La Gaceta del Centinela
En tiempos de sobreinformación: referencias verificables y contraste adicional cuando exista más de una fuente fiable.
Sanción de la semana: 2.000 € por no atender una solicitud de acceso a datos en plazo
Contenido orientativo con fuentes oficiales y referencias contrastables. No sustituye asesoramiento jurídico ni técnico especializado.
Serie 'Sanción de la semana': un caso representativo basado en resoluciones públicas de la AEPD, con la lección práctica en una acción.
Puntos clave
- 1El plazo para atender derechos ARCO es de 1 mes, ampliable a 3 meses avisando en el primer mes
- 2Una respuesta incompleta o que no cubre todos los datos tratados también se considera incumplimiento
- 3No tener un canal visible para ejercer derechos ya es incumplimiento previo
- 4Ignorar o posponer estas solicitudes acaba siendo más caro que atenderlas correctamente
Qué ocurrió
Un usuario que había sido cliente de una empresa de servicios envió por email una solicitud de acceso a sus datos personales. La empresa no respondió en el plazo de 1 mes. El usuario reclamó ante la AEPD. La empresa respondió 4 meses después del envío de la solicitud, y la respuesta no incluía información sobre algunos tratamientos (el historial de comunicaciones y las grabaciones de llamadas).
Los dos incumplimientos
La AEPD detectó dos infracciones independientes: (1) Retraso en la respuesta — el plazo de 1 mes es improrrogable sin aviso previo. Superarlo sin comunicación al interesado es infracción directa. (2) Respuesta incompleta — el derecho de acceso incluye TODOS los datos tratados, no solo los que la empresa decide mostrar. Omitir categorías de datos (grabaciones, historial de comunicaciones, datos de facturación…) convierte la respuesta en incumplimiento aunque se envíe.
La sanción y la lección
En casos como este la AEPD ha impuesto sanciones en torno a 2.000 €. La lección: crea un proceso interno para las solicitudes de derechos. Cuando llegue una: (1) acúsala recibo ese mismo día, (2) márcala en el calendario con la fecha límite (30 días), (3) haz un inventario completo de todos los datos que tienes de esa persona antes de responder. Una respuesta rápida y completa evita el procedimiento sancionador.
Próximos pasos recomendados
- 1Crea una dirección de email dedicada a solicitudes de privacidad (ej: privacidad@tuempresa.es) y publícala en tu política de privacidad
- 2Cuando llegue una solicitud, acusa recibo inmediatamente y marca la fecha límite en el calendario
- 3Antes de responder, haz inventario de TODOS los sistemas donde puedes tener datos de esa persona
¿Tienes dudas concretas sobre este tema?
Pregúntale directamente a Centinela AI con tu contexto específico. Responde en segundos con fuentes citadas.
Probar gratis, sin tarjetaFuentes y referencias
- RGPD art. 15 — Derecho de acceso del interesado, Contenido y alcance del derecho de acceso a datos personales
- AEPD — Cómo gestionar los derechos de los interesados, Guía práctica sobre procedimiento de atención de derechos
También en RGPDAplicado
Un cliente te pide que borres sus datos: qué haces, qué no puedes borrar y cómo responder
5 min
Envías newsletter a tus clientes: ¿necesitas consentimiento? La respuesta depende de cuándo se hicieron clientes
5 min
Cámaras de seguridad en tu local o empresa: qué permite el RGPD y qué está terminantemente prohibido
5 min