¿Cliente furioso pide todos tus datos? Cómo responder a una SAR hostil sin perder la cabeza (ni la GDPR)

Tu bandeja de entrada arde: ¿qué haces?

Imagina que recibes un correo de un ex cliente que te exige, en tono amenazante, 'todos los datos personales que tengas sobre mí desde el principio de los tiempos'. Te pide capturas de pantalla de cada interacción, logs de sistema, correos internos... y te da 24 horas. Tu primer impulso es sudar frío. Pero respira: la GDPR no te obliga a ser un bufete de copias gratuito.

Las solicitudes de acceso (SAR) hostiles o desproporcionadas son más comunes de lo que crees. A veces son legítimas, pero otras son un arma arrojadiza en una disputa. La clave está en saber cuándo y cómo poner límites sin violar la ley.

¿Qué dice la GDPR sobre las SAR 'abusivas'?

El artículo 12.5 del Reglamento General de Protección de Datos (GDPR) es tu salvavidas: si una solicitud es 'manifiestamente infundada o excesiva, especialmente por su carácter repetitivo', puedes cobrar una tasa razonable o negarte a actuar. Pero ojo: la carga de la prueba es tuya. Debes demostrar que la solicitud es abusiva.

Featured Snippet Bait: ¿Puedo negarme a una solicitud de acceso si es hostil? Sí, si es manifiestamente infundada o excesiva. Pero debes documentar por qué lo es y ofrecer una alternativa proporcionada.

Señales de alerta de una SAR hostil

• Lenguaje amenazante o coercitivo.
• Solicitud masiva de datos sin relación con la finalidad del tratamiento.
• Repetición de la misma solicitud en poco tiempo.
• Exigencia de plazos irrazonables (24 horas).

Si detectas estas señales, no entres en pánico. Actúa con cabeza fría y sigue el procedimiento.

Tu plan de acción en 4 pasos

1. No respondas con el hígado

Ignora el tono. Responde de forma profesional y empática, pero firme. Agradece la solicitud y pide aclaraciones si es necesario. Por ejemplo: 'Para procesar tu solicitud de manera eficiente, ¿podrías especificar qué categorías de datos te interesan?'. Esto ya pone un primer filtro.

2. Evalúa la desproporción

Calcula el esfuerzo real. Si la solicitud implica revisar miles de correos o archivos, puedes argumentar que es excesiva. La GDPR permite tener en cuenta 'los medios técnicos y el coste'. Un buen truco: pregúntate si un juez consideraría razonable tu negativa.

3. Ofrece alternativas

No digas simplemente 'no'. Propón un alcance más limitado: 'Podemos proporcionarte los datos de los últimos 12 meses, que es lo relevante para tu relación contractual'. O sugiere una visita a tus instalaciones para revisar los datos in situ (esto suele calmar los ánimos).

4. Documenta todo

Guarda correos, registros de llamadas, cualquier evidencia de que la solicitud es abusiva. Si luego llega una reclamación a la autoridad de protección de datos, tu defensa será sólida.

¿Y si el interesado insiste?

Si después de tu respuesta razonada el interesado se queja ante la autoridad, no temas. La AEPD (o tu autoridad local) suele ser sensata. Siempre que hayas actuado de buena fe y con criterios objetivos, lo más probable es que te den la razón. Eso sí, nunca bloquees a un interesado sin más: la negativa debe ser motivada y por escrito.

Recuerda: la GDPR no es un arma para que los abogados creativos te hagan la vida imposible. Es un equilibrio entre transparencia y carga administrativa. Usa ese equilibrio a tu favor.

FAQ