La autoridad de control francesa ha impuesto una multa de 300.000 euros a una empresa especializada en servicios de informática e ingeniería por el incumplimiento del artículo 17 del RGPD (derecho de supresión). Así, se interpusieron diversas reclamaciones por candidatos y antiguos empleados de la compañía que habían encontrado dificultades para conseguir la eliminación de sus datos personales.
Con ocasión de la incoación del procedimiento, durante las labores de investigación llevadas a cabo por la autoridad de control, se pusieron de manifiesto numerosas deficiencias en la atención y respuesta de los ejercicios de derechos de supresión por parte de la compañía, así como en materia de transparencia de información. En este sentido, de las 265 solicitudes recibidas, más de tres cuartas partes no habían sido atendidas o lo habían sido de manera poco satisfactoria. En concreto, la CNIL pudo comprobar que 12 solicitudes no habían sido siquiera tramitadas.
Adicionalmente, también se incumplió por la entidad la obligación de informar a los interesados sobre las medidas que la compañía había adoptado en respuesta al ejercicio del derecho. En este sentido, no se facilitó dicha información a 166 personas y otras 27 la recibieron fuera del plazo de un mes (en algunos casos, esta información se envió varios meses después).
La compañía presentó escrito de respuesta en el que alegó, entre otras cuestiones, que parte de las solicitudes de derechos habían sido remitidas por candidatos cuyos datos ya habían sido eliminados de forma automática. No obstante, la autoridad de control entendió que esta actuación no eximía a la empresa de comunicar al titular de los datos y afectado el resultado de su solicitud, debiendo informarle de esta circunstancia. No obstante, para determinadas solicitudes, se indica por la autoridad de control que la compañía sí informó adecuadamente de los motivos por los que no se les podía facilitar determinada información.
Así, el cumplimiento del derecho de supresión exige disponer de procedimientos que permitan registrar, tramitar y responder las solicitudes de forma adecuada y dentro de plazo (con independencia de que la supresión ya se haya producido). De este modo, la existencia de procedimientos automáticos de supresión y eliminación de información no sustituye, por sí sola, la obligación de facilitar una respuesta al titular.
Las incidencias a la hora de atender y gestionar los ejercicios de derechos pueden adquirir mayor relevancia cuando afectan a un volumen significativo de solicitudes o cuando se producen reiteradamente. En este caso, la CNIL tuvo en cuenta, entre otros factores, el número de personas afectadas como circunstancia agravante.
Para las compañías que tratan información de candidatos, empleados o antiguos empleados, resulta especialmente relevante garantizar que las solicitudes puedan ser adecuadamente recibidas, tramitadas y respondidas, dejando constancia tanto de las actuaciones realizadas como de la comunicación efectuada al interesado.
Puede acceder a la resolución sancionadora de la autoridad de control francesa aquí.
