Las personas cuyos datos se conservan tienen derechos según el UK GDPR. El personal debe reconocer una solicitud cuando llega, porque puede llegar a cualquiera, en cualquier mesa y por cualquier vía.
Los derechos principales
- A ser informado. Las organizaciones deben explicar cómo usan los datos, normalmente en una cláusula informativa.
- De acceso. Una persona puede pedir una copia de sus datos personales e información sobre cómo se usan. Es una solicitud de acceso del interesado (subject access request, SAR).
- De rectificación. Los datos inexactos o incompletos deben corregirse.
- De supresión. En algunos casos los datos deben borrarse. No es un derecho absoluto.
- A limitar el tratamiento. En algunos casos el uso de los datos se suspende.
- A la portabilidad de los datos. En algunos casos una persona puede recibir los datos que facilitó en un formato reutilizable.
- De oposición. Una persona puede oponerse a algunos usos, como el basado en intereses legítimos. El derecho a oponerse al marketing directo es absoluto: cuando alguien dice basta, debe parar.
- Relativos a las decisiones automatizadas. Existen garantías para las decisiones importantes tomadas solo por medios automatizados. La ley de 2025 cambió algunas normas, pero las personas conservan protecciones clave, como el derecho a pedir una revisión humana.
Cómo es una solicitud de acceso
Una SAR no necesita un formulario especial ni las palabras «subject access». Puede ser:
- escrita o verbal, por ejemplo en un correo, una carta, un mensaje en redes sociales o una llamada;
- enviada a cualquier parte de la organización, no solo al delegado de protección de datos;
- redactada de forma sencilla: «Envíenme todo lo que tienen sobre mí».
La ICO dice que una organización no debe insistir en un formulario. Una solicitud enviada a la persona equivocada sigue siendo una solicitud.
El plazo
La organización debe responder sin demora indebida y como máximo en un mes desde que recibe la solicitud. El plazo empieza el día en que se recibe, no el día en que llega a la persona adecuada. Por eso debe trasladarla de inmediato.
El plazo puede ampliarse hasta dos meses más si la solicitud es compleja o la persona ha hecho varias. La organización debe comunicárselo en el primer mes y explicar el motivo. La Data (Use and Access) Act 2025 también permite detener el plazo mientras la organización pide a la persona que aclare qué quiere, cuando realmente lo necesita para responder.
Otros puntos
- La primera copia es normalmente gratuita. Solo se puede cobrar una tasa, o negarse, si la solicitud es manifiestamente infundada o excesiva.
- La organización puede tener que comprobar la identidad. No debe pedir más de lo necesario.
- Una persona tiene derecho a sus datos tras una búsqueda razonable y proporcionada. La ley de 2025 incorporó esta expresión a la norma. No permite omitir la búsqueda.
- Los datos sobre otras personas pueden tener que eliminarse o protegerse. Esta decisión corresponde a quienes tramitan la solicitud.
- Algunos datos están exentos, por ejemplo cierto asesoramiento jurídico. No lo decida usted.
- Es un delito borrar, ocultar o modificar datos para impedir que se divulguen una vez hecha la solicitud (sección 173 de la DPA 2018).
Qué hacer si recibe una solicitud
- No la ignore y no la responda usted.
- Anote la fecha y quién la hizo, y conserve el mensaje.
- Entréguela el mismo día a la persona indicada en su procedimiento.
- No borre ni modifique los registros relacionados.
Si la solicitud es para corregir, borrar o dejar de usar datos, siga los mismos pasos. Las organizaciones también deben atender las reclamaciones. Desde el 19 de junio de 2026 (un cambio de la ley de 2025), el responsable debe ofrecer a las personas una vía para reclamar sobre el uso de sus datos, acusar recibo de la reclamación en 30 días, tramitarla sin demora indebida e informar del resultado. Las personas siguen pudiendo reclamar ante la ICO.