El error más común al tramitar una solicitud de un interesado no está en el plazo en el que responde, sino en el contenido de su respuesta. Las empresas a menudo envían demasiados pocos datos en una solicitud de acceso, o suprimen datos en una solicitud de supresión que en realidad debían conservar. Ambos errores surgen porque la solicitud se trata como una única acción simple, cuando en realidad primero hay que responder una serie de preguntas.
La esencia del error es esta: una solicitud de acceso o supresión requiere una evaluación por dato, no un botón que pulse. Quien borra un expediente de personal completo porque un antiguo empleado lo solicita, puede acabar suprimiendo datos que deben conservarse por otra obligación legal, como plazos de retención fiscal o laboral. Quien en una solicitud de acceso solo envía una exportación de un sistema, a menudo pierde datos que están en otro lugar, por ejemplo en un archivo Excel separado o en el buzón de un responsable.
Por qué este error ocurre tan a menudo
La RGPD otorga a los interesados el derecho de acceso y, bajo ciertas condiciones, el derecho a la supresión. Ambos derechos no son ilimitados. El derecho a la supresión, por ejemplo, no se aplica cuando existe una obligación legal de retención, o cuando los datos son necesarios para establecer, ejercer o defender una acción judicial. Esta distinción no aparece en una simple lista de comprobación, y eso lo hace difícil para alguien que lo trata por primera vez.
Una segunda razón es que en una empresa pequeña o mediana promedio, los datos están dispersos: en el CRM, en la contabilidad, en el correo electrónico, a veces en una aplicación de chat. Una solicitud se responde a menudo desde un único sistema, mientras que el interesado tiene derecho a una imagen completa. Esto es exactamente donde un registro de actividades de tratamiento actualizado marca la diferencia: si ha documentado de antemano qué sistemas contienen datos personales y de quién, no tiene que averiguarlo bajo presión de tiempo cuando llega una solicitud.
El segundo error: no verificar la identidad
Además de la evaluación de contenido, a menudo falla en el primer paso: determinar quién hace la solicitud. Una solicitud de acceso o supresión a menudo contiene información sensible, y esa información solo debe llegar al interesado. Tramitar una solicitud demasiado rápido sin verificar la identidad puede resultar en que los datos de una persona lleguen a la persona equivocada. Al mismo tiempo, esto es cierto: un control de identidad innecesariamente riguroso ralentiza el tramitación y puede percibirse como una barrera desproporcionada a la solicitud.
Cómo evitar este error
El primer paso es documentar adecuadamente la solicitud misma: qué se pregunta exactamente, quién la hace y en qué fecha se recibió. A partir de ese momento, comienza el plazo legal, y ese plazo se aplica independientemente de si la solicitud llega por correo electrónico, teléfono o carta.
El segundo paso es verificar en qué sistemas existen datos de esta persona. Un registro de actividades de tratamiento que esté actualizado acelera esto considerablemente, porque entonces ya sabe qué herramientas y proveedores procesan datos de empleados o clientes. Quien aún no lo tiene centralizado, puede leer qué debe contener exactamente un registro antes de que llegue una solicitud. banco de conocimiento con explicación por situación nalesen qué debe contener exactamente un registro antes de que llegue una solicitud.
El tercer paso es evaluar por cada dato si la supresión o la divulgación está permitida, en lugar de tratar todo el expediente de una sola vez. Si duda sobre una obligación legal de retención que se opone a la solicitud, es recomendable obtener asesoramiento legal al respecto; la autoridad de supervisión menciona esta distinción en sus directrices, pero el resultado depende de la situación específica.
En conclusión, ayuda tener un proceso fijo de antemano para este tipo de solicitudes, de modo que no se reinvente en cada solicitud quién es responsable de qué. Las respuestas a preguntas frecuentes sobre este tema se encuentran organizadas en la colección de preguntas frecuentes, y quien quiera ver cómo gdpria.eu indica la fuente de cada respuesta, lo lee en la página explicación sobre cómo se elabora la información.
Un registro bien mantenido y un proceso fijo no evitan que llegue una solicitud, pero sí que salga mal bajo presión de tiempo. Quien prefiera regular esto estructuralmente en lugar de resolver cada caso de nuevo, puede orientarse gratis en una cuenta comercial y así poner en orden el resumen por sistema y por solicitud.
¿Le interesa saber cómo se ve su propia situación? El escaneo rápido gratuito da en pocas preguntas una primera indicación, sin que necesite una cuenta para ello.