Si recibes una solicitud masiva de ejercicio de derechos y no sabes gestionar plazos

¿Tienes razón?

Que reciba muchas solicitudes a la vez no significa que la otra parte tenga la razón en todo; lo que determina si su obligación es absoluta y la complejidad del cumplimiento son tres cosas claras:

1. Identidad y legitimación del solicitante: si la persona acredita su identidad correctamente y solicita un derecho sobre sus datos personales, la ley le obliga a tramitarlo salvo excepciones legales. Si la identificación es insuficiente, usted puede pedir más datos para comprobarla.

1. Naturaleza del derecho ejercitado: hay derechos que implican entregar copias o información (acceso, portabilidad), derechos que implican supresión o limitación (supresión, supresión parcial), y derechos que pueden necesitar análisis técnico (oposición, revocación de autorización). Algunos requieren una verificación adicional o la ponderación de intereses legítimos.

1. Escala y recursos internos: si las solicitudes afectan a muchas cuentas o implican exportar grandes volúmenes de información, su capacidad técnica y organizativa es determinante. Si tiene sistemas que permiten búsquedas y exportación, su posición es mejor; si no, cumplir puede exigir esfuerzo técnico y coordinación entre áreas.

Si falla alguno de estos puntos la obligación existe pero será más costosa y compleja. Si cumple los requisitos de identificación y las solicitudes son claras, su posición es de cumplimiento con obligación de documentar la respuesta.

Cómo se soluciona

1) Reúna y clasifique todas las solicitudes.

• Exporte o consolide todos los mensajes recibidos (correo, formulario web, redes, comunicaciones físicas). Haga capturas y guárdelas en un repositorio con identificación única por solicitud.
• Cree un registro maestro con: identificador de solicitud, nombre del titular, tipo de derecho ejercido, canal, fecha y si trae prueba de identidad.

2) Verifique identidad y legitimación.

• Para cada solicitud pida, por el mismo canal o por derecho de petición interno, la documentación mínima para acreditar identidad según el riesgo de los datos que se entregarán. Guarde el recibo de la solicitud de acreditación.

3) Priorice por tipo de trabajo.

• Separe solicitudes que exigen acciones mecánicas (entregar copia, portabilidad) de las que requieren análisis jurídico (supresión cuando hay obligaciones legales de conservación, oposición por interés legítimo).

4) Diseñe respuestas modelo y flujos.

• Prepare plantillas claras que incluyan el fundamento del derecho, la información que se entregará y las restricciones legales. Para peticiones repetitivas, automatice la preparación de archivos descargables.

5) Asigne responsables y tiempo interno.

• Defina equipos: atención al cliente para verificación, TI para extracción de datos y legal para revisión de casos complejos. Documente cada entrega con constancia de recibido.

6) Registre y archive todo.

• Genere actas o registros que demuestren fecha de respuesta, quién firmó y cómo se envió la información. Esto es esencial en caso de reclamación ante la autoridad de protección de datos o demandas.

7) Si hay riesgo regulatorio, comunique a la dirección y evalúe asistencia externa.

• En las solicitudes masivas que parezcan coordinadas, puede requerir evaluación de cumplimiento y respuesta técnica, incluida la notificación a la Superintendencia competente.

¿Qué puede hacer usted solo y qué necesita ayuda?

• Usted puede clasificar, pedir identificación y entregar copias simples. Necesitará apoyo técnico para extracción masiva y abogado si hay denegaciones, balance de intereses o posible investigación regulatoria.

Qué puede pasar

1) Se arregla con respuestas y entregas.

• Lo más frecuente es que, tras la verificación y entrega de la información solicitada, los titulares queden satisfechos. Buenas prácticas de atención pueden convertir un pico de solicitudes en una mejora del proceso.

2) Acuerdo o conciliación.

• Si hay desacuerdo (por ejemplo, denegación parcial por obligaciones legales), puede alcanzarse una solución mediante negociación o conciliación con el titular; un acuerdo suele ser más rápido y evitar sanciones administrativas.

3) Investigación y sanción.

• Si la autoridad competente entiende que hubo falla en los deberes de seguridad, registro o respuesta, puede iniciar indagación administrativa. Un proceso sancionatorio puede terminar en multa o en medidas obligatorias de remediación.

Y si gana, ¿cobra? Una resolución que le dé la razón puede obligar a la autoridad a cerrar el procedimiento, pero no elimina el coste de la gestión interna ni garantiza la ausencia de reputación dañada. Si la sentencia es contra un titular malintencionado, la sanción por derechos no suele generar pago a la empresa; lo relevante es evitar la sanción.

Errores que arruinan el caso

• No conservar las solicitudes originales ni las comprobantes de envío: sin registro es difícil probar cumplimiento.
• Responder en formas distintas y sin plantillas: genera incoherencias que la autoridad puede sancionar.
• Entregar datos sin verificar identidad: riesgo de vulneración y sanción.
• Borrar logs o no documentar la extracción masiva: impide demostrar diligencia técnica.
• No coordinar TI y legal: demora o respuestas erróneas que agravan el problema.