¿Qué documentos necesita para una solicitud de acceso o supresión?
Cuando alguien le pide acceso a sus datos, o que los suprime, necesita una serie de documentos para tramitar esa solicitud correctamente: un acuse de recibo con fecha, una forma de verificar la identidad del solicitante, un resumen de lo que realmente procesa sobre esa persona, una decisión escrita con justificación, y posiblemente un aviso en el que amplía el plazo. En conjunto, estos documentos forman el expediente con el que puede demostrar qué se ha solicitado y qué ha hecho al respecto.
La parte que genera más incertidumbre no es la lista en sí, sino la verificación de identidad. Solicitar demasiado pocos datos es un riesgo porque entonces puede facilitar datos a la persona equivocada; solicitar demasiados también es un riesgo, porque el RGPD precisamente pide no solicitar más datos de los necesarios para verificar la identidad. Una copia completa de un documento de identidad normalmente no es necesaria para ello e introduce además nuevos datos que debe proteger y destruir de manera oportuna.
Verificar la identidad sin excederse
En la práctica, a menudo funciona con datos que ya tiene: un número de cliente, una dirección de correo electrónico conocida anteriormente, o una breve verificación de devolución de llamada. Solo si hay dudas sobre quién presenta la solicitud, la verificación adicional es aconsejable. La Autoridad de Protección de Datos y las directrices de la EDPB prestan atención explícita a esto, precisamente porque este es el punto en el que las organizaciones con más frecuencia se exceden. Un procedimiento fijo para la verificación de identidad, que establece una vez y luego repite, evita que tenga que volver a inventarlo cada vez.
Qué más debe incluir en el expediente
Además de la verificación de identidad, el expediente debe incluir un resumen de los propios datos procesados: de dónde proceden, con quién se han compartido, y cuánto tiempo los tiene. Este resumen lo obtiene en la práctica de su registro de actividades de tratamiento, si está en orden. Sin registro, debe investigar esto manualmente en sus sistemas para cada solicitud, lo que requiere más tiempo y aumenta el riesgo de una respuesta incompleta. En la base de conocimientos encontrará explicado por situación qué implica una respuesta completa.
En el caso de una solicitud de supresión, se añade otro documento: la evaluación de si hay una obligación legal de conservación que impida (temporalmente) la supresión, por ejemplo en el caso de datos fiscales. Esta evaluación la documenta por escrito, incluso si el resultado es que no suprime (completamente). Este documento es tan importante como la supresión misma, porque demuestra que se ha tomado una decisión consciente y no se ha olvidado la solicitud.
Por qué esto se relaciona con su registro y sus herramientas
Una solicitud de acceso o supresión raramente afecta a un único sistema. Los datos de clientes a menudo se encuentran simultáneamente en un CRM, un paquete contable y un programa de correo electrónico, y en cada uno de ellos se plantea la cuestión de si y durante cuánto tiempo es posible la supresión. Quien haya identificado de antemano qué herramientas SaaS contienen qué datos, no tiene que descubrirlo de nuevo para cada solicitud. Puede comprobar si su configuración se ajusta a lo que exige el Reglamento a través de la información sobre privacidad y seguridad de los datos.
El propio documento es también una decisión: una breve carta o correo electrónico que indica qué se ha solicitado, qué ha hecho, y dentro de qué plazo. Este plazo se fija en el Reglamento y comienza a partir del momento de la recepción, no a partir del momento en que tiene disponibilidad. Un resumen de las preguntas frecuentes sobre estos plazos y excepciones se encuentra en el preguntas frecuentes sobre solicitudes de interesados.
Documentarlo vale la pena, incluso después de la tramitación
El expediente que elabora ante una solicitud no es solo para ese momento específico. También demuestra, si más tarde un autoridad de control o el interesado lo solicitan, que la solicitud ha sido identificada, evaluada y resuelta dentro del plazo establecido. Si su procedimiento actual ya lo cubre es algo que puede consultar mejor con un abogado o con la Autoridad de Protección de Datos si tiene dudas sobre una situación concreta.
¿Desea ver en unos minutos cómo esto se concreta para su empresa, sin tener que averiguarlo todo usted mismo? Realice el análisis rápido gratuito o inicie una cuenta profesional para mantener su registro y solicitudes de forma organizada.