Derechos de los interesados: acceso, rectificación, supresión — un procedimiento que funciona

Un cliente quiere ver sus datos o directamente eliminarlos. Tienes 30 días. Aquí el procedimiento que funciona sin que una solicitud te cueste media semana.

El GDPR otorga a los interesados derechos concretos. Debes atender una solicitud en un plazo de 30 días (prorrogable una vez por 60 días más). Esto es lo que tienes que tener preparado de antemano.

Los cinco derechos más importantes

1. Derecho de acceso: ¿qué datos tienes sobre mí?
2. Derecho de rectificación: corrige estos datos porque son incorrectos.
3. Derecho de supresión: elimina todo lo que tienes sobre mí (con excepciones).
4. Derecho a la portabilidad de datos: dame mis datos en un formato estándar para poder cambiar de proveedor.
5. Derecho de oposición: frente a un tratamiento concreto (habitualmente con fines de marketing).

¿Qué necesitas para poder atender estas solicitudes?

• Un buzón o formulario centralizado donde lleguen las solicitudes.
• Un procedimiento de verificación de identidad (no entregar datos sin más).
• Un mapeo de datos: ¿dónde se encuentran los datos de cada cliente? (Está relacionado con el registro de tratamientos.)
• Función de exportación en tus herramientas (CRM, contabilidad, sistema de tickets).
• Procedimiento de supresión para cada sistema, incluidas las copias de seguridad.

Excepciones a la supresión

• Obligación legal de conservación fiscal (7 años para datos financieros).
• Defensa jurídica en procedimientos en curso.
• Intereses vitales del interesado o de terceros.
• Investigación histórica de interés público.

Respuesta al interesado

Siempre respuesta por escrito en un plazo de 30 días. También en caso de denegación, con motivación y referencia al derecho de reclamación ante la autoridad de control.

Véase también: pilar GDPR, plazos de conservación.