Un europeo me pidió borrar sus datos (GDPR)

¿Tienes razón?

Si un ciudadano europeo le pide borrar sus datos, lo que determina si debe hacerlo es la aplicación del reglamento europeo de protección de datos (GDPR) a su actividad. El GDPR puede alcanzarle aunque su empresa esté en México si usted ofrece bienes o servicios dirigidos a personas en la UE o monitoriza su comportamiento en territorio europeo. Debe valorar tres aspectos: si la persona es residente en la UE; si su tratamiento de datos entra en el alcance del reglamento; y si existe una base legal para continuar conservando los datos (por ejemplo, cumplimiento de una obligación legal, ejercicio de un derecho en un procedimiento o interés legítimo susceptible de prevalecer sobre la petición).

No todas las solicitudes de supresión son automáticas. Existen excepciones reconocidas en la normativa europea, como la necesidad de conservar datos por obligaciones legales, para la formulación o defensa de reclamaciones, o por razones de interés público. Si ninguna excepción aplica y el GDPR le resulta aplicable, normalmente tendrá la obligación de suprimir o anonimizar los datos solicitados.

Documentar bien la solicitud es crucial: identifique quién la formula y compruebe que el solicitante es efectivamente la persona cuyos datos se procesan. Si la solicitud es de un representante, pida acreditación del poder que le habilita.

Cómo se soluciona

1. Verifique la aplicabilidad del reglamento. Compruebe si su actividad se dirige al mercado europeo o si monitoriza comportamiento en la UE. Revise sus canales de comercialización y sus datos de clientes para determinar si está dentro del alcance.

1. Pida identificación y concreción por escrito. Solicite al interesado que precise qué datos quiere borrar y facilite elementos que permitan verificar su identidad. No solicite más datos de los necesarios para la verificación.

1. Localice los datos y evalúe la base legal. Identifique todos los sistemas donde conste la información (bases de datos, copias de seguridad, proveedores en la nube). Determine si existe alguna base legal que obligue a conservarlos, como cumplimiento de obligaciones legales, conservación por motivos fiscales o la necesidad para la formulación de una reclamación.

1. Si procede la supresión, actúe en cascada. Elimine los datos en sus sistemas principales y pida a terceros que sean responsables o encargados del tratamiento (proveedores, subcontratistas, plataformas) que procedan a la supresión. Documente cada actuación y guarde constancia.

1. Si existe excepción, comunique el motivo. Si decide denegar la solicitud por existir una excepción aplicable, notifique al solicitante con la base legal y explique en términos comprensibles por qué no procede la supresión. Ofrezca alternativas, como la limitación del tratamiento o la rectificación.

1. Preserve prueba de sus acciones. Archive comunicaciones, exportes de la supresión y solicitudes cursadas a proveedores. Estos documentos serán necesarios si el solicitante acude a una autoridad europea de control.

Acciones que puede hacer desde México sin abogado: identificar aplicabilidad, solicitar identificación y realizar la supresión técnica en sus sistemas. Cuándo buscar abogado: si el solicitante impugna su respuesta, si la cuestión implica obligaciones legales contradictorias entre México y la UE, o si su empresa tiene exposición relevante en el mercado europeo.

Qué puede pasar

1. Se completa la supresión y la relación queda resuelta. Si la petición es legítima y no hay excepciones, proceder a borrar los datos y comunicarlo suele cerrar el asunto.

1. Hay acuerdo o medidas alternativas. Puede proponerse limitar el tratamiento, anonimizar datos o rectificar la información en lugar de borrarla. Estas soluciones suelen ser prácticas cuando la conservación parcial resulta necesaria por razones operativas o legales.

1. Reclamación ante una autoridad europea o litigio. Si el solicitante considera que su respuesta es insuficiente, puede reclamar ante la autoridad de protección de datos del Estado miembro o iniciar acciones judiciales. En ese caso, la autoridad puede requerir documentación y evaluar la conformidad con el reglamento europeo. Si la autoridad determina que su respuesta fue inadecuada, puede imponer medidas administrativas que afecten a su actividad en la UE y, en algunos supuestos, sanciones.

Sobre la ejecución y cobro: si usted debe rectificar o pagar por daños, su cumplimiento puede depender de la capacidad de ejecución transfronteriza y de los recursos legales disponibles en México para cumplir resoluciones europeas.

Errores que arruinan el caso

• No verificar la identidad del solicitante y proceder a borrar sin confirmar quién pide la supresión.
• Olvidar los respaldos o copias en proveedores externos; borrar solo la base local deja copias activas en otros lugares.
• No documentar las comunicaciones y las acciones realizadas; sin registro es difícil defenderse ante una autoridad.
• Responder con plantillas vagas sin motivar la denegación cuando existe una excepción aplicable.
• Subestimar la aplicabilidad del GDPR por pensar que estar en México le exonera automáticamente; en muchos casos la normativa europea alcanza a controladores fuera de la UE.