Derechos ARSULIPO en protección de datos: qué son y cómo se ejercen en sanidad

Legislación Por Brais Pérez Lorenzo 13/10/2026 7 de lectura

OpoSERGAS · Actualizado: 13 de octubre de 2026 · Lectura: ~7 min

Los derechos del interesado en protección de datos son seis, recogidos en los artículos 15 a 21 del RGPD y 13 a 18 de la LOPDGDD: acceso, rectificación, supresión, limitación, portabilidad y oposición. La regla mnemotécnica ARSULIPO (no oficial) ayuda a recordarlos. El responsable debe contestar en un mes, prorrogable dos más, y la carga de probar que respondió recae sobre él.

En el temario de Auxiliar Administrativo (tema 7 de OpoSERGAS) y en otras categorías aparecen preguntas sobre los derechos de los pacientes sobre sus datos. En un hospital o centro de salud el tratamiento afecta a datos de salud, así que conviene tenerlo claro. Para repasar el marco general tienes el artículo sobre protección de datos, LOPDGDD y RGPD; aquí nos centramos en los derechos y en el procedimiento para ejercerlos.

1. ARSULIPO: un truco que no es ley

ARSULIPO es una regla mnemotécnica de estudio: Acceso, Rectificación, SUpresión, LImitación, POrtabilidad y Oposición. No aparece en el RGPD ni en la LOPDGDD: es un recurso para el estudio. En el examen no te preguntarán por la sigla, sino por el contenido de cada derecho. El temario de OpoSERGAS usa otra regla, «ARCO+POL»: los derechos ARCO ampliados con portabilidad, oposición a decisiones automatizadas y limitación.

Derecho	RGPD	LOPDGDD	Idea clave
Acceso	Art. 15	Art. 13	Conocer si se tratan tus datos, obtener copia y la información sobre fines, destinatarios y plazo.
Rectificación	Art. 16	Art. 14	Corregir datos inexactos o completar los incompletos. El afectado indica qué datos y la corrección, con documentación si hace falta.
Supresión	Art. 17	Art. 15	Borrado en los supuestos del RGPD («derecho al olvido»).
Limitación	Art. 18	Art. 16	Congelar el tratamiento. Debe constar claramente en los sistemas del responsable.
Portabilidad	Art. 20	Art. 17	Recibir los datos en formato estructurado y de uso común, y transmitirlos a otro responsable.
Oposición	Art. 21	Art. 18	Oponerse al tratamiento por motivos relacionados con la situación particular, y siempre frente a la mercadotecnia directa.

El artículo 22 del RGPD (decisiones individuales automatizadas, incluida la elaboración de perfiles) se ejerce según el artículo 18 de la LOPDGDD, junto con el de oposición.

2. Cómo se ejercen: reglas comunes (art. 12 LOPDGDD y art. 12 RGPD)

Directamente o por representante legal o voluntario. Los titulares de la patria potestad actúan en nombre de los menores de catorce años (art. 12.1 y 12.6 LOPDGDD).
El responsable debe informar de los medios disponibles, que serán fácilmente accesibles, y no puede denegar el ejercicio por haber elegido el afectado otro medio (art. 12.2).
La prueba del cumplimiento del deber de responder recae sobre el responsable (art. 12.4).
Las actuaciones son gratuitas, sin perjuicio de los artículos 12.5 y 15.3 del RGPD y de los apartados 3 y 4 del artículo 13 de la LOPDGDD (art. 12.7).
Plazo: un mes desde la recepción, prorrogable otros dos meses, avisando de la prórroga dentro del primer mes (art. 12.3 RGPD). Si no se atiende, se informa de los motivos en un mes como máximo, con indicación de la posibilidad de reclamar ante la autoridad de control (art. 12.4 RGPD).

Dos matices del acceso. Si se trata una gran cantidad de datos, el responsable puede pedir al afectado que concrete a qué datos o actividades se refiere (art. 13.1 LOPDGDD). Y se puede considerar repetitivo pedir el acceso más de una vez en seis meses, salvo causa legítima (art. 13.3).

3. En un centro sanitario: la historia clínica

El derecho de acceso del RGPD convive con el que reconoce la Ley 41/2002 sobre la historia clínica. El artículo 18 de la Ley 41/2002 reconoce al paciente el acceso a la documentación de su historia y a obtener copia, con dos límites: no puede perjudicar el derecho de terceras personas a la confidencialidad de los datos recogidos en interés terapéutico del paciente, ni el derecho de los profesionales a reservar sus anotaciones subjetivas. El acceso puede ejercerse también por representación debidamente acreditada, y el de las historias de pacientes fallecidos se limita a personas vinculadas por razones familiares o de hecho, salvo prohibición expresa del fallecido. Además, el artículo 17 obliga a conservar la documentación clínica como mínimo cinco años desde el alta de cada proceso asistencial.

Para profundizar, mira la entrada sobre la Ley 41/2002 y la historia clínica, el glosario del número de historia clínica (NHC) y el análisis de auditoría de accesos a la historia clínica en IANUS.

4. Qué suele preguntarse

El plazo de respuesta: un mes, ampliable dos más.
Quién prueba que se respondió: el responsable.
Si el ejercicio es gratuito: sí, con excepciones.
Qué derecho corresponde a cada supuesto: corregir un dato erróneo es rectificación, borrarlo es supresión, congelarlo es limitación y llevárselo a otro proveedor es portabilidad.

Tienes el resto del marco normativo ordenado en la página de legislación para Auxiliar Administrativo.

Practica el tema de protección de datos

Haz tests de Auxiliar Administrativo por tema, con corrección y penalización real.

Practicar tests de Auxiliar Administrativo

Fuentes

Reglamento (UE) 2016/679 (RGPD), DOUE núm. 119, de 4 de mayo de 2016, artículos 12 a 22.
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (BOE núm. 294, de 6/12/2018), artículos 12 a 18.
Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente (BOE núm. 274, de 15/11/2002), artículos 17 y 18.
Agencia Española de Protección de Datos, autoridad de control.
Temario OpoSERGAS de Auxiliar Administrativo, tema 7.

Preguntas frecuentes

¿En cuánto tiempo debe responder el hospital a una solicitud de acceso a mis datos?

En un mes desde la recepción de la solicitud (art. 12.3 del RGPD). Ese plazo puede prorrogarse otros dos meses si es necesario por la complejidad o el número de solicitudes, y el responsable debe avisar de la prórroga y de sus motivos dentro del primer mes.

¿Cuántos derechos recoge ARSULIPO?

Seis: acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición. El RGPD recoge además, en el artículo 22, el derecho a no ser objeto de decisiones individuales automatizadas. ARSULIPO es una regla mnemotécnica no oficial.

¿Cuesta dinero ejercer estos derechos?

En principio no: las actuaciones del responsable son gratuitas (art. 12.7 de la LOPDGDD). Cabe cobrar un canon razonable por copias adicionales (art. 15.3 del RGPD) y cuando la solicitud sea manifiestamente infundada o excesiva.

¿Cuántas veces puedo pedir el acceso?

No hay un límite fijo, pero el artículo 13.3 de la LOPDGDD permite considerar repetitivo el ejercicio del acceso más de una vez en seis meses, salvo causa legítima.

¿Qué hago si no me contestan?

El responsable debe informar, a más tardar en un mes, de las razones de su no actuación y de la posibilidad de reclamar ante una autoridad de control y acudir a los tribunales (art. 12.4 del RGPD). En España la autoridad de control es la Agencia Española de Protección de Datos.