Un cliente escribe pidiendo que elimines todos sus datos. Tu empresa tiene diez días hábiles para responder. La pregunta que decide si cumples no es legal, es operativa: ¿sabes en cuántos sistemas está ese cliente?
Los derechos ARCO son acceso, rectificación, cancelación y oposición. La Ley 29733 los reconoce y el reglamento vigente sumó la portabilidad y la revocatoria del consentimiento. Cualquier persona puede ejercerlos frente a tu organización, sin costo y sin justificar el motivo en la mayoría de los casos.
Qué permite cada derecho
Acceso
El titular pregunta qué datos suyos tienes, cómo los obtuviste, para qué los usas, con quién los compartiste y por cuánto tiempo los conservarás. Responder exige consolidar información que suele estar repartida entre el CRM, el ERP, planillas y sistemas de terceros.
Rectificación
Pide corregir datos inexactos, incompletos, erróneos, desactualizados o falsos. Debe indicar qué dato corregir y acompañar el documento que lo sustenta. La corrección debe propagarse a todos los sistemas donde ese dato exista, incluidos los de encargados externos.
Cancelación
Solicita eliminar sus datos cuando dejaron de ser necesarios para la finalidad que los originó, cuando venció el plazo de tratamiento o cuando revocó su consentimiento. No es absoluto: si una norma te obliga a conservar la información o existe una relación contractual vigente, la conservas y lo explicas.
Oposición
Se opone al tratamiento porque le genera un perjuicio. Ocurre con frecuencia en marketing y perfilamiento digital.
Portabilidad
Pide sus datos en formato estructurado para llevarlos a otro proveedor. Es el derecho más exigente en términos técnicos, porque obliga a extraer y entregar en un formato que otra organización pueda procesar.
Revocatoria
Retira el consentimiento otorgado. Desde ese momento, seguir tratando esos datos con la finalidad revocada deja de ser lícito.
Los plazos, que es lo que se fiscaliza
Los plazos se cuentan en días hábiles, desde el día siguiente a la presentación de la solicitud o de su subsanación.
| Derecho | Plazo de respuesta |
|---|---|
| Información | 8 días hábiles |
| Acceso | 20 días hábiles |
| Rectificación, cancelación y oposición | 10 días hábiles |
| Portabilidad y revocatoria | 15 días hábiles |
El plazo se puede ampliar una sola vez, por un periodo igual como máximo, cuando las circunstancias lo justifican. La ampliación se comunica al titular antes de que venza el plazo original, al domicilio o correo que haya indicado. Comunicarla después no la valida.
Si el titular no queda conforme con la respuesta, puede iniciar un procedimiento trilateral de tutela ante la ANPD. Ahí la organización tendrá que acreditar qué hizo, cuándo y con qué sustento.
Por qué las empresas fallan en esto
El obstáculo rara vez es el desconocimiento de la norma. Es la dispersión de los datos.
El correo de un cliente vive en el CRM, en tres planillas compartidas, en la bandeja de entrada de un ejecutivo, en un formulario web que alimenta una hoja de cálculo y en la plataforma de correo masivo. Frente a una solicitud de cancelación, el equipo elimina el registro del CRM y responde que cumplió. El dato sigue en los otros cinco lugares, y la respuesta que acaba de firmar es inexacta.
La falta de registro o actualización de bancos de datos y el incumplimiento de las medidas de seguridad figuran entre las infracciones más recurrentes que sanciona la ANPD, junto al tratamiento sin consentimiento y el incumplimiento del deber de información.
Qué necesitas tener montado antes de la primera solicitud
- Un inventario de datos personales. Saber en qué sistemas, repositorios y servicios de terceros vive cada categoría de dato. Es el requisito que habilita todos los demás.
- Un canal de recepción documentado. Formulario o correo definido, con registro de fecha de entrada para poder acreditar el cómputo del plazo.
- Verificación de identidad del solicitante. Entregar datos personales a quien no es el titular es una infracción por sí misma.
- Capacidad de búsqueda y eliminación transversal. Poder localizar y actuar sobre todos los registros de una persona, no solo sobre el sistema principal.
- Evidencia de cada respuesta. Qué se pidió, cuándo, qué se respondió y qué se ejecutó. El principio de responsabilidad proactiva exige acreditarlo.
Las organizaciones sobre plataforma Microsoft cubren buena parte de esto con licencias que ya pagan. Purview permite descubrir y clasificar datos personales dispersos en Microsoft 365, incluidos correos y archivos en SharePoint y OneDrive, y ejecutar búsquedas transversales por titular. Entra ID controla quién accedió y deja el registro.
Cómo montar la respuesta a derechos ARCO con tu plataforma Microsoft [/pe/servicios/cumplimiento-ley-29733-empresas/]
El primer paso
Antes de redactar un procedimiento ARCO, haz el ejercicio inverso: elige un cliente al azar y pide a tu equipo que liste todos los sistemas donde aparecen sus datos. El resultado de ese ejercicio te dirá si tu procedimiento es ejecutable o solo es un documento.
Nota de Daniela Lalanne (Directora de Marketing XMS)
Da el siguiente paso con XMS
¿Tu empresa puede responder una solicitud ARCO dentro de plazo?
En XMS hacemos una evaluación inicial sin costo: revisamos dónde viven los datos personales en tu entorno Microsoft, identificamos las brechas frente a la Ley 29733 y te entregamos una hoja de ruta priorizada.
Preguntas frecuentes
Son los derechos de acceso, rectificación, cancelación y oposición que la Ley 29733 reconoce a toda persona sobre sus datos personales. El reglamento vigente sumó la portabilidad y la revocatoria del consentimiento.
La ley no nombra a Zero Trust como obligación. Exige resultados de seguridad (gestión de riesgos, control de accesos, reporte de incidentes) que el modelo Zero Trust es la forma más ordenada de alcanzar.
Ocho días hábiles para el derecho de información, veinte para el de acceso, diez para rectificación, cancelación y oposición, y quince para portabilidad y revocatoria. Se cuentan desde el día siguiente hábil a la presentación y admiten una única ampliación por un periodo igual.
Sí, cuando una norma te obliga a conservarlos o existe una relación contractual vigente que lo justifica. La negativa debe responderse dentro del plazo, fundamentada y por escrito. El silencio no es una opción válida.
El titular puede acudir a la ANPD mediante un procedimiento trilateral de tutela. La autoridad evaluará qué hizo la organización y con qué evidencia lo acredita.
