Tarde o temprano llega el correo: «Quiero darme de baja y que borréis todos mis datos». Es un derecho del cliente —el derecho de supresión del RGPD, el llamado «derecho al olvido»— y no es una petición que se pueda dejar en la cola con las demás. Tiene plazo legal, tiene reglas y tiene una trampa: no todo lo que te piden borrar se puede borrar.
Esta guía es orientativa y está pensada para una startup SaaS en España. Para tu caso concreto, revísalo con quien lleve la protección de datos de tu empresa.
La respuesta corta
Cuando un cliente pide borrar su cuenta y sus datos, tienes un mes para responder, ampliable en dos meses más si la petición es compleja, avisando al cliente dentro del primer mes. Antes de borrar, verifica que quien lo pide es el titular de la cuenta. Borra lo que no tengas obligación de conservar y, en España, bloquea lo que sí debas guardar —facturas, por ejemplo—: se conserva, pero solo para atender obligaciones legales. Confirma al cliente por escrito qué has borrado y qué se conserva y por qué.
Los plazos
- Un mes desde que recibes la petición para responder y actuar.
- Dos meses más si la petición es compleja o hay muchas, avisando al cliente de la ampliación y su motivo dentro del primer mes.
- Gratis: no se puede cobrar por atender la petición, salvo casos excepcionales de peticiones manifiestamente infundadas o excesivas.
En la práctica, una petición de un cliente normal se puede resolver en días. El mes es el máximo, no el objetivo.
Paso 1: verificar la identidad
Antes de borrar nada, asegúrate de que quien lo pide es el titular. Un correo que dice «borrad la cuenta de mi empresa» puede venir de alguien que no tiene derecho a pedirlo.
- Si escribe desde el correo de la cuenta, normalmente basta.
- Si escribe desde otro correo, pide que lo confirme desde el de la cuenta o desde dentro del producto.
- En B2B, comprueba que quien lo pide puede decidir por la empresa: un usuario puede pedir que se borren sus datos personales, pero no necesariamente la cuenta de toda la empresa.
No pidas más datos de los necesarios para verificar. Pedir el DNI a quien escribe desde el correo de su cuenta suele ser excesivo.
Paso 2: qué se borra y qué se conserva
| Datos | ¿Se borran? | Por qué |
|---|---|---|
| Perfil, preferencias, contenido del cliente | Sí | No hay obligación de conservarlos |
| Conversaciones de soporte | Sí, salvo que estén ligadas a una reclamación abierta | Igual |
| Datos de uso y analítica identificables | Sí, o se anonimizan | Igual |
| Facturas y datos fiscales | No: se bloquean | Obligaciones fiscales y mercantiles |
| Datos ligados a una reclamación o un litigio | No, mientras dure | Defensa legal |
| Copias de seguridad | Se borran al rotar las copias | Ver abajo |
El bloqueo de datos en España
La ley española de protección de datos establece que, cuando se suprimen datos que hay que conservar por obligación legal, no se borran sin más: se bloquean. Quedan guardados, apartados del uso normal y accesibles solo para atender esas obligaciones —una inspección fiscal, una reclamación judicial— y se eliminan cuando pasa el plazo de conservación. Las facturas, por ejemplo, tienen plazos de conservación por normativa fiscal y mercantil.
Las copias de seguridad
Borrar un registro de cada copia de seguridad suele ser inviable. Lo habitual es explicar que los datos desaparecerán de las copias cuando estas se renueven según su ciclo, y asegurarse de que no se restauran.
Paso 3: los subencargados
Si los datos del cliente están también en otros proveedores que tratan datos por ti —tu herramienta de correo, de soporte, de analítica—, la supresión tiene que llegar también a ellos. Por eso conviene tener una lista de subencargados actualizada y saber cómo se borra en cada uno.
Plantillas de respuesta
Al recibir la petición
Hola, Marta. Hemos recibido tu solicitud para eliminar tu cuenta y tus datos personales. La tramitamos ahora mismo y te confirmaremos por escrito cuando esté completada, como muy tarde el [fecha]. No tienes que hacer nada más.
Si hay que verificar la identidad
Hola. Para proteger tu cuenta, necesitamos confirmar que la solicitud la haces tú: ¿puedes responder a este mensaje desde el correo con el que te registraste? En cuanto lo recibamos, seguimos.
Al completarla
Hola, Marta. Hemos eliminado tu cuenta y tus datos personales: tu perfil, tus proyectos y tus conversaciones con nosotros.
Por obligación legal conservamos bloqueadas tus facturas, solo para cumplir con la normativa fiscal, y las eliminaremos cuando termine el plazo de conservación. Tus datos desaparecerán también de nuestras copias de seguridad cuando estas se renueven en los próximos [N] días.
Si tienes cualquier duda, puedes responder a este correo.
Lo que no hay que hacer
- Ignorarla o dejarla en la cola como una consulta más.
- Pedir que lo justifique: el cliente no tiene que explicar por qué.
- Poner obstáculos: pedirle que llame, que rellene formularios largos o que cancele antes otra cosa.
- Decir que está todo borrado cuando hay datos bloqueados o en copias de seguridad.
- Seguir enviándole correos comerciales después.
Que sea fácil pedirlo
Lo ideal es que el cliente pueda pedirlo desde dentro del producto o con un enlace claro, y que llegue directamente a quien lo gestiona. Muchas empresas tienen una dirección o un formulario específico para ello en su página de contacto o en su política de privacidad. Y que esté claro quién lo tramita: una petición de supresión que se queda en la bandeja de soporte sin dueño es un incumplimiento esperando a pasar.
Si atiende un agente de IA, no debería ejecutar el borrado por su cuenta: lo correcto es que explique el proceso, recoja la petición y la pase a la persona responsable con los datos del cliente. Lo irreversible, con una persona. Más sobre las obligaciones al usar IA en ¿es legal usar IA para atender clientes en Europa?
Preguntas frecuentes
¿Cuánto tiempo tengo para borrar los datos de un cliente?
Un mes desde la petición, ampliable dos meses más si es compleja, avisando al cliente dentro del primer mes.
¿Tengo que borrar también las facturas?
No. Las facturas deben conservarse por obligaciones fiscales y mercantiles. En España se bloquean: se guardan apartadas, solo para esas obligaciones, hasta que pasa el plazo.
¿Puedo pedir el DNI para verificar la identidad?
Solo si es necesario. Si el cliente escribe desde el correo de su cuenta, normalmente basta con eso.
¿Qué pasa con las copias de seguridad?
Lo habitual es que los datos desaparezcan cuando las copias se renuevan según su ciclo, sin restaurarlos entretanto. Conviene explicárselo al cliente.
¿Puedo seguir usando sus datos de forma anónima?
Si están anonimizados de verdad —sin forma de volver a identificar a la persona—, dejan de ser datos personales.
