El Tribunal de Justicia de la Unión Europea (TJUE) dictaminó, en el marco de una cuestión prejudicial, que las autoridades de control de los Estados miembros están facultadas para suprimir, de oficio, los datos personales recabados ilícitamente, sin que para ello sea necesaria la autorización del titular afectado. Puede tener por objeto tanto los datos obtenidos de esa persona como los procedentes de otra fuente.
En 2020, un municipio húngaro tomó la decisión de proporcionar asistencia financiera a personas en situación de vulnerabilidad debido a la pandemia del Covid-19. Para ello, solicitó antecedentes de los presuntos beneficiarios a las autoridades de gobierno para verificar los criterios de elegibilidad.
Sin embargo, tras recibir una denuncia, la entidad húngara encargada de la protección de datos resolvió que las autoridades implicadas en el traspaso de la información infringieron disposiciones del Reglamento General de Protección de Datos (RGPD). Ello, pues el municipio no informó a los interesados sobre el uso de sus datos, la finalidad de su procesamiento ni sobre sus derechos en esta materia. Se le ordenó que eliminara los datos de personas que podían optar a la ayuda, pero que no la habían solicitado.
Por su parte, el municipio se opuso a esta decisión en sede judicial, alegando que la entidad no tenía la facultad de ordenar la eliminación de datos personales si el interesado no había presentado una solicitud previa para ello. Ante este escenario, el juez del caso solicitó al TJUE que interpretara el RGPD al tenor de los antecedentes expuestos.
Noticia Relacionada
En su análisis de fondo, el Tribunal señala que, “(…) la autoridad de control de un Estado miembro puede ordenar de oficio, es decir, aun cuando el interesado no haya presentado previamente una solicitud a tal efecto, la supresión de datos tratados ilícitamente si esta medida es necesaria para cumplir su misión de velar por el pleno cumplimiento del RGPD. Si dicha autoridad comprueba que un tratamiento de datos no respeta el RGPD, debe subsanar la infracción detectada, incluso sin que medie la solicitud previa del interesado”.
Agrega que, “(…) exigir que medie esa solicitud implicaría que, a falta de esta, el responsable del tratamiento podría conservar los datos en cuestión y seguir tratándolos ilícitamente. Por lo demás, la autoridad de control de un Estado miembro puede ordenar la supresión de datos personales tratados ilícitamente tanto cuando estos procedan directamente del interesado como cuando procedan de otra fuente.”
Comprueba que, “(…) la exigencia de una solicitud previa presentada por los interesados, en el sentido del artículo 17, apartado 1, del RGPD, supondría que el responsable del tratamiento podría, a falta de tal solicitud, conservar los datos personales de que se trate y seguir tratándolos ilícitamente. Tal interpretación menoscabaría la efectividad de la protección prevista por el citado Reglamento, ya que conduciría a privar de protección a las personas inactivas, aunque sus datos personales hubiesen sido tratados ilícitamente”.
El Tribunal concluye que, “(…) el RGPD debe interpretarse en el sentido de que la autoridad de control de un Estado miembro está facultada, en ejercicio de sus poderes correctivos previstos en tales disposiciones, para ordenar al responsable o al encargado del tratamiento que suprima datos personales que hayan sido tratados ilícitamente, aun cuando el interesado no haya presentado ninguna solicitud a tal efecto para ejercer sus derechos en virtud del artículo 17, apartado 1, de ese mismo Reglamento”.
En mérito de lo expuesto, resolvió que las autoridades pueden eliminar los antecedentes referidos, aún sin mediar autorización del titular.
Vea sentencia Tribunal de Justicia de la Unión Europea C-46.23.