Las autoridades de control de la protección de datos de los países miembros de la Unión Europea pueden ordenar que se eliminen datos tratados ilegalmente, y pueden hacerlo, y aquí la novedad, incluso sin mediar solicitud previa de algún afectado. Así lo ha dictado el Tribunal de Justicia de la Unión Europea, en una reciente sentencia donde resuelve una duda de los tribunales de Hungría.

Según recogen los hechos del fallo, en 2020, la Administración municipal de Újpest (Hungría) decidió ayudar económicamente a personas vulnerables como consecuencia de la pandemia de COVID-19. A tal fin solicitó al Tesoro Público Húngaro y a la Oficina del Distrito IV de la Delegación del Gobierno en Budapest Capital que le facilitasen los datos personales necesarios con el fin de verificar los requisitos para poder optar a la ayuda.

Alertada por una denuncia, la autoridad húngara encargada de la protección de datos («autoridad de control») comprobó que tanto la Administración de Újpest como el Tesoro Público Húngaro y la Oficina de la Delegación del Gobierno habían infringido las normas del RGPD. 1 Ello dio lugar a la imposición de multas. La autoridad de control señaló que la Administración de Újpest no había informado a los interesados, en el plazo de un mes señalado a tal efecto, ni de la utilización de sus datos y la finalidad de esta, ni de sus derechos en materia de protección de datos. Además, ordenó a la Administración de Újpest que suprimiera los datos de las personas que podían optar a la ayuda, pero que no la habían solicitado.

Pero la Administración de Újpest impugna esta resolución ante el Tribunal General de la Capital (Hungría). Considera que la autoridad de control no está facultada para ordenar la supresión de los datos personales cuando el interesado no ha presentado una solicitud previa a tal efecto.

La falta de solicitud previa no es un obstáculo

El tribunal húngaro solicita al Tribunal de Justicia que interprete el RGPD. Y en su sentencia, el Tribunal de Justicia responde que la autoridad de control de un Estado miembro puede ordenar de oficio, es decir, aun cuando el interesado no haya presentado previamente una solicitud a tal efecto, la supresión de datos tratados ilícitamente si esta medida es necesaria para cumplir su misión de velar por el pleno cumplimiento del RGPD. Si dicha autoridad comprueba que un tratamiento de datos no respeta el RGPD, debe subsanar la infracción detectada, incluso sin que medie la solicitud previa del interesado. Exigir que medie esa solicitud implicaría que, a falta de esta, el responsable del tratamiento podría conservar los datos en cuestión y seguir tratándolos ilícitamente.

Por lo demás, la autoridad de control de un Estado miembro puede ordenar la supresión de datos personales tratados ilícitamente tanto cuando estos procedan directamente del interesado como cuando procedan de otra fuente.

Cabe apuntar que las resoluciones del Tribunal de Justicia a cuestiones planteadas por jueces de los países miembros no resuelven el fondo del litigio, por lo que ahora es turno de la justicia húngara para resolver el caso que ha dado pie a la duda sobre la interpretación de la norma comunitaria.