Cómo responder a un derecho de acceso sin revelar datos de terceros

Llega un correo de un antiguo empleado: «Solicito copia de todos mis datos personales, incluidos los correos en los que se me menciona». La petición es legítima y el plazo empieza a correr ese mismo día. El problema aparece al abrir la bandeja: en esos correos también están sus compañeros, el cliente que se quejó de él, la persona de RR. HH. que tramitó la baja y un proveedor con su móvil en la firma. Entregarlo todo tal cual vulnera los derechos de esas personas; tacharlo todo deja la respuesta vacía y abre la puerta a una reclamación ante la AEPD.

Este artículo explica cómo encontrar el equilibrio con un método que se puede repetir: qué exige la norma, dónde se esconden los datos de terceros, cómo tacharlos de verdad y qué guardar para poder demostrar después que se hizo bien.

Qué exige el derecho de acceso y qué límites tiene

El artículo 15 del RGPD reconoce a la persona interesada el derecho a saber si se tratan sus datos, a obtener información sobre ese tratamiento (fines, categorías, destinatarios, plazo de conservación, origen) y a recibir una copia de los datos personales objeto de tratamiento. El apartado 4 del mismo artículo añade el contrapeso: el derecho a obtener copia no debe afectar negativamente a los derechos y libertades de otros.

El Tribunal de Justicia de la UE precisó en la sentencia C-487/21 (mayo de 2023) que la copia debe ser una reproducción fiel e inteligible de los datos, y que puede incluir extractos de documentos o documentos completos cuando sea indispensable para que la persona entienda sus datos y ejerza sus derechos, siempre teniendo en cuenta los derechos de terceros. Es decir: muchas veces habrá que entregar el correo o el informe, pero con los datos ajenos ocultos.

En España, el artículo 13 de la LOPDGDD completa el régimen: permite atender el acceso facilitando un sistema de acceso remoto y seguro, y considera repetitivo el ejercicio del derecho más de una vez en seis meses salvo causa legítima. Las Directrices 01/2022 del Comité Europeo de Protección de Datos son la referencia interpretativa que también utiliza la AEPD.

Plazos que conviene tener en el calendario

• Un mes desde la recepción para responder (art. 12.3 RGPD).
• Prórroga de dos meses más si la solicitud es compleja o hay muchas, pero hay que comunicarla y motivarla dentro del primer mes.
• La respuesta es gratuita; solo las copias adicionales o las solicitudes manifiestamente infundadas o excesivas permiten cobrar un canon razonable o negarse, y esa negativa también debe motivarse.
• Si no se va a dar curso a la solicitud, hay que informar al interesado de las razones y de su derecho a reclamar ante la AEPD, también en el plazo de un mes.

Dónde se esconden los datos de terceros

Los nombres en el cuerpo de un documento se ven a simple vista. Lo que suele escaparse está en los sitios que nadie revisa porque «no son contenido»:

• Cabeceras de correo: destinatarios en copia (CC), direcciones de reenvío, listas de distribución y la cadena de respuestas citadas al pie.
• Firmas con móvil personal, cargo y extensión de compañeros o proveedores.
• Adjuntos: hojas de cálculo con columnas de otros empleados, actas con asistentes, informes médicos o partes de baja que mencionan a familiares.
• Comentarios y control de cambios en Word, y notas del orador en presentaciones.
• Metadatos: autor, último usuario que modificó el archivo, rutas de red con el nombre de quien lo guardó.
• Imágenes y escaneos: un DNI de otra persona grapado al expediente, un sello con nombre, una captura de pantalla de un chat.

Método en seis pasos para preparar la respuesta

1. Delimitar y buscar

Confirma la identidad sin pedir más datos de los necesarios y aclara el alcance solo si es imprescindible (por ejemplo, si hay años de correo). Busca en todos los sistemas donde haya datos del solicitante: correo, CRM, nóminas, gestor documental, copias de seguridad accesibles. Anota qué buscaste, dónde y con qué criterios: esa nota será tu mejor defensa.

2. Clasificar cada documento

Separa tres montones: documentos solo con datos del solicitante (se entregan), documentos sin datos suyos (fuera del alcance) y documentos mixtos, que son los que requieren trabajo. En los mixtos decide si basta con un extracto o si el documento completo es necesario para entender el contexto.

3. Ponderar qué se oculta

No todo dato ajeno se tacha automáticamente. Pregúntate si el solicitante ya conoce esa información, si la persona actuaba en ejercicio de su puesto o a título particular y qué daño podría causar revelarla. La opinión de un compañero sobre el solicitante es, a la vez, dato del solicitante y del compañero: la regla habitual es entregar el contenido de la opinión y ocultar la identidad de quien la emite cuando haya riesgo para él.

4. Tachar de forma irreversible

Un rectángulo negro dibujado encima del texto no elimina nada: el texto sigue debajo y se puede copiar. Usa una herramienta que borre el contenido, aplana el resultado y elimina los metadatos del PDF antes de enviarlo. En documentos escaneados, comprueba también la capa OCR invisible.

5. Revisar con otros ojos

Una segunda persona abre el resultado, busca con Ctrl+F los nombres de terceros que aparecían en el original y copia y pega algunas zonas tachadas. Si algo aparece, vuelta al paso 4.

6. Entregar por un canal seguro

Si la solicitud llegó por medios electrónicos, la respuesta se facilita en un formato electrónico de uso común salvo que se pida otra cosa. Usa enlaces con caducidad o archivos protegidos con contraseña enviada por otro canal, y nunca un nombre de fichero del tipo «Acceso_Juan_Perez_con_queja_de_Maria.pdf».

Correos electrónicos y adjuntos: el caso más frecuente

La mayoría de las solicitudes de acceso de empleados y clientes acaban en el correo. Exportar mensajes a PDF uno por uno y tacharlos a mano es lento y propenso a errores, porque el mismo tercero aparece decenas de veces con variantes («Laura», «L. Gómez», «lgomez@…»). Conviene trabajar sobre el mensaje original (.eml o .msg) para no perder cabeceras ni adjuntos, aplicar el mismo criterio a todo el hilo y revisar cada adjunto como un documento independiente. Si quieres profundizar, consulta la guía sobre cómo anonimizar correos electrónicos con adjuntos.

Qué documentar para poder demostrarlo

El principio de responsabilidad proactiva obliga a poder acreditar que se atendió bien el derecho. Un expediente mínimo por solicitud debería contener:

Cómo ayuda Anonimatum en este flujo

Anonimatum detecta con IA propia, ejecutada en servidores de la UE, nombres, organizaciones, direcciones, teléfonos, DNI o IBAN, y deja una previsualización para revisión humana antes de aplicar el tachado, que es irreversible. Desde la versión 1.9.0 trata correos .eml y .msg con sus adjuntos: anonimiza cabeceras, asunto y cuerpo, y los adjuntos que no puede anonimizar nunca se incluyen en el resultado. La lista blanca permite dejar visibles los datos del propio solicitante, los expedientes agrupan todos los documentos de una solicitud y el registro de auditoría del grupo anota cada operación sin guardar nombres ni contenido de los documentos. Encontrarás más contexto en el caso de uso de solicitudes de acceso a datos personales.