Cómo Presentar una Solicitud de Eliminación de Datos (2026)

Si una empresa tiene sus datos personales, usted tiene el derecho de pedirle que los elimine. Bajo la CCPA de California, el RGPD de la UE, y más de una docena de otras leyes estatales de EE. UU., la empresa debe cumplir dentro de un plazo establecido o explicar exactamente por qué no puede hacerlo. Esta guía lo lleva paso a paso, desde confirmar que una ley lo cubre hasta presentar una queja ante un regulador si la empresa se niega.

Paso 1: Averigüe Qué Ley (Si Alguna) lo Cubre

Su derecho a solicitar la eliminación es tan sólido como la ley que lo respalda. Antes de redactar nada, dedique dos minutos a confirmar que un estatuto realmente aplica a su situación.

Residentes de EE. UU. Los residentes de California obtienen la protección más amplia. La CCPA cubre a las empresas con fines de lucro que hacen negocios en California y cumplen al menos uno de tres umbrales: ingresos brutos anuales superiores a $26.625 millones (la cifra ajustada por IPC vigente desde el 1 de enero de 2025); comprar, vender, o compartir la información personal de 100,000 o más consumidores u hogares por año; o derivar el 50 por ciento o más de los ingresos anuales de la venta de información personal (Código Civil de California § 1798.140(d)). Si usted vive en California y la empresa supera cualquiera de esos umbrales, el derecho de eliminación en el Código Civil de California § 1798.105(a) aplica.

Virginia, Colorado, Connecticut, Texas, y varios estados adicionales han aprobado leyes integrales de privacidad del consumidor con derechos de eliminación similares. La comparación de leyes de privacidad estatales de EE. UU. desglosa qué ley aplica a usted según el estado y explica los umbrales de tamaño de empresa de cada ley. Si su estado todavía no está en la lista, puede que no exista un derecho estatutario, aunque muchas empresas honran las solicitudes de eliminación de manera voluntaria sin importar la obligación legal.

Residentes de la UE y el Reino Unido. El Artículo 17 del RGPD aplica a cualquier responsable de datos que procese su información personal, sin importar el tamaño o la ubicación de la empresa. Si la empresa ofrece bienes o servicios a personas en la UE, o monitorea el comportamiento de personas en la UE, el RGPD aplica. Usted no necesita tener una cuenta con la empresa; el derecho se vincula al procesamiento de sus datos.

Si ninguna ley lo cubre. Usted todavía puede presentar una solicitud de eliminación educada en lenguaje sencillo. Muchas grandes empresas extienden derechos equivalentes a la CCPA globalmente como cuestión de política. La respuesta puede ser sí incluso sin un mandato legal detrás.

Paso 2: Encuentre el Portal o Correo Electrónico de Solicitud de Eliminación de la Empresa

Bajo la CCPA, las empresas cubiertas deben proporcionar al menos dos métodos designados para recibir solicitudes de eliminación. Si la empresa tiene un sitio web, uno de esos métodos debe ser un formulario o portal basado en la web. El otro debe ser un número de teléfono gratuito. Las empresas exclusivamente en línea pueden sustituirlo por una dirección de correo electrónico (Código Civil de California § 1798.130(a)(1)).

La forma más rápida de encontrar el portal es desplazarse hasta el pie de página del sitio web principal de la empresa. Busque enlaces etiquetados con alguno de los siguientes términos: "Derechos de Privacidad", "Solicitud de Privacidad del Consumidor", "No Vender ni Compartir Mi Información Personal", "Derechos del Titular de los Datos", o "Opciones de Privacidad". La política de privacidad de la empresa también debe identificar el método de presentación y generalmente está enlazada desde el pie de página. Bajo el Artículo 12 y el Considerando 59 del RGPD, los responsables también deben proporcionar medios electrónicos para las solicitudes hechas electrónicamente.

Los residentes de California que tratan con corredores de datos tienen una opción aún más rápida. La Agencia de Protección de la Privacidad de California lanzó la Plataforma de Solicitud de Eliminación y Exclusión (DROP) el 1 de enero de 2026. DROP le permite autenticarse una vez a través de la Puerta de Enlace de Identidad de California o Login.gov y enviar una sola solicitud de eliminación que llega automáticamente a todos los más de 600 corredores de datos registrados. Los corredores de datos deben comenzar a procesar las solicitudes de eliminación de DROP a partir del 1 de agosto de 2026, y deben completar cada eliminación dentro de los 90 días posteriores a la recepción. Acceda a DROP en privacy.ca.gov/drop/.

Una regla importante: una empresa no puede exigirle crear una cuenta nueva solo para presentar una solicitud de eliminación. Si un portal lo bloquea con un requisito obligatorio de registro, esa práctica en sí misma podría violar las regulaciones de la CCPA.

Paso 3: Qué Incluir en su Solicitud

Una solicitud de eliminación bien redactada le da a la empresa todo lo que necesita para localizar sus registros y procesar la solicitud en el primer ciclo, sin nada ambiguo que pueda retrasarlo o redirigirlo.

Incluya lo siguiente en cada solicitud.

Su nombre legal completo. Use el nombre registrado en la empresa, especialmente si tiene una cuenta bajo un apellido de soltera o un nombre preferido diferente de su nombre legal actual.

Su dirección de correo electrónico o nombre de usuario de la cuenta. Así es como la empresa vinculará su solicitud a su base de datos. Si tiene varias cuentas, enumérelas todas.

Su dirección postal si tuvo una relación fuera de línea con la empresa (compras en tienda, entregas físicas, servicios en persona).

Una invocación clara y directa de su derecho de eliminación y el estatuto específico. Una oración como la siguiente funciona: "Estoy solicitando la eliminación de toda la información personal que usted tiene sobre mí de conformidad con el Código Civil de California § 1798.105(a) (CCPA/CPRA)" o, para solicitudes en la UE, "Estoy presentando una solicitud de supresión de mis datos personales bajo el Artículo 17 del RGPD". Nombrar el estatuto indica que usted conoce sus derechos y hace más difícil que una empresa lo evada.

Cualquier número de referencia de cuenta o pedido que ayude a la empresa a localizar sus registros rápidamente. Cuanto más fácil haga la búsqueda, más rápida será la respuesta.

Mantenga el resto de su solicitud factual y breve. No incluya su número de Seguro Social, números de cuentas financieras, u otros identificadores de alta sensibilidad a menos que la empresa específicamente los requiera. Bajo las regulaciones de la CCPA, las empresas solo pueden usar sus datos de verificación para la verificación en sí, no para actualizar su perfil, activar contacto, o compartir con terceros.

Paso 4: Verificación de Identidad

Una vez que usted presenta la solicitud, es probable que la empresa le pida verificar su identidad antes de procesarla. Este paso es legítimo y requerido por las regulaciones de la CCPA (Código de Regulaciones de California tít. 11, §§ 7060-7061).

Para las solicitudes de sensibilidad moderada (la solicitud de eliminación típica que cubre datos de marketing, historial de navegación, y registros de compras), las empresas usan un estándar de "coincidencia de dos puntos de datos". Eso significa que usted confirma dos piezas de información que razonablemente habría proporcionado a la empresa, por ejemplo, la dirección de correo electrónico registrada más un código postal de facturación, o un número de confirmación de pedido más una dirección de entrega.

Para los datos de alta sensibilidad (como detalles de cuentas financieras, información de salud, o números de Seguro Social), la empresa puede exigir tres puntos de datos coincidentes o una declaración firmada bajo pena de perjurio.

Una empresa no puede exigirle crear una cuenta nueva para completar la verificación. Solo puede usar la información de verificación para ese único propósito. Si una empresa usa su dirección de correo electrónico (recopilada únicamente para verificación) para agregarlo a una lista de marketing, esa práctica viola las regulaciones de la CCPA.

Bajo el Artículo 12(6) del RGPD, un responsable puede solicitar información adicional necesaria para confirmar su identidad cuando existe una duda razonable sobre quién está haciendo la solicitud. Ese es un paso proporcional, no una barrera. Si el responsable no puede verificar su identidad a pesar de su cooperación, debe informárselo dentro del plazo de respuesta estándar en lugar de permitir que el plazo transcurra en silencio.

Paso 5: Uso de un Agente Autorizado

Usted no tiene que presentar la solicitud de eliminación usted mismo. Bajo la CCPA, puede designar a otra persona o a una entidad comercial registrada ante la Secretaría de Estado de California como agente autorizado para actuar en su nombre (Código de Regulaciones de California tít. 11, §§ 7001(d), 7063). La empresa puede exigir dos cosas: prueba escrita de que usted autorizó al agente, y verificación de identidad directa de parte suya (el consumidor) en lugar de a través del agente.

Esta vía importa más para las personas que no pueden navegar fácilmente los formularios en línea. Un familiar que ayuda a un padre anciano, un cuidador que actúa por alguien con una discapacidad, o un abogado de privacidad que presenta en nombre de un cliente, todos pueden usar el marco del agente autorizado.

La VCDPA de Virginia, la CPA de Colorado, y la CTDPA de Connecticut contienen disposiciones similares de agente autorizado. Si está usando un agente en un estado que no es California, verifique si la empresa puede exigir un formulario de autorización notariado en lugar de una simple declaración escrita. Algunas empresas aplican el estándar más estricto a nivel nacional.

Paso 6: Plazos de Respuesta por Ley

Conocer el plazo evita que usted espere indefinidamente y le indica exactamente cuándo una empresa ha incurrido en una infracción.

CCPA (California). 45 días calendario desde la recepción de la solicitud verificable. La empresa puede prorrogar el período una vez por 45 días adicionales (90 días en total), pero debe notificarle de la prórroga dentro del plazo inicial de 45 días y explicar por qué se necesita tiempo adicional (Código Civil de California § 1798.130(a)(2)).

VCDPA de Virginia. 45 días calendario, con una prórroga de 45 días disponible para solicitudes complejas. El responsable debe notificarle antes de prorrogar (Código de Virginia Anotado § 59.1-577(B)).

CPA de Colorado. El mismo cronograma de 45 más 45 días que California y Virginia (Estatutos Revisados de Colorado § 6-1-1306(1)(a)(III)).

RGPD (UE/Reino Unido). Un mes calendario desde la recepción, prorrogable por dos meses adicionales para solicitudes que sean complejas o numerosas. El responsable debe notificarle dentro del primer mes si está usando la prórroga y explicar las razones de la demora (Art. 12(3) del RGPD).

Todos estos marcos exigen que las empresas respondan de forma gratuita. Una empresa que exige una tarifa antes de procesar su solicitud de eliminación no está cumpliendo con la ley. Si el plazo pasa sin una respuesta o un aviso de prórroga, la empresa está en infracción.

Lo que la Empresa Realmente Debe Hacer Cuando Elimina sus Datos

La eliminación bajo la CCPA no consiste en quitar su nombre de una sola tabla en una base de datos de marketing. Bajo el Código Civil de California § 1798.105(c), una vez que una empresa cubierta recibe una solicitud de eliminación válida, debe tomar tres acciones distintas.

Primero, debe eliminar su información personal de sus propios registros. Segundo, debe indicar a todos los proveedores de servicios y contratistas (las plataformas en la nube, los proveedores de análisis, y los socios de cumplimiento con los que trabaja) que eliminen su información de sus registros también. Tercero, debe notificar a cualquier tercero que haya recibido sus datos para que también los elimine, a menos que hacerlo sea imposible o implique un esfuerzo desproporcionado.

Esa cascada a terceros es significativa. Si la empresa vendió su dirección de correo electrónico a una cooperativa de datos publicitarios hace dos años, debe indicarle a esa cooperativa que elimine su registro también.

Bajo el Artículo 17(2) del RGPD, la obligación va un paso más allá para los datos que se hicieron públicos. Si el responsable publicó sus datos personales (un perfil de usuario, una publicación social, una fotografía), debe tomar medidas razonables para informar a todos los demás responsables que procesan esos datos sobre su solicitud de supresión, incluida la eliminación de enlaces, copias, o replicaciones de esos datos.

Excepciones Comunes: Cuándo una Empresa Puede Conservar sus Datos

Ni la CCPA ni el RGPD exigen la eliminación en toda circunstancia. Si una empresa cita una excepción, debe identificar cuál aplica y por qué.

Excepciones de la CCPA (Código Civil de California § 1798.105(d)). Una empresa puede conservar sus datos para: completar la transacción o cumplir con una garantía para la cual se recopilaron; detectar, prevenir, o investigar incidentes de seguridad; depurar errores; ejercer la libertad de expresión u otros derechos legales; cumplir con la Ley de Privacidad de Comunicaciones Electrónicas de California; realizar investigación científica, histórica, o estadística lícita, pública y revisada por pares en interés público; usar los datos internamente de maneras razonablemente alineadas con sus expectativas según su relación con la empresa; o cumplir con una obligación legal.

Excepciones del RGPD (Art. 17(3)). El derecho de supresión no aplica en la medida en que el procesamiento sea necesario para: ejercer el derecho a la libertad de expresión e información; cumplir con una obligación legal o el desempeño de una tarea de interés público; los intereses de salud pública bajo el Artículo 9(2)(h) e (i); el archivo, la investigación científica o histórica, o los fines estadísticos bajo el Artículo 89(1); o el establecimiento, ejercicio, o defensa de reclamos legales.

Si una empresa alega una excepción que no encaja con su situación (por ejemplo, citar "obligación legal" cuando usted es simplemente un suscriptor de un boletín), esa negación vale la pena apelarla y, si es necesario, escalarla a un regulador.

Paso 7: Si la Empresa se Niega, Apele y Escale

Una negación no es necesariamente el final del camino. El proceso depende de qué ley aplique a su situación.

California (CCPA/CPRA). Primero, revise la negación para confirmar si la empresa citó una excepción válida del Código Civil de California § 1798.105(d). Si la negación no cita una excepción específica, o si la excepción citada no parece encajar, presente una queja ante la Agencia de Protección de la Privacidad de California en cppa.ca.gov o ante la Fiscalía General de California en oag.ca.gov. La CPPA puede imponer multas administrativas de hasta $2,500 por infracción no intencional y $7,500 por infracción intencional. La Fiscalía General tiene autoridad de aplicación concurrente y anteriormente ha llegado a acuerdos multimillonarios en casos de privacidad del consumidor.

Es importante entender que el derecho de acción privado de la CCPA se limita a los casos de violación de datos bajo el § 1798.150. Para una solicitud de eliminación rechazada o ignorada, su remedio es una queja ante el regulador en lugar de una demanda personal. Usted no puede demandar directamente a la empresa por una negación de eliminación.

Virginia (VCDPA). El Código de Virginia § 59.1-577(C) exige que los responsables cubiertos mantengan un proceso de apelación por escrito. Después de una negación, presente una apelación formal a través del mecanismo de apelaciones de la empresa. El responsable debe responder por escrito dentro de 60 días con una explicación razonada. Si la apelación también se niega, la empresa debe proporcionarle un camino directo para contactar a la Fiscalía General de Virginia y presentar una queja. La ley de Virginia tampoco tiene un derecho de acción privado.

Colorado (CPA). La Ley de Privacidad de Colorado también exige un proceso de apelación. Después de agotar la apelación interna, puede contactar a la oficina de la Fiscalía General de Colorado, que tiene autoridad de aplicación sobre las infracciones de la CPA.

RGPD (UE/Reino Unido). Presente una queja ante la autoridad de protección de datos (APD) en el estado miembro de la UE donde vive o trabaja. Si el responsable tiene su sede en otro país, presente la queja ante la autoridad principal de supervisión de ese responsable. La CNIL de Francia, las APD a nivel estatal de Alemania, y la Comisión de Protección de Datos (DPC) de Irlanda se encuentran entre las más activas. Las multas del RGPD pueden llegar a 20 millones de euros o el 4 por ciento de los ingresos anuales globales, lo que sea mayor. Los residentes del Reino Unido presentan su queja ante la Oficina del Comisionado de Información (ICO). El derecho a presentar una queja ante una autoridad de supervisión está garantizado por el Artículo 77 del RGPD y no le cuesta nada.

Para pasos relacionados de privacidad del consumidor, consulte nuestras guías sobre cómo optar por no participar con los corredores de datos y cómo presentar una queja de privacidad de datos.

Supresión Bajo el RGPD: Consideraciones Especiales para los Residentes de la UE

Si usted se encuentra en la UE o el Reino Unido, su derecho de supresión bajo el Artículo 17 del RGPD es independiente de los derechos de privacidad estatales de EE. UU. y en varios aspectos más amplio.

El RGPD aplica a cualquier responsable que procese sus datos personales sin importar el tamaño de la empresa. No hay umbral de ingresos ni umbral de volumen de datos. Un pequeño minorista en línea que le envió un paquete una vez sigue estando sujeto a la regulación si se dirige a los consumidores de la UE.

Sus seis fundamentos para solicitar la supresión son: (a) los datos personales ya no son necesarios para el propósito para el cual se recopilaron; (b) usted retira el consentimiento en el que se basaba el procesamiento y no existe otra base legal; (c) usted se opone al procesamiento bajo el Artículo 21 y no existen fundamentos legítimos superiores; (d) los datos personales se procesaron ilícitamente; (e) la supresión es requerida por la ley de la UE o de un Estado miembro; y (f) los datos personales se recopilaron en relación con los servicios de la sociedad de la información ofrecidos a un menor (Art. 17(1) del RGPD).

El fundamento (b), la retirada del consentimiento, con frecuencia se pasa por alto. Si una empresa le ha estado enviando correos electrónicos bajo una base legal de "consentimiento" y usted retira ese consentimiento, puede combinar la retirada con una solicitud de supresión y tener el efecto combinado de detener tanto el procesamiento como eliminar sus datos históricos.

El fundamento (c), la objeción bajo el Artículo 21, funciona incluso cuando el responsable se basa en intereses legítimos en lugar de en el consentimiento. Una vez que usted objeta, el responsable solo puede continuar el procesamiento si puede demostrar fundamentos legítimos convincentes que prevalezcan sobre sus intereses, derechos, y libertades.

El Considerando 65 del RGPD destaca específicamente los datos de menores como un caso de uso prioritario de supresión. Si se recopilaron datos sobre su hijo en línea, los fundamentos de supresión son especialmente sólidos.

El plazo de respuesta es de un mes, prorrogable a tres meses para las solicitudes que el responsable caracterice como complejas o numerosas. Todas las respuestas son gratuitas. Para la supresión de resultados de búsqueda (el clásico escenario del "derecho al olvido"), su solicitud va al motor de búsqueda en sí, no solo al sitio de origen.

Para un análisis más profundo del Art. 17 del RGPD, incluida la sentencia histórica de Google España y cómo hacer solicitudes a los motores de búsqueda, consulte nuestra guía sobre el derecho al olvido del RGPD. Para entender cómo se comparan los derechos de eliminación del RGPD con el enfoque de la CCPA en detalle, consulte nuestra guía de derechos de exclusión de la CCPA.

Guías Relacionadas

• Cómo Optar por No Participar con los Corredores de Datos (2026)
• Cómo Presentar una Queja de Privacidad de Datos (2026)
• Cuadro Comparativo de Leyes de Privacidad Estatales de EE. UU. (2026)
• Derechos de Exclusión de la CCPA: No Vender ni Compartir Mi Información Personal (2026)