Una empresa no contesta al derecho de acceso

Si una empresa no responde a su solicitud de acceso a datos personales, lo primero es comprobar qué pidió, a quién y cuándo quedó recibida. El responsable debe contestar, como regla, en un mes, con posibilidad de ampliar otros dos cuando concurran las condiciones del RGPD y se informe dentro del primer mes. El silencio no convierte automáticamente en verdadera cualquier sospecha, pero permite valorar una reclamación por falta de atención del derecho. 1

Qué permite conocer el acceso

El artículo 15 del RGPD permite confirmar si se tratan sus datos, obtener copia y conocer finalidades, categorías, destinatarios, conservación, origen disponible y determinados extremos de decisiones automatizadas o transferencias internacionales. No se limita a descargar los datos que usted escribió en un formulario. Puede abarcar información inferida o generada que sea personal y esté siendo tratada. 1 4

Tampoco es un derecho ilimitado a todos los documentos de una empresa. El objeto son sus datos y la información legalmente exigida. Cuando el contexto documental sea necesario para comprenderlos, puede ser relevante pedirlo. Los derechos de otras personas y secretos legítimos deben ponderarse, sin utilizarlos como excusa genérica para negar cualquier información. 1

Preparar una solicitud que pueda localizarse

Identifique al responsable en su contrato o información de privacidad. El delegado de protección de datos, si existe, puede ser un canal, pero no toda empresa está obligada a tenerlo. Utilice una dirección o formulario oficial y conserve copia del contenido y justificante de entrega.

Indique nombre, datos que permitan localizar su relación y un medio seguro de respuesta. Puede concretar un periodo, cuenta, expediente o llamada si eso ayuda, sin renunciar involuntariamente al resto. No es obligatorio utilizar una fórmula notarial ni explicar para qué quiere conocer sus datos. La LOPDGDD impide denegar el derecho solo por haber elegido otro medio accesible distinto del preferido por la empresa. 2

Si el responsable tiene dudas razonables sobre su identidad, puede solicitar información adicional necesaria. Eso no justifica exigir por defecto una copia completa del DNI para cualquier petición, ni solicitar más datos de los precisos. Una comprobación debe ser proporcionada y segura. 1

Cómo se cuenta el tiempo

El RGPD habla de un mes desde la recepción, no de treinta días hábiles. La ampliación de hasta otros dos meses depende de complejidad o número de solicitudes y exige comunicar razones en el primer mes. Una respuesta automática de recepción no es la contestación al derecho. 1

Si la empresa solicita aclaraciones o identificación, conserve esa comunicación y responda a lo necesario. No acepte sin análisis que cualquier pregunta reinicie indefinidamente el plazo. El expediente debe mostrar cuándo pudo identificarse la solicitud y qué obstáculo real existía.

Una negativa también necesita respuesta: el responsable debe informar de motivos y de las posibilidades de reclamación y recurso conforme al artículo 12. No contestar porque “ya no es cliente” desconoce que pueden seguir tratándose datos después del contrato. 1

Cuándo una respuesta es insuficiente

Una política de privacidad genérica no informa necesariamente de sus datos concretos. Una descarga con nombre y correo puede omitir historiales, perfiles o destinatarios que formen parte del tratamiento. Compare la respuesta con cada extremo solicitado y señale las carencias con precisión.

El TJUE, en el asunto C-154/21, de 12 de enero de 2023, reconoció el derecho a conocer la identidad de destinatarios concretos. El comunicado oficial explica que pueden indicarse categorías cuando no sea posible identificarlos o la solicitud sea manifiestamente infundada o excesiva. No basta, por tanto, con responder siempre “colaboradores comerciales” si se conoce a quién se comunicaron los datos. 3

Un portal remoto puede satisfacer el acceso si permite conocer efectivamente los datos en las condiciones legales. La LOPDGDD contempla esa opción, pero permite solicitar la información del artículo 15.1 que el sistema no incluya. 2

Reclamar con un expediente breve

Si no recibe respuesta en plazo o esta es incompleta, puede acudir a la autoridad de protección de datos competente, habitualmente la AEPD para empresas privadas en España. Aporte solicitud, prueba de recepción, respuesta y una explicación concreta de lo pendiente. No sustituya esos documentos por un relato largo de toda su relación comercial.

La reclamación sobre acceso no resuelve necesariamente si un contrato es válido, si una deuda existe o si hubo discriminación. Esas cuestiones pueden requerir otros cauces. La autoridad puede investigar y adoptar medidas de su competencia; una eventual sanción no se le entrega como indemnización. El resarcimiento de daños tiene requisitos y vía propios. 1

Errores y alternativas

No solicite la supresión inmediata de información que necesita conservar para un litigio sin valorar antes acceso o limitación. No envíe credenciales de cuenta ni documentos de terceros para identificarse. Si actúa mediante representante, acredite esa representación.

Repetir solicitudes idénticas diariamente puede entorpecer el expediente. La ley contempla solicitudes manifiestamente infundadas o excesivas y la LOPDGDD regula reiteración, con excepción de causa legítima. Una nueva operación, una brecha o datos modificados pueden justificar una petición posterior: no existe una prohibición absoluta de preguntar más de una vez. 1 2

Ejemplo ficticio

Una exclienta pide los datos que una financiera mantiene sobre ella y sus destinatarios. Recibe solo una política de privacidad. Conserva el justificante y solicita que se identifiquen datos concretos, finalidad y comunicaciones. Si la respuesta sigue incompleta, presenta esos documentos ante la autoridad. El acceso puede ayudar a entender el tratamiento, pero no anula por sí solo la deuda discutida.

Preguntas frecuentes

¿Pueden cobrarme la primera copia? El régimen general es gratuito, con excepciones legales por solicitudes manifiestamente infundadas o excesivas; las copias adicionales tienen una previsión específica. La empresa debe justificar la excepción.

¿Necesito explicar que prepararé una demanda? No. El ejercicio del acceso no depende de revelar esa finalidad.

¿Sirve una captura de mi correo enviado? Ayuda a acreditar el contenido, pero conviene demostrar también recepción o presentación por el canal utilizado.