Imagine el caso más frecuente en los juzgados: la deuda era cierta, el contrato informaba correctamente y la inscripción en el fichero de morosidad fue lícita. Meses después, el deudor —o un despacho que gestiona reclamaciones en serie— remite una solicitud de supresión de datos. Nadie en su empresa la contesta a tiempo, o nadie la contesta en absoluto. Ese silencio es, por sí solo, munición para una demanda. Y las condenas por gestión defectuosa de datos en ficheros de morosidad se mueven, orientativamente, entre 3.000 y 10.000 euros más costas.
La conclusión práctica es incómoda pero clara: en materia de supresión de datos, el riesgo no está solo en cómo inscribe usted la deuda, sino en cómo responde después. Este artículo explica qué exigen exactamente los tribunales y, también, por qué muchas reclamaciones contra empresas fracasan por un fallo de prueba del propio reclamante.
Qué le exige el art. 17 RGPD: un procedimiento sencillo y gratuito
El derecho de supresión no se atiende «cuando se pueda» ni «como se pueda». El responsable del tratamiento —su empresa, si comunica datos de deudores— debe tener habilitado un canal para que cualquier interesado pueda ejercerlo sin obstáculos y sin coste. No vale exigir formularios imposibles, desviar al solicitante de un departamento a otro ni cobrar por tramitar la petición.
El responsable del tratamiento está obligado a conceder al interesado un procedimiento sencillo y gratuito para atender el ejercicio de estos derechos.
Traducción a decisión de negocio: si hoy un cliente enviara una solicitud de supresión a su buzón genérico de contacto, ¿sabría su equipo qué hacer con ella, en qué plazo y con qué registro? Si la respuesta es «depende de quién la lea», tiene un riesgo abierto.
Hay que resolver expresamente. Incluso si usted no tiene datos del solicitante
Este es el punto que más sorprende a los directivos. Aunque su empresa no conserve ningún dato de quien reclama —porque la deuda se cedió, porque el expediente se archivó o porque el solicitante se equivocó de destinatario—, la solicitud no puede quedar sin respuesta. El silencio nunca es una opción segura.
El responsable del tratamiento debe resolver la solicitud de forma expresa, incluso cuando no disponga de datos de carácter personal de los interesados que ejercitan sus derechos, y debe hacerlo con independencia del procedimiento que utilice el interesado para ejercitar su derecho.
Fíjese en el inciso final: «con independencia del procedimiento que utilice el interesado». Que la solicitud llegue por burofax, por correo electrónico o por un escrito atípico no le exime de contestar. Lo que sí puede exigir su empresa son los requisitos formales de identificación del solicitante; lo que no puede hacer es archivarla sin más.
El plazo: un mes. La prórroga no es un comodín
La supresión debe atenderse sin dilación indebida y, en todo caso, dentro de un mes. Existe una prórroga de dos meses adicionales, pero con dos condiciones acumulativas que conviene grabar en el procedimiento interno: solo cabe por la complejidad de la solicitud, y hay que comunicarla al interesado dentro del primer mes. Una prórroga invocada tarde, o invocada por simple comodidad operativa, no protege nada.
En el caso del derecho a la supresión de los datos, éste debe atenderse sin dilación indebida y, en todo caso, en el plazo de un mes. No obstante, el responsable del tratamiento puede acudir a una prórroga de dos meses más en el caso de que sea indispensable, por la complejidad de la solicitud… el responsable debe comunicar dicha prórroga al interesado dentro del plazo del mes inicial.
El tiempo también juega: lo que fue lícito puede dejar de serlo
Hay un segundo frente que las empresas suelen pasar por alto. Un dato inscrito correctamente no queda blindado para siempre: si deja de ser necesario para la finalidad que justificó su tratamiento, mantenerlo se convierte en una infracción. La foto fija de la inscripción no le salva si la película posterior es de abandono.
…incluso un tratamiento inicialmente lícito de datos exactos puede devenir, con el tiempo, incompatible con dicha Directiva [actual RGPD] cuando estos datos ya no sean necesarios en relación con los fines para los que se recogieron o trataron.
En la práctica: deudas pagadas que siguen inscritas, expedientes cerrados cuyos datos nadie depura, saldos ya litigiosos que continúan publicados. Cada uno de esos supuestos es una demanda en potencia, aunque el origen del tratamiento fuera intachable. Este principio conecta directamente con el deber de mantener los datos exactos y actualizados, que analizamos en los cinco errores que llevan a una empresa a ser condenada por inscribir a un moroso.
La cara defensiva: la carga de probar el envío y la recepción es del reclamante
Hasta aquí, las obligaciones. Ahora, la buena noticia para el empresario demandado. En los pleitos en serie es habitual que la demanda afirme que «se solicitó la supresión y la empresa no contestó». Pues bien: quien alega haber ejercido el derecho debe probar dos cosas, no una. Que envió la solicitud y que el responsable la recibió.
…recae sobre el reclamante la carga de acreditar el envío y la recepción de la solicitud de acceso, supuestamente formulada… circunstancias que resultan imprescindibles para estimar ejercitado su derecho.
Muchas reclamaciones en serie fallan exactamente aquí: un correo sin acuse, un pantallazo sin destinatario verificable, un burofax que nunca se entregó. Si su empresa registra la correspondencia entrante con rigor, podrá demostrar qué recibió y qué no, y desmontar la premisa de la demanda. La defensa empieza en el registro de entrada, no en el juzgado.
Qué hacer esta semana
- Designe un responsable interno de derechos RGPD con suplente. Las solicitudes no pueden depender de quién abra el buzón.
- Documente el procedimiento: entrada, verificación de identidad, resolución expresa, plazo de un mes, criterio de prórroga.
- Revise periódicamente los datos comunicados a ficheros: lo pagado, lo litigioso y lo prescrito deben salir sin que nadie lo pida.
- Conserve evidencia de cada respuesta enviada: en este terreno, lo que no se puede probar no existe.
Si quiere saber en qué punto está su empresa antes de que lo decida un juez, puede medirlo ahora mismo con el Test de Exposición: cinco minutos, sin datos confidenciales, con los mismos criterios que aplican las Audiencias Provinciales.
¿Resistiría su procedimiento de supresión una demanda?
Compruebe en cinco minutos si su empresa gestiona las solicitudes del art. 17 RGPD con los criterios que exigen los tribunales, y dónde está su exposición económica real.
Hacer el Test de Exposición