Cómo atender el derecho de supresión RGPD

Una solicitud de borrado mal gestionada puede convertirse en una reclamación ante la AEPD, incluso cuando la empresa cree haber actuado de buena fe. Saber cómo atender el derecho de supresión exige más que eliminar un contacto de una hoja de cálculo: hay que identificar los datos afectados, comprobar si procede el borrado, conservar únicamente lo que una obligación legal permita y dejar evidencia de todo el proceso.

Para autónomos, pymes, asociaciones, comunidades y profesionales, el riesgo no está solo en no responder. También existe cuando se responde tarde, se borra información que debía conservarse o se mantiene al interesado en una lista comercial después de que haya solicitado la baja. Un procedimiento claro evita errores, reduce carga administrativa y acredita cumplimiento ante una posible inspección.

Qué es el derecho de supresión y cuándo procede

El derecho de supresión, conocido habitualmente como derecho al olvido, está regulado en el artículo 17 del RGPD. Permite a una persona solicitar que se eliminen sus datos personales cuando ya no sean necesarios para la finalidad para la que se recogieron o cuando concurra alguna de las causas previstas por la norma.

No es un derecho automático en todos los casos. La empresa debe analizar la solicitud antes de actuar. Por ejemplo, puede proceder cuando el consentimiento ha sido retirado y no existe otra base jurídica para tratar los datos; cuando el interesado se opone al uso comercial de su información; cuando los datos se han tratado ilícitamente; o cuando deban eliminarse para cumplir una obligación legal.

En la práctica, es frecuente recibir solicitudes relacionadas con newsletters, formularios web, cuentas de usuario inactivas, currículos recibidos hace años, campañas comerciales o fichas de clientes que ya no mantienen relación con el negocio. Cada supuesto exige revisar la finalidad y el plazo de conservación aplicable.

Cómo atender el derecho de supresión paso a paso

El error más habitual es borrar de inmediato sin verificar quién solicita la supresión ni qué información conserva realmente la organización. Una atención correcta debe ser ágil, pero no improvisada.

Registre la solicitud desde el primer momento

La petición puede llegar por correo electrónico, formulario web, carta o incluso de forma presencial. Registre la fecha de entrada, el canal utilizado, la identidad del solicitante y el alcance de su petición. Ese registro será clave para controlar plazos y demostrar que la empresa atendió el derecho.

No obligue a la persona a usar un canal innecesariamente complejo. Si facilitó un correo electrónico para ejercer derechos, debe gestionarlo. Tampoco conviene exigir formularios excesivos o explicaciones que el RGPD no requiere. Poner obstáculos al ejercicio de derechos incrementa el riesgo de reclamación.

Verifique la identidad sin pedir más datos de los necesarios

La empresa debe asegurarse de que quien solicita la eliminación es el titular de los datos o actúa válidamente en su representación. Sin embargo, no puede pedir documentación de forma automática ni desproporcionada.

Si la solicitud llega desde el mismo correo asociado al cliente o usuario y no hay dudas razonables, normalmente bastará con esa comprobación. Si existen indicios de suplantación, puede solicitar información adicional limitada a confirmar la identidad. Pedir una copia completa del DNI para cualquier baja de comunicaciones comerciales suele ser excesivo.

Cuando actúe un representante, deberá acreditarse la representación. Esto es especialmente relevante en solicitudes realizadas en nombre de menores, personas dependientes, empleados o miembros de una asociación.

Localice los datos en todos los sistemas afectados

Antes de suprimir, identifique dónde se encuentran los datos: programa de facturación, CRM, correo electrónico, plataforma de envío comercial, archivos físicos, herramientas de atención al cliente, aplicaciones de selección de personal y servicios contratados a terceros.

No basta con borrar una ficha visible en el programa principal. Si el correo sigue activo en una lista de envíos o si existen copias operativas accesibles, la supresión será incompleta. El registro de actividades de tratamiento y un inventario actualizado de proveedores facilitan mucho este trabajo.

También debe comunicar la instrucción a los encargados del tratamiento que puedan estar tratando los datos por cuenta de la empresa. Si una plataforma externa gestiona campañas, alojamiento, soporte o almacenamiento, su intervención debe estar prevista en el contrato de encargo y documentarse correctamente.

Decida si se borra, se bloquea o se conserva una parte

Aquí está el punto jurídico más delicado. Atender el derecho de supresión no siempre significa eliminar absolutamente todo. Una empresa puede tener que conservar determinados datos para cumplir obligaciones fiscales, contables, laborales, mercantiles o para defenderse frente a posibles reclamaciones.

La LOPDGDD contempla el bloqueo de datos cuando deban mantenerse para atender responsabilidades derivadas del tratamiento. Los datos bloqueados no pueden utilizarse para fines ordinarios, comerciales ni de gestión diaria. Deben quedar reservados y accesibles únicamente para administraciones públicas, jueces o tribunales cuando corresponda.

Existen situaciones en las que la supresión puede limitarse o denegarse. Entre las más habituales se encuentran:

• La conservación es necesaria para cumplir una obligación legal aplicable a la empresa.
• Los datos son necesarios para formular, ejercer o defender reclamaciones.
• El tratamiento responde a una misión de interés público o al ejercicio de poderes públicos, cuando resulte aplicable.
• Prevalece el ejercicio de la libertad de expresión e información en los supuestos legalmente previstos.

La clave es no utilizar estas excepciones como una respuesta genérica. La empresa debe explicar qué datos conserva, con qué finalidad, durante cuánto tiempo y sobre qué base jurídica. Si solo una parte de la información debe mantenerse, se suprime el resto.

Responda en plazo y con una comunicación comprensible

El plazo general para responder es de un mes desde la recepción de la solicitud. Puede ampliarse hasta dos meses adicionales si la petición es compleja o existen numerosas solicitudes, pero debe informarse al interesado de la prórroga dentro del primer mes y justificar el motivo.

La respuesta debe ser clara y gratuita, salvo que la solicitud sea manifiestamente infundada o excesiva. Si se ha realizado la supresión, indique que se ha ejecutado y, cuando sea pertinente, informe de los destinatarios a quienes se haya comunicado la rectificación o supresión conforme al artículo 19 del RGPD.

Si se deniega total o parcialmente, explique los motivos legales de manera concreta. Incluya también la posibilidad de presentar una reclamación ante la autoridad de control. Una respuesta vaga como sus datos han sido gestionados correctamente no protege a la organización ni resuelve la petición.

Errores que pueden terminar en una reclamación

Mantener a un contacto en campañas comerciales tras solicitar la baja es uno de los fallos más evitables. Para prevenirlo, la organización debe contar con una lista de exclusión o supresión comercial. Esa lista conserva solo los datos mínimos necesarios para garantizar que la persona no vuelva a recibir comunicaciones no deseadas.

Otro error es confundir eliminación con ocultación. Desactivar un usuario sin revisar sus datos asociados, sus copias de trabajo o las plataformas conectadas no equivale a atender el derecho. Del mismo modo, borrar facturas o documentación obligatoria sin analizar los plazos de conservación puede crear un problema fiscal o probatorio.

También es arriesgado responder fuera de plazo porque nadie revisa el correo de privacidad, porque no existe una persona responsable o porque el personal no sabe cómo derivar la solicitud. La protección de datos no puede depender de que una persona concreta esté disponible.

Documentación que debe conservar la empresa

Aunque el interesado pida borrar sus datos, la organización debe conservar evidencia limitada sobre la gestión de su derecho. No se trata de almacenar la solicitud indefinidamente, sino de acreditar qué se pidió, cuándo se recibió, qué análisis se hizo, qué acciones se realizaron y cuándo se respondió.

Un expediente interno bien organizado debería incluir la solicitud recibida, las comprobaciones de identidad necesarias, los sistemas revisados, las comunicaciones a encargados del tratamiento, la decisión adoptada y la respuesta enviada. Esta trazabilidad es especialmente útil si el interesado reclama ante la AEPD meses después.

La documentación debe tratarse con confidencialidad. Una solicitud de supresión contiene datos personales y no debe circular sin control por correos internos o grupos de mensajería.

Un procedimiento preparado cuesta menos que una reacción urgente

Las pequeñas empresas suelen pensar que estas solicitudes solo afectan a grandes compañías con miles de clientes. No es así. Basta un formulario web, una base de datos de presupuestos, una lista de difusión o una relación laboral para que exista tratamiento de datos personales y, por tanto, obligación de atender derechos.

Disponer de cláusulas informativas correctas, registro de tratamientos, contratos con proveedores, plazos de conservación y un protocolo de ejercicio de derechos reduce el tiempo de gestión y evita decisiones precipitadas. Si además cuenta con delegado de protección de datos o asesoramiento especializado, cada solicitud se analiza con criterios jurídicos y operativos, sin paralizar el negocio.

Atender bien una petición de supresión no consiste en pulsar borrar. Consiste en demostrar que su empresa conoce qué datos trata, por qué los conserva y cuándo debe eliminarlos. Esa capacidad de respuesta es una de las mejores defensas frente a sanciones y frente a la pérdida de confianza de sus clientes.