Derecho al olvido (Protección de Datos)

¿Qué es el derecho al olvido (derecho de supresión)?

El denominado como derecho al olvido fue una de las novedades introducidas en materia de derechos en el articulado del Reglamento (UE) 2016/679, de 27 de abril de 2016 (en adelante, RGPD), que además reforzó el derecho a la supresión. Este derecho tiene por objeto dar a la persona física, el interesado, el control sobre sus datos personales, en particular, en el ámbito electrónico. Es decir, el derecho al olvido permite al interesado instar al responsable del tratamiento a que, cuando se den los requisitos aplicables, se supriman enlaces, copias o réplicas de los datos. En este sentido, el Considerando 66 del RGPD explica que "derecho al olvido" en el entorno en línea debe ampliarse de tal forma que el responsable del tratamiento que haya hecho públicos datos personales esté obligado a indicar a los responsables del tratamiento que estén tratando tales datos personales que supriman todo enlace a ellos, o las copias o réplicas de tales datos.

Si bien no se refiere expresamente al derecho al olvido, es necesario tener en consideración que este se incluye en el RGPD siguiendo, o teniendo como precedente relevante, la sentencia del Tribunal de Justicia de la Unión Europea (TJUE) de 13 de mayo de 2014, asunto C-131/12. En esta sentencia el TJUE responde varias cuestiones prejudiciales que le presentó la Audiencia Nacional como consecuencia de un "litigio entre Google Spain, S.L. (en lo sucesivo, «Google Spain»), y Google Inc., por un lado, y la Agencia Española de Protección de Datos (en lo sucesivo, «AEPD») y el Sr. Costeja" por otro.

En concreto, interpretando los artículos 12.b), relativo a la supresión, y 14, párrafo primero, letra a), relativo a la oposición, de la Directiva 95/46/CE y que, son extensibles en buena medida, al RGPD, el TJUE concluye que para respetar los derechos que establecen estas disposiciones, siempre que se cumplan realmente los requisitos establecidos en ellos, el gestor de un motor de búsqueda está obligado a eliminar de la lista de resultados obtenida tras una búsqueda efectuada a partir del nombre de una persona vínculos a páginas web, publicadas por terceros y que contienen información relativa a esta persona, también en el supuesto de que este nombre o esta información no se borren previa o simultáneamente de estas páginas web, y, en su caso, aunque la publicación en dichas páginas sea en sí misma lícita.

Asimismo, el derecho a la supresión, quizás también conocido como cancelación o borrado de los datos personales, es reforzado también en el RGPD con la finalidad de que el interesado pueda tener mayor control sobre el tratamiento de sus datos personales. En este sentido, el Considerando 65 del RGPD explica que, en lo fundamental, el derecho a la supresión implica un «derecho al olvido» si la retención de tales datos infringe el presente Reglamento o el Derecho de la Unión o de los Estados miembros aplicable al responsable del tratamiento. Y especifica también que, en particular, este derecho es aplicable que los interesados deben tener derecho a que sus datos personales se supriman y dejen de tratarse si ya no son necesarios para los fines para los que fueron recogidos o tratados de otro modo, si los interesados han retirado su consentimiento para el tratamiento o se oponen al tratamiento de datos personales que les conciernen, o si el tratamiento de sus datos personales incumple de otro modo el RGPD. Es decir, hay varios casos a considerar en los que será aplicable el derecho a la supresión o "derecho al olvido".

¿Cuándo es aplicable el derecho a la supresión?

En concreto, y conforme a lo previsto en el apartado 1 del artículo 17 del RGPD, el "derecho al olvido", cuando se trata específicamente de la supresión de los datos personales, cabría en los siguientes casos:

• • Los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
• • El interesado retire el consentimiento en que se basa, con carácter general, el tratamiento de los datos personales (apartado 1, letra a) del artículo 6 del RGPD), o, en su caso, el tratamiento de categorías especiales de datos, tales como los relativos origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, o la salud (apartado 2, letra a) del artículo 9 del RGPD), y, en cualquiera de estos casos el tratamiento no se base en otra base o condición de legitimación;
• • El interesado se oponga al tratamiento con arreglo al apartado 1 del artículo 21 del RGPD, cuando sus datos personales es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento (artículo 6.1.e del RGPD) o se basa en el interés legítimo del responsable del tratamiento o de un tercero (art. 6.1.f del RGPD), incluida la elaboración de perfiles, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al apartado 2 del artículo 21 del RGPD, que se refiere al uso con fines de mercadotecnia directa;
• • Los datos personales hayan sido tratados ilícitamente;
• • Los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
• • Los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el apartado 1 del artículo 8 del RGPD, es decir, referido a niños.

Este derecho del interesado a la supresión de sus datos personales implica que pueda instar al interesado a que, cuando se dé alguno de estos supuestos, el responsable del tratamiento aplique las medidas necesarias para suprimir los datos personales. No obstante, es necesario recordar que la supresión de los datos personales puede encontrar una restricción específica, entre otros supuestos, cuando el interesado ejerce su derecho a la limitación del tratamiento. En virtud de este último derecho, el interesado puede solicitar al responsable del tratamiento que se preserven los datos personales cuando el tratamiento sea ilícito y el interesado se oponga a la supresión de los mismos, en virtud de lo previsto en al artículo 18.1.b) del RGPD.

Por último, cuando la supresión sea el resultado de la oposición del interesado al tratamiento de sus datos personales con arreglo al apartado 2 del artículo 21 del RGPD, el responsable del tratamiento podrá conservar los datos identificativos del afectado necesarios para impedir tratamientos futuros para fines de mercadotecnia directa.

¿En qué consiste el derecho al olvido en el entorno en línea?

En el entorno en línea, el derecho al olvido (derecho de supresión) implica que el interesado puede solicitar al responsable del tratamiento a que, cuando se dé alguno de los casos de supresión de los datos personales, el responsable del tratamiento informe a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos (apartado 2 del artículo 17 del RGPD).

Al respecto, el RGPD prevé que se deberán tener en consideración la tecnología disponible y el coste de su aplicación de las medidas, de manera que estas serán las que resulten, en cada caso, razonables. Y, obviamente, podrán ser medidas técnicas, ya que se trata de las medidas que, en su caso, puedan aplicarse por el responsable del tratamiento.

Y por lo que se refiere al derecho al olvido de los niños en el entorno en línea, como explica el Considerando 65, es pertinente en particular si el interesado dio su consentimiento siendo niño y no se es plenamente consciente de los riesgos que implica el tratamiento, y más tarde quiere suprimir tales datos personales, especialmente en internet. El interesado debe poder ejercer este derecho aunque ya no sea un niño. Es decir, se reconoce, en particular, el derecho del interesado a solicitar el olvido de los datos personales que se trataron, sobre la base de su consentimiento cuando era un niño, y ahora no quiere que se sigan tratando.

¿Cuáles son los límites al derecho al olvido (derecho de supresión)?

Como los demás derechos en protección de datos, el derecho al olvido (derecho de supresión) tiene límites. Específicamente, el apartado 3 del artículo 17 del RGPD, prevé los siguientes límites al derecho al olvido (derecho de supresión) para aquellos tratamientos de datos personales que sean necesarios:

• • Para el ejercicio del derecho a la libertad de expresión e información;
• • Para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
• • Por razones de interés público en el ámbito de la salud pública de conformidad con los apartados 2, letras h) e i), y apartado 3 del artículo 9 del RGPD;
• • Con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89 RGPD, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
• • Para la formulación, el ejercicio o la defensa de reclamaciones.

Y, en general, aplicarán también a este derecho las limitaciones o restricciones contempladas en el artículo 23 del RGPD para los derechos en virtud del Derecho de la Unión Europea o nacional siempre que tal limitación respete en lo esencial los derechos y libertades fundamentales y sea una medida necesaria y proporcionada en una sociedad democrática para salvaguardar bienes jurídicos tales como la seguridad pública o la prevención, la investigación, la detección y el enjuiciamiento de infracciones de normas deontológicas en las profesiones reguladas.

¿Cuáles son los requisitos generales del procedimiento a aplicar?

La gestión de la solicitud del ejercicio del derecho al olvido (derecho de supresión) implica que el responsable del tratamiento tenga que considerar las cuestiones que se indican a continuación.

La solicitud de supresión podrá presentarse por el propio interesado o a través de un representante legal o voluntario y, en el caso de menores de catorce años, podrá ejercerse por quienes tengan su patria potestad. En cuanto a la identificación de la persona física que solicita el ejercicio del derecho correspondiente, si bien el responsable del tratamiento no está obligado a obtener o tratar información adicional para identificar al interesado (artículo 11.1 del RGPD), el interesado podrá facilitar información adicional que permita su identificación (art. 11.2 del RGPD), sin que el responsable se pueda negar a actuar a petición del interesado con el fin de ejercer sus derechos en virtud de los artículos 15 a 22, salvo que pueda demostrar que no puede identificar al interesado.

El ejercicio de los derechos de los interesados es gratuito, salvo que las solicitudes del interesado sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo, teniendo que demostrar el responsable del tratamiento estos extremos. Y en estos casos el responsable del tratamiento podrá aplicar un canon razonable en virtud de los costes administrativos soportados o bien negarse a dar curso a la solicitud.

El responsable del tratamiento tiene obligación de dar respuesta a toda solicitud sobre el ejercicio de derechos en el plazo máximo de un mes desde su recepción, salvo que, dada la complejidad o el número de solicitudes, no pueda atenderse, en cuyo caso se podrá prorrogar hasta dos meses. En dicho caso, el responsable, en el plazo de un mes desde que reciba la solicitud, y sin dilación indebida, tendrá que informar al interesado de dicha circunstancia e indicar las razones de la dilación. Y corresponde al responsable del tratamiento probar que ha cumplido con la respuesta a la solicitud del interesado.

Si no se da curso a la solicitud del interesado, el responsable tendrá que informar sin dilación, y a más tardar transcurrido un mes de la recepción de la solicitud, de las razones de su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control y de ejercitar acciones judiciales (artículo 12.4 del RGPD).

Las comunicaciones con el interesado sobre las solicitudes de ejercicio de derechos tienen que hacerse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño (artículo 12.1 del RGPD). Y si la solicitud se presenta por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo (artículo 12.3 del RGPD).

¿Cuál sería la sanción aplicable si no se cumple el derecho al olvido (derecho de supresión)?

Incumplir con el derecho al olvido (derecho de supresión) de los datos podría suponer la comisión de una infracción (art. 83.5.b del RGPD) que podría ser sancionada, cuando se trate de empresas, con multa administrativa de veinte millones de euros (20.000.000 €) o una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía.

Sin perjuicio de lo anterior, es necesario recordar que las autoridades de protección de datos tienen también poderes correctivos que, en relación con los derechos, como el derecho al olvido (derecho de supresión), implican que puedan ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado (artículo 58.2.c del RGPD).

En el caso de las Administraciones Públicas, en España, este incumplimiento podría dar lugar a una resolución de la autoridad de protección de datos que declare la infracción, salvo por lo que se refiere a los tribunales en el ejercicio de su función judicial.