El caso
La Agencia Española de Protección de Datos (AEPD) resalta de nuevo la importancia de la gestión del derecho al olvido y la supresión de datos personales. En la resolución PS-00176-2024, una entidad financiera ha sido sancionada tras no eliminar completamente los datos de un cliente que había solicitado su supresión.
Los hechos del caso
En noviembre de 2022, un cliente solicitó la cancelación de sus tarjetas y la eliminación de sus datos personales. La entidad confirmó la supresión y el bloqueo de la información, asegurando que ya no se encontraba accesible. Sin embargo, en octubre de 2023, al solicitar una nueva tarjeta, la entidad le denegó el acceso a promociones para nuevos clientes argumentando que ya había sido cliente en el pasado.
El incumplimiento detectado
La entidad defendió que los datos habían sido bloqueados y no eran accesibles para su equipo operativo. Sin embargo, el sistema aún conservaba información que permitía identificar al reclamante como cliente anterior, lo que contradice el derecho de supresión establecido en el artículo 17 del Reglamento General de Protección de Datos (RGPD).
La entidad procedió a la supresión y bloqueo de los datos personales, sin informar al cliente de que los datos no se podían bloquear en su integridad y seguirían estando accesibles por interés legítimo para el equipo comercial.
Según la normativa, la supresión de datos debe ser efectiva y no permitir que se utilicen para decisiones futuras que afecten al interesado. La AEPD determinó que la empresa incumplió sus obligaciones al no garantizar la eliminación completa de la información y permitir que su sistema la utilizara en una nueva solicitud del usuario.
Consecuencias y lecciones aprendidas
La entidad ha reconocido infracción y realizado el pago voluntario de la sanción impuesta por la AEPD, lo que lleva a la terminación del procedimiento sancionador.
En este caso subrayamos la importancia de:
- Implementar procedimientos de supresión de datos que realmente eliminen la información del sistema.
- Asegurar que los datos bloqueados no puedan ser utilizados para ningún tipo de decisión o tratamiento futuro.
- Verificar periódicamente los sistemas de almacenamiento para cumplir estrictamente con las solicitudes de los usuarios.
- Avisar a los titulares de datos si se van a mantener por interés legítimo.