilla y gratuita para darse de baja (art. 21.2 de la LSSI). Si la persona rechaza tu publicidad, debes informarle de que existen sistemas de exclusión publicitaria como la Lista Robinson (art. 23.3 de la LOPDGDD). Las reglas de marketing están en la guía general de protección de datos para pymes.

Acceso a las grabaciones de videovigilancia. La Guía de videovigilancia de la AEPD (febrero de 2025, apartado 2.3.10) pide al solicitante una imagen actual para localizarle y, como «resulta prácticamente imposible acceder a imágenes sin que pueda verse comprometida la imagen de un tercero», admite atender el acceso con un escrito que precise qué datos suyos se grabaron (fecha, franja horaria, cámara, finalidad) sin entregar el vídeo. Si tu sistema solo muestra imágenes en directo, respondes que no hay grabaciones. Como las imágenes se borran al mes como máximo (art. 22.3 de la LOPDGDD), muchas solicitudes llegarán cuando ya no existan: contéstalo igualmente.

Un cliente pide los datos que tiene tu gestoría. La gestoría es tu encargado: trata los datos por tu cuenta. La solicitud la contestas tú, y el contrato de encargo debe obligarla a ayudarte (art. 28.3.e del RGPD). Si el cliente escribe directamente a la gestoría, esta debe redirigirla o tramitarla en tu nombre si lo pactasteis (art. 12.3 de la LOPDGDD). El mes corre desde que la solicitud llega a cualquiera de los dos.

¿Qué pasa si no respondes?

La persona puede reclamar en la sede electrónica de la AEPD. El procedimiento para derechos no atendidos está en los art. 64 y 65 de la LOPDGDD:

La AEPD puede trasladarte la reclamación (o a tu delegado de protección de datos, si lo tienes) y darte un mes para responder al reclamante y acreditarlo (art. 65.4). Si demuestras que has atendido el derecho, puede inadmitirla.
Decide sobre la admisión en tres meses; si no lo hace, el procedimiento se entiende iniciado (art. 65.5).
Tras la admisión, te da diez días hábiles de audiencia y resuelve en seis meses (art. 64.1). La resolución te ordena atender el derecho o denegarlo motivadamente en diez días hábiles, con copia a la Agencia.
Incumplir esa orden es una infracción independiente del art. 83.6 del RGPD, muy grave (art. 72.1.m de la LOPDGDD).

En paralelo, la AEPD puede sancionar. Los derechos de los interesados están en el bloque más alto del art. 83.5.b del RGPD: hasta 20 millones de euros o el 4 % de la facturación mundial anual. La LOPDGDD gradúa: no atender una solicitud es infracción leve (art. 74.c, prescribe al año), como no avisar de una rectificación o supresión a quien cediste los datos (art. 74.e); impedir, obstaculizar o desatender de forma reiterada los derechos es muy grave (art. 72.1.k, prescribe a los tres años), igual que cobrar un canon fuera del art. 12.5 (art. 72.1.j). El art. 76 modula la multa por el carácter continuado o los beneficios obtenidos.

Resoluciones de procedimientos de derechos (código «PD», antes «TD») publicadas por la AEPD en 2026 contra empresas pequeñas:

Resolución	Hechos	Resultado
PD-00083-2026 (Volmae Psicólogos, S.L.P.)	Una paciente pidió copia completa de su historial psicológico con los resultados de los test. La consulta entregó solo un informe de seguimiento y negó el resto alegando «anotaciones subjetivas».	Estimada: infracción del art. 15 del RGPD. Diez días hábiles para entregar resultados, puntuaciones e informes; solo quedan fuera las notas de uso exclusivamente personal (art. 18.3 de la Ley 41/2002).
PD-00099-2026 (Iván Mañero Clinic, S.L.)	Acceso a la historia clínica pedido por burofax recibido el 22-9-2025. La primera respuesta llegó el 7-11-2025, ya fuera del mes, y la clínica no acreditó qué envió después.	Estimada: el acceso debe ser efectivo dentro del plazo del art. 12.3; llegar tarde y no probar el contenido no lo subsana. Diez días hábiles para certificar la entrega.
PD-00103-2026 (Somacal, S.L.)	La clienta pidió su documentación clínica y recibió un «le avisaremos». Nada más hasta que la AEPD trasladó la reclamación y la empresa envió los datos a la Agencia.	Estimada por motivos formales: responder a través de la AEPD y fuera de plazo no equivale a atender el derecho, aunque no se ordenó nueva entrega porque la persona ya tenía los datos.
PD-00087-2026 (Instituto Marly Kuenerz, S.L.)	Una exalumna pidió borrar todos sus datos, incluidas grabaciones de clases grupales. El centro borró perfiles y contactos, pero conservó los vídeos como material docente y por un expediente de consumo abierto.	Desestimada: la respuesta motivada dentro del plazo, con consentimiento previo a la grabación y conservación justificada, es conforme al RGPD.

La lección común: la AEPD no castiga tanto decir «no» como no decir nada, decir «ya te avisaremos» o entregar tarde y a medias. Una denegación motivada y a tiempo (PD-00087-2026) resiste; el silencio (PD-00103-2026) no. El 25 de septiembre de 2026 el buscador de la AEPD devolvía errores y no localizamos una multa reciente a una pyme solo por desatender derechos; las sanciones «PS» por otros incumplimientos están en la guía general del RGPD para pymes.

Cómo redactar la respuesta

Respuesta a un acceso (guion, no modelo completo): identifica la solicitud y su fecha; confirma que tratas datos de la persona; adjunta la copia (un PDF o un archivo exportado sirve) y detalla los puntos del art. 15.1: fines, categorías de datos, destinatarios (gestoría, banco, plataforma de envíos), plazos de conservación, origen si no te los dio ella, decisiones automatizadas y transferencias fuera de la UE. Cierra recordando que puede rectificar, suprimir, limitar u oponerse y reclamar ante la AEPD. Firma, fecha y guarda copia.

Respuesta denegatoria o parcial: identifica la solicitud y su fecha; explica qué has hecho (por ejemplo, borrar marketing y perfil de cliente) y qué no; cita la excepción concreta (art. 17.3.b del RGPD por la obligación de conservar facturas cuatro años según el art. 66 de la LGT, o art. 17.3.e por una reclamación abierta); indica que los datos quedan bloqueados, quién puede acceder a ellos y cuándo se borrarán; recuerda el derecho a reclamar ante la AEPD y a acudir a los tribunales (art. 12.4). La motivación se refiere a los datos de esa persona, no a una plantilla vacía.

Para quien quiere ejercer un derecho, la AEPD publica formularios oficiales de acceso, rectificación, supresión, oposición, limitación y portabilidad, y un resumen de las reglas en Ejerce tus derechos. No son obligatorios, pero ayudan a que la petición llegue clara.

Ojo con esto

Contar el mes desde que lo lees, no desde que llega. El plazo empieza con la recepción en cualquier canal oficial (art. 12.3 del RGPD; Directrices 01/2022, párrafo 159). Revisa el buzón de contacto y el formulario de la web a diario.
Contestar «ya te avisaremos» o no contestar porque no tienes datos. Ambas conductas son no atender el derecho. La AEPD estimó PD-00103-2026 por un «le avisaremos» sin más. Si no tienes datos, dilo por escrito.
Borrar las facturas o el expediente laboral porque el cliente lo exige. Incumplirías la LGT, el Código de Comercio o la LISOS. Bloqueas, explicas y borras cuando venza el plazo. Si dudas sobre un plazo concreto, consulta a un profesional antes de destruir nada.
Pedir el DNI a todo el mundo o cobrar por responder. Pedir más datos de los necesarios contradice el art. 12.6 del RGPD; cobrar fuera del art. 12.5 es infracción muy grave (art. 72.1.j de la LOPDGDD).
Olvidar avisar a terceros. Si rectificas, suprimes o limitas datos que habías cedido (gestoría, plataforma de envíos, aseguradora), debes comunicárselo a cada destinatario salvo que sea imposible o desproporcionado (art. 19 del RGPD); no hacerlo es infracción leve (art. 74.e).

Ejemplo práctico

Caso 1: tienda de ropa con tres empleados. Una dependienta que dejó la tienda hace dos meses tras un despido objetivo pide por correo, el 10 de septiembre de 2026, «todos mis datos y que los borren». La tienda acusa recibo ese día y, como escribe desde el correo que figura en su contrato, no le pide el DNI. Localiza: contrato, 26 nóminas, cuadrantes, el finiquito, dos correos de la encargada y las imágenes de las cámaras (ya borradas: se conservan 30 días). El 2 de octubre le envía un PDF con todo, tapando el nombre de una compañera citada en un correo, y la información del art. 15.1: fines (gestión laboral y de nóminas), destinatarios (gestoría, TGSS, Hacienda, banco) y conservación (cuatro años por la LISOS y la LGT). Le explica que no puede suprimir el expediente por esa obligación legal (art. 17.3.b del RGPD), que queda bloqueado hasta 2030 y que puede reclamar ante la AEPD. Tres semanas: dentro del mes.

Caso 2: clínica de fisioterapia con un paciente. Un paciente pide el 15 de septiembre de 2026 copia de su historia clínica y que borren sus datos porque «no vuelve». La clínica le entrega en diez días la historia completa (anamnesis, evolución, informes y consentimientos), porque el art. 18 de la Ley 41/2002 le da derecho a la documentación y a copia de sus datos; solo se reserva las anotaciones estrictamente personales del fisioterapeuta, que la ley permite oponer, y lo dice por escrito. Sobre la supresión, le explica que la documentación clínica se conserva como mínimo cinco años desde el alta (art. 17.1 de la misma ley) y las facturas cuatro, por lo que quedan bloqueadas; sí borra su teléfono de los recordatorios por WhatsApp y su correo de la newsletter. Si hubiera contestado «ya le avisaremos» y entregado la historia a los dos meses, estaría como la clínica de PD-00099-2026: reclamación estimada y orden de la AEPD.

Fuentes oficiales

Reglamento (UE) 2016/679 (RGPD), art. 12 a 22, 28.3 y 83.5, DOUE publicado por el BOE y texto en EUR-Lex (consultados el 25 de septiembre de 2026)
Ley Orgánica 3/2018 (LOPDGDD), art. 3, 7, 12 a 18, 22, 23, 64, 65, 72, 74 y 76, texto consolidado (consultado el 25 de septiembre de 2026)
Ley 34/2002 (LSSI), art. 21 (consultado el 25 de septiembre de 2026)
Ley 41/2002, de autonomía del paciente, art. 17 y 18 (consultado el 25 de septiembre de 2026)
Ley 58/2003, General Tributaria, art. 29.2.e y 66, Código de Comercio, art. 30 y LISOS, art. 4 (consultados el 25 de septiembre de 2026)
AEPD: Ejerce tus derechos, Modelos y formularios y sede electrónica (consultados el 25 de septiembre de 2026)
AEPD: Guía sobre el uso de videocámaras para seguridad y otras finalidades, febrero de 2025 (consultada el 25 de septiembre de 2026)
Resoluciones de la AEPD PD-00083-2026, PD-00099-2026, PD-00103-2026 y PD-00087-2026 (consultadas el 25 de septiembre de 2026)
CEPD: Directrices 01/2022 sobre el derecho de acceso, versión 2.1 (consultadas el 25 de septiembre de 2026)
Lista Robinson (consultada el 25 de septiembre de 2026)

Preguntas frecuentes

¿Cuánto tiempo tengo para responder a una solicitud de derechos?

Un mes desde que la recibes, aunque no la hayas leído (art. 12.3 del RGPD). Si la petición es compleja o te llegan muchas a la vez, puedes ampliar el plazo dos meses más, pero tienes que avisar de la prórroga y de su motivo dentro del primer mes. Si recibes la solicitud el 5 de marzo, el plazo termina el 5 de abril; si el último día es festivo, el siguiente día hábil (Directrices 01/2022 del CEPD, párrafos 159-161).

¿Puedo pedir una copia del DNI para comprobar quién me escribe?

Solo si tienes dudas razonables sobre la identidad y no puedes comprobarla de otra forma (art. 12.6 del RGPD). Si la persona te escribe desde el correo con el que es cliente o firmó el contrato, ya está identificada y pedir el DNI es desproporcionado (Directrices 01/2022 del CEPD, párrafos 73-75). Si lo pides, no lo guardes una vez comprobado.

Un cliente me pide que borre todos sus datos, pero tengo sus facturas. ¿Qué hago?

Borras lo que ya no necesitas (marketing, perfil, historial de navegación) y conservas los datos de facturación porque una obligación legal te lo exige: cuatro años por la prescripción tributaria (art. 66 de la LGT) y seis por el Código de Comercio (art. 30). Es la excepción del art. 17.3.b del RGPD. Se lo explicas por escrito en el plazo de un mes, indicando qué has borrado, qué conservas, por qué y hasta cuándo.

¿Qué tengo que entregar exactamente cuando alguien ejerce el derecho de acceso?

Una copia de los datos personales que tratas y la información del art. 15.1 del RGPD: fines, categorías de datos, destinatarios, plazo de conservación, origen si no te los dio la propia persona, existencia de decisiones automatizadas y el recordatorio de que puede reclamar ante la AEPD. La primera copia es gratis; por copias adicionales puedes cobrar un canon razonable basado en el coste administrativo (art. 15.3).

¿Puedo cobrar por atender una solicitud de derechos?

No. Atenderlas es gratuito (art. 12.5 del RGPD y art. 12.7 de la LOPDGDD). Solo ante solicitudes manifiestamente infundadas o excesivas, por ejemplo repetir el acceso más de una vez en seis meses sin causa (art. 13.3 de la LOPDGDD), puedes cobrar un canon por el coste administrativo o negarte a actuar, y tienes que poder demostrar ese carácter excesivo. Cobrar fuera de esos casos es infracción muy grave (art. 72.1.j de la LOPDGDD).

¿Qué pasa si no contesto?

La persona puede reclamar ante la AEPD. La Agencia te traslada la reclamación y te da un mes para responder (art. 65.4 de la LOPDGDD); si no lo haces, abre un procedimiento de derechos que resuelve en seis meses y te ordena atender la solicitud en diez días hábiles (art. 64.1). No atender una solicitud es infracción leve (art. 74.c) y hacerlo de forma reiterada u obstaculizar el derecho es muy grave (art. 72.1.k), con multas del art. 83.5.b del RGPD. Incumplir la orden de la AEPD es otra infracción muy grave (art. 72.1.m).

¿Un exempleado tiene derecho a pedir su expediente laboral?

Sí. El derecho de acceso no depende de que la relación siga viva: puede pedir una copia de sus datos (contrato, nóminas, evaluaciones, comunicaciones sobre él) y la información del art. 15.1 del RGPD. Puedes excluir las anotaciones que revelen datos de otras personas (art. 15.4) y no tienes que crear documentos nuevos, solo entregar los que ya existen. Los datos laborales los conservas al menos cuatro años aunque te pida su supresión (art. 4 de la LISOS).

¿Cómo respondo a quien pide ver las grabaciones de mis cámaras?

La AEPD admite que respondas con un escrito que confirme si se le grabó, cuándo y con qué finalidad, sin entregar el vídeo cuando en él aparecen otras personas (Guía de videovigilancia de febrero de 2025, apartado 2.3.10). Puedes pedirle una imagen actual para localizarle. Ten en cuenta que las imágenes se borran como máximo al mes (art. 22.3 de la LOPDGDD): si pide el acceso después, responde que ya no existen.

Historial de cambios

2026-09-25: publicación inicial. Normas de referencia: RGPD (art. 12 a 22, 28.3 y 83.5, sin modificaciones desde 2016 salvo corrección de errores), LOPDGDD (texto consolidado a 25-9-2026; art. 64 y 65 modificados por la Ley 11/2023 y art. 23.1 por la Ley 10/2025), LSSI (art. 21), Ley 41/2002 (art. 17 modificado por la Ley 19/2015), LGT (art. 66), Código de Comercio (art. 30) y LISOS (art. 4). Criterios: Directrices 01/2022 del CEPD (versión 2.1) y Guía de videovigilancia de la AEPD (febrero de 2025). Resoluciones de ejemplo: PD-00083-2026, PD-00099-2026, PD-00103-2026 y PD-00087-2026.