Cualquier empresa, web, administración o profesional que tenga datos tuyos está obligado a decirte cuáles tiene y para qué, a corregirlos, a borrarlos cuando ya no haya motivo para conservarlos, a dártelos en un fichero para llevártelos a otro sitio y a dejar de usarlos para publicidad en cuanto te opongas. Tiene un mes para contestar (art. 12.3 RGPD) y no puede cobrarte por ello. Si no contesta o contesta mal, la reclamación a la AEPD es gratuita y la Agencia le obliga.
Los seis derechos, en una tabla
| Derecho | Qué consigues | Cuándo lo usas |
|---|---|---|
| Acceso (art. 15) | Copia de todos tus datos, el origen, con quién los han compartido, cuánto tiempo los guardan y si hay decisiones automatizadas. | Antes de reclamar cualquier cosa: es la «auditoría» de lo que saben de ti. También para obtener grabaciones, historiales o expedientes. |
| Rectificación (art. 16) | Que corrijan datos inexactos o completen los incompletos. | Dirección, deuda mal anotada, historial, informe. |
| Supresión (art. 17) | Que borren tus datos cuando ya no son necesarios, retiraste el consentimiento, te opusiste o el tratamiento es ilícito. | Darte de baja de verdad, borrar una cuenta, salir de un fichero de morosos con deuda inexistente. |
| Limitación (art. 18) | Que congelen el uso de tus datos mientras se discute su exactitud o tu oposición. | Cuando hay un conflicto abierto y no quieres que sigan usándolos. |
| Portabilidad (art. 20) | Tus datos en formato estructurado y de uso común, para ti o para otro proveedor. | Cambiar de banco, de compañía, de plataforma, de app de salud o de gestor. |
| Oposición (art. 21) | Que dejen de tratar tus datos por interés legítimo y, siempre y sin excusa, para marketing directo. | Publicidad, llamadas comerciales, perfilado. |
Hay un séptimo, menos conocido: no ser objeto de decisiones basadas solo en tratamientos automatizados con efectos jurídicos (art. 22), como una denegación de crédito o una selección de personal por algoritmo sin intervención humana. Puedes exigir intervención humana, expresar tu punto de vista e impugnar la decisión (art. 22.3), y pedir información significativa sobre la lógica aplicada (art. 15.1.h).
Cómo se ejerce para que cuente
- Por escrito y con prueba de envío: correo al delegado de protección de datos (DPD) o a la dirección que figure en la política de privacidad; si no la encuentras, burofax al domicilio social. Acompaña copia de tu documento solo si te lo piden razonablemente para identificarte.
- Cita el derecho y el artículo, di exactamente qué quieres (todos mis datos / borrado de la cuenta X / cese de publicidad) y fija el plazo legal de un mes.
- Cuenta el mes desde que reciben la solicitud. Pueden ampliarlo dos meses más si es complejo, pero deben avisarte dentro del primer mes y motivarlo.
- Si no contestan o deniegan sin razón, reclama a la AEPD en su sede electrónica adjuntando la solicitud y el justificante. La AEPD tiene tres meses para decidir si la admite (art. 65.5 LOPDGDD) y, admitida, seis meses para resolver (art. 64.1); si te da la razón, ordena atender el derecho. No hay que pagar nada.
Tres respuestas que no son válidas: «tiene que venir en persona» (no; basta identificarte razonablemente), «se lo cobramos» (solo pueden cobrar si la solicitud es manifiestamente infundada o repetitiva) y «lo hemos anonimizado, no podemos borrarlo» (si pueden identificarte, no está anonimizado).
Lo que no pueden borrar aunque lo pidas
La supresión no es absoluta. Una empresa puede conservar los datos que necesita para cumplir una obligación legal (facturas y contabilidad, seis años según el Código de Comercio; datos de blanqueo de capitales, diez), para defenderse en una reclamación mientras dure el plazo de prescripción, o para una obligación contractual pendiente. Lo que sí debe hacer es bloquearlos: guardarlos solo para eso y no usarlos para nada más (art. 32 LOPDGDD).
Casos que vemos cada semana
- Fichero de morosos: acceso para saber quién te incluyó y por qué, supresión si la deuda no era cierta, vencida y exigible, e indemnización por inclusión indebida (ver estoy en ASNEF).
- Antigua empresa, gimnasio, compañía de teléfono que sigue mandando publicidad tras la baja: oposición al marketing y supresión; si insisten, reclamación y sanción.
- Clínica, aseguradora o mutua: acceso a tu historia clínica o expediente completo; te lo deben dar íntegro, no un resumen.
- Selección de personal o scoring de crédito: acceso a la lógica aplicada y a la decisión, intervención humana (art. 22).
- Cámaras: acceso a las imágenes en que apareces (mientras las conserven) — ver cámaras y grabaciones.
Nuestro precio publicado: ejercicio de derechos, reclamación ante la AEPD y seguimiento hasta la resolución, 390 €, IVA incluido. Y si el incumplimiento te ha causado un daño real (una deuda inventada en un fichero, un dato de salud difundido), se reclama la indemnización por la vía civil (art. 82 RGPD), aparte de la sanción.
Preguntas que nos hacéis cada semana
¿Puede la empresa pedirme el DNI para atenderme?
Puede pedirte que acredites tu identidad de forma proporcionada, pero no exigir siempre una copia del DNI: si te identificas con los mismos datos con que eres cliente (correo, número de cliente), basta.
¿Me pueden cobrar por darme mis datos?
No, salvo solicitudes manifiestamente infundadas o excesivas por repetitivas, y en ese caso solo un canon razonable por los costes administrativos. La primera copia es siempre gratuita.
¿Qué pasa si la empresa está fuera de la UE?
Si ofrece servicios en la UE o te hace seguimiento aquí, el RGPD se le aplica igual (art. 3.2) y la AEPD es competente. En la práctica, con las grandes plataformas funciona; con una web de un país lejano, la vía útil suele ser la plataforma que la aloja o el buscador.
¿Sirve la reclamación a la AEPD para cobrar una indemnización?
No. La AEPD sanciona y ordena, pero no indemniza. Para cobrar hay que demandar en la vía civil. Lo explicamos en reclamar ante la AEPD paso a paso.
Te llama un abogado de derecho digital
en menos de 48 horas.
Sin compromiso y sin coste. Y si hay que actuar, el precio está publicado antes de que nos llames y se paga hasta en 12 cuotas: servicios y precios de derecho digital →
Un abogado te llamará en menos de 48 horas (días laborables). No compartimos tus datos con nadie. También por WhatsApp: 605 443 928
Continúa tu historia
→ Reclamar ante la AEPD paso a paso
→ No paran de llamarme para venderme cosas
→ Han filtrado mis datos: la brecha de seguridad
→ Derecho al olvido en Google
→ Estoy en ASNEF: salir e indemnización
Marco legal: arts. 3, 12, 15 a 22, 77, 79 y 82 del Reglamento (UE) 2016/679 (RGPD) · arts. 12 a 18, 32, 64, 65 y 69 de la Ley Orgánica 3/2018 (LOPDGDD) · art. 30 del Código de Comercio · art. 25 de la Ley 10/2010 de prevención del blanqueo de capitales. Contenido revisado por el equipo jurídico de The Juris · octubre de 2026.