Normativa y datos
Derecho de supresión
El derecho de supresión, o derecho al olvido, permite obtener del responsable que borre sin dilación indebida los datos personales propios si ya no son necesarios, si se retira el consentimiento en que se basaban, si hay oposición al tratamiento o si se trataron ilícitamente. Lo regula el art. 17 del RGPD.
También se le llamaderecho al olvido · derecho de borrado · derecho de cancelación
Cuándo procede y cuándo no
El art. 17.1 enumera seis supuestos. Los más cercanos al día a día de un centro son tres: el residente se fue y sus datos ya no hacen falta; retira el consentimiento que sostenía un tratamiento opcional, como una foto publicada; o se opone a uno basado en el interés legítimo y no hay otros motivos que prevalezcan. El responsable tiene un mes para contestar, prorrogable dos más si la solicitud es compleja (art. 12.3). Pero el derecho tiene límites (art. 17.3):
- Una obligación legal de conservar (17.3.b): la factura de la estancia no se borra porque lo pida el residente.
- La defensa de reclamaciones (17.3.e): lo necesario para una reclamación abierta puede quedarse.
- Archivo, investigación o estadística en las condiciones del art. 89 (17.3.d).
Ojo con esto
Suprimir no es destruir en el acto. En España, el art. 32 de la LOPDGDD obliga al responsable a bloquear los datos al suprimirlos: quedan apartados y sin poder tratarse, a disposición solo de jueces, Ministerio Fiscal y administraciones competentes durante el plazo de prescripción de las responsabilidades, y después se destruyen. El resto de deberes del centro están en el RGPD, y el plazo de cada tratamiento, en su ROPA.
Fuentes
Términos relacionados
- RGPDEl RGPD es el Reglamento (UE) 2016/679, la norma de la Unión que regula el tratamiento de datos personales. Se aplica directamente desde el 25 de mayo de 2018 y en España lo completa la LOPDGDD. Obliga igual a un colegio mayor, a una residencia privada y a un coliving.
- ROPA (registro de actividades de tratamiento)El ROPA, o registro de actividades de tratamiento, es el documento que el art. 30 del RGPD exige al responsable y al encargado: qué datos se tratan, para qué, de quién, a quién se comunican, si salen fuera de la UE, cuándo se suprimen y con qué medidas de seguridad. Se entrega a la autoridad de control que lo pida.