Nemoteca

Artículo 17 del RGPD: derecho de supresión («el derecho al olvido»)

Las preguntas de Auxiliar administrativo del Estado que citan este artículo, resueltas y con su cita literal.

Estudiar la colección Leer la norma entera

Así son sus preguntas

Resueltas, y cada una con la cita literal que la justifica, para que compruebes la respuesta por tu cuenta.

Según el RGPD, ¿en cuál de estos casos no se aplica el derecho de supresión?

  • Cuando los datos se hayan recogido con el consentimiento del interesado
  • Cuando el tratamiento sea necesario para ejercer la libertad de expresión
  • Cuando el responsable del tratamiento sea una empresa con fines comerciales
  • Cuando hayan pasado menos de cinco años desde que se recogieron los datos

El derecho de supresión cede cuando el tratamiento es necesario para ejercer la libertad de expresión e información, que es la primera de las excepciones que enumera el reglamento. Haberse recogido con consentimiento no lo excluye: retirarlo es precisamente uno de los motivos para pedir la supresión. Ni la naturaleza comercial del responsable ni la antigüedad de los datos son excepciones.

Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario: a) para ejercer el derecho a la libertad de expresión e información;
Reglamento (UE) 2016/679, de 27 de abril

Una persona retira el consentimiento en el que se basaba el tratamiento de sus datos. Según el RGPD, ¿cuándo nace por ese motivo el deber del responsable de suprimirlos?
  • Cuando el tratamiento no se base en otro fundamento jurídico
  • Siempre, porque sin consentimiento ningún tratamiento es lícito
  • Solo si además se opone al tratamiento por su situación particular
  • Solo si acredita también que los datos se trataron ilícitamente

Retirar el consentimiento da derecho a la supresión cuando el tratamiento no se apoya en otra base: el consentimiento es una de las bases de licitud, no la única, y un tratamiento que también descansa, por ejemplo, en una obligación legal sigue siendo lícito. Retirar el consentimiento es un supuesto propio de supresión, así que no hace falta sumarle la objeción al tratamiento ni probar que fue ilícito.

el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico
Reglamento (UE) 2016/679, de 27 de abril

Según el RGPD, ¿en cuál de estas circunstancias está obligado el responsable a suprimir los datos personales que le pide suprimir el interesado?
  • Cuando el interesado impugne la exactitud de los datos que le conciernen
  • Cuando el responsable los haya comunicado antes a un tercero
  • Cuando ya no sean necesarios para los fines para los que se recogieron
  • Cuando los datos figuren también en un registro de acceso público

Que los datos ya no hagan falta para los fines para los que se recogieron o trataron es uno de los supuestos de supresión. Impugnar la exactitud es lo que abre la limitación del tratamiento mientras el responsable lo verifica, y lo que corrige un dato inexacto es la rectificación, no el borrado. Comunicar los datos a un tercero o que consten en un registro público no son, por sí, causas de supresión.

los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo
Reglamento (UE) 2016/679, de 27 de abril

Un centro trata datos de los participantes en un estudio con fines de investigación científica, y uno de ellos pide su supresión. Según el RGPD, ¿queda excluido ese derecho?
  • No: la investigación científica no está entre las excepciones a la supresión
  • Sí, siempre y en todo caso, por tratarse de un fin de investigación científica
  • Sí, en la medida en que suprimirlos impida u obstaculice gravemente el estudio
  • Solo si el interesado consintió en origen que sus datos se usaran para investigar

La investigación científica sí figura entre las excepciones, pero con una condición: solo en la medida en que la supresión pudiera hacer imposible u obstaculizar gravemente los objetivos del tratamiento, y de conformidad con el art. 89.1. No es una exclusión automática por el solo fin, ni depende de que el interesado consintiera en origen el uso para investigar: la excepción mira al daño que la supresión causaría al estudio, no a cómo se recogieron los datos.

con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento
Reglamento (UE) 2016/679, de 27 de abril

Según el RGPD, un responsable que había hecho públicos unos datos personales está obligado a suprimirlos. ¿Qué tiene que hacer, además de borrarlos?
  • Nada más: su deber se agota en suprimirlos de sus propios sistemas
  • Borrar él mismo toda copia que exista en Internet, cueste lo que cueste
  • Pedir a la autoridad de control que ordene retirarlos en toda la Unión
  • Tomar medidas razonables para avisar a quienes los estén tratando

Lo que se hizo público se copia y se enlaza, y por eso el reglamento no se conforma con el borrado propio: el responsable tiene que adoptar medidas razonables, también técnicas, para informar a los demás responsables de que el interesado pide suprimir enlaces, copias y réplicas. Es un deber de informar, medido según la tecnología disponible y su coste, no una obligación de borrar él lo que tienen otros, y no pasa por la autoridad de control.

adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos
Reglamento (UE) 2016/679, de 27 de abril