Esta semana se han publicado dos sentencias sobre el Derecho al Olvido que pone a Google de nuevo en el punto de mira. Pero, ¿qué es el Derecho al Olvido y en qué punto estamos?
Hoy hablaré de la famosa sentencia de Google Spain y del Caso C-136/17 GC y otros contra CNIL, en el que se explican los motivos legales para el procesamiento de datos de categoría especial. FUNDAMENTAL para entender qué datos podemos pedir que se retiren de nosotros, y por qué.
El derecho a ser olvidado es esencialmente el concepto de que las personas tienen derecho a solicitar que se eliminen sus datos (recopilados por otros).
Pero, realmente, ¿cuáles son los derechos que aquí están en juego? Dos, que son
- El derecho a la privacidad y
- El derecho a la libertad de expresión
Y lo que las solicitudes de supresión demuestran es que equilibrar los intereses de privacidad y libertad de expresión SIEMPRE ES MUY COMPLICADO.
Hablemos primero de Derecho a la Privacidad, contemplado en el artículo 8 del Convenio Europeo de Derechos Humanos (CEDH), que prohíbe toda interferencias con el derecho a la privacidad. PERO, esta prohibición no es absoluta, pues el párrafo 2 del mismo artículo muestra que el derecho a la privacidad puede estar limitado por otros intereses, como la seguridad pública, o por los derechos de los demás, como LA LIBERTAD DE EXPRESIÓN.
El TEDH interpreta el derecho a la privacidad de manera amplia no define su ámbito porque quiere dar un enfoque dinámico. Aun brindando mucha protección al derecho a la Privacidad, no lo considera un derecho ABSOLUTO, sino interpretable según las circunstancias.
¿Qué ocurre con el Derecho a la Libertad de Expresión? Este derecho está contemplado en el artículo 10 CEDH. Y el CEDH también “le concede” limitaciones. Concretamente, en el 2º párrafo:
Por lo tanto, el derecho a la libertad de expresión puede estar limitado por «…la protección de la reputación o de los derechos ajenos, para impedir la divulgación de informaciones confidenciales…».
Ambos derechos tienen el mismo peso en la jurisprudencia del Tribunal Europeo de Derechos Humanos. Y, dependiendo de las circunstancias de cada caso, prevalece más un derecho que otro.
¿Qué más tenemos que tener en cuenta aquí para abordar el derecho al olvido? Por un lado, el artículo 8 de la Carta de los Fundamentales de la Unión Europea:
Y, por el otro, al RGPD, concretamente su artículo 17, que contempla el Derecho de supresión, o el Derecho al olvido.
Sigamos con el caso que supuso un antes y un después en el Derecho al Olvido, y así poder ver cómo Tribunal de Justicia de la Unión Europea aplicó los derechos a la privacidad, a la protección de datos y a la libertad de expresión.
Hablamos, concretamente, del caso “Google España”.
Un ciudadano español, Mario Costeja González, junto con la Agencia Nacional de Protección de Datos de España, demandó tanto a un periódico español como a Google, Inc. porque cuando un usuario de Internet buscó su nombre en el buscador, la lista de resultados mostraba enlaces a dos páginas del periódico La Vanguardia, de enero y marzo de 1998, conteniendo un anuncio de una subasta de bienes raíces organizada tras los procedimientos de embargo para la recuperación de las deudas de la seguridad social adeudadas por el Sr. Costeja González, y esa información que sugería que tenía problemas financieros no estaba actualizada.
La Audiencia Nacional pidió al Tribunal de Justicia de las Comunidades Europeas (TJCE) que aclarara si Google debería eliminar los datos del índice de su motor de búsqueda y el agregador de noticias, incluso cuando no fuera responsable de producir el contenido en sus resultados de búsqueda.
1. Si la normativa comunitaria y nacional en materia de protección de datos se puede aplicar en este caso o, si como sostiene la empresa Google Inc., los afectados deberían acudir a los tribunales de California (EEUU) donde está domiciliada la empresa matriz del grupo.
2. Si los buscadores, cuando indexan la información, están realizando un tratamiento de datos personales, si son responsables de ese tratamiento y deben atender por tanto a los derechos de cancelación y/o oposición del afectado de forma directa, aunque la información se mantenga en la fuente originaria por considerarse lícita.
3. Si la protección de datos incluye que el afectado se niegue a que una información referida a su persona se indexe y difunda, aun siendo lícita y exacta en su origen, pero que la considere negativa o perjudicial para su persona.
Por lo tanto, plantea 3 cuestiones IMPRESCINDIBLES:
1. Ámbito de aplicación territorial
2. Si Google es RESPONSABLE del Tratamiento de los Datos, o es sólo ENCARGADO.
3. Si se puede suprimir una información que afecta a la reputación de una persona, aun siendo lícita y exacta en su origen.
Google se defiende diciendo que son sólo ENCARGADOS del tratamiento porque no conocen los datos ni ejerce ningún derecho sobre los mismos.
Veamos qué dijo el Tribunal respecto a las preguntas planteadas.
La primera, se refiere al ámbito territorial.
Google Search presta servicios a nivel mundial a través de www.google.com. La versión española de Google Search se presta a través de www.google.es, dominio registrado desde 16 de septiembre de 2003.
Google Search, no sólo facilita el contenido alojados en las páginas web indexadas, sino que también aprovecha esta actividad para incluir publicidad asociada a los patrones de búsqueda.
Google utiliza una empresa filial, Google Spain, para vender publicidad que se generan en www.google.com.
Google Spain tiene personalidad jurídica propia y domicilio social en Madrid, creada en 2003. Google Spain dirige su actividad a empresas radicadas en España, actuando así como agente comercial del grupo Google, y tiene como objeto social promocionar y procurar la venta de publicidad y la comercialización de esta publicidad.
Pues aquí, la definición de “establecimiento” es crucial para saber si Google Spain trabaja para Google Inc. como establecimiento ubicado en España, o no.
TJCE falló a favor del ciudadano español (C-131/12) aludiendo que según el art. 4.1 a) de la Directiva de protección de datos 95/46 / CE, dicha Directiva se aplica a los operadores de motores de búsqueda si se cumple una o más de las siguientes tres condiciones:
1. Cuando la empresa proveedora del motor de búsqueda crea en un Estado miembro una oficina o filial destinada A LA PROMOCIÓN Y VENTA DE LOS ESPACIOS PUBLICITARIOS DEL MOTOR, que dirige su actividad a los habitantes de ese Estado.
2. Si la empresa matriz designa una empresa filial en un Estado miembro y es responsable de dos sistemas de llenado relacionados con los datos de los interesados de dicho Estado miembro, o
3. Si la sucursal / subsidiaria reenvía a la empresa matriz fuera de la UE cualquier solicitud y requisito de los interesados o de las autoridades encargadas de vigilar el derecho de protección de datos, incluso si estos reenvíos se realizan voluntariamente.
Se da la primera circunstancia, por lo que el ámbito de aplicación está resuelto, y se aplica la normativa comunitaria y nacional en materia de protección de datos.
Que se dé esta primera circunstancia responde la cuestión del tratamiento de los datos.
La sentencia estima que SÍ hay tratamiento de datos personales y que Google es RESPONSABLE de ese tratamiento.
Y, ¿qué ocurre con la tercera de las cuestiones planteadas?
Pues que el Tribunal afirmó el derecho de los interesados a solicitar a las empresas de motores de búsqueda que eliminen los enlaces que contenían información personal sobre los interesados, concretamente:
1) la eliminación de datos podría ser requerida bajo ciertas condiciones, por ejemplo, cuando la información es inexacta, inadecuada, irrelevante o excesiva para los fines del procesamiento de datos; y
2) que el derecho no era absoluto y debía equilibrarse con otros derechos apremiantes, como la libertad de expresión.
¿Por qué es tan importante la sentencia de Google Spain?
Porque determina que:
1. Google es RESPONSABLE del tratamiento de los datos
2. El Derecho de la Unión y de los Estados Miembros es aplicable
3. Tenemos derecho a que se eliminen los enlaces que contengan información personal sea inexacta, inadecuada, irrelevante o excesiva para los fines del procesamiento de datos.
Ahora, volvamos al 2019, concretamente al 24 de septiembre porque resulta que se resolvieron en Francia dos casos más sobre Derecho al olvido.
Hoy, voy a hablar del caso C-136/17 GC/CNIL. Donde se resuelven los motivos legales para el tratamiento de categorías especiales de datos personales.
¿Cuáles son los motivos de este juicio? La negativa de Google de retirar los enlaces en estos 4 casos en los que andaban en juego datos personales de categoría especial, super protegidos en el RGPD, que se describen aquí:
Google se negó a retirar estos enlaces y estos 4 demandantes presentaron denuncias frente al CNiL (autoridad de protección de datos francesa), y el CNiL archivó sus denuncias.
Los demandantes interpusieron recursos contra el CNiL, ante Conseil d’État, es el Tribunal Supremo de lo Contencioso-Administrativo francés, por su negativa a pedir a Google la retirada de estos enlaces.
Ante la dificultad de los casos el Conseil d’État decide suspender el procedimiento y plantear al Tribunal de Justicia las siguientes cuestiones:
- Google, como buscador, ¿debe tener en cuenta las excepciones del artículo 9.2 RGPD antes de mostrar resultados que contengan datos de categorías especiales?
- 2. Google, a la hora de tratar este tipo de datos, ¿debe aceptar sistemáticamente las solicitudes de retirada relativas a enlaces que lleven a páginas web que traten tales datos? Y ¿qué ocurre si se incurre en las excepciones a) consentimiento explícito, y e) datos que el interesado ha hecho públicos?
3. Y si la información relacionada con las investigaciones penales se enmarca en la definición de información relacionada con «delitos» y «condenas penales» en virtud del artículo 10 del RGPD, por lo que está sujeta a las restricciones de procesamiento impuestas por ella.
El Tribunal considera a Google RESPONSABLE del tratamiento de los datos, y que la prohibición y restricciones del RGPD se aplican a todos los tratamientos de las categorías especiales de datos.
Es más, en el RGPD no se contempla una excepción a favor del tratamiento de estos datos realizado por un motor de búsqueda (Google).
Por lo tanto, esa prohibición y las excepciones siguientes también se aplican a los motores de búsqueda.
Porque si esta excepción se aplicase a los motores de búsqueda, iría en contra de garantizar una mayor protección al tratamiento de estos datos sensibles, cometiéndose una injerencia grave en los derechos fundamentales al respeto de la vida privada y a la protección de los datos personales.
Además, el Tribunal añadió que el gestor de un motor de búsqueda es responsable de crear un enlace a webs publicadas por un tercero y mostrarlo en la lista de resultados a partir de la búsqueda del nombre de una persona física, porque afecta a los derechos fundamentales de privacidad y a la protección de los datos personales.
PERO Google no tiene que justificar ninguna de las excepciones que se aplicarían al tratamiento de datos personales de categoría especial en hipervínculos que se muestran como resultados de búsqueda antes de recibir una solicitud del interesado.
Y aquí, amigos, es cuando entra el juego el famoso Derecho al Olvido contemplado en el artículo 17 RGPD, y lo interesante es que el Tribunal describe de manera detallada cuándo tiene cabida la aplicación de este artículo.
El artículo 17.1 RGPD nos dice que el interesado tendrá derecho a obtener SIN DILACIÓN INDEBIDA del responsable del tratamiento (Google) la supresión de los datos personales […] cuando concurra alguna de las circunstancias enumeradas en esta disposición.
Pues parece que todo está claro, ¿verdad?. Pues no. Porque hay excepciones, y resulta que esas excepciones tienen cabida aquí.
Concretamente, el artículo 17.3 RGPD dice que la supresión de esos datos personales no se aplicará cuando el tratamiento de esos datos sea necesario para el ejercicio del Derecho a la Libertad de Información.
Esto pone de manifiesto que el derecho a la protección de datos personales NO ES UN DERECHO ABSOLUTO debe considerarse en relación con su función en la sociedad y mantener el equilibrio con otros derechos fundamentales, con arreglo al principio de proporcionalidad.
Entonces, ¿en base a qué un motor de búsqueda puede tratar datos de categoría especial?
El Tribunal considera que justificarse por:
1. Consentimiento explícito, artículo 9.2 a) RGPD.
2. El tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos, artículo 9.2.e) RGPD.
3. Cuando el procesamiento sea necesario por razones de interés público sustancial, sobre la base del Derecho de la Unión o de los Estados Miembros, que debe ser proporcional al objetivo perseguido, artículo 9.2 g) RGPD.
Respecto al consentimiento explícito, el Tribunal ve difícilmente concebible que el gestor de un motor de búsqueda solicite el consentimiento expreso de los interesados antes de tratar, a efectos de su actividad de enumeración de resultados, los datos personales que conciernen a aquellos.
PERO, el hecho mismo de que una persona solicite la retirada de enlaces significa que ya no consiente en el tratamiento que realiza el gestor del motor de búsqueda. Y esta es una de las circunstancias que justifican el “Derecho al Olvido”, concretamente, el artículo 17.1 b) RGPD.
Respecto a la excepción de que los datos confidenciales se hayan hecho públicos de manera manifiesta, está destinada a aplicarse «tanto al gestor del motor de búsqueda como al editor de la página web correspondiente», y siempre que se respeten los principios relativos al tratamiento del artículo 5 RGPD, el tratamiento de datos personales de categoría especial es «conforme».
Cuando Google reciba una solicitud de retirada, debe comprobar si se trata de una solicitud de exclusión de datos sensibles. En este caso, el motor de búsqueda debe determinar «teniendo en cuenta las razones de interés público esencial» del Artículo 9.2 g) RGPD si se incluye el enlace en cuestión en los resultados de búsqueda.
Y, en cuanto a la pregunta de si los datos personales sobre procedimientos penales en curso, ¿equivale a datos personales relativos a condenas e infracciones penales contemplado en el artículo 10 RGPD?
El Tribunal estableció que los datos sobre un procedimiento judicial incoado contra una persona física, como los que relatan la imputación de esta o su enjuiciamiento y la condena resultante, constituyen datos relativos a las “infracciones” y a las “condenas penales” del artículo 10 RGPD, con independencia de que, durante dicho procedimiento judicial, se haya probado o no efectivamente la comisión de la infracción que se imputó a esa persona.
Pero con matices, claro… y es que, el tratamiento de estos datos personales es lícito si la información en cuestión es divulgada al público por las autoridades públicas de conformidad con el Derecho nacional aplicable.
PERO el tratamiento deja de ser lícito cuando estos datos ya no sean necesarios en relación con los fines para los que se recogieron o trataron.
Este será el caso, en particular, cuando sean inadecuados, no pertinentes o ya no pertinentes o sean excesivos en relación con estos fines y el tiempo transcurrido. Los mismos motivos que aluden en la sentencia de Google Spain. (Sentencia de 13 de mayo de 2014, Google Spain y Google, C‑131/12, EU:C:2014:317, párrafo 93).
En el caso de una solicitud de retirada de enlaces que dirigen a páginas web en las que se publica información sobre un procedimiento judicial en materia penal incoado contra el interesado, el motor de búsqueda tendrá que evaluar «a la luz de todas las circunstancias del caso» si el interesado tiene derecho a que la información en cuestión ya no esté vinculada a su nombre mediante una lista de resultados que se muestran después de una búsqueda realizada fuera sobre la base de ese nombre.
Y en caso de que el motor de búsqueda decida que la inclusión del enlace controvertido es estrictamente necesaria para conciliar los derechos al respeto de la vida privada y a la protección de los datos del interesado con la libertad de información de los internautas, el motor de búsqueda está obligado a:
Esta sentencia es MUY IMPORTANTE en el debate del Derecho al olvido porque el TJUE determina de manera detallada el equilibrio entre el derecho a la privacidad y el derecho a la libertad de expresión, destacando el papel de la prensa en una sociedad democrática.
