GL 
Unha solicitude de acceso ao GDPR é unha solicitude escrita, ao amparo do Artigo 15 do Regulamento (EU) 2016/679, que pide a unha organización que confirme se trata os teus datos persoais e que che entregue unha copia e a información circundante. Se unha empresa te rexeitou, ou quedou en silencio tras a túa última entrevista, probablemente aínda conserve o teu CV, os teus datos de contacto e as súas notas internas sobre ti, e tes dereito a solicitar velos. Se os eliminou, aínda debe confirmar se trata calquera dato sobre ti.
Resumo:
- Acceso (Art. 15): obtén unha copia dos teus datos xunto cos fins, categorías, destinatarios, o período de conservación previsto, a fonte dos datos e calquera información sobre decisións automatizadas.
- Supresión (Art. 17): podes pedir á empresa que elimine os teus datos cando, por exemplo, xa non sexa necesario para os fins para os que foron recollidos ou se foron tratados de forma ilegal. Hai excepcións, incluídas as reclamacións legais.
- Prazo (Art. 12(3)): un mes desde a recepción, ampliable por outros dous meses só se a empresa che informa do motivo dentro do primeiro mes.
- Coste (Art. 12(5)): gratuíto, a menos que a solicitude sexa manifestamente infundada ou excesiva.
- Non é necesario motivo, non se require formulario: o EDPB así o di explicitamente nas súas directrices sobre o dereito de acceso.
Por que un desenvolvedor molestaría
Un correo de rexechamento adoita non dicirte nada. Un “ghosting” diche aínda menos. Unha solicitude de acceso é unha das poucas ferramentas que fai que unha empresa produza algo concreto: o que rexistrou sobre ti, de onde o obteve e con quen o compartiu.
Razóns polas que a xente realmente envía unha:
- Queres saber o que a empresa gardou das túas entrevistas, incluídas as notas de avaliación interna e calquera puntuación.
- Sospeitas que un filtro automatizado te rexechou e queres saber se a empresa di que tomou unha decisión automatizada (Art. 15(1)(h)).
- Enviaches un CV, unha proba técnica ou un portafolio e queres saber que non está nunha base de datos indefinidamente.
- Queres que a empresa borre todo despois dun proceso malo.
Ningunha destas require unha xustificación. As Directrices 01/2022 do EDPB establecen que o interesado non ten que dar razóns para unha solicitude de acceso, e que non compete ao responsable do tratamento avaliar se a solicitude te axudará (EDPB, Guidelines 01/2022 on data subject rights, right of access, version 2.1, adopted 28 March 2023).
Paso 1: determina quen é o responsable do tratamento
O dereito de exercese contra o responsable do tratamento, a organización que decide por que motivo e como se procesan os teus datos. Para unha aplicación directa, adoita ser o empregador ao que te presentaches. Se te presentaches a través dun recrutador ou dunha plataforma de aplicación, pode haber máis dunha parte, e un encargado do tratamento pode responder en nome do responsable sempre que o contrato entre eles así o prevea (como explica a autoridade española, a AEPD, na súa páxina sobre o exercicio de dereitos).
Busca o aviso de privacidade na páxina de traballo da empresa. Sob os Artigos 13 e 14, o aviso debe nomear o responsable e, cando proceda, proporcionar os datos de contacto do delegado de protección de datos (DPO). O Art. 38(4) di que os interesados poden contactar co DPO sobre todos os asuntos relacionados co procesamento e o exercicio dos seus dereitos, polo que a dirección do DPO, se existe unha, é un bo lugar para enviar a solicitude.
As directrices do EDPB din que non existe un formato obrigatorio, e que non estás obrigado a usar o propio canal de solicitude da empresa: podes enviar a solicitude a un punto de contacto oficial do responsable. Tamén din que un responsable non está obrigado a actuar sobre solicitudes enviadas a direccións completamente aleatorias ou obviamente erróneas. Usa o contacto de privacidade, o DPO ou o contacto de recrutamento nomeado no aviso de privacidade, e non a caixa de entrada de un empregado ao azar.
Paso 2: escribe a solicitude
Manténla curta, con todo o que a empresa precise na primeira pantalla:
- Que es, con suficiente detalle para atoparte: nome completo, a dirección de correo electrónico desde a que postulaches, o posto e as datas aproximadas.
- O que solicitas: a confirmación de se a empresa trata os teus datos persoais, unha copia dos mesmos e a información enumerada no Art. 15(1)(a) ao (h) e, se procede, no Art. 15(2).
- A base legal: Art. 15 GDPR, co prazo de un mes segundo o Art. 12(3).
- Un formato preferido: se envías a solicitude por medios electrónicos e non solicitas outra cousa, o Art. 15(3) di que a copia debe proporcionarse nun formato electrónico comú.
- Unha data: escribe a data en que a envías e conserva a proba de envío e, se podes, de recepción (un recibo de lectura, un número de ticket ou un recibo de conformidade), porque o prazo conta desde a recepción pola empresa.
O que o Art. 15(1) di que podes obter, como unha lista de comprobación para pegar na túa solicitude:
| Item do Art. 15 | O que solicitar |
|---|---|
| (a) | As finalidades do tratamento |
| (b) | As categorías de datos persoais |
| (c) | Os destinatarios ou categorías de destinatarios, incluídos en países terceiros |
| (d) | O período de conservación previsto, ou os criterios utilizados para establecerlo |
| (e) | Os teus dereitos de rectificación, supresión, limitación e oposición |
| (f) | O teu dereito a presentar unha queixa ante unha autoridade de controlo |
| (g) | A fonte dos datos, se non foron recollidos de ti |
| (h) | A existencia de decisións automatizadas, incluído o perfilado, segundo o Art. 22(1) e (4), e información significativa sobre a lóxica aplicada e a súa relevancia e consecuencias para ti |
O item (g) é importante se un reclutador te atopou nun perfil público ou se un terceiro enviou o teu CV. O item (h) é o que debes incluír se sospeitas de unha ferramenta de filtrado.
A AEPD publica un formulario para o dereito de acceso (ligado desde a súa páxina sobre o derecho de acceso), que é útil como modelo aínda que a túa solicitude se dirixa a unha empresa noutro Estado membro.
Paso 3: comprende o prazo de un mes
O Artigo 12(3) é a frase que importa. O responsable debe proporcionar información sobre a acción tomada respecto á túa solicitude sen demora indebida e, en calquera caso, nun prazo de un mes tras a súa recepción. O período pode ampliarse por outros dous meses cando sexa necesario, tendo en conta a complexidade e o número de solicitudes, e o responsable debe informarte da ampliación, indicando os motivos, dentro do primeiro mes.
Dúas consecuencias prácticas:
- O prazo comeza coa recepción, non o día en que sintas que deberías ter tido unha resposta. Garde o correo electrónico enviado ou o recibo de entrega.
- O silencio non é unha ampliación. Unha ampliación só conta se a empresa te informou dela, con os seus motivos, dentro do primeiro mes. O Art. 12(4) engade que se o responsable decide non actuar en absoluto, debe comunicarte o porqué dentro dun mes, así como o teu dereito a queixarte ante unha autoridade de controlo e a buscar un recurso xudicial.
O Art. 12(6) permite á empresa solicitar información adicional se ten dúbidas razoables sobre quen es. As directrices do EDPB din que tal solicitude debe ser proporcionada. Se recibes unha resposta pedindo un documento de identidade, entrega o que sexa razoablemente necesario e nada máis.
Paso 4: decide se solicitar a supresión
O Artigo 17 dote de ti o dereito a que os teus datos sexan suprimidos sen demora indebida cando se aplique un dos motivos enumerados. Para un solicitante rechitado, os motivos máis probables de aplicarse son que os datos xa non son necesarios para os fins para os que foron recollidos (Art. 17(1)(a)), ou que foron tratados ilícitamente (Art. 17(1)(d)). Se a empresa se baseou no teu consentimento para manterche nun grupo de talento e este o retiras, aplícase o Art. 17(1)(b) cando non exista outro fundamento legal.
O dereito non é absoluto. O Art. 17(3) enumera excepcións, incluída a situación en que o tratamento sexa necesario para a formulación, o exercicio ou a defensa de reclamacións legais (Art. 17(3)(e)). Unha empresa pode señalar iso cando conserve rexistros de entrevistas, pero a excepción cobre só o que é realmente necesario para unha reclamación, e só durante o tempo que tal reclamación aínda podería presentarse. Aínda así, debe dicirte o que está facendo e por que, baixo os mesmos prazos do Art. 12, porque o Art. 12(3) aplica a solicitudes segundo os Arts. 15 ao 22.
A orde importa. Se envías unha solicitude de supresión xunto cunha solicitude de acceso, a empresa pode actuar primeiro sobre a supresión, e os datos que querías ver poderían desaparecer. (O EDPB afirma que un responsable de tratamento non debe eliminar datos para evitar responder a unha solicitude de acceso, e no seu propio exemplo de solicitude de emprego afirma que o acceso vén primeiro e a eliminación despois; Guidelines 01/2022, párr. 39.) Para estar seguro, fai unha destas cousas:
- Envia primeiro a solicitude de acceso e a solicitude de supresión despois de ter a resposta, ou
- Solicita ambas nunha soa mensaxe e indica que a copia segundo o Art. 15 debe proporcionarse antes de que se leve a cabo a supresión.
Este é un consello práctico, non algo que o Regulamento requira: deriva do feito de que a supresión elimina o material que unha solicitude de acceso che amosaría.
Paso 5: cando a empresa non responde, ou responde mal
Se pasou o período de un mes (ou unha prórroga da que te informaron), o primeiro paso habitual é un breve recordatorio fáctico que cite a data de recepción e o Art. 12(3).
Ese recordatorio é unha secuenciación práctica, non unha condición xurídica previa. O Art. 77(1) doteche do dereito a presentar unha queixa ante unha autoridade de controlo, especialmente no Estado membro da túa residencia habitual, o teu lugar de traballo ou o lugar da suposta infracción. A autoridade debe informarte do progreso e do resultado da queixa, incluída a posibilidade de un recurso xudicial (Art. 77(2)). Se a autoridade non xestiona a queixa ou non te informa no prazo de tres meses, o Art. 78(2) doteche do dereito a un recurso xudicial efectivo contra a autoridade.
O EDPB lista as autoridades nacionais da UE e do EEE, con enlaces, na súa páxina “Our members”. En España, esa autoridade é a AEPD.
Cosas que debes incluír nunha queixa: as datas, unha copia da túa solicitude, a probanza de que foi recibida, calquera resposta e os elementos que faltan e que esperabas segundo o Art. 15(1).
Artigos relacionados
- Como detectar unha oferta de emprego fantasma en 2026
- A túa solicitude de emprego pasou por un filtro de IA: o que poden facer os candidatos da UE ao respecto
- Tes o dereito a saber que unha IA te está entrevistando
Preguntas frecuentes
Canto tempo ten unha empresa para responder a unha solicitude de acceso segundo o GDPR?
Un mes desde a recepción da solicitude (Art. 12(3) GDPR). O responsable pode ampliar ese prazo por outros dous meses cando sexa necesario, pero debe informarte sobre a ampliación e os motivos dentro do primeiro mes.
Tes que explicar por que queres os teus datos?
Non. As Directrices 01/2022 do EDPB din que o interesado non ten que dar motivos e que o responsable non debe avaliar se a solicitude che axudará.
Pode unha empresa cobrarme por unha solicitude de acceso?
Normalmente non. O Art. 12(5) di que a información e as accións segundo os Arts. 15 ao 22 son gratuítas. Unha taxa razoable ou unha denegación é posible só se a solicitude for manifestamente infundada ou excesiva, e o responsable ten a carga da proba para demostralo. O responsable pode cobrar unha taxa razoable por copias adicionais (Art. 15(3)).
Debería solicitar o acceso e a supresión no mesmo correo electrónico?
É máis seguro solicitar primeiro o acceso. Se queres ambas cousas á vez, indica explicitamente que a copia debe proporcionarse antes de que os datos sexan eliminados.
Que pasa se a empresa ignora a miña solicitude?
Envia un breve recordatorio citando a data de recepción e o Art. 12(3). Podes presentar unha queixa ante unha autoridade de controlo en calquera momento segundo o Art. 77, na práctica coa túa solicitude orixinal e a resposta ausente ou inadecuada.
Fontes
- Regulation (EU) 2016/679 (GDPR), Official Journal, Arts. 12, 13, 14, 15, 17, 38(4), 77 e 78 — https://eur-lex.europa.eu/eli/reg/2016/679/oj
- European Data Protection Board, Directrices 01/2022 sobre os dereitos do interesado, dereito de acceso, versión 2.1, adoptada o 28 de marzo de 2023 — https://www.edpb.europa.eu/documents/guideline/guidelines-012022-on-data-subject-rights-right-of-access_en
- As mesmas directrices, PDF — https://www.edpb.europa.eu/system/files/documents/2023-04/edpb_guidelines_202201_data_subject_rights_access_v2_en.pdf
- European Data Protection Board, Os nosos membros (autoridades nacionais de supervisión) — https://www.edpb.europa.eu/about-edpb/our-members_en
- Agencia Española de Protección de Datos, Ejerce tus derechos — https://www.aepd.es/derechos-y-deberes/ejerce-tus-derechos
- Agencia Española de Protección de Datos, Derecho de acceso — https://www.aepd.es/derechos-y-deberes/conoce-tus-derechos/derecho-de-acceso
- Agencia Española de Protección de Datos, Formulario para el ejercicio del derecho de acceso — https://www.aepd.es/documento/formulario-derecho-de-acceso.pdf
Este artigo describe as regras xerais de protección de datos da UE con fins informativos. Non é un asesoramento legal. Como se xestiona unha solicitude depende do responsable, do Estado membro e dos teus datos; se te encontras nun litixio, consulta cun avogado ou coa túa autoridade nacional de protección de datos.
Unha solicitude de acceso é máis fácil cando podes dicir que empresa, que papel e cando. Se solicitas moitas empresas, Xeito garda un rexistro por solicitude con o nome da empresa, un de sete estados (interesado, solicitado, entrevista telefónica, entrevista técnica, entrevista presencial, oferta, rexeitado) e notas de texto libre, e rexistra a data de solicitude cando marcas un traballo como solicitado a través de Xeito. Non xera nin envía solicitudes de acceso ou supresión; é un rexistro das túas propias solicitudes, non unha ferramenta legal.