Derecho al olvido: cómo gestionarlo cuando un cliente lo solicita
Un cliente escribe pidiendo que elimines todos sus datos. ¿Tienes que hacerlo de inmediato, en cualquier caso, y en todos los sistemas donde aparezca su nombre? La respuesta tiene matices que conviene tener claros antes de que llegue la primera solicitud, no después.
Qué es el derecho al olvido, exactamente
El derecho al olvido (o derecho de supresión) permite a cualquier persona solicitar que una empresa elimine sus datos personales cuando ya no son necesarios para la finalidad por la que se recogieron, cuando retira su consentimiento, o cuando se opone al tratamiento y no hay un motivo legítimo que prevalezca. No es un derecho absoluto: existen excepciones legales que permiten a la empresa conservar ciertos datos pese a la solicitud.
El plazo de respuesta que hay que cumplir
La empresa dispone, con carácter general, de un mes desde la recepción de la solicitud para responder, ya sea ejecutando la eliminación o explicando por qué no procede. Ese plazo puede ampliarse dos meses más en casos especialmente complejos, pero solo si se informa al solicitante del motivo de la prórroga dentro del primer mes — no se puede simplemente dejar pasar el tiempo sin respuesta.
Cuándo SÍ puedes negarte (parcial o totalmente)
- Obligación legal de conservación: las facturas, por ejemplo, deben conservarse por motivos fiscales durante un plazo determinado, aunque el cliente pida eliminarlas.
- Ejercicio o defensa de reclamaciones: si esos datos son relevantes para una posible reclamación legal en curso o previsible.
- Interés público o libertad de expresión, en supuestos concretos que rara vez aplican a una pyme habitual.
En estos casos, la respuesta correcta no es ignorar la solicitud, sino explicar por escrito qué datos se eliminan, cuáles se conservan y por qué motivo legal concreto.
El punto que más se olvida: si has compartido los datos de ese cliente con terceros (por ejemplo, una herramienta de email marketing o un proveedor externo), tienes la obligación de informarles también de la solicitud de eliminación, salvo que sea imposible o suponga un esfuerzo desproporcionado. No basta con borrarlo de tu propio sistema si sigue circulando en otro lado bajo tu responsabilidad.
Cómo montar un proceso interno que no falle
- Un canal claro por el que los clientes puedan ejercer este derecho (email dedicado o formulario específico), no disperso entre varios contactos.
- Un responsable interno que gestione la solicitud dentro del plazo, con un checklist de en qué sistemas puede estar ese dato (CRM, email marketing, facturación, copias de seguridad).
- Registro de las solicitudes atendidas, como evidencia de cumplimiento en caso de una inspección posterior.
Este proceso encaja dentro de las obligaciones generales que repasamos en RGPD para pymes: guía práctica, y su ausencia es uno de los motivos habituales de sanción, como puedes ver en multas de la AEPD a pymes: casos reales.
¿Tienes un proceso claro para gestionar estas solicitudes?
Diagnóstico gratuito de exposición y revisión básica de tus procesos de cumplimiento RGPD.
