La Sentencia del Tribunal de Justicia de la Unión Europea de 13 de mayo de 2014 (Mario Costeja contra Google) sentó las bases de lo que se debía entender por derecho de supresión (más conocido como “derecho al olvido”).
Ello supuso un cambio de paradigma que se ha visto materializado y regulado en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (RGPD). También encontramos referencia directa a este derecho en la Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD), que desarrolla la normativa comunitaria.
¿Qué es el derecho al olvido?
El artículo 17 RGPD regula el derecho de supresión, cuya referencia en derecho nacional, se encuentra en el artículo 15 LOPDGDD.
En este sentido, señalar que el "derecho al olvido" no es más que una manifestación de los derechos de supresión y oposición, aplicados al entorno online.
El obligado a "olvidar", deberá hacerlo sin dilaciones indebidas. De este modo, se pretenden evitar demoras injustificadas en la supresión de los datos personales que puedan afectar o perjudicar a los consumidores, a los que la norma pone en mejor posición de la que ostentaban con la normativa anterior.
¿Qué derechos salvaguarda?
El artículo 18.4 de la Constitución prevé expresamente la limitación de la utilización de los medios informáticos para salvaguardar el honor y la intimidad de los ciudadanos, y lo hace de este modo:
"La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos."
El bien jurídico protegido es, por tanto, el derecho al honor, a la intimidad personal y familiar y a la propia imagen. Se trata de derechos fundamentales, los cuales gozan de la más amplia protección en nuestro ordenamiento jurídico. Así lo entiende nuestro Tribunal Constitucional cuando, en Sentencia nº 58/2018, de 4 de junio, hace referencia al "reconocimiento expreso del derecho al olvido, como facultad inherente al derecho a la protección de datos personales, y por tanto como derecho fundamental".
En cuanto a su regulación supranacional, el Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales, de 1950, define en su artículo 8 el respeto a la vida privada y familiar. Por su parte,la Carta de los Derechos Fundamentales de la Unión Europearegula en respeto a la vida privada y familiar en su artículo 7, así como la protección de datos de carácter personal en su artículo 8.
Es un derecho fundamental, pero…¿tiene carácter absoluto?
No obstante lo anterior, el ejercicio del derecho de supresión entra en conflicto con el derecho fundamental a la libertad de expresión y de información. Éste último queda plasmado en el artículo 10 del Convenio, así como en el artículo 11 de la Carta y en el artículo 20 de la Constitución.
La reiterada jurisprudencia en materia de protección de datos, así como los informes de la AEPD son unánimes al establecer que siempre habrán de ponderarse minuciosamente los intereses en juego. Por un lado, nos encontramos con el derecho al honor y a la intimidad del interesado y, por otro, con el derecho a la información por parte de los usuarios o internautas. Se trata de derechos que gozan de un nivel de protección similar, con lo que no es fácil articularlos.
Con carácter general, prevalece el derecho personalísimo a la intimidad, al honor y a la propia imagen sobre el legítimo interés de los internautas. No obstante, no siempre es así. La supresión de vínculos de una lista de resultados puede tener repercusión en el interés legítimo del público en acceder a esa información. Por ello, habrá de tenerse especialmente en cuenta:
1. Notoriedad pública del interesado.
2. Naturaleza de la información.
3. Veracidad de la información.
4. Carácter sensible de la información para el interesado.
5. Interés público de la información.
6. Cualesquiera similares.
De este modo, cuando la libertad de información colisiona con el derecho a la intimidad, el Tribunal Constitucional, en Sentencias 185/2002, de 14 de octubre, o 127/2003, de 30 de junio, recuerda que la veracidad "no es paliativo, sino presupuesto, en todo caso, de la lesión". Por ello, si la información carece de interés público relevante, podrá determinarse vulneración del derecho a la identidad por la publicación de datos personales sensibles, pese a que resulten ser ciertos.
La supresión solo podrá solicitarse por causas tasadas.
El artículo 17 del Reglamento es el encargado de enumerar los supuestos en los que el interesado tendrá pleno derecho a poder exigir la supresión de sus datos. Son los siguientes:
1. Que los datos no sean ya necesarios a los fines con que se obtuvieron, o bien son tratados en la actualidad con un fin distinto.
2. Que el interesado retire el consentimiento en su día prestado y no exista otro fundamento jurídico que ampare el tratamiento de los datos.
3. Que el interesado se oponga al tratamiento de sus datos personales y no haya motivos legítimos o de interés general que prevalezcan.
4. Que el encargado o el responsable del tratamiento haya dado un uso ilícito al mismo.
5. Que, en base a una obligación legal aplicable al responsable del tratamiento, los datos deban suprimirse.
6. Que los datos se hayan obtenido por medio de la oferta de un servicio de la sociedad de la información, sean relativos a menores de 16 años y no conste consentimiento expreso del titular de la patria potestad o la tutela de los mismos.
Así las cosas, cuando se ejerza el derecho y se solicite al responsable que se supriman los datos de carácter personal de una determinada persona, éste vendrá obligado, no solo a suprimir los datos personales de su plataforma o desindexar los resultados, sino también a comunicar la solicitud del usuario a aquellos otros responsables de tratamiento de datos a los que se hubiese podido ceder tal información, que deberán actuar en consecuencia.
