Derechos ARCOP: lo que cualquier persona podrá exigirte desde diciembre

Desde el 1 de diciembre de 2026, cualquier persona — cliente, extrabajador, postulante rechazado, vecino captado por tu cámara — puede ejercer contra tu empresa un set de derechos con plazos legales de respuesta. Se conocen como derechos ARCOP, y no responder a tiempo es infracción por sí sola.

Los cinco derechos

• Acceso: saber si tratas sus datos, cuáles, para qué, de dónde salieron y a quién se los comunicaste.
• Rectificación: corregir datos inexactos, desactualizados o incompletos.
• Cancelación (supresión): exigir que borres sus datos cuando ya no hay base para tratarlos.
• Oposición: negarse a un tratamiento específico, incluido el marketing directo.
• Portabilidad: recibir sus datos en formato estructurado y llevárselos a otro proveedor — la novedad más operativa de la ley.

A esto se suma el derecho a no ser objeto de decisiones automatizadas significativas sin intervención humana: relevante si usas scoring crediticio, filtros de postulantes con IA o segmentación automática.

Lo que la mayoría subestima

El problema no es jurídico, es operativo. Responder un acceso completo exige saber en qué sistemas vive esa persona: CRM, ERP, correo, respaldos, planillas de área. Sin un registro de tratamientos al día, cada solicitud es una excavación arqueológica con plazo legal corriendo.

Las preguntas que tu operación debe poder responder antes de diciembre:

1. ¿Por qué canal entra una solicitud y quién la ve?
2. ¿Cómo verificas que el solicitante es quien dice ser?
3. ¿Quién decide si procede y con qué criterio?
4. ¿Dónde queda registrado qué respondiste y cuándo?

Un caso típico

Un extrabajador molesto pide acceso a todo lo que tienes de él y luego la supresión. Suena simple hasta que notas que sus datos están en el sistema de remuneraciones (obligación legal: se conservan), en el correo de tres jefaturas (evaluar), en un informe de clima laboral (anonimizar) y en la lista de difusión de la newsletter interna (suprimir de inmediato). Cada categoría tiene una respuesta distinta y todas deben salir en una sola respuesta coherente, dentro de plazo.

Ese flujo — canal, verificación, decisión, registro — es exactamente lo que dejamos operando en la etapa de implementación, y lo que nuestro DPO externo gestiona mes a mes.