Derechos de los usuarios en el tratamiento de datos personales en las redes sociales

En un mundo cada vez más digitalizado corresponde a los poderes públicos impulsar políticas que hagan efectivos los derechos de la ciudadanía en Internet promoviendo la igualdad de los ciudadanos y de los grupos en los que se integran para hacer posible el pleno ejercicio de los derechos fundamentales en la realidad digital. Para otorgar esta protección se aprobó la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) en al que se recogen las disposiciones del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (RGPD).

A continuación, haremos un breve análisis de los derechos que protegen a los usuarios, especialmente en el uso de las redes sociales.

Derecho de acceso

El art. 15 del RGPD establece que el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales. Este derecho se desarrolla en el art. 13 de la LOPDGDD, que señala que se considerará otorgado cuando el responsable del tratamiento facilitara al afectado un sistema de acceso remoto, directo y seguro a los datos personales que garantice, de modo permanente, el acceso a su totalidad.

Derecho de rectificación

Recogido en el art. 16 del RGPD que establece «El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la rectificación de los datos personales inexactos que le conciernan. Teniendo en cuenta los fines del tratamiento, el interesado tendrá derecho a que se completen los datos personales que sean incompletos, inclusive mediante una declaración adicional». Y en el mismo sentido se manifiesta el art. 14 de la LOPDGDD que señala que para el ejercicio de este derecho el afectado deberá indicar en su solicitud qué datos se refiere y la corrección que debe realizarse, para ello deberá acompañar la documentación justificativa de la inexactitud o carácter incompleto de los datos.

En cuanto al derecho de rectificación en las redes sociales, su protección se encuentra en el art. 85.2 de la LOPDGDD que prevé que los responsables de las redes sociales adopten protocolos adecuados para posibilitar el ejercicio del derecho de rectificación ante los usuarios que difundan contenidos que atenten contra el derecho al honor, la intimidad personal y familiar en Internet y el derecho a comunicar o recibir libremente información veraz, atendiendo a los requisitos y procedimientos previstos en la Ley Orgánica 2/1984, de 26 de marzo, reguladora del derecho de rectificación.

Cuando los medios de comunicación digitales deban atender la solicitud de rectificación formulada contra ellos deberán proceder a la publicación en sus archivos digitales de un aviso aclaratorio que ponga de manifiesto que la noticia original no refleja la situación actual del individuo. Dicho aviso deberá aparecer en lugar visible junto con la información original.

También forma parte del derecho de rectificación el derecho de actualización que se recoge en el art. 86 de la LOPDGDD por el cual toda persona tiene derecho a solicitar que los medios incluyan un aviso de actualización suficientemente visible junto a las noticias que le conciernan cuando la información contenida en la noticia original no refleje su situación actual como consecuencia de circunstancias que hubieran tenido lugar después de la publicación, causándole un perjuicio.

CUESTIONES

1. ¿Es una infracción la obstaculización del derecho a la rectificación?

Será considerada infracción grave el comportamiento consiste en (artículo 73 de la LOPDGDD):

«c) El impedimento o la obstaculización o la no atención reiterada de los derechos de acceso, rectificación, supresión, limitación del tratamiento o a la portabilidad de los datos en tratamientos en los que no se requiere la identificación del afectado, cuando este, para el ejercicio de esos derechos, haya facilitado información adicional que permita su identificación».

2. ¿Es una infracción no atender el derecho de rectificación?

Será considerada infracción leve la conducta consistente en (artículo 74 de la LOPDGDD):

«d) No atender los derechos de acceso, rectificación, supresión, limitación del tratamiento o a la portabilidad de los datos en tratamientos en los que no se requiere la identificación del afectado, cuando este, para el ejercicio de esos derechos, haya facilitado información adicional que permita su identificación, salvo que resultase de aplicación lo dispuesto en el artículo 73 c) de esta ley orgánica».

Una vez realizada la rectificación, el responsable del tratamiento la comunicará a cada uno de los destinatarios a los que se hayan comunicado los datos personales, salvo que sea imposible o exija un esfuerzo desproporcionado conforme establece el art. 19 del RGPD.

Derecho de supresión

Se reconoce en el art. 17 del RGPD que señala que los supuestos en los que el interesado tiene derecho a que el responsable del tratamiento suprima los datos personales que le conciernan, estando el responsable obligado a la supresión en los siguientes supuestos:

• Los datos personales ya no sean necesarios de acuerdo con los fines para los que se hubieran recogido o tratado.
• El interesado retire el consentimiento en el que se basa el tratamiento de acuerdo con lo siguiente:
• El interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos [artículo 6.1.a) del RGPD].
• El interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 del artículo 9 del RGPD no puede ser levantada por el interesado [artículo 9.2.a) del RGPD], y este no se base en otro fundamento jurídico.
• El interesado se oponga al tratamiento con arreglo a las siguientes circunstancias:
• El interesado tendrá derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular, a que datos personales que le conciernan sean objeto de un tratamiento basado en lo dispuesto en el artículo 6, apartado 1, letras e) o f) del RGPD incluida la elaboración de perfiles sobre la base de dichas disposiciones. El responsable del tratamiento dejará de tratar los datos personales, salvo que acredite motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los intereses, los derechos y las libertades del interesado, o para la formulación, el ejercicio o la defensa de reclamaciones (artículo 21.1 del RGPD), y no prevalezcan otros motivos legítimos para el tratamiento.
• O el interesado se oponga al tratamiento con arreglo a «cuando el tratamiento de datos personales tenga por objeto la mercadotecnia directa, el interesado tendrá derecho a oponerse en todo momento al tratamiento de los datos personales que le conciernan, incluida la elaboración de perfiles en la medida en que esté relacionada con la citada mercadotecnia» (artículo 21.2 del RGPD).
• Los datos personales hayan sido tratados de forma ilícita.
• Los datos personales deben suprimirse para cumplir una obligación legal regulada en el derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento.
• Los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8.1 del RGPD, estas son, las condiciones aplicables al consentimiento del niño en relación con los servicios de la sociedad de la información.

Sin embargo, lo anterior no resultará de aplicación cuando el tratamiento sea imprescindible para:

• Ejercer el derecho a la libertad de expresión e información.
• El cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable.
• Por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras h) e i), y apartado 3 del RGPD.

CUESTIÓN

¿Qué supuesto regula el apartado segundo del artículo 21 del RGPD?

Cuando el objeto del tratamiento de datos personales sea la mercadotecnia directa, el interesado podrá oponerse en cualquier momento a aquel, incluso a la elaboración de perfiles en las medidas en que esté relacionado con la referida mercadotecnia.

Derecho al olvido

Toda persona tiene derecho a que los motores de búsqueda (Internet) supriman de las listas de resultados que se obtuvieran tras una búsqueda realizada a partir de su nombre los enlaces publicados. Este derecho se regula en el art. 93 del RGPD. 

JURISPRUDENCIA

Sentencia del Tribunal de Justicia de la Unión Europa n.º C-131/12, de 13 de mayo de 2014, ECLI:EU:C:2014:317

«(...) el interesado puede oponerse a la indexación de sus datos personales por un motor de búsqueda cuando la difusión de estos datos por la intermediación de éste le perjudica y de que sus derechos fundamentales a la protección de dichos datos y de respeto a la vida privada, que engloban el "derecho al olvido", prevalecen sobre los intereses legítimos del gestor de dicho motor y el interés general en la libertad de información.

92. En relación con el artículo 12, letra b), de la Directiva 95/46, cuya aplicación está sometida al requisito de que el tratamiento de datos personales sea incompatible con dicha Directiva, es necesario recordar que, como se ha señalado en el apartado 72 de la presente sentencia, tal incompatibilidad puede resultar no sólo de que los datos sean inexactos, sino en particular, de que sean inadecuados, no pertinentes y excesivos en relación con los fines del tratamiento, de que no estén actualizados o de que se conserven durante un período superior al necesario, a menos que se imponga su conservación por fines históricos, estadísticos o científicos».

Y continúa:

«(...) incluso un tratamiento inicialmente lícito de datos exactos puede devenir, con el tiempo, incompatible con dicha Directiva cuando estos datos ya no sean necesarios en relación con los fines para los que se recogieron o trataron. Éste es el caso, en particular, cuando son inadecuados, no pertinentes o ya no pertinentes o son excesivos en relación con estos fines y el tiempo transcurrido».

En consecuencia:

«Ya que el interesado puede, habida cuenta de sus derechos con arreglo a los artículos 7 y 8 de la Carta, solicitar que la información de que se trate ya no se ponga a disposición del público en general mediante su inclusión en tal lista de resultados, es necesario considerar, como se desprende, en particular, del apartado 81 de la presente sentencia, que estos derechos prevalecen, en principio, no sólo sobre el interés económico del gestor del motor de búsqueda, sino también sobre el interés de dicho público en encontrar la mencionada información en una búsqueda que verse sobre el nombre de esa persona. Sin embargo, tal no sería el caso si resultara, por razones concretas, como el papel desempeñado por el mencionado interesado en la vida pública, que la injerencia en sus derechos fundamentales está justificada por el interés preponderante de dicho público en tener, a raíz de esta inclusión, acceso a la información de que se trate».

En relación a las redes sociales toda persona tendrá derecho a que se supriman:

• Los datos personales que hubiese facilitado para su publicación por servicios de redes sociales y servicios de la sociedad de la información equivalentes. La supresión debe realizarse a su simple solicitud.
• Los datos personales que le conciernan y que hubiesen sido facilitados por terceros para su publicación por los servicios de redes sociales y servicios de la sociedad de la información equivalentes cuando fuesen inadecuados, inexactos, no pertinentes, no actualizados o excesivos o hubieren devenido como tales por el transcurso del tiempo, teniendo en cuenta los fines para los que se recogieron o trataron, el tiempo transcurrido y la naturaleza e interés público de la información.

De igual manera, deberá procederse cuando las circunstancias personales que alegase el afectado hiciesen patente el predominio de sus derechos sobre el mantenimiento de los datos por el servicio.

Este derecho se recoge en el art. 94 de la LOPDGDD que establece:

«1. Toda persona tiene derecho a que sean suprimidos, a su simple solicitud, los datos personales que hubiese facilitado para su publicación por servicios de redes sociales y servicios de la sociedad de la información equivalentes.

2. Toda persona tiene derecho a que sean suprimidos los datos personales que le conciernan y que hubiesen sido facilitados por terceros para su publicación por los servicios de redes sociales y servicios de la sociedad de la información equivalentes cuando fuesen inadecuados, inexactos, no pertinentes, no actualizados o excesivos o hubieren devenido como tales por el transcurso del tiempo, teniendo en cuenta los fines para los que se recogieron o trataron, el tiempo transcurrido y la naturaleza e interés público de la información.

Del mismo modo deberá procederse a la supresión de dichos datos cuando las circunstancias personales que en su caso invocase el afectado evidenciasen la prevalencia de sus derechos sobre el mantenimiento de los datos por el servicio.

Se exceptúan de lo dispuesto en este apartado los datos que hubiesen sido facilitados por personas físicas en el ejercicio de actividades personales o domésticas.

3. En caso de que el derecho se ejercitase por un afectado respecto de datos que hubiesen sido facilitados al servicio, por él o por terceros, durante su minoría de edad, el prestador deberá proceder sin dilación a su supresión por su simple solicitud, sin necesidad de que concurran las circunstancias mencionadas en el apartado 2»

Bloqueo de datos personales

Encontramos la respuesta a esta cuestión en el apartado segundo del artículo 32 de la LOPDGDD, de manera que el bloqueo de los datos consiste en la identificación y reserva de los mismos, adoptando medidas técnicas y organizativas, para impedir su tratamiento, incluyendo su visualización, excepto para la puesta a disposición de los datos a los jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes, en particular de las autoridades de protección de datos, para la exigencia de posibles responsabilidades derivadas del tratamiento y solo por el plazo de prescripción de las mismas. Transcurrido ese plazo deberá procederse a la destrucción de los datos.

Así, el responsable del tratamiento tendrá la obligación de bloquear los datos cuando proceda a su rectificación o supresión. No obstante, los datos bloqueados no podrán ser tratados para ninguna finalidad diferente a la señalada en el apartado segundo del artículo 32 de la LOPDGDD.

Además, tanto la AEPD como las autoridades autonómicas con competencias en materia de protección de datos, podrán establecer las excepciones a la referida obligación de bloqueo en los casos en que atendida la naturaleza de los datos o el hecho de que se refieran a un número particularmente elevado de afectados, su mera conservación, incluso bloqueados, pudiera generar un riesgo elevado para los derechos de los afectados, así como en aquellos casos en los que la conservación de los datos bloqueados pudiera implicar un coste desproporcionado para el responsable del tratamiento.

Con relación a esta obligación se ha pronunciado el Tribunal Supremo en la sentencia n.º 1624/2020, de 27 de noviembre, ECLI:ES:TS:2020:4016:

«En relación con el artículo 12, letra b), de la Directiva 95/46, éste dispone que los Estados miembros garantizarán a todos los interesados el derecho de obtener del responsable del tratamiento, en su caso, la rectificación, la supresión o el bloqueo de los datos cuyo tratamiento no se ajuste a las disposiciones de la presente Directiva, en particular a causa del carácter incompleto o inexacto de los datos. Esta última aclaración, relativa al supuesto del incumplimiento de algunos requisitos recogidos en el artículo 6, apartado 1, letra d), de la Directiva 95/46, tiene carácter de ejemplo y no es taxativa, de lo que se desprende que la falta de conformidad del tratamiento, que puede ofrecer al interesado el derecho garantizado por el artículo 12, letra b), de dicha Directiva, puede también derivarse del incumplimiento de otros requisitos de legalidad impuestos por ésta al tratamiento de datos personales».

CUESTIÓN

¿Qué sucede cuando la configuración del sistema de información no permita el bloqueo?

Se procederá a «un copiado seguro de la información de modo que conste evidencia digital, o de otra naturaleza, que permita acreditar la autenticidad de la misma, la fecha del bloqueo y la no manipulación de los datos durante el mismo».

Lo anterior también será de aplicación a los casos en que el cumplimiento de la referida obligación implique un esfuerzo desproporcionado. 

Derecho a la limitación de tratamiento de datos personales

El derecho a la limitación en el tratamiento se encuentra regulado en los arts. 18 del RGPD y 16 de la LOPDGDD. El primer artículo establece que el interesado tendrá derecho a obtener del responsable del tratamiento la limitación del tratamiento de los datos cuando se cumpla alguna de las condiciones siguientes:

• Impugne la exactitud de los datos personales en un plazo que permita al responsable verificar la exactitud de los mismos.
• El tratamiento sea ilícito y el interesado se oponga a la supresión de los datos personales y solicite en su lugar la limitación de su uso.
• El responsable ya no necesite los datos personales para los fines del tratamiento, pero el interesado los necesite para la formulación, el ejercicio o la defensa de reclamaciones.
• El interesado se haya opuesto al tratamiento en virtud del artículo 21.1 del RGPD, mientras se verifica si los motivos legítimos del responsable prevalecen sobre los del interesado.

Cuando el tratamiento de datos personales se haya limitado solo podrán ser objeto de tratamiento, con excepción de su conservación, con el consentimiento del interesado o para la formulación, el ejercicio o la defensa de reclamaciones, o con miras a la protección de los derechos de otra persona física o jurídica o por razones de interés público importante de la Unión o de un determinado Estado miembro.

Derecho a la portabilidad de datos

Nos encontramos con un derecho del interesado, regulado en el art. 20 del RGPD, a recibir los datos personales que haya facilitado a un responsable del tratamiento de los mismos, y a transmitirlos a otro responsable del tratamiento sin que lo impida el anterior, en los siguientes casos:

• El tratamiento esté basado en el consentimiento en virtud del artículo 6.1.a) o 9.2.a) del RGPD, o en un contrato con arreglo al artículo 6.1.b) del mismo texto legal.
• El tratamiento se efectúe por medios automatizados.

Si bien, el interesado tendrá derecho a que los datos personales se transmitan directamente de responsable a responsable cuando sea técnicamente posible.

No obstante, el derecho a la portabilidad de datos no se aplicará al tratamiento necesario para el:

• Cumplimiento de una misión realizada en interés público.
• Ejercicio de poderes públicos conferidos al responsable del tratamiento.

En la LOPDGDD el derecho a la portabilidad se recoge en el art. 17 «El derecho a la portabilidad se ejercerá de acuerdo con lo establecido en el artículo 20 del Reglamento (UE) 2016/679».

Como ejemplo paradigmático del derecho a la portabilidad de datos personales podemos destacar, entre otros, el supuesto de la sentencia del Tribunal Supremo n.º 391/2018, de 12 de marzo, ECLI:ES:TS:2018:778, en el que una mercantil interpone recurso de casación contra sentencia de 8 de junio de 2015, dictada por la Sala de lo Contencioso-Administrativo de la Audiencia Nacional contra resoluciones de la Comisión del Mercado de las Telecomunicaciones, por las que se deniega la solicitud de ampliación del plazo de 24 horas de que disponen los operadores de telecomunicaciones para instaurar la portabilidad en el ámbito telefónico.