Responde a solicitudes de acceso y supresión en todos tus formularios

El capítulo III del RGPD concede a las personas que rellenan tus formularios un conjunto de derechos. Los dos que más verás son:

• Acceso (artículo 15). Confirmación de si tienes sus datos, una copia de ellos e información como las finalidades, los destinatarios y el tiempo que los conservas.
• Supresión (artículo 17). Borrado cuando, entre otros motivos, los datos ya no son necesarios, se retira el consentimiento o la persona se opone y no hay un motivo legítimo prevalente para conservarlos. El artículo 17, apartado 3, recoge excepciones, como los datos que debes conservar para cumplir una obligación legal.

Las personas también pueden pedir la rectificación (artículo 16) o la limitación (artículo 18), obtener una copia portable de los datos que facilitaron cuando el tratamiento se basa en el consentimiento o en un contrato (artículo 20), y oponerse al tratamiento basado en intereses legítimos (artículo 21), que entonces solo puedes continuar por motivos legítimos imperiosos.

El artículo 12, apartado 3, marca el plazo: responder sin demora injustificada y en el plazo de un mes desde la recepción, ampliable otros dos meses en solicitudes complejas o numerosas si informas a la persona dentro del primer mes. La respuesta es normalmente gratuita (artículo 12, apartado 5).

Si tienes dudas razonables sobre quién solicita la información, puedes pedir datos para confirmar su identidad (artículo 12, apartado 6). En datos de formularios, una comprobación proporcionada suele ser una respuesta desde la dirección de correo que aparece en los envíos. Evita pedir más datos, como un escaneado del DNI, de los que justifica la solicitud. Las Directrices 01/2022 sobre el derecho de acceso del Comité Europeo de Protección de Datos explican en detalle las comprobaciones de identidad y el alcance de la copia.

Tú eres el responsable del tratamiento, así que la solicitud te corresponde a ti. Formward es tu encargado del tratamiento y, según el artículo 28, apartado 3, letra e, y la sección 8 del DPA, te asiste con herramientas en lugar de responder en tu nombre. Una solicitud que llega directamente a Formward se te remite a ti.

La consola DSAR está en el panel, en Solicitudes de interesados, disponible desde el plan Personal. Funciona con direcciones de correo electrónico.

1. Búsqueda. Introduce la dirección de correo electrónico de la persona. La consola revisa todos los formularios de los espacios de trabajo a los que perteneces y encuentra los envíos en los que aparece esa dirección en cualquier parte del contenido, incluidos los campos de texto libre y las versiones anteriores de respuestas editadas. Los resultados se agrupan por formulario, con la fecha, una vista previa y los nombres de los archivos adjuntos. También aparecen las verificaciones de destinatarios de notificaciones y las aceptaciones del DPA vinculadas a esa dirección.
2. Exportar. Descarga el resultado en JSON. Incluye cada envío coincidente con su formulario, su fecha y una vista previa del contenido. En envíos largos o con archivos adjuntos, abre el envío en el panel para darle a la persona una copia completa.
3. Borrar. Tras una confirmación, Formward elimina todos los envíos coincidentes en tus formularios, con sus archivos adjuntos, el historial de respuestas y los registros de entrega de webhooks, además de las verificaciones de destinatarios correspondientes. Recibes un certificado de borrado en un archivo JSON: un hash de la dirección de correo, el número de registros borrados, los formularios afectados y la hora.
4. Historial. Cada búsqueda y cada borrado queda registrado en el historial de solicitudes, y los borrados también en el registro de auditoría del espacio de trabajo. La persona se identifica allí mediante un hash unidireccional, nunca por su dirección de correo.

Antes de borrar, revisa una cosa: la búsqueda compara la dirección como texto, así que anna@example.com también coincide con joanna@example.com. Revisa primero los resultados por formulario. Y si un formulario nunca pidió una dirección de correo, busca en los envíos el nombre o el número de teléfono.

1. Anota la fecha en que llegó la solicitud; el plazo de un mes empieza ese día.
2. Verifica la identidad de forma proporcionada, normalmente respondiendo a la dirección registrada.
3. Busca en la consola DSAR y después en los lugares que no puede ver: bandejas de notificaciones, hojas de cálculo, CRM alimentados por webhooks y archivos exportados.
4. Para el acceso, envía la copia junto con la información del artículo 15: finalidades, destinatarios, plazo de conservación y los demás derechos de la persona.
5. Para el borrado, comprueba si se aplica alguna excepción del artículo 17, apartado 3; después, borra los datos y guarda el certificado.
6. Responde dentro del mes, o explica la prórroga dentro de ese plazo.

Un plazo de conservación corto hace más sencillo cada uno de estos pasos. La plantilla de contacto y la guía del formulario de contacto recogen una dirección de correo, que es lo que busca la consola.