Cualquier persona puede preguntar a una empresa, clínica, colegio o comercio qué datos tiene de ella y qué se hace con ellos. Esa petición se conoce como solicitud ARCO-POL. No hace falta ser abogado para recibirla ni para presentarla: basta saber qué se pide, a quién se dirige y qué debe quedar por escrito.
Qué puede solicitar una persona
ARCO-POL reúne varios derechos sobre datos personales. En la práctica, suenan así:
Acceso
Quiere saber qué información tiene la organización. Ejemplo: un cliente de una tienda en línea pregunta si conservan su DUI, dirección y compras.
Rectificación
Hay un dato incorrecto o incompleto. Ejemplo: una clínica tiene un número de teléfono viejo y la persona pide actualizarlo.
Cancelación u olvido
Pide que se borren datos que ya no deberían usarse. Ejemplo: alguien dejó de ser socio de un gimnasio y solicita que eliminen su ficha, si ya no hay motivo para conservarla.
Oposición
No quiere que usen sus datos para un fin concreto. Ejemplo: un usuario pide que dejen de enviarle ofertas por WhatsApp.
Portabilidad
Quiere una copia de sus datos en un formato que pueda llevarse. Ejemplo: un paciente pide su historial para continuar el tratamiento en otro centro.
Limitación
Pide que, por ahora, solo se conserven los datos y no se usen para otras cosas. Ejemplo: hay una disputa sobre una factura y la persona pide que no se sigan usando sus datos para cobros automáticos mientras se aclara.
Ejemplo de una mañana habitual. Llega un correo: «Quiero saber qué datos tienen de mí y que borren mi cuenta». Eso ya es una solicitud. Lo importante no es el formato perfecto, sino registrarla, identificar a la persona y responder a tiempo.
Cómo se presenta la solicitud
La petición se dirige a la organización que tiene o usa los datos: la empresa, el comercio o la institución. En la práctica, la persona suele indicar:
- quién es y cómo se le puede contactar;
- qué derecho quiere ejercer (ver, corregir, borrar, oponerse, etc.);
- un documento que permita comprobar su identidad, o la de quien la representa;
- el canal donde quiere recibir la respuesta: correo, dirección u otro medio que haya señalado.
Si falta un dato imprescindible, la organización puede prevenir por una sola vez para que se complete la solicitud. El titular tiene 10 días hábiles para subsanar; si no lo hace, el escrito se archiva sin más trámite (art. 18, LPDP).
Cómo la recibe la empresa
El primer paso interno es simple: anotar la fecha de entrada, el nombre de quien pide y qué pide. A partir de ahí, alguien de la organización —el propietario o la persona que este designe— revisa si la petición les corresponde y si está completa.
Qué suele ocurrir por dentro. Recepción → se confirma la identidad → se abre un expediente → se pide información a ventas, RR. HH. o sistemas → se decide la respuesta → se notifica a la persona y se archiva lo hecho.
Los plazos de atención ARCO-POL están en la Ley para la Protección de Datos Personales (D.L. No. 144). No fueron modificados por la reforma al régimen del delegado del 17 de septiembre de 2026:
- 20 días hábiles para entregar la respuesta a la solicitud, prorrogables por otros 20 por causa justificada (art. 20);
- 5 días hábiles posteriores a la recepción para informar incompetencia o que el derecho no es ARCO-POL y devolver la petición (art. 19);
- 10 días hábiles para que el titular subsane una solicitud incompleta tras una prevención única (art. 18);
- 5 días hábiles posteriores a determinar que procede la solicitud, para notificar rectificación, actualización o eliminación a quienes recibieron los datos por comunicación o transferencia (art. 21);
- 3 días hábiles desde la adopción de la decisión, para notificar al titular una resolución motivada cuando se deniega el ejercicio de un derecho ARCO-POL (art. 22);
- 5 días hábiles desde la recepción para tramitar una revocación de consentimiento y, si aplica, otros 5 días hábiles para informar al encargado (art. 30).
Esos plazos corren para quien atiende la solicitud dentro de la organización. Por eso conviene que más de una persona sepa dónde está el expediente y cuándo vence.
Por qué conviene conservar el expediente y los plazos
Si más adelante la persona insiste, o la autoridad pregunta qué se hizo, lo útil no es «recordar que se contestó». Lo útil es poder mostrar:
- cuándo llegó la solicitud;
- quién la atendió;
- qué plazo aplicaba;
- qué se respondió y por qué canal;
- qué documentos se usaron o se emitieron.
Un expediente con fechas evita discusiones de «sí se envió / no se envió» y ayuda a no dejar vencer un caso entre correos y hojas sueltas.
Reforma del 17 de septiembre de 2026: el delegado (aparte de los plazos)
La Asamblea Legislativa aprobó el 17 de septiembre de 2026 el Decreto Legislativo No. 659, que reforma el régimen del delegado de protección de datos (derogación de los arts. 15 y 17, ajustes al art. 16 y mantenimiento del delegado en el sector público, entre otros puntos reportados).
- Fecha de aprobación: 17 de septiembre de 2026.
- Entrada en vigencia: según el propio decreto, ocho días después de su publicación en el Diario Oficial. No debe confundirse la fecha de aprobación con la de vigencia.
- Al revisar esta guía, la Asamblea mantiene los decretos recientes bajo el aviso de pendientes de publicación material en el Diario Oficial y de entrada en vigencia. Verifique en el Diario Oficial si el D.L. No. 659 ya fue publicado y desde qué día rige.
Esa reforma no altera los plazos de los arts. 18 a 22 y 30 de la LPDP citados arriba. Esta guía no sustituye el texto oficial ni una consulta jurídica sobre un caso concreto.
Si su organización quiere ver cómo se recibe, documenta y cierra una solicitud en una sola herramienta, puede pedir una demostración de DPC Portal. Es una plataforma de gestión; no es asesoría legal.
Solicitar demostración de DPC Portal