Para una solicitud de rectificación u objeción al tratamiento se aplica el mismo plazo que para una solicitud de acceso o supresión: un mes desde la recepción. El RGPD permite ampliar ese plazo hasta dos meses si la solicitud es compleja o si se reciben muchas solicitudes simultáneamente, pero entonces debe informar al interesado en el primer mes que amplía el plazo y el motivo.
Lo que a menudo sale mal en la práctica no es el plazo en sí, sino el momento en que comienza a contar. Además, en rectificación y objeción se suma una cuestión sustantiva que no existe en las solicitudes de acceso: ¿es legítima la solicitud? Evaluarlo lleva tiempo, y ese tiempo de evaluación entra dentro del mismo mes.
Qué mide exactamente el plazo
El mes comienza cuando la solicitud llega a usted, no cuando la reconoce como tal. Un correo electrónico al servicio de atención al cliente que dice "esto no es correcto, corrígelo" ya es una solicitud de rectificación, aunque nadie la haya registrado así. Lo mismo ocurre con una objeción: un cliente que escribe "no quiero que usted siga utilizando mis datos para este fin" no necesita usar la palabra objeción. Los supervisores evalúan el cumplimiento observando el momento de recepción, no el de reconocimiento. Quien no documenta esa distinción a menudo pierde días antes de que la solicitud figure en la agenda.
Rectificación: a menudo rápida, pero con una condición
Corregir una dirección o un número de teléfono es por lo general simple y rápido. Es más difícil cuando el interesado sostiene que una evaluación, nota o anotación en el expediente es incorrecta. Entonces no se trata de un error de hecho, sino de una cuestión de criterio, que requiere coordinación con la persona que hizo la anotación. Esa coordinación debe completarse en el plazo de un mes, y solo es posible si la solicitud llega inmediatamente a la persona adecuada en lugar de quedarse con quien abrió el correo por casualidad.
Objeción: evaluar, no conceder automáticamente
Una objeción al tratamiento no tiene que concederse automáticamente. El Reglamento indica que una organización puede evaluar si existen motivos legítimos imperiosos para continuar el tratamiento, por ejemplo en caso de un contrato en ejecución u obligación legal. Esa evaluación debe comunicarse de forma motivada al interesado, dentro del mismo plazo. Muchas empresas subestiman el tiempo que requiere esa justificación, porque olvidan que decir "no" a una objeción debe estar tan bien fundamentado como decir "sí".
Dónde se estanca el plazo en la práctica
En la mayoría de los casos, el plazo no se estanca por cuestiones de fondo, sino en tres puntos reconocibles. El primero es el reconocimiento: la solicitud no se ve como tal y queda en una bandeja de entrada. El segundo es la verificación: antes de modificar datos o detener un tratamiento, debe estar razonablemente seguro de que el solicitante es de hecho el interesado, y esa comprobación lleva tiempo que no siempre se ha previsto. El tercero es la coordinación dentro de la organización: un expediente de recursos humanos o una evaluación de cliente a menudo no está en una sola persona, y sin un punto de contacto fijo la búsqueda lleva más tiempo que la decisión. Una base de conocimientos en la que cada tipo de solicitud se explica por separado ayuda a hacer esa distinción de antemano en lugar de esperar a la primera solicitud.
Qué cuenta como dentro del plazo
Responder a tiempo significa que el interesado recibe dentro del plazo una respuesta sustancial, una denegación motivada, o una comunicación de que el plazo se prorroga. Una confirmación de recepción sin contenido no cuenta como tramitación. Precisamente porque la rectificación y la oposición suelen requerir una evaluación más sustancial que una solicitud de acceso, es recomendable determinar temprano en el mes quién dentro de la organización realiza esa evaluación y sobre la base de qué información. Las preguntas frecuentes sobre solicitudes de interesados ofrecen por cada situación una respuesta breve sobre qué entra y qué no entra en este plazo.
Si una solicitud concreta es procedente y cómo fundamenta una denegación es algo que varía según la situación y para lo que, en caso de duda, consulta a un abogado o a la Autoridad de Protección de Datos. Lo que sí hace gdpria.eu es vigilar el propio plazo: en cuanto se registra una solicitud, el plazo comienza automáticamente, incluyendo el momento en que debe anunciarse una prórroga. En cómo funciona se explica de dónde procede esa lógica de plazos y cómo se mantiene.
¿Quiere ver en la práctica cómo se ve una solicitud así en su propio negocio y dónde se encuentra ahora? El escaneo rápido gratuito en gdpria.eu le da en unas pocas preguntas una primera indicación, y con una cuenta comercial registra la tramitación de cada solicitud con su plazo correspondiente.