Derechos del titular de datos: cuáles son en la LGPD y cómo responde la empresa en la práctica

Los derechos del titular de datos son las garantías que la Ley General de Protección de Datos de Brasil (LGPD) otorga a cualquier persona física sobre la información que una empresa guarda a su respecto, incluyendo confirmar si existe tratamiento, acceder a los datos, corregir lo que está mal, pedir su eliminación o portabilidad y revocar el consentimiento en cualquier momento. Parece un tema del área jurídica y del DPO. En la práctica, es un problema de registros maestros.

He visto a una empresa grande trabarse ante una simple solicitud de acceso. El cliente pedía saber qué datos tenía la empresa sobre él. La respuesta tardó semanas, no por falta de buena voluntad, sino porque nadie sabía decir con seguridad en cuántos sistemas aparecía el CPF (el número de identificación fiscal de las personas físicas en Brasil) de esa persona. Estaba en el CRM, estaba en el ERP, estaba en una planilla de una campaña antigua, estaba en un sistema de cobranza que ya nadie usaba pero que seguía corriendo. Cada área respondía una parte. Ninguna respondía el todo. Y ese es exactamente el punto que quiero desarrollar aquí: los derechos del titular de datos solo funcionan en la práctica cuando la empresa sabe dónde vive el dato personal.

Cuáles son los derechos previstos en la LGPD

El artículo 18 de la LGPD enumera los derechos del titular, y vale la pena entender cada uno con claridad, porque el texto legal es corto pero las implicaciones operativas no lo son.

El primero es la confirmación de la existencia de tratamiento y el acceso a los datos. El titular puede preguntar si la empresa trata sus datos personales y, en caso afirmativo, tiene derecho a una copia completa, con origen, finalidad y a quién se compartieron esos datos. La respuesta puede ser inmediata, en formato simplificado, o completa en hasta quince días corridos.

El segundo es la corrección de datos incompletos, inexactos o desactualizados. Si la dirección cambió, si el nombre está mal, si el teléfono es de otra persona, el titular puede pedir el ajuste, y la empresa debe comunicar esa corrección a todos los terceros con quienes compartió ese dato.

El tercero es la anonimización, el bloqueo o la eliminación de datos innecesarios, excesivos o tratados en desacuerdo con la ley. Aquí el titular elige la medida, y la empresa debe tener un proceso para ejecutar cualquiera de las tres.

El cuarto es la portabilidad de los datos a otro proveedor o prestador de servicio, mediante solicitud expresa, en formato interoperable. Es el derecho que más depende aún de reglamentación técnica, pero ya lo reclaman titulares que cambian de banco, de operadora o de plan de salud y quieren llevarse el historial.

El quinto es la eliminación de los datos tratados con el consentimiento como base legal, cuando el titular revoca ese consentimiento, respetando las excepciones del artículo 16, que preservan datos para el cumplimiento de una obligación legal, el uso por el poder público, el estudio por un órgano de investigación o el ejercicio de derechos en un proceso.

El sexto es la información sobre las entidades públicas y privadas con las que la empresa compartió los datos, y sobre la posibilidad de no dar el consentimiento y sus consecuencias. El séptimo es la revocación del consentimiento, en cualquier momento, mediante manifestación expresa y gratuita, sin necesidad de justificación. Y existe además el derecho de revisión de las decisiones automatizadas que afecten al titular, previsto en el artículo 20, relevante para las empresas que usan modelos de crédito, score, recomendación o cualquier motor de decisión movido por datos.

Ninguno de estos derechos puede tener un costo cobrado al titular, y la Autoridad Nacional de Protección de Datos (ANPD) ya señaló avances en la reglamentación de plazos y procedimientos específicos, lo que refuerza que el tema seguirá exigiendo madurez operativa de las empresas, no solo una política escrita en papel.

Cómo responde la empresa en la práctica

Aquí entra el punto que pocos conectan. Responder a una solicitud de un titular dentro del plazo de quince días no es una tarea jurídica, es una tarea de datos maestros. Para confirmar la existencia de tratamiento, la empresa necesita saber en qué sistemas aparece ese CPF. Para corregir un dato, necesita saber cuántas copias de ese registro existen y propagar la corrección a todas ellas. Para eliminar, necesita tener la certeza de que no va a borrar en un sistema y dejar una copia olvidada en otro, lo que en la práctica significa mantener una exposición de riesgo sin saberlo.

Este es el problema clásico del registro fragmentado. Cuando cada sistema trata al cliente como una entidad aislada, sin un identificador único que vincule las distintas bases, la empresa no tiene forma de responder con seguridad a ninguno de los derechos del titular. Puede incluso responder, pero corre el riesgo de responder mal, de forma incompleta, y eso se convierte en un pasivo, porque una respuesta incompleta a una solicitud de acceso es, ella misma, una nueva falla de cumplimiento.

La solución operativa pasa por tres frentes: un inventario de datos personales actualizado, que diga en qué sistemas, procesos y finalidades se trata cada categoría de dato; un proceso de atención formal, con un canal identificado, verificación de la identidad del solicitante, protocolo con número único y plazo controlado; y, donde la gobernanza de datos maestros entra de verdad, una visión consolidada del cliente que permita ubicar, corregir o eliminar un registro en todos los sistemas de una sola vez, en vez de depender de la búsqueda manual planilla por planilla.

Quien trabaja con Master Data Management sabe que este tercer frente es el que más falta en las empresas. Es común ver una compañía con una política de privacidad bien escrita y un comité de datos formalizado, pero sin ninguna garantía técnica de que el CPF de un cliente es el mismo registro en todos los sistemas. Sin ese vínculo, el derecho de acceso se vuelve un ejercicio de fe.

Quién es responsable dentro de la empresa

La respuesta a una solicitud de un titular normalmente pasa por varias manos. El encargado de protección de datos (DPO) es quien recibe formalmente la solicitud y garantiza que se trate dentro del plazo y con el rigor que exige la ley. Pero el DPO no ejecuta la búsqueda técnica solo. Depende del área de TI y de datos para ubicar el registro en los sistemas, depende del data steward responsable del dominio de clientes para validar si ese es de hecho el mismo titular en bases distintas, y depende de las áreas de negocio, como atención, ventas o cobranza, para confirmar el contexto de la relación.

Eso significa que los derechos del titular de datos no son un asunto aislado del área jurídica. Compras también trata datos personales, cuando maneja el contacto de una persona física proveedora. RR. HH. trata todo el tiempo. La atención al cliente trata en prácticamente cada contacto. Cada una de esas áreas necesita saber que existe un proceso, y tener claro que los datos personales esparcidos sin control son un riesgo que solo aparece cuando alguien pide ejercer un derecho, o peor, cuando se filtran.

Qué herramientas ayudan

En el mercado, dos familias de herramientas se complementan para sostener este proceso. Las plataformas de Master Data Management, como SAP MDG, Informatica, Reltio, Semarchy, Profisee o Stibo Systems, ayudan a consolidar y deduplicar el maestro de clientes, garantizando un registro único y confiable para responder con precisión cualquier solicitud de acceso, corrección o eliminación. Las plataformas de catálogo de datos, como Collibra, Alation o Microsoft Purview, ayudan a mapear dónde está almacenada cada categoría de dato personal, en qué sistema y bajo qué base legal, lo que sostiene el inventario de datos personales que la LGPD exige en la práctica. Ninguna sustituye al proceso: sin un dueño del dato definido y disciplina para mantener el registro correcto todos los días, el problema vuelve.

Cómo aprender y prepararse

Quien quiere especializarse en este cruce entre privacidad y datos maestros tiene un camino estructurado. La certificación CDMP, de DAMA, cubre gobernanza y calidad de datos de forma amplia, incluidos los fundamentos que sostienen un programa de atención a titulares. Los cursos específicos de LGPD y de formación de encargados de protección de datos profundizan en la parte regulatoria. El aprendizaje más valioso, en mi experiencia, viene de participar en la atención real de una solicitud de un titular, porque es ahí donde la persona entiende dónde se traba de verdad el proceso.

Las oportunidades de carrera

La demanda de profesionales que entiendan al mismo tiempo de privacidad y de datos maestros está creciendo. Empresas de todos los tamaños vienen estructurando áreas de privacidad y de gobernanza de datos, y cargos como encargado de protección de datos, analista de privacidad, data steward y especialista en MDM aparecen cada vez más integrados. Quien logra transitar entre el requisito legal y la solución técnica de datos se convierte en una pieza rara, porque la mayoría de los profesionales domina solo uno de los dos lados.

Principales dudas

¿Cuál es el plazo para responder a una solicitud de un titular de datos? La confirmación de la existencia de tratamiento puede ser inmediata, en formato simplificado. Una respuesta completa, con origen, finalidad y destinatarios de los datos, tiene un plazo de hasta quince días corridos.

¿La empresa puede cobrar por atender un derecho del titular? No. El ejercicio de los derechos previstos en la LGPD es gratuito, y cobrar por ello es una violación de la ley.

¿La empresa puede negar una solicitud de eliminación de datos? Sí, en situaciones específicas, como el cumplimiento de una obligación legal o regulatoria, el uso exclusivo del poder público, el estudio por un órgano de investigación o el ejercicio de derechos en un proceso judicial o administrativo. La negativa debe fundamentarse por escrito, con la base legal específica.

¿Qué pasa si la empresa no logra ubicar todos los sistemas donde está almacenado un dato personal? Corre el riesgo de responder de forma incompleta a una solicitud de un titular, lo que se considera una falla de cumplimiento, además de mantener una exposición de riesgo en sistemas olvidados, fuera del radar de la seguridad y de la gobernanza.

¿El data steward y el DPO son la misma función? No. El DPO responde por el cumplimiento legal y es el canal oficial con el titular y con la ANPD. El data steward cuida la calidad y la integridad del dato dentro de un dominio específico, como clientes o proveedores, y es quien hace técnicamente posible que el DPO pueda responder con precisión.

MDM Academy

Este es exactamente el tipo de tema que la MDM Academy, escuela de gobernanza de datos y datos maestros de 4MDG, existe para profundizar. La formación no trata la privacidad y el MDM como asuntos separados, sino que muestra cómo un programa maduro de datos maestros sostiene, en la práctica, el cumplimiento de la LGPD, la confianza del cliente y la agilidad de la empresa para responder a cualquier solicitud sin correr riesgos.

Si manejas registros maestros, datos de clientes, proveedores o privacidad en el día a día, vale la pena conocer la MDM Academy o entrar al Club de los Datos, comunidad de profesionales que discuten estos problemas reales todos los días e intercambian experiencia sobre lo que realmente funciona en las empresas brasileñas.

Conclusión

Los derechos del titular de datos existen para proteger a la persona física, pero quien primero siente su peso en el día a día es la empresa que no organizó sus propios registros maestros. Cada vez que una solicitud de acceso se demora, cada vez que una corrección no se propaga a todos los sistemas, cada vez que una eliminación deja un rastro olvidado en algún rincón de la base, el problema no es la ley. Es la falta de gobernanza sobre el dato maestro del cliente. La empresa que trata esto como una prioridad de registros maestros, y no solo como una exigencia jurídica, responde más rápido, corre menos riesgo y construye la confianza que sostiene cualquier relación de largo plazo con quien entrega sus propios datos personales.