E-04030-2015

1/6 Expediente Nº: E/04030/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos en virtud de una denuncia y teniendo como base los siguientes HECHOS PRIMERO: En fecha 26 de marzo de 2015 tiene entrada una denuncia en la que se hace referencia a un comunicado de prensa de esta Agencia, fechado el 28 de noviembre de 2014, acerca del documento aprobado por el Grupo de Autoridades europeas de protección de datos sobre “derecho al olvido”, en el que se analizan los pronunciamientos del TJUE y se dictan los criterios interpretativos comunes para su aplicación. En la denuncia se alude al posible incumplimiento legal por parte de tres buscadores de internet en relación con dos cuestiones abordadas en el comunicado de la AEPD: por un lado, la política de avisos a los usuarios sobre resultados incompletos y, por otro, la comunicación a terceros de los resultados que han sido desindexados por el buscador. En relación con el buscador Yahoo, al que se refieren las presentes actuaciones de inspección, la citada denuncia pone en duda que los procedimientos de la compañía responsable obedezcan estrictamente el criterio interpretativo expuesto. En concreto, hace referencia al aviso que figura en el sitio web del buscador: “Podemos incluir un aviso a los usuarios de nuestras páginas de resultados de búsqueda para informarles de que algunos resultados han sido bloqueados de conformidad con el Derecho de la UE. También podemos notificar a los operadores o los webmaster de sitios web afectados por la solicitud”. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Se ha comprobado que en la página de ayuda del buscador Yahoo se indica: “Yahoo Search te ayuda a encontrar lo que buscas en la Web. No es necesario ser usuario registrado de Yahoo para realizar búsquedas con Yahoo Search. Prácticas de recogida y uso de la información Bing Yahoo ha integrado su servicio de búsqueda con Microsoft. Como parte de esta integración, Yahoo comparte con Microsoft tu consulta, la dirección IP, información anónima de tu navegador web (como un identificador único para tu navegador web) y otros datos anónimos (tales como información demográfica, el género y la edad). Microsoft utiliza esta información, así como los resultados donde haces click, con la intención de mejorar sus productos, investigar y llevar a cabo análisis, para ofrecer resultados y publicidad de búsqueda más precisos y para ayudar a detectar las actividades fraudulentas en los resultados de búsqueda de patrocinadores y defenderse contra ellas. Yahoo adapta los resultados ofrecidos por el servicio de búsqueda Bing de Microsoft, con el fin de ofrecer a los usuarios una experiencia de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 búsqueda mejorada. Para obtener más información acerca de la recogida de datos y las prácticas de uso de Bing, por favor accede a la Política de privacidad de Bing. Búsquedas Cuando los visitantes llevan a cabo una búsqueda en un sitio que utiliza la Tecnología de Búsqueda de Yahoo (del inglés Yahoo Search Technology (YST), Yahoo recoge información de dicha búsqueda como si la misma hubiese sido realizada en Yahoo directamente. El Asistente de Búsqueda te ayuda a encontrar lo que buscas. Conforme escribes, el Asistente de Búsqueda ofrece de forma automática los términos de búsqueda y frases más comunes en tiempo real. Después de realizar la búsqueda, sugiere términos de búsqueda adicionales, así como nuevos asuntos que pueden tenerse en cuenta. El Asistente de Búsqueda basa las sugerencias en la suma agregada de búsquedas de todos los usuarios y no las basa en su historial personal de búsqueda. Es posible que algunos anuncios publicitarios que recibas estén personalizados atendiendo a las búsquedas que realizas en Yahoo. Yahoo Search utiliza algoritmos de reconocimiento de imágenes para identificar a personajes públicos, escenas, acciones u objetos a fin de facilitar la búsqueda de imágenes.” 2. Por la Inspección se ha verificado que en el formulario web habilitado por Yahoo accesible a través de https://es.ayuda.yahoo.com/kb/SLN24378.html (Solicitud para bloquear resultados de búsqueda en Yahoo Search: Recursos para Residentes Europeos) se indica: “El Tribunal de Justicia de la Unión Europea ha decidido que las personas residentes en Europa pueden solicitar que determiados resultados de búsqueda sean bloqueados en el caso de que contengan datos personales inadecuados, irrelevantes, o excesivos de acuerdo con los fines para los que se obtuvieron o procesaron, o cuando exista un motivo lo suficientemente fundamentado para proceder a dicho bloqueo. Los usuarios de Yahoo que residan en Europa pueden emplear este formulario para solicitar que un resultado de búsqueda sea bloqueado cuando se cumplan estos criterios. La decisión del Tribunal pone sobre la mesa debate complejo sobre el equilibrio entre el derecho de un individuo a su privacidad y el derecho de la ciudadanía a la información. Nuestros procesos de recopilación y revisión aún están poniéndose en marcha, y estamos analizando con atención la decisión para calcular el impacto que puede tener en nuestro negocio y en nuestros usuarios. Si crees que tienes derecho a pedir que cierta información sobre ti sea bloqueada, rellena el siguiente formulario. Si eres menor, pídele a tu padre o madre o a tu tutor legal que rellene este formulario en tu nombre.” Al pie del formulario se indica: “Puede que reenviemos tu solicitud y los datos que la acompañan a la Comisión Irlandesa de Protección de Datos o a Microsoft Corporation (nuestro socio en búsquedas) si lo creemos necesario o apropiado para procesar o evaluar esta solicitud. Puede que informemos al webmaster de que su contenido será bloqueado de los resultados de búsqueda debido a tu solicitud.” En la página de acceso al formulario se incluye la siguiente nota informativa: “El bloqueo de URLs de Yahoo Search en Europa, de conformidad con este proceso, no eliminará por completo la información de Internet, ni impedirá incluso que aparezca en otros resultados de búsqueda realizados sobre la base de consultas que no coincidan con tu nombre. Esta información todavía puede estar disponible, por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 ejemplo, en la página web donde se publicó originalmente, así como en otros motores de búsqueda. Recuerda también que este formulario se destina única y exclusivamente a solicitudes realizadas sobre la base de la decisión y las circunstancias mencionadas por la Corte. Si tu solicitud se basa en otros motivos, debes enviarlo a nuestro Equipo de Atención al cliente de Yahoo Search. Para ello, por favor vuelve a las Páginas de Ayuda de Yahoo para rellenar un nuevo formulario de solicitud de ayuda para Yahoo Search. Podemos incluir un aviso a los usuarios de nuestras páginas de resultados de búsqueda para informarles de que algunos resultados han sido bloqueados de conformidad con el Derecho de la UE. También podemos notificar a los operadores o los webmaster de sitios web afectados por la solicitud.” 3. En contestación a la solicitud de información de la Inspección de Datos dirigida al domicilio de YAHOO IBERIA, S.L., la compañía YAHOO! EMEA Ltd., con establecimiento en Irlanda, se ha dirigido a la Agencia para aclarar que es el responsable de los tratamientos relacionados con las actividades de Yahoo en la Unión Europea, operando y estando sujeta a la ley de protección de datos irlandesa, siendo tramitadas desde Dublín las solicitudes del derecho al olvido. En relación con el aviso “We may … notify the operators or webmasters of websites impacted by your request”, la compañía irlandesa ha declarado que, en línea con las recomendaciones del GT29, no informa de forma rutinaria a los operadores de sitios web de que estos han sido desenlazados. Sin embargo, la compañía se reserva el derecho a notificar a los operadores de sitios web, en casos apropiados, de que sus contenidos han sido o pueden ser eliminados. Según expone, este derecho está en consonancia con las recomendaciones del GT29, que reconoce la posibilidad de contactar con el operador en tales casos. YAHOO! EMEA Ltd. ha manifestado que hasta la fecha de su comunicación, 4 de agosto de 2015, no había tramitado ninguna solicitud que, desde su punto de vista, requiriese ser notificada al operador del sitio web correspondiente, no habiéndose practicado por tanto la notificación. La compañía irlandesa reitera que las notificaciones se harían en todo caso teniendo en consideración el criterio adoptado por el GT29. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II Como viene argumentando esta Agencia en diversos procedimientos de tutela de derechos, los buscadores de internet facilitan la accesibilidad y difusión de datos personales a cualquier internauta que realice una búsqueda basada en el nombre de una persona, constituyendo una injerencia en el derecho fundamental al respeto de la vida privada del afectado. De conformidad con la Sentencia del Tribunal de Justicia de la Unión Europea (TJUE) en su apartado 99: “Los artículos 12, letra b), y 14, párrafo primero, letra a), de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 Directiva 95/46 deben interpretarse en el sentido de que, al analizar los requisitos de aplicación de estas disposiciones, se tendrá que examinar, en particular, si el interesado tiene derecho a que la información en cuestión relativa a su persona ya no esté, en la situación actual, vinculada a su nombre por una lista de resultados obtenida tras una búsqueda efectuada a partir de su nombre, sin que la apreciación de la existencia de tal derecho presuponga que la inclusión de la información en cuestión en la lista de resultados cause un perjuicio al interesado. Puesto que éste puede, habida cuenta de los derechos que le reconocen los artículos 7 y 8 de la Carta, solicitar que la información de que se trate ya no se ponga a disposición del público en general mediante su inclusión en tal lista de resultados, estos derechos prevalecen, en principio, no sólo sobre el interés económico del gestor del motor de búsqueda, sino también sobre el interés de dicho público en acceder a la mencionada información en una búsqueda que verse sobre el nombre de esa persona. Sin embargo, tal no sería el caso si resultara, por razones concretas, como el papel desempeñado por el interesado en la vida pública, que la injerencia en sus derechos fundamentales está justificada por el interés preponderante de dicho público en tener, a raíz de esta inclusión, acceso a la información de que se trate.” La citada Sentencia también establece en su apartado 93 lo siguiente: “incluso un tratamiento inicialmente lícito de datos exactos puede devenir, con el tiempo, incompatible con dicha Directiva cuando estos datos ya no sean necesarios en relación con los fines para los que se recogieron o trataron. Este es el caso, en particular, cuando son inadecuados, no pertinentes o ya no pertinentes o son excesivos en relación con estos fines y el tiempo transcurrido.” III El TJUE sostiene que “Los artículos 12, letra
2. b)y 14, párrafo primero, letra a), de la Directiva 95/46 deben interpretarse en el sentido de que, para respetar los derechos que establecen estas disposiciones, siempre que se cumplan realmente los requisitos establecidos en ellos, el gestor de un motor de búsqueda está obligado a eliminar de la lista de resultados obtenida tras una búsqueda efectuada a partir del nombre de una persona vínculos a páginas web, publicadas por terceros y que contienen información relativa a esta persona”. Asimismo, el Tribunal establece que “el gestor de este motor(de búsqueda), como persona que determina los fines y los medios de esta actividad, debe garantizar, en el marco de sus responsabilidades, de sus competencias y de sus posibilidades, que dicha actividad satisface las exigencias de la Directiva 95/46 para que las garantías establecidas en ella puedan tener pleno efecto y pueda llevarse a cabo una protección eficaz y completa de los interesados, en particular, de su derecho al respeto de la vida privada.” Como señala el Grupo de Autoridades de protección de datos de la Unión Europea (GT29) en el documento “Guidelines on the implementation of the Court of Justice of the European Union Judgment on <<Google Spain and Inc. vs. Agencia Española de Protección de Datos (AEPD) and …>> C-131/12”, la Sentencia establece una obligación de resultado que afecta a la operación de tratamiento llevada a cabo por el motor de búsqueda. Las decisiones de bloqueo de resultados deben aplicarse de modo que se garantice una eficaz y completa protección de los derechos garantizados por la Directiva y que no se eluda fácilmente el Derecho de la Unión. Las cuestiones que han sido objeto de las presentes actuaciones de inspección fueron analizadas en el citado documento del GT29, en sus apartados 22 y 23. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 El documento expone que la práctica de algunos buscadores de informar a los usuarios de que la lista de resultados puede no estar completa como consecuencia de la aplicación del derecho europeo no encuentra fundamento en ninguna exigencia normativa. El GT29 ha manifestado que esta práctica sólo puede ser aceptable si la información se ofrece de tal manera que los usuarios no puedan deducir, en ningún caso, que una persona concreta ha solicitado la retirada de ciertos resultados asociados a su nombre. En el documento se expone que los avisos deberían utilizarse de forma consistente para evitar que los usuarios lleguen a conclusiones equivocadas y recomienda que este tipo de informaciones se proporcione a través de una declaración general que figure de forma permanente en las páginas del buscador. IV El documento del GT29 aborda asimismo la práctica desarrollada por algunos buscadores de comunicar a los responsables de las webs que ciertas páginas dejarán de ser accesibles en determinadas búsquedas realizadas por nombres de personas. En el documento se expone la crucial diferencia entre la base legal que sustenta el tratamiento por los buscadores y la que sustenta el tratamiento por los editores. El apartado
3. f)del artículo 7 legitima las operaciones de tratamiento necesarias para los fines del interés legítimo que persiguen el responsable o los terceros a los que se les comuniquen los datos, excepto cuando tal interés se vea superado por los derechos y libertades fundamentales del afectado. Así, el interés de los operadores de sitios web en recibir la comunicación resulta cuestionable por varias razones. Por una parte, la eliminación de un enlace en la página de resultados asociada al nombre de una persona tiene solo un limitado impacto. Por otra parte, los operadores no pueden hacer un uso efectivo de la comunicación recibida, al afectar a una operación de tratamiento llevada a cabo por el responsable, sobre el que no tienen control ni influencia. De hecho, los motores de búsqueda no reconocen que los editores tengan un derecho legal a que sus contenidos sean indexados y mostrados o a que se muestren en un determinado orden. El GT29 entiende por otra parte que, en cualquier caso, ese interés de los operadores debería ponderarse con los derechos, libertades e intereses de los afectados. En el documento se expone que las leyes de protección de la Unión Europea no obligan a los motores de búsqueda a comunicar a los operadores de sitios web que han sido desenlazados algunos resultados relacionados con los contenidos que publican. El GT29 dictamina que esa comunicación es, en muchos casos, un tratamiento de datos y, como tal, requiere una base legal adecuada para ser legítima, concluyendo que en el artículo 7 de la Directiva 95/46 no figura ninguna previsión para realizar esa comunicación de forma sistemática. No obstante, el GT29 estima que puede ser legítimo que los motores de búsqueda contacten con los editores antes de tomar cualquier decisión sobre una solicitud de desindexación, en casos particularmente difíciles, cuando sea necesario lograr una mejor comprensión sobre las circunstancias que concurren. En tales casos, los motores de búsqueda deberían tomar todas las medidas precisas para garantizar adecuadamente los derechos de los afectados. Teniendo en consideración el importante papel que desempeñan los motores de búsqueda en la difusión y accesibilidad de la información publicada en internet y las legítimas expectativas que los operadores de sitios web pueden tener sobre la indexación de información y sobre su presentación en respuesta a las consultas de los usuarios, el GT29 anima a los motores de búsqueda a publicar sus propios criterios de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 eliminación de resultados y unas estadísticas más detalladas. A partir de las actuaciones practicadas no se ha obtenido constancia de que el procedimiento implementado por YAHOO! EMEA Ltd. para atender las solicitudes de eliminación de resultados relacionadas con la citada STJUE contravenga el criterio interpretativo expuesto por las Autoridades de protección de datos de la Unión Europea respecto de las cuestiones planteadas en la denuncia. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a YAHOO IBERIA, S.L., establecimiento en España de YAHOO! EMEA Ltd., y al denunciante. como De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es