- El responsable del tratamiento estará obligado a bloquear los datos cuando proceda a su rectificación o supresión.
- El bloqueo de los datos consiste en la identificación y reserva de los mismos, adoptando medidas técnicas y organizativas, para impedir su tratamiento, incluyendo su visualización, excepto para la puesta a disposición de los datos a los jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes, en particular de las autoridades de protección de datos, para la exigencia de posibles responsabilidades derivadas del tratamiento y solo por el plazo de prescripción de las mismas.
Transcurrido ese plazo deberá procederse a la destrucción de los datos.
- Los datos bloqueados no podrán ser tratados para ninguna finalidad distinta de la señalada en el apartado anterior.
- Cuando para el cumplimiento de esta obligación, la configuración del sistema de información no permita el bloqueo o se requiera una adaptación que implique un esfuerzo desproporcionado, se procederá a un copiado seguro de la información de modo que conste evidencia digital, o de otra naturaleza, que permita acreditar la autenticidad de la misma, la fecha del bloqueo y la no manipulación de los datos durante el mismo.
- La Agencia Española de Protección de Datos y las autoridades autonómicas de protección de datos, dentro del ámbito de sus respectivas competencias, podrán fijar excepciones a la obligación de bloqueo establecida en este artículo, en los supuestos en que, atendida la naturaleza de los datos o el hecho de que se refieran a un número particularmente elevado de afectados, su mera conservación, incluso bloqueados, pudiera generar un riesgo elevado para los derechos de los afectados, así como en aquellos casos en los que la conservación de los datos bloqueados pudiera implicar un coste desproporcionado para el responsable del tratamiento.
1. Definición del Bloqueo de Datos
El bloqueo de datos implica la retención de los datos personales de forma segura y con acceso restringido, una vez que ya no son necesarios para la finalidad original por la que fueron recogidos, pero no pueden ser eliminados completamente debido a ciertas obligaciones legales.
2. Situaciones en las que se Aplica el Bloqueo de Datos
El bloqueo de datos es necesario en los siguientes casos:
a. Obligaciones Legales
- Conservación por cumplimiento normativo: Los datos deben ser bloqueados si existe una obligación legal que exige su conservación, como las leyes fiscales, laborales o de prevención del blanqueo de capitales, que requieren la conservación de ciertos datos por un período específico.
b. Ejercicio o Defensa de Reclamaciones
- Posibles litigios o reclamaciones: Si los datos pueden ser necesarios para el ejercicio o la defensa de reclamaciones legales, deben ser bloqueados hasta que prescriban los posibles plazos para presentar dichas reclamaciones.
3. Características del Bloqueo de Datos
a. Restricción del Tratamiento
- Acceso limitado: Los datos bloqueados no pueden ser tratados más allá de su mera conservación, excepto para ponerlos a disposición de jueces, tribunales o las administraciones públicas competentes, en particular la Agencia Española de Protección de Datos (AEPD), para la atención de posibles responsabilidades derivadas del tratamiento.
b. Duración del Bloqueo
- Período de conservación: El bloqueo se mantendrá durante el tiempo en que los datos deban ser conservados para cumplir con las obligaciones legales o para la defensa de posibles reclamaciones. Una vez transcurrido este tiempo, los datos deben ser eliminados de manera definitiva.
c. Seguridad de los Datos Bloqueados
- Medidas de seguridad: Los datos bloqueados deben estar sujetos a medidas técnicas y organizativas apropiadas para garantizar su seguridad y evitar su tratamiento indebido.
4. Obligaciones del Responsable del Tratamiento
a. Implementación del Bloqueo
- Proceso de bloqueo: El responsable del tratamiento debe establecer procedimientos para el bloqueo de datos, garantizando que los datos se bloqueen de forma segura y solo se conserven por el tiempo necesario.
b. Registro y Auditoría
- Documentación: Es recomendable mantener un registro del bloqueo de datos, incluyendo el motivo del bloqueo y la duración estimada, para asegurar el cumplimiento y facilitar auditorías por parte de la AEPD u otras autoridades competentes.
5. Consecuencias del Incumplimiento
a. Sanciones
- Multas y sanciones: El incumplimiento de las obligaciones relacionadas con el bloqueo de datos puede llevar a sanciones administrativas por parte de la AEPD, que pueden incluir multas significativas dependiendo de la gravedad del incumplimiento.
b. Responsabilidad Legal
- Responsabilidad ante reclamaciones: El responsable del tratamiento puede enfrentar reclamaciones por daños y perjuicios si el incumplimiento del bloqueo de datos resulta en un daño para los interesados.
6. Ejemplo Práctico
- Ejemplo: Una empresa que ha finalizado la relación contractual con un cliente ya no necesita sus datos para fines comerciales. Sin embargo, debe bloquear estos datos para cumplir con las obligaciones fiscales durante un período de 5 años. Durante este tiempo, los datos permanecen bloqueados y solo pueden ser accedidos en caso de una inspección fiscal.