Si recibes una solicitud masiva de ejercicio de derechos y no sabes gestionar plazos

¿Tienes razón?

Que reciba muchas solicitudes no le da carta blanca para ignorarlas. Tres elementos determinan si está obligado a responder y cómo debe hacerlo: la identidad del solicitante (si es el titular o un apoderado), el derecho que se ejerce (acceso, rectificación, supresión, oposición, limitación, portabilidad) y la naturaleza de los datos solicitados (datos sensibles o información que afecte a terceros). Si las peticiones son redundantes —por ejemplo, varias solicitudes iguales del mismo titular— puede agruparlas y contestar en bloque. Si son claramente abusivas o tienen fines de extorsión, tiene base para denegarlas, siempre que lo documente.

También importa si ya tiene procesos internos para estos ejercicios: registros de acceso, controles de identidad y formularios de petición. La ley y las buenas prácticas exigen ofrecer respuestas que permitan al titular entender qué datos se procesan y con qué base legal. Cuando hay muchos pedidos a la vez, la capacidad operativa y el riesgo reputacional son factores que también determinan la mejor estrategia: una respuesta rápida y bien trazada reduce el riesgo de sanciones y reclamaciones ante la autoridad competente.

Finalmente, el carácter masivo plantea riesgos técnicos y de seguridad: exportaciones de datos, búsquedas en múltiples sistemas y el posible uso indebido de herramientas si se responde sin control. Si al procesar las solicitudes va a extraer grandes volúmenes de información, planifique medidas para evitar fugas y para dejar constancia de quién accedió a qué.

Cómo se soluciona

1. Identificar y centralizar las solicitudes: ponga todas las peticiones en un único buzón o carpeta. Exporte los correos y guarde archivos originales. Anote fecha de recepción y canal de entrada. Esto evita duplicados y demuestra que hubo recepción.
2. Verificar identidad y representación: para cada solicitud, pida la prueba mínima de identidad del titular. Si viene de un tercero, exija poder notarial o autorización clara. Guarde esos documentos y registre la verificación.
3. Clasificar por tipo de derecho y por titular: agrupe solicitudes iguales del mismo titular y solicitudes generales que afecten a una misma base de datos. Esto permite contestar en lote y reducir trabajo duplicado.
4. Priorizar los casos de riesgo: identifique peticiones sobre datos sensibles o casos donde la fuga supondría daño reputacional o económico. Atiéndalos con prioridad y con supervisión técnica.
5. Preparar respuestas estandarizadas y personalizables: redacte plantillas claras que indiquen qué datos se entregan, cómo se han obtenido y qué excepciones aplican. Añada instrucciones sobre cómo ejercer recursos si el titular no está conforme.
6. Documentar todo el proceso: registre quién consultó qué sistemas y qué extrajo. Si va a exportar datos, haga auditoría de la extracción y control de accesos.
7. Si la carga es excesiva, comunique la situación: explique al titular si necesita información adicional o si su petición será tratada conjuntamente con otras. Mantenga tono profesional y registre cada comunicación.
8. Involucre al área técnica: si la extracción requiere consultas a bases de datos, coordine con TI para generar informes que minimicen exposición de datos de terceros.

Qué puede hacer usted solo: recibir y guardar las solicitudes, solicitar identificación, usar plantillas estándar y agrupar peticiones repetidas. Cuándo necesita ayuda profesional: cuando hay datos sensibles, riesgo de fuga, peticiones colectivas con alcance amplio, o si desde la autoridad le exigen justificaciones técnicas.

Qué puede pasar

1) Se arregla con una respuesta escrita: la solución más frecuente es contestar con la información solicitada o explicar por qué no procede. Una buena respuesta técnica y legal reduce el riesgo de reclamación ante la autoridad y calma a los reclamantes.

2) Acuerdo o mediación: si la situación procede de un error o de información incompleta, puede acordarse limitar el alcance de la consulta o facilitar un extracto. A veces ofrecer acceso parcial o asesoría al titular evita mayores conflictos.

3) Reclamación ante la autoridad o judicial: si el titular considera que se vulneraron sus derechos, puede presentar queja ante la autoridad de protección de datos o acciones judiciales. Si pierde, la empresa puede recibir sanciones administrativas y órdenes de corrección. Además, una sentencia contra una empresa insolvente puede ser teóricamente favorable pero difícil de ejecutar; la ejecución depende del patrimonio del responsable y de su capacidad real de pago.

Y si gana, ¿cobro? Si el titular obtiene una resolución o sentencia que le da la razón, la efectividad de la reparación depende de que el responsable tenga bienes o recursos para cumplir. Una resolución solo tiene valor real si hay mecanismos efectivos para ejecutarla.

Errores que arruinan el caso

• Responder sin verificar identidad: entregar datos a una persona que dice ser titular sin prueba es perder control.
• No dejar registro de quién accedió a qué: dificulta defenderse si hay una queja.
• Exportar bases completas sin filtrar: aumenta el riesgo de fuga y de sanciones.
• Ignorar solicitudes repetidas: puede interpretarse como negativa injustificada.
• Contestar con lenguaje legal oscuro: confunde al titular y fomenta escaladas.