¿Cuándo existe un derecho de supresión?
Según el art. 17 apdo. 1 RGPD, los datos personales deben suprimirse, entre otros casos, cuando ya no son necesarios para la finalidad, se ha retirado el consentimiento y no existe otra base jurídica, la persona se ha opuesto con éxito o los datos se han tratado de forma ilícita.
La LPD suiza no tiene un artículo propio con este título, pero llega a un resultado similar: los datos personales deben destruirse o anonimizarse en cuanto dejan de ser necesarios para la finalidad del tratamiento (art. 6 apdo. 4 LPD). Un tratamiento contra la voluntad expresa de la persona constituye una vulneración de la personalidad, salvo que exista un motivo justificativo (art. 30 apdo. 2 letra b y art. 31 LPD), y la persona interesada puede exigir judicialmente el borrado (art. 32 apdo. 2 letra c LPD).
¿Qué excepciones se aplican?
No toda solicitud de supresión conduce de inmediato al borrado. Motivos habituales para seguir conservando datos:
- Obligaciones legales de conservación, por ejemplo diez años para los libros contables y los justificantes contables (art. 958f CO suizo; art. 17 apdo. 3 letra b RGPD).
- La formulación, el ejercicio o la defensa de reclamaciones (art. 17 apdo. 3 letra e RGPD).
- Procedimientos, investigaciones o requerimientos de las autoridades en curso (legal hold).
- Intereses preponderantes que justifican el tratamiento (art. 31 LPD).
En estos casos, los datos se bloquean: se conservan, pero solo pueden utilizarse para la finalidad de conservación, y se borran cuando esta desaparece.
¿Cómo se ejecuta una solicitud de supresión?
Un proceso bien hecho tiene seis pasos:
- 1Verificar la identidad de la persona solicitante.
- 2Determinar en qué sistemas figura la persona.
- 3Comprobar si lo impiden obligaciones de conservación o bloqueos de borrado.
- 4Aprobar el borrado; en casos delicados, según el principio de los cuatro ojos.
- 5Borrar en todos los sistemas afectados, en el orden correcto.
- 6Reunir las respuestas, informar a la persona y conservar la prueba.
Según el RGPD, además, debe informarse de la supresión a los destinatarios a los que se hayan comunicado los datos, siempre que sea posible y proporcionado (art. 19 RGPD).
¿Qué plazo se aplica a una solicitud de supresión?
Según el RGPD, se aplica el mismo plazo que para el acceso: sin dilación indebida y, a más tardar, en un mes, con posibilidad de ampliación (art. 12 apdo. 3 RGPD). La LPD suiza no fija un plazo expreso para las solicitudes de supresión; una solicitud debería tramitarse sin demoras innecesarias.
Borrar, anonimizar, bloquear: ¿qué es cada cosa?
| Operación | Efecto | Cuándo tiene sentido |
|---|---|---|
| Borrar | Los datos dejan de existir. | Han desaparecido la finalidad y la obligación de conservación. |
| Anonimizar | Se elimina de forma permanente el vínculo con la persona; el resto de los datos se mantiene. | Para estadísticas y análisis sin vínculo con personas. |
| Bloquear | Los datos se mantienen, pero solo pueden utilizarse para la finalidad de conservación. | En caso de obligaciones de conservación y legal hold. |