Derechos ARSOPB en la Ley 21.719: cómo responder una solicitud

Los derechos ARSOPB son los seis derechos que la Ley 21.719 reconoce a toda persona sobre sus datos personales: acceso, rectificación, supresión, oposición, portabilidad y bloqueo. Cuando un titular presenta una solicitud, la empresa debe acusar recibo y pronunciarse a más tardar dentro de 30 días corridos desde su ingreso, plazo que puede prorrogarse por una sola vez hasta por 30 días corridos. La respuesta va por escrito, y si se rechaza, debe ser fundada. Para cumplir, la empresa necesita saber qué datos tiene de esa persona y dónde están.

Qué es cada derecho ARSOPB

La ley, que modifica la Ley 19.628 y entra en plena vigencia el 1 de diciembre de 2026 (revisa qué es la Ley 21.719), define cada derecho así:

• Acceso: confirmar si la empresa trata datos del titular y, en ese caso, entregarle esos datos junto con su origen, las finalidades del tratamiento, los destinatarios (o sus categorías), el período durante el cual se tratarán y, cuando corresponda, el interés legítimo invocado o la lógica de las decisiones automatizadas.
• Rectificación: modificar o completar datos inexactos, desactualizados o incompletos. Una vez rectificados, no se pueden volver a tratar los datos sin corregir.
• Supresión: eliminar los datos cuando ya no son necesarios, cuando se revocó el consentimiento y no hay otro fundamento legal, cuando se obtuvieron o trataron ilícitamente, cuando son caducos, cuando lo ordena una sentencia, resolución u obligación legal, o tras una oposición acogida.
• Oposición: pedir que no se realice un tratamiento determinado, por ejemplo, cuando se basa en el interés legítimo de la empresa, cuando es marketing directo (incluida la elaboración de perfiles) o cuando usa datos de fuentes de acceso público sin otro fundamento.
• Portabilidad: recibir una copia de los datos que el titular entregó, en un formato electrónico estructurado, genérico y de uso común, y transferirlos a otro responsable. Procede cuando el tratamiento es automatizado y se basa en el consentimiento.
• Bloqueo: suspender temporalmente el tratamiento mientras se resuelve una solicitud de rectificación, supresión u oposición, o como alternativa a la supresión. El bloqueo no afecta el almacenamiento de los datos.

La supresión no es absoluta. No procede, entre otros casos, cuando el tratamiento es necesario para cumplir una obligación legal o ejecutar un contrato con el titular, o para formular, ejercer o defender una reclamación administrativa o judicial. Por eso, antes de borrar, conviene revisar si existe una obligación de conservar.

Quién puede presentar una solicitud

Los derechos los ejerce el titular, por sí o a través de su representante legal o mandatario. Son personales, intransferibles e irrenunciables, y ningún contrato puede limitarlos. Si el titular fallece, pueden ejercerlos sus herederos, salvo que la persona lo haya prohibido expresamente o que una ley lo impida.

En la práctica, las solicitudes llegarán de clientes, exclientes, postulantes, trabajadores y extrabajadores, pacientes o apoderados. Los datos de trabajadores merecen atención especial, porque suelen estar repartidos entre remuneraciones, licencias médicas y carpetas personales.

Qué debe contener la solicitud

La solicitud se presenta por escrito al correo electrónico que la empresa haya habilitado para este fin, a un formulario de contacto o a un medio electrónico equivalente. Debe incluir, al menos:

• La individualización del titular (y de su representante, si lo hay) y la autenticación de su identidad, según los procedimientos que establezca la Agencia de Protección de Datos Personales.
• Un domicilio o correo electrónico para recibir la respuesta.
• La identificación de los datos o del tratamiento sobre el que se ejerce el derecho.
• En rectificación, los cambios precisos y sus respaldos; en supresión y oposición, la causal invocada.

Para el derecho de acceso basta con la individualización del titular.

Plazos y costos que fija la ley

La rectificación, la supresión y la oposición son siempre gratuitas. El acceso también es gratuito al menos una vez por trimestre; solo si el titular pide acceso o portabilidad más de una vez en el trimestre, la empresa puede cobrar los costos directos, según los parámetros que fije la Agencia.

Si el bloqueo se rechaza, la empresa debe fundar la respuesta y comunicar su decisión a la Agencia en forma electrónica.

Qué pasa si no respondes

La ley califica como infracción leve omitir la respuesta o responder en forma incompleta o fuera de plazo. Impedir u obstaculizar el ejercicio legítimo de los derechos es una infracción grave, y no cumplir una resolución de la Agencia que resuelve el reclamo de un titular es gravísima. Los montos están explicados en las multas de la Ley 21.719.

Cómo organizar la respuesta paso a paso

1. Habilita un canal único. Un correo o formulario publicado en tu política de privacidad, con un medio sencillo de usar, como exige la ley.
2. Registra cada solicitud. Fecha de ingreso, derecho ejercido, titular, fecha de vencimiento y responsable interno. El plazo corre en días corridos, incluidos fines de semana.
3. Acusa recibo de inmediato e indica cómo continuará el proceso.
4. Verifica la identidad antes de entregar o cambiar datos. Entregar información a quien no es el titular puede constituir una vulneración.
5. Busca los datos en todas partes. No basta con el sistema principal: revisa el ERP o CRM, el correo, las planillas en los PC y las carpetas compartidas en la nube.
6. Decide y fundamenta. Revisa si procede el derecho o alguna excepción legal (por ejemplo, una obligación de conservar).
7. Ejecuta y comunica. Si rectificas, suprimes o acoges una oposición, avisa a quienes recibieron esos datos, salvo que sea imposible o exija un esfuerzo desproporcionado.
8. Responde por escrito y guarda respaldo. La ley obliga a conservar la prueba del envío, su fecha y el contenido íntegro de la respuesta.

Si tu empresa designa un delegado de protección de datos, una de sus funciones es precisamente atender las consultas y solicitudes de los titulares.

Por qué necesitas saber dónde están los datos

Una respuesta de acceso incompleta es una infracción, y una supresión que deja copias es una supresión mal hecha. El problema típico no está en el sistema de clientes, sino en la planilla exportada hace dos años, el currículum adjunto en un correo o la carpeta compartida con un proveedor. Un inventario de datos personales permite saber de antemano en qué fuentes buscar y responder dentro del plazo. Si tratas datos sensibles, como licencias médicas, el cuidado debe ser mayor.

Encontrar los datos antes de que llegue la solicitud

Responder en 30 días es mucho más simple cuando ya sabes qué datos personales tiene la empresa y en qué lugares se guardan. Buena parte de esa información está fuera de los sistemas formales: en los PC de los trabajadores, en el correo y en Google Drive. UpTech DLP revisa esas fuentes y muestra dónde aparecen RUT, datos de salud o cuentas bancarias, lo que facilita ubicar la información de un titular. Si quieres evaluarlo para tu empresa, puedes solicitar una cotización.

Fuentes

• Ley 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales (Biblioteca del Congreso Nacional)

Información referencial; no constituye asesoría legal.