1/17 Expediente Nº: EXP202104512 RESOLUCIÓN Nº: R/00307/2022 Vista la reclamación formulada el 29 de septiembre de 2021 ante esta Agencia por A.A.A. contra GOOGLE LLC por no haber sido debidamente atendido su solicitud de ejercicio de los derechos establecidos en el RGPD. Realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) solicitó a GOOGLE LLC con NIF 770493581 (en adelante, la parte reclamada) la supresión de sus datos en relación con las URL que trascribe ***URL.1 ***URL.2 “Se solicita a Google que la desindexación se aplique no solo en el ámbito europeo sino también a las búsquedas realizadas en y desde Estados Unidos de América en la versión genérica del motor de búsqueda (google.com) así como cualquier otra versión regional europea. El Tribunal de Justicia de la Unión Europea, en su sentencia de 24 de septiembre de 2019 en el asunto C‐507/17 permite esta posibilidad. En este caso concreto Google ya realizó una ponderación respecto al contenido que se solicita ahora su desindexación, tanto en la petición con número de referencia [***REFERENCIA.1] como en la [***REFERENCIA.1]; esto es, Google ya ha considerado que debe prevalecer el derecho a la protección de datos del interesado. La limitación a 1000 caracteres de este formulario impide poder realizar una explicación en profundidad de las circunstancias personales concretas que deben ser aplicadas, limitando la posibilidad de defensa de mi representado.” El reclamante amplió su justificación en un nuevo correo electrónico remitido a la entidad “En relación a esta solicitud, y dado que no me ha sido posible incorporar en la misma toda la información que considero necesaria para poder valorar el caso por la limitación de 1000 caracteres en el formulario, amplio la información para indicar: Se solicita a Google que la desindexación se aplique no solo en el ámbito europeo sino también a las búsquedas realizadas en y desde Estados Unidos de América en la versión genérica del motor de búsqueda (google.com) así como cualquier otra versión regional europea. El Tribunal de Justicia de la Unión Europea, en su sentencia de 24 de septiembre de 2019 en el asunto C‐507/17 estableció que aunque el Derecho de la Unión no exige, en la situación actual, que, cuando se estime una retirada de enlaces, esta se realice C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/17 en todas las versiones del motor de búsqueda de que se trate, tampoco lo prohíbe. Por lo tanto, una autoridad de control o judicial de un Estado miembro sigue siendo competente para realizar, de conformidad con los estándares nacionales de protección de los derechos fundamentales, una ponderación entre, por un lado, los derechos del interesado al respeto de su vida privada y a la protección de los datos personales que le conciernan y, por otro lado, el derecho a la libertad de información y, al término de esta ponderación, exigir, en su caso, al gestor del motor de búsqueda que proceda a retirar los enlaces de todas las versiones de dicho motor. En este caso concreto Google ya realizó una ponderación respecto al contenido que se solicita ahora su desindexación, tanto en la petición con número de referencia [***REFERENCIA.1] como en la [***REFERENCIA.1]; esto es, Google ya ha considerado que debe prevalecer el derecho a la protección de datos del interesado frente a otros derechos que pudieran entrar en juego para el contenido de la URL indicada en esta solicitud. A mayor abundamiento, el editor de la página web donde se encuentra publicada la información ya activó una regla en el robots.txt para evitar que los buscadores puedan indexar la noticia original, por lo que existe una prohibición expresa del editor de que este contenido llegue a los buscadores de Internet. Lo que se pide por tanto es que Google extienda la protección conferida por este derecho a las búsquedas realizadas en Estados Unidos tanto en la versión genérica del motor de búsqueda (google.com) como de cualquier otra versión europea; esta medida, como ya ha establecido el TJUE, la soporta la regulación actual en materia de protección de datos. Y esta solicitud se hace tanto al amparo de lo previsto en el artículo 17 del Reglamento General de Protección de Datos como del artículo 21. Esta solicitud se hace en atención a las circunstancias personales del afectado: reside actualmente en Estados Unidos, ha terminado sus estudios (…), trabaja en la actualidad en ***UNIVERSIDAD.1 (***URL.3) y está en pleno desarrollo personal y familiar. Es por estas circunstancias personales por las que se solicita la extensión de este derecho en Estados Unidos. Se solicita también, en aplicación del artículo 18.1.d del Reglamento General de Protección de Datos, que mientras Google verifica si procede conceder lo solicitado, deje de tratar los datos personales del afectado respecto a los resultados de búsqueda indicados para las búsquedas realizadas desde Estados Unidos.” El reclamado contestó que “De acuerdo con su solicitud, Google está trabajando para retirar la siguiente URL de los resultados de búsqueda de Google correspondientes a consultas relacionadas con el nombre de su cliente en los países donde se aplica la legislación europea de protección de datos: ***URL.1 Asimismo, esta página se retirará de las consultas relacionadas con el nombre de los usuarios que se encuentren en su país. (…) En relación con la siguiente URL: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/17 ***URL.4 No hemos podido localizar su nombre en esta página. Hemos adoptado medidas manuales para evitar que las búsquedas del nombre de su cliente en las versiones europeas de los resultados de búsqueda de Google influyan en el posicionamiento de estas páginas. Asimismo, estas páginas se bloquearán para las consultas relacionadas con su nombre que realicen los usuarios que se encuentren en su país.” SEGUNDO: De conformidad con el artículo 65.4 de la LOPDGDD, que ha previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la AEPD, consistente en trasladarlas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, a los efectos previstos en el artículo 37 de la citada norma, o a éstos cuando no los hubieren designado, se dio traslado de la reclamación a la entidad reclamada para que procediese a su análisis y diera respuesta a la parte reclamante y a esta Agencia en el plazo de un mes. Google señaló que “(…) ya ha garantizado el “derecho al olvido” de A.A.A. con el alcance territorial establecido por la AEPD y la Audiencia Nacional.” Indica que lo que pide el reclamante es un bloqueo para búsquedas realizadas desde el territorio de los EEUU. “El propio interesado reconoce que los resultados de búsqueda objeto de su pretensión hace tiempo que fueron bloqueados por Google LLC. Ese bloqueo despliega sus efectos tanto para búsquedas hechas desde España como las efectuadas en otras versiones europeas del buscador. Esta forma de garantizar el “derecho al olvido” busca evitar a los interesados tener que formular múltiples solicitudes en los diferentes Estados miembros de la UE cuando en todos ellos rige de forma armonizada la normativa de protección de datos. Concretamente, cuando procede por aplicación del “derecho al olvido”, Google bloquea los resultados de búsqueda para evitar que aparezcan en la lista obtenida tras una búsqueda efectuada a partir del nombre de los interesados: (
- i)en las búsquedas realizadas en cualquier versión del buscador, cuando los sistemas de Google detecten que la búsqueda se realiza desde el país de la persona que solicitó la supresión (en este caso desde España). (
- ii)en cualquier búsqueda efectuada desde cualquier versión europea del buscador. Estas medidas de bloqueo son plenamente conformes con la interpretación del Tribunal de Justicia de la Unión Europea en la Sentencia de 13 de mayo de 2014 dictada en el asunto C-131/12 (la “Sentencia Costeja”) “(…) En la misma línea, se han pronunciado varios tribunales de la UE, entre ellos la Audiencia Nacional en sus Sentencias de 31 de octubre de 2017, (Rec. núm. 190/2016) y de 26 de enero de 2018 (Rec. núm. 191/2016): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/17 “Parece lógica tal limitación, pues de admitirse lo contrario, ello conllevaría una clara injerencia en las soberanías de otros Estados no integrados en la Unión, vulnerando un principio fundamental en el derecho internacional. Debe recordarse que la integración en una organización como la Unión Europea, conlleva para los Estados miembros una dejación de parte de su soberanía nacional a favor de una organización supranacional, pero ello no puede extenderse a otros países ajenos no firmantes del Convenio Europeo. Así lo ha declarado la Unión, y así se contiene en numerosos documentos, entre otros el propio Preámbulo de la Carta de Derechos Fundamentales de la Unión Europea, en la que se hace expresa referencia al “respeto de la diversidad de culturas y tradiciones de los pueblos de Europa, así como de la identidad nacional de los Estados miembros”. Este modelo de cumplimiento permite garantizar plena y eficazmente el “derecho al olvido” en los términos en que fue reconocido por el Tribunal de Justicia de la Unión Europea, sin incurrir en una extralimitación territorial que suponga una restricción injustificada de las libertades públicas en estados terceros, al tiempo que se evitan injerencias en la soberanía y jurisdicción de terceros estados.” “(…) Es más, debemos señalar que, con independencia de que no nos consta que A.A.A. haya promovido ninguna acción en EEUU, país donde dice residir, cualquier orden de bloqueo que pudiera dictar la AEPD con intención de desplegar efectos en el territorio de EEUU sería manifiestamente contraria a la Sección 230 de la Communications Decency Act (47 U.S.C. § 230)2 y, por ello, no podría ser reconocida ni ejecutada en aquel territorio.” “En el asunto C-507/17, el TJUE ha confirmado que no puede exigirse al gestor de un motor de búsqueda que proceda a la retirada de enlaces en todas las versiones de su motor de búsqueda.” “Contra lo que arguye el interesado en su reclamación, la Sentencia del Tribunal de Justicia de la Unión Europea (TJUE) (Gran Sala), de 24 de septiembre de 2019, dictada en el Asunto C-507/17 no establece que el Derecho de la Unión contemple que las autoridades de protección de datos nacionales puedan ordenar al gestor de un motor de búsqueda a adoptar medidas con efectos fuera del territorio de la Unión Europea. A lo sumo, dicha Sentencia del TJUE dice que “no lo prohíbe”, pero lo cierto es que la Sentencia llega a la conclusión inequívoca de que “no puede exigirse al gestor de un motor de búsqueda [...] que proceda a la retirada de enlaces en todas las versiones de su motor”. “A la vista de esos apartados, es clara la conclusión del TJUE de que ni el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (“RGPD”), ni ninguna otra disposición del Derecho de la Unión, se pronuncia acerca de la adopción de medidas de bloqueo con efectos extraterritoriales. El TJUE a lo sumo defiere esa cuestión al ordenamiento interno de cada Estado Miembro. Es un hecho incuestionable que el Derecho español excluye igualmente semejantes medidas en coherencia con principios básicos de derecho internacional público, como los de reciprocidad, soberanía y no injerencia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/17 Asimismo, por imperativo del principio de proporcionalidad –recogido el artículo 129 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas– una eventual orden de la AEPD, en la medida en que supondría restringir libertades fundamentales debe regirse por rigurosos criterios de idoneidad, necesidad y proporcionalidad. En particular, no cabe ordenar medidas con un alcance territorial ilimitado cuando los derechos del interesado ya han sido debidamente garantizados dentro del ámbito de competencia territorial de la AEPD.” TERCERO: El resultado del trámite de traslado indicado en el Hecho anterior no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 29 de diciembre de 2021, a los efectos previstos en su artículo 64.2 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada y se informó a las partes que el plazo máximo para resolver el presente procedimiento, que se entiende iniciado mediante dicho acuerdo de admisión a trámite, será de seis meses. El mencionado acuerdo concedió a la entidad reclamada trámite de audiencia, para que en el plazo de quince días hábiles presentase lo que estimara convenientes. Dicha entidad señaló que “Google LLC ya ha garantizado el “derecho al olvido” de A.A.A. con el alcance territorial establecido por la AEPD y la Audiencia Nacional.” “El propio interesado reconoce que los resultados de búsqueda objeto de su pretensión hace tiempo que fueron bloqueados por Google LLC. Ese bloqueo despliega sus efectos tanto para búsquedas hechas desde España como las efectuadas en otras versiones europeas del buscador.” Reitera que “En el asunto C-507/17, el TJUE ha confirmado que no puede exigirse al gestor de un motor de búsqueda que proceda a la retirada de enlaces en todas las versiones de su motor de búsqueda.” “(…) Asimismo, por imperativo del principio de proporcionalidad –recogido el artículo 129 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas– una eventual orden de la AEPD, en la medida en que supondría restringir libertades fundamentales debe regirse por rigurosos criterios de idoneidad, necesidad y proporcionalidad. En particular, no cabe ordenar medidas con un alcance territorial ilimitado cuando los derechos del interesado ya han sido debidamente garantizados dentro del ámbito de competencia territorial de la AEPD.” Asimismo, indica que “(…) La imposición de medidas de bloqueo de alcance extraterritorial vulnera, entre otros principios del derecho internacional, el principio de proporcionalidad y compromete gravemente la defensa de las libertades públicas en los distintos territorios.” “La interpretación de la Sentencia del TJUE (Gran Sala), de 24 de septiembre de 2019, dictada en el Asunto C-507/17 realizada de contrario sería, de ese modo, incompatible con los principios de soberanía y no injerencia que rigen en el derecho internacional público. En efecto, el preámbulo de la Carta de los Derechos Fundamentales de la Unión Europea establece que “La Unión contribuye a la preservación y al fomento de estos valores comunes dentro del respeto de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/17 diversidad de culturas y tradiciones de los pueblos de Europa, así como de la identidad nacional de los Estados miembros”. Por su parte, el artículo 2 de la Carta de las Naciones Unidas establece que “[...] la Organización y sus Miembros procederán de acuerdo con [...] el principio de la igualdad soberana de todos sus Miembros [...]”. Los principios de soberanía nacional y no injerencia exigen el respeto por la forma en que cada estado soberano regula y pondera los diferentes valores y normas constitucionales, en este caso la libertad de expresión y la protección de datos, todo ello de acuerdo con su propia cultura y tradición política y jurídica. De todo ello se desprende que un Estado no puede imponer los efectos de su propia legislación en el territorio de un tercer Estado sin su consentimiento. Por ese motivo, la Unión Europea adoptó el Reglamento (CE) nº 2271/96 del Consejo de 22 de noviembre de 1996 relativo a la protección contra los efectos de la aplicación extraterritorial de la legislación adoptada por un tercer país. Este reglamento manifiesta que algunos aspectos de las leyes estadounidenses que imponen sanciones internacionales no pueden ser aplicados en Europa porque “la aplicación extraterritorial de estas leyes, reglamentaciones y otros instrumentos legislativos vulnera el Derecho internacional” 5 (Considerando 4).” CUARTO: Examinadas las manifestaciones presentadas por la reclamada, son objeto de traslado a la parte reclamante, para que, en el plazo de quince días hábiles formule las que considere oportunas. “(…) aun en el caso de que encontrarnos ante una aplicación extraterritorial de la normativa de protección de datos (que no es el caso como se expondrá más adelante), a Google LCC no le sería ajeno aplicar normas nacionales con impacto fuera del territorio de dicha norma nacional. Así ocurre por ejemplo con las solicitudes basadas en la norma de Estados Unidos Digital Millennium Copyright Act (DMCA). Al amparo de esta normativa el motor de búsqueda Google retira contenidos a nivel mundial, sin importar lo que otras jurisdicciones pueden opinar al respecto y sin Página 2 de 4 considerar Google LLC que está medida vulnere el principio del derecho internacional de proporcionalidad o que comprometa gravemente la defensa de las libertades públicas en los distintos territorios donde extiende su aplicación.” Reitera que “(…) el Tribunal de Justicia de la Unión Europea, en su sentencia de 24 de septiembre de 2019 en el asunto C507/17 estableció que aunque el Derecho de la Unión no exige, en la situación actual, que, cuando se estime una retirada de enlaces, esta se realice obligatoriamente en todas las versiones del motor de búsqueda de que se trate, tampoco lo prohíbe, por lo que normativamente no existe impedimento alguno a evitar que los datos personales de un ciudadano europeo sean tratados en Estados Unidos para ofrecer un concreto resultado.” “(…) Se traen en este punto las consideraciones que el TJUE realizó en la sentencia de 13 de mayo de 2014 en lo que respecta al funcionamiento de un motor de búsqueda en Internet, y en concreto a la parte de conclusiones por la que se declara que la actividad de un motor de búsqueda es un tratamiento de datos personales a efectos de la normativa de protección de datos, al almacenar dichos datos personales y ponerla a disposición de los internautas según un orden de preferencia determinado, siendo el gestor del motor de búsqueda el responsable del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/17 Estas consideraciones, traídas al caso concreto que aquí nos atañe, implica que Google LLC estaría tratando los datos personales de A.A.A. en sus servidores de Estados Unidos para ofrecer determinados resultados según un orden de preferencia determinado por el propio motor de búsqueda. El derecho de supresión solicitado tiene como finalidad evitar que los datos de A.A.A. sean tratados en Estados Unidos, un país considerado como no seguro en lo que respecta al tratamiento de datos, para lo cual, Google LLC estaría realizando una transferencia de datos desde Europa (dado que A.A.A. es ciudadano europeo) a Estados Unidos. En este contexto, no se trata de aplicar extraterritorialmente la normativa de protección de datos, sino precisamente de evitar que los datos personales de A.A.A. sean tratados por una empresa establecida en un país no seguro, es decir, proteger los datos personales de un ciudadano europeo para que no sean tratados en un lugar que no ofrece garantías en materia de protección de datos. El Considerando 14 del RGPD establece que a protección otorgada por dicho Reglamento debe aplicarse a las personas físicas, independientemente de su nacionalidad o de su lugar de residencia, en relación con el tratamiento de sus datos personales. El Considerando 101 manifiesta que en todo caso, las transferencias a terceros países y organizaciones internacionales solo pueden llevarse a cabo de plena conformidad con el presente Reglamento. Una transferencia solo podría tener lugar si, a reserva de las demás disposiciones del presente Reglamento, el responsable o encargado cumple las disposiciones del presente Reglamento relativas a la transferencia de datos personales a terceros países u organizaciones internacionales. Por su parte, el Considerando 107 indica que la Comisión puede reconocer que un tercer país, un territorio o sector específico en un tercer país, o una organización internacional ya no garantiza un nivel de protección de datos adecuado. En consecuencia, debe prohibirse la transferencia de datos personales a dicho tercer país u organización internacional, salvo que se cumplan los requisitos de este Reglamento relativos a las transferencias basadas en garantías adecuadas, requisitos que no constan se estén cumpliendo ni se ha aportado por parte de Google LLC documentación alguna en este sentido En consecuencia, la finalidad perseguida en este procedimiento, en aplicación de la normativa de protección de datos en general, y en concreto a través del derecho de supresión en particular, es que se supriman los datos de A.A.A. de las bases de datos del motor de búsqueda Google para evitar que sean asociados con determinados resultados de búsqueda, al considerarse no solo las alegaciones dadas en el escrito de reclamación sino también el hecho de que sus datos estarían siendo tratados en un país que no ofrece garantías adecuadas en lo que respecta al tratamiento de sus datos.” QUINTO: Otorgada audiencia al responsable, éste reitera en síntesis lo ya manifestado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/17 Añade que “(…) cuando procede por aplicación del “derecho al olvido”, Google bloquea los resultados de búsqueda para evitar que aparezcan en la lista obtenida tras una búsqueda efectuada a partir del nombre de los interesados: (
- i)en las búsquedas realizadas en cualquier versión del buscador, cuando los sistemas de Google detecten que la búsqueda se realiza desde el país de la persona que solicitó la supresión (en este caso desde España); y (
- ii)en cualquier búsqueda efectuada desde cualquier versión europea del buscador.” Indica que estas medidas de bloqueo son plenamente conformes con la interpretación sostenida por la AEPD en varias resoluciones dictadas. “En particular, en la Resolución de 2 de diciembre de 2015 dictada en el procedimiento E/02887/2015, la AEPD declaró: “En consecuencia, de conformidad con el criterio interpretativo del GT29 sobre la Sentencia del TJUE y teniendo en consideración la argumentación realizada por GOOGLE INC. (GOOGLE SPAIN, S.L.) ante la Inspección de la AEPD, las resoluciones dictadas en los procedimientos TD/00607/2014, TD/00940/2014 y TD/01558/2014 han de interpretarse en el sentido de que por GOOGLE INC. (GOOGLE SPAIN, S.L.) se habiliten los medios precisos para que, al buscar en España por el nombre de los reclamantes, no se obtengan en la página de resultados del buscador las direcciones web reclamadas, en ninguna de las versiones del buscador que resultan accesibles en territorio español.” “En la misma línea se han pronunciado varios tribunales de la UE, entre ellos la Audiencia Nacional en sus Sentencias de 31 de octubre de 2017, (Rec. núm. 190/2016) y de 26 de enero de 2018 (Rec. núm. 191/2016): “Parece lógica tal limitación, pues de admitirse lo contrario, ello conllevaría una clara injerencia en las soberanías de otros Estados no integrados en la Unión, vulnerando un principio fundamental en el derecho internacional. Debe recordarse que la integración en una organización como la Unión Europea, conlleva para los Estados miembros una dejación de parte de su soberanía nacional a favor de una organización supranacional, pero ello no puede extenderse a otros países ajenos no firmantes del Convenio Europeo. Así lo ha declarado la Unión, y así se contiene en numerosos documentos, entre otros el propio Preámbulo de la Carta de Derechos Fundamentales de la Unión Europea, en la que se hace expresa referencia al “respeto de la diversidad de culturas y tradiciones de los pueblos de Europa, así como de la identidad nacional de los Estados miembros.” Este modelo de cumplimiento permite garantizar plena y eficazmente el “derecho al olvido”, sin incurrir en una extralimitación territorial que suponga una restricción 2 injustificada de las libertades públicas en terceros estados, al tiempo que se evitan injerencias en su soberanía y jurisdicción.” Con todo, la Sentencia del TJUE (Gran Sala), de 24 de septiembre de 2019, dictada en el Asunto C-507/17 ha precisado que “no puede exigirse al gestor de un motor de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/17 búsqueda [...] que proceda a la retirada de enlaces en todas las versiones de su motor”. En efecto, de acuerdo con el TJUE: “59. Sin embargo, debe subrayarse que muchos terceros Estados no contemplan el derecho a la retirada de enlaces o lo abordan desde una perspectiva diferente. 60. Por otra parte, el derecho a la protección de los datos personales no constituye un derecho absoluto, sino que debe considerarse en relación con su función en la sociedad y mantener el equilibrio con otros derechos fundamentales, con arreglo al principio de proporcionalidad [véanse, en este sentido, la sentencia de 9 de noviembre de 2010, Volker und Markus Schecke y Eifert, C-92/09 y C-93/09, EU:C:2010:662, apartado 48, y el dictamen 1/15 (Acuerdo PNR UE-Canadá), de 26 de julio de 2017, EU:C:2017:592, apartado 136]. A esto cabe añadir que el equilibrio entre los derechos al respeto de la vida privada y a la protección de los datos personales, por un lado, y la libertad de información de los internautas, por otro lado, puede variar significativamente en las distintas partes del mundo. 61. Pues bien, aunque el legislador de la Unión ha instaurado, con el artículo 17, apartado 3, letra a), del Reglamento 2016/679, un equilibrio entre ese derecho y esa libertad en lo que respecta a la Unión [véase, en este sentido, la sentencia de fecha de hoy, GC y otros (Retirada de enlaces a datos sensibles), C-136/17, apartado 59], es preciso observar que, en cambio, en la situación actual, no ha establecido tal equilibrio en lo que respecta al alcance de la retirada de enlaces fuera de la Unión. 62. En particular, del tenor de los artículos 12, letra b), y 14, párrafo primero, letra a), de la Directiva 95/46 y del artículo 17 del Reglamento 2016/679 no se desprende en modo alguno que el legislador de la Unión haya optado, a fin de garantizar el cumplimiento del objetivo mencionado en el apartado 54 de la presente sentencia, por atribuir a los derechos consagrados en estas disposiciones un alcance que vaya más allá del territorio de los Estados miembros y que haya pretendido imponer a un gestor que, como Google, queda comprendido en el ámbito de aplicación de la Directiva o del Reglamento la obligación de retirar enlaces también de las versiones nacionales de su motor de búsqueda que no correspondan a los Estados miembros. 63. De hecho, aun cuando los artículos 56 y 60 a 66 del Reglamento 2016/679 proporcionan a las autoridades de control de los Estados miembros los instrumentos y mecanismos que les permiten, en su caso, cooperar para llegar a una decisión común basada en un equilibrio entre los derechos del interesado al respeto de su vida privada y a la protección de los datos personales que le conciernan y el interés del público de los distintos Estados miembros en tener acceso a la información, es preciso señalar que el Derecho de la Unión no prevé actualmente tales instrumentos y mecanismos de cooperación en lo que se refiere al alcance de la retirada de enlaces fuera de la Unión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/17 64. De ello resulta que, en la situación actual, el gestor de un motor de búsqueda que estime una solicitud de retirada de enlaces presentada por el interesado, en su caso a raíz de un requerimiento de una autoridad de control o judicial de un Estado miembro, no está obligado, con arreglo al Derecho de la Unión, a proceder a dicha retirada en todas las versiones de su motor. 65. A la luz del conjunto de consideraciones anteriores, no puede exigirse al gestor de un motor de búsqueda, en virtud de los artículos 12, letra
- b)y 14, párrafo primero, letra a), de la Directiva 95/46 y del artículo 17, apartado 1, del Reglamento 2016/479, que proceda a la retirada de enlaces en todas las versiones de su motor.” “(…) De acuerdo con el artículo 65.3 de la LOPDGDD, a la vista de las medidas adoptadas por Google LLC, entendemos que la reclamación de A.A.A. debería ser desestimada.” FUNDAMENTOS DE DERECHO PRIMERO: Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el apartado 2 del artículo 56 en relación con el apartado 1
- f)del artículo 57, ambos del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD); y en el artículo 47 de la LOPDGDD. SEGUNDO: De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Del mismo modo, el ordenamiento jurídico interno, en el artículo 65.4 la LOPDGDD, ha previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la Agencia Española de Protección de Datos, que consiste en dar traslado de las mismas a los delegados de protección de datos designados por los responsables o encargados del tratamiento, a los efectos previstos en el artículo 37 de la citada norma, o a éstos cuando no los hubieren designado, para que procedan al análisis de dichas reclamaciones y a darles respuesta en el plazo de un mes. De conformidad con esta normativa, con carácter previo a la admisión a trámite de la reclamación que da lugar al presente procedimiento, se dio traslado de la misma a la entidad responsable para que procediese a su análisis, diera respuesta a esta Agencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/17 en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida, en el supuesto de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD. El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 29 de diciembre de 2021, a los efectos previstos en su artículo 64.2 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada. Dicho acuerdo de admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “1. Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo siguiente. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. No se estima oportuna la depuración de responsabilidades administrativas en el marco de un procedimiento sancionador, cuyo carácter excepcional implica que se opte, siempre que sea posible, por la prevalencia de mecanismos alternativos que tengan amparo en la normativa vigente. Es competencia exclusiva de esta Agencia valorar si existen responsabilidades administrativas que deban ser depuradas en un procedimiento sancionador y, en consecuencia, la decisión sobre su apertura, no existiendo obligación de iniciar un procedimiento ante cualquier petición realizada por un tercero. Tal decisión ha de basarse en la existencia de elementos que justifiquen dicho inicio de la actividad sancionadora, circunstancias que no concurren en el presente caso, considerando que con el presente procedimiento quedan debidamente restauradas las garantías y derechos del reclamante. TERCERO: Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/17 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. CUARTO: El derecho al olvido se contempla en el artículo 17 del RGPD, así como en el artículo 93 de la LOPDGDD, sobre derecho al olvido en búsquedas de Internet, que determina, en su apartado 1, lo siguiente: “1. Toda persona tiene derecho a que los motores de búsqueda en Internet eliminen de las listas de resultados que se obtuvieran tras una búsqueda efectuada a partir de su nombre los enlaces publicados que contuvieran información relativa a esa persona cuando fuesen inadecuados, inexactos, no pertinentes, no actualizados o excesivos o hubieren devenido como tales por el transcurso del tiempo, teniendo en cuenta los fines para los que se recogieron o trataron, el tiempo transcurrido y la naturaleza e interés público de la información. Del mismo modo deberá procederse cuando las circunstancias personales que en su caso invocase el afectado evidenciasen la prevalencia de sus derechos sobre el mantenimiento de los enlaces por el servicio de búsqueda en Internet. Este derecho subsistirá aun cuando fuera lícita la conservación de la información publicada en el sitio web al que se dirigiera el enlace y no se procedieses por la misma a su borrado previo o simultaneo”. Como recoge la Sentencia del Tribunal Supremo de 11 de enero de 2019 “Este derecho fundamental al olvido no es un derecho ilimitado -sostiene la doctrina constitucional-, porque, aunque la Constitución no establece expresamente límites específicos, con base en el principio de unidad de la Constitución, resultan aplicables los límites derivados del respeto a otros derechos fundamentales, entre los que tiene especial relevancia la libertad de información que proclama el artículo 20 de la Constitución”. Por lo que se refiere a la naturaleza del buscador como responsable de tratamiento, cabe señalar que un buscador es una herramienta que facilita al usuario de internet el acceso a determinadas páginas web. Para ello, la herramienta accede a una lista de enlaces previamente indexados y ofrece al usuario una relación de direcciones web que remiten a páginas en las que figuran las palabras seleccionadas por el usuario. La Sentencia del Tribunal de la Unión Europea de 13 de mayo de 2014 declara lo siguiente: Apartado 28: (…) “al explorar Internet de manera automatizada, constante y sistemática en busca de la información que allí se publica, el gestor de un motor de búsqueda recoge tales datos que extrae, registra y organiza posteriormente en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/17 marco de sus programas de indexación, conserva en sus servidores y, en su caso, comunica y facilita el acceso a sus usuarios en forma de listas de resultados de sus búsquedas. Ya que estas operaciones están recogidas de forma explícita e incondicional en el artículo 2, letra b), de la Directiva 95/46, deben calificarse de tratamiento en el sentido de dicha disposición, sin que sea relevante que el gestor del motor de búsqueda también realice las mismas operaciones con otros tipos de información y no distinga entre estos y los datos personales”. Apartado 33: “Ahora bien, el gestor del motor de búsqueda es quien determina los fines y los medios de esta actividad y, así, del tratamiento de datos personales que efectúa el mismo en el marco de esta y, por consiguiente, debe considerarse responsable de dicho tratamiento en virtud del mencionado artículo 2, letra d”. Apartado 35: “Sobre este particular, procede poner de manifiesto que el tratamiento de datos personales llevado a cabo en el marco de la actividad de un motor de búsqueda se distingue del efectuado por los editores de sitios de Internet, que consiste en hacer figurar esos datos en una página en Internet, y se añade a él”. Consecuentemente, el Tribunal de Justicia considera que el gestor del motor de búsqueda es el responsable del tratamiento de los datos al determinar los fines y los medios de su actividad. En relación con la posibilidad de ejercer el derecho de supresión ante el buscador de Internet sin acudir al responsable del sitio web, El Tribunal de Justicia de la Unión Europea, en Sentencia de 13 de mayo de 2014, (asunto C-131/12), ha señalado: “(…) un tratamiento de datos (…) efectuado por el gestor de un motor de búsqueda, puede afectar significativamente a los derechos fundamentales de respeto de la vida privada y de protección de datos personales cuando la búsqueda realizada sirviéndose de ese motor de búsqueda se lleva a cabo a partir del nombre de una persona física, toda vez que dicho tratamiento permite a cualquier internauta obtener mediante la lista de resultados una visión estructurada de la información relativa a esta persona que puede hallarse en Internet, que afecta potencialmente a una multitud de aspectos de su vida privada, que, sin dicho motor, no se habrían interconectado o sólo podrían haberlo sido muy difícilmente y que le permite de este modo establecer un perfil más o menos detallado de la persona de que se trate. Además, el efecto de la injerencia en dichos derechos del interesado se multiplica debido al importante papel que desempeñan Internet y los motores de búsqueda en la sociedad moderna, que confieren a la información contenida en tal lista de resultados carácter ubicuo (véase, en este sentido, la sentencia eDate Advertising y otros, C-509/09 y C-161/10, EU:C2011:685, apartado 45)”. “El Tribunal de Justicia mantiene que, la supresión de vínculos de la lista de resultados a partir del nombre de la persona física afectada por la difusión de la noticia podría tener repercusión en el interés legítimo de los internautas interesados potencialmente en tener acceso a la información en cuestión, por lo que es necesario buscar un justo equilibrio entre este interés y el derecho fundamental de la persona afectada con arreglo a los artículos 7 y 8 de la Carta de Derechos Fundamentales de la Unión Europea”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/17 “(…) para respetar los derechos que establecen estas disposiciones, siempre que se cumplan realmente los requisitos establecidos en ellos, el gestor de un motor de búsqueda está obligado a eliminar de la lista de resultados obtenida tras una búsqueda efectuada a partir del nombre de una persona vínculos a páginas web, publicadas por terceros y que contienen información relativa a esta persona, también en el supuesto de que este nombre o esta información no se borren previa o simultáneamente de esta páginas web, y, en su caso, aunque la publicación en dichas páginas sea en sí misma lícita”. Consecuentemente, el tratamiento de datos de carácter personal que realiza el gestor de un motor de búsqueda permite que de un “nombre” se obtenga una lista de resultados que ofrezcan información sobre una persona que pueda afectar a su ámbito privado. Una vez que el interesado ha presentado su solicitud de supresión de sus datos personales ante el motor de búsqueda, deberá examinarla y proceder, en su caso, a la supresión de los enlaces concretos de la lista de resultados, sin que previa o simultáneamente se tenga que acudir al responsable del sitio web. Asimismo, de lo anterior se deduce igualmente que deberán ponderarse, en cada supuesto concreto, los derechos e intereses en conflicto a fin de determinar qué derecho resulta prevalente. A efectos de llevar a cabo la labor de ponderación, se ha de recordar la Sentencia del Tribunal Supremo, número 545/2015, de 15 de octubre de 2015, que señala que “el llamado "derecho al olvido digital", que es una concreción en este campo de los derechos derivados de los requisitos de calidad del tratamiento de datos personales, no ampara que cada uno construya un pasado a su medida, obligando a los editores de páginas web o a los gestores de los motores de búsqueda a eliminar el tratamiento de sus datos personales cuando se asocian a hechos que no se consideran positivos. Tampoco justifica que aquellos que se exponen a sí mismos públicamente puedan exigir que se construya un currículo a su gusto, controlando el discurso sobre sí mismos, eliminando de Internet las informaciones negativas, "posicionando" a su antojo los resultados de las búsquedas en Internet, de modo que los más favorables ocupen las primeras posiciones. De admitirse esta tesis, se perturbarían gravemente los mecanismos de información necesarios para que los ciudadanos adopten sus decisiones en la vida democrática de un país”. Igualmente resulta relevante la doctrina recogida en la sentencia de la Audiencia Nacional, de 21 de junio de 2019, que especifica, en su fundamento derecho quinto, lo siguiente, en relación con la información relacionada con la vida profesional del interesado: “(…) Doctrina general que asimismo se desarrolla en los apartados 81, 93 y 97 de la repetida Sentencia del TJUE - de 13 de mayo de 2014- al indicar que, no obstante aquella prevalencia, hay que buscar un justo equilibrio entre el interés legítimo de los internautas en tener acceso a la información en una búsqueda que verse sobre el nombre de una persona y los derechos fundamentales de la misma y puede resultar que, por razones concretas como el papel desempeñado por el mencionado interesado en la vida pública, la injerencia en sus derechos fundamentales está C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/17 justificada por el interés preponderante de dicho público en tener, a raíz de esta inclusión, acceso a la información de que se trate. En el caso de autos, entrando ya en la ponderación de los derechos e intereses en juego, debe tenerse en cuenta en primer lugar, que se refiere a la vida profesional del reclamante, empresario, y no a la vida personal, pues ello es muy relevante para modular la intensidad que ha de merecer la protección del derecho regulado en el art. 18.4 de la Constitución, como ha señalado esta Sala en las Sentencias de 11 de mayo de 2017 -recurso nº 30/2016-, y 6 de junio de 2017 -recurso nº 1.797/2015-”. En este sentido, conviene hacer referencia a las directrices del Grupo de Trabajo del 29 en materia de derecho al olvido (Guidelines on the implementation of the Court of Justice of the European Union Judgment on “Google Spain and inc v. AEPD and Mario Costeja” C-131/12), a cuyo tenor: “Hay una diferencia básica entre la vida privada de la persona y la vida pública o profesional. La disponibilidad de la información en los resultados de búsqueda deviene más aceptable cuanta menos información revele sobre la vida privada de una persona (…) es más probable que la información tenga relevancia si está relacionada con la vida profesional del interesado, pero dependerá de la naturaleza del trabajo del interesado y del interés legítimo del público en tener acceso a esa información a través de una búsqueda por su nombre (…)”. Cuando la información se refiere a personas privadas, el Tribunal Constitucional ha declarado que “incluso cuando la noticia por la materia a que se refiere concierne al interés público, no queda protegido por la libertad de información- en este caso libertad de expresión- todo su contenido, sino que cabe reputar desproporcionada la transmisión de aquellos hechos que, dentro de la noticia, afectan al honor o a la intimidad de la persona concernida y que se revelen como “manifiestamente innecesarios e irrelevantes para el interés público de la información” (SSTC 105/1990, de 6 de junio, FJ 8, y 121/2002, de 20 de mayo, FJ 5). Asimismo, a fin de valorar la relevancia pública del asunto, debe analizarse si la información publicada sigue siendo de interés general debido al tiempo transcurrido. Sobre esta cuestión ha declarado la Audiencia Nacional, en su sentencia de fecha 8 de noviembre de 2017, lo siguiente: “además, a diferencia del primer enlace, no ha transcurrido un tiempo excesivo entre la fecha en que se formula la solicitud de cancelación ante el buscador y la fecha de la publicación de la noticia. En efecto, desde la fecha en que se publicó la noticia (agosto de 2011) y la fecha en que ejercitó el derecho de cancelación (julio de 2015) ni siquiera han transcurrido cuatro años, sin que el hecho de que se trate de un archivo, dados los términos que concurren en el caso y como antes se ha expuesto, afecte a dicha conclusión”. A este respecto, la citada Sentencia del Tribunal de Justicia de la Unión Europea declara en su apartado 93 lo siguiente: “incluso un tratamiento inicialmente lícito de datos exactos puede devenir, con el tiempo, incompatible con dicha Directiva cuando estos datos ya no sean necesarios en relación con los fines para los que se recogieron o trataron. Este es el caso, en particular, cuando son inadecuados, no pertinentes o ya no pertinentes o son excesivos en relación con estos fines y el tiempo transcurrido”. QUINTO: El RGPD en el artículo 3, Ámbito territorial, establece que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/17 “1. El presente Reglamento se aplica al tratamiento de datos personales en el contexto de las actividades de un establecimiento del responsable o del encargado en la Unión, independientemente de que el tratamiento tenga lugar en la Unión o no. 2. El presente Reglamento se aplica al tratamiento de datos personales de interesados que residan en la Unión por parte de un responsable o encargado no establecido en la Unión, cuando las actividades de tratamiento estén relacionadas con:
- a)la oferta de bienes o servicios a dichos interesados en la Unión, independientemente de si a estos se les requiere su pago, o
- b)el control de su comportamiento, en la medida en que este tenga lugar en la Unión. 3. El presente Reglamento se aplica al tratamiento de datos personales por parte de un responsable que no esté establecido en la Unión sino en un lugar en que el Derecho de los Estados miembros sea de aplicación en virtud del Derecho internacional público.” SEXTO: En el presente caso, ha quedado acreditado que el reclamante ejercitó el derecho de supresión de sus datos ante el reclamado, “Se solicita a Google que la desindexación se aplique no solo en el ámbito europeo sino también a las búsquedas realizadas en y desde Estados Unidos de América en la versión genérica del motor de búsqueda (google.com) así como cualquier otra versión regional europea.” Google le contestó que estaban trabajando para retirar las URLs de los resultados de búsqueda de Google correspondientes a consultas relacionadas con el nombre de su cliente en los países donde se aplica la legislación europea de protección de datos. Durante la tramitación del presente procedimiento Google ha indicado, en síntesis, que la imposición de medidas de bloqueo de alcance extraterritorial vulnera, entre otros principios del derecho internacional, el principio de proporcionalidad y compromete gravemente la defensa de las libertades públicas en los distintos territorios. Indica que “La interpretación de la Sentencia del TJUE (Gran Sala), de 24 de septiembre de 2019, dictada en el Asunto C-507/17 realizada de contrario sería, de ese modo, incompatible con los principios de soberanía y no injerencia que rigen en el derecho internacional público. Informa que el bloqueo al que accedió Google despliega sus efectos tanto para las búsquedas realizadas en España, como para las búsquedas realizadas en otras versiones europeas del buscador. Estas medidas de bloqueo se realizan de conformidad con la Sentencia del Tribunal de Justicia de la UE de 13 de mayo de 2014. Según sentencia de la Audiencia Nacional, parece lógica dicha limitación porque de lo contrario se efectuaría una injerencia en la soberanía de otros Estados no integrados en la UE, vulnerándose un principio fundamental del derecho internacional. Del análisis de la documentación aportada durante el procedimiento no parece que la parte reclamante se encuentre en la Unión Europea. Para justificar su vinculación con la Unión su representante manifiesta que “terminó licenciándose en Derecho por la Universidad ***UNIVERSIDAD.2, aunque previamente se licenció también en Derecho en España, y actualmente trabaja en la (…).” Y aporta copia de una entrevista que le dedicó un medio de comunicación español. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/17 “Es indudable por tanto que A.A.A. despliega sus derechos de la personalidad tanto en España, donde tiene parte de su familia y amigos como en Estados Unidos, donde tiene un trabajo estable y donde se está desarrollando personal y profesionalmente”. En consecuencia, teniendo en cuenta lo dispuesto en el artículo 3.2.
- a)del RGPD, “(…)
- a)la oferta de bienes o servicios a dichos interesados en la Unión, independientemente de si a estos se les requiere su pago, o (…)” procede desestimar la reclamación planteada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR la reclamación formulada por A.A.A. contra GOOGLE LLC con NIF 770493581. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a GOOGLE LLC. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1035-150321 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es