Derechos ARCO: te van a llegar y hay que saber responder

El consentimiento tiene tres bisagras

Buzón de solicitudes con un sobre marcado ARCO junto a un calendario con plazos resaltados — La métrica que importa no es cuántos ARCO recibes, sino cuánto tardas y qué dejas por escrito.

La ley gradúa el permiso según el riesgo del dato. Tácito: el que se da por entendido cuando te recabaron datos para finalidades primarias con aviso a la vista —no necesitas firma para facturar a tu cliente—. Expreso: consentimiento escrito, oral o por medios electrónicos para datos sensibles, o cuando después añades finalidades no primarias —aquí entra la casilla que viste en el módulo anterior—. Reforzado: por escrito (físico o electrónico con firma) para tres casos que la PyME toca más de lo que cree: transferencia de datos, tratamiento posterior con fines distintos a los del aviso, y datos patrimoniales o financieros —tu lista morosa compartida con el buró del grupo, la cesión a tu aseguradora, el arrendador que exige comprobantes—. Verifica la mecánica exacta vigente en ley y reglamento: estos umbrales se precisan ahí, no en el manual de tu CRM.

El procedimiento mínimo, en cinco piezas, cabe en una página: (1) puerta única —el medio publicado en el aviso, con dueño nombrado (no «el sistema»); (2) verificación de identidad —cotejar datos que solo el titular sabe, identificación en casos dudosos, para no filtrar a un suplantante con el Acceso; (3) registro —radicado con fecha, tipo de derecho y responsable del caso; (4) respuesta —procedente total o parcial (con causal: el bloqueo del dato que aún necesitas para litigio o obligación legal, o la negativa a cancelar contratos vigentes), o negativa fundada (el titular no lo es, el dato es de una empresa, el acceso expondría terceros); y (5) evidencia —la respuesta enviada, las fechas, quién la resolvió: sin expediente, en una auditoría «sí contesto» vale cero.

Y dos confusiones frecuentes que este expediente desactiva: la cancelación no borra el contrato —puedes conservar datos mínimos por obligaciones fiscales o litigios bajo bloqueo—, y el ARCO no es solo para clientes: un empleado que renuncia puede pedir qué queda de su expediente en tu poder, con el mismo reloj.

Niveles de consentimiento y cuándo aplica cada uno
Consentimiento	Cómo se otorga	Típico en la PyME
Tácito	Se entiende con el aviso y la operación	Venta, entrega, facturación al cliente
Expreso	Escrito, verbal o electrónico, caso por caso	Datos de salud; fines secundarios añadidos
Reforzado	Por escrito, físico o electrónico con firma	Transferencias, fines distintos, datos patrimoniales/financieros

Clasifica cada caso por el tipo de consentimiento que la ley exige:

Arrastra cada ficha a su categoría (o tócala y luego toca la categoría). También puedes usar el teclado.

Llega por el correo publicado en tu aviso una solicitud de cancelación de todos los datos de un cliente con un contrato de servicio vigente. La respuesta alineada a la ley es:

«Como el ARCO llegó al correo personal del dueño y no al medio publicado en el aviso, el plazo legal ni siquiera ha comenzado a correr.»

El derecho ARCO no se discute el día del pleito: se demuestra los 20 días previos, con fechas y acuses en el expediente.
— Lumbre · Empresa

Escribe tu procedimiento de ARCO en una página con las cinco piezas: publica el medio en tu aviso, nombra al dueño del caso (persona, no «el sistema»), define la prueba de identidad, arma el radicado (fecha, tipo, estado) y la plantilla de respuesta con sus dos caras (procedencia total/parcial con bloqueo, negativa fundada). Después haz la simulación: pide a alguien externo que envíe una solicitud «de prueba» al medio publicado y mide cuánto tarda tu organización en tener el expediente listo.

La prueba cronometrada es la auditoría que deberías hacerte cada año.

Tu texto se guarda sólo en este dispositivo.

Para dominar este tema

Lo esencial que debes saber

Tres consentimientos: tácito (primarios), expreso (sensibles o fines nuevos), reforzado escrito (transferencias y patrimoniales).
El ARCO tiene reloj: acuse, respuesta y plazo de efectividad, con prórroga justificable.
El plazo corre desde el medio publicado: sin medio claro, igual debes radicarlo.
La cancelación admite negativa parcial con conservación bloqueada por obligación vigente.
Sin expediente fechado, «yo siempre contesto» no existe para la autoridad.

Preguntas clave del tema

¿Qué dato o fin exige cada nivel de consentimiento?
¿Por dónde entra una solicitud ARCO y quién la atiende?
¿Qué plazos corren y cuándo cabe prórroga?
¿Cuándo se puede negar total o parcialmente una cancelación?
¿Qué evidencia deja una respuesta defendible?

Lo que debes poder hacer

Diseñar el flujo ARCO de cinco piezas con radicado, verificación de identidad y plantillas de respuesta.
Dictaminar la procedencia de una solicitud concreta, identificando causales de negativa y bloqueos.
Clasificar cualquier tratamiento nuevo de tu empresa por el nivel de consentimiento que necesita.

Chequeo: consentimientos y ARCO

Aquí se mira lo que ya fuiste acertando. Pulsa «Comprobar» para saber si puedes seguir.

Siguiente: Cada dato pide un candado distinto: los tres niveles de seguridad — resuelto el «cómo consiento», entra el «cómo protejo»: principios del tratamiento y el esquema de medidas nivel 1, 2 y 3 según el tipo de dato.