Cómo borrar tus datos personales de internet: guía del derecho de supresión

Borrar tus datos de internet no es una sola acción. Según dónde estén publicados, hay que dirigirse a un responsable distinto y usar un derecho distinto. Esta guía separa los casos: pedir la supresión de datos a quien los trata, pedir a un buscador que no muestre un enlace, retirar fotos y vídeos, oponerte a un tratamiento, reducir la publicidad y ajustar las cookies.

Se apoya únicamente en siete páginas públicas de la Agencia Española de Protección de Datos (AEPD) y del Instituto Nacional de Ciberseguridad (INCIBE). No promete ningún resultado: en cada caso quien decide es el responsable del tratamiento y, si reclamas, la AEPD. Cuando las páginas no precisan algo, lo decimos.

Qué hacer primero

Las páginas de la AEPD siguen un orden común, que sirve de guía antes de entrar en detalle.

1. Identifica dónde están tus datos. Puede ser una empresa que los trata, una red social o portal de vídeo donde alguien publicó una imagen, o los resultados de un buscador cuando buscas tu nombre.
2. Dirígete primero a quien trata tus datos. La AEPD insiste en que, para ejercer el derecho de supresión, es imprescindible acudir en primer lugar a la entidad que los trata. En un buscador, es el propio buscador.
3. Haz la solicitud por un medio que te permita acreditarla. La Agencia solo tutela tu derecho si puedes demostrar que te dirigiste antes al responsable.
4. Espera la respuesta dentro del plazo. Las solicitudes deben responderse en el plazo de un mes.
5. Si no responden o la respuesta no es adecuada, reclama ante la AEPD, con la documentación que acredite tu solicitud previa.

Borrar en el origen o quitar un enlace del buscador

Esta es la distinción más importante de la guía. Son dos operaciones diferentes, con responsables diferentes y efectos diferentes.

La AEPD lo explica con claridad al hablar de los buscadores. Los motores de búsqueda y los editores originales realizan dos tratamientos de datos diferenciados, con legitimaciones diferentes y un impacto distinto sobre la privacidad. Por eso puede suceder, y sucede con frecuencia según la Agencia, que no proceda conceder el derecho frente al editor y sí frente al buscador.

El derecho de supresión: cuándo puedes ejercerlo

La página de la AEPD sobre el derecho de supresión (el llamado "derecho al olvido") enumera las circunstancias en las que puedes pedir al responsable que suprima tus datos personales.

Los supuestos que recoge la AEPD

• Tus datos ya no son necesarios para los fines para los que fueron recogidos o tratados.
• El tratamiento se basaba en tu consentimiento y lo retiras, siempre que no se base en otra causa que lo legitime.
• Te has opuesto al tratamiento y se cumplen las condiciones: el tratamiento se fundaba en el interés legítimo o en una misión de interés público y no han prevalecido otros motivos para legitimarlo, o los datos se usan para mercadotecnia directa, incluida la elaboración de perfiles relacionada con ella.
• Tus datos han sido tratados ilícitamente.
• Los datos deben suprimirse para cumplir una obligación legal del Derecho de la Unión o de los Estados miembros aplicable al responsable.
• Los datos se obtuvieron en relación con la oferta de servicios de la sociedad de la información dirigidos a menores, mencionados en el artículo 8, apartado 1 del RGPD.

La conexión con el "derecho al olvido"

La AEPD añade que el RGPD conecta este derecho con el llamado "derecho al olvido". Cuando el responsable ha hecho públicos datos personales, debe indicar a los responsables que los estén tratando que supriman todo enlace a ellos, así como las copias o réplicas.

Un derecho con límites

La Agencia precisa que el derecho no es ilimitado. Puede no procederse a la supresión cuando el tratamiento sea necesario para:

• el ejercicio de la libertad de expresión e información;
• el cumplimiento de una obligación legal;
• el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
• razones de interés público en el ámbito de la salud pública;
• fines de archivo de interés público, de investigación científica o histórica o fines estadísticos;
• la formulación, el ejercicio o la defensa de reclamaciones.

Esto significa que una solicitud puede ser denegada de forma legítima. Solo el responsable, y en su caso la AEPD, valoran si encaja en alguna de esas excepciones.

Cómo ejercer tus derechos: reglas generales

La página "Ejerce tus derechos" de la AEPD recoge las características comunes de los derechos de acceso, rectificación, oposición, supresión, limitación del tratamiento, portabilidad y de no ser objeto de decisiones individualizadas.

Gratuidad y excepciones

El ejercicio de estos derechos es gratuito. Si las solicitudes son manifiestamente infundadas o excesivas, por ejemplo por su carácter repetitivo, el responsable puede cobrar un canon proporcional a los costes administrativos o negarse a actuar.

Plazos

Las solicitudes deben responderse en el plazo de un mes. Teniendo en cuenta la complejidad y el número de solicitudes, el plazo se puede prorrogar otros dos meses más. Si el responsable no da curso a la solicitud, debe informarte, a más tardar en un mes, de las razones de su inacción y de la posibilidad de reclamar ante una autoridad de control.

Medios y representación

• El responsable está obligado a informarte sobre los medios para ejercer estos derechos. Deben ser accesibles, y no puede negarte el derecho solo porque elijas otro medio.
• Si presentas la solicitud por medios electrónicos, la información se facilitará por esos medios cuando sea posible, salvo que pidas otra cosa.
• Puedes ejercer los derechos directamente o por medio de tu representante legal o voluntario.
• Un encargado del tratamiento puede atender tu solicitud por cuenta del responsable si ambos lo han establecido en el contrato o acto jurídico que les vincula.

Para saber por dónde empezar, Remove Me ofrece un análisis gratuito, sin crear cuenta. Tú introduces tus datos y el servicio busca resultados visibles públicamente en la web, filtraciones de datos conocidas (Have I Been Pwned) y un registro de intermediarios de datos (data brokers). Después muestra un informe que se desbloquea con un código de 6 dígitos enviado por correo. Remove Me todavía no envía solicitudes de supresión en tu nombre.

El derecho al olvido en los buscadores

La AEPD dedica una página al derecho de supresión aplicado a los buscadores de internet. Parte de una sentencia del Tribunal de Justicia de la Unión Europea (TJUE) del 13 de mayo de 2014. Según la Agencia, esa sentencia establece que el tratamiento de datos de los motores de búsqueda está sometido a las normas de protección de datos de la Unión Europea y que las personas tienen derecho a pedir, bajo ciertas condiciones, que los enlaces a sus datos personales no figuren en los resultados de una búsqueda hecha por su nombre.

Qué es exactamente

La AEPD lo describe como la manifestación del derecho de supresión aplicada a los buscadores. Hace referencia al derecho a impedir la difusión de información personal a través de internet cuando su publicación no cumple los requisitos de adecuación y pertinencia previstos en la normativa. En concreto, incluye el derecho a limitar la difusión universal e indiscriminada de datos personales en los buscadores generales cuando la información es obsoleta o ya no tiene relevancia ni interés público, aunque la publicación original sea legítima. La Agencia cita como ejemplos los boletines oficiales o las informaciones amparadas por las libertades de expresión o de información.

Puedes ir directamente al buscador

La AEPD responde que sí es posible ejercerlo frente al buscador sin acudir antes a la fuente original. Explica que la difusión universal del buscador, sumada a la información adicional que facilita sobre la misma persona cuando se busca por su nombre, puede tener un impacto desproporcionado sobre su privacidad.

La información no desaparece de internet

Esta es la aclaración que más importa. Según la AEPD, ejercerlo frente a un buscador no implica que la información desaparezca de internet:

• La sentencia solo afecta a los resultados obtenidos en las búsquedas hechas con el nombre de la persona.
• No implica que la página deba suprimirse de los índices del buscador ni de la fuente original.
• El enlace solo deja de ser visible cuando la búsqueda se hace por el nombre de quien ejerció su derecho.
• Las fuentes permanecen inalteradas y el resultado se seguirá mostrando con cualquier otra palabra o término distinto del nombre del afectado.

Cómo se ejerce

La normativa establece que es imprescindible dirigirse en primer lugar a la entidad que está tratando los datos, en este caso el buscador. La AEPD señala que los buscadores mayoritarios han habilitado sus propios formularios, y menciona Google, Bing y Yahoo. Si el buscador no responde o consideras inadecuada su respuesta, puedes presentar una reclamación ante la AEPD. En función de las circunstancias de cada caso, la Agencia determinará si la estima o no. Esa decisión, a su vez, es recurrible ante los tribunales.

Un equilibrio caso por caso

La AEPD aclara que este derecho no limita el derecho a recibir información. La sentencia exige ponderar caso por caso para alcanzar un equilibrio entre derechos e intereses, teniendo en cuenta de forma sistemática el interés de los usuarios en acceder a la información. Según la Agencia, no se aceptarán las solicitudes sobre información de interés público por su naturaleza o por afectar a una figura pública.

Eliminar fotos y vídeos de internet

La AEPD recuerda que tu imagen, ya sea una foto o un vídeo en el que apareces, es un dato personal. La difusión de imágenes o vídeos sin legitimación, sobre todo en redes sociales, es un tema que se plantea con frecuencia ante la Agencia. El RGPD reconoce a las personas el derecho de supresión.

Quién puede pedirlo

Según la AEPD, el ejercicio del derecho de supresión solo puede solicitarlo la persona afectada o, si es menor de 14 años, sus progenitores o tutores legales.

Qué pasos propone la AEPD

1. Contacta con quien subió el contenido y pídele que lo elimine, siempre que las circunstancias lo permitan.
2. Si no lo consigues, pide el borrado a la plataforma que proporcionó los medios para la publicación, es decir, la red social o el portal de vídeo. La AEPD indica que debes acreditar tu identidad e indicar qué enlaces contienen los datos que quieres cancelar.
3. Espera la respuesta. La empresa debe resolver en el plazo máximo de un mes desde que recibe la solicitud.
4. Si no te responden de forma expresa en ese plazo, o consideras la respuesta insatisfactoria, reclama ante la AEPD, con la documentación que acredite que pediste antes la supresión a la entidad.

La Agencia subraya que este último punto es muy importante: si no puedes acreditar que ejerciste primero el derecho ante la empresa, no podrá ayudarte. Por eso recomienda dirigirte al responsable por un medio que permita acreditarlo.

Los formularios de cada plataforma

La AEPD indica que las redes sociales más populares disponen de mecanismos propios para comunicar vulneraciones de la privacidad o contenidos inapropiados. Detalla estos métodos:

• Facebook: un servicio de ayuda para avisar de fotos o vídeos que puedan infringir el derecho a la protección de datos, con varias opciones según el caso. También permite denunciar una conducta abusiva con el enlace "Denunciar" que aparece junto a la mayoría de los contenidos.
• Google y YouTube: una página para solicitar la retirada de contenido de sus servicios. En YouTube se ofrecen opciones para abuso o acoso, vulneraciones de la privacidad, contenidos sexuales, contenidos violentos y otros problemas. Si un vídeo te parece inapropiado, puedes usar el icono con forma de bandera ("Denunciar").
• Red social X: una página con distintas formas de informar de incumplimientos, entre ellos la publicación de información privada, la usurpación de identidad y el acoso.
• Instagram: una página para reportar contenido publicado por terceros sin tu consentimiento que incluya información personal, así como conductas abusivas, hostigamiento o acoso.
• TikTok: un enlace que explica cómo reportar una cuenta, un vídeo, un comentario o un chat.

Una opción adicional de Google

La AEPD añade que, al margen del derecho al olvido, Google ofrece retirar información personal identificable de su página de resultados cuando suponga un riesgo importante de robo de identidad, fraude financiero, contacto directo dañino u otros daños específicos. Se refiere en particular a información sobre menores de edad o con contenido sexualmente explícito. Para más información remite al centro de asistencia de Google.

El derecho de oposición

La página de la AEPD sobre este derecho lo define como la posibilidad de oponerte a que el responsable trate tus datos personales en dos supuestos.

• Interés público o interés legítimo. Si el tratamiento se basa en una misión de interés público o en el interés legítimo, incluida la elaboración de perfiles, el responsable dejará de tratar los datos. Solo puede seguir si acredita motivos imperiosos que prevalezcan sobre tus intereses, derechos y libertades, o si los necesita para formular, ejercer o defender reclamaciones.
• Mercadotecnia directa. Si el tratamiento tiene como finalidad la mercadotecnia directa, incluida la elaboración de perfiles, una vez ejercitado el derecho los datos dejan de tratarse para esos fines.

Oposición y supresión están conectadas

La página sobre el derecho de supresión incluye la oposición entre los motivos para pedir la supresión, en los dos casos antes descritos. Y la página sobre publicidad no deseada recomienda, si eres cliente de la entidad que te envía publicidad, ejercer la oposición o retirar el consentimiento en lugar de la supresión, porque la finalidad última de la supresión es eliminar los datos de los tratamientos de la entidad.

Publicidad no deseada

La página de la AEPD sobre publicidad no deseada propone varios pasos que enlazan con los derechos anteriores.

Lista de exclusión publicitaria

Puedes inscribir tus datos, de forma gratuita y voluntaria, en un sistema de exclusión publicitaria. Quien vaya a hacer una campaña debe consultarlo para excluir a las personas inscritas. Eliges el medio por el que no quieres recibir publicidad: correo postal, llamadas telefónicas, correo electrónico u otro. La AEPD enlaza al Servicio Lista Robinson y a la Lista Stop Publicidad.

La inscripción es eficaz a partir del segundo mes desde que registras tus datos. Y aunque estés inscrito, los comerciantes pueden enviarte publicidad si eres cliente o les has dado tu consentimiento.

Consentimiento, oposición y supresión

La AEPD aconseja estar atento para no dar el consentimiento cuando participas en concursos, ofertas o registros en webs. Debe darse mediante un acto afirmativo claro: no vale que te digan que, si no contestas, se entiende que consientes. Si ya lo diste, puedes revocarlo en cualquier momento por un medio sencillo.

Si no quieres que una empresa trate tus datos con fines publicitarios, puedes ejercer ante ella el derecho de oposición. Indica claramente que no quieres que traten tus datos con esa finalidad, el canal por el que recibes la publicidad y los datos que no quieres que se traten. Si no quieres que la empresa tenga tus datos, puedes ejercer la supresión.

Guías telefónicas

Tienes derecho a no figurar en las guías telefónicas. Puedes comunicárselo a tu operadora. Tus datos se retiran de la versión online y, en las guías en papel o en otro soporte físico, en la siguiente edición.

Si sigues recibiendo publicidad

Si, tras ejercer tus derechos, continúas recibiendo publicidad no deseada, puedes reclamar ante la AEPD. La Agencia pide documentación que acredite lo que has hecho, como la respuesta del responsable o un documento que pruebe que recibió tu solicitud, y ejemplos de la publicidad recibida.

Cookies y rastreo: lo que dice el INCIBE

Las cookies son un tipo distinto de dato. El INCIBE las explica en un artículo ciudadano: son pequeños ficheros que se guardan en el dispositivo y contienen información de las páginas visitadas y otros datos de navegación, como los anuncios visitados, el idioma, la zona horaria o si has proporcionado tu correo.

Tipos de cookies

• Según su duración: las persistentes se almacenan hasta que las borras o alcanzan una fecha tope; las de sesión se eliminan al cerrar el navegador o la sesión.
• Según su propietario: las propias pertenecen a la web que visitas; las de terceros o publicitarias se utilizan para trazar un perfil del usuario según sus gustos, las páginas que visita y las búsquedas que realiza, con fines publicitarios.
• Según su funcionalidad: el INCIBE distingue preferencias, seguridad, procesos, publicitarias o estadísticas y estados de la sesión.

Qué riesgos señala

El INCIBE advierte de que las cookies pueden ser explotadas por ciberdelincuentes. Cita las vulnerabilidades del software o del navegador, que pueden permitir robar cookies de sesión (credenciales), el robo de cookies o secuestro de sesión y las tiendas online fraudulentas a las que se redirige al usuario con publicidad engañosa a partir de sus búsquedas anteriores.

Qué recomienda hacer

• Configurar el navegador y el uso que hace de las cookies. El INCIBE usa Mozilla Firefox como ejemplo y aclara que las opciones pueden variar según el navegador.
• Aceptar las cookies propias y decidir cuánto tiempo se guardan. Respecto a las de terceros, aceptar solo las de las páginas que visitas, o ninguna si no quieres que nadie elabore un perfil publicitario o comercial de tus gustos.
• Eliminar las cookies cada cierto tiempo, sobre todo en el móvil.
• Mantener actualizado el navegador y sus complementos, y deshabilitar los que estén desactualizados o sin soporte.
• Borrar cada cierto tiempo los datos de navegación.
• Leer los avisos que aparecen antes de aceptarlos.
• Navegar en modo incógnito o privado en un dispositivo público o para proteger tu privacidad.
• Usar un gestor de contraseñas.

Un matiz de fecha: el artículo del INCIBE se publicó el 18 de julio de 2018. Menciona el RGPD, que según el texto acababa de entrar en vigor, y explica que los usuarios europeos pueden configurar desde las propias webs las cookies que aceptan. Su descripción de los menús del navegador puede haber cambiado desde entonces.

Intermediarios de datos

Las páginas consultadas no tratan de los intermediarios de datos (data brokers) ni describen un procedimiento específico para ellos. Lo que sí recogen es el marco general: pedir la supresión a quien trata tus datos, oponerte o reclamar ante la AEPD si no responde.