El derecho al olvido: de­fi­ni­ción y ejemplos

El “derecho al olvido” es un elemento central del Re­gla­me­n­to General de Pro­te­c­ción de Datos de la Unión Europea (RGPD). Se basa en proteger a las personas cuyos datos están siendo pro­ce­sa­dos en Internet o uti­li­za­dos de otras maneras y permite que se eliminen los datos digitales de una persona cuando se cumplen ciertos re­qui­si­tos.

¿Qué es el derecho al olvido?

El “right to be forgotten”, o derecho al olvido en español, es una de las he­rra­mie­n­tas más im­po­r­ta­n­tes de las que disponen los usuarios para proteger sus datos pe­r­so­na­les y pri­va­ci­dad. Este permite a los in­te­re­sa­dos exigir a las empresas o re­s­po­n­sa­bles del tra­ta­mie­n­to de datos que supriman sus datos pe­r­so­na­les pe­r­ma­ne­n­te­me­n­te. Es pe­r­ti­ne­n­te tanto si las empresas se limitan a recabar los datos como si los almacenan o si di­re­c­ta­me­n­te los publican.

¿Cómo surgió el derecho al olvido en el RGPD?

El origen de esta directiva del RGPD yace en la llamada ”sentencia Google” o “sentencia Google Spain”, dictada por el Tribunal de Justicia de la Unión Europea el 13 de mayo de 2014. En esencia, esta establece que, en de­te­r­mi­na­das ci­r­cu­n­s­ta­n­cias, una persona puede solicitar que se supriman los enlaces que remiten a in­fo­r­ma­ción irre­le­va­n­te u obsoleta sobre ella. En esta sentencia del TJUE, la obli­ga­ción de suprimir datos previa solicitud se refiere a los motores de búsqueda que publican datos pe­r­so­na­les. De hecho, pri­n­ci­pa­l­me­n­te hace re­fe­re­n­cia personas privadas, ya que resalta que en la eli­mi­na­ción de in­fo­r­ma­ción sobre personas públicas o en archivos de prensa cabe co­n­tra­s­tar el derecho de los in­te­re­sa­dos con el derecho a la in­fo­r­ma­ción.

¿Dónde está definido ju­rí­di­ca­me­n­te el derecho al olvido?

En la “sentencia Google”, el TJUE aplicó las di­re­c­ti­vas co­mu­ni­ta­rias vigentes en materia de pro­te­c­ción de datos, que se co­n­cre­ta­ron en 2016 en el Re­gla­me­n­to General de Pro­te­c­ción de Datos (RGPD) de la Unión Europea, más conocido como RGPD. El derecho al olvido está recogido en el artículo 17 bajo el epígrafe “derecho de supresión”, con “derecho al olvido” entre pa­ré­n­te­sis. En la le­gi­s­la­ción española, el derecho al olvido en búsquedas de Internet y en servicios de redes sociales y equi­va­le­n­tes está co­n­te­m­pla­do en los artículos 93 y 94 de la Ley Orgánica de Pro­te­c­ción de Datos Pe­r­so­na­les y garantía de derechos digitales (o LOPDGDD).

Derecho de supresión y derecho al olvido según el RGPD

El derecho al olvido se entiende como una am­plia­ción del derecho de supresión del RGPD. El artículo 17 del RGPD establece ante todo la obli­ga­ción de los re­s­po­n­sa­bles de suprimir los datos pe­r­so­na­les que tratan o publican. Esto afecta por ejemplo a las edi­to­ria­les o empresas que di­re­c­ta­me­n­te procesan y almacenan datos de personas. Si se cumplen los re­qui­si­tos previos para la eli­mi­na­ción de los datos, cuando se les solicite, las personas o entidades re­s­po­n­sa­bles tendrán que borrar los enlaces o conjuntos de datos de forma de­mo­s­tra­ble y sin demora.

El derecho al olvido se menciona co­n­cre­ta­me­n­te en el apartado 2 del artículo 17 del RGPD y se aplica también a terceros, como Google y en general los motores de búsqueda, que no recopilan los datos de personas por sí mismos pero sí los ponen a di­s­po­si­ción de otros. Por tanto, esta directiva, además de permitir a los in­te­re­sa­dos exigir la eli­mi­na­ción de sus datos pe­r­so­na­les ante los re­s­po­n­sa­bles directos, también los autoriza a solicitar su supresión o eli­mi­na­ción a terceros.

¿Qué co­n­di­cio­nes deben darse para poder ejercer el derecho al olvido?

Para exigir la eli­mi­na­ción de datos a los re­s­po­n­sa­bles y terceros im­pli­ca­dos, deben cumplirse ciertos re­qui­si­tos, entre los cuales se en­cue­n­tran:

• Ya no es necesario almacenar o publicar los datos pe­r­so­na­les según los fines ori­gi­na­les de recogida y tra­ta­mie­n­to de datos.
• Las personas afectadas han retirado su co­n­se­n­ti­mie­n­to para tratar y almacenar sus datos.
• No hay ningún otro fu­n­da­me­n­to jurídico pre­po­n­de­ra­n­te para almacenar los datos.
• Los datos pe­r­so­na­les se re­co­gie­ron y trataron sin base jurídica y/o co­n­se­n­ti­mie­n­to.
• Los re­s­po­n­sa­bles están sujetos a la obli­ga­ción legal recogida en el RGPD de respetar el derecho de supresión y derecho al olvido.
• Los datos son de personas menores de edad y se ob­tu­vie­ron para servicios u ofertas de Internet.

Si las personas afectadas pueden probar sus ale­ga­cio­nes, las empresas y terceros re­s­po­n­sa­bles tendrán que suprimir los datos “sin retrasos indebidos”. Por regla general, estos disponen de un mes desde la solicitud para informar a los in­te­re­sa­dos sobre las medidas adoptadas o los posibles motivos por los que se deniega la petición.

Ejemplo de caso de derecho al olvido

El derecho al olvido es un im­po­r­ta­n­te in­s­tru­me­n­to en la pro­te­c­ción de la repu­tación, la imagen y la pri­va­ci­dad de las personas y las empresas. En la práctica, se ha utilizado, por ejemplo, cuando pasados 10 o 20 años, siguen pudiendo en­co­n­trar­se casos de ba­n­ca­rro­ta, se­n­te­n­cias o momentos “ve­r­go­n­zo­sos” en motores de búsqueda como Google. Otro factor relevante en este sentido es la re­so­cia­li­za­ción de las personas co­n­de­na­das, sobre todo cuando se trata de delitos menores. Haciendo valer le­ga­l­me­n­te la supresión de los datos, no solo se protegen los derechos de las personas y empresas, también las opo­r­tu­ni­da­des laborales y la imagen pro­fe­sio­nal y em­pre­sa­rial.

¿Cómo deben eli­mi­nar­se los datos pe­r­so­na­les?

El RGPD no establece un método claro para efectuar la eli­mi­na­ción de los datos, pero es de­te­r­mi­na­n­te que esta se haga de manera co­m­pro­ba­ble y sin demora. He aquí algunos métodos posibles:

• De­s­tru­c­ción y eli­mi­na­ción adecuadas de los soportes físicos por parte de expertos
• So­bre­s­cri­tu­ra pro­fe­sio­nal de los espacios de al­ma­ce­na­mie­n­to afectados que confirmen de manera de­mo­s­tra­ble la eli­mi­na­ción e inu­ti­li­za­ción de los conjuntos de datos
• Eli­mi­na­ción de enlaces, accesos directos, entradas de búsqueda, términos de búsqueda y códigos re­la­cio­na­dos
• Borrado del listado y los al­go­ri­t­mos de los motores de búsqueda

¿Tiene ex­ce­p­cio­nes el derecho al olvido?

La supresión de datos pe­r­so­na­les previa solicitud choca en algunos casos con la obli­ga­ción de llevar un registro y la libertad de in­fo­r­ma­ción. Aunque el RGPD concede a las personas privadas el derecho a una mayor pri­va­ci­dad, hay re­qui­si­tos es­pe­cí­fi­cos y ex­ce­p­cio­nes que evitan que los datos críticos puedan eli­mi­nar­se sin más si se aplica la obli­ga­ción de llegar un registro o si los datos son de interés público, médico, fiscal o de seguridad política. Sin embargo, hay que tener en cuenta, sobre todo en el caso de obli­ga­cio­nes de registro más largas, que los datos pe­r­so­na­les que ya no se procesan pero siguen teniendo que al­ma­ce­nar­se están sujetos a una mayor pro­te­c­ción de acceso.

Ex­ce­p­cio­nes concretas del derecho al olvido

• Los datos pe­r­so­na­les siguen siendo ne­ce­sa­rios para fines de­mo­s­tra­bles de tra­ta­mie­n­to de datos.
• Las personas in­te­re­sa­das han dado su co­n­se­n­ti­mie­n­to a un tra­ta­mie­n­to de datos que sigue siendo necesario.
• El derecho a la libertad de expresión y de in­fo­r­ma­ción prevalece sobre el derecho de supresión y derecho al olvido.
• Los datos siguen siendo ne­ce­sa­rios para cumplir con las obli­ga­cio­nes públicas y legales de las empresas y personas.
• El pro­ce­sa­mie­n­to de datos se hace por interés público.
• El pro­ce­sa­mie­n­to de datos se lleva a cabo en el marco del archivado, in­ve­s­ti­ga­ción o recogida es­ta­dí­s­ti­ca de datos de interés público.

En algunos casos, las ex­ce­p­cio­nes del derecho al olvido pueden no ser pro­ce­de­n­tes si la petición de eli­mi­na­ción se ha hecho pasado el plazo de pre­s­cri­p­ción co­rre­s­po­n­die­n­te.

¿Cómo se ejerce el derecho al olvido?

Para reclamar que se supriman y eliminen tus datos, primero debes saber que estos datos existen. Para ello es elemental el derecho de acceso, regulado en el artículo 15 del RGPD. Este te permite reclamar a las empresas que tratan tus datos pe­r­so­na­les in­fo­r­ma­ción sobre los datos al­ma­ce­na­dos y pro­ce­sa­dos que tienen sobre ti. Las re­cla­ma­cio­nes de supresión y derecho al olvido pueden hacerse valer en­viá­n­do­las por correo o email a los re­s­po­n­sa­bles sobre la base del derecho de acceso.

No hay un fo­r­mu­la­rio es­pe­cí­fi­co para hacer la solicitud, pero para demostrar que esta se ha pre­se­n­ta­do, hay que hacerla siempre por escrito. Tanto la Agencia Estatal de Pro­te­c­ción de Datos como el Mi­ni­s­te­rio de Tra­n­s­po­r­tes, Movilidad y Agenda Urbana disponen de fo­r­mu­la­rios gratuitos para ejercer el derecho al olvido en Internet. Lo que sí debes tener en cuenta para evitar que se retrase o denieguen tu solicitud es probar cla­ra­me­n­te en ella la identidad de la persona in­te­re­sa­da e incluir re­fe­re­n­cias a los datos de los que se trata, así como la pre­te­n­sión legal.

Aplicar el derecho al olvido en Google

Las empresas como Google o Facebook disponen de fo­r­mu­la­rios web gratuitos con los que puedes presentar tu solicitud. La página de Ayuda de Google te explica los pasos que debes seguir para pre­se­n­tar­la y la in­fo­r­ma­ción que necesitas. Para eliminar entradas de Google debes pro­po­r­cio­nar entre otros estos datos:

• Las URL afectadas con el contenido de búsqueda que toca eliminar
• Prueba de la re­le­va­n­cia de los datos para la persona y motivos por los que eli­mi­nar­los
• So­li­ci­tu­des de búsqueda que llevan al contenido en cuestión (por ejemplo, tu nombre)
• Di­re­c­cio­nes de correo que llevan a los re­su­l­ta­dos de búsqueda afectados
• Pruebas y motivos que de­mue­s­tran que está ju­s­ti­fi­ca­da la supresión y eli­mi­na­ción de contenido

No hay un derecho general a la pri­va­ci­dad y eli­mi­na­ción de datos

A primera vista puede parecer que el derecho al olvido sirve para impedir la pu­bli­ca­ción de datos pe­r­so­na­les en contra de la voluntad de la persona. Pero si en tu día a día co­n­sie­n­tes el tra­ta­mie­n­to de tus datos, debes saber que en primera instancia no hay un derecho general a la eli­mi­na­ción de datos. No hay más que examinar las co­n­di­cio­nes ne­ce­sa­rias para que tenga cabida una re­cla­ma­ción legal. Además, borrar los datos de manera in­ju­s­ti­fi­ca­da puede suponer una in­fra­c­ción. Esto es es­pe­cia­l­me­n­te cierto cuando hay obli­ga­cio­nes de registro y se está tratando con datos críticos. Cabe mencionar es­pe­cia­l­me­n­te la eli­mi­na­ción no au­to­ri­za­da de datos por en­cu­bri­mie­n­to de ac­ti­vi­da­des cri­mi­na­les de personas públicas o empresas.

¿Basta con ano­ni­mi­zar los datos?

Una al­te­r­na­ti­va a la supresión puede ser la ano­ni­mi­za­ción completa de los datos. Los datos que se tratan y almacenan pueden ano­ni­mi­zar­se hasta tal punto que dejan de en­te­n­de­r­se como datos pe­r­so­na­les en el sentido más estricto de la palabra. Por tanto, si los datos se ano­ni­mi­zan lo su­fi­cie­n­te para realizar análisis es­ta­dí­s­ti­cos o in­ve­s­ti­ga­cio­nes, las di­re­c­tri­ces de pro­te­c­ción de datos del RGPD ya no son di­re­c­ta­me­n­te apli­ca­bles.

Es lo que ocurre por ejemplo cuando nadie puede es­ta­ble­cer una conexión entre los conjuntos de datos y las personas a la que se refieren. Entre los métodos para ano­ni­mi­zar datos están la alea­to­ri­za­ción, la ge­ne­ra­li­za­ción y la evitación del vínculo. Los fu­n­da­me­n­tos jurídicos de la ano­ni­mi­za­ción como al­te­r­na­ti­va a la eli­mi­na­ción de los datos se recogen en el artículo 4 del RGPD.

¿Qué im­pli­ca­cio­nes tiene el derecho al olvido para las empresas?

Las di­s­po­si­cio­nes europeas de pro­te­c­ción de datos como el RGPD o el Re­gla­me­n­to ePrivacy son de vital im­po­r­ta­n­cia para las empresas en lo que respecta a la pro­te­c­ción de datos y el derecho al olvido. Tal y como establece el RGPD, las empresas no pueden recabar datos sin orden ni concierto y solo puede tratar datos si obtienen el co­n­se­n­ti­mie­n­to por escrito. El re­gla­me­n­to ePrivacy establece al respecto que las personas deben permitir ex­pre­sa­me­n­te el uso de cookies y se­gui­mie­n­to en páginas web.

Ya que en el marketing online y el comercio ele­c­tró­ni­co el tra­ta­mie­n­to de datos pe­r­so­na­les es im­pre­s­ci­n­di­ble, es re­co­me­n­da­ble tomar las pre­cau­cio­nes co­rre­s­po­n­die­n­tes desde el principio en lo referido a la pro­te­c­ción de datos y la soberanía de los datos. Algunos ejemplos son:

• Política de pro­te­c­ción de datos visible y accesible en la página web y que respete el RGPD
• He­rra­mie­n­tas y es­tra­te­gias para comprobar y poner en marcha las so­li­ci­tu­des de eli­mi­na­ción de datos pe­r­so­na­les
• Cu­m­pli­mie­n­to legal de la obli­ga­ción de informar sobre cookies y rastreo
• Garantías legales del tra­ta­mie­n­to y la tra­n­s­fe­re­n­cia de datos por parte del re­s­po­n­sa­ble de la política de datos y del de­pa­r­ta­me­n­to jurídico in­fo­r­má­ti­co (sobre todo si se traspasan los datos a EE. UU. tras la nulidad del Privacy Shield

Por favor, ten en cuenta el aviso legal relativo a este artículo.