360 - Definición y regulación del derecho de supresión en el tratamiento de datos personales

Según el Diccionario del Español Jurídico de la RAE, el derecho al olvido o derecho de supresión es el «Derecho a eliminar, ocultar y cancelar aquellas informaciones o hechos pasados de la vida de las personas».

Derecho a la supresión de datos personales en el RGPD

Artículo 17 del RGPD

«1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:

a) los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;

b) el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;

c) el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;

d) los datos personales hayan sido tratados ilícitamente;

e) los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;

f) los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1.

2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos.

3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:

a) para ejercer el derecho a la libertad de expresión e información;

b) para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;

c) por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras h) e i), y apartado 3;

d) con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o

e) para la formulación, el ejercicio o la defensa de reclamaciones».

En síntesis, el interesado tendrá derecho a obtener del responsable del tratamiento la supresión de los datos personales que le conciernan. Ahora bien, el responsable del tratamiento tendrá la obligación de suprimir los datos personales cuando concurra alguno de los siguientes supuestos:

a) Los datos personales ya no sean necesarios de acuerdo con los fines para los que se hubieran recogido o tratado.

b) El interesado retire el consentimiento en el que se basa el tratamiento de acuerdo con lo siguiente:

- El interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos [artículo 6.1.a) del RGPD].

- El interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 del artículo 9 del RGPD no puede ser levantada por el interesado [artículo 9.2.a) del RGPD]  y este no se base en otro fundamento jurídico.

c) El interesado se oponga al tratamiento con arreglo a las siguientes circunstancias:

- El interesado tendrá derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular, a que datos personales que le conciernan sean objeto de un tratamiento basado en lo dispuesto en el artículo 6, apartado 1, letras e) o f), del RGPD incluida la elaboración de perfiles sobre la base de dichas disposiciones. El responsable del tratamiento dejará de tratar los datos personales, salvo que acredite motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los intereses, los derechos y las libertades del interesado, o para la formulación, el ejercicio o la defensa de reclamaciones (artículo 21.1 del RGPD).

- O el interesado se oponga al tratamiento con arreglo al artículo 21.2 del RGPD que dispone: «cuando el tratamiento de datos personales tenga por objeto la mercadotecnia directa, el interesado tendrá derecho a oponerse en todo momento al tratamiento de los datos personales que le conciernan, incluida la elaboración de perfiles en la medida en que esté relacionada con la citada mercadotecnia».

d) Los datos personales hayan sido tratados de forma ilícita.

e) Los datos personales deben suprimirse para cumplir una obligación legal regulada en el derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento.

f) Los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8.1 del RGPD, estas son, las condiciones aplicables al consentimiento del niño en relación con los servicios de la sociedad de la información.

A TENER EN CUENTA. Cuando el responsable del tratamiento haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1 del artículo 17 del RGPD, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos (artículo 17.2 del RGPD).

CUESTIONES

1. ¿Qué considerandos del RGPD se refieren al derecho de supresión?

Entre otros podemos enumerar los siguientes:

a) Considerando 39 del RGPD:

«(...) Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios. Para garantizar que los datos personales no se conservan más tiempo del necesario, el responsable del tratamiento ha de establecer plazos para su supresión o revisión periódica. Deben tomarse todas las medidas razonables para garantizar que se rectifiquen o supriman los datos personales que sean inexactos. Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento».

b) Considerando 59 del RGPD:

«Deben arbitrarse fórmulas para facilitar al interesado el ejercicio de sus derechos en virtud del presente Reglamento, incluidos los mecanismos para solicitar y, en su caso, obtener de forma gratuita, en particular, el acceso a los datos personales y su rectificación o supresión, así como el ejercicio del derecho de oposición. El responsable del tratamiento también debe proporcionar medios para que las solicitudes se presenten por medios electrónicos, en particular cuando los datos personales se tratan por medios electrónicos. El responsable del tratamiento debe estar obligado a responder a las solicitudes del interesado sin dilación indebida y a más tardar en el plazo de un mes, y a explicar sus motivos en caso de que no fuera a atenderlas».

c) Considerando 65 del RGPD:

«(...) los interesados deben tener derecho a que se rectifiquen los datos personales que le conciernen y un "derecho al olvido" si la retención de tales datos infringe el presente Reglamento o el Derecho de la Unión o de los Estados miembros aplicable al responsable del tratamiento. En particular, los interesados deben tener derecho a que sus datos personales se supriman y dejen de tratarse si ya no son necesarios para los fines para los que fueron recogidos o tratados de otro modo, si los interesados han retirado su consentimiento para el tratamiento o se oponen al tratamiento de datos personales que les conciernen, o si el tratamiento de sus datos personales incumple de otro modo el presente Reglamento. Este derecho es pertinente en particular si el interesado dio su consentimiento siendo niño y no se es plenamente consciente de los riesgos que implica el tratamiento, y más tarde quiere suprimir tales datos personales, especialmente en internet».

d) Considerando 66 del RGPD:

«A fin de reforzar el "derecho al olvido" en el entorno en línea, el derecho de supresión debe ampliarse de tal forma que el responsable del tratamiento que haya hecho públicos datos personales esté obligado a indicar a los responsables del tratamiento que estén tratando tales datos personales que supriman todo enlace a ellos, o las copias o réplicas de tales datos. Al proceder así, dicho responsable debe tomar medidas razonables, teniendo en cuenta la tecnología y los medios a su disposición, incluidas las medidas técnicas, para informar de la solicitud del interesado a los responsables que estén tratando los datos personales».

e) Considerando 68 del RGPD:

«(...) El derecho del interesado a transmitir o recibir datos personales que lo conciernan no debe obligar al responsable a adoptar o mantener sistemas de tratamiento que sean técnicamente compatibles. Cuando un conjunto de datos personales determinado concierna a más de un interesado, el derecho a recibir tales datos se debe entender sin menoscabo de los derechos y libertades de otros interesados de conformidad con el presente Reglamento. Por otra parte, ese derecho no debe menoscabar el derecho del interesado a obtener la supresión de los datos personales y las limitaciones de ese derecho recogidas en el presente Reglamento, y en particular no debe implicar la supresión de los datos personales concernientes al interesado que este haya facilitado para la ejecución de un contrato, en la medida y durante el tiempo en que los datos personales sean necesarios para la ejecución de dicho contrato. El interesado debe tener derecho a que los datos personales se transmitan directamente de un responsable del tratamiento a otro, cuando sea técnicamente posible».

f) Considerando 73 del RGPD:

«El Derecho de la Unión o de los Estados miembros puede imponer restricciones a determinados principios y a los derechos de información, acceso, rectificación o supresión de datos personales, al derecho a la portabilidad de los datos, al derecho de oposición, a las decisiones basadas en la elaboración de perfiles, así como a la comunicación de una violación de la seguridad de los datos personales a un interesado y a determinadas obligaciones conexas de los responsables del tratamiento, en la medida en que sea necesario y proporcionado en una sociedad democrática para salvaguardar la seguridad pública, incluida la protección de la vida humana, especialmente en respuesta a catástrofes naturales o de origen humano, la prevención, investigación y el enjuiciamiento de infracciones penales o la ejecución de sanciones penales».

g) Considerando 156 del RGPD:

«(...) Debe autorizarse que los Estados miembros establezcan, bajo condiciones específicas y a reserva de garantías adecuadas para los interesados, especificaciones y excepciones con respecto a los requisitos de información y los derechos de rectificación, de supresión, al olvido, de limitación del tratamiento, a la portabilidad de los datos y de oposición, cuando se traten datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos. Las condiciones y garantías en cuestión pueden conllevar procedimientos específicos para que los interesados ejerzan dichos derechos si resulta adecuado a la luz de los fines perseguidos por el tratamiento específico, junto con las medidas técnicas y organizativas destinadas a minimizar el tratamiento de datos personales atendiendo a los principios de proporcionalidad y necesidad. El tratamiento de datos personales con fines científicos también debe observar otras normas pertinentes, como las relativas a los ensayos clínicos».

2. ¿Qué artículos del RGPD mencionan el derecho de supresión?

Dentro del RGPD, se menciona el derecho a supresión en los siguientes artículos:

- Información que deberá facilitarse cuando los datos personales se obtengan del interesado (artículo 13 del RGPD).

- Información que deberá facilitarse cuando los datos personales no se hayan obtenido del interesado (artículo 14 del RGPD).

- Derecho de acceso del interesado (artículo 15 del RGPD).

- Derecho de rectificación (artículo 16 del RGPD).

- Derecho a la limitación del tratamiento (artículo 18 del RGPD).

- Obligación de notificación relativa a la rectificación o supresión de datos personales o la limitación del tratamiento (artículo 19 del RGPD).

- Registro de las actividades de tratamiento (artículo 30 del RGPD).

- Poderes (artículo 58 del RGPD).

- Funciones del Comité (artículo 70 del RGPD).

Derecho a la supresión de datos personales en LOPDGDD

Artículo 15 de la LOPDGDD

«1. El derecho de supresión se ejercerá de acuerdo con lo establecido en el artículo 17 del Reglamento (UE) 2016/679.

2. Cuando la supresión derive del ejercicio del derecho de oposición con arreglo al artículo 21.2 del Reglamento (UE) 2016/679, el responsable podrá conservar los datos identificativos del afectado necesarios con el fin de impedir tratamientos futuros para fines de mercadotecnia directa».

Ahora bien, el artículo 15 de la LOPDGDD regula el derecho de supresión de acuerdo con lo establecido en el artículo 17 del RGPD.

No obstante, cuando la supresión derive del ejercicio del derecho de oposición con arreglo al artículo 21.2 del RGPD, el responsable podrá conservar los datos identificativos del afectado necesarios con el fin de impedir tratamientos futuros para fines de mercadotecnia directa.

A TENER EN CUENTA. Véanse los siguientes artículos de la LOPDGDD:

- Derecho al olvido en búsquedas de Internet (artículo 93 de la LOPDGDD).

- Derecho al olvido en servicios de redes sociales y servicios equivalentes (artículo 94 de la LOPDGDD).

CUESTIONES

1. ¿Qué supuesto regula el apartado segundo del artículo 21 del RGPD?

Cuando el objeto del tratamiento de datos personales sea la mercadotecnia directa, el interesado podrá oponerse en cualquier momento a aquel, incluso a la elaboración de perfiles en las medidas en que esté relacionado con la referida mercadotecnia.

2. ¿Existe una obligación de notificación relativa a la supresión de datos personales?

El artículo 19 del RGPD dispone que «el responsable del tratamiento comunicará cualquier rectificación o supresión de datos personales o limitación del tratamiento efectuada con arreglo al artículo 16, al artículo 17, apartado 1, y al artículo 18 a cada uno de los destinatarios a los que se hayan comunicado los datos personales, salvo que sea imposible o exija un esfuerzo desproporcionado. El responsable informará al interesado acerca de dichos destinatarios, si este así lo solicita».

A tenor de lo anterior, la sentencia del Tribunal de Justicia de la Unión Europa, de 13 de mayo de 2014, ECLI:EU:C:2014:317, dictada en ocasión de un litigio sobre protección de las personas físicas en lo que respecta al tratamiento de sus datos personales entre Google Spain S.L, y la Agencia Española de Protección de datos junto con un particular, declara que:

 «(...) el interesado puede oponerse a la indexación de sus datos personales por un motor de búsqueda cuando la difusión de estos datos por la intermediación de éste le perjudica y de que sus derechos fundamentales a la protección de dichos datos y de respeto a la vida privada, que engloban el "derecho al olvido", prevalecen sobre los intereses legítimos del gestor de dicho motor y el interés general en la libertad de información.

 (...) En relación con el artículo 12, letra b), de la Directiva 95/46, cuya aplicación está sometida al requisito de que el tratamiento de datos personales sea incompatible con dicha Directiva, es necesario recordar que, como se ha señalado en el apartado 72 de la presente sentencia, tal incompatibilidad puede resultar no sólo de que los datos sean inexactos, sino en particular, de que sean inadecuados, no pertinentes y excesivos en relación con los fines del tratamiento, de que no estén actualizados o de que se conserven durante un período superior al necesario, a menos que se imponga su conservación por fines históricos, estadísticos o científicos».

Y continúa:

«(...) incluso un tratamiento inicialmente lícito de datos exactos puede devenir, con el tiempo, incompatible con dicha Directiva cuando estos datos ya no sean necesarios en relación con los fines para los que se recogieron o trataron. Éste es el caso, en particular, cuando son inadecuados, no pertinentes o ya no pertinentes o son excesivos en relación con estos fines y el tiempo transcurrido».

En consecuencia:

«Ya que el interesado puede, habida cuenta de sus derechos con arreglo a los artículos 7 y 8 de la Carta, solicitar que la información de que se trate ya no se ponga a disposición del público en general mediante su inclusión en tal lista de resultados, es necesario considerar, como se desprende, en particular, del apartado 81 de la presente sentencia, que estos derechos prevalecen, en principio, no sólo sobre el interés económico del gestor del motor de búsqueda, sino también sobre el interés de dicho público en encontrar la mencionada información en una búsqueda que verse sobre el nombre de esa persona. Sin embargo, tal no sería el caso si resultara, por razones concretas, como el papel desempeñado por el mencionado interesado en la vida pública, que la injerencia en sus derechos fundamentales está justificada por el interés preponderante de dicho público en tener, a raíz de esta inclusión, acceso a la información de que se trate».

A nivel nacional, la sentencia del Tribunal Supremo n.º 1624/2020, de 27 de noviembre, ECLI:ES:TS:2020:4016, dirimiendo la procedencia de acordar la desindexación de las Urls resultantes al realizar una búsqueda en el programa BING, utilizando los dos apellidos del reclamante, entiende que:

«Añade, que resulta patente que una búsqueda a partir de unos apellidos muy comunes ofrecerá múltiples resultados de diversas personas que llevarán los mismos apellidos. No obstante, la búsqueda con unos apellidos en que al menos uno de ellos sea peculiar, como es en este caso el apellido Mariano, dará lugar a que en el resultado de búsqueda aparezcan exclusivamente los enlaces referidos a la persona concreta, por lo que si una persona es identificable por sus apellidos, puede ejercer el derecho de oposición respecto a dichos resultados de una búsqueda por sus apellidos».

Y la sentencia del Tribunal Supremo, rec. 5579/ 2017, de 11 de enero de 2019, ECLI:ES:TS:2019:19, fija doctrina jurisprudencial en relación con las condiciones y límites de la protección del derecho al olvido, de manera que:

«Esta Sala de lo Contencioso-Administrativo del Tribunal Supremo debe significar que en este supuesto resultaba necesario tomar en consideración, siguiendo los criterios expuestos en la jurisprudencia del Tribunal Constitucional y en la doctrina del Tribunal de Justicia de la Unión Europea así como la del Tribunal Europeo de Derechos Humanos, los riesgos que para el respeto a la vida privada del reclamante pudiera tener la divulgación de aspectos referidos a sus actividades de ocio. Por ello, estimamos que debía ponderarse adecuadamente tanto que la noticia se refería a hechos atribuidos a un funcionario público, que, aunque ocupase el puesto de (...) de la Xunta de Galicia (...), sus actuaciones carecían de particular notoriedad pues no ha quedado acreditado en autos que se trate de un personaje público o que desempeñase, indiciariamente, un papel destacado en la vida pública de esa Comunidad Autónoma, lo que diluye en gran medida el interés público de la información difundida a través de internet, así como que la noticia había perdido actualidad, teniendo en cuenta el tiempo transcurrido desde que se produjeron los hechos, lo que limita la trascendencia para la formación de una opinión pública informada, libre y plural en una sociedad democrática. En este sentido, cabe precisar que el reconocimiento al derecho al olvido digital comporta otorgar al interesado la facultad de solicitar ante la entidad proveedora de servicios de motor de búsqueda en internet y ante la Agencia Española de Protección de Datos, conforme a lo dispuesto en el artículo 6 de la Ley Orgánica 15/1999 de 13 de diciembre, de Protección de Datos de Carácter Personal, que cancele, suprima o prohíba la indexación de aquellos datos de la lista de resultados proporcionada por el motor de búsqueda obtenidos a partir de su nombre que se revelen inexactos, en la medida que cabe impedir injerencias ilegítimas en el derecho a la vida privada y familiar y en el derecho a la protección de datos personales». (Referencia realizada a la Ley derogada).

Para concluir, la Guía para centros educativos de la Agencia Española de Protección de Datos expone en relación con la supresión de datos:

«Uno de los principios de protección de datos es el que hace referencia al tiempo que deben conservarse los datos de carácter personal por parte de los responsables del tratamiento.

Como regla general, se conservarán por el tiempo estrictamente necesario para las finalidades para las que se recabaron y para hacer frente a las responsabilidades que se pudieran derivar de su tratamiento, de manera que cuando hayan dejado de ser necesarios o pertinentes para dicha finalidad deberá producirse la supresión de los mismos. 

La supresión da lugar al bloqueo de los datos, que no implica su borrado material sino su identificación con la finalidad de impedir su ulterior proceso o utilización, excepto para ponerlos a disposición únicamente de las Administraciones públicas, jueces y Tribunales para la determinación de posibles responsabilidades nacidas del tratamiento y sólo durante el plazo de prescripción de éstas, limitándose en este caso el acceso a personas con la máxima responsabilidad. Cumplido dicho plazo debe procederse a su destrucción, para lo que se deberán utilizar medios que aseguren que no puedan acceder a los datos terceros no autorizados.

El tiempo que se deben conservar los datos será el que establezcan las disposiciones aplicables o, en su caso, las relaciones contractuales entre los interesados y los centros educativos. Dada la pluralidad y finalidades para las que se recaban y tratan los datos, no se puede establecer un determinado plazo, si bien deberán mantenerse en cuanto que puedan ser necesarios para el ejercicio de alguna acción por parte de los alumnos, por lo que resultaría preciso definir el alcance de las responsabilidades de los centros educativos en relación con el contenido y custodia de los datos.

Los datos incluidos en los procesos de admisión serán cancelados una vez finalizados los procedimientos administrativos y judiciales de reclamación. Los exámenes de los alumnos no deberían mantenerse más allá de la finalización del periodo de reclamaciones. Los datos del expediente académico, en cambio, deben ser conservados, ya que pueden ser solicitados por los alumnos con posterioridad a la finalización de sus estudios».

E incluye dos cuestiones prácticas, sumamente interesantes, relativas a la supresión de la información derivada de los expedientes y la información sanitaria recaba por el equipo de orientación educativa.

«¿Tienen los centros educativos que suprimir la información de los expedientes?

Sin perjuicio de lo establecido en la normativa de educación aplicable, la información de los expedientes académicos requiere su conservación en la medida en que puede ser solicitada por los alumnos después de finalizados los estudios.

¿Y de los datos de salud obtenidos por el Equipo de Orientación Educativa?

Se suprimirán cuando no sean necesarios para el desarrollo de la función educativa y, en su caso, al finalizar la escolarización del alumno en el centro, por ejemplo, los datos sobre las alergias alimentarias».