Definición
El Derecho de Supresión, también conocido como «derecho al olvido», es la facultad que otorga el artículo 17 del RGPD (Reglamento General de Protección de Datos) a cualquier persona física para solicitar a un responsable del tratamiento que elimine sus datos personales sin dilación indebida. En el contexto del comercio electrónico DTC (Direct-to-Consumer), esto significa que un cliente puede exigir que tu tienda online borre su nombre, email, dirección de envío, historial de compras, cookies de seguimiento y cualquier otro dato vinculado a su identidad digital.
A diferencia de la simple baja de un boletín, este derecho tiene carácter vinculante y sancionador: el responsable debe responder en un plazo máximo de 1 mes (prorrogable a 3 en casos complejos), y el incumplimiento puede acarrear multas de hasta 20 millones de euros o el 4 % del volumen de negocio anual global, lo que sea mayor.
Analogía: la tienda física y la caja de facturas
Imagina que regentas una tienda de ropa en Madrid. Un cliente compra durante años y tú guardas sus facturas, su talla, su dirección y sus preferencias en un archivador. Un día ese cliente entra y te dice: «Ya no quiero que tengas nada mío. Bórralo todo». No basta con dejar de enviarle catálogos: debes destruir las fichas, salvo aquellas que la ley fiscal te obligue a conservar (por ejemplo, facturas durante 4 años según la normativa española). El Derecho de Supresión funciona igual: no es un simple «date de baja», es una orden de destrucción selectiva de los datos personales.
Fórmula operativa
La lógica de aplicación se puede resumir así:
Solicitud válida + Ausencia de excepción legal = Supresión obligatoria en ≤ 30 días
Donde «excepción legal» incluye:
- Obligaciones contables o fiscales (facturas: 4 años en España).
- Ejercicio o defensa de reclamaciones legales.
- Interés público en salud pública o archivo histórico.
- Libertad de expresión e información.
Si la excepción no aplica, la supresión debe ser total y verificable, incluyendo copias de seguridad y sistemas de terceros (CRM, pasarelas de pago, proveedores logísticos).
Tabla comparativa: Supresión vs. otros derechos
| Derecho | ¿Qué permite? | Plazo de respuesta | ¿Afecta a datos históricos? |
|---|---|---|---|
| **Supresión (art. 17)** | Eliminar datos sin motivo legítimo | 1 mes | Sí, salvo excepciones |
| **Rectificación (art. 16)** | Corregir datos inexactos | 1 mes | No, solo modifica |
| **Limitación (art. 18)** | Congelar el tratamiento | 1 mes | No, bloquea uso |
| **Oposición (art. 21)** | Cesar tratamiento por interés legítimo | Sin dilación | No, cesa pero conserva |
| **Portabilidad (art. 20)** | Recibir datos en formato estructurado | 1 mes | No, exporta |
Aplicación en DTC / E-commerce
En una tienda online española, una solicitud de supresión típica llega por email o formulario web. El flujo correcto sería:
1. Verificar identidad del solicitante (DNI o doble confirmación por email).
2. Localizar todos los puntos de datos: Shopify, Mailchimp, Meta Ads, Google Analytics, ERP, proveedor de logística, atención al cliente.
3. Eliminar o anonimizar (si no hay base legal para conservar).
4. Notificar a terceros que tratan datos por cuenta del responsable.
5. Confirmar por escrito al cliente en un máximo de 30 días.
Datos concretos de referencia:
- El 73 % de los consumidores europeos afirma que ejercería su derecho al olvido si desconfiara de una marca (Eurobarómetro 2023).
- Las reclamaciones ante la AEPD por derechos de supresión crecieron un 42 % entre 2021 y 2023.
- El coste medio de gestión manual de una solicitud de supresión en una pyme DTC ronda los 35–60 € por caso, según la complejidad del stack tecnológico.
Errores comunes
1. Confundir «baja de newsletter» con supresión total. Dar de baja del email no elimina el historial de compras ni las cookies.
2. Ignorar datos en backups. Si el dato sigue en una copia de seguridad accesible, no se ha suprimido realmente.
3. Conservar datos «por si acaso». Solo se pueden retener si existe una obligación legal concreta y documentada.
4. No responder en plazo. El silencio no es una opción: equivale a denegación tácita y puede sancionarse.
5. Olvidar a los encargados del tratamiento. Hay que trasladar la orden a proveedores como Stripe, Sendcloud o Klaviyo.
6. Aplicar la supresión a datos agregados o anonimizados. Estos ya no son personales y no entran en el ámbito del derecho.
Términos relacionados
- RGPD / GDPR: marco normativo europeo.
- Derecho al olvido: expresión mediática del derecho de supresión.
- Responsable del tratamiento: quien decide sobre los datos (tu marca DTC).
- Encargado del tratamiento: tercero que trata datos por cuenta del responsable.
- AEPD: Agencia Española de Protección de Datos, autoridad de control.
- Consentimiento: base legal que, al retirarse, puede activar la supresión.
- Anonimización: alternativa cuando no procede eliminar pero sí desvincular.
- Datos personales: cualquier información sobre una persona física identificada o identificable.