Derechos ARCO+BP: qué son y cómo responderlos en plazo

Qué es cada derecho

Acceso: el titular puede pedir que le informen si la organización trata sus datos y, si es así, cuáles trata, con qué finalidad, bajo qué base de licitud, de dónde los obtuvo, a quiénes los comunica y por cuánto tiempo los conserva. La respuesta debe entregarse en un formato comprensible, no como un volcado técnico de base de datos.

Rectificación: el titular puede exigir que se corrijan datos inexactos, desactualizados o incompletos. Si esos datos fueron comunicados a terceros, la corrección debe propagarse a quienes los recibieron.

Cancelación (supresión): el titular puede pedir que sus datos sean eliminados cuando ya no son necesarios para la finalidad que justificó su recolección, cuando retiró su consentimiento y no hay otra base que sostenga el tratamiento, o cuando el tratamiento es ilícito. No es absoluto: si existe una obligación legal de conservación, esa obligación prevalece y debe explicarse al titular.

Oposición: el titular puede oponerse a tratamientos determinados, en particular al uso de sus datos para publicidad, prospección comercial o perfilado. En marketing directo la oposición no admite ponderación: hay que detener el tratamiento.

Bloqueo: es la suspensión temporal del tratamiento. Sirve mientras se resuelve una solicitud de rectificación o cancelación, o mientras se discute la licitud del tratamiento: el dato se conserva, pero no se usa.

Portabilidad: el titular puede pedir sus datos en un formato estructurado, de uso común y lectura mecánica, y solicitar que se transfieran a otro responsable cuando sea técnicamente posible. Es el derecho que más frecuentemente deja en evidencia que los datos están dispersos en sistemas que no conversan.

Los plazos

El plazo general para responder una solicitud ARCO+BP es de 30 días corridos contados desde su recepción, no desde que el área responsable se enteró internamente. Ese punto es importante: si la solicitud llega a un correo genérico y queda tres semanas sin derivar, el plazo ya está corriendo.

El plazo admite prórroga en casos justificados —solicitudes complejas o de gran volumen—, pero la prórroga debe comunicarse al titular antes del vencimiento del plazo original, con la razón que la fundamenta. Guardar silencio y responder tarde es una infracción por sí misma, incluso si la respuesta final es correcta.

El bloqueo opera en plazos breves, porque su objeto es precisamente detener el uso del dato mientras se resuelve el fondo. Conviene tratarlo como una acción inmediata dentro del procedimiento y no esperar a la respuesta definitiva.

Cómo montar el canal y el procedimiento

Canal formal y visible: un formulario web en el sitio, más una casilla de correo dedicada, referenciados desde la política de privacidad y desde cada punto de recolección. Un canal que el titular no encuentra equivale a no tener canal.

Identificación del titular: hay que verificar que quien solicita es efectivamente el titular o su representante, con un mecanismo proporcional. Pedir documentación excesiva se convierte en una barrera y puede leerse como obstaculización del derecho.

Responsable asignado y plazos internos: cada solicitud debe tener un dueño, una fecha de recepción registrada y hitos internos más cortos que el plazo legal (por ejemplo, derivación en 48 horas, propuesta de respuesta al día 15). Sin responsable nombrado, las solicitudes se pierden entre áreas.

Ejecución técnica en todos los sistemas: el procedimiento debe indicar en qué sistemas vive el dato —ERP, CRM, correo, planillas, respaldos, herramientas de marketing— y quién ejecuta la acción en cada uno. Es el punto donde más procedimientos correctos fracasan.

Respuesta documentada: se guarda la solicitud, la fecha de recepción, las gestiones realizadas, la respuesta enviada y su fecha. Esa constancia es la evidencia que se muestra en una fiscalización o ante un reclamo del titular.

Errores frecuentes

Responder fuera de plazo, casi siempre porque la solicitud llegó a un buzón sin dueño o porque el plazo se empezó a contar desde que el área legal la vio.

No poder ejecutar la supresión en todos los sistemas: se borra el registro del CRM y el dato sigue vivo en una planilla compartida, en la herramienta de campañas o en un respaldo que nadie inventarió.

No dejar constancia. Una respuesta enviada por un ejecutivo desde su correo personal, sin registro central, no se puede acreditar después. Frente a la autoridad, una gestión sin constancia es una gestión que no ocurrió.

Preguntas frecuentes