Derecho al olvido

El derecho al olvido es el derecho de una persona a pedir que se borre o se desindexe información personal sobre ella, y a que esa solicitud sea evaluada.

En el RGPD aparece como derecho de supresión, y es importante porque el estado por defecto de la información en internet es la permanencia: lo que se publica una vez tiende a seguir siendo accesible, y a seguir siendo lo primero que se encuentra sobre una persona, mucho después de haber dejado de ser exacto o relevante.

El derecho existe para equilibrar eso frente al interés, igual de real, en que la información siga estando disponible. No es un botón de borrar, y tratarlo como si lo fuera es el malentendido más habitual sobre él.

Qué da en realidad

Control sobre los datos propios. Una persona puede pedir a una organización que tiene información sobre ella que la elimine, y la organización tiene que responder, dejando constancia, dentro de un plazo definido.

Una evaluación, no un resultado. La solicitud se pondera. Los datos desactualizados, inexactos o que ya no son necesarios para la finalidad con la que se recogieron son un caso sólido; los datos que una organización está legalmente obligada a conservar, o que sirven a un interés público genuino, no lo son.

Una obligación para quien tiene los datos. Poder atender el derecho significa poder encontrar todas las copias de los datos de una persona, incluidas las que están en las copias de seguridad, en las exportaciones y en sistemas gestionados por encargados del tratamiento. Eso es un requisito de ingeniería disfrazado de requisito legal.

Qué no da

No borra internet. Desindexar un resultado de un buscador no elimina la página a la que apuntaba. La información puede seguir publicada lícitamente y volverse, aun así, mucho más difícil de encontrar.

No siempre gana. La libertad de expresión, el interés público, los fines históricos y estadísticos y los deberes legales de conservación son todos ellos motivos por los que una solicitud se deniega, y la denegación hay que justificarla, no simplemente decidirla.

No se aplica igual en todas partes. El derecho es una construcción europea. Una plataforma global recibe solicitudes al amparo de una norma que no existe en todas las jurisdicciones en las que opera, y por eso la misma solicitud puede atenderse en un sitio y no en otro.

Un ejemplo

Una persona que estuvo implicada en un asunto judicial, resuelto a su favor, descubre que buscar su nombre sigue devolviendo la cobertura de aquello años después.

Pide al operador del buscador que desindexe esos resultados, alegando que la información ya no es relevante para quien es ahora.

El operador lo pondera: cuántos años tiene el asunto, si la persona ocupa un cargo público, si sigue habiendo un interés público en que resulte fácil de encontrar.

Decide desindexarlos. Los artículos originales siguen publicados, siguen siendo lícitos y siguen pudiéndose leer en sus propias direcciones. Lo que ha cambiado es que ya no son la respuesta al nombre de esa persona.

Dónde aparece esto en una auditoría

El hallazgo casi nunca tiene que ver con el juicio jurídico. Es que la organización no puede ejecutar la decisión que ha tomado: sabe borrar el registro de la base de datos principal y no tiene ni idea de qué más guarda una copia, ni forma de llegar al almacén de analítica, ni plan para las copias de seguridad. Un derecho que no puedes atender técnicamente es una brecha de cumplimiento por muy bien redactada que esté la política, y por eso esto pertenece a un glosario de seguridad y no solo a uno jurídico.