Extracto de registro según el RGPD: cómo gestionan las empresas los derechos de los interesados

Respuesta corta: Cuando una persona solicita acceso a sus datos personales, la organización debe ser capaz de identificar la solicitud, verificar la identidad de manera proporcionada, recopilar los datos pertinentes, evaluar posibles limitaciones y responder dentro de los plazos establecidos por el RGPD. Un buen procedimiento de trabajo permite que cada solicitud se gestione de manera uniforme y pueda ser objeto de seguimiento posteriormente.

¿Qué es un extracto del registro según el RGPD?

El derecho de acceso implica que el interesado pueda obtener confirmación sobre si se están tratando sus datos personales y, en tal caso, obtener acceso a dichos datos, así como información sobre, entre otros aspectos, los fines, las categorías de datos, los destinatarios, el plazo de conservación y sus derechos. Por lo tanto, la solicitud debe gestionarse de forma más amplia que limitándose a exportar una lista desde un sistema informático.

¿Para qué derechos necesitan las empresas tener procedimientos?

• derecho de acceso y extracto del registro
• rectificación de datos inexactos
• supresión cuando se cumplan las condiciones
• limitación del tratamiento
• portabilidad de los datos cuando sea aplicable
• oposición, entre otras cosas, al marketing directo
• información sobre decisiones automatizadas cuando dichas normas sean relevantes

Los diferentes derechos tienen distintos requisitos. Una lista de verificación estandarizada reduce el riesgo de que una solicitud se trate como si todos los derechos funcionaran de la misma manera.

Paso a paso: desde la solicitud hasta el caso cerrado

1. Registrar la solicitud. Anote cuándo se recibió, qué solicita la persona y qué datos de contacto se utilizan.
2. Evaluar la identidad. Solicite solo la información adicional que sea realmente necesaria para evitar que los datos se entreguen a la persona equivocada.
3. Delimitar la búsqueda. Identifique sistemas, encargados del tratamiento de datos, correos electrónicos, gestión de casos y otras fuentes donde puedan encontrarse datos pertinentes.
4. Revisar el resultado. Un extracto del registro no puede implicar que se ignoren los derechos y libertades de otras personas.
5. Responder de forma comprensible. La información debe facilitarse de manera clara y sencilla, y la documentación debe mostrar cómo se realizó la evaluación.
6. Cerrar y realizar seguimiento. Guarde la base de la decisión, la fecha y las medidas tomadas según los procedimientos de documentación de la organización.

¿Cuánto tiempo tiene la empresa?

El RGPD establece que el interesado debe recibir información sobre las medidas adoptadas sin dilación indebida y, normalmente, en el plazo de un mes. En situaciones más complejas, el plazo puede prorrogarse bajo ciertas condiciones, pero el interesado debe ser informado de la prórroga y de los motivos. Por lo tanto, un registro de casos interno debe incluir la fecha límite de respuesta y la persona responsable.

Errores comunes

• carecer de un punto de entrada común para las solicitudes
• realizar una verificación de identidad demasiado exhaustiva y, por lo tanto, recopilar más datos personales de los necesarios
• olvidar los datos en manos de encargados del tratamiento
• divulgar información sobre otras personas sin una revisión adecuada
• no documentar por qué se deniega total o parcialmente una solicitud
• perder el plazo por no tener un responsable asignado al caso

Documentación práctica

Para las organizaciones que manejan solicitudes recurrentes, es eficaz combinar un registro de casos con plantillas de respuesta, verificación de identidad, soporte de decisiones y puntos de control para cada derecho. De este modo, el proceso se vuelve más rápido y fácil de demostrar durante un control interno.

Vea el paquete de plantillas del RGPD para extractos del registro y derechos de los interesados en Mallbutiken.

Documentación relacionada con el RGPD

Un flujo de derechos funcional a menudo está relacionado con el registro de actividades de tratamiento (RoPA) de la empresa, las bases legales y los procedimientos para incidentes. Cuanto mejor mapeadas estén las actividades de tratamiento, más rápido suele ser encontrar los datos correctos al recibir una solicitud.

Preguntas frecuentes (FAQ)

¿Debe entregarse siempre un extracto del registro en el formato exacto que solicita la persona?

El formato debe ser accesible y comprensible, pero las condiciones prácticas y legales pueden influir en cómo se entrega el material. Lo importante es que el interesado pueda efectivamente consultar la información que exige el RGPD.

¿Puede la empresa cobrar?

El principio general es que la información y las medidas relativas al ejercicio de los derechos son gratuitas. El RGPD contiene excepciones limitadas para solicitudes manifiestamente infundadas o excesivas.

¿Es necesario documentar todo?

Es prudente documentar cómo se ha gestionado la solicitud, qué sistemas se han comprobado, qué evaluaciones se han realizado y cuándo se ha enviado la respuesta. La documentación respalda el principio de responsabilidad proactiva (accountability) según el RGPD.

Este artículo contiene información general y no sustituye el asesoramiento jurídico en cada caso particular.