Derecho al olvido: de borrar tu huella a sobrevivir a la IA

El derecho al olvido se ha consolidado como uno de los derechos digitales de mayor trascendencia en el ordenamiento jurídico y en la conciencia ciudadana. Sin embargo, su configuración legal no supone un derecho absoluto a la eliminación de cualquier rastro digital sin justificación. Su alcance y eficacia exigen un constante juicio de ponderación frente a otros derechos fundamentales, un escenario que se ha vuelto aún más complejo con la irrupción de la inteligencia artificial generativa.

Fundamento normativo y configuración jurisprudencial

El derecho al olvido no constituye una categoría jurídica autónoma stricto sensu, sino una proyección específica del derecho de supresión, recogido en el artículo 17 del Reglamento (UE) 2016/679 (RGPD) [1], que obliga al responsable del tratamiento a suprimir los datos personales sin dilación indebida cuando concurra alguna de las causas tasadas en su apartado 1 —entre ellas, que los datos ya no sean necesarios en relación con los fines para los que fueron recogidos, o que el interesado retire su consentimiento. En el ordenamiento español, este derecho se articula de forma específica en los artículos 93 y 94 de la Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD) [2], que distinguen expresamente entre el derecho al olvido en búsquedas de internet y en redes sociales.

Su configuración jurisprudencial se remonta a la STJUE de 13 de mayo de 2014 (asunto C-131/12, Google Spain y Google Inc. c. AEPD y Mario Costeja) [3], que reconoció a los interesados la facultad de solicitar a los motores de búsqueda la desindexación de resultados cuando el tratamiento de sus datos personales, aun siendo lícito en origen, deviene incompatible con los principios de adecuación, pertinencia y proporcionalidad por el mero transcurso del tiempo. El Tribunal estableció, además, que el gestor del motor de búsqueda debe considerarse responsable del tratamiento, con independencia de que el tratamiento de los datos se lleve a cabo fuera de la Unión.

Esta doctrina fue posteriormente perfilada por la STJUE de 24 de septiembre de 2019 (asunto C-136/17, GC y otros c. CNIL) [4], que extendió el análisis a las categorías especiales de datos (art. 9 RGPD), reforzando la exigencia de una ponderación reforzada en estos supuestos.

La distinción dogmática es fundamental, porque el derecho al olvido no opera, por regla general, sobre la fuente original de la información (el editor), sino sobre su indexación y accesibilidad en los buscadores. Comprender la diferencia entre supresión en origen y mera desindexación resulta clave para entender los criterios resolutivos tanto de la Agencia Española de Protección de Datos (AEPD) como de los órganos jurisdiccionales, que exigen en todo caso una ponderación casuística entre el derecho a la protección de datos (art. 8 CDFUE) y la libertad de información (art. 11 CDFUE), atendiendo a factores como el carácter público del interesado, la naturaleza de la información y el tiempo transcurrido desde su publicación.

Los límites del derecho: el artículo 17.3 del RGPD

La propia norma limita este derecho de forma expresa. El artículo 17.3 del RGPD establece que la obligación de suprimir los datos no es aplicable cuando el tratamiento resulte necesario para:

• El ejercicio del derecho a la libertad de expresión e información.
• El cumplimiento de una obligación legal o una misión de interés público.
• Razones de interés público en el ámbito de la salud.
• Fines de archivo en interés público, investigación científica, histórica o fines estadísticos.
• La formulación, el ejercicio o la defensa de reclamaciones.

En la praxis jurídica, la AEPD efectúa una ponderación casuística. Por ello, las solicitudes relativas a cargos públicos o figuras con relevancia pública suelen decaer frente al derecho a la información, porque la AEPD sostiene que el derecho al olvido no ampara la eliminación de informaciones veraces relacionadas con la actividad pública de una persona, ni permite reescribir su trayectoria, de modo que dejar de ostentar un cargo no conlleva de forma automática la pérdida de relevancia pública que legitima su difusión [5]. En este sentido, el Tribunal Supremo en su sentencia 210/2016 de 5 de abril [6], afirmó que el derecho al olvido requiere una ponderación casuística entre el derecho a la protección de datos y la libertad de información, atendiendo, entre otros factores, a la relevancia pública del afectado, al interés general de la información y al tiempo transcurrido. 

Cuando las solicitudes de ejercicio del derecho al olvido se refieren a personas sin proyección pública y a informaciones sobre hechos ya superados o carentes de relevancia actual, la ponderación suele inclinarse a favor de la protección de los derechos de la persona afectada. En estos casos, se valora especialmente el transcurso del tiempo, la pérdida de interés público de la información y el impacto que su difusión continuada puede generar en la vida personal o profesional del interesado. Este criterio fue reforzado por la STC 58/2018, de 4 de junio [7], al reconocer que el mantenimiento de información veraz en una hemeroteca digital puede requerir medidas de desindexación o limitación de su accesibilidad a través de sus buscadores, cuando, por el paso del tiempo, su difusión resulte desproporcionada respecto de los derechos de la persona afectada. En la misma línea, la AEPD ha estimado reclamaciones de desindexación en casos de personas sin relevancia pública cuando la información ha perdido actualidad e interés general, atendiendo al perjuicio personal y profesional derivado de su difusión continuada.

El derecho al olvido frente al Reglamento (UE) 2024/1689 de Inteligencia Artificial

El Reglamento (UE) 2024/1689 de Inteligencia Artificial (RIA) [8] no deroga ni debilita el marco de protección de datos, pero plantea un problema nuevo. El derecho al olvido se enfrenta a límites técnicos que antes no existían. Los modelos fundacionales de IA se entrenan con enormes volúmenes de datos —muchos de ellos personales— extraídos de internet mediante web scraping, normalmente antes de que el interesado haya podido ejercer su derecho de supresión.

Esta realidad plantea tres grandes tensiones para el cumplimiento normativo:

1. Trazabilidad del dato en el entrenamiento. A diferencia de una base de datos relacional tradicional, los pesos y parámetros de una red neuronal no permiten aislar y suprimir un registro individual de forma directa, lo que dificulta el cumplimiento del art. 17 RGPD.

2. Regeneración de la información. Un sistema generativo puede inferir, mediante probabilidad estadística, datos personales previamente desindexados, eludiendo de facto las barreras impuestas en los motores de búsqueda convencionales.

3. Fricción regulatoria. Si bien el artículo 53 del RIA obliga a los proveedores de modelos de IA de uso general a documentar sus fuentes de entrenamiento y a establecer políticas para respetar la normativa de la Unión sobre derechos de autor y protección de datos, la norma no detalla la viabilidad técnica para ejecutar una supresión cuando el modelo ya ha «aprendido» ese dato.

Ante este problema, el CEPD dio respuesta en su Dictamen 28/2024 [9], en el que explica que, cuando un modelo de IA ya ha sido entrenado con datos personales, los responsables del tratamiento deben valorar distintas medidas para hacer efectivo ese derecho, como el desaprendizaje automático (machine unlearning) o mecanismos que impidan que el modelo reproduzca esos datos en sus respuestas, como el filtrado de salidas (output filtering). 

El principal problema es que cuando un modelo ya ha sido entrenado con datos personales, eliminarlos resulta técnicamente complejo y no siempre es posible demostrar de forma inmediata que han dejado de afectar al modelo. Por eso, el CEPD subraya que la eficacia de las medidas adoptadas debe evaluarse caso a caso, aunque sigue siendo un debate abierto. 

Un último apunte

El derecho al olvido protege, en el fondo, nuestra autodeterminación informativa. La llegada de la IA generativa no cambia el sentido de este derecho, pero sí multiplica la dificultad técnica de hacerlo efectivo. Más allá de reglamentos, normativas y algoritmos, el derecho al olvido responde a algo profundamente humano, la necesidad de dejar atrás lo que ya no nos define y poder empezar de nuevo. Igual que la última marea de septiembre borra las huellas que dejamos en la arena durante todo el verano, quizás también nosotros merecemos borrar las que la vida ha ido dejando sobre nuestros datos, empezando el nuevo curso con la misma pizarra limpia que la playa al amanecer.

_______

FUENTES:

[1] Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento General de Protección de Datos). 

[2] Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. 

[3] Tribunal de Justicia de la Unión Europea. (2014). Sentencia de 13 de mayo de 2014, Google Spain, S.L. y Google Inc. c. Agencia Española de Protección de Datos (AEPD) y Mario Costeja González, asunto C-131/12, ECLI:EU:C:2014:317.

[4] Tribunal de Justicia de la Unión Europea. (2019). Sentencia de 24 de septiembre de 2019, GC y otros c. Commission nationale de l’informatique et des libertés (CNIL), asunto C-136/17, ECLI:EU:C:2019:773. 

[5] Agencia Española de Protección de Datos. Derecho de supresión para actividades públicas. Criterios jurídicos de la AEPD. Disponible en: aepd.es/informes-y-resoluciones/criterios-juridicos-aepd/derecho-de-supresion-para-actividades-publicas 

[6] Tribunal Supremo, Sala de lo Civil. (2016). Sentencia núm. 210/2016, de 5 de abril de 2016 (ECLI:ES:TS:2016:1280).

[7] Tribunal Constitucional (Sala Primera). (2018). Sentencia 58/2018, de 4 de junio de 2018 (Recurso de amparo 2096-2016). Boletín Oficial del Estado. Disponible en: https://www.boe.es/diario_boe/txt.php?id=BOE-A-2018-9534 

[8] Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial (Reglamento de Inteligencia Artificial).

[9] Comité Europeo de Protección de Datos. (2024). Dictamen 28/2024 sobre determinados aspectos de la protección de datos relacionados con el tratamiento de datos personales en el contexto de los modelos de IA. Adoptado el 17 de diciembre de 2024. Disponible en: edpb.europa.eu/system/files/2025-05/edpb_opinion_202428_ai-models_es_0.pdf