GOOGLE VS. DERECHO AL OLVIDO: PROCESAMIENTO DE DATOS PERSONALES POR EL FAMOSO MOTOR DE BÚSQUEDA, SEGÚN EL TJUE..

Conforme al artículo 17 apartado 1 del RGPD, los interesados podrán solicitar la eliminación de sus datos personales cuando los datos:

• Ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo.
• Hayan sido tratados ilícitamente.
• Deban suprimirse para el cumplimiento de una obligación legal.
• Se hayan obtenido en relación con la oferta de servicios de la sociedad de la información.

El derecho al olvido nace también cuando el interesado retire su consentimiento para el procesamiento de sus datos personales o cuando este se oponga efectivamente al tratamiento de los datos según lo previsto en el artículo 21 del RGPD.

Dado el hecho de que el RGPD tiene por objetivo ponderar los intereses de los individuales, en particular su derecho de privacidad, con otros derechos y libertades de carácter fundamental, el derecho al olvido queda sometido a algunas limitaciones. Por lo tanto, no se aplicará cuando el tratamiento sea necesario por alguna de las razones enunciadas en el apartado 3 del mismo artículo, entre otros, cuando el tratamiento sea necesario para ejercer el derecho a la libertad de expresión e información. Esta excepción es muy importante para la actividad de los gestores de motores de búsqueda y agregadores de noticias, así como de los medios de comunicación.

Antes de que el RGPD entrara en vigor, el derecho al olvido, aunque no contemplado en la legislación anterior (la Directiva 95/46/CE, en adelante: “la Directiva”), fue parcialmente reconocido por el Tribunal de Justicia de la Unión Europea (en adelante: “TJUE“) ya en el año 2014.

En la sentencia dictada el 13 de mayo de 2014 en el famoso caso Google Spain v. Agencia Española de Protección de Datos y Mario Costeja González (C-131/12), el TJUE decidió que los gestores de motores de búsqueda deberían ser considerados como responsables del tratamiento con respecto a los datos personales incluidos en las informaciones publicadas en páginas web de los terceros –en este caso, un periódico- que aparecen en los resultados de búsqueda (pár. 41). En este sentido, el TJUE ha diferenciado las actividades realizadas por los gestores de motores de búsqueda de las que llevan a cabo los administradores de las páginas web.

En aquel momento Google intentaba cuestionar su rol, alegando que no mantenía control sobre dichos datos y que los únicos responsables del tratamiento deberían ser quienes publicaban contenidos en las páginas web. No obstante, según el TJUE, puesto que Google acumula, indexa, almacena y finalmente pone a disposición, de una manera organizada, las informaciones disponibles en las páginas web de terceros, es irrelevante que no sea Google quien las publica por la primera vez o que el gestor del motor de búsqueda no introduzca modificaciones en su contenido. Asimismo, Google debería ser considerado como responsable del tratamiento, independientemente de los administradores de las páginas web, aunque ni siquiera sea capaz de diferenciar los datos personales (relativos a personas físicas) de otros tipos de informaciones que procesa (párs. 28-29).

Tal conclusión y el impacto de Google en difundir informaciones a nivel global llevó al TJUE a decidir que, en su caso, un individuo ejerciendo sus derechos establecidos en la Directiva debería poder solicitar que Google elimine de su lista de resultados los vínculos a páginas web publicadas por terceros que contengan información relativa a esta persona. El interesado preservará su derecho aunque dicha información siga disponible en las respectivas páginas web y, en su caso, aunque la publicación en dichas páginas sea en sí misma lícita. En este sentido, el TJUE consideró que, en algunas ocasiones, aunque no haya razones para que el administrador de la página web suprima información personal acerca de un individuo, su difusión global a través de Google podría afectar su privacidad excesivamente y, en consecuencia, perjudicarle (párs. 80, 86 y 88).

Google podrá rechazar la solicitud recibida y mantener los resultados de búsqueda cuando el papel del interesado en la vida pública y el interés público en acceso a la información sobre esta persona justifiquen la injerencia en sus derechos fundamentales (que en práctica pasa, por ejemplo, en caso de políticos, personas ejerciendo profesiones de proyección pública o individuos involucrados en actividades criminales). Al mismo tiempo, el TJUE declaró que el interés económico de Google no podrá impedir que las informaciones sean retiradas (pár. 97). 

Google intentaba convencer también al TJUE de que como era Google Inc. – la compañía estadounidense – quien controlaba el motor de búsqueda, la Directiva no debería aplicarse a sus actividades. De acuerdo con el artículo 4, apartado 1, letra a) de la Directiva, su ámbito de aplicación abarcaba “tratamientos de datos personales en el marco de las actividades de un establecimiento del responsable de dicho tratamiento en territorio de un Estado miembro“. Puesto que Google Spain actuaba como el agente comercial de Google Inc. en el territorio español, siendo responsable por la promoción y venta de espacios publicitarios propuestos por el motor de búsqueda, el TJUE decidió que la Directiva debería aplicarse al procesamiento de datos personales en cuestión (pár. 60).  

Esta sentencia, que pretendió afrontar los nuevos retos para la privacidad en el entorno digital, ha clarificado varias cuestiones relativas a las operaciones realizadas por los motores de búsqueda y, al mismo tiempo, ha sentado las bases para el derecho de supresión de datos personales reconocido actualmente en el RGPD. Además, las directrices elaboradas por el órgano consultivo de la Comisión Europea (Grupo de Trabajo del artículo 29) en base de dicha sentencia, sirven de guía hasta el presente para analizar los casos relativos al derecho al olvido.

El 24 de septiembre de 2019, el TJUE analizó otra vez un asunto relacionado con el derecho al olvido en un caso en que una de las partes era Google. Esta vez se trataba de controversias que habían surgido en Francia (Google LLC v Commission nationale de l'informatique et des libertés, C-507/17). El supuesto era diferente, porque en este caso no cabía ninguna duda de que el individuo que había exigido que se suprimieran algunos enlaces de la lista de resultados de Google tenía derecho a que su solicitud fuera cumplida (pár. 40). La cuestión polémica era el alcance territorial de esta solicitud, es decir, si Google debía eliminar los vínculos de la versión francesa del buscador, de las versiones pertinentes a todos los Estados miembros o si la eliminación debería tener un carácter global, internacional.

Google sostenía que la eliminación debería incluir, como máximo, la totalidad de los Estados miembros. Cabe mencionar que durante el procedimiento Google introdujo un sistema de bloqueo geográfico, que consistía en eliminar la posibilidad de acceder desde una dirección IP (Internet Protocol) supuestamente localizada en el Estado de residencia del interesado a los resultados controvertidos obtenidos a raíz de una búsqueda efectuada a partir de su nombre, independientemente de la extensión del motor de búsqueda solicitada por el internauta. El objetivo de las medidas introducidas por Google era impedir que, por ejemplo, un ciudadano en territorio español acceda a la versión estadounidense de Google y así encuentre el contenido suprimido en el territorio de la UE. Tras intentar acceder a la página, el usuario debería estar automáticamente dirigido a la versión nacional correspondiente al país donde se haya efectuado la búsqueda, determinado por Google mediante un proceso de localización geográfica. No obstante, la autoridad supervisora francesa las consideró insuficiente. Exigía que Google aplicase la supresión con respecto a todas las extensiones de nombre de dominio de su motor de búsqueda y, como consecuencia de su incumplimiento, le impuso una multa de 100.000 €.

El TJUE confirmó que la retirada de enlaces de todas las versiones del motor de búsqueda garantizaría el nivel más elevado de protección del derecho a la privacidad. No obstante, consideró que el derecho a la protección de los datos personales no es un derecho absoluto y debe considerarse en relación con su función en la sociedad y mantener un equilibrio con otros derechos fundamentales. Además, muchos terceros países (no miembros de la UE) no contemplan el derecho al olvido, o lo han regulado en una manera diferente. Por lo tanto, teniendo en cuenta también el alcance territorial del RGPD, el TJUE decidió que Google no tenía la obligación de retirar los vínculos de las versiones extracomunitarias de su motor de búsqueda (aunque tenía derecho a hacerlo). A la vez, el TJUE confirmó que los datos debían ser suprimidos de las versiones pertinentes a todos los Estados miembros debido al objetivo del legislador europeo de establecer un nivel uniforme y elevado de protección en toda la UE (párs. 55, 60, 62-64, 72)

No obstante, matizó su conclusión diciendo que el interés del público en acceder a una información puede variar incluso de un Estado miembro a otro, entre otros debido a las regulaciones establecidas por los Estados miembros con respecto a los tratamientos realizados con fines periodísticos o con fines de expresión artística o literaria. En este aspecto, el TJUE subrayó el papel de las autoridades nacionales de control y su cooperación (párs. 67-68).

Finalmente, el TJUE decidió que el gestor del motor de búsqueda debía adoptar, en caso necesario, medidas que, respetando todas las exigencias legales, impidan o dificulten seriamente a los internautas de los Estados miembros el acceso a los enlaces mediante una búsqueda efectuada a partir del nombre del interesado (pár. 70). No obstante, el TJUE dejó que el órgano jurisdiccional remitente decidiera si las medidas adoptadas o propuestas por Google cumplen estos requisitos. Cabe mencionar que el enfoque adoptado por el TJUE ha provocado dudas, puesto que existen medidas técnicas, relativamente accesibles, que permiten eludir los bloqueos geográficos (Virtual Private Network).  

En base a las dos sentencias resumidas en este artículo, se puede llegar a la conclusión de que aunque los individuos de los Estados miembros de la UE dispongan de medidas legales, conseguir una eliminación completa de los datos personales que aparezcan en los resultados de búsqueda de Google no es un proceso fácil. Primero, porque puede requerir relativamente mucho esfuerzo y elevados recursos de la persona afectada en caso de que Google no quiera cumplir la solicitud de borrado. Segundo, porque a los resultados ya suprimidos podrán acceder las personas localizadas en cualquier país no miembro de la UE, lo que, teniendo en cuenta la globalización y circulación de información a nivel mundial, parece debilitar gravemente la eficacia de las soluciones en cuestión.