Una solicitud de derechos ARCO puede llegar en cualquier momento, por correo, por escrito o a través del medio que hayas señalado en tu aviso de privacidad. Y el reloj empieza a correr desde que llega.
La mayoría de las empresas pequeñas no tienen procedimiento. Cuando llega la primera solicitud, alguien la reenvía tres veces internamente, nadie la responde y se convierte en una infracción por omisión — con independencia de si el derecho procedía.
Los cuatro derechos
- Acceso — saber qué datos tienes de esa persona y para qué los usas
- Rectificación — corregir datos inexactos o incompletos
- Cancelación — que dejes de tratarlos y los elimines, cuando procede
- Oposición — que dejes de usarlos para determinadas finalidades
El procedimiento mínimo viable
No hace falta un área de cumplimiento. Hacen falta cinco cosas.
1. Un canal, y que esté publicado
Un correo dedicado —del tipo datos@tuempresa.mx— que aparezca en el aviso de privacidad. Debe tener dueño: una persona designada que lo revise, no una cuenta genérica que nadie abre.
2. Una persona responsable
La ley exige designar responsable o departamento de datos personales. En una empresa pequeña es una persona con esa función adicional, no un puesto nuevo. Lo importante es que exista, que esté por escrito y que lo sepa.
3. Un formato de recepción
Para acreditar identidad del titular, identificar qué derecho ejerce y qué datos están involucrados. Sin identificación acreditada no debes entregar información — entregar datos personales a quien no es su titular es peor que no responder.
4. Un mapa de dónde viven los datos
Es la pieza que falta casi siempre. Para responder una solicitud de acceso necesitas saber en qué sistemas está esa persona: CRM, nómina, facturación, la hoja de cálculo del área comercial, el respaldo del correo.
Si no tienes ese mapa, cada solicitud se convierte en una investigación interna de días.
5. Un registro de solicitudes
Fecha de recepción, derecho ejercido, fecha de respuesta y sentido de la resolución. Es lo que te permite acreditar que atiendes, y es lo primero que se pide en una verificación.
Los plazos
La ley fija plazos tanto para responder como para hacer efectiva la respuesta. La consecuencia de no cumplirlos no depende de si el derecho procedía: la omisión es la infracción.
Conviene tener el plazo cargado en un recordatorio desde el día de recepción, no confiar en que alguien se acuerde.
Cuando la solicitud es improcedente
Existen supuestos en que puedes negar total o parcialmente. Pero hay que resolverlo de forma fundada, por escrito y dentro del plazo. Una negativa bien motivada es cumplimiento; el silencio no.
Un caso frecuente: el excliente que pide cancelación
Alguien pide que elimines sus datos y tú tienes obligación de conservar la factura por razones fiscales. No son incompatibles: se atiende la solicitud explicando qué se cancela, qué se conserva y con qué fundamento, y limitando el tratamiento de lo conservado a esa finalidad.
Lo que no funciona es no contestar porque el caso es complicado.