Derechos ARCO-P: cómo responder una solicitud a tiempo (y automatizarla)
Qué son los derechos ARCO-P de la Ley 21.719, qué pasos tiene una solicitud y cómo automatizar la búsqueda y respuesta sin perder trazabilidad.
Respuesta corta: con la Ley 21.719, cualquier persona puede pedirle a una empresa acceder a sus datos, corregirlos, eliminarlos, oponerse a su uso o llevárselos a otro proveedor. La empresa debe ofrecer un canal gratuito y expedito, y responder dentro del plazo legal. El desafío no es legal, es operativo: encontrar los datos de esa persona en todos los sistemas.
Qué significa cada letra
- Acceso: saber qué datos tiene la empresa, para qué los usa y con quién los comparte.
- Rectificación: corregir datos inexactos o incompletos.
- Cancelación (supresión): pedir que se eliminen.
- Oposición: oponerse a un uso específico, por ejemplo marketing.
- Portabilidad: recibir los datos en un formato que se pueda llevar a otro proveedor.
Los pasos de una solicitud
- Recepción: la solicitud llega por el canal definido (web, correo, sucursal).
- Verificación de identidad: confirmar que quien pide es el titular o su representante.
- Búsqueda: encontrar los datos de la persona en CRM, ERP, correos, planillas y repositorios documentales.
- Decisión: revisar si hay obligaciones legales que impidan, por ejemplo, eliminar un dato.
- Respuesta: entregar la información o confirmar la acción, dentro de plazo.
- Registro: dejar evidencia de todo el proceso.
Dónde se complica
En la mayoría de las empresas el paso 3 es manual: alguien escribe a cada área preguntando “¿tienen datos de esta persona?”. Con pocas solicitudes funciona. Cuando llegan muchas, los plazos se vuelven difíciles de cumplir y la evidencia queda repartida en correos.
Qué se puede automatizar
- Un canal único que registre cada solicitud con fecha, tipo y estado.
- La búsqueda en los sistemas mediante integraciones o robots que consultan cada fuente con el RUT o el correo de la persona.
- El armado de la respuesta, con los datos encontrados en un formato ordenado.
- Las alertas de plazo, para que ninguna solicitud quede olvidada.
- La evidencia, guardada automáticamente para una fiscalización.
Lo que no conviene automatizar del todo es la decisión final: una persona debe revisar los casos donde hay obligaciones legales de conservar datos.
Por dónde partir
Antes de automatizar, hay que saber dónde están los datos personales. Ese mapa es la base del Registro de Actividades de Tratamiento (RAT) y también de la búsqueda ARCO-P. Con el mapa listo, la automatización se construye por etapas, partiendo por los sistemas que concentran más datos.
En Atuz lo trabajamos junto a Legal Prisma: ellos definen el procedimiento legal y nosotros lo llevamos a los sistemas.
