¿Para qué me sirve esta actividad? 📚
Esta actividad te ayudará a establecer el procedimiento interno que debe seguir tu empresa cuando un titular solicite acceder, corregir o borrar sus datos personales.
Este documento es importante porque permite atender las solicitudes de manera ordenada, evitar accesos indebidos a información personal y demostrar que la organización cuenta con mecanismos reales para proteger los derechos de los titulares.
¿Qué tengo que hacer? 🚀
💡Este documento debe reflejar la capacidad operativa y el flujo real de tu empresa para atender solicitudes de titulares.
Al trabajar en el template, te recomendamos primero leerlo en su totalidad para así comprender la información que deberás documentar posteriormente. Y para completarlo de forma adecuada, te recomendamos considerar lo siguiente:
Objetivo y alcance del procedimiento.
Verifica que el objetivo se enfoque en atender solicitudes de acceso, corrección y borrado de datos personales.
Asegúrate de que el alcance incluya todas las solicitudes recibidas mediante los canales oficiales definidos en los Avisos de Privacidad de la empresa.
Evita incluir canales que no estén realmente habilitados, monitoreados o disponibles para los titulares.
Recepción y análisis inicial de las solicitudes.
El Oficial de Protección de Datos Personales o el rol equivalente dentro de tu empresa debe revisar periódicamente el canal definido para recibir solicitudes, como el correo electrónico organizacional.
Verifica que el formato o solicitud incluya el nombre del titular, un medio de contacto, documentación de identidad, una descripción clara de los datos involucrados y, cuando corresponda, documentación que respalde la solicitud, sobre todo si es una solicitud de corrección.
⚖️ Recomendación legal: Los plazos incluidos en el template deben revisarse frente a la legislación, contratos y regulación aplicable a la empresa. No mantengas plazos internos que contradigan obligaciones legales más exigentes.
Evalúa si la solicitud puede procesarse.
Revisa si el solicitante es el titular o cuenta con representación válida.
Confirma si los datos solicitados existen en los sistemas de la empresa y si la acción requerida puede realizarse sin afectar derechos de terceros.
Si existe un impedimento legal, si la acción ya fue ejecutada o si no se cumplen los requisitos mínimos, prepara una respuesta fundada y continúa con la notificación correspondiente.
Acredita la identidad del titular o representante legal.
Define mecanismos de validación acordes con los canales habilitados: documentación por correo electrónico, validación presencial u otros métodos que la empresa pueda aplicar de forma segura.
Si interviene un representante, debe acreditarse tanto la identidad del titular como la representación correspondiente.
Si la identidad no puede validarse, informa el motivo y permite completar la información requerida según los plazos definidos en el procedimiento.
⚖️ Recomendación legal: La acreditación de identidad es una medida de seguridad esencial. Entregar, corregir o borrar información a pedido de una persona no validada puede generar una vulneración de datos personales.
Ejecución de la solicitud.
Para solicitudes de acceso, identifica dónde se encuentran los datos y coordina la generación de una copia o el acceso correspondiente.
Para correcciones, coordina la actualización de los datos en las instancias, sistemas o registros donde se encuentren.
Para borrados, identifica las plataformas alcanzadas y coordina la eliminación segura, cuando corresponda.
Conserva evidencia de la acción ejecutada y del apoyo brindado por las áreas involucradas.
⚖️ Recomendación legal: El borrado no siempre procede de forma inmediata. Si existe una obligación legal, contractual o regulatoria de conservar la información, puede corresponder limitar o bloquear su uso, y conservarla únicamente durante el plazo necesario.
Gestiona la notificación a terceros.
Revisa el Inventario de datos personales para identificar si los datos fueron compartidos con proveedores, operadores u otros terceros.
Cuando corresponda, notifica formalmente la acción que deben realizar, el plazo de cumplimiento y la obligación de confirmar la ejecución.
Conserva la notificación y la respuesta recibida como parte del expediente de la solicitud.
Si el tercero no responde en el plazo establecido, escala el caso al Comité de Privacidad o al área jurídica.
Comunica la respuesta y registra la solicitud.
Notifica al titular el resultado de su solicitud mediante el canal de contacto elegido.
Si la solicitud no procede, comunica los motivos y la información de respaldo que corresponda.
Si fue ejecutada, informa la acción realizada y conserva la evidencia pertinente.
Registra todo el seguimiento, para ello te recomendamos usar el Registro de Solicitudes sobre Datos Personales.
Completa el versionado del documento.
Al finalizar, completa la tabla de versionado indicando quién elaboró el procedimiento, quién lo aprobó, la fecha de aprobación y la clasificación de la información.
Nuestro template está estructurado para guiar la recepción, validación, ejecución, respuesta y registro de solicitudes de acceso, corrección y borrado. Recuerda que debe ajustarse a la realidad operativa de tu empresa y mantenerse alineado con los demás documentos del SGPI.
💡 Los pasos a seguir para terminar la actividad dentro de la plataforma son los siguientes:
Una vez que nuestro equipo haya aprobado la actividad, debes subir el documento final en versión PDF (no editable).
Posteriormente, debes subir la evidencia de su aprobación.
Recomendamos que esta evidencia sea a través de una minuta de sesión de comité (en ese caso, debes subir el documento en PDF de la minuta), o con una captura de pantalla de la respuesta explícita de quién o quiénes lo aprobaron.
Esto debe realizarse por algún medio de comunicación interno de la empresa, como Slack, Teams o el correo electrónico organizacional.
O también puedes utilizar la funcionalidad de aprobación que tiene la plataforma Hackmetrix.
Y por último, debes subir la evidencia de su comunicación.
Al igual que la aprobación, la comunicación del documento puede ser por cualquier medio formal interno de la empresa. Y para esto, debes subir una captura de pantalla donde se muestre que el documento fue comunicado a todos los colaboradores interesados.
O también puedes utilizar la funcionalidad de comunicación que tiene la plataforma Hackmetrix.
Recomendaciones ✅
Alinea los canales de contacto y formatos mencionados en este procedimiento con los Avisos de Privacidad publicados por la empresa.
Define un mecanismo de coordinación entre el Oficial de Protección de Datos Personales, Tecnología y los dueños de cada sistema para evitar demoras al localizar, corregir o borrar información.
Configura recordatorios o alertas internas para controlar los plazos de atención y evitar solicitudes vencidas.
Realiza pruebas periódicas del procedimiento utilizando un caso simulado para comprobar que los responsables conocen sus tareas y que las acciones pueden ejecutarse en la práctica.
Conserva los documentos utilizados para acreditar identidad solo durante el tiempo necesario y aplícales medidas de seguridad reforzadas, ya que también contienen datos personales.
¡Califica este artículo 👇, esto nos ayudará a mejorar nuestro contenido para ti! También puedes contactarnos por correo electrónico o a través de la plataforma, y te brindaremos la atención que necesites.