La sentencia del Tribunal de Justicia de la UE en la que obliga a Google a «ocultar información» es muy relevante ya que analiza desde la perspectiva de la normativa de protección de datos una de las principales actividades que se realiza en Internet, la indexación de información y la búsqueda. Creo que no es una buena sentencia para las libertades en Internet, limita el acceso a la información uno de los grandes logros de la década pasada.
ORIGEN DEL CASO
El 5 de marzo de 2010, el Sr. Costeja Gonza?lez, de nacionalidad espan?ola, presento? ante la Agencia Española de Protección de Datos (en adelante, «AEPD») una reclamacio?n contra el periódico La Vanguardia y contra Google Spain y Google Inc. La reclamacio?n explicaba que, cuando un internauta introduci?a el nombre del Sr. Costeja Gonza?lez en el buscador Google, obteni?a como resultado vi?nculos hacia dos pa?ginas de La Vanguardia, del 19 de enero y del 9 de marzo de 1998, respectivamente, en las que figuraba un anuncio de una subasta de inmuebles relacionada con un embargo por deudas a la Seguridad Social, que mencionaba el nombre del Sr. Costeja Gonza?lez.
El Sr. Costeja Gonza?lez solicitaba, por un lado, pedía a La Vanguardia eliminar o modificar la publicacio?n para que no apareciesen sus datos personales, o utilizar las herramientas facilitadas por los motores de bu?squeda para proteger estos datos (mediante meta datos en el archivo robot.txt o etiquetas «no index» o «no follow» en el código de la página web que indicaran que no se indexara dicha página). Por otro lado, solicitaba que se exigiese a Google Spain o a Google Inc. que eliminaran u ocultaran sus datos personales para que dejaran de incluirse en sus resultados de bu?squeda y dejaran de estar ligados a los enlaces de La Vanguardia. El Sr. Costeja Gonza?lez afirmaba que el embargo al que se vio sometido en su di?a estaba totalmente solucionado y resuelto desde hace an?os y careci?a de relevancia actualmente.
El 30 de julio de 2010, la AEPD desestimo? la reclamacio?n en la medida en que se referi?a a La Vanguardia, al considerar que la publicacio?n que e?sta habi?a llevado a cabo estaba legalmente justificada, dado que habi?a tenido lugar por orden del Ministerio de Trabajo y Asuntos Sociales y teni?a por objeto dar la ma?xima publicidad a la subasta para conseguir la mayor concurrencia de licitadores.
En cambio, se estimo? la misma reclamacio?n en la medida en que se dirigi?a contra Google Spain y Google Inc. La AEPD considero? que quienes gestionan motores de bu?squeda esta?n sometidos a la normativa en materia de proteccio?n de datos, dado que llevan a cabo un tratamiento de datos del que son responsables y actu?an como intermediarios de la sociedad de la informacio?n. La AEPD considero? que estaba facultada para ordenar la retirada e imposibilitar el acceso a determinados datos por parte de los gestores de motores de bu?squeda cuando considere que su localizacio?n y difusio?n puede lesionar el derecho fundamental a la proteccio?n de datos y a la dignidad de la persona entendida en un sentido amplio, lo que incluye la mera voluntad del particular afectado cuando quiere que tales datos no sean conocidos por terceros. La AEPD estimo? que este requerimiento puede dirigirse directamente a los motores de bu?squeda, sin suprimir los datos o la informacio?n de la pa?gina donde inicialmente esta? alojada e, incluso, cuando el mantenimiento de esta informacio?n en dicha pa?gina este? justificado por una norma legal.
Google Spain y Google Inc. interpusieron sendos recursos contra dicha resolucio?n ante la Audiencia Nacional, que decidio? acumularlos. La Audiencia Nacional planteó una cuestión ante el Tribunal de Justicia de la Unión Europea sobre la interpretacio?n de los arti?culos 2, letras b) y d), 4, apartado 1, letras a) y c), 12, letra b), y 14, pa?rrafo primero, letra a), de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la proteccio?n de las personas fi?sicas.
CONCEPTOS BÁSICOS
En primer lugar por sí no estas familiarizado con los conceptos básicos en materia de protección de datos estos son las definiciones más importantes:
Datos personales: toda informacio?n sobre una persona fi?sica identificada o identificable (el Interesado); se considerara? identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un nu?mero de identificacio?n o uno o varios elementos especi?ficos, caracteri?sticos de su identidad fi?sica, fisiolo?gica, psi?quica, econo?mica, cultural o social.
Tratamiento de datos personales: cualquier operacio?n o conjunto de operaciones, efectuadas o no mediante procedimientos automatizados, y aplicadas a datos personales, como la recogida, registro, organizacio?n, conservacio?n, elaboracio?n o modificacio?n, extraccio?n, consulta, utilizacio?n, comunicacio?n por transmisio?n, difusio?n o cualquier otra forma que facilite el acceso a los mismos, cotejo o interconexio?n, asi? como su bloqueo, supresio?n o destruccio?n,
Responsable del tratamiento: la persona fi?sica o juri?dica, autoridad pu?blica, servicio o cualquier otro organismo que so?lo o conjuntamente con otros determine los fines y los medios del tratamiento de datos personales; en caso de que los fines y los medios del tratamiento este?n determinados por disposiciones legislativas o reglamentarias nacionales o comunitarias, el responsable del tratamiento o los criterios especi?ficos para su nombramiento podra?n ser fijados por el Derecho nacional o comunitario.
GOOGLE REALIZA TRATAMIENTO DE DATOS AL INDEXAR INFORMACIÓN?
Según el Tribuna de Justicia de la UE si. Considera que al explorar Internet de manera automatizada, constante y sistema?tica en busca de la informacio?n que alli? se publica, el gestor de un motor de bu?squeda «recoge» tales datos que «extrae», «registra» y «organiza» posteriormente en el marco de sus programas de indexacio?n, «conserva» en sus servidores y, en su caso, «comunica» y «facilita el acceso» a sus usuarios en forma de listas de resultados de sus bu?squedas. Ya que estas operaciones esta?n recogidas de forma expli?cita e incondicional en el arti?culo 2, letra b), de la Directiva 95/46, deben calificarse de «tratamiento» en el sentido de dicha disposicio?n, sin que sea relevante que el gestor del motor de bu?squeda tambie?n realice las mismas operaciones con otros tipos de informacio?n y no distinga entre e?stos y los datos personales.
Considero acertado que se califique la actividad del indexación, copia y ordenación como tratamiento de datos. Claramente se obtiene información ordenada y es perfectamente consultable.
Anteriormente el TJUE ya ha tenido ocasio?n de declarar que la conducta que consiste en hacer referencia, en una pa?gina web, a datos personales debe considerarse un «tratamiento», en el sentido del arti?culo 2, letra b), de la Directiva 95/46 (ve?ase la sentencia Lindqvist, C?101/01, EU:C:2003:596, apartado 25).
GOOGLE ES RESPONSABLE DEL TRATAMIENTO?
El Tribunal de Justicia considera que sí. Para analizar este punto recordemos la definición de Responsable del tratamiento que es la persona fi?sica o juri?dica, autoridad pu?blica, servicio o cualquier otro organismo que so?lo o conjuntamente con otros determine los fines y los medios del tratamiento de datos personales. Con lo cual hemos de responder a las preguntas:
1) Google determina los fines, y
2) los medios de tratamiento?
Según el Tribunal de Justicia de la UE en la medida en que la actividad de un motor de bu?squeda puede afectar, significativamente y de modo adicional a la de los editores de sitios de Internet, a los derechos fundamentales de respeto de la vida privada y de proteccio?n de datos personales, el gestor de este motor, como persona que determina los fines y los medios de esta actividad, debe garantizar, en el marco de sus responsabilidades, de sus competencias y de sus posibilidades, que dicha actividad satisface las exigencias de la Directiva 95/46 para que las garanti?as establecidas en ella puedan tener pleno efecto y pueda llevarse a cabo una proteccio?n eficaz y completa de los interesados, en particular, de su derecho al respeto de la vida privada.
Desde mi punto de vista, la sentencia no explica o analiza cómo Google «determina los fines», si el Tribunal de Justicia sobreentiende que los fines son los del servicio de búsqueda sería una respuesta, pero a mi entender la búsqueda en si misma no es un fin, los fines son determinados por los usuarios del buscador que al realizar una búsqueda son ellos los que saben la finalidad de la misma.
En cuanto al segundo punto relativo a si Google determina «los medios» en parte considero que sí, ya que hace la indexación, pone a disposición del usuario sus bases de datos y organiza los resultados con sus servidores y algoritmos. Pero si hacemos un análisis más detallado sobre este punto, ¿no deberíamos también considerara como parte de los medios el terminal del usuarios que busca (ya sea un PC, portátil, tablet o mobil) o el navegador? Estos últimos medios los determina el usuario y no Google. Con lo cual podríamos considerar que en sentido estricto no cumple la definición de Responsable del Tratamiento.
ROBOT.TXT
Google siempre ha pretendido que son los editores de contenido, quienes publican en Internet, los que tienen la responsabilidad de indicar si los contenidos son o no indexables mediante el archivo robot.txt, ahora el Tribunal de Justicia indica que no es así.
El TJUE indica que los editores de sitios de Internet que tienen la facultad de indicar a los gestores de los motores de bu?squeda, con la ayuda, concretamente, de protocolos de exclusio?n como «robot.txt», o de co?digos como «noindex» o «noarchive», que desean que una informacio?n determinada, publicada en su sitio, sea excluida total o parcialmente de los i?ndices automa?ticos de los motores, no significa que la falta de tal indicacio?n por parte de estos editores libere al gestor de un motor de bu?squeda de su responsabilidad por el tratamiento de datos personales que lleva a cabo en el marco de la actividad de dicho motor.
GOOGLE ESPAÑA ES RESPONSABLE DEL BUSCADOR?
Google siempre ha dicho que el servicio de búsqueda es ofrecido por Google Inc., situado en Estados Unidos de América. Esta estrategia de Google significaba que para temas relacionados con el servicio de búsqueda la jurisdicción competente era la de USA.
Ahora el Tribunal de Justicia de la UE indica que existen diferentes elementos (dominio Google.es, oficinas físicas en España, ficheros notificados ante la Agencia Española de Protección de Datos,…) y sobretodo la actividad comercial de comercializar el servicio de publicidad (Adwords) que permiten considerar a Google España como establecimiento. El TJUE indica que el arti?culo 4, apartado 1, letra a), de la Directiva 95/46 no exige que el tratamiento de datos personales controvertido sea efectuado «por» el propio establecimiento en cuestio?n, sino que se realice «en el marco de las actividades» de e?ste.
El TJUE manifiesta que habida cuenta de establecer una protección efectiva del derecho a la privacidad e intimidad, el objetivo de la Directiva 95/46 y del tenor de su arti?culo 4, apartado 1, letra a), procede considerar que el tratamiento de datos personales realizado en orden al funcionamiento de un motor de bu?squeda como Google Search, gestionado por una empresa que tiene su domicilio social en un Estado tercero es decir en USA, pero que dispone de un establecimiento en un Estado miembro (España), se efectu?a «en el marco de las actividades» de dicho establecimiento si e?ste esta? destinado a la promocio?n y venta en dicho Estado miembro de los espacios publicitarios del motor de bu?squeda, que sirven para rentabilizar el servicio propuesto por el motor.
QUÉ TIPO DE DATOS PUEDE INDEXAR GOOGLE?
En primer lugar hemos de clarificar que la actividad de indexación de información, que puede incluir datos personales, que realiza Google es legal en virtud del arti?culo 7 letra f). Esta disposicio?n permite el tratamiento de datos personales cuando es necesario para la satisfaccio?n del intere?s legi?timo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, siempre que no prevalezca el intere?s o los derechos y libertades fundamentales del interesado, en particular, su derecho al respeto de su vida privada, en lo que respecta al tratamiento de datos personales, que requieran proteccio?n con arreglo al apartado 1 del arti?culo 1 de la Directiva. De este modo, la aplicacio?n del mencionado arti?culo 7, letra f), precisa de una ponderacio?n de los derechos e intereses en liza de que se trate, en cuyo marco debe tenerse en cuenta la importancia de los derechos del interesado, que resulta de los arti?culos 7 y 8 de la Carta.
QUÉ TIPO DE DATOS PUEDES PEDIR A GOOGLE QUE ELIMINE?
El Tribunal de Justicia de la UE indica que se reconocera?n al interesado el derecho a oponerse (que no se traten sus datos), al menos en los casos contemplados en las letras e) y f) del arti?culo 7 de la Directiva 95/46, en cualquier momento y por razones legi?timas propias de su situacio?n particular, a que los datos que le conciernan sean objeto de tratamiento, salvo cuando la legislacio?n nacional disponga otra cosa. La ponderacio?n que ha de efectuarse en el marco de dicho arti?culo 14, pa?rrafo primero, letra a), permite asi? tener en cuenta de modo ma?s especi?fico todas las circunstancias que rodean a la situacio?n concreta del interesado. En caso de oposicio?n justificada, el tratamiento que efectu?e el responsable no podra? referirse ya a esos datos.
El tratamiento de datos por parte del editor de una pa?gina web, que consiste en la publicacio?n de informacio?n relativa a una persona fi?sica, puede, en su caso, efectuarse «con fines exclusivamente periodi?sticos» y beneficiarse, de este modo, en virtud del arti?culo 9 de la Directiva 95/46, de las excepciones a los requisitos que e?sta establece, mientras que e?se no es el caso en el supuesto del tratamiento que lleva a cabo el gestor de un motor de bu?squeda. De este modo, no puede excluirse que el interesado pueda en determinadas circunstancias ejercer los derechos recogidos en los arti?culos 12, letra b), y 14, pa?rrafo primero, letra a), de la Directiva 95/46 contra el gestor, pero no contra el editor de dicha pa?gina web.
EFECTOS PRÁCTICOS
1. Para el ejercicio de derechos de acceso, rectificación, posición y cancelación relativo a resultados de búsqueda en Google, podrás dirigirte a Google España.
2. Se puede pedir a Google la eliminación de resultados de búsqueda en los que existan datos personales si hay una razón legítima.
3. Se puede pedir a Google que elimine resultados que cumplan con el punto 2 anterior si bien puede ser que dichos datos estén publicados en el marco de una información periodística y el medio de comunicación online tenga derecho a seguir publicándolos.
4. Se obliga a los buscadores a ocultar información. Se limita el acceso a la información a todos los usuarios. Entiendo que existirán servicios de acceso restringido que darán acceso a estos datos que se ocultarán en los buscadores generalistas.
———–
Martí Manent
Abogado
Derecho.com
@martimanent
Disculpa, debes iniciar sesión para escribir un comentario.