La autoridad francesa de protección de datos, la CNIL, acaba de imponer una sanción significativa a la empresa EXTIA por incumplir derechos fundamentales de los interesados bajo el Reglamento General de Protección de Datos (RGPD). El caso se centra especialmente en no atender adecuadamente las solicitudes de supresión de datos personales (Löschungsanspruch) y en no informar a los afectados sobre el seguimiento de esas solicitudes.

¿Qué pasó exactamente?

Según la resolución, EXTIA no procesó correctamente las peticiones de personas que querían ejercer su derecho al olvido, eliminando sus datos personales de los sistemas de la compañía. Además, la empresa tampoco cumplió con la obligación de mantener informados a los solicitantes sobre el estado y progreso de sus peticiones. Este doble incumplimiento constituye una violación seria del RGPD, que protege estos derechos en toda la Unión Europea, incluida Alemania.

¿A quién afecta este caso?

Si tienes un negocio en Alemania que procesa datos personales —ya sea de clientes, suscriptores, usuarios de tu web o empleados— este caso te concierne directamente. El RGPD te obliga a:

  • Responder las solicitudes de supresión de datos en un plazo máximo de un mes
  • Informar al solicitante sobre las medidas tomadas
  • Mantener un registro del seguimiento de estas peticiones
  • Borrar efectivamente los datos cuando proceda legalmente

Qué debes hacer en tu negocio

Para evitar sanciones similares, asegúrate de tener procedimientos claros para gestionar los derechos de los interesados. Tu Datenschutzerklärung (declaración de privacidad) debe explicar cómo pueden ejercer estos derechos. Además, necesitas sistemas internos para:

  • Recibir y registrar solicitudes de supresión
  • Evaluar si procede legalmente borrar los datos
  • Ejecutar el borrado en todos tus sistemas
  • Comunicar al interesado el resultado y las acciones tomadas

Recuerda que puedes generar tus documentos legales de protección de datos conforme al RGPD de manera sencilla y adaptada a tu situación.

Conclusión práctica

Este caso refuerza que las autoridades europeas toman muy en serio los derechos de las personas sobre sus datos. No basta con tener una política de privacidad: necesitas procesos reales y eficaces para cuando alguien te pida borrar su información. La prevención siempre sale más barata que una multa.