Derecho al olvido: Realidad y perspectiva

La protección de datos personales es una rama relativamente novedosa dentro de la tradicional disciplina de los derechos fundamentales, donde el derecho a la integridad física, a la vida, al secreto de las comunicaciones, reunión y manifestación, afiliación política o sindical, entre muchos otros, han copado la preocupación de generaciones y el trabajo de los operadores del derecho.

La primera regulación de la materia que imponía la Constitución fue aprobada en 1992, específicamente orientada al tratamiento informatizado de datos personales, y fue rápidamente superada por la actual y vigente Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, norma que, es de justicia reconocer, tiene una inexplorada complejidad para los operadores no familiarizados y que se hizo un hueco en la sociedad a base de los empellones de un severísimo régimen sancionador.

El caso es que en la actualidad el sistema vigente de protección de datos personales está en fase de revisión legislativa también a instancias de la Unión Europea, la misma que obligó a la aprobación de la Ley Orgánica 15/1999 para la incorporación al derecho español de la Directiva 95/46/CE, de 24 de octubre de 1995. Y ya nos acercamos al tema propuesto, el derecho al olvido, porque los proyectos normativos comunitarios sí contienen previsiones específicas al respecto de este derecho.

¿En qué consiste este derecho al olvido? Pues se trata, según la exposición de motivos del proyecto de Reglamento actualmente en trámite en el derecho «a que se supriman y no se traten sus datos personales, en caso de que ya no sean necesarios para los fines para los que fueron recogidos o tratados de otro modo, de que los interesados hayan retirado su consentimiento para el tratamiento, de que se opongan al tratamiento de datos personales que les conciernan o de que el tratamiento de sus datos personales no se ajuste de otro modo a lo dispuesto en el presente Reglamento. Este derecho es particularmente pertinente si los interesados hubieran dado su consentimiento siendo niños, cuando no se es plenamente consciente de los riesgos que implica el tratamiento, y más tarde quisieran suprimir tales datos personales especialmente en Internet. Sin embargo, la posterior conservación de los datos debe autorizarse cuando sea necesario para fines de investigación histórica, estadística y científica, por razones de interés público en el ámbito de la salud pública, para el ejercicio del derecho a la libertad de expresión, cuando la legislación lo exija, o en caso de que existan motivos para restringir el tratamiento de los datos en vez de proceder a su supresión.»

Realmente puede decirse que mucho de lo expuesto en el borrador de Reglamento existía en la Directiva y la norma española, y quizá por eso se ocupa de añadir esa misma exposición de motivos que «Con el fin de reforzar el «derecho al olvido» en el entorno en línea, el derecho de supresión también debe ampliarse de tal forma que los responsables del tratamiento que hayan hecho públicos los datos personales deben estar obligados a informar a los terceros que estén tratando tales datos de que un interesado les solicita que supriman todo enlace a tales datos personales, o las copias o réplicas de los mismos. Para garantizar esta información, el responsable del tratamiento debe tomar todas las medidas razonables, incluidas las de carácter técnico, en relación con los datos cuya publicación sea de su competencia.»

¿Y qué aporta la regulación del derecho al olvido?

1. El interesado tendrá derecho a que el responsable del tratamiento suprima los datos personales que le conciernen y se abstenga de darles más difusión, especialmente en lo que respecta a los datos personales proporcionados por el interesado siendo niño, cuando concurra alguna de las circunstancias siguientes:

a) los datos ya no son necesarios en relación con los fines para los que fueron recogidos o tratados;

b) el interesado retira el consentimiento en que se basa el tratamiento de conformidad con lo dispuesto en el artículo 6, apartado 1, letra a), o ha expirado el plazo de conservación autorizado y no existe otro fundamento jurídico para el tratamiento de los datos;

c) el interesado se opone al tratamiento de datos personales con arreglo a lo dispuesto en el artículo 19;

d) el tratamiento de datos no es conforme con el presente Reglamento por otros motivos.

2. Cuando el responsable del tratamiento contemplado en el apartado 1 haya hecho públicos los datos personales, adoptará todas las medidas razonables, incluidas medidas técnicas, en lo que respecta a los datos de cuya publicación sea responsable, con miras a informar a los terceros que estén tratando dichos datos de que un interesado les solicita que supriman cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos. Cuando el responsable del tratamiento haya autorizado a un tercero a publicar datos personales, será considerado responsable de esa publicación.

3. El responsable del tratamiento procederá a la supresión sin demora, salvo en la medida en que la conservación de los datos personales sea necesaria:

a) para el ejercicio del derecho a la libertad de expresión de conformidad con lo dispuesto en el artículo 80;

b) por motivos de interés público en el ámbito de la salud pública de conformidad con lo dispuesto en el artículo 81;

c) con fines de investigación histórica, estadística y científica de conformidad con lo dispuesto en el artículo 83;

d) para el cumplimiento de una obligación legal de conservar los datos personales impuesta por el Derecho de la Unión o por la legislación de un Estado miembro a la que esté sujeto el responsable del tratamiento; las legislaciones de los Estados miembros deberán perseguir un objetivo de interés público, respetar la esencia del derecho a la protección de datos personales y ser proporcionales a la finalidad legítima perseguida;

e) en los casos contemplados en el apartado 4.

4. En lugar de proceder a la supresión, el responsable del tratamiento limitará el tratamiento de datos personales cuando:

a) el interesado impugne su exactitud, durante un plazo que permita al responsable del tratamiento verificar la exactitud de los datos;

b) el responsable del tratamiento ya no necesite los datos personales para la realización de su misión, pero estos deban conservarse a efectos probatorios;

c) el tratamiento sea ilícito y el interesado se oponga a su supresión y solicite en su lugar la limitación de su uso;

d) el interesado solicite la transmisión de los datos personales a otro sistema de tratamiento automatizado de conformidad con lo dispuesto en el artículo 18, apartado 2.

5. Con excepción de su conservación, los datos personales contemplados en el apartado 4 solo podrán ser objeto de tratamiento a efectos probatorios, o con el consentimiento del interesado, o con miras a la protección de los derechos de otra persona física o jurídica o en pos de un objetivo de interés público.

6. Cuando el tratamiento de datos personales esté limitado de conformidad con lo dispuesto en el apartado 4, el responsable del tratamiento informará al interesado antes de levantar la limitación al tratamiento.

7. El responsable del tratamiento implementará mecanismos para garantizar que se respetan los plazos fijados para la supresión de datos personales y/o para el examen periódico de la necesidad de conservar los datos.

8. Cuando se hayan suprimido datos, el responsable del tratamiento no someterá dichos datos personales a ninguna otra forma de tratamiento.

9. La Comisión estará facultada para adoptar actos delegados, de conformidad con lo dispuesto en el artículo 86, a fin de especificar:

a) los criterios y requisitos relativos a la aplicación del apartado 1 en sectores y situaciones específicos de tratamiento de datos;

b) las condiciones para la supresión de enlaces, copias o réplicas de datos personales procedentes de servicios de comunicación accesibles al público a que se refiere el apartado 2;

c) los criterios y condiciones para limitar el tratamiento de datos personales contemplados en el apartado 4.