Caso de uso · Caso de uso · DPO
Solicitudes de derecho de acceso: entregar la copia y proteger a terceros
Equipo Anonimatum
En resumen
El artículo 15 del RGPD obliga a entregar al interesado una copia de sus datos en un mes, pero esa copia no puede afectar a los derechos de otras personas (art. 15.4). La solución es entregarlo todo y ocultar solo lo ajeno.
Un antiguo empleado pide «todos los datos que tenéis sobre mí». Un paciente quiere copia de su historia clínica. Un cliente en plena reclamación solicita los correos en los que se habló de él. Para el responsable del tratamiento, cada una de estas peticiones es un derecho de acceso del artículo 15 del RGPD, con plazo legal y con un riesgo menos evidente: la información del solicitante casi nunca está sola. Aparece mezclada con nombres de compañeros, de otros pacientes, de proveedores o de testigos.
Esta página explica qué exige la norma, cómo organizar la respuesta en plazo y cómo preparar una copia útil para el interesado sin revelar datos de terceros. Es una guía práctica, no asesoramiento jurídico: ante casos dudosos, consulte con su delegado de protección de datos.
Qué obliga a entregar el artículo 15 del RGPD
El derecho de acceso tiene tres capas: la confirmación de si se tratan o no datos del interesado, el acceso a esos datos mediante una copia, y la información sobre el tratamiento (fines, categorías de datos, destinatarios, plazo de conservación, origen de los datos si no se obtuvieron de él, existencia de decisiones automatizadas y derecho a reclamar ante la AEPD). La primera copia es gratuita; solo las copias adicionales pueden dar lugar a un canon razonable basado en costes administrativos.
Las Directrices 01/2022 del Comité Europeo de Protección de Datos (CEPD) aclaran que la copia debe ser completa salvo que el interesado limite su petición, y que el responsable no puede exigir que se justifique el motivo. El Tribunal de Justicia de la UE, en el asunto C-307/22 (sentencia de 26 de octubre de 2023), confirmó que un paciente tiene derecho a una primera copia gratuita de su historia clínica aunque persiga un fin ajeno a la protección de datos, y que esa copia debe incluir los documentos completos cuando sean necesarios para comprender los datos.
Plazos: un mes, ampliable a tres
El artículo 12.3 RGPD fija un mes desde la recepción de la solicitud. Puede prorrogarse otros dos meses si la solicitud es compleja o hay muchas, siempre que se informe al interesado dentro del primer mes y se expliquen los motivos. En España, el artículo 13 de la LOPDGDD añade que podrá considerarse repetitivo el ejercicio del derecho de acceso más de una vez en seis meses salvo causa legítima, y permite atenderlo facilitando un acceso remoto, directo y seguro a los datos.
El límite del artículo 15.4: los derechos de otras personas
El apartado 4 del artículo 15 establece que el derecho a obtener copia no afectará negativamente a los derechos y libertades de otros. El CEPD insiste en que este límite no justifica negar la copia en bloque: hay que ponderar caso por caso y, cuando sea posible, entregar la información ocultando únicamente lo que perjudique a terceros. En la práctica, la herramienta es la anonimización parcial de los documentos que se entregan.
- Correos internos: nombres, direcciones de email y firmas de compañeros que no son el solicitante.
- Historias clínicas: datos de familiares aportados por terceros y anotaciones subjetivas de los profesionales, que el artículo 18 de la Ley 41/2002 de autonomía del paciente permite reservar.
- Expedientes disciplinarios o de acoso: identidad de denunciantes y testigos.
- Reclamaciones y atención al cliente: datos de otros clientes en hilos o capturas.
- Secretos empresariales o propiedad intelectual, que el considerando 63 también menciona.
Flujo de trabajo para responder en plazo
Del registro de la solicitud a la entrega
- Registrar la fecha de entrada y calcular el vencimiento del mes.
- Verificar la identidad solo si hay dudas razonables, sin pedir más datos de los necesarios.
- Localizar fuentes: CRM, RR. HH., historia clínica, buzones de correo, unidades compartidas, copias en papel.
- Extraer los documentos y correos relevantes, con sus adjuntos.
- Marcar los datos de terceros y aplicar la ponderación del art. 15.4, dejando constancia del criterio.
- Generar la copia con los datos ajenos ocultados o seudonimizados y sin metadatos sobrantes.
- Añadir la información del art. 15.1 (fines, destinatarios, conservación, origen, derechos).
- Entregar por un canal seguro y conservar evidencia de la respuesta.
Correos electrónicos y adjuntos
El correo es la fuente más laboriosa: cabeceras con decenas de destinatarios, hilos reenviados y adjuntos en PDF, Word o Excel. Imprimir y tachar a mano cada mensaje consume días y deja huecos, sobre todo en las cabeceras y en los adjuntos. Una opción es exportar los mensajes como .eml u Outlook .msg y tratarlos en bloque; lo explicamos en la guía para anonimizar correos electrónicos con adjuntos.
Tachar o seudonimizar: cómo mantener la copia comprensible
Si un hilo de veinte correos se entrega con todos los nombres ajenos tachados en negro, el interesado no sabe si dos mensajes los escribió la misma persona. La seudonimización coherente resuelve el problema: cada tercero recibe siempre el mismo sustituto («Persona A», «Persona B»), de forma que la conversación se entiende sin revelar identidades. La diferencia entre ambas técnicas se explica en la ficha de seudonimización.
| Técnica | Cuándo usarla | Riesgo a vigilar |
|---|---|---|
| Tachado irreversible | Datos que no aportan nada al solicitante (DNI, teléfonos, direcciones de terceros) | Que el texto siga debajo de la caja negra en el PDF |
| Sustitución coherente | Hilos de correo y expedientes con varios intervinientes | Que el contexto permita deducir quién es quién |
| Omisión de documento | Documentos que solo contienen datos ajenos | Justificar y documentar la exclusión |
Cómo ayuda Anonimatum
Anonimatum detecta con IA propia, ejecutada en servidores de la Unión Europea, nombres, organizaciones, direcciones, fechas e importes, y con patrones los DNI/NIF, emails, teléfonos o IBAN. Para un derecho de acceso, la clave es la lista blanca: se añaden el nombre, el email y el DNI del solicitante para que sus datos permanezcan visibles mientras se ocultan los del resto. Todo se previsualiza y revisa antes de aplicar.
- Desde la versión 1.9.0 trata correos .eml y Outlook .msg: cabeceras, asunto, cuerpo y adjuntos compatibles, con el mismo sustituto para el mismo dato. Los adjuntos que no se pueden anonimizar nunca se incluyen en el resultado.
- La pseudoanonimización sustituye a cada tercero de forma coherente y guarda el mapa cifrado por si hay que reconstruir la respuesta.
- Los documentos escaneados se tratan con OCR y el resultado de Word, Excel o PDF sale en el mismo formato y sin metadatos.
- Los expedientes con historial permiten agrupar todo lo entregado en una solicitud.
En el sector sanitario, el mismo flujo sirve para entregar copias de historia clínica sin datos de familiares ni de otros pacientes, como explicamos en anonimizar historias clínicas.
Preguntas frecuentes
¿Puedo negarme a entregar un documento porque contiene datos de terceros?
No de forma automática. El art. 15.4 RGPD exige ponderar y, si es posible, entregar el documento ocultando solo la información que perjudica a otros. La negativa total debe ser excepcional y motivada.
¿Cuánto tiempo tengo para responder?
Un mes desde la recepción, prorrogable dos meses más en solicitudes complejas o numerosas, informando al interesado de la prórroga y sus motivos dentro del primer mes (art. 12.3 RGPD).
¿Puedo cobrar por la copia?
La primera copia es gratuita. Solo las copias adicionales pueden tener un canon razonable. El TJUE confirmó en el asunto C-307/22 que la primera copia de la historia clínica también es gratuita.
¿Debo entregar los correos en los que se habla del solicitante?
Los datos del solicitante contenidos en esos correos forman parte del derecho de acceso. Lo habitual es entregar los mensajes o extractos relevantes, ocultando los datos de terceros que no deban revelarse.
¿Atiende muchas solicitudes de acceso?
Cuéntenos cómo trabaja su equipo y le mostramos en una demo cómo preparar copias de correos y expedientes con los datos de terceros protegidos.