Las reformas sufridas por el derecho a la protección de datos personales con la aplicación del Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos, han afectado, como no podía ser de otra manera, al régimen de derechos que los titulares de los datos pueden ejercer ante las compañías que están tratando sus datos.
Lo que en la regulación anterior se conocía como el derecho de cancelación de datos personales, con la nueva regulación pasó a denominarse derecho de supresión de los datos personales. Es por ello, por lo que se utilizará de forma indistinta a lo largo del presente el termino supresión y cancelación para referirnos a este derecho.
Por otro lado, ha quedado plasmado con el RGPD, dentro del derecho a la supresión, el derecho al olvido, el que, como se verá, se trata de una modalidad especial del ejercicio del derecho a la supresión de los datos.
No es cuestión menor hacer alusión a la importancia que tiene que los interesados ejerzan sus derechos para proteger sus datos y su privacidad. Es por ello por lo que en el presente artículo se busca dar un panorama general sobre la solicitud cancelación de datos personales.
¿En que consiste derecho de cancelación de datos personales?
El derecho de cancelación o supresión se encuentra regulado en el Art. 17 del Reglamento (UE) 2016/679 (RGPD) y en el Art. 15 de la Ley Orgánica 3/2018 de Protección de Datos (LOPDGDD) y consiste en la potestad del interesado de obtener del responsable del tratamiento, sin dilación indebida, la eliminación definitiva de los datos que le conciernen en las circunstancias y mediante el procedimiento establecido en la normativa vigente.
¿Cuándo se deben suprimir los datos?
El responsable del tratamiento, ante la solicitud cancelación de datos personales por parte del interesado, está obligado a suprimir los datos cuando:
- los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
- el interesado retire el consentimiento en que se basa el tratamiento y este no se base en otro fundamento jurídico;
- el interesado se oponga al tratamiento y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento para mercadotecnia;
- los datos personales hayan sido tratados ilícitamente;
- los datos personales deban suprimirse para el cumplimiento de una obligación legal que se aplique al responsable del tratamiento;
- los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información de menores.
Excepciones al ejercicio del derecho de supresión
No será de aplicación la obligación de suprimir los datos cuando su tratamiento sea necesario:
- para ejercer el derecho a la libertad de expresión e información;
- para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
- por razones de interés público en el ámbito de la salud pública;
- con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho de supresión pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento; o
- para la formulación, el ejercicio o la defensa de reclamaciones.
Asimismo, corresponde denegar el ejercicio del derecho de supresión:
- cuando los datos deban ser conservados conforme lo establezcan las disposiciones aplicables.
- durante la vigencia de la relación contractual.
Obligación de informar a otros responsables (“Derecho al olvido”)
Esta obligación del responsable del tratamiento consiste en que cuando éste haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1 del Art. 17 RGPD – derecho de supresión -, a suprimir dichos datos, teniendo en cuenta la tecnología disponible y el coste de su aplicación, deberá adoptar medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos.
Se trata de la manifestación del derecho de supresión aplicado concretamente a los buscadores de Internet.
Este derecho consiste en la potestad de solicitar, bajo ciertas circunstancias, que los enlaces a los datos personales del interesado no figuren en los resultados de las búsquedas en internet realizadas bajo el nombre del interesado.
Conservación de los datos identificativos
Cuando la supresión derive del ejercicio del derecho de oposición el responsable podrá conservar los datos identificativos del afectado necesarios con el fin de impedir tratamientos futuros para fines de mercadotecnia directa.
Bloqueo de Datos
El responsable del tratamiento esta obligado a bloquear los datos cuando proceda su supresión, si es necesario conservarlos, por ejemplo, para ponerlos a disposición de la autoridad judicial.
El bloqueo de los datos consiste, de acuerdo con lo establecido en el Art. 32 LOPDGDD, en la identificación y reserva de estos, adoptando medidas técnicas y organizativas, para impedir su tratamiento, incluyendo su visualización , excepto para la puesta a disposición de los datos a los jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes, en particular de las autoridades de protección de datos, para la exigencia de posibles responsabilidades derivadas del tratamiento y solo por el plazo de prescripción de las mismas.
Los datos del interesado no podrán ser utilizados para ninguna otra finalidad distinta de la indicada más arriba, es decir, únicamente podrán utilizarse para ponerlos a disposición de los jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes.
Una vez transcurrido el plazo de conservación los datos deberán ser destruidos.
¿Cómo se ejerce el derecho de cancelación de datos personales?
El ejercicio del derecho de supresión podrá realizarse en cualquier momento, de forma gratuita y por cualquier medio (presencialmente, carta, correo electrónico, telefónicamente, etc.).
La solicitud cancelación datos personales debe ejercerse ante los responsables del tratamiento de los datos (lo que incluye a los buscadores de Internet)
Los responsables del tratamiento deben facilitar a los interesados el ejercicio de su derecho de cancelación o supresión de los datos personales, informándoles, a su vez, los medios por los que pueden ejercerlos – los que deben ser de fácil acceso y sin que se pueda denegar el ejercicio de este por el solo motivo de que el interesado opte por otro medio -.
Los titulares de la patria potestad podrán ejercer el derecho de supresión de los menores de 14 años en su nombre y representación.
En caso de que la solicitud se realice por medios electrónicos, la respuesta deberá realizarse por el mismo medio – cuando sea posible – salvo que el interesado solicite que sea de otro modo.
Las solicitudes deben responderse en el plazo de un mes, pudiéndose prorrogar el plazo otros dos meses más si la complejidad y el número de solicitudes así lo determinan.
El responsable del tratamiento es quien carga con la prueba del cumplimiento de responder a la solicitud. En caso de no dar curso a la solicitud, deberá informar las razones de su no actuación y la posibilidad de reclamar ante la Autoridad correspondiente (AEPD).
La gratuidad del ejercicio cuenta con una excepción: la formulación manifiestamente infundada o excesiva de la solicitud del ejercicio del derecho. Es el responsable el que debe justificar la aplicación de esta excepción.
El responsable deberá tomar medidas para verificar la identidad de quien ejerce el derecho de cancelación. Normalmente se solicita al interesado copia de su documento de identidad o cualquier otro documento que permita acreditar su identidad.
A su vez, el interesado en el documento de solicitud deberá indicar los datos que solicita se eliminen -en caso de que su intención no sea la eliminación de todos los datos -.
En el siguiente enlace se proporciona un modelo de solicitud para el ejercicio del derecho de supresión confeccionado por la Agencia Española de Protección de Datos (AEPD): https://www.aepd.es/media/formularios/formulario-derecho-de-supresion.pdf
¿Cómo proceder si no se atiende a la solicitud del ejercicio del derecho de cancelación de datos personales?
Si el responsable de tratamiento de los datos no atiende a la solicitud cancelación datos personales en tiempo y forma, el interesado podrá dirigirse a la AEPD, ante la que interpondrá la reclamación pertinente.
La AEPD valorando las circunstancias estimará por si o por no la reclamación formulada. Esta decisión es a su vez recurrible ante los Tribunales.
La Agencia tendrá un plazo de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite para resolver el procedimiento. Transcurrido dicho plazo, el interesado podrá considerar estimada su reclamación.
El interesado deberá aportar documentación que acredite la falta de respuesta o la negativa a la supresión por parte del responsable del tratamiento.
Sanciones por incumplimiento.
El hecho de que el responsable no incumpla con la supresión de los datos solicitada mediante la solicitud cancelación datos personales trae como consecuencia la imposición de sanciones.
En un todo de acuerdo con la LODPGDD la no atención a la solicitud del ejercicio de los derechos de los interesados puede significar la imposición de multas administrativas hasta por un monto de 20.000.000 de euros en concordancia con lo establecido en el Art. 83 del RGPD.
Las infracciones relacionadas a la no atención de la solicitud del ejercicio de los derechos de los interesados se clasifican en: leves o graves.
Se consideran graves las infracciones si se impide, obstaculiza o no se atienda de forma reiterada los derechos de acceso, rectificación, supresión, limitación del tratamiento o a la portabilidad de los datos en tratamientos en los que no se requiere la identificación del afectado, cuando este, para el ejercicio de esos derechos, haya facilitado información adicional que permita su identificación.
Se considerarán infracciones leves:
- La exigencia del pago de un canon para facilitar al afectado la información exigida por atender las solicitudes de ejercicio de derechos de los afectados, cuando así lo permita su artículo 12.5, si su cuantía excediese el importe de los costes afrontados para facilitar la información o realizar la actuación solicitada.
- No atender las solicitudes de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD (entre los que se encuentra el derecho a la supresión), salvo que resultase de aplicación una infracción de grave.
- No atender los derechos de acceso, rectificación, supresión, limitación del tratamiento o a la portabilidad de los datos en tratamientos en los que no se requiere la identificación del afectado, cuando este, para el ejercicio de esos derechos, haya facilitado información adicional que permita su identificación, salvo que resultase de aplicación lo dispuesto en el punto anterior.
- El incumplimiento de la obligación de notificación relativa a la rectificación o supresión de datos.
- El incumplimiento de la obligación de informar al afectado, cuando así lo haya solicitado, de los destinatarios a los que se hayan comunicado los datos personales rectificados, suprimidos o respecto de los que se ha limitado el tratamiento.
- El incumplimiento de la obligación de suprimir los datos referidos a una persona fallecida cuando ello fuera exigible conforme al artículo 3 LGPDGDD.