Cada derecho del capítulo III del Reglamento llega a una empresa de software como un mensaje: un usuario pregunta qué tiene la empresa sobre él, un antiguo empleado pide una copia, el usuario final de un cliente pide ser suprimido. El artículo 12 fija el procedimiento para todos, y su apartado 3 fija el plazo: la información sobre las actuaciones tras una solicitud conforme a los artículos 15 a 22 se facilita sin dilación indebida y en todo caso en el plazo de un mes desde la recepción. Este artículo lee el artículo 12 y el artículo 15 contra el catálogo que StandardOS mantiene del Reglamento, donde la fila del artículo 12, apartado 3, lleva el mes como plazo, y contra la página gratuita que calcula el plazo y redacta la respuesta.

El mes: desde la recepción, según la regla de los plazos

El plazo corre desde la recepción, que es el día en que la solicitud llegó a la empresa por cualquiera de los canales que ofrece, no el día en que alguien la leyó. Un plazo expresado en meses termina al expirar el día del último mes que lleva la misma fecha que el día en que empezó, o el último día de ese mes si no existe: la regla del Reglamento (CEE, Euratom) n.º 1182/71, que el Comité Europeo de Protección de Datos aplica al artículo 12, apartado 3, en sus directrices sobre el derecho de acceso. Una solicitud recibida el 31 de enero se responde, por tanto, a más tardar el 28 de febrero, o el 29 en año bisiesto; una recibida el 13 de cualquier mes, a más tardar el 13 del siguiente. La página calcula la fecha según esa regla y no desplaza un plazo que cae en fin de semana, porque la lectura segura es responder antes, no después. El artículo 12, apartado 1, añade la forma: por escrito o por otros medios, incluidos los electrónicos, y verbalmente solo si el interesado lo pide y su identidad queda acreditada; el artículo 15, apartado 3, añade que una solicitud presentada por medios electrónicos se responde en un formato electrónico de uso común, salvo que el interesado pida otra cosa.

Los dos meses adicionales, y la comunicación dentro del primero

El artículo 12, apartado 3, segunda frase, permite prorrogar el plazo dos meses más en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. La prórroga no es un segundo mes ganado por silencio: el responsable informa al interesado de la prórroga y de sus motivos dentro del mes desde la recepción, así que el primer plazo sobrevive como el día de esa comunicación y solo el fondo pasa al tercer mes. Una empresa que recibe una única solicitud de acceso de un usuario no puede llamarla honestamente compleja; la prórroga es para la empresa que recibe cientos tras una violación, o para una solicitud que abarca años de registros en varios sistemas. La página mantiene separadas las dos fechas: el día en que se debía la comunicación y el día en que se debe la respuesta.

Negativa, canon e identidad: los otros tres apartados

El artículo 12, apartado 4, se refiere a la empresa que no dará curso a la solicitud: informa al interesado sin dilación y a más tardar en el plazo de un mes desde la recepción de los motivos, y de la posibilidad de presentar una reclamación ante una autoridad de control y de ejercitar acciones judiciales. El silencio no es una negativa; una negativa es una carta con motivos, en el mismo plazo. El artículo 12, apartado 5, hace gratuita la respuesta; solo una solicitud manifiestamente infundada o excesiva, en particular por su carácter repetitivo, permite a la empresa cobrar un canon razonable en función de los costes administrativos o negarse a actuar, y la empresa soporta la carga de demostrar ese carácter. Una segunda solicitud un año después no es repetitiva; la misma solicitud cada semana sí. El artículo 12, apartado 6, permite a la empresa pedir información adicional para confirmar la identidad de quien solicita cuando tenga dudas razonables, lo que ocurre con una solicitud desde una dirección desconocida sobre una cuenta con nombre y no con una solicitud enviada desde la propia cuenta; la pregunta no detiene el plazo, y una empresa que pide copia del pasaporte a todo solicitante ha creado un tratamiento propio que tendrá que justificar.

La respuesta de acceso: una copia y ocho contenidos

El artículo 15, apartado 1, da al interesado el derecho a obtener confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, acceso a los datos y ocho contenidos: a) los fines del tratamiento; b) las categorías de datos personales de que se trate; c) los destinatarios o categorías de destinatarios, en particular en terceros países u organizaciones internacionales; d) de ser posible, el plazo previsto de conservación o los criterios para determinarlo; e) la existencia de los derechos de rectificación, supresión, limitación y oposición; f) el derecho a presentar una reclamación ante una autoridad de control; g) cuando los datos no se hayan obtenido del interesado, cualquier información disponible sobre su origen; h) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, conforme al artículo 22, apartados 1 y 4, con información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas para el interesado. El artículo 15, apartado 3, añade la copia de los datos personales objeto de tratamiento, las copias adicionales por un canon razonable y el formato electrónico; el artículo 15, apartado 4, evita que la copia afecte negativamente a los derechos y libertades de otros, y por eso en la copia de un ticket de soporte se tachan las notas privadas del agente sobre una tercera persona y no sus respuestas. Para una empresa de software, siete de los ocho ya están escritos: son las columnas del registro de actividades de tratamiento, y h) es o bien "ninguna", o bien la descripción que la propia documentación del producto da del modelo que puntúa, ordena o decide.

La parte del encargado, y la de la norma

Una empresa que aloja los datos de sus clientes recibe solicitudes que no debe responder: el interesado es del cliente, y el cliente es el responsable. El artículo 28, apartado 3, letra e), hace que el encargado asista al responsable, con medidas técnicas y organizativas apropiadas y en la medida de lo posible, en la respuesta a las solicitudes de ejercicio de los derechos del interesado, que es la cláusula que redacta la página de cláusulas de encargo y las funciones de exportación, búsqueda y supresión que el producto tiene que tener. ISO/IEC 27701:2025 sitúa las mismas obligaciones en la tabla A.1 como controles sobre el acceso, la corrección y la supresión, sobre la copia de la PII y sobre la gestión de solicitudes, cada uno de los cuales el catálogo lee contra el artículo 12, apartados 3 y 4, de modo que un sistema certificado lleva el mes como un procedimiento con un registro detrás, no como un recuerdo.

Qué hacer con ello

Registre cada solicitud el día en que llega, en un solo lugar, con el derecho que ejerce: ese registro es el inicio del plazo y la prueba que la autoridad pide primero. Calcule el plazo según la regla de los plazos y redacte la comunicación de prórroga o de negativa en la primera fecha, nunca después. Responda las solicitudes de acceso a partir del registro de actividades de tratamiento y añada la copia desde el producto; responda las solicitudes de supresión y rectificación y comuníquelo después a cada destinatario de los datos conforme al artículo 19. La página del plazo de respuesta hace el cálculo y la redacción; la página del plazo de violación está al lado para la solicitud que resulta describir una violación, y la determinación de obligaciones dice cuáles de las demás obligaciones lleva la misma empresa.