El TJUE aclara que la autoridad de control de un Estado miembro puede ordenar la supresión de datos tratados ilícitamente, incluso sin que medie solicitud previa del interesado

Dicha supresión puede tener por objeto tanto los datos obtenidos de esa persona como los procedentes de otra fuente.

En 2020, la Administración municipal de Újpest (Hungría) decidió ayudar económicamente a personas vulnerables como consecuencia de la pandemia de COVID-19. A tal fin solicitó al Tesoro Público Húngaro y a la Oficina del Distrito IV de la Delegación del Gobierno en Budapest Capital que le facilitasen los datos personales necesarios con el fin de verificar los requisitos para poder optar a la ayuda.

Alertada por una denuncia, la autoridad húngara encargada de la protección de datos («autoridad de control») comprobó que tanto la Administración de Újpest como el Tesoro Público Húngaro y la Oficina de la Delegación del Gobierno habían infringido las normas del RGPD. Ello dio lugar a la imposición de multas.

La autoridad de control señaló que la Administración de Újpest no había informado a los interesados, en el plazo de un mes señalado a tal efecto, ni de la utilización de sus datos y la finalidad de esta, ni de sus derechos en materia de protección de datos. Además, ordenó a la Administración de Újpest que suprimiera los datos de las personas que podían optar a la ayuda, pero que no la habían solicitado.
La Administración de Újpest impugna esta resolución ante el Tribunal General de la Capital (Hungría). Considera que la autoridad de control no está facultada para ordenar la supresión de los datos personales cuando el interesado no na presentado una solicitud previa a tal efecto.

El tribunal húngaro solicita al Tribunal de Justicia que interprete el RGPD. En su sentencia, el Tribunal de Justicia responde que la autoridad de control de un Estado miembro puede ordenar de oficio, es decir, aun cuando el interesado no haya presentado previamente una solicitud a tal efecto, la supresión de datos tratados ilícitamente si esta medida es necesaria para cumplir su misión de velar por el pleno cumplimiento del RGPD. Si dicha autoridad comprueba que un tratamiento de datos no respeta el RGPD, debe subsanar la infracción detectada, incluso sin que medie la solicitud previa del interesado. Exigir que medie esa solicitud implicaría que, a falta de esta, el responsable del tratamiento podría conservar los datos en cuestión y seguir tratándolos ilícitamente.

Por lo demás, la autoridad de control de un Estado miembro puede ordenar la supresión de datos personales tratados ilícitamente tanto cuando estos procedan directamente del interesado como cuando procedan de otra fuente.

La Comisión lleva a HUNGRÍA ante el Tribunal de Justicia de la UE por incumplimiento de las normas comunitarias sobre comunicaciones electrónicas

 

Más información: CURIA