Para una solicitud de supresión, también conocida como derecho al olvido, el RGPD establece un plazo de un mes. Ese mes comienza a contar desde el momento en que recibe la solicitud, no desde el momento en que identifica que se trata de una solicitud oficial conforme al RGPD. Si una solicitud es complicada, o recibe muchas de ellas en poco tiempo, puede prorrogar el plazo dos meses más. Sin embargo, debe notificarlo al interesado dentro del primer mes, indicando el motivo de la prórroga.
En la práctica, un mes es más corto de lo que parece. Una solicitud de supresión a menudo no llega como documento formal, sino como un correo electrónico, una llamada telefónica o un mensaje a través del formulario de contacto del sitio web. Para cuando alguien en la organización la identifica como una solicitud conforme al RGPD y la tramita a la persona correcta, ya ha transcurrido tiempo que no cuenta hacia el plazo.
Qué pone el reloj en marcha
El plazo comienza en el momento de la recepción, independientemente del canal por el que llegue la solicitud. Esto significa que una solicitud que recibe el servicio de atención al cliente, un vendedor o un recepcionista pone en marcha el plazo de la misma manera que una solicitud que llega directamente a la dirección o al departamento de recursos humanos. Muchas empresas descubren después que un mensaje que estuvo tres semanas en una bandeja de entrada era simplemente una solicitud de supresión. Las organizaciones que deseen limitar este riesgo harían bien en aclarar internamente cómo se identifican estos mensajes y a dónde deben remitirse inmediatamente.
Dónde el plazo se queda corto en la práctica
La mayor parte del retraso no se produce en la decisión de suprimir, sino en localizar todos los lugares donde se encuentran los datos. Un nombre y una dirección de correo electrónico pueden aparecer al mismo tiempo en un sistema CRM, un programa de facturación, una lista de correos, una copia de seguridad y en un tercero que procesa datos en su nombre, como un contador o una herramienta de marketing. Todos esos lugares deben revisarse, y con cada encargado del tratamiento que procesa datos en su nombre, debe verificar si y cómo lleva a cabo la supresión. Un registro de qué herramientas contienen qué datos ahorra mucho trabajo de búsqueda en este proceso. En la base de conocimientos se explica por situación qué le exige el RGPD y en qué se basa.
Una segunda fuente de retraso es la cuestión de si la supresión es pertinente en absoluto. No toda solicitud conduce automáticamente a la supresión. Los datos que debe conservar por una obligación legal, como ciertas partes de registros financieros o expedientes de personal dentro de un plazo legal de conservación, quedan fuera de la obligación de supresión mientras esa obligación se mantenga. También los datos necesarios para establecer, ejercer o defender reclamaciones legales pueden constituir una excepción. Corresponde a la organización misma determinar qué excepción se aplica en un caso concreto, posiblemente con asesoramiento legal; en caso de duda, la Autoridad de Protección de Datos puede proporcionar más claridad al respecto.
Cuándo está permitida la prórroga y cuándo no
La prórroga de dos meses no es automática que pueda invocar sin más. El RGPD vincula esa posibilidad a la complejidad de la solicitud o al número de solicitudes que debe tramitar simultáneamente. Una única solicitud simple de eliminar una dirección de una lista de correos no es probable que sea lo suficientemente compleja como para tomar tres meses. Una solicitud en la que los datos están dispersos en múltiples sistemas y durante varios años puede serlo. Es importante que notifique al interesado dentro del primer mes que va a prorrogar el plazo y por qué; si no lo hace, el plazo original de un mes simplemente continúa.
En la práctica: mantener el plazo manejable
La mayoría de los retrasos se pueden evitar sabiendo de antemano dónde se encuentran los datos, en lugar de tener que buscarlos nuevamente con cada solicitud. Un registro fijo de los sistemas utilizados, quién procesa qué datos en ellos y qué acuerdos existen con terceros, marca la diferencia entre una solicitud que se tramita en una semana y una que requiere el mes completo. Quien mantenga ese registro sincronizado con un sistema que supervise el plazo automáticamente, ya no tendrá que confiar en el calendario. Más información sobre cómo funciona este enfoque en la práctica y en qué fuentes se basa está en la página que explica de dónde procede la información.
Las solicitudes de supresión rara vez llegan en un momento fijo, y precisamente por eso es fácil dejar que transcurran los primeros días del plazo sin hacer nada. Quien desee que el plazo comience tan pronto como llegue una solicitud, puede configurarlo a través de una cuenta empresarial. Para preguntas similares sobre solicitudes de interesados también existe un resumen con respuestas más breves.
¿Duda si una solicitud concreta que recibe cae bajo la obligación de supresión, o qué excepción podría aplicarse? Se trata de una evaluación que varía según la situación, y es mejor que la discuta con un abogado o con la Autoridad de Protección de Datos. Si primero desea ver rápidamente dónde se encuentra aproximadamente, puede realizar el análisis rápido gratuito o revisar los temas en la base de conocimientos.