Llega un correo: «solicito que eliminen todos mis datos». A partir de ese momento tienes un plazo, una obligación de respuesta y un pequeño problema práctico: los datos de esa persona están en el CRM, en la facturación, en la lista de correo, en la copia de seguridad y en el buzón de quien la atendió.
Esta es la forma de responder bien, sin borrar de más ni de menos.
Lo primero: no siempre hay que borrar
El derecho de supresión —el «derecho al olvido»— no es absoluto. Tiene excepciones y una de ellas es muy frecuente en una empresa: cuando debes conservar los datos por una obligación legal.
| Situación | Respuesta correcta |
|---|---|
| Suscriptor de tu boletín | Baja y supresión: no hay motivo para conservarlo |
| Cliente con facturas emitidas | No se borra la facturación: hay plazos fiscales y mercantiles. Se limita el tratamiento al mínimo legal |
| Contacto que pidió presupuesto y no contrató | Supresión, salvo que exista una reclamación en curso |
| Candidato que envió su currículo | Supresión |
| Cliente con contrato vigente | No procede mientras dure la relación; explícalo |
| Persona con deuda pendiente o litigio | Conservación para la defensa de reclamaciones, bloqueada y documentada |
La clave es que negarse también es una respuesta válida, siempre que esté motivada y se informe de que puede reclamar ante la Agencia. Lo que no vale es no contestar.
El plazo
Un mes desde la recepción de la solicitud. Prorrogable dos meses más si la solicitud es compleja o tienes muchas, avisando dentro del primer mes y explicando el motivo. La respuesta es gratuita salvo solicitudes manifiestamente infundadas o excesivas.
El plazo corre desde que entra el correo, no desde que alguien lo lee. Si las solicitudes llegan a un buzón que se revisa cada quince días, ya has gastado medio plazo. Define una dirección concreta y quién la vigila.
El procedimiento, paso a paso
1. Registra la solicitud
Fecha de entrada, canal, quién la pide y qué pide exactamente. Este registro es tu prueba de diligencia.
2. Identifica al solicitante, con proporción
Debes asegurarte de que quien pide es quien dice ser, pero no puedes exigir más datos de los necesarios. Si escribe desde el correo que consta en su ficha, eso suele bastar. Pedir una copia del DNI por sistema es desproporcionado y, además, te obliga a custodiar un dato más.
3. Busca en todos los sitios
Aquí es donde se nota si tienes el registro de actividades de tratamiento hecho: te dice exactamente dónde mirar. Los sitios que se olvidan siempre:
- La plataforma de correo comercial.
- El formulario de la web y su base de datos de envíos.
- Los buzones personales del equipo.
- Hojas de cálculo locales.
- La herramienta de soporte o de tickets.
- Los proveedores que tratan datos por tu cuenta: hay que trasladarles la solicitud.
4. Decide qué se borra y qué se bloquea
Lo que no puedas eliminar por obligación legal se «bloquea»: se conserva limitado, accesible solo para atender a la autoridad o a un tribunal, y se elimina cuando vence el plazo. Explícalo con esas palabras en tu respuesta: transmite que sabes lo que haces.
5. Responde por escrito
Una respuesta correcta incluye: qué se ha suprimido, qué se conserva y por qué motivo legal, hasta cuándo, si se ha trasladado a proveedores, y la mención al derecho de reclamar ante la Agencia.
6. Documenta y cierra
Guarda la solicitud, tu respuesta y la fecha. Si en el futuro hay reclamación, esa carpeta es tu defensa.
El caso incómodo: las copias de seguridad
No se pueden editar las copias para borrar a una persona sin romper su integridad, y no se espera que lo hagas. El criterio aceptado es documentar que el dato está suprimido en producción, que las copias tienen una rotación definida y que, si hubiera que restaurar, se aplicará de nuevo la supresión.
Eso exige que sepas cuánto viven tus copias, dato que muchas empresas desconocen: repásalo en qué debe incluir una copia de seguridad.
Prepararlo antes de que llegue la primera
- Una dirección de contacto para derechos, publicada en tus textos legales y vigilada de verdad.
- Una plantilla de respuesta para cada caso: supresión completa, supresión parcial con bloqueo, y denegación motivada.
- El mapa de dónde están los datos, que es el registro de tratamientos.
- Un responsable interno, aunque sea a tiempo parcial. Si nadie tiene el encargo, nadie responde en plazo.
- Claridad sobre si necesitas o no un delegado: cuándo es obligatorio en una pyme.
Y ten presente que los derechos no vienen solos: el mismo procedimiento sirve para acceso, rectificación, oposición y portabilidad. Cambia el verbo, no el circuito.
La Agencia publica modelos de respuesta y las condiciones de cada derecho en su sección de derechos. Úsalos como base y adáptalos a tu caso.
Seguir leyendo en esta sección
- Formulario de contacto y RGPD: qué casilla, qué texto y qué tienes que guardar
- Qué son las medidas de seguridad apropiadas del RGPD, traducidas a una pyme
- Registro de actividades de tratamiento: cómo se hace en una pyme
- Tu hosting y tu agencia son encargados del tratamiento: qué significa eso para ti
- RGPD para una web pequeña: qué te obliga de verdad y qué no
- Normativa de protección de datos y ciberseguridad para pymes: qué te obliga de verdad en España
Ver todo en RGPD y protección de datos → · Mapa completo del sitio