La sanción por negarse a borrar datos personales ha sido impuesta recientemente por la Agencia Española de Protección de Datos (AEPD) a una empresa que, pese a las reiteradas solicitudes del interesado, no suprimió los datos personales correspondientes.
Origen de los hechos
Todo comenzó con una llamada telefónica que el reclamante recibió por parte de una inmobiliaria. Esta empresa había obtenido los datos a través de otra entidad, la cual los había conseguido previamente de una compañía telefónica, utilizando como fuente la guía telefónica. La empresa sancionada no solo contaba con los datos del interesado, sino también con los de todos los convivientes del domicilio.
Petición de supresión de datos personales
El afectado solicitó que se eliminaran los datos de su padre. La empresa, en lugar de atender directamente la petición, le remitió a un tercero. Este tercero, a su vez, se negó a proceder a la supresión por no haber recibido copia del DNI del afectado.
Pese a comunicar telefónicamente que los datos habían sido borrados, la empresa no acreditó en ningún momento ante la AEPD que dicha supresión se hubiera producido efectivamente.
Resolución de la AEPD: infracción del RGPD
En el expediente, la AEPD afirma que:
“El reclamado no ha justificado la base de legitimación ni ha aportado la ponderación necesaria para que el tratamiento de los datos del reclamante pueda basarse en el interés legítimo, ni consta que el reclamante haya sido informado del interés legítimo del reclamado a fin de que pudiera ejercer su derecho de oposición”.
La Agencia concluye que estos hechos constituyen infracciones de los artículos 6 y 17 del Reglamento General de Protección de Datos (RGPD).
Obligaciones incumplidas
La AEPD considera que la empresa debió:
-
Comunicar al interesado la obtención de los datos, ya fuera en el momento de su obtención o en el uso comercial.
-
Acreditar la legitimación del tratamiento.
-
Informar del interés legítimo alegado.
-
Solicitar al reclamante la acreditación de su representación (no el DNI de su padre).
Al no cumplir ninguna de estas obligaciones, la AEPD impuso una sanción de 10.000 euros por cada infracción, sumando un total de 20.000 euros.
Normativa aplicable
Es importante recordar que:
-
El artículo 6 del RGPD establece las condiciones que legitiman el tratamiento de datos personales por parte del responsable del tratamiento.
-
El artículo 17 del RGPD reconoce el derecho de supresión o derecho al olvido, que permite al interesado solicitar que se borren sus datos personales cuando se cumplen ciertas condiciones.
-
La Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, establece en sus artículos 70 y siguientes los tipos de infracción y las correspondientes sanciones.
Para saber más sobre estos temas, visita nuestro blog.
