Un cliente te pide que borres sus datos: qué haces, qué no puedes borrar y cómo responder

Paso 1: identifica qué datos tienes de ese cliente

Antes de responder, haz un inventario rápido. Datos típicos de un cliente: nombre y NIF (en las facturas), email y teléfono (en el CRM o email), historial de compras, conversaciones guardadas. Separa mentalmente qué tienes en 'ficheros activos' (CRM, email, web) y qué tienes por obligación legal (facturas, documentos contables).

Paso 2: qué puedes y qué no puedes borrar

Puedes borrar: el email de tu lista de contactos, el número de teléfono de tu agenda, el historial de conversaciones que no tienes obligación de conservar, los datos del CRM que ya no son necesarios. NO puedes borrar (y no debes): las facturas emitidas a ese cliente (obligación fiscal: 4 años; obligación mercantil: 6 años), los documentos contractuales si hay plazo de prescripción activo, los registros requeridos por otras leyes (PBC, laboral…). La clave: 'borrar' en RGPD puede significar 'bloquear' — conservar solo para cumplir la obligación legal, sin uso activo.

Paso 3: cómo responder (con plantilla)

Responde dentro de 1 mes desde la solicitud (puedes ampliar a 3 meses si es complejo, avisando en el primer mes). La respuesta debe: confirmar que has recibido la solicitud, indicar qué datos has eliminado, explicar qué conservas y por qué (citar la obligación legal), dar un contacto para cualquier duda. No hace falta responder con un documento formal complejo: un email bien redactado es suficiente.

• Estimado/a [Nombre], hemos recibido su solicitud de supresión de datos con fecha [fecha].
• Hemos eliminado de nuestros sistemas: [lista de datos borrados].
• Conservamos los siguientes datos únicamente por obligación legal: [facturas → art. 30 LGT, 4 años; contratos → art. 30 Código de Comercio, 6 años].
• Una vez finalicen los plazos legales, estos datos serán suprimidos definitivamente.
• Si tiene alguna duda, puede contactarnos en [email].

Paso 4: documenta todo

El RGPD exige que puedas demostrar que gestionas los derechos correctamente (accountability). Guarda: la solicitud original con su fecha, una copia de tu respuesta, qué datos borraste y cuándo, qué datos conservas y por qué. No hace falta un sistema complejo: una carpeta de email etiquetada 'RGPD — derechos' o una hoja de cálculo con las solicitudes recibidas es suficiente para una pyme o autónomo.