Artículo 17 del RGPD: derecho de supresión («el derecho al olvido»)

• Nada más: su deber se agota en suprimirlos de sus propios sistemas
• Borrar él mismo toda copia que exista en Internet, cueste lo que cueste
• Pedir a la autoridad de control que ordene retirarlos en toda la Unión
• Tomar medidas razonables para avisar a quienes los estén tratando

Lo que se hizo público se copia y se enlaza, y por eso el reglamento no se conforma con el borrado propio: el responsable tiene que adoptar medidas razonables, también técnicas, para informar a los demás responsables de que el interesado pide suprimir enlaces, copias y réplicas. Es un deber de informar, medido según la tecnología disponible y su coste, no una obligación de borrar él lo que tienen otros, y no pasa por la autoridad de control.

• Cuando el interesado impugne la exactitud de los datos que le conciernen
• Cuando el responsable los haya comunicado antes a un tercero
• Cuando ya no sean necesarios para los fines para los que se recogieron
• Cuando los datos figuren también en un registro de acceso público

Que los datos ya no hagan falta para los fines para los que se recogieron o trataron es uno de los supuestos de supresión. Impugnar la exactitud es lo que abre la limitación del tratamiento mientras el responsable lo verifica, y lo que corrige un dato inexacto es la rectificación, no el borrado. Comunicar los datos a un tercero o que consten en un registro público no son, por sí, causas de supresión.

• Cuando los datos se hayan recogido con el consentimiento del interesado
• Cuando el tratamiento sea necesario para ejercer la libertad de expresión
• Cuando el responsable del tratamiento sea una empresa con fines comerciales
• Cuando hayan pasado menos de cinco años desde que se recogieron los datos

El derecho de supresión cede cuando el tratamiento es necesario para ejercer la libertad de expresión e información, que es la primera de las excepciones que enumera el reglamento. Haberse recogido con consentimiento no lo excluye: retirarlo es precisamente uno de los motivos para pedir la supresión. Ni la naturaleza comercial del responsable ni la antigüedad de los datos son excepciones.

• Cuando el tratamiento no se base en otro fundamento jurídico
• Siempre, porque sin consentimiento ningún tratamiento es lícito
• Solo si además se opone al tratamiento por su situación particular
• Solo si acredita también que los datos se trataron ilícitamente

Retirar el consentimiento da derecho a la supresión cuando el tratamiento no se apoya en otra base: el consentimiento es una de las bases de licitud, no la única, y un tratamiento que también descansa, por ejemplo, en una obligación legal sigue siendo lícito. Retirar el consentimiento es un supuesto propio de supresión, así que no hace falta sumarle la objeción al tratamiento ni probar que fue ilícito.