Modelos y registros · ISO 27701 · Apartado A.1
Modelo de registro de solicitudes de derechos ISO 27701
Cada vez que alguien pide ver, corregir o borrar sus datos empieza a correr un plazo. El registro demuestra que se atendió a tiempo y con la respuesta correcta.
En una frase
El registro de solicitudes de derechos recoge cada petición de acceso, rectificación, supresión, limitación, portabilidad u oposición con su fecha de entrada, la verificación de identidad, las acciones tomadas y la fecha de respuesta, porque el artículo 12.3 del RGPD da un mes para contestar, ampliable dos meses más, e ISO/IEC 27701 incluye la atención de estas solicitudes entre los controles del responsable de la tabla A.1.
- Dónde lo pide la norma
- ISO 27701 · Apartado A.1 Se cita la edición de 2025: los números de 4 a 10 son capítulos; A.1, A.2 y A.3 son las tablas del Anexo A con los controles del responsable, del encargado y comunes a ambos.
- Tipo de información
- Registro obligatorio Registro que hay que conservar como evidencia del control (tabla A.1; arts. 12 y 15 a 22 RGPD)
- Quién lo rellena
- Quien recibe la solicitud y el responsable del PIMS Atención al cliente o RR. HH. la registran; el delegado revisa los casos dudosos
- Cuándo
- El mismo día en que llega El plazo corre desde la recepción, no desde que alguien la lee
- Cuánto se conserva
- Lo fija la organización Ni la norma ni el RGPD dan un plazo para el registro en sí; el principio de limitación del plazo de conservación (art. 5.1.e RGPD) obliga a justificar el que se elija.
Qué pide la norma
Lo que exige ISO 27701 y lo que deja a tu criterio
La norma pide al responsable tener definidas y documentadas sus obligaciones con los interesados y la forma de atender sus solicitudes: acceso, corrección, supresión, oposición y el resto. El encargado, por su parte, debe ayudar a su cliente a atenderlas (tabla A.2 y art. 28.3.e RGPD).
El RGPD fija un mes desde la recepción, ampliable dos meses más si la complejidad o el número lo justifican, informando al interesado de la prórroga dentro del primer mes (art. 12.3). Si no se atiende, hay que explicar por qué y la posibilidad de reclamar ante la autoridad (art. 12.4).
Ni la norma ni el Reglamento exigen un registro con este nombre, pero sin él es imposible demostrar los plazos, y el auditor pedirá una muestra.
Estructura
Campos que debe tener el modelo
- Número, fecha de recepción y canal
- Derecho ejercido
- Interesado y verificación de su identidad
- Tratamientos y sistemas afectados
- Fecha límite y, en su caso, prórroga comunicada
- Acciones tomadas, incluida la comunicación a destinatarios (art. 19 RGPD)
- Respuesta enviada y fecha
- Denegación motivada, si la hay
- Encargado implicado y su respuesta
Ejemplo
Ejemplo: solicitud de supresión en un gimnasio ficticio
Empresa, personas y cifras inventadas: el ejemplo solo enseña cómo queda un registro bien cumplimentado.
| Campo | Contenido |
|---|---|
| Número y fecha | SD-2026-019 · 2 de junio de 2026 · Correo a privacidad@ |
| Derecho | Supresión tras darse de baja como socio |
| Verificación | Coincidencia con el correo registrado y número de socio |
| Sistemas | Programa de socios, aplicación de reservas, plataforma de boletines |
| Fecha límite | 2 de julio de 2026 |
| Acciones | Borrado en reservas y boletines; en el programa de socios se bloquean los datos de facturación por obligación fiscal |
| Respuesta | 18 de junio de 2026 · Explica lo borrado y lo bloqueado con su base legal · Club Alameda (ficticio) |
En la auditoría
Errores que suelen señalar los auditores
- Las solicitudes llegan a buzones distintos y nadie controla el plazo.
- Se pide documentación de identidad desproporcionada para un derecho sencillo.
- Se borra en el sistema principal y se olvidan copias, boletines y encargados.
- La denegación no explica el motivo ni informa del derecho a reclamar.
En Kimobox
Cómo se lleva este registro en Kimobox
- 1Cada solicitud se registra en un formulario con su fecha de entrada y su plazo calculado.
- 2El sistema avisa antes del vencimiento y escala si nadie responde.
- 3La localización del dato por interesado señala los sistemas donde actuar.
- 4La respuesta queda guardada con la solicitud y sus evidencias.
Preguntas frecuentes
Lo que nos preguntan antes de empezar
¿Cuál es el plazo para responder?
Un mes desde la recepción, ampliable otros dos si la complejidad o el número de solicitudes lo justifican, avisando al interesado dentro del primer mes (art. 12.3 RGPD).
¿Se puede cobrar?
Como regla, no. Solo cabe un canon razonable o negarse ante solicitudes manifiestamente infundadas o excesivas, y la carga de demostrarlo es del responsable (art. 12.5 RGPD).
Lleva los registros de ISO 27701 sin plantillas sueltas
Te enseñamos el módulo funcionando con datos parecidos a los tuyos.
Sigue explorando
Páginas relacionadas
Derechos de los interesados
El RGPD reconoce a los interesados el derecho a acceder, rectificar, suprimir, oponerse y limitar el…
Controles para responsables y encargados
El Anexo A reúne los controles de referencia del PIMS para responsables y encargados; el Anexo B, también…
Modelo de registro de actividades de tratamiento ISO 27701
Qué debe recoger el registro de actividades de tratamiento en un PIMS ISO 27701 y en el art. 30 del RGPD…
Modelo de inventario de datos personales ISO 27701
Cómo montar un inventario de datos personales para un PIMS ISO 27701: dónde están los datos, en qué…