Hay una consecuencia de las brechas que casi nadie anticipa y que llega puntualmente unas semanas después: la oleada de solicitudes de supresión. Llegan muchas, llegan parecidas y a menudo llegan coordinadas. Cada una mal gestionada es una reclamación nueva, distinta e independiente de la brecha que la originó.
Es decir: el incidente le expone una vez, y su forma de contestar el correo de después le expone otra. La segunda exposición es enteramente evitable.
Qué le exige el artículo 17
El derecho de supresión no es una cortesía que se atiende cuando hay tiempo. Tiene forma, tiene plazo y tiene consecuencias. Empecemos por la forma.
El responsable del tratamiento está obligado a conceder al interesado un procedimiento sencillo y gratuito para atender el ejercicio de estos derechos
Sencillo y gratuito. Un formulario que obliga a registrarse, un buzón que nadie lee o un requisito inventado no son un procedimiento: son un incumplimiento adicional que se sumará al principal.
El responsable del tratamiento debe resolver la solicitud de forma expresa, incluso cuando no disponga de datos de carácter personal de los interesados que ejercitan sus derechos, y debe hacerlo con independencia del procedimiento que utilice el interesado para ejercitar su derecho
Este párrafo es el que más disgustos da. Si usted no tiene datos de esa persona, la respuesta correcta no es el silencio: es contestar expresamente que no los tiene. El silencio se lee como desatención, y la desatención es reclamable aunque en el fondo usted tuviera razón.
El reloj: un mes, y la prórroga tiene su propia regla
En el caso del derecho a la supresión de los datos, éste debe atenderse sin dilación indebida y, en todo caso, en el plazo de un mes. No obstante, el responsable del tratamiento puede acudir a una prórroga de dos meses más en el caso de que sea indispensable, por la complejidad de la solicitud [...] el responsable debe comunicar dicha prórroga al interesado dentro del plazo del mes inicial
Retenga la trampa, porque cae mucha gente. La prórroga no se gana por ser compleja la solicitud: se gana por comunicarla dentro del primer mes. Si deja pasar el mes y luego alega complejidad, ya no tiene prórroga. Tiene un incumplimiento y una fecha en su contra.
La cara defensiva: quién tiene que probar qué
Ahora la parte que casi nadie cuenta y que, en las reclamaciones en serie, decide muchos asuntos. La carga de acreditar que la solicitud se envió y se recibió no es suya.
[...] recae sobre el reclamante la carga de acreditar el envío y la recepción de la solicitud [...] circunstancias que resultan imprescindibles para estimar ejercitado su derecho
Muchas reclamaciones en serie se sostienen sobre un correo del que no consta acuse, o sobre la simple afirmación de haber escrito. Si el reclamante no puede acreditar envío y recepción, el derecho no se tiene por ejercitado. Y sin ejercicio no hay desatención que reprocharle a usted.
Esto tiene una implicación operativa muy concreta. Su registro de entradas no solo sirve para cumplir: sirve para negar con solvencia lo que nunca entró. Un registro que únicamente anota lo que se contesta es medio registro, y el medio que falta es justo el que le defiende.
Lo lícito hoy puede dejar de serlo mañana
Queda un segundo frente, más silencioso. Una solicitud de supresión no se contesta consultando cómo se obtuvieron los datos en su momento.
[...] incluso un tratamiento inicialmente lícito de datos exactos puede devenir, con el tiempo, incompatible con dicha Directiva [actual RGPD] cuando estos datos ya no sean necesarios en relación con los fines para los que se recogieron o trataron
La pregunta correcta es si hoy, a día de hoy, esos datos siguen siendo necesarios para la finalidad que los justificó. Un «sí» de hace seis años no contesta esa pregunta.
Tras una brecha esto se agrava. Se crean listados de trabajo para localizar afectados, para cruzar registros, para preparar comunicaciones. Cuando el incidente se cierra, esos ficheros pierden su razón de ser. Conservarlos «por si acaso» es fabricar el próximo problema con sus propias manos.
El procedimiento mínimo, en seis pasos
- Un canal único y visible, gratuito, que no obligue a registrarse ni a rellenar formularios propios.
- Registro de entrada con fecha, medio y contenido de cada solicitud recibida.
- Identificación proporcionada del solicitante, sin pedir más de lo necesario y dejando constancia de lo comprobado.
- Decisión motivada: qué se suprime, qué se limita, qué se deniega y por qué.
- Respuesta expresa dentro del mes; si habrá prórroga, comunicarla antes de que venza ese mes.
- Cierre: constancia de la supresión efectiva en todos los sistemas y de lo comunicado a terceros.
Seis pasos y ninguno técnico. Son decisiones de organización, las toma la dirección y todas dejan papel. Ese papel es, a la vez, su cumplimiento y su defensa.
Qué gana con esto, en términos de negocio
Gana previsibilidad. Una oleada de cincuenta solicitudes con procedimiento es una tarea administrativa de dos semanas. La misma oleada sin procedimiento es una crisis: nadie sabe cuántas hay, se contestan dos, se pierden tres, y las que se pierden vuelven convertidas en reclamación.
Y gana capacidad de rechazar lo que no procede. Con registro, usted separa las solicitudes reales de las que solo se afirman, y contesta a cada grupo lo que corresponde. Sin registro, todo son afirmaciones enfrentadas y usted es quien parte en desventaja. En qué mira un tribunal cuando llega la reclamación verá por qué este punto aparece siempre entre los cinco decisivos.
¿Debo suprimir siempre que me lo pidan?
No. El derecho nace cuando concurre alguna de las circunstancias tasadas del artículo 17, y hay tratamientos que debe conservar por obligación legal. Lo que sí debe hacer siempre es resolver expresamente y motivar la negativa dentro del plazo.
¿Cuenta como respuesta un acuse automático?
No. El acuse acredita la entrada, que es útil para su registro, pero no es la resolución expresa que exige la norma.
¿Y si la solicitud llega por un canal que no es el oficial?
Hay que atenderla igual. La obligación de resolver es independiente del procedimiento que el interesado haya elegido para ejercitar su derecho.
Si no sabe cuántas solicitudes recibió el año pasado ni qué se contestó a cada una, el Test de Gestión de Brecha le dirá dónde está exactamente ese hueco.
¿Podría acreditar cada respuesta que dio?
Doce preguntas sobre lo que su empresa puede probar. Al final, su Índice de Defendibilidad y los puntos que conviene cerrar primero.
Hacer el Test de Gestión de Brecha