Una solicitud de acceso conforme al GDPR es una petición por escrito, al amparo del Artículo 15 del Reglamento (UE) 2016/679, en la que se pide a una organización que confirme si trata tus datos personales y que te proporcione una copia y la información complementaria. Si una empresa te rechazó, o dejó de responder tras tu última entrevista, es probable que todavía conserve tu CV, tus datos de contacto y sus notas internas sobre ti, y tienes derecho a solicitar verlos. Si los ha eliminado, aun así debe confirmar si trata algún dato sobre ti.
Resumen:
- Acceso (Art. 15): obtienes una copia de tus datos junto con las finalidades, categorías, destinatarios, el periodo de conservación previsto, el origen de los datos y cualquier información sobre decisiones automatizadas.
- Supresión (Art. 17): puedes pedir a la empresa que elimine tus datos cuando, por ejemplo, ya no sean necesarios para los fines para los que fueron recogidos o hayan sido tratados ilícitamente. Existen excepciones, incluidas las reclamaciones legales.
- Plazo (Art. 12(3)): un mes desde la recepción, ampliable por otros dos meses solo si la empresa te comunica el motivo dentro del primer mes.
- Coste (Art. 12(5)): gratuito, a menos que la solicitud sea manifiestamente infundada o excesiva.
- No se necesita motivo ni formulario: el EDPB lo dice explícitamente en sus directrices sobre el derecho de acceso.
Por qué un desarrollador se molestaría
Un correo electrónico de rechazo no suele decirte nada. El “ghosting” te dice incluso menos. Una solicitud de acceso es una de las pocas herramientas que hace que una empresa produzca algo concreto: qué registró sobre ti, de dónde lo obtuvo y con quién lo compartió.
Razones por las que la gente realmente envía una:
- Quieres saber qué guardó la empresa de tus entrevistas, incluyendo las notas de evaluación interna y cualquier puntuación.
- Sospechas que un filtro automatizado te rechazó y quieres saber si la empresa afirma haber tomado una decisión automatizada (Art. 15(1)(h)).
- Enviaste un CV, una prueba técnica o un portfolio y quieres saber que no está ahí guardado en una base de datos indefinidamente.
- Quieres que la empresa lo borre todo tras un mal proceso.
Ninguna de estas requiere una justificación. Las Directrices 01/2022 del EDPB establecen que el interesado no tiene que dar motivos para una solicitud de acceso, y que no corresponde al responsable del tratamiento evaluar si la solicitud te ayudará (EDPB, Guidelines 01/2022 on data subject rights, right of access, version 2.1, adopted 28 March 2023).
Paso 1: averigua quién es el responsable
El derecho se ejerce frente al responsable, la organización que decide por qué y cómo se tratan tus datos. Para una solicitud directa, suele ser el empleador al que te has presentado. Si has solicitado el puesto a través de un reclutador o una plataforma de empleo, puede haber más de una parte, y un encargado del tratamiento puede responder en nombre del responsable siempre que el contrato entre ellos así lo prevea (tal como explica la autoridad española, la AEPD, en su página sobre el ejercicio de derechos).
Busca el aviso de privacidad en la página de empleo de la empresa. Según los Artículos 13 y 14, el aviso debe identificar al responsable y, cuando proceda, facilitar los datos de contacto del delegado de protección de datos (DPO). El Art. 38(4) establece que los interesados pueden contactar con el DPO para cualquier cuestión relacionada con el tratamiento y el ejercicio de sus derechos, por lo que la dirección del DPO, si existe, es un buen lugar para enviar la solicitud.
Las directrices del EDPB indican que no existe un formato obligatorio y que no estás obligado a utilizar el propio canal de solicitud de la empresa: puedes enviar la solicitud a un punto de contacto oficial del responsable. También señalan que un responsable no está obligado a actuar ante solicitudes enviadas a direcciones completamente aleatorias o claramente erróneas. Utiliza el contacto de privacidad, el DPO o el contacto de selección mencionado en el aviso de privacidad, y no la bandeja de entrada de un empleado cualquiera.
Paso 2: redacta la solicitud
Hazla corta, con todo lo que la empresa necesite en la primera pantalla:
- Quién eres, con suficiente detalle para encontrarte: nombre completo, la dirección de correo electrónico desde la que te postulaste, el puesto y las fechas aproximadas.
- Qué solicitas: confirmación de si la empresa trata tus datos personales, una copia de los mismos y la información enumerada en el Art. 15(1)(a) al (h) y, si procede, el Art. 15(2).
- La base legal: Art. 15 GDPR, con el plazo de un mes según el Art. 12(3).
- Un formato preferido: si envías la solicitud por medios electrónicos y no pides otra cosa, el Art. 15(3) dice que la copia debe proporcionarse en un formato electrónico comúnmente utilizado.
- Una fecha: escribe la fecha en la que la envías y guarda el comprobante de envío y, si puedes, de la recepción (un acuse de recibo, un número de ticket o una confirmación), porque el plazo empieza a contar desde que la empresa la recibe.
Lo que el Art. 15(1) dice que puedes obtener, como una lista de verificación para pegar en tu solicitud:
| Punto del Art. 15 | Qué solicitar |
|---|---|
| (a) | Las finalidades del tratamiento |
| (b) | Las categorías de datos personales |
| (c) | Los destinatarios o las categorías de destinatarios, incluidos los terceros países |
| (d) | El plazo de conservación previsto, o los criterios utilizados para determinarlo |
| (e) | Tus derechos de rectificación, supresión, limitación y oposición |
| (f) | Tu derecho a presentar una reclamación ante una autoridad de control |
| (g) | El origen de los datos, cuando no se hayan recogido de ti |
| (h) | La existencia de decisiones automatizadas, incluida la elaboración de perfiles, en virtud del Art. 22(1) y (4), y información significativa sobre la lógica aplicada, así como su importancia y las consecuencias para ti |
El punto (g) es importante si un reclutador te encontró en un perfil público o si un tercero te facilitó tu CV. El punto (h) es el que debes incluir si sospechas del uso de una herramienta de filtrado.
La AEPD publica un formulario para el derecho de acceso (enlazado desde su página sobre el derecho de acceso), que es útil como plantilla incluso si tu solicitud va dirigida a una empresa de otro Estado miembro.
Paso 3: comprender el plazo de un mes
El Artículo 12(3) es la frase que importa. El responsable debe facilitar información sobre la acción tomada respecto a tu solicitud sin dilación indebida y, en cualquier caso, en el plazo de un mes a partir de su recepción. El periodo podrá prorrogarse otros dos meses cuando sea necesario, teniendo en cuenta la complejidad y el número de solicitudes, y el responsable debe informarte de la prórroga, con los motivos, dentro del primer mes.
Dos consecuencias prácticas:
- El plazo comienza con la recepción, no el día que sientas que deberías haber recibido respuesta. Guarda el correo electrónico enviado o el acuse de recibo.
- El silencio no es una prórroga. Una prórroga solo cuenta si la empresa te informó de ella, con los motivos, dentro del primer mes. El Art. 12(4) añade que si el responsable decide no actuar en absoluto, debe comunicarte el porqué dentro de un mes, así como tu derecho a presentar una reclamación ante una autoridad de control y a interponer un recurso judicial.
El Art. 12(6) permite que la empresa solicite información adicional si tiene dudas razonables sobre quién eres. Las directrices del EDPB establecen que dicha solicitud debe ser proporcionada. Si recibes una respuesta solicitando tu identificación, facilita lo que sea razonablemente necesario y nada más.
Paso 4: decide si solicitar la supresión
El Artículo 17 te otorga el derecho a que se supriman tus datos sin dilación indebida cuando se aplique uno de los supuestos enumerados. Para un solicitante rechazado, los supuestos con mayor probabilidad de aplicarse son que los datos ya no son necesarios para los fines para los que fueron recogidos (Art. 17(1)(a)), o que fueron tratados ilícitamente (Art. 17(1)(d)). Si la empresa se basó en tu consentimiento para mantenerte en una base de datos de talento y tú lo retiras, el Art. 17(1)(b) se aplica cuando no existe otra base legal.
Este derecho no es absoluto. El Art. 17(3) enumera excepciones, incluyendo los casos en los que el tratamiento sea necesario para la formulación, el ejercicio o la defensa de reclamaciones legales (Art. 17(3)(e)). Una empresa puede ampararse en ello cuando conserva registros de entrevistas, pero la excepción solo cubre lo que es realmente necesario para una reclamación, y solo durante el tiempo en que dicha reclamación aún pueda interponerse. Aun así, debe comunicarte qué está haciendo y por qué, bajo los mismos plazos del Art. 12, ya que el Art. 12(3) se aplica a las solicitudes bajo los Arts. 15 al 22.
El orden importa. Si envías una solicitud de supresión junto con una solicitud de acceso, la empresa puede actuar primero sobre la supresión, y los datos que querías ver podrían haber desaparecido. (El EDPB afirma que un responsable no debe eliminar datos para evitar responder a una solicitud de acceso, y en su propio ejemplo de solicitud de empleo indica que el acceso va primero y la eliminación después; Guidelines 01/2022, para. 39.) Para ir sobre seguro, haz una de estas dos cosas:
- Envía primero la solicitud de acceso y la solicitud de supresión después de haber recibido la respuesta, o
- Solicita ambas en un mismo mensaje y establece que la copia según el Art. 15 debe proporcionarse antes de que se lleve a cabo la supresión.
Este es un consejo práctico, no algo que el Reglamento exija: se deduce del hecho de que la supresión elimina el material que una solicitud de acceso te mostraría.
Paso 5: cuando la empresa no responde, o responde mal
Si ha pasado el periodo de un mes (o una prórroga de la que te hayan informado), el primer paso habitual es un breve recordatorio fáctico que cite la fecha de recepción y el Art. 12(3).
Ese recordatorio es una secuencia práctica, no un requisito legal previo. El Art. 77(1) te otorga el derecho a presentar una reclamación ante una autoridad de control, en particular en el Estado miembro de tu residencia habitual, tu lugar de trabajo o el lugar de la presunta infracción. La autoridad debe informarte sobre el progreso y el resultado de la reclamación, incluyendo la posibilidad de un recurso judicial (Art. 77(2)). Si la autoridad no tramita la reclamación o no te informa en un plazo de tres meses, el Art. 78(2) te otorga el derecho a un recurso judicial efectivo contra la autoridad.
El EDPB enumera las autoridades nacionales de la UE y el EEE, con enlaces, en su página “Our members”. En España, esa autoridad es la AEPD.
Cosas que debes incluir en una reclamación: las fechas, una copia de tu solicitud, el comprobante de que fue recibida, cualquier respuesta y los elementos faltantes que esperabas según el Art. 15(1).
Artículos relacionados
- Cómo detectar una oferta de trabajo fantasma en 2026
- Tu solicitud de empleo ha pasado por un filtro de IA: qué pueden hacer los candidatos de la UE al respecto
- Tienes derecho a saber que una IA te está entrevistando
Preguntas frecuentes
¿Cuánto tiempo tiene una empresa para responder a una solicitud de acceso según el GDPR?
Un mes desde la recepción de la solicitud (Art. 12(3) GDPR). El responsable puede ampliar ese plazo otros dos meses cuando sea necesario, pero debe informarte sobre la ampliación y los motivos dentro del primer mes.
¿Tengo que explicar por qué quiero mis datos?
No. Las Directrices 01/2022 del EDPB establecen que el interesado no tiene que dar motivos y que el responsable no debe evaluar si la solicitud te será de ayuda.
¿Puede una empresa cobrarme por una solicitud de acceso?
Normalmente no. El Art. 12(5) establece que la información y las acciones bajo los Arts. 15 a 22 son gratuitas. Una tarifa razonable o una denegación solo son posibles si la solicitud es manifiestamente infundada o excesiva, y el responsable tiene la carga de demostrarlo. El responsable puede cobrar una tarifa razonable por copias adicionales (Art. 15(3)).
¿Debería solicitar el acceso y la supresión en el mismo correo electrónico?
Es más seguro solicitar primero el acceso. Si quieres ambos a la vez, indica explícitamente que la copia debe proporcionarse antes de que se eliminen los datos.
¿Qué pasa si la empresa ignora mi solicitud?
Envía un breve recordatorio citando la fecha de recepción y el Art. 12(3). Puedes presentar una reclamación ante una autoridad de control en cualquier momento bajo el Art. 77, en la práctica con tu solicitud original y la respuesta faltante o inadecuada.
Fuentes
- Reglamento (UE) 2016/679 (GDPR), Diario Oficial, Arts. 12, 13, 14, 15, 17, 38(4), 77 y 78 — https://eur-lex.europa.eu/eli/reg/2016/679/oj
- European Data Protection Board, Directrices 01/2022 sobre los derechos de los interesados, derecho de acceso, versión 2.1, adoptadas el 28 de marzo de 2023 — https://www.edpb.europa.eu/documents/guideline/guidelines-012022-on-data-subject-rights-right-of-access_en
- Mismas directrices, PDF — https://www.edpb.europa.eu/system/files/documents/2023-04/edpb_guidelines_202201_data_subject_rights_access_v2_en.pdf
- European Data Protection Board, Nuestros miembros (autoridades de control nacionales) — https://www.edpb.europa.eu/about-edpb/our-members_en
- Agencia Española de Protección de Datos, Ejerce tus derechos — https://www.aepd.es/derechos-y-deberes/ejerce-tus-derechos
- Agencia Española de Protección de Datos, Derecho de acceso — https://www.aepd.es/derechos-y-deberes/conoce-tus-derechos/derecho-de-acceso
- Agencia Española de Protección de Datos, Formulario para el ejercicio del derecho de acceso — https://www.aepd.es/documento/formulario-derecho-de-acceso.pdf
Este artículo describe las normas generales de protección de datos de la UE con fines informativos. No constituye asesoramiento legal. La forma en que se gestiona una solicitud depende del responsable, del Estado miembro y de tus circunstancias; si te encuentras en un litigio, consulta con un abogado o con tu autoridad nacional de protección de datos.
Una solicitud de acceso es más sencilla cuando puedes indicar qué empresa, qué puesto y cuándo. Si te postulas a muchas empresas, Xeito mantiene un registro por cada solicitud con el nombre de la empresa, uno de siete estados (interesado, postulado, entrevista telefónica, entrevista técnica, entrevista presencial, oferta, rechazado) y notas de texto libre, y registra la fecha de postulación cuando marcas un trabajo como postulado a través de Xeito. No genera ni envía solicitudes de acceso o supresión; es un registro de tus propias candidaturas, no una herramienta legal.