En una frase. El derecho de supresión del art. 17 RGPD obliga al responsable a borrar los datos personales sin dilación indebida cuando concurre alguno de sus supuestos —ya no son necesarios, se retira el consentimiento, hay oposición o el tratamiento es ilícito—, salvo que aplique una excepción como una obligación legal o la libertad de expresión.
Puntos clave
- El derecho de supresión (art. 17.1) opera cuando los datos ya no son necesarios, se retira el consentimiento, prospera la oposición, el tratamiento es ilícito o existe obligación legal de borrar.
- No es absoluto: el art. 17.3 excepciona la libertad de expresión, el cumplimiento de obligaciones legales, el interés público y la defensa de reclamaciones.
- En España, el art. 32 LOPDGDD impone el bloqueo al rectificar o suprimir datos, con un fin y plazo muy delimitados; no equivale a conservarlos para el uso ordinario.
- El derecho al olvido en buscadores (art. 93 LOPDGDD) nace de la doctrina Google Spain / Costeja del TJUE, de origen español; el art. 94 regula las redes sociales.
- La retirada de un resultado de búsqueda no borra necesariamente la página de origen ni impide encontrarla mediante otros términos.
Qué es el derecho de supresión y cuándo aplica
El derecho de supresión —heredero de la antigua “cancelación”— permite al interesado obtener del responsable el borrado de sus datos personales sin dilación indebida. El art. 17.1 RGPD enumera los supuestos tasados en los que procede:
- Los datos ya no son necesarios para los fines que motivaron su recogida o tratamiento.
- El interesado retira el consentimiento y no existe otra base que legitime el tratamiento.
- El interesado se opone al tratamiento conforme al art. 21.1 y no prevalecen motivos legítimos imperiosos, o se opone a la mercadotecnia directa conforme al art. 21.2.
- Los datos se trataron ilícitamente.
- Deben suprimirse para cumplir una obligación legal.
- Se recabaron en relación con servicios de la sociedad de la información ofrecidos a menores.
Cuando concurre uno de estos supuestos, el borrado es una obligación, no una concesión. Y si el responsable había hecho públicos los datos, el art. 17.2 le obliga a adoptar medidas razonables para informar a otros responsables de la solicitud de supresión.
Las excepciones del art. 17.3
El derecho de supresión no es ilimitado. El art. 17.3 RGPD permite conservar datos en la medida en que el tratamiento sea necesario para:
- Ejercer la libertad de expresión e información.
- Cumplir una obligación legal o una misión de interés público.
- Motivos de interés público en el ámbito de la salud pública en los términos del art. 17.3.c, o archivo, investigación científica o histórica y estadística bajo las condiciones y garantías del art. 89.1 cuando la supresión haga imposible u obstaculice gravemente el objetivo.
- La formulación, ejercicio o defensa de reclamaciones.
Ejemplo cotidiano: un cliente pide borrar su factura, pero la normativa fiscal y mercantil obliga a conservarla. Aquí no se borra: se aplica el régimen que explica la guía de limitación de la conservación.
El bloqueo de datos del art. 32 LOPDGDD
España añade una regla operativa propia. El artículo 32 LOPDGDD obliga al responsable a bloquear datos cuando procede a su rectificación o supresión. El bloqueo identifica y reserva la información mediante medidas que impiden incluso su visualización, salvo su puesta a disposición de jueces, tribunales, Fiscalía o administraciones competentes para exigir posibles responsabilidades derivadas del tratamiento, durante el plazo de prescripción. Después debe destruirse. La regla no se activa únicamente cuando una ley impide borrar: se vincula a la rectificación o supresión; tampoco permite seguir utilizando los datos en atención al cliente o marketing. El art. 32.4 prevé una copia segura si el sistema no permite el bloqueo o adaptarlo exige un esfuerzo desproporcionado. Las autoridades pueden establecer excepciones limitadas conforme al art. 32.5. Distinga además los datos que continúan conservándose por una obligación legal específica de la copia bloqueada para posibles responsabilidades.
El derecho al olvido en buscadores
El derecho al olvido es una manifestación específica de la supresión frente a los motores de búsqueda. Su origen es español: la sentencia Google Spain, S.L. y Google Inc. contra AEPD y Mario Costeja (TJUE, asunto C-131/12, 13 de mayo de 2014) reconoció que un particular puede pedir la desindexación de resultados que asocian su nombre a información inadecuada, no pertinente o excesiva. Los arts. 93 y 94 LOPDGDD recogen ahora expresamente el derecho al olvido en búsquedas de internet y en servicios de redes sociales.
El artículo 93 LOPDGDD permite solicitar que un buscador retire enlaces de la lista obtenida al buscar el nombre de una persona cuando la información sea inadecuada, inexacta, no pertinente, desactualizada o excesiva, valorando el interés público. La página original puede seguir siendo lícita y accesible mediante otras búsquedas. El artículo 94 regula supuestos distintos en redes sociales, incluida la información aportada por el propio usuario, la publicada por terceros y la aportada cuando era menor. Consulte también el catálogo de derechos digitales. No dé por hecho que una petición idéntica produce el mismo resultado frente al medio, el buscador y la red social: cada responsable y cada servicio tienen una función diferente.
Supresión frente a otros derechos
La supresión se confunde a menudo con figuras próximas, y distinguirlas evita errores de tramitación. No es lo mismo suprimir que limitar el tratamiento (art. 18): la limitación “congela” los datos sin borrarlos, mientras que la supresión los elimina. Tampoco equivale a retirar el consentimiento: la retirada detiene el tratamiento futuro, pero no obliga por sí sola a borrar si existe otra base o una obligación de conservación. Y la supresión no es automática: el responsable debe comprobar que concurre un supuesto del art. 17.1 y que no aplica ninguna excepción antes de actuar.
Otra distinción clave: el derecho de supresión se dirige al responsable que trata los datos; el derecho al olvido de los arts. 93 y 94 LOPDGDD regula obligaciones específicas de buscadores y redes. Un ciudadano puede lograr la desindexación de una noticia en Google sin que ello implique que el medio que la publicó deba borrarla, porque ahí puede prevalecer la libertad de información del art. 17.3.a). Esta asimetría es precisamente la que estableció la doctrina Costeja y la que sigue guiando las resoluciones de la AEPD en la materia.
Tres decisiones distintas ante una misma petición
Imagine que una antigua clienta pide «borrad todo lo que tenéis sobre mí». El equipo localiza su cuenta, un pedido, una factura y un ticket de soporte. La cuenta y las preferencias publicitarias pueden dejar de ser necesarias; la factura puede estar sujeta a una obligación mercantil o fiscal; el ticket exige valorar si sigue abierto, si contiene datos de terceros y si existe una reclamación real. No basta responder que «el sistema obliga a conservarlo todo». Separe finalidades y copias, anote la base que justifica cada conservación y aplique restricciones de acceso. La guía de limitación de la conservación ayuda a fijar el plazo de cada categoría.
Si se suprime la cuenta, revise también copias operativas, exportaciones y encargados del tratamiento. El art. 19 RGPD exige comunicar la supresión a los destinatarios a quienes se comunicaron datos, salvo que sea imposible o suponga un esfuerzo desproporcionado; informe de dichos destinatarios al interesado si lo solicita. Si los datos se habían hecho públicos, el art. 17.2 exige medidas razonables, teniendo en cuenta la tecnología disponible y el coste, para informar a otros responsables que tratan enlaces o copias. Esa obligación es de medios razonables, no una garantía de que desaparezca toda réplica de internet. Documente qué destinatarios se identificaron, qué aviso se envió y qué límites reales encontró.
En España, cuando se realiza la supresión o rectificación se incorpora la fase de bloqueo del art. 32 LOPDGDD para la responsabilidad derivada del tratamiento. Diseñe el sistema para que la copia bloqueada quede fuera de búsquedas, atención al cliente y análisis; reserve acceso excepcional y registre quién lo ejerce. No confunda esta fase con la conservación de una factura todavía necesaria por una ley tributaria. Cuando vence cada motivo, la copia correspondiente debe pasar a su siguiente estado y finalmente destruirse. La plantilla de plazos de conservación puede ayudar a representar esos estados sin mezclar todos los datos de una persona en una sola fecha.
Cómo valorar la oposición y la retirada del consentimiento
Una retirada de consentimiento detiene el tratamiento sustentado en esa base, pero debe comprobarse si existe otra base auténtica para un tratamiento diferente. No puede inventarse a posteriori una base para continuar exactamente la misma campaña. Ante una oposición a marketing directo, el art. 21.2 y 21.3 RGPD da un resultado especialmente claro: los datos dejan de tratarse para esa finalidad. Puede ser necesario mantener una lista mínima de exclusión para evitar volver a contactar, con acceso y plazo proporcionados. Para una oposición bajo art. 21.1 a un tratamiento basado en interés público o interés legítimo, el responsable debe valorar los motivos legítimos imperiosos o la defensa de reclamaciones. El análisis y la respuesta deben reflejar la diferencia. Consulte el procedimiento del derecho de oposición.
Cuando se pretende retener datos por reclamaciones, identifique la reclamación posible o existente, el tipo de prueba que se necesita y su periodo. No es razonable conservar todos los mensajes de todos los usuarios «por si acaso». El art. 17.3.e permite conservación necesaria para formular, ejercer o defender reclamaciones, no una excepción ilimitada. Restrinja el acceso al expediente, defina una revisión al cerrarse el conflicto y suprima los elementos no necesarios. Una denegación parcial debe explicar qué parte se mantiene, por qué, y cuándo se revisará, sin revelar datos de terceros ni información que pueda perjudicar un procedimiento legítimo.
La respuesta que debe recibir la persona
Acuse recibo de la solicitud y compruebe identidad solo en la medida necesaria; si hay dudas razonables puede solicitar información adicional, pero pedir siempre una copia del documento de identidad puede ser excesivo. Registre la fecha de entrada y el canal. La decisión se comunica sin dilación indebida y normalmente dentro de un mes; la prórroga legal requiere comunicación motivada dentro de ese primer mes. Cuando no se adopten medidas, el art. 12.4 exige informar sin demora, a más tardar en un mes, de los motivos y de la posibilidad de reclamar ante una autoridad de control y acudir a la vía judicial.
Una respuesta útil distingue datos suprimidos, datos mantenidos por una obligación concreta y datos bloqueados conforme a la ley española. Indique las actuaciones respecto de destinatarios cuando corresponda. No prometa una eliminación universal de copias que no controla. El modelo de respuesta a derechos puede servir para ordenar el mensaje, pero la motivación debe corresponder al caso real. Conserve el expediente del ejercicio del derecho el tiempo necesario para acreditar cómo se gestionó, separado de los datos cuya supresión se solicitó y sujeto a su propia política de conservación.
Buscador, noticia y red social: ejemplo práctico
Una noticia antigua menciona a una persona por su nombre. Esta pide que desaparezca del buscador. El análisis del art. 93 considera exactitud, actualidad, pertinencia, tiempo transcurrido, interés público y circunstancias personales. El resultado puede ser retirar el enlace en búsquedas por su nombre sin borrar la noticia. También puede subsistir el interés público, por ejemplo respecto de una actividad profesional actual; la decisión debe motivarse, no deducirse de la mera antigüedad. Si la información es inexacta, la persona puede plantear además el derecho de rectificación frente al responsable de la fuente.
En una red social la persona puede solicitar la supresión de datos que ella misma aportó para publicación conforme al art. 94.1. Si los aportó un tercero, el art. 94.2 exige examinar las condiciones descritas en la ley y su excepción doméstica. Si el contenido se aportó cuando el afectado era menor, el art. 94.3 prevé su supresión a simple solicitud sin exigir las circunstancias del apartado segundo. Son rutas distintas; conviene escoger al destinatario correcto y describir el contenido o enlace exacto. La desindexación de un buscador no equivale a cerrar una cuenta ni a retirar una publicación original.
Cómo tramitar una solicitud de supresión
Un procedimiento correcto sigue cinco pasos:
- Registrar la solicitud con fecha; el plazo es de un mes (art. 12.3 RGPD).
- Verificar la identidad de forma proporcionada.
- Comprobar el supuesto: ¿encaja en el art. 17.1? ¿aplica alguna excepción del art. 17.3?
- Decidir por dato y finalidad: suprimir cuando proceda, aplicar el bloqueo español cuando corresponda o explicar la excepción que permite conservar una parte.
- Comunicar al interesado y, si procede, a los destinatarios de los datos (art. 19) y a otros responsables (art. 17.2).
La diferencia entre supresión y bloqueo, y entre RGPD y matices nacionales, se entiende mejor con la guía de diferencias clave entre LOPDGDD y RGPD. No atender correctamente estas solicitudes es una fuente directa de sanciones RGPD.
Véase también: derecho a la portabilidad de datos, derecho de rectificación y modelos de respuesta a derechos ARCO.
Verificar que la decisión se ejecutó
Después de responder, compruebe que la orden llegó a los sistemas donde estaba cada dato. Un borrado en la interfaz puede dejar el registro en herramientas de soporte, exportaciones periódicas o copias de trabajo. Identifique al encargado que recibe la instrucción y solicite un resultado verificable; el acuerdo del artículo 28 RGPD debe reflejar las obligaciones pertinentes. En copias de seguridad, defina una política de retención y un procedimiento para que una restauración no devuelva al uso ordinario datos cuya supresión ya se decidió. No declare que todo está eliminado si todavía quedan copias sujetas a una excepción o a un ciclo de sustitución justificado.
Conserve una trazabilidad mínima de la solicitud, los criterios aplicados y las acciones realizadas. Ese expediente debe tener su propia finalidad y plazo, con acceso limitado, porque también contiene datos personales. Una revisión por muestreo puede revelar errores recurrentes: solicitudes asociadas a una cuenta equivocada, mensajes de destinatarios sin respuesta o bloqueos que nunca llegan a su fecha de destrucción. Si el caso revela una regla deficiente, corrija el procedimiento general. La buena gestión de un derecho se mide por el resultado real para la persona y por una explicación honesta de las partes que no pudieron suprimirse.
FAQ
¿El derecho de supresión obliga siempre a borrar los datos?
No. Solo obliga cuando concurre un supuesto del art. 17.1 y no aplica ninguna excepción del art. 17.3. Si una obligación legal exige conservar un documento, se conserva solo lo necesario bajo esa obligación. El bloqueo del art. 32 LOPDGDD responde a la rectificación o supresión y tiene su finalidad legal específica; no es una autorización general para usar normalmente los datos conservados.
¿Qué diferencia hay entre derecho de supresión y derecho al olvido?
El derecho de supresión es el borrado de datos frente a cualquier responsable. En buscadores, el art. 93 LOPDGDD trata de retirar enlaces de resultados asociados al nombre; en redes, el art. 94 reconoce varias modalidades de supresión de datos publicados. Ninguno implica automáticamente borrar la fuente periodística.
¿Qué es el bloqueo de datos del art. 32 LOPDGDD?
Es la reserva de los datos, impidiendo su tratamiento con medidas técnicas y organizativas, al rectificar o suprimir, con acceso excepcional para exigir posibles responsabilidades derivadas del tratamiento durante su plazo de prescripción. Después procede la destrucción, salvo excepción aplicable.
¿Puede un menor ejercer el derecho de supresión con más facilidad?
Sí. El art. 17.1.f) refuerza la supresión de datos recabados de menores en servicios de la sociedad de la información. En España, además, se tiene en cuenta que el consentimiento del menor se admite a partir de los 14 años (art. 7 LOPDGDD).
Fuentes oficiales: AEPD, Reglamento (UE) 2016/679 (RGPD) y Ley Orgánica 3/2018 (LOPDGDD).