Con la Ley 21.719, las personas cuyos datos trata tu empresa (los titulares) tienen un conjunto de derechos que pueden ejercer directamente ante ella. Se los conoce como derechos ARCO y, desde la reforma, como ARSOP: la sigla cambia porque la ley agrega derechos nuevos y ordena los existentes.
¿Qué son los derechos ARCO y ARSOP?
La Ley 19.628 ya reconocía los derechos de acceso, rectificación, cancelación y oposición (ARCO). La Ley 21.719 la modifica a fondo: la cancelación pasa a llamarse supresión y se suman la portabilidad y el bloqueo temporal del tratamiento (Arts. 4 a 9 del texto reformado).
ARSOP resume los cinco principales: Acceso, Rectificación, Supresión, Oposición y Portabilidad. En algunos textos verás también ARCOP. El nombre importa menos que el fondo: tu empresa debe poder recibir y responder cualquiera de ellos. Si buscas el marco completo, revisa la guía completa de la Ley 21.719.
¿Qué permite cada derecho?
| Derecho | Qué puede pedir la persona |
|---|---|
| Acceso | Saber si la empresa trata sus datos, cuáles, con qué finalidad, de dónde los obtuvo y a quién los comunica. |
| Rectificación | Corregir datos inexactos, desactualizados o incompletos. |
| Supresión | Que se borren sus datos, por ejemplo cuando ya no son necesarios para la finalidad o retiró su consentimiento. |
| Oposición | Que la empresa deje de tratar sus datos para un fin determinado, como el marketing directo. |
| Portabilidad | Recibir sus datos en un formato estructurado y de uso común, o que se transmitan a otro responsable. |
| Bloqueo temporal | Suspender el tratamiento mientras se resuelve otra solicitud o un reclamo. |
Cada derecho tiene condiciones y excepciones propias. Por ejemplo, la supresión no procede cuando la ley obliga a conservar la información, y la oposición exige que la persona indique el fin concreto que rechaza. La portabilidad, además, se refiere a los datos que la propia persona entregó.
¿Cómo se ejercen estos derechos?
La empresa debe ofrecer medios expeditos, ágiles y sencillos para presentar solicitudes (Art. 10). En la práctica, eso significa un canal visible, como un formulario o un correo indicado en la política de privacidad, que no obligue a la persona a crear una cuenta ni a explicar por qué quiere ejercer su derecho.
Rectificación, supresión y oposición son siempre gratuitas. El acceso es gratuito al menos una vez por trimestre (Art. 10).
Antes de entregar o modificar información, verifica que quien la pide es el titular o su representante. Pide solo lo necesario para comprobarlo y deja constancia de esa verificación.
¿Cuánto plazo tiene la empresa para responder?
| Etapa | Plazo |
|---|---|
| Respuesta general | 30 días corridos (Art. 11). |
| Prórroga | Una sola vez, por otros 30 días, con aviso al titular. |
| Bloqueo temporal | 2 días hábiles. |
La respuesta debe ser por escrito, y conviene conservar la fecha de envío y su contenido. Si la empresa rechaza la solicitud, debe fundar la decisión e informar que la persona puede reclamar ante la Agencia de Protección de Datos Personales (Art. 11). También conviene registrar qué datos se entregaron, modificaron o suprimieron, y quién autorizó la respuesta.
¿Cómo preparar a tu empresa?
- Publica un canal para las solicitudes y menciónalo en tu política de privacidad.
- Define responsables: quién revisa la bandeja, quién busca la información y quién firma la respuesta.
- Sabe dónde están los datos. Sin un registro de tratamientos, responder un acceso o una supresión toma días.
- Controla los vencimientos de cada caso, incluidas las prórrogas.
- Guarda el historial: recepción, verificación, decisión y respuesta. Es la evidencia que pedirá la Agencia ante un reclamo.
Para el recorrido operativo de cada caso, revisa la guía Solicitudes de datos: del primer mensaje a una respuesta trazable. Para definir qué información tratas y dónde vive, revisa Antes de publicar tu política, conoce tus tratamientos. Y si necesitas apoyar el proceso con herramientas, conoce el software de protección de datos personales.