Reclamaciones de protección de datos: el mes que te da la LOPDGDD antes de que actúe la AEPD

En España no existe la obligación de tener un procedimiento de reclamaciones de protección de datos como tal. Existe algo más útil: un mecanismo en la LOPDGDD que convierte tener uno en la diferencia entre resolver una queja en un mes y abrir un expediente ante la AEPD.

Cuando alguien presenta una reclamación ante la AEPD, la Agencia puede, antes de admitirla a trámite, trasladarla al delegado de protección de datos de la empresa si lo hay, o directamente a la empresa si no lo hay ni existe otro mecanismo de resolución. La empresa tiene entonces un mes para responder. Si en esa respuesta acredita haber atendido la reclamación o haber tomado las medidas necesarias, la AEPD puede inadmitirla. Si no responde, o responde mal, la reclamación sigue su curso.

El artículo 37 completa el cuadro: cuando hay delegado de protección de datos, el afectado puede dirigirse a él antes de acudir a la AEPD, y el delegado tiene dos meses para contestar. Es el mismo principio: la ley prefiere que el asunto se resuelva dentro de la empresa.

De ahí la conclusión práctica. El procedimiento no es una formalidad. Es lo que te permite usar ese mes.

Publica un correo o formulario específico para reclamaciones y ejercicio de derechos, en la política de privacidad y en el pie de la web. Explica qué información puede aportar la persona: qué tratamiento, qué ocurrió, qué pide. Ofrece una alternativa accesible; no obligues a usar un único canal si existe otra forma razonable de recibir la reclamación. Y comprueba que el buzón lo lee alguien: una reclamación en un correo que nadie abre es una reclamación en la AEPD seis semanas después.

Para cada reclamación anota fecha de entrada, persona solicitante, tratamiento relacionado, responsable interno, evidencia recibida y fecha límite. Separa una reclamación de un ejercicio de derechos, aunque ambos lleguen por el mismo canal: el derecho de acceso tiene su propio plazo de un mes del artículo 12.3 del RGPD y su propia respuesta. Si la AEPD te traslada la reclamación, ese registro es lo primero que vas a necesitar para demostrar qué hiciste y cuándo.

La respuesta dice qué se comprobó, qué medida se adopta y qué puede hacer la persona si no está conforme, incluida la reclamación ante la AEPD. No uses una respuesta automática como sustituto de una revisión real. Si la reclamación tenía razón, dilo y corrige; una respuesta que reconoce un error y acredita la corrección es exactamente lo que el artículo 65 premia con la inadmisión.

La mayoría de las pequeñas empresas no está obligada a tenerlo. El artículo 34 de la LOPDGDD lista quién sí: entre otros, centros sanitarios, centros docentes, entidades financieras, operadores de juego, empresas de seguridad privada, y quien haga tratamientos a gran escala o perfilado sistemático. Fuera de esa lista, el traslado del artículo 65 llega directamente a la empresa, y la persona que lo recibe es la que tú hayas puesto en la política de privacidad como contacto. Que sea alguien que exista, que lea el correo y que sepa qué hacer con él.

No confundas esta reclamación con la hoja de reclamaciones de consumo. Una queja sobre un producto va por la vía de consumo de tu comunidad autónoma; una queja sobre qué has hecho con los datos de una persona va por esta. Pueden llegar juntas, y conviene saber separarlas antes de responder.

Tres reclamaciones sobre lo mismo son una política desactualizada, una configuración mal hecha o un proveedor que no responde. Vincula el resultado de cada reclamación con una tarea de mejora, sin añadir al informe más datos personales de los necesarios. Rowpa genera el procedimiento a partir de tu perfil de empresa, publica el formulario de entrada con número de referencia automático y lleva el plazo de cada reclamación abierta, para que el mes del artículo 65 se use en resolver y no en buscar el correo.