Derechos ARCO y Ley 21.719: qué hacer si un cliente pide ver o borrar sus datos

Los derechos ARCO son los derechos de una persona sobre sus datos personales: acceso, rectificación, cancelación y oposición. Con la Ley 21.719, que rige desde el 1 de diciembre de 2026, se amplían a seis: acceso, rectificación, supresión, oposición, portabilidad y bloqueo. Si un cliente te pide ver o borrar sus datos, debes acusar recibo y responder por escrito dentro de 30 días corridos, prorrogables una sola vez por otros 30, y en la mayoría de los casos sin cobrarle. Aquí está qué puede pedir, cómo debe llegarte la solicitud y cómo responderla paso a paso.

¿Qué son los derechos ARCO?

La sigla viene de la Ley 19.628 y de la costumbre de otros países. La Ley 21.719 reescribió esos derechos en el artículo 4 de la Ley 19.628: toda persona «tiene derecho de acceso, rectificación, supresión, oposición, portabilidad y bloqueo de sus datos personales». Son personales, irrenunciables y no pueden limitarse por contrato. Por eso hoy también se habla de derechos ARCOP. El texto oficial está en la BCN.

¿Cómo debe llegarte la solicitud?

Según el artículo 11, la persona debe presentar una solicitud escrita «dirigida a la dirección de correo electrónico establecida para este fin, un formulario de contacto o un medio electrónico equivalente». Por eso tu política de privacidad debe publicar ese canal. La solicitud debe traer, como mínimo:

• quién la pide, y cómo se comprueba su identidad;
• un domicilio o correo para enviarle la respuesta;
• qué datos o qué uso de sus datos le preocupa;
• en una rectificación, qué hay que corregir; en una supresión u oposición, la causa.

Para el acceso, dice la ley, «bastará con la individualización del titular». Y el artículo 10 pide que los mecanismos para ejercer estos derechos sean «sencillos en su operación».

¿Cuánto tiempo tienes para responder?

Recibida la solicitud, debes acusar recibo y pronunciarte dentro de 30 días corridos. Ese plazo se puede prorrogar una sola vez, hasta por otros 30 días. La respuesta va por escrito al domicilio o correo que indicó la persona, y debes guardar un respaldo que demuestre que la enviaste, su fecha y su contenido íntegro.

Si rechazas la solicitud en todo o en parte, debes explicar la causa y avisarle que tiene 30 días hábiles para reclamar ante la Agencia de Protección de Datos Personales. Si no respondes dentro de plazo, la persona puede reclamar directamente ante la Agencia.

¿Puedes cobrar por responder?

Casi nunca. El artículo 10 dice que la rectificación, la supresión y la oposición «siempre serán gratuitos». El acceso también es gratis al menos una vez cada tres meses. Solo puedes cobrar los costos directos si la misma persona pide acceso o portabilidad más de una vez en el trimestre, según los parámetros que fije la Agencia.

¿Cuándo no tienes que borrar los datos?

La supresión no procede cuando el uso de los datos es necesario, entre otros casos, para cumplir una obligación legal o ejecutar un contrato con esa persona, o para defenderte en un reclamo administrativo o judicial (artículo 7). Por ejemplo, los datos de una venta que la ley tributaria te obliga a conservar. En ese caso no se borran, pero debes explicar el motivo en la respuesta y dejar de usarlos para todo lo demás.

Además, la persona puede pedir el bloqueo en lugar de la supresión: suspendes el uso de sus datos sin borrarlos, mientras se resuelve su solicitud.

¿Y si pide que no le envíes más publicidad?

Es el caso más común. El artículo 8 permite oponerse cuando el uso de los datos es solo para marketing directo. En la práctica: lo sacas de tu lista de correos o de WhatsApp y de los públicos de tus campañas, y lo dejas registrado para no volver a cargarlo. Cada correo masivo debería traer, además, un enlace para darse de baja.

¿Qué es la portabilidad?

Es recibir una copia de los datos que la persona te entregó, «en un formato electrónico estructurado, genérico y de uso común», o que los transfieras a otro proveedor. Según el artículo 9, aplica cuando el tratamiento es automatizado y se basa en el consentimiento de la persona. En una tienda en línea, un archivo CSV o JSON con su cuenta, sus pedidos y sus direcciones suele bastar.

Paso a paso en WordPress y WooCommerce

1. Recibe la solicitud en el correo o formulario que publicaste y anota la fecha: desde ahí corren los 30 días.
2. Acusa recibo por escrito y, si hace falta, pide lo necesario para confirmar su identidad.
3. Busca sus datos en todas partes: el sitio, el correo, las planillas, el sistema de newsletter, el CRM, la pasarela de pago y la empresa de despacho.
4. Usa las herramientas de WordPress: en Herramientas, «Exportar datos personales» arma un archivo con lo que guardan WordPress, WooCommerce y los plugins compatibles, y «Borrar datos personales» los elimina o anonimiza.
5. Responde por escrito con lo que hiciste o con el motivo para no hacerlo, y guarda una copia.
6. Regístralo en una planilla simple: fecha, persona, derecho pedido, respuesta y fecha de respuesta.

Antes del 1 de diciembre, revisa que tu política de privacidad publique el canal y el plazo, y que alguien revise ese correo a diario.