Una empresa usa mal tus datos personales: cómo reclamar paso a paso

Una empresa a la que compraste una vez te llama cada semana. Otra ha pasado tu teléfono a una tercera que no conoces. Un banco te ha metido en un fichero de morosos por una factura que discutes. Los tres casos tienen el mismo esqueleto jurídico y el mismo camino de salida, y ninguno se resuelve escribiendo un correo enfadado. Esto es lo que dice la norma y en qué orden conviene moverse.

La pregunta que decide tu reclamación: ¿con qué base legal tratan tus datos?

El artículo 6 del Reglamento (UE) 2016/679 es la pieza central: ningún tratamiento de datos personales es lícito si no encaja en una de sus seis bases. La empresa está obligada a decirte cuál invoca, y de esa respuesta depende qué puedes exigirle.

El truco práctico está en la última fila. Cuando una empresa se ampara en el interés legítimo, la carga de justificarlo es suya, no tuya. Y si el tratamiento es publicidad directa, el artículo 21.2 del RGPD no admite discusión: opuesto el interesado, los datos dejan de tratarse con ese fin, sin excepciones y sin ponderación.

Los cinco casos que concentran casi todas las reclamaciones

• Llamadas comerciales no deseadas. Desde el 29 de junio de 2023, el artículo 66.1.b) de la Ley 11/2022 General de Telecomunicaciones reconoce el derecho a no recibir llamadas con fines de venta salvo que hayas consentido o exista otra base habilitante. Apuntarte a la Lista Robinson refuerza tu posición, pero no es requisito para reclamar.
• Cesión de tus datos a terceros. Exige consentimiento específico e informado. Una casilla genérica de «colaboradores» no lo es. Pide la identidad concreta del cesionario: es parte del derecho de acceso.
• Inclusión en un fichero de morosos. El artículo 20 de la LOPDGDD exige deuda cierta, vencida y exigible, requerimiento previo de pago, notificación al afectado y un máximo de cinco años desde el vencimiento. Si discutes la deuda judicial o extrajudicialmente, no es una deuda cierta y la inclusión es ilícita.
• Videovigilancia y grabaciones. Cartel informativo obligatorio, imposibilidad de captar la vía pública o espacios ajenos y conservación máxima de un mes salvo que las imágenes documenten un hecho ilícito.
• Brechas de seguridad. Si la filtración entraña un riesgo alto para tus derechos, el artículo 34 del RGPD obliga a la empresa a comunicártelo sin dilación indebida, no a enterarte por la prensa.

Paso 1: ejerce tus derechos ante la empresa

Saltarse este paso es el error más común: la Agencia puede inadmitir tu reclamación si no has intentado antes que el responsable te conteste. Los derechos están en los artículos 15 a 22 del RGPD y son gratuitos.

El plazo de respuesta es de un mes desde la recepción de tu solicitud, prorrogable dos meses más si la petición es compleja, y en ese caso deben avisarte dentro del primer mes explicando por qué (artículo 12.3 del RGPD). El silencio no es una respuesta válida: es precisamente lo que abre la siguiente puerta.

Modelo de escrito para ejercer tus derechos

A la atención del responsable del tratamiento de [NOMBRE DE LA EMPRESA, CIF]
Con copia al delegado de protección de datos: [CORREO DEL DPD]

EJERCICIO DE DERECHOS EN MATERIA DE PROTECCIÓN DE DATOS

D./Dª [NOMBRE Y APELLIDOS], con DNI [NÚMERO], del que acompaño copia,
y domicilio a efectos de notificaciones en [DIRECCIÓN] y correo
electrónico [CORREO],

EXPONE que esa entidad trata datos personales de mi titularidad y que,
al amparo de los artículos 15 a 22 del Reglamento (UE) 2016/679 y de la
Ley Orgánica 3/2018,

SOLICITA:

1. ACCESO (art. 15): copia de todos mis datos personales en su poder, con
   indicación de los fines del tratamiento, la base jurídica concreta que
   invocan, el origen de los datos, los destinatarios a los que se hayan
   comunicado y el plazo de conservación previsto.

2. SUPRESIÓN (art. 17): la eliminación de mis datos [SI PROCEDE: salvo los
   que deban conservarse por obligación legal, que deberán quedar
   bloqueados conforme al artículo 32 de la Ley Orgánica 3/2018].

3. OPOSICIÓN (art. 21): el cese inmediato de cualquier tratamiento con
   fines de mercadotecnia directa, incluidas llamadas, SMS y correo
   electrónico, así como la exclusión de mis datos de cualquier cesión a
   terceros.

Todo ello con la advertencia de que el plazo de respuesta es de un mes
desde la recepción de este escrito (art. 12.3 del Reglamento) y de que,
transcurrido sin respuesta satisfactoria, presentaré la correspondiente
reclamación ante la Agencia Española de Protección de Datos.

En [LUGAR], a [FECHA]
Firmado: [NOMBRE]

Envíalo por un medio que deje rastro: burofax, correo electrónico con acuse o el formulario de la propia web guardando el justificante. Esa fecha es la que después cuenta.

Paso 2: el delegado de protección de datos, y después la AEPD

Si la empresa tiene delegado de protección de datos, el artículo 37 de la LOPDGDD te permite dirigirte a él, y dispone de dos meses para contestarte. Es un atajo real: muchas reclamaciones se resuelven ahí sin expediente.

Agotado eso, toca el artículo 77 del RGPD: reclamación ante la Agencia Española de Protección de Datos, gratuita y por sede electrónica. Conviene saber a qué ritmo se mueve.

Las multas del artículo 83 del RGPD llegan a 20 millones de euros o al 4 % del volumen de negocio anual mundial. Conviene entender qué significa eso para ti: la multa va al Tesoro, no a tu bolsillo. La AEPD corrige y sanciona; no indemniza.

Paso 3: la indemnización se pide en el juzgado civil

El artículo 82 del RGPD te da derecho a ser indemnizado por los daños materiales e inmateriales sufridos. La sentencia del Tribunal de Justicia de la Unión Europea de 4 de mayo de 2023 (asunto C-300/21) fijó dos ideas que conviene tener claras antes de demandar:

• La mera infracción del Reglamento no genera por sí sola derecho a indemnización: hay que acreditar un daño y su relación con la infracción.
• Pero no existe un umbral mínimo de gravedad: un daño moral pequeño y probado también se indemniza.

En la práctica española, las condenas por reclamaciones individuales suelen moverse entre unos cientos y unos pocos miles de euros, y suben cuando hay inclusión indebida en ficheros de morosos con denegación acreditada de financiación. Una resolución sancionadora previa de la AEPD no es obligatoria, pero como prueba en el juicio civil vale su peso en oro.

Preguntas rápidas

Me piden el DNI para atender mi solicitud. ¿Es legal? Pueden pedir información adicional si tienen dudas razonables sobre tu identidad, pero no exigir sistemáticamente copia del documento cuando ya te identifican por otros medios, como tu cuenta de cliente.

He pedido la supresión y me dicen que deben conservar los datos. Puede ser cierto para facturación o para plazos de prescripción. Lo correcto entonces es el bloqueo del artículo 32 de la LOPDGDD: los datos quedan a disposición solo de jueces y administraciones, y no se usan para nada más.

¿Puedo reclamar contra una empresa de fuera de la Unión Europea? Sí, si ofrece bienes o servicios a personas en la Unión o controla su comportamiento: el artículo 3 del RGPD la alcanza igual.

¿Cuánto cuesta reclamar ante la AEPD? Nada, y no necesitas abogado. Solo hace falta identificación electrónica o presentarla en un registro público.

Te puede interesar

• Robo de identidad en internet: qué hacer en las primeras 48 horas y cómo reclamar lo que han hecho en tu nombre
• Grabar una conversación sin avisar: cuándo es legal y cuándo sirve como prueba

Fuentes oficiales

• Reglamento (UE) 2016/679, General de Protección de Datos
• Ley Orgánica 3/2018 de Protección de Datos y garantía de los derechos digitales
• Ley 11/2022 General de Telecomunicaciones (art. 66, derechos frente a llamadas comerciales)
• AEPD: plazos para contestar una reclamación
• Sede electrónica de la AEPD: presentación de reclamaciones
• STJUE de 4 de mayo de 2023, asunto C-300/21 (indemnización por daño moral)
• Lista Robinson de exclusión publicitaria

Escrito por Matías Lloret, autor de Soluciones Jurídicas MLR. Última revisión: 4 de septiembre de 2026, contrastada con el texto consolidado del BOE y con las fuentes oficiales citadas. Este artículo es divulgación jurídica general y no constituye asesoramiento legal: para un caso concreto, consulta con un abogado.