Qué significa «borrar» cuando no hay con qué borrar

Ni el artículo 17 ni los considerandos explican la palabra «erasure». El estudio preparado para el Parlamento Europeo por su servicio de investigación (PE 634.445, Michèle Finck, julio de 2019) registra la omisión sin rodeos y extrae de ella una conclusión: hay motivos para sostener que la ley no exige la destrucción física.

El apoyo de esa lectura es el caso Google Spain, donde se consideró suficiente retirar el enlace de los resultados de búsqueda mientras la publicación seguía en su sitio. El periódico sobrevivió. El enlace no. Si es así, la discusión no trata de qué tecnología es más pulcra, sino de dónde pasa la línea de lo aceptable.

El nombre oficial de la norma es «Right to erasure ('right to be forgotten')». Las comillas dentro del propio título no son adorno: «derecho al olvido» es un sinónimo de titular, mientras que el término jurídico suena más seco — derecho de supresión. El Reglamento (UE) 2016/679 se adoptó el 27 de abril de 2016 y se aplica directamente en toda la Unión desde el 25 de mayo de 2018.

Seis motivos y cinco puertas

La supresión puede exigirse por seis motivos, y la lista es cerrada: los datos ya no son necesarios para los fines de su recogida; se retiró el consentimiento y no existe otra base; se formuló una oposición que el responsable no puede contrapesar; el tratamiento fue ilícito; la supresión la exige la ley; los datos se obtuvieron de un menor en el marco de servicios en línea.

Las excepciones son cinco, figuran en el apartado 3 y operan «en la medida en que» el tratamiento sea necesario: libertad de expresión e información, cumplimiento de una obligación legal o de una misión de interés público, salud pública, archivo e investigación, y formulación o defensa de reclamaciones. Una excepción no anula la solicitud entera: recorta una parte de ella.

El 13 de mayo de 2014 la Gran Sala del Tribunal de Justicia de la Unión Europea resolvió el asunto C-131/12. El RGPD todavía no existía: el tribunal aplicó la Directiva 95/46/CE y los artículos 7 y 8 de la Carta de los Derechos Fundamentales.

Todo empezó en marzo de 2010 con la reclamación del español Mario Costeja González. Buscar su nombre devolvía dos páginas del diario La Vanguardia del 19 de enero y el 9 de marzo de 1998: un anuncio de subasta inmobiliaria por deudas con la Seguridad Social. La deuda estaba saldada desde hacía años. El 30 de julio de 2010 la AEPD desestimó la reclamación contra el periódico y estimó la dirigida contra el buscador.

El apartado 80 explica la diferencia: un motor de búsqueda ofrece a cualquier usuario una visión estructurada de la información sobre una persona y permite así componer su perfil. En 1998 el periódico hizo lo que una orden ministerial le obligaba a hacer. Doce años después el buscador hace otra cosa.

El apartado 93, el párrafo para quien construye archivos

Un tratamiento lícito y exacto en su origen puede volverse incompatible con la norma con el paso del tiempo si los datos ya no son necesarios para los fines con que se recogieron: inadecuados, no pertinentes o excesivos habida cuenta del tiempo transcurrido. En el apartado 98 el tribunal señaló expresamente que la publicación se había producido dieciséis años antes.

Para un sistema diseñado para conservar indefinidamente esto pesa más que cualquier multa. Lo que caduca no es la verdad de un registro sino su pertinencia, y esa magnitud no la mide ningún algoritmo. El tribunal añadió dos cosas más: no hace falta probar un perjuicio, y el equilibrio se inclina hacia la persona «por regla general», invirtiéndose cuando el papel de esa persona en la vida pública hace preponderante el interés del público.

La primera es el plazo, y no procede del artículo 17 sino del artículo 12(3): respuesta sin dilación indebida y en cualquier caso en el plazo de un mes, prorrogable otros dos si la solicitud es compleja. Tres meses como máximo.

La segunda es el precio. La vulneración de los derechos del interesado entra en el tramo superior del artículo 83(5): hasta 20 millones de euros o, en el caso de una empresa, hasta el 4% de su volumen de negocio anual global del ejercicio financiero anterior, optándose por la cuantía mayor de las dos.

La tercera es la práctica. El informe de aplicación del CEPD sobre el derecho de supresión, publicado en febrero de 2026, abarcó a 764 responsables y registró dos hábitos: la anonimización utilizada como sustituto del borrado y las copias de seguridad excluidas del borrado por defecto, sin justificación. El borrado criptográfico no aparece mencionado ni una sola vez en ese informe, ni como práctica aprobada ni como prohibida.

«En la cadena solo va un hash»

El CEPD responde sin ambages en las Directrices 02/2025: el hash también cuenta como dato personal, igual que cualquier identificador que esté a su lado. El motivo es aritmético. La unidireccionalidad protege frente a la reversión de una entrada arbitraria, no frente a la fuerza bruta sobre un conjunto conocido, y en el mundo hay del orden de cinco mil millones de direcciones de correo. Edward Felten, citado en el estudio del Parlamento Europeo, observó que ese barrido le lleva a una máquina menos tiempo que preparar una taza de café.

«Nuestra red es privada»

Estrechar el círculo de participantes resuelve el acceso, no la inmutabilidad. Un registro que no puede retirarse sigue ahí tanto si la cadena la ven diez mil partes como si la ven diez. Además aparece la pregunta de quién es el responsable: según el razonamiento de la CNIL lo es todo participante con capacidad de escritura, y varios participantes con una finalidad común que no hayan repartido responsabilidades de antemano se arriesgan a ser corresponsables conforme al artículo 26.

«Haremos un fork y lo limpiaremos»

Un fork es técnicamente posible, pero exige el acuerdo de la red: el ejercicio del derecho de una persona queda colgando de la buena voluntad de participantes independientes que nada le deben. No cabe en un mes y no escala: las solicitudes de supresión son rutina y el fork es un instrumento de emergencia. Encima destruye la propiedad por la que se eligió la cadena: una historia que se reescribe a petición no puede presentarse como prueba.

La técnica parece elegante: los datos están cifrados desde el principio y lo que se «borra» es la clave, no los datos. Tiene una fuente canónica — NIST SP 800-88r2, septiembre de 2025. La edición anterior r1, de 2014, que sigue citando la mayoría de lo que se escribe sobre el tema, fue retirada el 26 de septiembre de 2025.

Lo que importa es la clasificación. La norma tiene un nivel destroy, donde del soporte quedan virutas; el borrado criptográfico no llega ahí y se sitúa en el nivel purge. El texto cifrado permanece físicamente.

Condiciones previas y debilidades reconocidas

Las condiciones son estrictas: fortaleza del algoritmo no inferior a 128 bits con referencia a ISO/IEC 27040, entropía del generador de números aleatorios no menor que la longitud de la clave, modo ECB prohibido; los datos nunca han podido escribirse en claro; hay que destruir todas las copias de la clave, incluidas las inferiores en la jerarquía y las desenvueltas que residen en memoria y en los registros del motor de cifrado.

La propia norma nombra sus debilidades. Si se hallan fallos en el algoritmo o la computación cuántica hace viable recuperar claves, el método puede dejar de ser una técnica de saneamiento aceptable. De ahí «recolecta ahora, descifra después»: una copia del texto cifrado tomada antes de destruir la clave puede esperar lo que haga falta. No cabe confiar en la técnica donde las claves se respaldaron o se depositaron en custodia. Y el resultado no puede comprobarse: no hay con qué comparar el texto cifrado restante. La edición vigente añade una línea que enfría el entusiasmo: la eficacia no depende de la documentación.

El lado jurídico es más turbio que el técnico. El CEPD sostiene que los datos personales cifrados siguen siendo datos personales y añade lo que resulta letal para el almacenamiento indefinido: incluso un cifrado moderno impecablemente implementado será vencido por el tiempo si la cadena se conserva para siempre. La única construcción que los reguladores describen expresamente como capaz de sacar un registro del ámbito de la norma es un compromiso perfectamente ocultador: destruidos el witness y el valor original, lo que queda en la cadena es inútil.

La distancia entre las posturas de 2018 y de 2026 es la que va de «entendemos que no podéis» a «que no podáis es consecuencia de vuestra propia elección». En 2018 la CNIL reconoció la imposibilidad técnica y propuso un rodeo, advirtiendo con honestidad de que esos rodeos no son, en rigor, supresión. El CEPD, en unas directrices cuya versión final se adoptó el 7 de julio de 2026, es más duro: la imposibilidad técnica no excusa el incumplimiento, porque la protección de datos se incorpora ya al elegir los medios de tratamiento, conforme al artículo 25(1).

CODE Eternal eligió la respuesta verificable antes que la atractiva. Al almacenamiento permanente solo llega texto cifrado: AES-256-GCM, cifrado antes del envío, con la clave en poder del usuario y en un almacén de claves gestionado. Una solicitud de borrado no finge retirar el registro de Arweave: se destruye la clave y en la cadena queda una cadena de caracteres que nadie puede leer, nosotros incluidos.

Y cuatro compromisos abiertos. El texto cifrado permanece para siempre. Las copias de la clave que guarde el propio usuario son un punto ciego. No hay modo de verificar que el borrado criptográfico funcionó. La posición jurídica de esta arquitectura no está confirmada por la guía de ningún regulador. Es menos de lo que a uno le gustaría poner en un anuncio y exactamente lo que puede mostrarse cuando lo pidan.