Puntos clave
- ARCO significa Acceso, Rectificación, Cancelación y Oposición. Son gratuitos y los ejerce la persona titular de los datos.
- En México, la empresa tiene 20 días para responder y 15 más para ejecutar la solicitud. La autoridad responsable es la Secretaría Anticorrupción y Buen Gobierno, que sustituye al INAI.
- En España y la UE, el RGPD amplía ARCO con supresión, limitación y portabilidad (ARCO-POL). El plazo general es de un mes.
- Responder bien exige un canal claro, verificar la identidad, respetar plazos y dejar registro de cada solicitud.
Los derechos ARCO son los derechos de Acceso, Rectificación, Cancelación y Oposición. Te permiten saber qué datos personales tiene una empresa sobre ti, corregirlos, pedir que los eliminen o que dejen de usarlos. En México se recogen en la LFPDPPP, vigente desde marzo de 2025. En España se integraron en el RGPD, que amplió la lista. Como usuario, puedes ejercer estos derechos simplemente enviando una solicitud al responsable del tratamiento. Como empresa, tienes un plazo legal para responder a dicho requerimiento.
Qué son los derechos ARCO
Los derechos ARCO son cuatro facultades que tiene toda persona sobre sus datos personales:
- Acceso: saber qué datos tiene una empresa sobre ti, para qué los usa y con quién los comparte.
- Rectificación: corregir datos inexactos o incompletos.
- Cancelación: pedir que se eliminen tus datos cuando ya no sean necesarios o el tratamiento no sea legítimo. Tras cancelarlos, el responsable puede conservarlos bloqueados durante el tiempo legalmente necesario.
- Oposición: pedir que dejen de usar tus datos para una finalidad concreta, por ejemplo, el envío de publicidad.
Estos cuatro derechos se consolidaron en España con la LOPD de 1999, que los recogió en su Título III. Desde entonces, las autoridades y las empresas los nombran con la sigla ARCO. México los incorporó a su Constitución en 2009: el artículo 16 reconoce el derecho de toda persona a acceder a sus datos, rectificarlos y cancelarlos, y a oponerse a su uso. La ley de 2010 los desarrolló para el sector privado, y otros países de Latinoamérica adoptaron el modelo con sus propias leyes.
¿Se aplican a empresas o solo a personas? Protegen los datos de personas físicas. Una empresa no ejerce derechos ARCO sobre sus propios datos corporativos, aunque sí puede actuar como responsable que debe atender las solicitudes de sus clientes, empleados o usuarios.
Derechos ARCO en México: base legal y plazos
En México, los derechos ARCO se regulan en la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP). La ley vigente se publicó en el Diario Oficial de la Federación el 20 de marzo de 2025 y sustituyó a la de 2010. Si quieres repasar el cambio completo, lo explicamos en nuestra guía sobre la nueva LFPDPPP.
Con la desaparición del INAI, la autoridad competente es la Secretaría Anticorrupción y Buen Gobierno. A ella se acude cuando la empresa no responde o rechaza la solicitud.
Esto es lo que establece la ley para las solicitudes ARCO:
- Quién puede solicitarlo: la persona titular o su representante legal, en cualquier momento (art. 27).
- Qué debe incluir la solicitud: nombre y medio para recibir notificaciones, documentos que acrediten la identidad, descripción de los datos y del derecho que se quiere ejercer, y cualquier elemento que facilite localizar los datos (art. 28). Para rectificar, hay que indicar los cambios y aportar la documentación que los respalde (art. 30).
- Plazo de respuesta: 20 días hábiles desde que se recibe la solicitud. Si procede, la empresa la hace efectiva en los 15 días siguientes a la respuesta (art. 31). Ambos plazos se pueden ampliar una sola vez por un periodo igual, si las circunstancias lo justifican.
- Coste: gratuito. Solo se pueden cobrar los costes de reproducción, copias o envío (art. 34).
- Si no hay respuesta o es insatisfactoria: la persona titular puede presentar una solicitud de protección de datos ante la Secretaría en los 15 días siguientes a la respuesta. Si no hubo respuesta, puede hacerlo en cuanto venza el plazo (art. 40).
La empresa puede negar la solicitud solo en los casos del artículo 33: identidad no acreditada, datos que no están en su poder, derechos de terceros, impedimento legal o resolución de una autoridad, o rectificación/cancelación ya realizada. Además, debe explicar el motivo de la negativa y comunicarlo por el mismo medio de la solicitud.
Derechos ARCO en España: de la LOPD al RGPD
España también partió de ARCO. La antigua LOPD reconocía los mismos cuatro derechos. Con el RGPD (en vigor desde 2018) y la LOPDGDD, el catálogo se ha ampliado y hoy hablamos de:
Las reglas prácticas para las empresas son estas:
- Plazo: un mes desde la recepción de la solicitud. Se puede ampliar dos meses más si la solicitud es compleja, siempre que se avise a la persona en el primer mes (art. 12.3 RGPD).
- Coste: gratuito, salvo solicitudes manifiestamente infundadas o excesivas.
- Identidad: la empresa puede pedir información adicional para confirmarla (art. 12.6 RGPD).
- Autoridad: la Agencia Española de Protección de Datos (AEPD). La persona puede reclamar ante ella si no recibe respuesta o la respuesta no es satisfactoria.
Para profundizar en el primero de estos derechos, consulta nuestra guía sobre el derecho de acceso según el RGPD y la del derecho al olvido.
Comparativa España vs. Latinoamérica
Cada país usa su propia ley, su propia autoridad y sus propios plazos. Esta tabla resume las diferencias clave:
| País | Ley | Autoridad | Derechos | Plazo de respuesta |
|---|---|---|---|---|
| México | LFPDPPP (2025) | Secretaría Anticorrupción y Buen Gobierno | ARCO | 20 días + 15 para ejecutar (ampliables una vez) |
| España | RGPD + LOPDGDD | AEPD | ARCO-POL (acceso, rectificación, supresión, limitación, portabilidad, oposición) | 1 mes (+2 si es complejo) |
| Colombia | Ley 1581 de 2012 | Superintendencia de Industria y Comercio (SIC) | Conocer, actualizar, rectificar y suprimir; revocar la autorización | Consultas: 10 días hábiles. Reclamos: 15 días hábiles |
| Argentina | Ley 25.326 | Agencia de Acceso a la Información Pública (AAIP) | Acceso, rectificación, actualización y supresión | Acceso: 10 días corridos. Rectificación, actualización o supresión: 5 días hábiles |
| Chile | Ley 21.719 (vigencia prevista el 1-dic-2026; hay un proyecto para aplazarla a 2027) | Agencia de Protección de Datos Personales | Acceso, rectificación, supresión, oposición y portabilidad; bloqueo temporal | 30 días corridos (+30 una vez). Bloqueo temporal: 2 días hábiles |
Cómo ejerce una persona sus derechos ARCO
Si eres tú quien quiere ejercerlos, el proceso es el mismo en casi todos los países:
Identifica al responsable
Es la empresa que decide para qué y cómo usa tus datos. Suele aparecer en su aviso o política de privacidad.
Usa el canal que indique
Un formulario web, un correo del departamento de datos personales o un domicilio. Si no hay canal, escribe al contacto general.
Redacta la solicitud
Incluye tu nombre, un medio para que te respondan, una copia de tu identificación, el derecho que quieres ejercer y, si es posible, qué datos y dónde crees que están.
Guarda la prueba de envío
La fecha importa porque a partir de ella se estipulan los plazos.
Espera la respuesta
Si no llega o no te satisface, puedes reclamar ante la autoridad: la Secretaría Anticorrupción y Buen Gobierno en México, o la AEPD en España.
Cómo debe responder tu empresa: procedimiento en 6 pasos
Si eres responsable del tratamiento, no basta con conocer los plazos. Necesitas un procedimiento interno claro que debe contar, como mínimo, con los siguientes pasos:
Canal visible
Publica en tu sitio web y en tu aviso de privacidad cómo enviar una solicitud. En México, además, la ley exige designar a una persona o departamento de datos personales que tramite las solicitudes (art. 29).
Verificación de identidad
Pide solo lo necesario para comprobar que quien solicita es el titular o su representante. No exijas más datos de los imprescindibles.
Control de plazos
Registra la fecha de recepción el mismo día y calcula el vencimiento. Si necesitas ampliar el plazo, hazlo una sola vez y comunícalo a la persona antes de que venza.
Registro
Documenta cada solicitud: quién, cuándo, qué derecho, qué decisión y cuándo se ejecutó. Es tu prueba ante la autoridad.
Respuesta
Responde por el mismo medio de la solicitud. Si es un acceso, entrega los datos de forma comprensible. Si es una cancelación, avisa también a los terceros que hayan recibido esos datos, cuando proceda.
Negativa motivad
Si rechazas la solicitud, indica la causa legal concreta y, en España, el derecho a reclamar ante la AEPD. Una negativa sin motivo se considera incumplimiento.
Derechos ARCO y sitio web: aviso de privacidad, formulario y cookies
Tu sitio web es el primer sitio donde llegan estas solicitudes. Por eso conviene revisar tres cosas:
- Aviso de privacidad. Debe explicar qué derechos tienen las personas y cómo ejercerlos. Si necesitas ayuda para redactarlo, aprende más en nuestra guía de aviso de privacidad para México.
- Formulario de derechos. Un formulario dedicado evita correos perdidos y te da fecha y hora exactas de cada solicitud.
- Cookies y rastreadores. Si usas cookies de analítica o marketing, estás tratando datos personales. Una persona puede pedirte acceso a esos datos o que dejes de usarlos (oposición). Y para poder responder, necesitas saber qué datos recoges y con qué finalidad.
Aquí entra el registro de consentimiento. Cuando una persona acepta o rechaza cookies, ese registro prueba qué decidió, cuándo y sobre qué finalidades. Sin él, te costará acreditar la base del tratamiento ante una solicitud ARCO o ante una verificación de la autoridad. Una CMP como Usercentrics guarda ese historial automáticamente y te ayuda a ir un paso por delante cuando llega una solicitud.
Sanciones por no atender las solicitudes
En México, la ley considera infracción no cumplir una solicitud ARCO sin razón fundada, y actuar con negligencia o dolo al tramitarla (art. 58). Las sanciones del artículo 59 son:
- Apercibimiento para que se cumpla la solicitud, cuando no se atiende sin razón fundada.
- Multa de 100 a 160.000 veces la UMA (Unidad de Medida y Actualización) por negligencia o dolo en la tramitación, declarar dolosamente que los datos no existen o mantener datos inexactos, entre otros casos.
- Multa adicional de 100 a 320.000 UMA si las infracciones persisten.
- Las sanciones pueden duplicarse cuando se trata de datos sensibles.
En España, el RGPD permite multas de hasta 20 millones de euros o el 4 % de la facturación anual global por vulnerar los derechos de las personas. La LOPDGDD (art. 72.1.k) califica como infracción muy grave no atender las solicitudes de ejercicio de los derechos de los artículos 15 a 22 del RGPD.
Prepara tu sitio para atender solicitudes ARCO
Esto es lo que significa para tu web: cada solicitud ARCO empieza con un dato que alguien recogió, a menudo desde una cookie o un formulario. Con Usercentrics CMP guardas un registro de las decisiones de consentimiento de cada visitante: qué eligió, cuándo y para qué finalidades. Y con el Privacy Policy Generator creas un aviso de privacidad que explica cómo ejercer cada derecho.
Descargo de responsabilidad: Usercentrics no provee asesoría legal y la información provista tiene fines únicamente educativos. Siempre recomendamos recurrir a consultorías legales cualificadas o especialistas en privacidad en relación a las cuestiones y operaciones sobre privacidad y protección de datos.
Si también te interesa la privacidad de datos, únete ahora a nuestra creciente comunidad. Suscríbete a la newsletter de Usercentrics y recibe las últimas novedades directamente en tu bandeja de entrada.
