El artículo 58, apartado 2, letras d) y g), del Reglamento general de protección de datos (RGPD) (LA LEY 6637/2016), debe interpretarse en el sentido de que la autoridad de control de un Estado miembro está facultada, en ejercicio de sus poderes correctivos previstos en tales disposiciones, para ordenar al responsable o al encargado del tratamiento que suprima datos personales que hayan sido tratados ilícitamente, aun cuando el interesado no haya presentado ninguna solicitud a tal efecto para ejercer sus derechos en virtud del artículo 17, apartado 1, de ese mismo Reglamento.
Además, ese mismo artículo 58, apartado 2, del RGPD, debe interpretarse en el sentido de que el poder de la autoridad de control de un Estado miembro para ordenar la supresión de datos personales que han sido tratados ilícitamente puede tener por objeto tanto datos obtenidos del interesado como datos procedentes de otra fuente.
Así lo ha declarado el TJUE en su sentencia de 14 de marzo de 2024, en el asunto C-46/23 (LA LEY 29745/2024) (Újpesti Polgármesteri Hivatal).
La sentencia resuelve un asunto iniciado en 2020, cuando la Administración municipal de Újpest (Hungría) decidió ayudar económicamente a personas vulnerables como consecuencia de la pandemia de COVID-19. A tal fin solicitó al Tesoro Público Húngaro y a la Oficina del Distrito IV de la Delegación del Gobierno en Budapest Capital que le facilitasen los datos personales necesarios con el fin de verificar los requisitos para poder optar a la ayuda.
Alertada por una denuncia, la autoridad húngara encargada de la protección de datos («autoridad de control») comprobó que tanto la Administración de Újpest como el Tesoro Público Húngaro y la Oficina de la Delegación del Gobierno habían infringido las normas del RGPD. Ello dio lugar a la imposición de multas.
La autoridad de control señaló que la Administración de Újpest no había informado a los interesados, en el plazo de un mes señalado a tal efecto, ni de la utilización de sus datos y la finalidad de esta, ni de sus derechos en materia de protección de datos. Además, ordenó a la Administración de Újpest que suprimiera los datos de las personas que podían optar a la ayuda, pero que no la habían solicitado.
La Administración de Újpest impugna esta resolución ante el Tribunal General de la Capital (Hungría). Considera que la autoridad de control no está facultada para ordenar la supresión de los datos personales cuando el interesado no ha presentado una solicitud previa a tal efecto.
El tribunal húngaro solicita al Tribunal de Justicia que interprete el RGPD.
En su sentencia, el Tribunal de Justicia responde que la autoridad de control de un Estado miembro puede ordenar de oficio, es decir, aun cuando el interesado no haya presentado previamente una solicitud a tal efecto, la supresión de datos tratados ilícitamente si esta medida es necesaria para cumplir su misión de velar por el pleno cumplimiento del RGPD. Si dicha autoridad comprueba que un tratamiento de datos no respeta el RGPD, debe subsanar la infracción detectada, incluso sin que medie la solicitud previa del interesado. Exigir que medie esa solicitud implicaría que, a falta de esta, el responsable del tratamiento podría conservar los datos en cuestión y seguir tratándolos ilícitamente.
Por lo demás, la autoridad de control de un Estado miembro puede ordenar la supresión de datos personales tratados ilícitamente tanto cuando estos procedan directamente del interesado como cuando procedan de otra fuente.