Procediment de drets: què fer quan algú et demana veure o esborrar les seves dades

Sumari

• Quins drets pot exercir una persona?
• En quin termini has de respondre?
• Per què necessites un procediment escrit?
• Quin risc corres si no respons?
• Com ho resol Tranquilia
• Preguntes freqüents
• Fonts oficials

Quins drets pot exercir una persona?

El RGPD reconeix diversos drets, de vegades resumits com a «drets ARSOPL»:

• Accés (art. 15): saber quines dades seves tens i obtenir-ne una còpia.
• Rectificació (art. 16): corregir dades equivocades.
• Supressió (art. 17), el «dret a l'oblit»: demanar que les esborris quan ja no calen.
• Oposició (art. 21): demanar que deixis de tractar-les, per exemple per a publicitat.
• Limitació (art. 18): «congelar» el tractament mentre es resol una discussió.
• Portabilitat (art. 20): endur-se les seves dades a un altre proveïdor.

No tots s'apliquen sempre: hi ha excepcions (per exemple, no pots esborrar una factura que la llei t'obliga a conservar). Però sí que has de respondre a cada petició, encara que sigui per explicar per què no és procedent.

En quin termini has de respondre?

La regla general de l'art. 12 RGPD és un mes des que reps la petició. Pots ampliar-lo dos mesos més si el cas és complex, però has d'avisar la persona dins del primer mes, explicant per què.

Respondre «sense cost» és la norma: només en casos clarament excessius o repetitius pots cobrar o negar-t'hi, i ho has de justificar.

Per què necessites un procediment escrit?

Perquè les peticions no arriben per un únic canal ordenat: arriben per correu electrònic, per WhatsApp, per telèfon o en persona, i moltes vegades qui les rep primer no és qui sap què fer-ne. Un procediment escrit respon per endavant a tres preguntes:

1. Com s'identifica qui demana (per no donar dades d'algú a un tercer).
2. Qui s'encarrega de contestar i en quin termini.
3. Què es respon a cada tipus de dret, amb una plantilla.

Quin risc corres si no respons?

No atendre un dret és una de les causes més freqüents de reclamació davant l'AEPD (Agencia Española de Protección de Datos): la persona es cansa que la ignoris i hi acudeix. El RGPD fixa els màxims de sanció en dos nivells: fins a 10 milions d'euros o el 2 % de la facturació, i fins a 20 milions o el 4 %, segons la infracció (art. 83 RGPD); s'aplica la xifra més alta.

Per a una pime, el que surt car no sol ser la multa, sinó el descontrol: una petició que es perd en un correu i acaba en reclamació quan n'hi havia prou amb contestar-la a temps.

Com ho resol Tranquilia

Tranquilia et deixa preparat el procediment d'atenció de drets i les plantilles de resposta per a cadascun (accés, supressió, oposició...), amb els terminis ja marcats. Així, quan arribi la primera petició, saps exactament què fer en comptes d'improvisar.

Preguntes freqüents

He de respondre encara que la petició m'arribi per WhatsApp?

Sí. La llei no exigeix un formulari concret: si algú et demana les seves dades pel canal que sigui, la petició val i el termini comença a comptar. Per això convé tenir un procediment que reculli tots els canals.

Puc demanar el DNI per identificar qui reclama?

Pots demanar el que sigui raonable per assegurar-te que és qui diu ser, sense excedir-te. La idea és no lliurar dades d'una persona a una altra per error, no posar traves per desanimar la petició.

I si em demanen esborrar dades que la llei m'obliga a guardar?

Els ho expliques. Hi ha dades que no pots esborrar mentre una obligació legal t'obligui a conservar-les (per exemple, factures). En aquest cas denegues la supressió de manera motivada, però igualment respons dins del termini.

Fonts oficials

• Reglamento (UE) 2016/679 (RGPD), articles 12 a 22 (i art. 83, sancions) — text a EUR-Lex.
• Agencia Española de Protección de Datos (AEPD).
• BOE — Ley Orgánica 3/2018 (LOPDGDD), articles 12 a 18.

---

Informació general sobre normativa. No substitueix l'assessorament d'un advocat ni l'anàlisi del teu cas concret. Si tens dubtes, consulta amb la teva gestoria o amb un professional del dret.