1400 - ¿Cómo se regula el derecho de supresión o cancelación de los datos personales en redes sociales?

Derecho a la supresión de datos personales en el RGPD

Artículo 17 del RGPD

«1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:

a) los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;

b) el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;

c) el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;

d) los datos personales hayan sido tratados ilícitamente;

e) los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;

f) los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1.

2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos.

3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:

a) para ejercer el derecho a la libertad de expresión e información;

b) para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;

c) por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras h) e i), y apartado 3;

d) con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o

e) para la formulación, el ejercicio o la defensa de reclamaciones».

En síntesis, el interesado tendrá derecho a obtener del responsable del tratamiento la supresión de los datos personales que le conciernan. Ahora bien, el responsable del tratamiento tendrá la obligación de suprimir los datos personales cuando concurra alguno de los siguientes supuestos:

a) Los datos personales ya no sean necesarios de acuerdo con los fines para los que se hubieran recogido o tratado.

b) El interesado retire el consentimiento en el que se basa el tratamiento de acuerdo con lo siguiente:

- El interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos [artículo 6.1.a) del RGPD].

- El interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 del artículo 9 del RGPD no puede ser levantada por el interesado [artículo 9.2.a) del RGPD], y este no se base en otro fundamento jurídico.

c) El interesado se oponga al tratamiento con arreglo a las siguientes circunstancias:

- El interesado tendrá derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular, a que datos personales que le conciernan sean objeto de un tratamiento basado en lo dispuesto en el artículo 6, apartado 1, letras e) o f) del RGPD incluida la elaboración de perfiles sobre la base de dichas disposiciones. El responsable del tratamiento dejará de tratar los datos personales, salvo que acredite motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los intereses, los derechos y las libertades del interesado, o para la formulación, el ejercicio o la defensa de reclamaciones (artículo 21.1 del RGPD), y no prevalezcan otros motivos legítimos para el tratamiento.

- En el caso de que el tratamiento de datos personales tenga por objeto la mercadotecnia directa, el interesado tendrá derecho a oponerse en todo momento al tratamiento de los datos personales que le conciernan, incluida la elaboración de perfiles en la medida en que esté relacionada con la mentada mercadotecnia (artículo 21.2 del RGPD).

d) Los datos personales hayan sido tratados de forma ilícita.

e) Los datos personales tengan que suprimirse para cumplir una obligación legal regulada en el derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento.

f) Los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8.1 del RGPD, estas son, las condiciones aplicables al consentimiento del niño en relación con los servicios de la sociedad de la información.

No obstante, lo anterior no se aplicará cuando el tratamiento sea imprescindible para:

• Ejercer el derecho a la libertad de expresión e información.
• El cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable.

• Por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras h) e i), y apartado 3 del RGPD, estos son:

  • Apartado 2.h). El tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3 (artículo 9 del RGPD).
  • Apartado 2.i). El tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional.

  • Apartado 3. Los datos personales a que se refiere el apartado 1 (artículo 9.1 del RGPD) podrán tratarse a los fines citados en el apartado 2, letra h) del RGPD (con fines de medicina preventiva, diagnóstico médico, prestación de asistencia...), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes:

    • Con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, del RGPD, en la medida en que el derecho indicado en el apartado 1 del artículo 17 del RGPD pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento.
    • Para la formulación, el ejercicio, o la defensa de reclamaciones.

A TENER EN CUENTA. Cuando el responsable del tratamiento haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1 del artículo 17 del RGPD, a suprimir dichos datos, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos (artículo 17.2 del RGPD).

CUESTIONES

1. ¿Qué considerandos del RGPD se refieren al derecho de supresión?

Entre otros podemos enumerar los siguientes:

a) Considerando 39 del RGPD:

«(...) Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios. Para garantizar que los datos personales no se conservan más tiempo del necesario, el responsable del tratamiento ha de establecer plazos para su supresión o revisión periódica. Deben tomarse todas las medidas razonables para garantizar que se rectifiquen o supriman los datos personales que sean inexactos. Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento».

b) Considerando 59 del RGPD:

«Deben arbitrarse fórmulas para facilitar al interesado el ejercicio de sus derechos en virtud del presente Reglamento, incluidos los mecanismos para solicitar y, en su caso, obtener de forma gratuita, en particular, el acceso a los datos personales y su rectificación o supresión, así como el ejercicio del derecho de oposición. El responsable del tratamiento también debe proporcionar medios para que las solicitudes se presenten por medios electrónicos, en particular cuando los datos personales se tratan por medios electrónicos. El responsable del tratamiento debe estar obligado a responder a las solicitudes del interesado sin dilación indebida y a más tardar en el plazo de un mes, y a explicar sus motivos en caso de que no fuera a atenderlas».

c) Considerando 65 del RGPD:

«Los interesados deben tener derecho a que se rectifiquen los datos personales que le conciernen y un "derecho al olvido" si la retención de tales datos infringe el presente Reglamento o el Derecho de la Unión o de los Estados miembros aplicable al responsable del tratamiento. En particular, los interesados deben tener derecho a que sus datos personales se supriman y dejen de tratarse si ya no son necesarios para los fines para los que fueron recogidos o tratados de otro modo, si los interesados han retirado su consentimiento para el tratamiento o se oponen al tratamiento de datos personales que les conciernen, o si el tratamiento de sus datos personales incumple de otro modo el presente Reglamento. Este derecho es pertinente en particular si el interesado dio su consentimiento siendo niño y no se es plenamente consciente de los riesgos que implica el tratamiento, y más tarde quiere suprimir tales datos personales, especialmente en internet (...)».

d) Considerando 66 del RGPD:

«A fin de reforzar el "derecho al olvido" en el entorno en línea, el derecho de supresión debe ampliarse de tal forma que el responsable del tratamiento que haya hecho públicos datos personales esté obligado a indicar a los responsables del tratamiento que estén tratando tales datos personales que supriman todo enlace a ellos, o las copias o réplicas de tales datos. Al proceder así, dicho responsable debe tomar medidas razonables, teniendo en cuenta la tecnología y los medios a su disposición, incluidas las medidas técnicas, para informar de la solicitud del interesado a los responsables que estén tratando los datos personales».

e) Considerando 68 del RGPD:

«(...) El derecho del interesado a transmitir o recibir datos personales que lo conciernan no debe obligar al responsable a adoptar o mantener sistemas de tratamiento que sean técnicamente compatibles. Cuando un conjunto de datos personales determinado concierna a más de un interesado, el derecho a recibir tales datos se debe entender sin menoscabo de los derechos y libertades de otros interesados de conformidad con el presente Reglamento. Por otra parte, ese derecho no debe menoscabar el derecho del interesado a obtener la supresión de los datos personales y las limitaciones de ese derecho recogidas en el presente Reglamento, y en particular no debe implicar la supresión de los datos personales concernientes al interesado que este haya facilitado para la ejecución de un contrato, en la medida y durante el tiempo en que los datos personales sean necesarios para la ejecución de dicho contrato. El interesado debe tener derecho a que los datos personales se transmitan directamente de un responsable del tratamiento a otro, cuando sea técnicamente posible».

f) Considerando 73 del RGPD:

«El Derecho de la Unión o de los Estados miembros puede imponer restricciones a determinados principios y a los derechos de información, acceso, rectificación o supresión de datos personales, al derecho a la portabilidad de los datos, al derecho de oposición, a las decisiones basadas en la elaboración de perfiles, así como a la comunicación de una violación de la seguridad de los datos personales a un interesado y a determinadas obligaciones conexas de los responsables del tratamiento, en la medida en que sea necesario y proporcionado en una sociedad democrática para salvaguardar la seguridad pública, incluida la protección de la vida humana, especialmente en respuesta a catástrofes naturales o de origen humano, la prevención, investigación y el enjuiciamiento de infracciones penales o la ejecución de sanciones penales (...)».

g) Considerando 156 del RGPD:

«(...) Debe autorizarse que los Estados miembros establezcan, bajo condiciones específicas y a reserva de garantías adecuadas para los interesados, especificaciones y excepciones con respecto a los requisitos de información y los derechos de rectificación, de supresión, al olvido, de limitación del tratamiento, a la portabilidad de los datos y de oposición, cuando se traten datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos. Las condiciones y garantías en cuestión pueden conllevar procedimientos específicos para que los interesados ejerzan dichos derechos si resulta adecuado a la luz de los fines perseguidos por el tratamiento específico, junto con las medidas técnicas y organizativas destinadas a minimizar el tratamiento de datos personales atendiendo a los principios de proporcionalidad y necesidad. El tratamiento de datos personales con fines científicos también debe observar otras normas pertinentes, como las relativas a los ensayos clínicos».

2. ¿Qué artículos del RGPD mencionan el derecho de supresión?

En relación con el derecho de supresión, cabe destacar los siguientes preceptos:

- Información que deberá facilitarse cuando los datos personales se obtengan del interesado (artículo 13 del RGPD).

- Información que deberá facilitarse cuando los datos personales no se hayan obtenido del interesado (artículo 14 del RGPD).

- Derecho de acceso del interesado (artículo 15 del RGPD).

- Derecho de supresión (artículo 17 del RGPD).

- Obligación de notificación relativa a la rectificación o supresión de datos personales o la limitación del tratamiento (artículo 19 del RGPD).

- Poderes de la autoridad de control (artículo 58 del RGPD).

Derecho a la supresión de datos personales en la LOPDGDD

Artículo 15 de la LOPDGDD

«1. El derecho de supresión se ejercerá de acuerdo con lo establecido en el artículo 17 del Reglamento (UE) 2016/679.

2. Cuando la supresión derive del ejercicio del derecho de oposición con arreglo al artículo 21.2 del Reglamento (UE) 2016/679, el responsable podrá conservar los datos identificativos del afectado necesarios con el fin de impedir tratamientos futuros para fines de mercadotecnia directa».

Ahora bien, este artículo regula el derecho de supresión de acuerdo con lo establecido en el artículo 17 del RGPD. No obstante, cuando la supresión derive del ejercicio del derecho de oposición conforme al apartado segundo del artículo 21 del RGPD, el responsable podrá conservar los datos identificativos del afectado necesarios con el fin de impedir tratamientos futuros para fines de mercadotecnia directa.

CUESTIONES

1. ¿Qué supuesto regula el apartado segundo del artículo 21 del RGPD?

Este apartado regula el tratamiento de datos cuando el objeto del mismo sea la mercadotecnia directa, y establece que el interesado podrá oponerse en cualquier momento a aquel, incluso a la elaboración de perfiles en las medidas en que esté relacionado con la referida mercadotecnia.

2. ¿Existe una obligación de notificación relativa a la supresión de datos personales?

El artículo 19 del RGPD dispone que: «El responsable del tratamiento comunicará cualquier rectificación o supresión de datos personales o limitación del tratamiento efectuada con arreglo al artículo 16, al artículo 17, apartado 1, y al artículo 18 a cada uno de los destinatarios a los que se hayan comunicado los datos personales, salvo que sea imposible o exija un esfuerzo desproporcionado. El responsable informará al interesado acerca de dichos destinatarios, si este así lo solicita».