La respuesta breve
Los derechos en sí no cambian este año. El derecho de acceso, rectificación, supresión, limitación, oposición y portabilidad están en el RGPD mismo, y ese texto no se reescribe anualmente. Lo que sí cambia es la manera en que esas solicitudes llegan a las empresas y cómo los supervisores y la Junta Europea de Protección de Datos (EDPB) lo explican. Para un director o responsable de recursos humanos, eso marca una diferencia en la práctica, aunque el texto legal no cambie.
Eso no significa que no tenga que hacer un seguimiento. Las directrices de la Autoridad de Protección de Datos y la EDPB se actualizan regularmente, por ejemplo sobre cómo verificar la identidad de quien presenta una solicitud o cómo manejar una solicitud que llega a través de un chat o redes sociales. Estas actualizaciones no son leyes nuevas, pero sí una aplicación más precisa de una obligación existente.
Lo que no cambia en la ley misma
El núcleo sigue siendo el mismo: una persona interesada puede preguntar qué datos procesa sobre ella, puede solicitar que se corrijan datos incorrectos, y puede solicitar la supresión bajo ciertas condiciones. El plazo en el que debe responder está en el RGPD mismo y no está sujeto a revisión anual. Las empresas que creen que este año se ha introducido un plazo de respuesta nuevo, más corto o más largo, probablemente lo confunden con acuerdos internos o comunicaciones que no hablan del propio texto legal.
Tampoco cambian los motivos de excepción, como una obligación legal de conservación que impida la supresión. Lo que sí puede cambiar es cómo los supervisores interpretan esas excepciones en sus directrices. No es una modificación de la ley, pero puede significar que una justificación que fue suficiente el año pasado debe documentarse de manera más precisa este año.
Qué está en movimiento este año
Tres desarrollos son relevantes para las pequeñas y medianas empresas, sin que la propia ley se haya modificado. Primero, las solicitudes llegan cada vez más a menudo digitalmente, a través de un formulario de contacto, un chatbot o una respuesta en redes sociales, en lugar de por correo. Eso no cambia la obligación, pero sí la cuestión de si se reconoce una solicitud como una solicitud formal y llega a tiempo a la persona correcta en la organización.
Segundo, crece la atención sobre solicitudes que afectan al tratamiento automatizado, por ejemplo cuando se han utilizado datos para crear un perfil o una aplicación de IA ha proporcionado información para una decisión. La EDPB desarrolla este tema regularmente. Por lo tanto, las empresas que utilizan herramientas de IA para contacto con clientes o evaluación de personal harían bien en conocer qué datos contienen antes de que llegue una solicitud. Esto toca directamente las cuestiones que surgen en torno a RGPD y herramientas de IA en la práctica.
Tercero, se está llevando a cabo un debate más amplio sobre la evaluación del RGPD en su conjunto, a nivel europeo. Se analiza si las reglas para organizaciones más pequeñas pueden simplificarse, pero en este momento no se han establecido cambios legislativos concretos. Lo que aún no está fijado, lo indicamos aquí como tal: no hay una fecha definitiva ni contenido conocido, y especular sobre ello no ayuda al emprendedor.
Para quién es relevante
Estos cambios afectan especialmente a las organizaciones que tienen muchos puntos de contacto con clientes o empleados: una oficina con servicio al cliente, una empresa de instalación con un formulario de presupuesto en el sitio web, o un departamento de recursos humanos que procesa datos de solicitudes. Cuantos más canales tenga alguien para ponerse en contacto, mayor es la probabilidad de que una solicitud llegue sin que nadie la reconozca como una solicitud formal del RGPD. No se trata de un riesgo legal que evaluemos aquí, sino de un punto práctico que merece la pena discutir internamente.
También es relevante la relación con sus acuerdos de tratamiento de datos: si un cliente presenta una solicitud ante usted, pero los datos están en un proveedor de SaaS externo, ese proveedor debe poder colaborar en el acceso o la supresión. Puede verificar si esto está debidamente regulado contractualmente a través de la preguntas frecuentes sobre acuerdos de tratamiento de datos y herramientas SaaS.
Cómo mantenerlo actualizado sin tener que verificarlo cada vez
Dado que el texto legal es estable pero su interpretación cambia, lo importante es saber de dónde procede la posición actual y cuándo cambia. gdpria.eu vincula cada tema con la fuente en el RGPD y con las directrices del CEPD y la Autoridad de Protección de Datos, para que no tenga que hacer un seguimiento de si algo ha sido modificado. En caso de sospecha de una brecha de datos, por ejemplo, puede primero verificar en unos pocos pasos dónde se encuentra, antes de tomar medidas adicionales.
¿Desea saber cómo se mantiene este tipo de información y de dónde procede la cita de la fuente? Realice el análisis rápido gratuito o revise los temas de la base de conocimientos y determine por sí mismo si es necesario dar un paso siguiente.