¿Siempre tenemos que borrar los datos personales si una persona lo pide?

Respuesta

El Reglamento general de protección de datos otorga a las personas el derecho a pedir que se borren sus datos y las organizaciones tienen la obligación de hacerlo, salvo en los casos siguientes:

• los datos personales que ustedes poseen son necesarios para ejercer el derecho de libertad de expresión,
• cuando una obligación legal implica que deben conservar los datos,
• por motivos de interés público (como salud pública, fines de investigación científica o histórica).

Si han tratado datos ilícitamente deberán borrarlos. Igualmente, ante la solicitud de una persona, si recopilaron los datos personales de esta cuando todavía era menor de edad.

Respecto al derecho al olvido en línea, las organizaciones deben adoptar medidas razonables (como medidas técnicas) para informar a otros sitios web de que una determinada persona ha solicitado la supresión de sus datos personales.

Además, los datos también pueden conservarse si han sido sometidos a un proceso adecuado de anonimización.

Ejemplos

Los datos no deben borrarse

Usted dirige un periódico. Uno de los periodistas publica una historia sobre cómo un político había blanqueado dinero en bancos internacionales. El político le pide que elimine el artículo porque trata sus datos personales. Dado que usted utiliza los datos personales para ejercer el derecho de libertad de expresión, en principio, no está obligado a borrar dichos datos. Sin embargo, esto también dependerá de la legislación nacional aplicable.

Los datos deben borrarse

Usted dirige una plataforma de redes sociales. Un menor sube fotos. Sin embargo, unos años más tarde, decide que pueden perjudicar sus perspectivas profesionales. Dado que la persona era menor en el momento de subir las fotos, usted estará obligado a borrarlas. Además, si las fotos han sido tratadas en otros sitios web, usted deberá adoptar medidas razonables para informarles de la presentación de la solicitud de borrado de las fotos.

Referencias

• Artículo 17 y considerandos 65 y 66 del RGPD
• Grupo de trabajo del artículo 29, WP 225. Directrices sobre la aplicación de la sentencia del Tribunal de Justicia de la Unión Europea de 13 de mayo de 2014, Google Spain, Google Inc., c-131/121,ECLI:EU:C:2014:317[1]1

1 Se puede encontrar un resumen de la sentencia en DO C 212 de 7.7.2014, p. 4.

Data do not have to be deleted

Your company/organisation runs an online newspaper. One of your journalists publishes a story on how a politician had laundered money in off-shore banks. The politician requests to remove the story because his personal data is being processed. Since the personal data is used to exercise the right of freedom of expression, your company/organisation is,  in principle, not obliged to delete such data. However, this will depend on the national legislation in place.

Data have to be deleted

Your company/organisation runs a social media platform. A minor uploads photos; however, some years later he decides that the said photos are potentially harming his career prospects. Since the individual was a minor at the time of uploading, your company/organisation is obliged to delete the said photos. Furthermore, if the photos have been processed on other websites, your company/organisation must take reasonable steps to inform them that a request to delete the photos was filed.

• Article 17 and Recitals (65) and (66) of the GDPR
• Article 29 Working Party Guidelines on the implementation of the Judgment of the Court of Justice of 13 May 2014, Google Spain and Google, C-131/12, ECLI:EU:C:2014:317[1]1

1 A summary of the judgment can be found in OJ C 212, 7.7.2014, p. 4.