RGPD – Unidad II : 1.5 Derechos del interesado – Derecho de Supresión

1. DERECHOS DEL INTERESADO

EL RGPD regula en el Capítulo III los derechos del interesado en materia de protección de datos los cuales quedan descritos en los art. 15 a 20 y en los considerandos 58 a 71. Como veremos más adelante, el RGPD introduce nuevos derechos a los ya existentes en nuestra normativa de protección de datos (los comúnmente denominados derechos ARCO por el acrónimo de Acceso, Rectificación, Cancelación y Oposición) como son el derecho a la portabilidad del dato y el derecho a la limitación en el tratamiento.

1.5 DERECHO DE SUPRESIÓN

El derecho de supresión viene regulado en al art. 17 y en los considerandos 65 y 66 del RGPD.

Artículo 17: Derecho de supresión

1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
   1. los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
   2. el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a) (Consentimiento), o el artículo 9, apartado 2, letra a) (Consentimiento en categorías especiales de datos), y este no se base en otro fundamento jurídico;
   3. el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1 (Derecho de oposición personal, interés público o interés legítimo), y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2 (Derecho de oposición marketing Directo);
   4. los datos personales hayan sido tratados ilícitamente;
   5. los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
   6. los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8 (Condiciones aplicables al consentimiento del niño en relación con los servicios de la sociedad de la información), apartado 1.
2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos.
3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
   1. para ejercer el derecho a la libertad de expresión e información;
   2. para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
   3. por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras h) e i), y apartado 3 (Tratamiento de categorías especiales de datos personales);
   4. con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1 (Investigación científica estadística), en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
   5. para la formulación, el ejercicio o la defensa de reclamaciones.

1.5.1 Alcance

El derecho a la supresión de los datos y por tanto que los mismos sean suprimidos y dejen de tratarse por el responsable sin dilación indebida se produce en los siguientes supuestos:

• Dejan de ser necesarios para los fines en los que fueron recabados.
• El consentimiento ha sido retirado por el interesado.
• El interesado se opone al tratamiento de los mismos conforme al 21 del RGPD.
• Los datos han sido tratados ilícitamente.
• Para el cumplimiento de una obligación legal establecida por el Derecho de la UE o de los Estados miembros.
• Se hayan obtenido en relación a una oferta de servicios de la sociedad de la información efectuada a menores conforme el 8 del RGPD (consentimiento de menores en relación a los SSI).

Se hace también referencia expresa al “Derecho al olvido”. Es decir, a la manifestación del derecho de supresión en Internet. De manera que cuando el responsable de tratamiento haya publicado datos personales que han dejado de ser útiles o necesarios para la finalidad en que fueron recabados y reciba solicitudes de supresión de interesados adoptará las medias razonables para informar a los responsables que estén tratando dichos datos personales de que existe una solicitud de supresión del interesado que afecta tanto a enlaces, como a cualquier copia o réplica.

1.5.2 Derecho a la Retención o Bloqueo

Si bien no hay una mención expresa al bloqueo de datos, si se establece en el art. 17 y considerando 65 una mención a la posible retención de los datos por parte del responsable de tratamiento o excepciones al derecho de supresión. Así se señala que, aunque los datos dejen de ser útiles o necesarios o el interesado retire el consentimiento para el tratamiento, cuando el tratamiento es necesario para:

• El ejercicio de las libertades de expresión e información
• El Cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros.
• Tratamiento para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable.
• Razones de interés público en el ámbito de la salud pública.
• Fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, en la medida en que el derecho pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento
• Formulación, ejercicio o defensa de reclamaciones.

PREGUNTAS FRECUENTES:

¿Es posible realizar un bloqueo de datos por responsabilidades nacidas del tratamiento de datos solo durante los plazos legales establecidos de responsabilidad según el apartado 17.3 b RGPD?

El plazo para el ejercicio de las acciones legales de responsabilidad que se establecen en la ley Española es la que efectivamente nos permitiría realizar una conservación o bloqueo de datos personales, y por tanto conservarlos durante el plazo de prescripción de dichas acciones. Sin embargo, pueden existir otros supuestos de conservación, como los establecidos en el  art. 17.3 e): formulación, ejercicio o defensa de reclamaciones etc. En algún caso podría incluso surgir un conflicto en relación a la información facilitada al interesado sobre el plazo de conservación, ya que podría producirse un incumplimiento si transcurrido dicho plazo los datos se siguen conservando para el ejercicio o defensa de reclamaciones. En estos casos de posible conflicto, la conclusión a la que llegamos, es que si una ley obliga a dicha conservación, o si se ha informado al interesado de la posibilidad de conservar los datos personales para el ejercicio de acciones, los mismos podrían ser conservados y por tanto bloqueados únicamente para el ejercicio de dichas acciones de responsabilidad existentes (17.3 b) o para la formulación o atención a las reclamaciones (17.3 e).

¿Qué cambios introduce el RGPD en el actual procedimiento de cancelación/bloqueo?

Desde un punto de vista práctico, el RGPD no introduce grandes cambios, puesto que se permite conservar los datos para atender a posibles reclamaciones. Por tanto, será posible conservar los datos o mantenerlos bloqueados para atender a las reclamaciones que puedan surgir en función de la responsabilidad de dichos tratamientos. Si bien no se hace mención a ello específicamente, entendemos que no permitir dicho bloqueo con conservación podría producir una situación de indefensión al Responsable si tiene que eliminarlos o borrarlos y luego no puede presentarlos como prueba en procedimientos judiciales. En todo caso lo que, sí sería necesario de regular es el procedimiento por el que se procede al bloqueo para garantizar que dichos datos no serán tratados con otras finalidades y que por tanto únicamente se accederá a ellos para la atención de dichas responsabilidades surgidas del tratamiento.

CONCLUSIONES

• La supresión se producirá cuando dejen de ser necesarios para la finalidad en que fueron recabados, se retire el consentimiento, el interesado se oponga, lo establezca la ley, en supuestos de menores y SSI, y cuando han sido tratados ilícitamente.
• Se permite conservar los datos para el ejercicio o defensa de reclamaciones.