Respuesta corta
Si una empresa ignora o rechaza tu solicitud RGPD —una copia de tus datos, la supresión, una brecha que no explica—, puedes reclamar gratis ante una autoridad de protección de datos según el artículo 77, normalmente la del país donde vives o trabajas: la AEPD en España. No tienes que ir a Irlanda por Meta, Google o TikTok: tu autoridad recibe la reclamación y coopera con la autoridad principal del país donde la empresa tiene su establecimiento principal en la UE, según la ventanilla única del RGPD. Primero dale una oportunidad a la empresa: debe responder en un mes, ampliable dos más en solicitudes complejas. Si la autoridad no te informa de cómo va tu reclamación en tres meses, puedes acudir a los tribunales.
Antes de reclamar: escribe primero a la empresa
Las autoridades esperan que antes lo hayas intentado con la empresa. La Data Protection Commission irlandesa (DPC) exige que hayas planteado el asunto directamente a la organización; la ICO británica lo recomienda en la mayoría de los casos. Según el artículo 12, la empresa debe atender tu solicitud en un mes. En solicitudes complejas o numerosas puede ampliar el plazo dos meses, pero debe avisarte en el primer mes y explicar por qué.
Envía la solicitud por escrito, a través del contacto de privacidad que figura en la política de privacidad, y guarda pruebas: fecha, copia y número de referencia. Si quieres tus datos, consulta cómo pedir el acceso con el RGPD; para borrarlos, el derecho de supresión.
Qué autoridad: la tuya, incluso para Meta, Google o TikTok
Puedes reclamar ante la autoridad del país donde vives, trabajas o donde se produjo la infracción. En los casos transfronterizos, la ventanilla única del RGPD convierte en autoridad principal a la del establecimiento principal de la empresa en la UE; Meta, Google y TikTok, entre otras, lo tienen en Irlanda, así que lidera la DPC. Tú sigues tratando con tu autoridad, en tu idioma, y ella coopera con la principal. El Comité Europeo de Protección de Datos publica la lista de miembros:
| País | Autoridad | Web |
|---|---|---|
| España | Agencia Española de Protección de Datos (AEPD) | aepd.es |
| Portugal | CNPD | cnpd.pt |
| Irlanda | Data Protection Commission (DPC) | dataprotection.ie |
| Francia | CNIL | cnil.fr |
| Italia | Garante per la protezione dei dati personali | garanteprivacy.it |
| Alemania | La autoridad del estado federado donde vives; la BfDI federal las enumera | bfdi.bund.de |
| Austria | Datenschutzbehörde (DSB) | dsb.gv.at |
| Bélgica | Autoridad de Protección de Datos (APD/GBA) | autoriteprotectiondonnees.be |
| Países Bajos | Autoriteit Persoonsgegevens | autoriteitpersoonsgegevens.nl |
| Luxemburgo | CNPD | cnpd.lu |
| Polonia | UODO | uodo.gov.pl |
| Suecia | IMY | imy.se |
| Noruega (EEE) | Datatilsynet | datatilsynet.no |
| Reino Unido | Information Commissioner’s Office (ICO), según el UK GDPR | ico.org.uk · 0303 123 1113 |
| Suiza | Comisionado Federal de Protección de Datos e Información (FDPIC), según la LPD suiza | edoeb.admin.ch |
Cómo presentar una reclamación sólida
- Usa el formulario en línea de la autoridad; el de la DPC está en forms.dataprotection.ie/contact y la AEPD tiene su sede electrónica. No necesitas abogado ni pagar.
- Di qué pediste y cuándo: «solicitud de acceso del artículo 15, enviada el 2 de septiembre».
- Muestra la respuesta: ninguna, una negativa, datos incompletos, una plantilla.
- Nombra el derecho afectado: acceso (artículo 15), supresión (artículo 17), oposición, seguridad del tratamiento tras una brecha.
- Adjunta las pruebas que pide la DPC: tu solicitud, las respuestas, capturas, referencias.
- Di qué quieres: los datos, la supresión, una explicación. No envíes tu DNI salvo que la autoridad lo pida.
Qué pasa después y los plazos
| Paso | Plazo |
|---|---|
| La empresa responde a tu solicitud | Un mes; dos más en solicitudes complejas, si te avisa en el primer mes (artículo 12) |
| La autoridad te informa de tu reclamación | En tres meses; si no, puedes recurrir contra la autoridad (artículo 78) |
| Compromiso propio de la DPC | Actualización o resultado en tres meses y después informes periódicos |
| Demanda contra la empresa | Posible en cualquier momento, también por daños (artículos 79 y 82) |
La DPC comprueba primero que el asunto es de su competencia y busca una solución amistosa si es probable que funcione. Si no, la autoridad puede inadmitir o archivar la reclamación, asesorar, emitir un requerimiento o abrir una investigación; las investigaciones suelen reservarse a incumplimientos graves o sistémicos. Los casos transfronterizos tardan más porque las autoridades deben cooperar.
Reclamaciones típicas tras una cuenta hackeada o bloqueada
- Sin respuesta a una solicitud de acceso a tu historial de inicios de sesión, dispositivos e IP tras un robo de cuenta.
- Negativa a suprimir los datos de una cuenta que cerraste o que se creó a tu nombre.
- Una brecha de datos que la empresa no explica; consulta qué hacer tras una filtración.
- Datos personales en resultados de búsqueda que un sitio o buscador no retira; consulta eliminar tu información personal.
Una autoridad de protección de datos no puede restablecer una cuenta suspendida: es una decisión de moderación, que se recurre ante la plataforma y por las vías de la DSA. Sí puede lograr que una empresa te entregue o borre tus datos. Combinamos ambos caminos en nuestro trabajo de retirada de resultados y privacidad.
Preguntas frecuentes
¿Tengo que reclamar ante la autoridad irlandesa por Meta o TikTok?
No. Reclama ante tu autoridad, en español: la AEPD si vives en España. Con la ventanilla única, coopera con la Data Protection Commission irlandesa, que lidera los casos de empresas con establecimiento principal en Irlanda.
¿Cuesta algo una reclamación RGPD?
No. Las reclamaciones ante las autoridades de protección de datos son gratuitas y no requieren abogado.
¿Cuánto tarda?
La autoridad debe informarte del avance en tres meses. Los casos sencillos pueden terminar antes; los transfronterizos suelen tardar más.
¿La autoridad puede recuperar mi cuenta bloqueada?
No. Vela por la protección de datos, no por las normas de contenido. Puede lograr que te entreguen o borren tus datos; las suspensiones se recurren ante la plataforma y por las vías de la DSA.
Fuentes: Reglamento General de Protección de Datos — Reglamento (UE) 2016/679, artículos 12, 15, 17, 56 y 77 a 82, Comité Europeo de Protección de Datos — miembros (autoridades nacionales), Data Protection Commission (Irlanda) — tramitación de reclamaciones de particulares, ICO — reclamaciones de protección de datos (Reino Unido)