Si un cliente te reclama el acceso o la eliminación de sus datos

¿Tienes razón?

Que el cliente tenga razón no es automático: lo condicionan tres cosas. Primero, la identidad del solicitante: debes verificar que quien pide los datos es la persona a la que se refieren o tiene autorización. Segundo, la base del tratamiento: si conservas datos por una obligación legal o por cumplimiento de un contrato, no siempre puedes suprimirlos. Tercero, el alcance de la petición: el acceso puede comprender copias, información sobre destinatarios y las finalidades del tratamiento; la supresión puede quedar limitada por deberes de conservación fiscal o contable.

Si el solicitante se identifica correctamente y los datos no están sujetos a una obligación de conservación ni a un interés legítimo superior, tienes que facilitar acceso o proceder a la supresión. Si hay límites legales o contractuales que impiden el borrado, debes comunicar la razón y las alternativas disponibles.

Cómo se soluciona

1) Registra la solicitud. Crea una entrada en tu sistema de gestión de derechos con la identidad del solicitante, el canal de recepción y la fecha de recepción.

2) Verifica la identidad. Pide medios proporcionales de identificación: copia de documento o acceso mediante autenticación fuerte según el riesgo. No envíes datos personales sin comprobar la identidad.

3) Define el alcance. Clarifica si la petición es acceso, rectificación, supresión, limitación o portabilidad. Solicita aclaraciones si la petición es ambigua.

4) Busca bases de conservación. Revisa contratos, obligaciones fiscales y registros que obliguen a conservar datos. Identifica terceros que también almacenan esos datos.

5) Recopila la información. Para acceso, prepara una copia comprensible de los datos, incluye finalidades, destinatarios y plazos de conservación. Para supresión, inventaría dónde están los datos y qué efectos tendrá borrarlos.

6) Comunica decisiones y acciones. Responde por escrito explicando las medidas adoptadas o las razones de la negativa parcial, y ofrece recursos si el interesado no está conforme.

7) Ejecuta técnicamente. Para supresión, elimina registros activos, notifica a encargados para que borren sus copias y programa eliminación en copias de seguridad si procede.

8) Documenta todo. Archiva la solicitud, la comprobación de identidad, la decisión y los registros de ejecución; servirá si el interesado reclama ante la autoridad.

9) Escala si hay conflicto. Si el cliente insiste o reclama a la autoridad de control, consulta con un abogado para valorar la respuesta y la estrategia.

Qué puede pasar

1) Se arregla con entrega de información. En muchos casos, el simple envío de una copia legible y la explicación del uso de los datos satisface al cliente. La transparencia disuelve la mayoría de conflictos.

2) Acuerdo o limitación. Si hay conflicto sobre la supresión, puedes ofrecer medidas intermedias: limitación del tratamiento, anonimización o cesión controlada a un plazo. Estos acuerdos evitan procedimientos largos.

3) Procedimiento ante la autoridad o judicial. Si el interesado demanda, la autoridad de control puede investigar y ordenar medidas; en vía civil, el interesado puede reclamar indemnización. Si la decisión judicial te obliga y no cumples, puedes enfrentarte a multas y costas.

Y si ganas, ¿cobras? En reclamaciones por derechos de acceso o supresión, lo usual es que la resolución determine obligaciones de actuación, no cantidades económicas; la ejecución depende de la naturaleza del fallo y de la solvencia de las partes.

Errores que arruinan el caso

• Entregar datos sin verificar identidad: expones datos a terceros.
• No documentar la negativa o la ejecución técnica: sin registro, la autoridad puede cuestionar tu actuación.
• Borrar sin comprobar implicaciones legales: podrías incumplir obligaciones fiscales o contractuales.
• No notificar a encargados que tienen copias: dejar duplicados fuera de control te hace responsable.
• Responder de forma poco comprensible o con lenguaje técnico: la claridad reduce reclamaciones.