Nuevo Hype Cycle™: avances y desafíos en la modernización de servicios sociales. Descubre el informe de Gartner.
El derecho de supresión es mucho más que eliminar un registro de una base de datos. Para las organizaciones, supone ser capaces de localizar, bloquear y eliminar datos personales de forma completa, trazable y conforme a la normativa, incluso cuando esos datos están distribuidos entre múltiples aplicaciones, sistemas y entornos.
El derecho de supresión es el derecho de una persona a que sus datos personales sean eliminados cuando ya no exista una base legítima o una finalidad válida para conservarlos. A su vez, implica para las organizaciones la obligación de identificar y suprimir, incluso de forma proactiva y sin esperar una solicitud, aquellos datos que hayan dejado de ser necesarios, cuyo plazo de conservación haya finalizado o cuyo tratamiento ya no resulte lícito.
Aunque popularmente suele asociarse al derecho al olvido, ambos conceptos no son exactamente equivalentes. El derecho al olvido constituye una aplicación específica del derecho de supresión en buscadores y servicios de internet, mientras que el derecho de supresión afecta al conjunto de sistemas donde una organización almacena y trata información personal.
Desde un punto de vista jurídico, el derecho parece sencillo. Sin embargo, desde una perspectiva técnica supone uno de los mayores retos para las organizaciones. Hoy en día los datos personales rara vez residen en una única base de datos: suelen estar repartidos entre ERPs, CRMs, plataformas de marketing, aplicaciones de soporte, sistemas documentales, herramientas analíticas, copias de seguridad e incluso entornos de desarrollo y pruebas.
Por eso, cumplir realmente con el derecho de supresión no consiste únicamente en atender una solicitud. Requiere disponer de procesos, tecnología y trazabilidad suficientes para garantizar que los datos dejan de tratarse allí donde existan.
En este artículo analizamos qué exige la normativa, cuándo procede el derecho de supresión, cuáles son sus principales retos técnicos y cómo implantar un proceso capaz de responder de forma eficiente y demostrable.
Aunque la terminología y algunos requisitos varían entre países, la mayoría de legislaciones modernas de protección de datos reconocen el derecho de las personas a solicitar la eliminación de su información personal.
El Reglamento General de Protección de Datos (GDPR) reconoce este derecho en su artículo 17, conocido como el derecho de supresión o derecho al olvido.
Entre otras obligaciones, establece que el responsable del tratamiento debe eliminar los datos personales sin dilación indebida cuando concurra alguna de las circunstancias previstas por la normativa y, además, adoptar medidas razonables para informar a aquellos terceros con quienes hubiera compartido dichos datos.
El incumplimiento puede conllevar sanciones de hasta 20 millones de euros o el 4 % de la facturación anual global, dependiendo de cuál sea la cuantía mayor.
También te puede interesar: Guía sobre el Reglamento General de Protección de Datos (GDPR).
En España, la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) desarrolla y complementa el GDPR.
Además de recoger el derecho de supresión, incorpora disposiciones específicas sobre el derecho al olvido en internet y redes sociales, regulando cómo deben actuar determinados prestadores de servicios digitales.
La nueva Ley 21.719 sobre Protección de Datos Personales reconoce el derecho de supresión y el bloqueo temporal de los datos, una figura comparable a la limitación del tratamiento prevista en el GDPR.
Para las organizaciones, esto implica poder diferenciar entre datos activos, bloqueados y pendientes de eliminación.
También te puede interesar: Ley 21.719: obligaciones técnicas para las empresas chilenas.
La normativa californiana reconoce igualmente el derecho de los consumidores a solicitar la eliminación de sus datos personales.
Uno de sus aspectos más relevantes es que la obligación no termina en la propia organización: también debe trasladarse a aquellos proveedores que estén tratando la información por cuenta del responsable.
La Ley General de Protección de Datos (LGPD) también contempla el derecho de eliminación de datos personales, especialmente cuando el tratamiento se basa en el consentimiento del interesado.
La autoridad encargada de supervisar su cumplimiento es la Autoridad Nacional de Protección de Datos Personales (ANPD).
En Colombia, el derecho de supresión forma parte del derecho fundamental al Habeas Data.
La normativa permite solicitar la eliminación de los datos cuando no exista una obligación legal o contractual que justifique su conservación o cuando el tratamiento haya vulnerado los derechos del titular.
Aunque cada legislación incorpora matices propios, existe un conjunto de situaciones comunes en las que el interesado puede solicitar la eliminación de sus datos.
Las principales son:
La organización debe analizar cada solicitud de forma individual, comprobar la identidad del solicitante y responder dentro del plazo establecido por la normativa aplicable.
No todas las solicitudes pueden resolverse eliminando inmediatamente los datos. Una organización puede estar obligada a conservar determinada información para cumplir requisitos tributarios, mercantiles, laborales o regulatorios. También puede necesitarla para ejecutar un contrato vigente, atender una reclamación o defender sus intereses ante un procedimiento judicial.
Entre las excepciones más habituales encontramos:
Por tanto, una solicitud de supresión no debería activar un borrado automático e indiscriminado.
Antes de actuar, la organización debe determinar qué datos pueden eliminarse, cuáles deben conservarse y qué restricciones deben aplicarse durante el periodo de retención.
Cuando una persona solicita la eliminación de su información, la organización debe tomar varias decisiones antes de ejecutar cualquier acción.
Debe verificar si la solicitud es procedente, conocer qué información está asociada al titular, determinar si existen obligaciones de conservación y decidir qué tratamiento debe aplicarse en cada sistema.
Por ello, conviene diferenciar tres conceptos.
Consiste en borrar definitivamente los datos cuando ya no existe una finalidad legítima ni una obligación que justifique su conservación.
La eliminación debe contemplar las distintas ubicaciones en las que la información se encuentre replicada y evitar que vuelva a incorporarse al tratamiento activo.
El bloqueo impide que los datos continúen utilizándose con fines operativos, comerciales o administrativos, aunque deban conservarse temporalmente para atender una obligación legal o una posible reclamación.
Los datos bloqueados deben permanecer fuera de los procesos ordinarios y ser accesibles únicamente bajo condiciones controladas.
La anonimización transforma los datos de manera que ya no puedan asociarse, de forma razonablemente reversible, con una persona física.
No debe confundirse con la pseudonimización. Cuando existe información adicional que permite reconstruir la identidad del titular, los datos continúan considerándose personales y siguen sujetos a la normativa.
La técnica adecuada dependerá de la finalidad, el tipo de dato, la obligación de conservación y el contexto tecnológico.
También te puede interesar: Técnicas de anonimización de datos.
Cumplir con el derecho de supresión requiere gestionar el ciclo de vida completo de la información personal. El proceso debe comenzar antes de recibir una solicitud y continuar hasta que los datos hayan sido eliminados o anonimizados definitivamente.
En la práctica, puede estructurarse en cuatro fases.
El primer paso consiste en saber qué datos personales trata la organización, dónde se encuentran, qué aplicaciones los utilizan y cómo se relacionan entre sí.
Este ejercicio de gobernanza debe permitir responder preguntas como:
Un mismo cliente puede aparecer en el CRM, el ERP, la plataforma de soporte, una herramienta de marketing, un repositorio documental y un sistema analítico. También pueden existir copias en entornos de integración, pruebas o respaldo.
No se trata únicamente de elaborar un inventario de aplicaciones. Es necesario comprender el recorrido del dato y las dependencias existentes entre los sistemas.
Sin esta visibilidad, cualquier proceso de supresión corre el riesgo de ser parcial.
Un mapa de datos sensibles permite identificar la presencia de información personal, entender su distribución y establecer una base común para los equipos de privacidad, seguridad, datos e IT.
También te puede interesar: Mapa de Datos Sensibles.
Una vez localizada la información, la organización debe definir reglas claras sobre cuándo conservar, bloquear o eliminar los datos. Estas reglas no deben aplicarse únicamente ante solicitudes individuales, sino también de forma proactiva, en función de la finalidad del tratamiento, la base jurídica y los plazos de conservación.
Cuando la eliminación inmediata no sea posible, debe aplicarse un bloqueo que impida el uso de la información en los procesos habituales.
Esto supone evitar que los datos bloqueados puedan utilizarse en:
El bloqueo no es simplemente una marca administrativa. Debe traducirse en restricciones reales sobre el tratamiento y mantenerse de forma coherente en los sistemas afectados.
Durante el periodo de retención, los datos deben mantenerse únicamente para atender las finalidades que justifican su conservación.
El acceso debería limitarse a usuarios autorizados y quedar registrado. También deben evitarse operaciones que reactiven o repliquen innecesariamente la información.
En esta fase resulta fundamental contar con criterios claros sobre:
Una vez finalizado el periodo de conservación, los datos deben eliminarse o anonimizarse de forma irreversible.
La acción debe extenderse a los sistemas incluidos en el alcance del proceso y contemplar las posibles relaciones entre registros. Eliminar una fila aislada puede no ser suficiente si existen datos vinculados en otras tablas, aplicaciones o repositorios.
También debe existir un mecanismo que impida que una restauración posterior de una copia de seguridad vuelva a incorporar al tratamiento activo datos que ya habían sido suprimidos.
El derecho de supresión no afecta únicamente a la base de datos principal de la organización.
Su alcance debe definirse atendiendo al recorrido real de la información. Esto incluye tanto los sistemas que utilizan directamente los datos como aquellos que los reciben mediante integraciones, exportaciones o copias periódicas.
Habitualmente, el análisis debe contemplar:
La organización debe determinar qué acción corresponde en cada caso. Algunos sistemas permitirán una eliminación inmediata; otros requerirán bloqueo, anonimización o una política específica de retención.
El objetivo no es aplicar la misma operación en todos los entornos, sino garantizar que el resultado sea coherente con la solicitud y con las obligaciones legales aplicables.
Los datos de un titular pueden aparecer bajo distintos identificadores: nombre, correo electrónico, número de cliente, documento de identidad, identificador interno o datos de contacto.
Localizar correctamente toda la información exige definir reglas que permitan relacionar registros sin afectar a personas distintas ni dejar información fuera del proceso.
Las organizaciones suelen operar con bases de datos, aplicaciones SaaS, sistemas legacy y desarrollos internos que utilizan modelos y tecnologías diferentes.
Cada sistema puede requerir una forma distinta de localizar, bloquear o eliminar la información, lo que complica la implantación de un proceso uniforme.
Un registro puede estar relacionado con facturas, contratos, incidencias, operaciones o documentación que deba conservarse.
Eliminar información sin analizar estas dependencias puede afectar a la integridad de los sistemas o provocar la pérdida de evidencias necesarias. El reto consiste en proteger la identidad del titular sin comprometer datos que deban mantenerse por una obligación legítima.
Cuando los datos se comparten con encargados del tratamiento o proveedores tecnológicos, la organización debe disponer de procedimientos para trasladar y verificar la ejecución de la solicitud.
La trazabilidad no debería terminar en los sistemas internos.
Los plazos legales obligan a coordinar a los equipos de privacidad, legal, IT, seguridad y negocio.
Cuando cada solicitud depende de búsquedas manuales y acciones independientes, aumenta el riesgo de retrasos, omisiones y respuestas difíciles de demostrar.
Los entornos de desarrollo, QA y testing suelen quedar fuera de los procesos de supresión, a pesar de que pueden contener copias completas o parciales de datos productivos.
Una organización puede eliminar la información de un cliente en producción y, sin embargo, mantenerla activa en una base de datos utilizada para validar aplicaciones, reproducir incidencias o realizar pruebas funcionales.
Mientras esos registros permitan identificar a una persona, continúan siendo datos personales y deben incluirse en las medidas de protección y gestión del ciclo de vida.
La estrategia más adecuada no consiste únicamente en buscar y eliminar solicitudes individuales en cada entorno no productivo. También es necesario reducir estructuralmente la exposición.
El uso de datos anonimizados permite conservar características, relaciones y casuísticas útiles para las pruebas sin trasladar innecesariamente identidades reales. Cuando resulte adecuado para el caso de uso, los datos sintéticos pueden constituir otra alternativa.
Además de facilitar el cumplimiento del derecho de supresión, esta práctica reduce el riesgo de que datos personales queden distribuidos entre entornos con controles de acceso menos restrictivos que los de producción.
La gestión manual puede parecer suficiente cuando la organización recibe pocas solicitudes y opera con un número reducido de sistemas.
Sin embargo, la complejidad aumenta rápidamente a medida que crecen el volumen de datos, las aplicaciones y las obligaciones regulatorias.
En un proceso manual, cada solicitud puede exigir:
Este modelo consume tiempo especializado y dificulta verificar que el proceso se haya completado correctamente.
La automatización permite convertir una serie de actuaciones aisladas en un flujo repetible y controlado. Entre sus principales beneficios se encuentran:
Automatizar no significa eliminar la supervisión humana. Las decisiones sobre procedencia, excepciones y alcance pueden seguir requiriendo validación jurídica o funcional. La automatización permite ejecutar esas decisiones con mayor consistencia sobre los sistemas y los datos.
Implementar el derecho de supresión requiere pasar de la gestión administrativa de una solicitud a la actuación efectiva sobre los datos.
icaria Data Privacy ayuda a las organizaciones a localizar y proteger información personal y a automatizar procesos relacionados con su ciclo de vida, como el bloqueo, la retención y la supresión.
Su objetivo es facilitar que las acciones definidas por los equipos de privacidad, legal e IT puedan ejecutarse sobre diferentes bases de datos y tecnologías, manteniendo la trazabilidad del proceso.
Esto permite reducir la dependencia de intervenciones manuales, mejorar el control sobre los datos y generar evidencias sobre las operaciones realizadas.
Pide una demo y descubre cómo icaria Data Privacy ayuda a automatizar el cumplimiento del derecho de supresión y otros derechos de los interesados.
El derecho de supresión permite solicitar la eliminación de datos personales tratados por una organización.
El derecho al olvido es una aplicación específica de este derecho en motores de búsqueda e internet, orientada a evitar que determinada información siga apareciendo indexada públicamente.
Sí, siempre que exista una obligación legal que justifique su conservación o concurra alguna de las excepciones previstas por la normativa. En ese caso, deberá informar al interesado de los motivos por los que no procede la supresión.
Las copias de seguridad también forman parte del ciclo de vida del dato. Las organizaciones deben disponer de procedimientos que impidan que esos datos vuelvan a incorporarse al tratamiento activo una vez ejercido el derecho de supresión.
Sí. Si contienen información personal identificable, forman parte del tratamiento y deben incluirse dentro del proceso de bloqueo o supresión. Por este motivo, cada vez más organizaciones sustituyen las copias de producción por datos anonimizados o datos sintéticos en sus entornos de desarrollo y pruebas.
Más allá del cumplimiento legal, necesita conocer dónde están sus datos, gobernar su ciclo de vida, coordinar los distintos sistemas que los tratan y disponer de procesos capaces de ejecutar y demostrar la supresión de forma completa.
