Cuando un usuario ejercita el derecho de supresión, reconocido en el art. 15 LOPD, el responsable del tratamiento del dato sobre el que se ejerce dicho derecho deberá dar respuesta a dicha solicitud en el plazo máximo de un mes desde que se presenta y, en el caso de rechazarla, deberá fundamentar los motivos por los que se haya devenido en dicha decisión.
La solicitud por parte del usuario para el ejercicio del derecho de supresión de sus datos de carácter personal conlleva que el responsable de tratamiento se enfrente a un dilema en el que se le plantean una serie de alternativas que debe estudiar en profundidad:
- Puede producirse el supuesto por el cual concurra una obligación legal de conservación de los datos por un periodo determinado. En este caso, no existe una obligación de supresión o bloqueo de los datos de conformidad con el art. 17.3 RGPD. Sin embargo, en la práctica, el responsable de tratamiento, con el fin de evitar problemas, suele adoptar igualmente medidas de bloqueo de los datos personales.
- Asimismo, es posible que exista una obligación legal de conservación de los datos en atención a los plazos de prescripción de las acciones que pudieran derivarse de la actividad o servicio prestado.
- En el caso de inexistencia de las obligaciones anteriormente descritas no existe una obligación legal de conservación de los mismos y, en consecuencia, el responsable de tratamiento deberá proceder a su supresión en cumplimiento de la solicitud del usuario.
Como se puede observar, es probable que los datos sobre los que el usuario haya presentado la solicitud de supresión se encuentren asociados a una actividad o servicio prestado por el responsable de tratamiento, o, en su defecto, que exista una obligación legal de conservación de los mismos. Es por ello que, a continuación, se analizará la obligación de conservación de los datos por el responsable de tratamiento y cómo interactúa con el derecho de supresión del que goza el usuario.
De acuerdo con la consulta N/REF: 00148/2019 a la Agencia Española de Protección de Datos, será una obligación del responsable de tratamiento, en virtud del principio de responsabilidad proactiva, estudiar y analizar cada uno de los datos sobre los que ejerza el tratamiento y determinar el periodo máximo de conservación de los datos.
Este análisis es preceptivo por dos razones:
- Para asegurar que se procede a la supresión definitiva de los datos cuando finalice dicho periodo de prescripción, en cumplimiento de la obligación instaurada a través del principio de “limitación del plazo de conservación” en el art. 5 e) LOPD, por el cual los datos no podrán conservarse por un periodo de tiempo superior al necesario para los fines de tratamiento.
- Con el objeto de que, en el caso del ejercicio del derecho de supresión por parte del usuario, se conserven bloqueados dichos datos, únicamente con el fin de ponerlos a disposición de las Administraciones Públicas, Jueces y Tribunales, con objeto de atender a las posibles responsabilidades nacidas del tratamiento y durante el plazo de prescripción de éstas y/o durante los plazos legales establecidos al efecto.
Respecto de los plazos de prescripción de las acciones legales aplicables a los datos (y que a su vez constituyen los plazos máximos para la conservación de los mismos), deberá ejecutarse un análisis individualizado para determinar cuáles son los plazos que se deben emplear en función del tipo de dato. En relación con ello, la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, estableció el principio de reserva de ley, por lo que únicamente resultan vinculantes a estos efectos los plazos de prescripción establecidos mediante normas con rango de ley.
En la consulta previamente mencionada se establecen, igualmente, una relación de plazos de conservación para determinados tipos de datos, que coinciden con el periodo de bloqueo de forma previa a su eliminación definitiva.
Cabe mencionar que, esta lista no es limitativa y, consiguientemente, será necesario estudiar para cada tipo de dato, los periodos de prescripción de las acciones legales que puedan originarse en relación con dicho dato. Una vez ejecutado el análisis y, en el supuesto de que alguno de los datos sobre los que el usuario pretenda ejercitar sus derechos esté protegido por una obligación legal, el responsable de tratamiento deberá ejercitar el bloqueo hasta que se cumpla el plazo de prescripción de las posibles acciones legales que puedan surgir asociadas a dicho dato. En cuanto se cumpla ese plazo será obligatorio que el responsable de tratamiento lo suprima definitivamente.
Finalmente, y a modo de conclusión, me parece conveniente señalar que el ejercicio del derecho de supresión por parte del usuario conlleva, en ciertas ocasiones, una obligación de bloqueo por parte del responsable de tratamiento. Esta obligación legal deriva en la conservación del dato en cuestión, habiendo cesado en su uso, durante el plazo oportuno que garantice la fundamentación de las acciones legales que puedan surgir en relación con éste. Tras el transcurso de dicho plazo es cuando, efectivamente, el responsable de tratamiento deberá proceder a la eliminación definitiva del dato que se encontraba bloqueado. En último lugar, cabe señalar que es responsabilidad de cada responsable de tratamiento, en función de los datos que trate, determinar si es preceptivo el periodo de bloqueo y establecer la duración del mismo en virtud del principio de responsabilidad proactiva.
Carlos Martín Pérez
Next Abogados