La ley de privacidad da a las personas derechos sobre sus datos. Los usuarios pueden pedir ver lo que has recogido, corregir datos inexactos, eliminarlos o trasladarlos a otro lugar. Estas solicitudes son habituales y legalmente vinculantes. Debes tener procesos para gestionarlas de forma rápida y completa. Este capítulo cubre los principales derechos de los usuarios y cómo aplicarlos en la práctica.
Los principales derechos de los usuarios
Derecho de acceso
Los usuarios pueden solicitar una copia de todos los datos que tienes sobre ellos. Tienes 30 días (RGPD) para facilitarla. Los datos deben estar en un formato común y portable (CSV, PDF). Debes incluir todos los tipos de datos: eventos de analítica, información de la cuenta, comunicaciones e historial de transacciones.
Es complejo porque los datos suelen estar repartidos por varios sistemas. Tienes que consultar todos los sistemas, reunir los datos, darles un formato legible y enviarlos de forma segura.
Derecho de rectificación (corrección)
Los usuarios pueden solicitar la corrección de datos inexactos. Si tu sistema muestra el nombre de un usuario como "Jhn" en lugar de "John", pueden pedir que se corrija. Debes corregirlo rápido. Esto se aplica a cualquier dato que el usuario considere inexacto.
Derecho de supresión (eliminación)
Se trató en el capítulo anterior. Los usuarios pueden solicitar la eliminación de sus datos. Tienes 30 días para cumplir (con excepciones por obligaciones legales).
Derecho a la limitación del tratamiento
Los usuarios pueden pedirte que limites cómo usas sus datos. Ejemplo: "No uses mis datos para marketing, pero puedes conservarlos para gestionar mi cuenta". Debes respetar esta restricción y marcar los datos como restringidos en tus sistemas.
Derecho a la portabilidad de los datos
Los usuarios pueden solicitar sus datos en un formato que puedan llevarse a otra empresa. Es especialmente importante para cambiar de servicio. Debes facilitar los datos en un formato estructurado y de uso común (JSON, CSV). Los datos deben poder leerse por máquina para que puedan importarlos en otro sitio.
Derecho de oposición
Los usuarios pueden oponerse al tratamiento de sus datos para ciertos fines. Si usas los datos para marketing, pueden oponerse. Debes dejar de hacerlo salvo que tengas un motivo legal imperioso para continuar.
Derechos relacionados con las decisiones automatizadas
Si usas algoritmos para tomar decisiones sobre los usuarios (decisiones de crédito, elegibilidad para servicios), los usuarios tienen derecho a entender cómo se tomó la decisión y a solicitar una revisión humana. Esto va más allá de la analítica, pero conviene conocerlo.
Cómo construir un flujo para solicitudes de acceso a datos
Paso 1: Crear un mecanismo de solicitud
Ofrece una forma sencilla de enviar solicitudes. Opciones: un formulario web, una dirección de correo (data-requests@yourcompany.com) o un portal de autoservicio en los ajustes de la cuenta. Hazlo fácil de encontrar (enlace en el pie de página, en la política de privacidad y en los ajustes de la cuenta).
Paso 2: Verificar la identidad
Confirma que la solicitud viene del usuario real o de un representante autorizado. Pide confirmación por correo, verificación de contraseña o verificación con documento de identidad oficial (según la sensibilidad). No quieres enviar datos personales a alguien que se hace pasar por otro.
Paso 3: Identificar qué datos facilitar
Consulta todos los sistemas donde existen datos del usuario: cuentas, analítica, soporte, listas de correo, CRM y copias de seguridad. Reúnelo todo. Incluye: correos enviados al usuario, formularios enviados, tickets de soporte, compras, eventos de seguimiento, preferencias e historial de comunicaciones.
Sé completo. Una infracción habitual: facilitar algunos datos pero no todos. Si un regulador investiga y encuentra datos que no revelaste, es un problema.
Paso 4: Dar un formato legible
Facilita los datos en un formato claro. Los volcados en bruto de la base de datos no son aceptables. Crea un documento estructurado: primero la información de la cuenta, luego los eventos y después las comunicaciones. Usa tablas y títulos claros. Si el usuario necesita portabilidad, ofrece un formato que pueda importar (JSON, CSV).
Paso 5: Transmitir de forma segura
No envíes datos personales por correo sin cifrar. Usa un servicio seguro de transferencia de archivos (enlace de descarga seguro que caduca, correo cifrado, SFTP). Confirma la recepción.
Paso 6: Documentar
Registra la solicitud: cuándo se recibió, cuándo se procesó, qué datos se facilitaron y cómo se enviaron. Es tu prueba de cumplimiento si los reguladores investigan.
Cómo gestionar las solicitudes a gran escala
Automático o manual
En las empresas pequeñas es viable gestionar las solicitudes a mano. En empresas con millones de usuarios necesitas automatización. Construye un sistema que reciba solicitudes, verifique la identidad, consulte las bases de datos, dé formato a los datos y los entregue, todo con el mínimo trabajo manual.
Plantillas y listas de comprobación
Crea plantillas de respuesta: "Recibimos tu solicitud el [fecha]. Aquí tienes tus datos...". Crea listas de comprobación: datos de la cuenta, listo; analítica, listo; soporte, listo. Las listas evitan omitir tipos de datos por accidente.
Errores habituales al gestionar solicitudes de datos
No responder a tiempo: El límite de 30 días no es opcional. Incumplirlo es una infracción. Pon recordatorios y controla los plazos.
Facilitar datos incompletos: Si facilitas algunos datos pero no todos, no cumples la normativa. Asegúrate de que tu consulta abarca todos los sistemas.
Mal formato: Facilitar el resultado en bruto de la base de datos no cumple la normativa. Da a los datos un formato legible.
No verificar la identidad: Enviar datos personales a quien se hace pasar por otro crea responsabilidad. Verifica siempre.
Ignorar solicitudes posteriores: Si el mismo usuario hace varias solicitudes, gestiona cada una. No des por hecho que las anteriores ya lo cubren.
Cobrar tarifas: El RGPD solo permite cobrar si las solicitudes son manifiestamente infundadas o excesivas. No uses las tarifas para disuadir solicitudes legítimas.
Derechos de los usuarios y operaciones del negocio
Gestionar solicitudes de datos es una carga operativa. Pero las empresas que respetan los derechos de los usuarios generan confianza, evitan multas, atraen a clientes preocupados por la privacidad y atraen talento (los empleados valoran trabajar en empresas éticas). El coste operativo es una inversión en cultura y cumplimiento.
Integrar los derechos del usuario en el diseño del producto
El enfoque más inteligente: integra los derechos del usuario en tu producto desde el principio. Da a los usuarios un portal de autoservicio donde puedan ver sus datos, descargarlos, eliminarlos y cambiar sus preferencias. Esto reduce la carga de soporte y empodera a los usuarios. La mayoría de las apps modernas lo tienen (ajustes de cuenta, exportación de datos y botones para eliminar la cuenta).
¿Qué lista de comprobación sistemática me asegura incluir todos los datos de un usuario en mi respuesta?
Crea un inventario: (1) Sistemas de cuentas (correo, nombre, teléfono, preferencias). (2) Analítica (eventos, marcas de tiempo, datos del dispositivo, ubicación). (3) Comunicaciones (correos enviados, tickets de soporte, registros de chat). (4) Transacciones (compras, reembolsos, pagos fallidos). (5) Datos de terceros (datos compartidos con proveedores). Consulta cada sistema por ID de usuario. No dependas de búsquedas manuales; automatiza. Documenta qué consultaste y cuándo.
¿Cuál es la mejor forma de dar formato y entregar una respuesta a una solicitud de acceso a datos?
Crea un documento PDF o HTML con secciones: "Información de tu cuenta", "Tu actividad", "Comunicaciones". Usa tablas para los eventos (fecha, acción, detalles). Para solicitudes de portabilidad, ofrece también CSV o JSON. Usa una entrega segura: enlace de descarga protegido con contraseña (caduca en 14 días), correo cifrado o servicio seguro de transferencia de archivos. Confirma la recepción con el usuario. Guarda una copia del método de entrega para los registros de cumplimiento.
¿Cuándo puedo cobrar a un usuario por una solicitud de acceso a datos y cuánto?
RGPD: cobra solo si la solicitud es "manifiestamente infundada o excesiva" (muy raro). En general es gratis. CCPA: solo tarifas razonables. En la práctica: no cobres la primera solicitud; cobra solo las solicitudes repetidas del mismo usuario en poco tiempo (por encima de un umbral frívolo). Responde siempre gratis a la primera solicitud. Comunica la política de antemano en tu política de privacidad.
¿Cómo trato los datos que de verdad no puedo localizar y tengo que seguir buscándolos?
Búsqueda razonable: consulta todos los sistemas en uso que controlas y revisa las copias de seguridad si son accesibles. Si los datos no existen en tus sistemas principales, cumples la normativa. Si encuentras datos parciales (hay analítica pero no información de la cuenta), documenta qué sistemas revisaste. Envía al usuario: "Hemos buscado en [lista de sistemas] y hemos encontrado [X]. No hemos encontrado datos en [sistemas Y] porque [motivo]".
¿Cuál es el proceso legal para gestionar solicitudes de alguien que actúa en nombre de un usuario?
Paso 1: pide a la persona autorizada una autorización escrita del usuario (documento de identidad notarizado en caso de menores o incapacidad). Paso 2: verifica que quien firma es quien dice ser (compáralo con su documento). Paso 3: verifica que la autorización cubre el tipo de solicitud concreto (acceso, eliminación, etc.). Paso 4: responde a la persona autorizada o al usuario (revisa la jurisdicción: algunas exigen enviar copia al usuario). Documenta la autorización en tu expediente.
¿Cuál es mi plan de acción si ahora mismo no cumplo los plazos de las solicitudes de datos?
De inmediato: (1) Localiza todas las solicitudes pendientes y amplía el plazo 30 días con una explicación. (2) Crea un sistema de seguimiento de solicitudes (como mínimo una hoja de cálculo; una herramienta de solicitudes de privacidad si hay volumen). (3) Asigna una persona responsable (una sola). (4) Fija un plazo interno de 20 días (10 días de margen antes del plazo legal de 30). (5) Documenta el proceso: solicitud recibida → búsqueda en los sistemas → formato de la respuesta → entrega. Prueba antes con una solicitud simulada.