Derecho de supresión art. 17 RGPD: modelo de solicitud

El derecho de supresión es uno de los seis que el RGPD reconoce al interesado, junto al acceso, la rectificación, la oposición, la limitación y la portabilidad. Su nombre popular, derecho al olvido, procede de la sentencia del Tribunal de Justicia de la Unión Europea en el asunto Google Spain, C-131/12, que obligó al buscador a retirar enlaces a información obsoleta sobre un ciudadano español. Conviene distinguir las dos capas. La supresión estricta se dirige al responsable que trata los datos, la aseguradora o la plataforma que guarda el historial. El olvido digital, regulado en los artículos 93 y 94 de la LOPDGDD, se dirige a buscadores y redes sociales para que el dato deje de ser localizable, aunque la fuente original siga publicada.

La terminología antigua genera confusión. La derogada LOPD de 1999 hablaba de cancelación, término que ya no existe en la normativa vigente y que debilita la petición. Tampoco conviene mezclar supresión con oposición: la del artículo 21 del RGPD frena un tratamiento concreto, normalmente el marketing directo, mientras que la supresión persigue el borrado del dato.

El artículo 17.1 del RGPD enumera los seis supuestos que activan la supresión: datos ya innecesarios para la finalidad que los originó, retirada del consentimiento sin otra base jurídica, oposición eficaz del interesado, tratamiento ilícito, obligación legal de borrado y datos recabados de menores en servicios de la sociedad de la información. El artículo 15 de la LOPDGDD remite a ese precepto y añade una precisión relevante: conservar los datos mínimos para impedir futuros envíos publicitarios no vulnera el derecho. A esa lógica responde el bloqueo del artículo 32 de la LOPDGDD, que explica por qué tantas empresas retiran el dato del sistema activo pero lo mantienen a disposición de jueces y administraciones durante la prescripción de las responsabilidades. No es una excusa comercial, es una obligación legal.

El plazo de respuesta es de un mes desde la recepción, conforme al artículo 12.3 del RGPD, prorrogable dos meses cuando la petición resulte compleja y el responsable avise antes de que venza el primero. El silencio nunca equivale a aceptación. Si nadie contesta, el interesado acude a la Agencia Española de Protección de Datos por la vía del artículo 64.1 de la LOPDGDD, y hay resoluciones que estiman la reclamación por el solo hecho de que la respuesta llegó tarde. Existe además una vía intermedia poco usada: el artículo 37.2 de la LOPDGDD permite dirigirse al delegado de protección de datos, que resuelve en dos meses. Cuando el destinatario ignora el escrito, un modelo de burofax con acuse de recibo y certificación de contenido es la prueba que después pesa en el expediente.

Los límites figuran en el artículo 17.3 del RGPD: libertad de expresión, obligación legal de conservación, interés público en salud pública, fines de archivo y defensa de reclamaciones. La Agencia detalla cada supuesto en su guía sobre el derecho de supresión y el derecho al olvido.

El caso más frecuente llega semanas después de una baja. El cliente cancela una línea de telefonía, un gimnasio o una suscripción, y meses después sigue recibiendo llamadas comerciales porque la ficha nunca se depuró. La supresión es el segundo paso lógico tras la carta de baja de servicio conforme a la LGDCU, y conviene enviarla por separado para que quede constancia autónoma del ejercicio del derecho. El segundo escenario es el buscador: una noticia antigua sobre un procedimiento archivado o una deuda ya saldada sigue apareciendo al teclear el nombre.

El ámbito laboral genera un volumen creciente de peticiones. El candidato descartado cuyo currículum sigue en la base de selección, o el antiguo empleado cuya foto permanece en la web corporativa, pueden exigir el borrado a la empresa, con las cautelas propias de la gestión documental y laboral de la empresa en materia de conservación de nóminas y contratos. Lo mismo ocurre con los clubes y entidades sin ánimo de lucro que publican listados de socios, donde la gestión ordinaria de una asociación no ampara conservar los datos de quien ya causó baja. Dos supuestos merecen atención especial. Los datos de un menor de catorce años recabados sin consentimiento válido, según el artículo 7 de la LOPDGDD, activan la supresión de forma directa. Y ante contenido sexual difundido sin permiso, la AEPD mantiene un canal prioritario que ordena la retirada cautelar en días.

• La identificación del solicitante recoge nombre, documento de identidad y domicilio a efectos de notificaciones, con un apartado de representación voluntaria para cuando firma un progenitor, un tutor o un abogado en nombre del titular.
• La delimitación precisa de los datos evita el error que más resoluciones desestimatorias provoca. En vez del borrado de "todos mis datos", el modelo obliga a describir el fichero, la URL o el número de cliente afectado: el responsable solo suprime lo que consigue localizar.
• El fundamento jurídico invocado se articula sobre el supuesto del artículo 17.1 del RGPD que corresponda, con mención al artículo 15 de la LOPDGDD. Citar la letra exacta impide que el destinatario alegue una petición genérica.
• El requerimiento de comunicación a terceros activa el artículo 19 del RGPD y reclama la lista de cesionarios. Es la cláusula que impide que el dato borrado reaparezca por vía de otra empresa del grupo.
• La advertencia de plazo y reclamación fija el mes del artículo 12.3 del RGPD y anuncia la vía ante la AEPD si no hay respuesta. Esa mención cambia el ritmo de tramitación en la práctica.
• La prueba de envío y recepción cierra el documento con el espacio para referenciar el burofax o el acuse electrónico. Sin ella, el expediente se sostiene sobre la palabra del reclamante, y eso rara vez basta. Otros escritos complementarios figuran entre los trámites administrativos para particulares.

La protección de datos es competencia estatal y el escrito no varía según la comunidad autónoma del solicitante. Lo que sí cambia es la autoridad de control ante la que se reclama cuando el responsable pertenece al sector público, según el artículo 57 de la LOPDGDD.

Cataluña cuenta con la Autoritat Catalana de Protecció de Dades, creada por la Ley 32/2010, de 1 de octubre. Supervisa a la Generalitat, los entes locales, las universidades públicas y a quien presta servicios públicos en su territorio. Una solicitud dirigida a un hospital de la red pública catalana o a un ayuntamiento de Girona termina, si se desatiende, en la APDCAT y no en la Agencia estatal.

País Vasco dispone de la Agencia Vasca de Protección de Datos, cuyo régimen actual procede de la Ley 16/2023, de 21 de diciembre. Su ámbito abarca las administraciones forales y municipales, los organismos autónomos y las sociedades públicas dependientes.

Andalucía atribuye estas funciones al Consejo de Transparencia y Protección de Datos, creado por el artículo 43 de la Ley 1/2014, de 24 de junio, de Transparencia Pública de Andalucía. Combina transparencia y protección de datos, particularidad útil cuando la información figura en un portal de transparencia o en un boletín oficial autonómico.

En el resto del territorio, y frente a cualquier responsable privado con independencia de su sede, la competencia corresponde a la Agencia Española de Protección de Datos. Presentar la reclamación ante la autoridad equivocada no interrumpe ningún plazo, así que la comprobación previa merece los cinco minutos que cuesta.

El formulario empieza preguntando quién eres y en qué condición actúas, porque el texto cambia si firmas en nombre propio o como representante legal de un menor. Después identificas al destinatario, empresa privada, buscador, red social o administración pública, y el escrito ajusta el fundamento jurídico y la autoridad de control citada al final. El tercer bloque determina el resultado: qué datos quieres borrar, dónde están alojados y por qué motivo del artículo 17.1 del RGPD procede la supresión.

Después decides si reclamas la comunicación a los cesionarios y si adjuntas documentación acreditativa, como capturas fechadas o el número de contrato. El sistema genera el escrito con la estructura formal de despacho, encabezado, exposición, solicitud y firma, descargable en Word para retocar detalles y en PDF para enviarlo. Sobre el envío la recomendación es constante: burofax con certificación de texto o sede electrónica del organismo, nunca un correo sin rastro.

El fallo más repetido es pedir el borrado en términos absolutos. Quien escribe "eliminen todos mis datos" recibe casi siempre una negativa motivada, porque el responsable debe conservar la facturación durante los plazos fiscales y la documentación laboral durante los suyos. La petición eficaz separa lo que puede suprimirse de lo que no, y deja al destinatario sin argumento defensivo. El segundo error es enviar el escrito a atención al cliente en lugar del canal de protección de datos o del delegado designado, desvío que consume el mes de plazo sin abrir expediente.

También pesa la falta de prueba. Muchas reclamaciones decaen porque el interesado no acredita haber ejercido antes su derecho frente al responsable, requisito previo del procedimiento. Guardar el resguardo del burofax o el justificante de registro electrónico resuelve eso desde el primer día. Y conviene no atacar al buscador cuando el problema está en la fuente: si la noticia sigue publicada en un medio amparado por la libertad de información, pedir a Google la retirada del enlace tiene sentido, pedir al periódico que borre el artículo casi nunca lo tiene.