Qué es una solicitud de acceso del interesado

Reconocer qué es una solicitud de acceso del interesado importa porque el plazo puede empezar en un canal que nadie identifica como “privacidad”. Basta con que una persona pida sus datos o pregunte qué información se utiliza sobre ella. No necesita citar el RGPD ni completar el formulario de la empresa; la organización debe reconocer la intención y abrir un caso controlado.

Respuesta rápida Una solicitud de acceso del interesado permite saber si una organización trata datos de la persona, obtener una copia y recibir información sobre ese uso. Puede llegar por cualquier canal y sin palabras especiales. Normalmente se responde en un mes, tras verificar identidad cuando sea proporcionado y proteger derechos de terceros ¹.

Última actualización: 26 de agosto de 2026

El derecho abarca más que una copia de un archivo

El artículo 15 permite confirmar si se tratan datos personales y, cuando se tratan, recibir una copia junto con información que haga comprensible su contexto; el objeto del derecho son los datos de la persona, no la propiedad física de un documento ¹.

Un correo interno puede contener opiniones, decisiones e información relacionada con el solicitante, aunque lo haya escrito otra persona. Eso no obliga a entregar el mensaje completo si una extracción inteligible comunica los datos y protege contenido ajeno. El Tribunal de Justicia ha confirmado que la copia debe permitir al interesado comprobar que sus datos son exactos y tratados lícitamente ³.

La respuesta también debe resultar comprensible. Un volcado de códigos sin leyenda puede contener todos los campos y seguir impidiendo que la persona entienda su información. Identificadores, abreviaturas o puntuaciones necesitan una explicación sobre significado, finalidad y origen.

El acceso no equivale a supresión: una persona puede conocer datos que deben conservarse. Tampoco es un derecho general a obtener documentos corporativos. La pregunta práctica es qué datos personales contiene cada material y qué contexto se necesita para ejercer los demás derechos.

Una solicitud puede llegar por cualquier canal

Una petición es válida cuando expresa con claridad suficiente que alguien quiere acceder a sus datos, y puede entrar por una dirección general, una llamada, una conversación con recursos humanos, una red social o mediante representante; las directrices europeas no exigen una fórmula ni un canal exclusivo ².

El formulario voluntario puede facilitar la localización, pero no debe reiniciar la fecha ni servir para rechazar una petición clara. Si una antigua trabajadora escribe “quiero ver los correos y notas usados para decidir mi salida”, ya existe una solicitud. Obligarla a empezar de nuevo en un portal consume tiempo sin cambiar el derecho.

Si la solicitud es verbal, quien la recibe anota palabras, fecha, identidad de contacto y alcance entendido, y confirma el registro para reducir malentendidos. La confirmación documenta la conversación; no transforma la fecha del escrito posterior en una nueva recepción.

Por eso la formación alcanza recepción, ventas, atención y responsables de personal. La regla inicial es conservar el mensaje original, registrar la fecha y remitirlo al dueño del proceso. Quien lo recibe no promete una entrega, discute excepciones ni exige otra redacción.

Un representante puede presentar la petición, pero antes de revelar datos se obtiene evidencia razonable de autorización e identidad. La comprobación protege al interesado; no justifica pedir documentos excesivos cuando ya existe una relación autenticada.

El plazo de un mes necesita responsable

La respuesta se facilita sin dilación indebida y, como regla general, en un mes desde la recepción, sin esperar a que el mensaje llegue al equipo correcto; el cálculo y cualquier pausa vinculada a información adicional deben quedar visibles en una cronología única ^1,2.

La identidad se verifica de forma proporcional. Una cuenta autenticada puede bastar; una dirección desconocida que pide datos sensibles puede justificar información adicional. La organización explica pronto qué necesita y por qué, y no solicita más datos de los que pretende proteger.

La ampliación de dos meses adicionales no es automática. Solo se utiliza cuando la complejidad o el número de solicitudes lo hace necesario, se comunica dentro del primer mes y se motiva. Vacaciones, falta de personal o una búsqueda desorganizada no cambian el estándar.

El expediente tiene un responsable capaz de coordinar búsqueda, revisión y entrega, con hitos anteriores al vencimiento. Descubrir al final que un custodio nunca respondió es un fallo de gestión y no una excepción jurídica.

Buscar significa seguir los datos dentro del alcance entendido

La búsqueda parte de cómo fluye la información de la persona. Nombres, direcciones, números de cliente, identificadores de dispositivo, variantes ortográficas y cuentas antiguas pueden conducir a correo, mensajería, archivos compartidos, aplicaciones de atención, registros de llamadas, copias activas y proveedores.

En el régimen europeo, la búsqueda sigue los datos personales que responden al alcance razonablemente entendido; no existe una excepción general que permita recortarla por considerarla simplemente desproporcionada. Los límites deben anclarse en el artículo 12.5 para solicitudes manifiestamente infundadas o excesivas, en el artículo 15.4 para derechos y libertades de terceros, o en una restricción válida del artículo 23 ^1,2.

La instrucción de búsqueda identifica custodios, repositorios, periodos, términos, identificadores alternativos y proveedores, y cada destinatario devuelve una respuesta afirmativa o negativa con evidencia, no un silencio interpretado como ausencia de datos. El dueño reconcilia duplicados y conserva qué sistema se excluyó, bajo qué límite jurídico y quién autorizó esa conclusión.

Aclarar términos ayuda, pero la persona no está obligada a saber dónde residen sus datos. Una conversación puede priorizar las comunicaciones sobre una reclamación sin convertir esa prioridad en renuncia silenciosa al resto. Si no hay acuerdo, la organización trabaja con el alcance que se desprende razonablemente de la petición y registra su interpretación.

La legislación británica vigente utiliza ahora un criterio expreso de búsqueda razonable y proporcionada, mientras el RGPD de la Unión no incorpora ese atajo; una empresa con operaciones en ambos regímenes puede reutilizar inventario y herramientas, pero debe conservar la regla europea más estricta al responder bajo el artículo 15.

Los datos eliminados de forma ordinaria antes de la recepción no se recrean, pero no se inicia una eliminación extraordinaria para evitar la búsqueda. Si una copia de seguridad conserva información fuera del uso ordinario, se documenta su estado y cómo se reaplicará la respuesta cuando vuelva al entorno activo.

La revisión protege también a otras personas

Una respuesta puede contener datos de compañeros, clientes, familiares o informantes. Entregar todo sin revisión puede afectar sus derechos; ocultarlo todo porque aparece un tercero vacía el acceso. La decisión se realiza elemento por elemento conforme al artículo 15.4 ¹.

Las técnicas incluyen extraer los datos del solicitante, ocultar identificadores ajenos, resumir cuando conserva el significado o solicitar consentimiento del tercero si resulta adecuado. Se consideran confidencialidad, expectativas y posibilidad de revelar de forma parcial. La protección de terceros no debe impedir facilitar el resto.

La entrega usa un canal seguro y un formato de uso común. Antes de enviar, otra persona verifica destinatario, adjuntos, ocultaciones y clave de acceso. Remitir una respuesta a un contacto incorrecto puede crear la propia brecha que el proceso pretendía evitar.

En España, la Agencia Española de Protección de Datos (AEPD) es el contacto nacional para información y reclamaciones. Su presencia aquí orienta al lector hacia la autoridad competente; los fundamentos comunes del derecho de acceso proceden del RGPD y de las autoridades europeas citadas.

“Manifiestamente excesiva” es una conclusión exigente

Una solicitud no se vuelve manifiestamente excesiva por exigir muchas búsquedas, resultar incómoda o proceder de una persona crítica; la organización debe demostrar el carácter manifiestamente infundado o excesivo teniendo en cuenta el contexto, especialmente si hay repetición ^1,2.

Las peticiones sucesivas se analizan por intervalo, cambios en los datos y contenido de la respuesta anterior, porque una segunda solicitud puede ser razonable si hubo decisiones nuevas o la primera respuesta quedó incompleta; el tono tampoco reduce el derecho.

La primera copia es gratuita, como confirmó el Tribunal de Justicia ⁴, aunque puede exigirse una tasa razonable basada en costes administrativos por copias adicionales. En el supuesto distinto del artículo 12.5, la organización puede cobrar razonablemente o negarse a actuar, pero explica los hechos, la opción escogida y las vías de reclamación y tutela judicial.

Antes de cobrar o negarse, el responsable cuantifica la carga real, identifica qué parte produce esa carga y comprueba si una aclaración preservaría el derecho sin imponer un recorte unilateral; además compara la nueva petición con respuestas anteriores, los cambios ocurridos desde entonces y la facilidad con que sus propios sistemas permiten localizar la información.

La decisión escrita distingue incomodidad de exceso manifiesto y muestra por qué la opción escogida es proporcionada, incluida la forma de calcular cualquier tasa. También conserva el aviso enviado, las vías para reclamar y un desencadenante de reapertura si la persona aclara el alcance o aporta un hecho nuevo.

La excepción no debe convertirse en una solución para archivos desordenados. Antes de invocarla se identifica la carga concreta, se intenta una aclaración útil y se conserva evidencia de sistemas, periodos y repeticiones. Una conclusión no documentada no supera la carga de demostrarla.

Tres acciones el mismo día de la recepción

El primer resultado es probatorio: se conserva el mensaje o una nota fiel de la petición verbal y se fija la fecha de recepción. El segundo es operativo: se asignan un responsable, un plazo visible y un expediente único. El tercero es de comunicación: se confirma que el caso está en curso y solo se plantean dudas indispensables sobre identidad o alcance.

Si la petición entró por recursos humanos, atención o redes sociales, ese equipo no decide si la persona “merece” acceso. Preserva el original, identifica los sistemas que podrían cambiar y remite de inmediato. Así evita que un correo desaparezca por una regla de limpieza mientras privacidad todavía organiza la búsqueda.

Las tres acciones no anticipan límites ni prometen documentos concretos. Crean las condiciones para que la búsqueda siga datos reales, la revisión proteja a terceros y la entrega sea inteligible y segura. Al cerrar, el expediente conserva qué se localizó, qué se facilitó, qué se retuvo, bajo qué fundamento y por qué canal se entregó.