Finalidades Ulteriores y Plazo de Conservación

El pasado 20 de octubre se publicaba una sentencia del Tribunal de Justicia de la Unión Europea en la que se resolvían dos cuestiones prejudiciales, sobre el principio de limitación de la finalidad y limitación del plazo de conservación.

Debemos recordar que estos dos principios se encuentran recogidos en el artículo 5 del RGPD, concretamente en los apartados 1.b) y 1.e), según los cuales:

1. b) recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales (“limitación de la finalidad”).
2. e) mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo de interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado (“limitación del plazo de conservación”).

Entre todas las resoluciones que se han publicado en los últimos meses podemos observar que estos dos principios a día de hoy no están siendo objeto de demasiado conflicto para las Autoridades de Control. Quizá al encontrarnos ante principios no demasiado conflictivos debemos tener en cuenta las cuestiones planteadas por el Tribunal de Hungría para realizar una correcta interpretación.

Se plantean las siguientes cuestiones:

1. ¿Debe interpretarse el concepto “limitación de la finalidad” definido en el artículo 5, apartado 1, letra b), del RGPD en sentido que es conforme con dicho concepto el hecho de que el responsable del tratamiento conserve paralelamente en otra base de datos unos datos personales que, por lo demás, fueron recogidos y conservados con una finalidad legítima limitada o, por el contrario, por lo que respecta a la base de datos paralela, ya no es válida la finalidad limitada de la recogida de datos)
2. ¿Es compatible con el principio de “limitación del plazo de conservación” establecido en el artículo 5, apartado 1, letra e), del RGPD el hecho de que el responsable del tratamiento conserve paralelamente en otra base de datos unos datos personales que, por lo demás, fueron recogidos y conservados con una finalidad legítima limitada?

Sobre la primera cuestión para el TJUE resulta importante recalcar que del RGPD se desprenden dos requisitos: la finalidad inicial de la recogida de datos personales y el tratamiento ulterior. En el caso de la finalidad inicial deberá comprobarse que se trata de fines determinados explícitos y legítimos. En relación, con el tratamiento ulterior deberá comprobarse que las finalidades son compatibles, poniendo en contexto ambas finalidades. Además de tenerse en cuenta otros factores: el contexto en el que se recogieron los datos, la relación entre el interesado y el responsable, la naturaleza, las consecuencias y la existencia de garantías adecuadas.

El supuesto concreto objeto de las cuestiones surge por la creación de una base de datos de prueba que la única finalidad de corrección de errores, considerándose esta finalidad como “ulterior”.

Debe realizarse un análisis sobre si la finalidad ulterior guarda relación concreta con la finalidad inicial, que en este caso se trataba de la ejecución de contratos con clientes. El tribunal determina que la finalidad ulterior resulta adecuada al ser compatible con los fines específicos para los que se recogieron inicialmente.

En el caso de la segunda cuestión, sobre la limitación de conservación de los datos. Deben tenerse en cuenta los siguientes aspectos:

• Los datos deberán conservarse de forma que permita la identificación de los interesados no más tiempo del necesario.

Es decir, un tratamiento que inicialmente fuese lícito con el paso del tiempo, y cuando los datos personales ya no sean necesarios, pudiera ser que deviniese como ilícito.

• Como recoge el artículo 6 del RGPD si el interesado no ha dado su consentimiento para las distintas finalidades el tratamiento deberá resultar necesario.

En este sentido la empresa alegaba ante el Tribunal de Hungría que una vez realizadas las pruebas y corregidos los errores los datos personales no era borrados de la base de datos.  En este sentido el TJUE se opone al mantenimiento de los datos personales una vez finalizadas las pruebas, a pesar de haberse considerado una finalidad ulterior adecuada.

Esta sentencia nos da algunas pistas sobre la ponderación que debemos realizar ante tratamientos ulteriores a la finalidad inicial, indicándonos que en algunos casos será lícito siempre que se adecúe a los requisitos mínimos.

Por otro lado, y en relación con el plazo de conservación, nos encontramos ante una sentencia relevante a este respecto en la que se nos indica que el plazo de conservación deberá limitarse al mínimo estricto necesario para cumplimiento de la finalidad. En el caso concreto la empresa habría sido sancionada al no haber eliminado “por descuido” los datos personales de la base de datos una vez realizada las pruebas y solventados los errores.

#TJUE #RGPD #limitacionfinalidad #limitacionconservación #HELAS #protecciondatos

Patricia Guirao Melero

Consultor de Helas Consultores