PS-00140-2020

1/137  Expediente Nº: PS/00140/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, el denunciante) con fechas 13 y 29 de septiembre de 2018 y 15 de octubre de 2018, interpuso sendas denuncias ante la Agencia Española de Protección de Datos. Las denuncias se dirigen contra GOOGLE LLC (en adelante, GOOGLE LLC, la entidad reclamada o la reclamada) por la comunicación de datos personales al “Proyecto Lumen” (en adelante, “Proyecto Lumen”, “Organización Lumen” o “Lumen”), al sitio web “lumendatabase.org”. Los motivos en que basa las denuncias son los siguientes: Denuncia de 13 de septiembre de 2018: “[…] Cualquier usuario de internet, puede encontrar en Google o en sus productos/herramientas (Google +, YouTube, Google Drive, Blogs de Blogspot, etc.), circunstancias como las siguientes: . Datos personales (que no sólo están en el buscador, sino en sus productos como los blogs de Google, Google +, etc.). . Difamación (publicándose, además, datos de carácter personal). . Contenidos ilícitos declarados en una orden judicial. . Infracción de marcas comerciales o de derechos de autor. . Problemas relacionados con las funciones Autocompletar o Búsqueda relacionada. . Otras incidencias legales. […] Google ha puesto a disposición de los afectados canales de comunicación específicos (on line, y distribuidos por distintas materias), para que los mismos puedan trasladar a Google reclamaciones (identificando el sitio o URL conflictiva, su nombre y apellidos, email, documento identificativo, etc.), y pueda tomarse una decisión al respecto. Los llamados “formularios de contacto” son los siguientes: https://support.google.com/legal/contact/lr_dmca?product=news&uraw=&hl=es Google 1] [Formulario https://support.google.com/legal/troubleshooter/1114905? rd=2#ts=1115655%2C1282900%2C1115974 [Formulario Google 2] https://support.google.com/legal/troubleshooter/1114905#ts=1115645 [Formulario Google 3] https://support.google.com/legal/troubleshooter/1114905#ts=1115658%2C1115662 [Formulario Google 4] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/137 https://support.google.com/legal/troubleshooter/1114905#ts=1115658%2C7565832 [Formulario Google 5] https://support.google.com/legal/troubleshooter/1114905#ts=1115658%2C1115673 [Formulario Google 6] https://support.google.com/legal/troubleshooter/1114905#ts=1115658%2C6387768 [Formulario Google 7] https://support.google.com/legal/troubleshooter/1114905#ts=1115658%2C7308762 [Formulario Google 8] https://support.google.com/legal/troubleshooter/1114905#ts=1115658%2C1115676 [Formulario Google 9] https://support.google.com/legal/troubleshooter/1114905#ts=1115658%2C1115686 [Formulario Google 10] https://support.google.com/legal/contact/lr_dmca?product=news&uraw=&hl=es Google 11] [Formulario https://support.google.com/legal/troubleshooter/1114905#ts=1115658%2C7494925 [Formulario Google 12] https://support.google.com/legal/troubleshooter/1114905#ts=1115658%2C7529574 [Formulario Google 13] https://support.google.com/legal/troubleshooter/1114905#ts=1115658%2C7282135 [Formulario Google 14] https://support.google.com/legal/troubleshooter/1114905#ts=1115658%2C7367058 [Formulario Google 15] https://support.google.com/legal/troubleshooter/1114905#ts=1115658%2C7546357 [Formulario Google 16] https://support.google.com/legal/troubleshooter/1114905#ts=1115658%2C9053853 [Formulario Google 17] https://support.google.com/legal/troubleshooter/1114905#ts=1115648 [Formulario Google 18] https://support.google.com/legal/troubleshooter/1114905#ts=1115652 [Formulario Google 19] https://support.google.com/legal/troubleshooter/1114905#ts=1115681 [Formulario Google 20] https://support.google.com/legal/troubleshooter/1114905#ts=1349036 [Formulario Google 21] https://support.google.com/legal/troubleshooter/1114905#ts=1115681%2C7689505 [Formulario Google 22] https://support.google.com/legal/troubleshooter/1114905#ts=1115655%2C1282900 [Formulario Google 23] […] El problema de los anteriores “formularios de contacto” es simple: Google impone al usuario que los utilice la cesión de sus datos personales y de su reclamación a una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/137 organización llamada Lumendatabase.org. Google anuncia lo expuesto en los “formularios” de la siguiente forma: “Ten en cuenta que es posible que enviemos una copia de cada una de las notificaciones legales que recibamos al proyecto Lumendatabase (https://www.lumendatabase.org) para su publicación y anotación. Lumendatabase retirará la información de contacto personal del remitente (es decir, el número de teléfono, la dirección de correo electrónico y el domicilio). Para consultar un ejemplo de este tipo de publicaciones, accede a la página https://www.lumendatabase.org/notices/5838. También podemos enviar la notificación original al presunto infractor o al titular de los derechos si tenemos motivos para sospechar de la validez de tu reclamación. Asimismo, podemos publicar información similar procedente de tu notificación en nuestro informe de transparencia. Para obtener más información sobre este informe, haz clic aquí”. […] De acuerdo con los criterios del GTA29, Google no puede comunicar la censura a las páginas web afectadas por esta, ni informar de la censura a los usuarios de su buscador. Con el razonamiento expuesto, no tiene sentido que Google se reserve la facultad de comunicar datos de carácter personal a Lumendatabase.org. Las comunicaciones de Google a Lumendatabase.org revelan quién ha solicitado el ejercicio de censura (de cualquier clase) en internet, su situación personal concreta previa, y sus datos personales, siendo del todo innecesaria la comunicación. […] A la luz del RGPD, no existe justificación alguna para que Google transmita a Lumendatabase.org datos de carácter personal. Es muy posible que Google argumente que, si no hay datos de carácter personal en las publicaciones de Lumendatabase.org (por haberlos anonimizado Lumendatabase.org antes de publicitarlos), no hay infracción, pero lo cierto es que la infracción se produce desde el mismo momento en el que se realiza una cesión de datos personales, antes de que estos se anonimicen. Por otra parte, no siempre los anonimiza Lumendatabse.org. En algunos supuestos las publicaciones que se realizan en Lumendatabase.org no han eliminado el nombre y apellidos de los solicitantes y en otros casos no eliminan las URL objeto de reclamaciones, por lo que, cualquier persona que acceda a Lumendatabase.org puede conocer la identidad de los solicitantes. El sistema de cesión ideado por Google no responde a los principios del RGPD: se elevan los riesgos de los tratamientos innecesariamente, y no cabe basarse en el interés legítimo (el formulario no permite la oposición, y es incuestionable que no pasa una mínima ponderación). Tampoco cabe fundamentar las cesiones en el consentimiento del usuario, pues –en el caso de advertir la cesión, cuyo consentimiento no se solicita de forma separada y a modo de casilla destinada al efecto- se ve obligado a facilitarlo, de querer completar el formulario (si no quiere completarlo debido a la mención de Lumendatabase estaríamos ante una infracción más, consistente en la obstaculización del ejercicio de derechos). No resulta adecuado a derecho que: . Un afectado esté obligado a consentir en la citada cesión al usar el formulario. . Google LLC. transmita datos de carácter personal a una organización absolutamente ajena a la decisión que se adopte sobre la reclamación del interesado. La cesión es innecesaria, y perjudicial, máxime en aquellos casos en los que se revelan situaciones intimas o privadas que han merecido la censura de Google. ¿Qué base legitimadora real existe? Ninguna. . Se transgredan todos los principios del RGPD señalados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/137 . Un usuario se vea imposibilitado a usar el formulario de Google ante el temor de la cesión efectuada, lo que le obstaculiza el ejercicio de sus derechos. […] Casos que afectan a España, publicados en Lumendatabase.org desde agosto de 2018. (…) [Enlace Lumendatabase 1] (…) [Enlace Lumendatabase 2] (…) [Enlace Lumendatabase 3] (…) [Enlace Lumendatabase 4] (…) [Enlace Lumendatabase 5] (…) [Enlace Lumendatabase 6] (…) [Enlace Lumendatabase 7] […]”. Denuncia de 28 de septiembre de 2018. Refiere cuatro nuevos casos “que afectan Lumendatabase.org desde agosto de 2018”. a España, publicados en Sobre el primer caso, indica que se identifica a la persona con su nombre y apellidos, entendiendo por ello que no siempre se anonimizan los datos para su publicación en “lumendatabase.org”. Reseña los siguientes enlaces: (…) [Enlace Lumendatabase 8] (…) [Enlace Lumendatabase 9] (…) [Enlace Lumendatabase 10] (…) [Enlace Lumendatabase 11] (…) [Enlace Lumendatabase 12] En relación con los tres casos siguientes, señala que en la publicación de “lumendatabase.org” aparece la palabra “Redacted” en el peticionario y destaca que si GOOGLE LLC hubiera facilitada este dato para su anonimización y fuera personal se habría infringido la normativa de protección de datos. Los enlaces correspondientes a estos casos son los siguientes: (…) [Enlace Lumendatabase 13] (…) [Enlace Lumendatabase 14] (…) [Enlace Lumendatabase 15]”. Aporta capturas de pantalla correspondientes a los enlaces 8 a 14. La descripción de estas capturas de pantalla es la siguiente: . Enlace Lumendatabase 8 . Encabezado: Dirigida a GOOGLE LLC por un usuario español anonimizado por motivos de difamación. . Reclamación: (...). . Enlace: (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/137 . Enlaces Lumendatabase 9 a 12 Se trata del mismo supuesto que el del enlace anterior, pero en estos enlaces 9 a 12, en el párrafo que muestra parte de la reclamación presentada ante GOOGLE LLC, el nombre aparece como sigue: “B.B.B.” (enlace 9), “B.B.B.” (enlace 10), “B.B.B.” (enlaces 11) y “B.B.B.” (enlace 12). La dirección del enlace muestra “B.B.B.” (enlace 9), “B.B.B.” (enlaces 10 y 11) o “B.B.B.” (enlace 12). . Enlace Lumendatabase 13 . Encabezado: Dirigida a GOOGLE LLC por un usuario español anonimizado por motivos de difamación. . Reclamación: (…). . Enlace: (…). . Enlace Lumendatabase 14 . Encabezado: Dirigida a GOOGLE LLC por un usuario español anonimizado por motivos de difamación. . Reclamación: (…). . Enlace: (…). Denuncia de 15 de octubre de 2018. “Una persona mandó a Google LLC una Sentencia, que ha sido remitida por Google a Lumendatabase.org en septiembre de 2018 para su publicación junto a su nombre y apellidos, sin que la comunicación a Lumendatabase esté amparada por los principios del RGPD”. Los enlaces a los que se refiere esta reclamación son los siguientes: (…) [Enlace Lumendatabase 16] (…) [Enlace Lumendatabase 17] Aporta captura de pantalla correspondiente a estos enlaces, con los detalles siguientes: . Enlace Lumendatabase 16: . Encabezado: Dirigida a GOOGLE LLC por C.C.C. el ***FECHA.1 como consecuencia de un fallo judicial. . Reclamación: (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/137 . Enlace: (…) . Documentos: Icono que señalaría a un documento adjunto en formato .pdf que supondría el soporte para la retirada de contenido. . Enlace Lumendatabase 17: la captura de pantalla aportada corresponde a un fragmento de la primera página de la (…) presuntamente accesible a través del anterior enlace. Aporta, asimismo, copia completa de esta Sentencia, en la que constan los nombres y apellidos de todas las personas que intervienen en el proceso (juez que la dicta, parte demandante (C.C.C.), demandada, sus representantes, Ministerio Fiscal y (…) (D.D.D.), así como todas las circunstancias del proceso, que está motivado por un artículo publicado en un blog (se indica la dirección URL que condice a dicho artículo). El fallo condena al demandado a suprimir el contenido del artículo publicado en su blog. SEGUNDO: Con carácter previo a la admisión a trámite, estas denuncias se trasladaron a GOOGLE LLC, de conformidad con lo establecido en el artículo 9.4 del Real Decreto-Ley 5/2018, de 27 de julio, de medidas urgentes para la adaptación del derecho español a la normativa de la Unión Europea en materia de protección de datos. El día 28/12/2018, tuvo entrada en esta Agencia escrito de contestación de la mercantil referida en el párrafo anterior, en el que señala lo siguiente: “[…] Que, mediante el presente escrito, Google aporta la información y documentación solicitadas en el Traslado de Reclamación y Solicitud de Información y, en concreto: 1. Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de esta reclamación, y acreditación de que el reclamante ha recibido la comunicación de esa decisión. Se incorpora al presente escrito como DOCUMENTO N.º 2 la comunicación enviada por Google el 28 de diciembre de 2018 en relación con las reclamaciones presentadas por… (nombre y apellidos del denunciante), así como justificante de envío por burofax. 2. Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. Google desconoce la relación existente entre el reclamante y las dos páginas web a las que se hace referencia en sus reclamaciones. El reclamante no ha facilitado ninguna explicación a este respecto y tampoco se nos ha facilitado información acerca de si el reclamante ha probado a la AEPD tener relación o capacidad alguna para representar al interesado en cuestión. 3. Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/137 A pesar de la falta de claridad de las reclamaciones y de que no se haya identificado al interesado supuestamente afectado, Google LLC ha contactado con la organización Lumendatabase, y, tras ello, ha advertido que las dos URLs mencionadas en las reclamaciones (ver 2 más arriba) ya no son accesibles, tal como se desprende de las impresiones que se proporcionan como DOCUMENTO N.º 3. […] Que resulta procedente inadmitir las reclamaciones presentadas por… (nombre y apellidos del denunciante), en virtud de lo dispuesto por el artículo 9.3 del Real Decreto-ley 5/2018, de 27 de julio, de medidas urgentes para la adaptación del Derecho español a la normativa de la Unión Europea en materia de protección de datos, o el artículo 65.3 de la vigente Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales a la vista de que, con independencia de que en este momento no nos es posible conocer cuál es la relación existente entre el reclamante y las páginas web a las que se hace referencia en sus reclamaciones, las páginas web ya no son accesibles, por lo que entendemos que no sería siquiera necesaria la adopción de medidas correctivas adicionales por carencia de objeto. […]” Los enlaces a que hace referencia el escrito de contestación de GOOGLE LLC son los contenidos en la denuncia de 15/10/2018 (“Enlaces Lumendatabase 16 y 17”). TERCERO: En fechas 02, 03, 05, 07 y 09/01/2019, el denunciante presenta nuevas denuncias ante la Agencia Española de Protección de Datos acerca de nuevos casos que incurrirían en la misma infracción denunciada en el Antecedentes Primero. Denuncia de 2 de enero de 2019: “Advierto que al buscar el nombre de C.C.C. en Google, aparece vinculado, al pie de los resultados de búsqueda, un aviso concreto de eliminación de contenidos. Al buscar el nombre de su padre, ya fallecido, D.D.D., aparece otro aviso concreto de eliminación de contenidos, que hipervincula a lumendatabase.org, donde podremos encontrar una solicitud de eliminación de contenidos y una sentencia, en la que se declara la vulneración del derecho al honor de ambos. […]” Adjunta sendas capturas de pantalla de la búsqueda, en fecha 2 de enero de 2019 y en el “Buscador Google”, de los términos “C.C.C.” y “D.D.D.”, en la que aparece una nota al pie indicando que se han eliminado varios resultados y se resalta un hipervínculo a “LumenDatabase.org” [Búsqueda Google 1 y 2]. Asimismo, adjunta una impresión de pantalla correspondiente a la URL (…) [Enlace Lumendatabase 18] Descripción de la impresión aportada: . Encabezado: Dirigida a GOOGLE LLC por C.C.C., en fecha ***FECHA.2, como consecuencia de un fallo judicial. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/137 . Reclamación: “(…)”. . Enlaces: (…) (…) . Documentos: Posibilidad de descarga de un documento en formato .pdf Vuelve a remitir la sentencia aludida dictada por el (…). Esta sentencia se corresponde con el contenido del Enlace Lumendatabase 17 referido anteriormente. Denuncia de 3 de enero de 2019: Denuncia que a través de la URL (…) [Enlace Lumendatabase 19], puede accederse a información facilitada por GOOGLE LLC que, identifica a los solicitantes de censura. Adjunta copia de la información disponible en dicha dirección de internet y del documento accesible a través de la misma. En el encabezado de la información consta que corresponde a una solicitud dirigida a GOOGLE LLC por (…), anterior a la vigencia del RGPD. Denuncia de 5 de enero de 2019: Denuncia referida a la URL (…) [Enlace Lumendatabase 20], en el que aparece publicado el nombre de una persona y ofrece la posibilidad de descargar de dos documentos en formato .pdf. Se comprueba que la información disponible en este enlace corresponde a una solicitud dirigida a GOOGLE LLC por la persona citada, en fecha ***FECHA.3, anterior a la vigencia del RGPD. Denuncia de 7 de enero de 2019: Denuncia referida a la URL (…) [Enlace Lumendatabase 21], en la que aparece publicado el nombre de una persona. En el encabezado de la información consta que corresponde a una solicitud dirigida a GOOGLE LLC por (…), anterior a la vigencia del RGPD. Denuncia de 9 de enero de 2019: “Informo y denuncio ante la AEPD hechos relativos al siguiente enlace: (…) [Enlace Lumendatabase 22] En el citado enlace se está publicitando (de forma anexa) una notificación judicial en el que está incluido el nombre de la (…): E.E.E.. Por lo que parece, GOOGLE LLC ha remitido a lumendatabase.org el documento judicial sin anonimización alguna”. Descripción de la impresión aportada: . Encabezado: Dirigida a GOOGLE LLC por F.F.F., en fecha 03/01/2019, como consecuencia de un fallo judicial. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/137 . Reclamación: (…). . Enlaces: (…) . Documentos: Posibilidad de descarga de un documento en formato .pdf Con la denuncia se acompaña copia del (…). No obstante, no se acredita que el documento fuese obtenido a través de la publicación en “lumendatabase.org”. CUARTO: El 1 de febrero de 2019, la Agencia Española de Protección de Datos dio traslado de las denuncias descritas en los puntos anteriores a Data Protection Commision de Irlanda (en adelante DPC Irlanda) para que dicha autoridad de control valorase si ostenta la condición de autoridad de control principal en base al artículo 56 del RGPD, al encontrarse radicada, en ese país, la entidad GOOGLE IRELAND LTD., el establecimiento del responsable que decide, para Europa, los fines y los medios en el tratamiento de datos personales. En una primera comunicación, de fecha 10 de abril de 2019, DPC Irlanda comunica que no se considera competente en este caso debido a que las denuncias se interpusieron con anterioridad a que DPC Irlanda se convirtiera en la autoridad de control principal para asuntos relacionados con la protección de datos personales, en el ámbito territorial del RGPD, en que se vea involucrada GOOGLE. Posteriormente, el 20 de agosto de 2019, DPC Irlanda dirige una comunicación a esta Agencia solicitando se dé traslado al denunciante de una serie de cuestiones relacionadas con las denuncias presentadas. Así, solicita al denunciante que confirme si ha contactado con GOOGLE en relación con la denuncia y facilite copia de la correspondencia mantenida que considere pertinente. De la misma manera le solicita confirme su consentimiento a efectos de un posible traslado de la denuncia por parte de DPC Irlanda a GOOGLE. En otro orden de cosas, DPC Irlanda manifiesta sus reservas en relación con la condición de interesado del denunciante El 4 de noviembre de 2019 tiene entrada en esta Agencia escrito de contestación del denunciante, en el que defiende su condición de afectado e interesado; que es la entidad reclamada la que debe acreditar ante la autoridad de control los motivos por los que obliga a los usuarios que utilizan sus formularios a aceptar la cesión de datos personales a “lumendatabase.org”, sobre la que ha aportado pruebas, incluso relativas a nacionales de otros países; y que la gravedad de este hecho no se ve minorada por las modificaciones realizadas por “lumendatabase.org” para anonimizar las publicaciones. Con su escrito, el denunciante aporta la comunicación que le fue remitida por GOOGLE en fecha 28/12/2018, con ocasión del trámite de traslado y una captura de pantalla con una serie de indicadores estadísticos sobre las publicaciones que, según el denunciante, “lumendatabase.org” ha publicado desde mayo de 2019 hasta la fecha del 04/11/2019. La Agencia Española de Protección de Datos acordó el archivo provisional del expediente el día 16 de enero de 2020. Mediante comunicación de 22 de enero de 2020, DPC Irlanda rechaza la competencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/137 en la tramitación de las denuncias al considerar que el responsable del tratamiento no sería GOOGLE IRELAND LTD., sino GOOGLE LLC, toda vez que el tratamiento consiste en la comunicación, a una base de datos estadounidense, de datos relacionados con solicitudes de retirada de contenido gestionadas por GOOGLE LLC. QUINTO: El 1 de diciembre de 2020, el denunciante presenta nuevo escrito ante Agencia Española de Protección de Datos, en el que hace referencia a sus denuncias y al archivo acordado por la AEPD en enero de 2020, por la remisión de su denuncia a la Autoridad Irlandesa de Protección de Datos, señalando que en el mismo únicamente se menciona su denuncia de 13/09/2018; que la Autoridad Irlandesa le comunicó, en fecha 30/04/2020, que la autoridad competente es la AEPD. Por otra parte, pone en conocimiento “la existencia de las siguientes publicaciones en Lumendatabase.org, a efectos de que se incorporen al PROCEDIMIENTO que se sigue en la AEPD Publicaciones judiciales en Lumendatabase, remitidas inicialmente a Google LLC, desde el 27.11.2029: (…) [Enlace Lumen 23] (…) [Enlace Lumen 24] (…) [Enlace Lumen 25 (…) [Enlace Lumen 26] (…) [Enlace Lumen 27] Es sumamente significativo que actualmente sigan publicadas todas estas peticiones. Google es responsable de comunicar a Lumen la retirada de las mismas. (…) [ Enlace Lumen 28] VIII.- Cabe indicar que al buscar en Google el nombre y apellidos, entrecomillados, de “C.C.C.”, y "D.D.D." aparece al pie del buscador un enlace que muestra la censura en Google. ¿Ambos han sido advertidos por Google de que se llevaría a cabo esta práctica, que es un tratamiento de datos diferenciado? ¿la han consentido claramente? ¿se ha comprobado por la AEPD y se han investigado al respecto? IX.- En el siguiente enlace se publican datos personales referidos a C.C.C. e G.G.G. (ha consentido este último en este tratamiento de datos???). (…) [Enlace Lumen 29]”. SEXTO: Por la Subdirección General de Inspección se Datos se llevan a cabo impresiones de pantalla de los enlaces que constan en las denuncias reseñadas, para verificar que se corresponden con los aportados por el denunciante, así como para realizar una descripción de lo figurado en los mismos en aquellos supuestos en que no se hubiera aportado captura o impresión en las denuncias presentadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/137 Formularios de Google

1. a)Formularios Google 1 y 11: se trata del formulario habilitado por GOOGLE LLC para denunciar presuntas infracciones de derechos de autor. Las referencias textuales a “lumendatabase.org” en este formulario son las siguientes: “Independientemente de si Google puede ser responsable de dicha infracción en virtud de la legislación específica de un país o de la ley de Estados Unidos, nuestra respuesta puede incluir la retirada de cualquier material contra el que se haya presentado una reclamación por incurrir en una actividad infractora, la inhabilitación del acceso a dicho material o la cancelación de cuentas de suscriptores. Si retiramos material o inhabilitamos el acceso a él en respuesta a este tipo de notificaciones, nos pondremos en contacto con el propietario o el administrador del contenido o del sitio web en cuestión para que pueda presentar una contranotificación. Asimismo, según nuestra política, documentamos todas las notificaciones de presuntas infracciones que recibimos, lo que incluye el envío de una copia de la notificación a uno o varios terceros, o bien su publicación. Puede ver un ejemplo de este tipo de publicaciones en la página https://www.lumendatabase.org/notices/2069”. “Tenga en cuenta que se envía una copia de cada notificación legal que recibimos a un tercero, que podría publicarla y anotarla (sin su información personal). Así pues, el contenido de este formulario se reenviará a Lumen (http://www.lumendatabase.org) para que pueda publicarse. Para ver un ejemplo de este tipo de publicaciones, acceda a la página http://www.lumendatabase.org/dmca512/notice.cgi?NoticeID=861. En el caso de productos como la Búsqueda web de Google, aparecerá un enlace al aviso publicado en los resultados de búsqueda de Google en lugar del contenido retirado”. Este formulario incluye campos de cumplimentación obligatoria para que el solicitante facilite los datos siguientes: país de residencia, nombre completo del solicitante, nombre completo del titular de los derechos de autor, dirección de correo electrónico de contacto, obra protegida, ¿dónde se puede ver un ejemplo autorizado de la obra?, URL presuntamente infractora y firma.
2. b)Formularios Google 2, 4, 5, 7, 9, 17, 21 y 23: son páginas de entrada para la solicitud de retirada de contenido en la que se listan diversos productos de la compañía y donde el solicitante elegiría a cuál de dichos productos se refiere su solicitud de retirada de contenido. Incluye el texto siguiente: “Cómo retirar contenido de Google Esta página te permitirá acceder al sitio adecuado para informar del contenido que quieras retirar de los servicios de Google de acuerdo con las leyes aplicables. Proporciónanos información completa para que podamos investigar tu consulta. Si tienes problemas que no son de tipo legal relacionados con las “Condiciones de servicio” o con las Políticas de productos de Google, accede a la página http://support.google.com. Debes enviar una notificación para cada servicio de Google en el que aparezca el contenido. ¿A qué producto de Google hace referencia su solicitud? ( ) Búsqueda de Google ( ) Blogger/Blogspot ( ) Google Maps y productos relacionados ( ) Google Play: Aplicaciones ( ) YouTube ( ) Google Imágenes ( ) Un anuncio de Google C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/137 ( ) Drive y Documentos ( ) Google Photos y Picasa Web Albums ( ) Google Shopping ( ) Ver más productos”. Al pulsar la opción “Ver más productos” se despliega una nueva lista: “Selecciona una opción de la siguiente lista. ( ) Google+ ( ) Caché de Google AMP ( ) Google Arts & Culture ( ) Asistente de Google ( ) Chrome Web Store/galería de extensiones ( ) Google Classroom ( ) Cloud Firestore ( ) Google Cloud Platform ( ) Data Studio ( ) Dominios de Google ( ) Feedburner ( ) Firebase ( ) Gmail ( ) Google URL Shortener (goo.
3. gl)( ) Grupos de Google ( ) Google Help Communities ( ) Google Lens ( ) Navlekha ( ) Google News ( ) Google Play Libros y Google Libros ( ) Poly ( ) Google Sites (herramienta de creación de páginas web y wikis de Google) ( ) Stadia”.
4. c)Formularios Google 3, 6, 8, 10, 12, 13, 14, 15, 16, 19, 20 y 22. Se trata de las páginas de entrada a los formularios de retirada de contenido relativos a distintos productos de GOOGLE LLC: Formulario Google 3: producto Blogger/Blogspot. Formulario Google 6: producto Chrome Web Store/galería de extensiones. Formulario Google 8: producto Google Classroom. Formulario Google 10: producto Grupos de Google. Formulario Google producto 12: Google Help Communities. Formulario Google 13: producto Poly. Formulario Google 14: producto Feedburner. Formulario Google 15: producto Data Studio. Formulario Google 16: producto Cloud Firestore. Formulario Google 19: producto Google Photos y Picasa Web Album. Formulario Google 20: producto Drive y Documentos. Formulario Google 22: página similar al número 20, diferenciándose en que ya se encuentra seleccionada la opción “Información personal: la información incluye mis datos personales” como motivo para solicitar la retirada de contenido. Todos ellos incluyen la misma información reseñada en el apartado
5. b)anterior (“Como retirar contenido de Google…”). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/137 Las referencias textuales a “lumendatabase.org” en estos formularios son las siguientes: “Ten en cuenta que es posible que enviemos una copia de cada una de las notificaciones legales que recibamos al proyecto Lumen (https://www.lumendatabase.org) para su publicación y anotación. Lumen retirará la información de contacto personal del remitente (es decir, el número de teléfono, la dirección de correo electrónico y el domicilio). Para consultar un ejemplo de este tipo https://www.lumendatabase.org/notices/5838”. de publicaciones, accede a la página Y se añade: “Asimismo, podemos publicar información similar procedente de tu notificación en nuestro informe de transparencia. Para obtener más información sobre este informe, haz clic aquí”. Se ofrecen las opciones siguientes: . Formularios Google 3 “¿En qué podemos ayudarte? ( ) Me gustaría informar sobre software malintencionado, suplantación de identidad, divulgación de datos privados u otras incidencias similares. ( ) Quiero informar de un blog que suplanta mi identidad. ( ) Quiero informar sobre la divulgación de información o imágenes de desnudos privadas ( ) Quiero informar de contenido intimidatorio y acosador. ( ) Problema de propiedad intelectual: denunciar una infracción de derechos de autor, elusión, etc. ( ) Otro problema legal: denunciar contenido por otro motivo legal no incluido en la lista”. . Formulario Google 6 “¿En qué podemos ayudarte? ( ) Infracción de derechos de autor: mi obra protegida por derechos de autor se está utilizando ilegalmente sin autorización ( ) Contranotificación: apelación destinada a restaurar contenido que se retiró debido a una reclamación por infracción de derechos de autor ( ) Marca: mi marca se está utilizando de un modo que puede causar confusión ( ) Orden judicial: una sentencia judicial ha determinado que un contenido concreto es ilegal ( ) Elusión: una herramienta elude las medidas tecnológicas de protección de los derechos de autor ( ) Material con imágenes de abuso sexual infantil: representación visual de prácticas sexuales explícitas con menores”. Formularios Google 8, 12, 13, 14 (salvo la primera opción, en los 3 últimos casos), 15 (salvo la primera opción y la relativa a “Problema legal”) y 16 (salvo la primera opción y las relativas a “Elusión” y “Problema legal”) “¿En qué podemos ayudarte? ( ) Tengo una pregunta sobre las políticas del programa Classroom ( ) Infracción de derechos de autor: mi obra protegida por derechos de autor se está C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/137 utilizando ilegalmente sin autorización ( ) Contranotificación: apelación destinada a restaurar contenido que se retiró debido a una reclamación por infracción de derechos de autor ( ) Elusión: una herramienta elude las medidas tecnológicas de protección de los derechos de autor ( ) Orden judicial: una sentencia judicial ha determinado que un contenido concreto es ilegal ( ) Problema legal: problema legal que no aparece en la lista ( ) Material con imágenes de abuso sexual infantil: representación visual de prácticas sexuales explícitas con menores”. Formularios Google 10, 19 (salvo la primera opción) “¿En qué podemos ayudarte? ( ) Denunciar contenido violento o que incite al odio, la divulgación de datos personales o la promoción de bienes y servicios ( ) Infracción de derechos de autor: mi obra protegida por derechos de autor se está utilizando ilegalmente sin autorización ( ) Contranotificación: apelación destinada a restaurar contenido que se retiró debido a una reclamación por infracción de derechos de autor ( ) Información personal: el contenido incluye mis datos personales ( ) Orden judicial: una sentencia judicial ha determinado que un contenido concreto es ilegal ( ) Problema legal: problema legal que no aparece en la lista ( ) Material con imágenes de abuso sexual infantil: representación visual de prácticas sexuales explícitas con menores”. Formulario Google 20 “¿En qué podemos ayudarte? ( ) Deseo denunciar un caso de suplantación de identidad, spam software malicioso u otros usos inadecuados en un archivo de Google Docs o Google Drive ( ) Infracción de derechos de autor: mi obra protegida por derechos de autor se está utilizando ilegalmente sin autorización ( ) Contranotificación: apelación destinada a restaurar contenido que se retiró debido a una reclamación por infracción de derechos de autor ( ) Elusión: una herramienta elude las medidas tecnológicas de protección de los derechos de autor ( ) Información personal: el contenido incluye mis datos personales ( ) Otro problema legal: denunciar contenido por otros motivo legal no incluido en la lista”.
6. d)Formulario Google 18: corresponde a la página de entrada a los formularios de retirada de contenido relativo al producto “Google Imágenes”, que no contiene referencias a “lumendatabase.org”. La información que se facilita es la siguiente: “Cómo retirar contenido de Google… (la misma información reseñada en el apartado
7. b)anterior)”. “Aunque Google retire una página web o una imagen de nuestros resultados de búsqueda, no podemos retirar contenido de los sitios web que lo alojan. Es posible que la página siga existiendo en el sitio web, lo que significa que se puede encontrar a través de la URL del sitio web, en redes sociales donde se haya compartido o en otros buscadores. Le recomendamos que se ponga en contacto con el propietario del sitio web para pedirle que retire el contenido en cuestión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/137 Visite “esta página” para obtener más información sobre cómo ponerse en contacto con el propietario de un sitio web”. En esta página se ofrecen las opciones siguientes: “¿En qué podemos ayudarte? ( ) Quiero informar de software malicioso, phishing o problemas similares. ( ) Un contenido que solicité que se retirara sigue apareciendo en los resultados de búsqueda, a pesar de que el webmaster ya lo ha eliminado. ( ) Derecho al olvido: solicitud de retirada de información de acuerdo con la legislación europea en materia de protección de datos ( ) Difamación: el contenido me difama a mí o a mi empresa u organización ( ) Problema de propiedad intelectual: denunciar una infracción de derechos de autor, elusión, etc. ( ) Otro problema legal: denunciar contenido por otro motivo legal no incluido en la lista”. Enlaces de Lumendatabase . Enlace Lumendatabase 1 . Encabezado: Requerimiento de retirada por difamación. Dirigida a GOOGLE LLC el ***FECHA.4 por un usuario español anonimizado. . Reclamación: (…). . Enlace: (…) . Enlace Lumendatabase 2 . Encabezado: Requerimiento de retirada por difamación. Dirigida a GOOGLE LLC el ***FECHA.5 por un usuario español anonimizado. . Reclamación: (…). . Enlace: (…) . Enlace Lumendatabase 3 . Encabezado: Requerimiento de retirada por difamación. Dirigida a GOOGLE LLC el ***FECHA.6 por un usuario español anonimizado. . Reclamación: “(…)”. . Enlace: (…) . Enlace Lumendatabase 4 . Encabezado: Requerimiento de retirada por difamación. Dirigida a GOOGLE LLC por un usuario español anonimizado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/137 . Reclamación: “(…)”. . Enlace: (…) (…) (…) (…) (…) . Enlace Lumendatabase 5 . Encabezado: Requerimiento de retirada por difamación. Dirigida a GOOGLE LLC el ***FECHA.7 por un usuario español anonimizado. . Reclamación: “(…)”. . Enlace: (…) . Enlace Lumendatabase 6 . Encabezado: Requerimiento de retirada por difamación. Dirigida a GOOGLE LLC el ***FECHA.8 por un usuario español anonimizado. . Reclamación: “(…)”. . Enlace: (…) . Enlace Lumendatabase 7 Esta impresión se corresponde con el buscador de “lumendatabase.org” compuesto por una serie de cajetines de búsqueda simple y avanzada. El cajetín de búsqueda simple aparece relleno con el término “Google”, supuestamente utilizado por el denunciante para realizar las búsquedas que presenta como indicios ante esta Agencia. . Enlace Lumendatabase 8 Se verifica que la información de este enlace coincide sustancialmente con la captura de pantalla adjuntada en el escrito de denuncia de 28 de septiembre de 2018 (Ver Hechos Primero), presentando las siguientes diferencias: . Consta la fecha de la solicitud, siendo esta el ***FECHA.9. . Se ha eliminado de la dirección del enlace objeto de la solicitud de retirada cualquier referencia al nombre personal, subsistiendo este en el resumen de la solicitud de contenido. . Enlace Lumendatabase 9 a 12 Se verifica que la información de este enlace coincide sustancialmente con la captura de pantalla adjuntada en el escrito de denuncia de 28 de septiembre de 2018 (Ver Hechos Primero), presentando las siguientes diferencias: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/137 . Consta la fecha de la solicitud, siendo esta el ***FECHA.9. . En la dirección del enlace se indica únicamente “(…)”. . Enlace Lumendatabase 13 Se verifica que la información de este enlace coincide sustancialmente con la captura de pantalla adjuntada en el escrito de denuncia de 28 de septiembre de 2018 (Ver Hechos Primero), presentando las siguientes diferencias: . Consta la fecha de la solicitud, siendo esta de ***FECHA.10. . Se ha simplificado la dirección del enlace. . Enlace Lumendatabase 14 Se verifica que la información de este enlace coincide sustancialmente con la captura de pantalla adjuntada en el escrito de denuncia de 28 de septiembre de 2018 (Ver Hechos Primero), presentando las siguientes diferencias: . Consta la fecha de la solicitud, siendo esta de ***FECHA.11. . Se ha simplificado la dirección del enlace. . Enlace Lumendatabase 15 . Encabezado: Requerimiento de retirada por aplicación de normativa local. Dirigida a GOOGLE LLC el ***FECHA.10 por un usuario español anonimizado. . Enlace: (…). . Enlace Lumendatabase 16 La página presenta un error 404, lo que concuerda con lo manifestado por GOOGLE SPAIN S.L. en su escrito de 28 de diciembre de 2018 . Enlace Lumendatabase 17 Este enlace no permite la descarga del documento, lo que concuerda con lo manifestado por GOOGLE SPAIN S.L. en su escrito de 28 de diciembre de 2018. . Enlace Lumendatabase 18 Se verifica que la información de este enlace coincide sustancialmente con la impresión de la página web adjuntada en el escrito de denuncia de 2 de enero de 2019 (Ver hechos Primero), presentando las siguientes diferencias: . Solo subsiste el enlace (…). . Enlace Lumendatabase 19 Se verifica que la información de este enlace corresponde a una solicitud dirigida a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/137 GOOGLE LLC con anterioridad a la vigencia del RGPD. Asimismo, se comprueba que ha desaparecido la posibilidad de descarga del documento judicial. . Enlace Lumendatabase 20 Se verifica que la información de este enlace corresponde a una solicitud dirigida a GOOGLE LLC con anterioridad a la vigencia del RGPD. Asimismo, se comprueba que la posibilidad de descarga de documentos se ha limitado a uno. . Enlace Lumendatabase 21 Se verifica que la información de este enlace corresponde a una solicitud dirigida a GOOGLE LLC en fecha ***FECHA.12, anterior a la vigencia del RGPD. . Enlace Lumendatabase 22 Se verifica que la información de este enlace coincide sustancialmente con la impresión de la página web adjuntada en el escrito de denuncia de 9 de enero de 2019 (Ver Hechos Primero). . Enlace Lumendatabase 23 Descripción del enlace: Se trata de una página que ofrece los resultados de búsqueda de requerimientos de retirada de contenido. Se incorpora a las actuaciones la primera de las páginas, que reseña solicitudes de diciembre de 2019, enero y febrero de 2020, dirigidas a GOOGLE LLC en base a resoluciones judiciales. . Enlace Lumendatabase 24 Descripción del enlace: Página que ofrece los resultados de búsqueda de requerimientos de retirada de contenido dirigidas a GOOGLE LLC en base a resoluciones judiciales, en idioma español. . Enlace Lumendatabase 25 Descripción del enlace: . Encabezado: Requerimiento de retirada por difamación. Dirigida a GOOGLE LLC el ***FECHA.13 por un usuario español anonimizado. . Reclamación: “(…)”. . Enlace: (…) (…) (…) (…) . Enlace Lumendatabase 26 Descripción del enlace: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/137 . Encabezado: Requerimiento de retirada como consecuencia de un fallo judicial. Dirigida a GOOGLE LLC el ***FECHA.14 por H.H.H. . Explicación: “(…)” . Enlace: (…) (…) . Enlace Lumendatabase 27 Descripción del enlace: Hace referencia a una retirada de contenido solicitada por un usuario de Italia. . Enlace Lumendatabase 28 Descripción del enlace: Página que ofrece los resultados de búsqueda de publicaciones en la página de web de Lumen en base a los términos “EU-Derecho al Olvido” y “Google”. Corresponde a solicitudes de 2014, 2015 y 2016. . Enlace Lumendatabase 29 Se trata del mismo enlace que el número 18 ya remitido en la denuncia presentada el 2 de enero de 2019. Debajo de los enlaces indicados en las publicaciones reseñadas con los números 1, 2, 3, 4, 5, 6, 8, 9, 10, 11, 12, 13, 14, 15, 18, 19, 20, 21, 22, 25, 26 y 29 se muestra la frase “Click here to request access and see full URLs” (cuya traducción sería “Pinche aquí para solicitar acceso ver dirección URL completa”) en formato hipervínculo. Búsquedas Google 1. Se introducen los términos “C.C.C.” en el “Buscador Google”, resultando que se ha eliminado la referencia a “lumendatabase.org”. 2. Se introducen los términos “D.D.D.” en el “Buscador Google”, verificándose que hace referencia concreta a resultados eliminados y dirige, para más información, a un hipervínculo de “lumendatabase.org”. SÉPTIMO: Con fecha 09/06/2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad GOOGLE LLC, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 17 del RGPD en concurso ideal con una infracción del artículo 6.1 del RGPD, que se tipifican en el artículo 83.5 de la misma norma. En el acuerdo de apertura se determinó que las sanciones que pudieran corresponder, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/137 atendidas las evidencias existentes en el momento de la apertura y sin perjuicio de lo que resulte de la instrucción, serían de 5.000.000,00 de euros por la infracción relativa al artículo 17 del RGPD y de 5.000.000,00 de euros por la infracción relativa al artículo 6.1 del RGPD. No obstante, al considerarse que ambas infracciones concurren en régimen de concurso ideal, el total resultante de la sanción a imponer ascendería a 5.000.000,00 de euros. En el mismo acuerdo de apertura del procedimiento se advertía que las infracciones imputadas, de confirmarse, podrán conllevar la imposición de medidas, de acuerdo con lo establecido en el citado artículo 58.2
8. d)del RGPD. OCTAVO: Notificado el citado acuerdo de inicio y ampliado el plazo concedido para formular alegaciones, la entidad reclamada, habiendo recibido copia de las actuaciones, presentó escrito de fecha 21/07/2021, en el que solicita: “1. La nulidad del Procedimiento Sancionador por infracción de normas reguladoras del procedimiento sancionador de carácter fundamental y esencial que provoca la indefensión de Google. 2. Subsidiariamente a lo anterior, la inexistencia de las supuestas infracciones de los artículos 6.1 y 17 del RGPD, y el archivo de las actuaciones. 3. Subsidiariamente a lo anterior, y en el improbable caso de que se considere a Google responsable de la infracción de los artículos 6.1 y/o 17 RGPD, la imposición de la cuantía de la sanción correspondiente en su grado mínimo”. Con carácter previo a la exposición de las alegaciones en las que basa dicha petición, GOOGLE LLC indica que no discute la aplicación del RGPD a las actividades de tratamiento en cuestión, si bien no está de acuerdo con el análisis de la Agencia sobre los supuestos alternativos (y no cumulativos) previstos en los artículos 3.1 y 3.2.(
9. a)RGPD. Entiende que el artículo 3.2.(
10. a)RGPD no es de aplicación, dado que cuenta con diversos establecimientos en países de la Unión Europea, además de España. (…). (…) Esto ocurre en un contexto legal y normativo complejo, que requiere de una evaluación cuidadosa y una ponderación de todos los derechos en liza en el funcionamiento de un programa de moderación de contenidos exitoso, especialmente la libertad de expresión e información, el derecho a la protección de datos, la protección del honor, intimidad y otros derechos de la personalidad, derechos de propiedad intelectual, la libertad de las artes y las ciencias, la protección de los consumidores y los principios de transparencia y responsabilidad. Entre otros requisitos, llama la atención de la Agencia sobre los marcos legales que derivan del Reglamento (UE) 2019/1150 del Parlamento Europeo y del Consejo, de 20 de junio de 2019, sobre el fomento de la equidad y la transparencia para los usuarios profesionales de servicios de intermediación en línea (el “Reglamento P2B”) y la Propuesta de la Comisión Europea de Reglamento Relativo a un Mercado Único de Servicios Digitales (Digital Services Act, “DSA”). Ambos instrumentos normativos imponen altos estándares de transparencia y rendición de cuentas sobre la forma en la que los prestadores de servicios de intermediación moderan el contenido, incluyendo el requisito de publicar todas las decisiones de retirada de contenidos en una base de datos de acceso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/137 público, ya que “contribuiría a mitigar posibles abusos” (véase el art. 15.4 de la DSA y el Considerando 26 del Reglamento P2B). Es en este contexto donde debe analizarse la relación de GOOGLE LLC con “lumendatabase.org” (“Lumen”). En concreto: “Lumen” es un proyecto del Berkman Klein Center for Internet & Society en la Universidad de Harvard, cuyo objetivo principal es estudiar las “cartas de cese y desistimiento” (cease and desist letters) relativas a contenidos en línea. Lumen recaba y analiza solicitudes de retirada de materiales de la web con el objetivo de educar al público, facilitar la investigación sobre los diferentes tipos de reclamaciones y solicitudes de retirada que se están enviando a los editores y prestadores de servicios de Internet, y proporcionar la mayor transparencia posible sobre la "ecología" de tales comunicaciones, en términos de quién las envía y por qué, y con qué fin. Aunque en un principio “Lumen” se centraba en solicitudes enviadas voluntariamente por empresas en virtud de la Ley de Derechos de Autor del Milenio Digital de Estados Unidos (United States' Digital Millennium Copyright Act, “DMCA”), ahora también incluye reclamaciones relativas a otros temas, incluyendo marcas, difamación, resoluciones judiciales, etc. En el contexto anterior, GOOGLE LLC, junto con otros actores importantes en la sociedad digital (Véase: https://lumendatabase.org/pages/about para más información al respecto), contribuye con el “Proyecto Lumen” con fines de transparencia y rendición de cuentas, así como para evitar abusos y fraudes y comparte con Lumen solicitudes de retirada de contenido en relación con derechos de propiedad intelectual (DMCA), elusión/evasión, falsificación, resoluciones judiciales no confidenciales, difamación y notificaciones de retirada basadas en normativa local. La contribución positiva del “Proyecto Lumen” a la sociedad es evidente. Por ejemplo, fue gracias a Lumen que se identificó un muy reciente uso fraudulento de las herramientas de retirada de contenidos por parte de una entidad española (que llegó hasta el punto de fingir ser la Comisión Europea) y cita los enlaces: (…). (…):
11. a)(…).
12. b)(…).
13. c)(…). La citada entidad basa su petición en las consideraciones siguientes: 1. Infracción de la LOPDGDD, que prevé un procedimiento sancionador de una duración máxima de 21 meses, teniendo en cuenta la duración de las actuaciones previas de investigación (art. 67.2) y la del propio procedimiento sancionador (art. 64.2), por cuanto mantiene a GOOGLE LLC bajo investigación durante más de dos años, ignorando la caducidad de las actuaciones previas de investigación. Además, el art. 65.5 LOPDGDD establece que “La decisión sobre la admisión o inadmisión a trámite, así como la que determine, en su caso, la remisión de la reclamación a la autoridad de control principal que se estime competente, deberá C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/137 notificarse al reclamante en el plazo de tres meses”. En este caso, la primera reclamación presentada es de 13/09/2018, por lo que puede entenderse admitida el 13/12/2018, aunque a Agencia no dictó ninguna resolución en esta fecha. Más de un año después, el 16/01/2020, la AEPD decidió archivar provisionalmente el expediente y dirigirlo a la autoridad de protección de datos de Irlanda (Irish Data Protection Commission); y más de un año y medio después, el 23/06/2021, se notificó el Acuerdo de Inicio (la Agencia ha tardado casi 3 años desde la primera reclamación en iniciar el Procedimiento Sancionador). De acuerdo con lo expuesto, las actuaciones previas de investigación caducaron el 13/12/2019, por lo que la información recabada en el marco de dichas actuaciones previas de investigación no puede utilizarse en el Procedimiento Sancionador, entre otras cosas, porque son investigaciones que han caducado y que ya no son correctas desde un punto de vista fáctico, ni están actualizadas. Utilizarlas vulneraría lo dispuesto en el art. 95.3 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (“LPAC”), así como las leyes y principios que regulan el procedimiento administrativo sancionador. Estos hechos, que obstaculizan el derecho de defensa de GOOGLE LLC, implican la nulidad del Acuerdo de Inicio y del Procedimiento Sancionador, procediendo el archivo de las actuaciones. 2. No se ha producido ninguna vulneración del art. 6 RGPD: aplicación de la base legitimadora del interés legítimo Aclara que la base legitimadora en la que se ampara para compartir datos personales con Lumen no es el consentimiento, sino el interés legítimo, interpretado de conformidad con el Dictamen 06/2014, sobre el concepto de interés legítimo del responsable del tratamiento de los datos en virtud del artículo 7 de la Directiva 95/46/CE, que resulta aplicable al caso que nos ocupa. Considera GOOGLE LLC que (A) hay varios intereses legítimos prevalentes en la cesión de datos con Lumen, y (B) que dichos intereses legítimos prevalecen sobre los derechos y libertades de los interesados. A. Existe un interés legítimo, tanto de GOOGLE LLC como de “Lumen” (en este caso, un tercero), en la cesión de las solicitudes relativas a la retirada de contenidos (que pueden, o no, incluir datos personales, dependiendo del tipo de solicitud de retirada y el solicitante):
14. a)El interés legítimo de “Lumen” consiste en el fomento de la educación, la investigación y la transparencia, que, en última instancia, entran dentro del interés de toda la sociedad en su conjunto y encuentran apoyo en muchas leyes distintas (incluida la propia Constitución Española (arts. 27 y 44.2 de la Constitución Española, relativos a la educación e investigación, respectivamente) y Leyes Orgánicas (Ley Orgánica 2/2006, de 3 de mayo, de Educación; LOPDGDD; Ley Orgánica 1/1982, de 5 de mayo, sobre protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen, etc.), e incluso en el Dictamen del Interés Legítimo, que establece que: “La naturaleza del interés puede variar. Algunos intereses pueden ser apremiantes y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/137 beneficiosos para la sociedad en general, tales como el interés de la prensa en publicar información sobre la corrupción gubernamental o el interés en llevar a cabo investigación científica (sujetos a las garantías adecuadas)”.
15. b)GOOGLE LLC también cuenta con un interés legítimo claro en compartir con “Lumen” solicitudes de retirada de contenido. Concretamente, estas cesiones constituyen un mecanismo importante para que el grupo Google se asegure de que sus prácticas de retirada de contenidos sean transparentes y responsables, y no están relacionadas con el ejercicio de derechos de protección de datos, sino con otros derechos (por ejemplo, derechos de propiedad intelectual, derecho al honor, marcas, etc.). “Lumen” proporciona transparencia y sirve para rendir cuentas sobre los procesos de moderación de contenidos implementados por el grupo Google (que no es una entidad o autoridad pública), para demostrar la existencia de procedimientos de retirada reactivos, para fomentar una comprensión clara de los tipos de contenidos en línea que son objeto de solicitudes de retirada, la equidad entre asuntos similares en diferentes países y regiones, así como para mitigar el riesgo de uso indebido o fraudulento de las herramientas de retirada de contenidos. Además de la comunidad de investigadores, el público en general y las autoridades públicas se benefician de esta transparencia. La importancia de estos objetivos de transparencia se refleja en el propio marco jurídico aplicable (como el Reglamento P2B), e incluso en disposiciones legales que están por venir (como, por ejemplo, la DSA). Estos intereses legítimos también se reconocen en el Dictamen del Interés Legítimo, que establece los siguientes ejemplos de intereses legítimos: “el ejercicio del derecho de libertad de expresión o información, incluidas las situaciones en las que se ejerza dicho derecho en los medios de comunicación”, “la prevención del fraude, el uso indebido de servicios o el blanqueo de dinero”, “el tratamiento con fines históricos, científicos o estadísticos” y la “publicación de datos con fines de transparencia y responsabilidad”. La propia AEPD también reconoce en el Acuerdo de Inicio que cumplir con los estándares de transparencia puede constituir un interés legítimo. B. Estos intereses legítimos no se ven superados por los intereses o derechos y libertades de los interesados. En opinión de GOOGLE LLC, la afirmación de la AEPD en el Acuerdo de Inicio -sin apoyo probatorio alguno- de que la comunicación de GOOGLE LLC a Lumen de solicitudes de retirada de contenido “ejerce un impacto elevado en los intereses y derechos del interesado” carece de soporte alguno por los siguientes motivos:
16. a)Los interesados que completan los formularios de retirada de contenido de “Google” son suficientemente informados acerca de la comunicación de las solicitudes a “Lumen”: En concreto, los interesados son informados de forma clara sobre la comunicación de sus datos personales a Lumen en el momento en el que facilitan sus datos a GOOGLE LLC, incluso mediante una nota informativa prominente que se muestra en la herramienta de solución de problemas legales de “Google” (reproduce la información sobre la posibilidad de enviar una copia de las notificaciones al Proyecto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/137 Lumen” y de publicarlas en el “Informe de Transparencia de Google”, ya reseñada en el Antecedente Sexto).
17. b)GOOGLE LLC limita los datos personales que se comparten con “Lumen” y “Lumen” procede a anonimizar las solicitudes que GOOGLE LLC comparte. (…). (…). Por último, es práctica de “Lumen” anonimizar ciertos datos personales de las solicitudes antes de su publicación, incluidas las categorías de solicitudes compartidas por GOOGLE LLC en el caso objeto de análisis en el Acuerdo de Inicio (estas son, aquellas relativas a difamación, decisiones judiciales no confidenciales y aquellas relacionadas con normativa local distinta a la de protección de datos), con el objeto de minimizar los datos personales incluidos en las publicaciones. El protocolo de anonimización de Lumen está a disposición del público de forma clara en su página web (https://www.lumendatabase.org/pages/lumen-notice-basics). Sobre esta cuestión, aporta una captura de pantalla en la que puede verse la información relativa solicitudes por motivos de difamación o por un fallo judicial (coincide con la información facilitada en el sitio web “lumendatabase.org”, en el documento “Conceptos básicos de la información del aviso de Lumen”, que consta reseñado en Anexo 4. Lo anterior no impide que, de forma ocasional, se cometan errores y que algunas publicaciones de Lumen no se anonimicen del todo. En estos casos, los afectados pueden dirigirse tanto a GOOGLE LLC (para que avise a Lumen de dichos errores) como a Lumen directamente pidiendo la corrección de la anonimización.
18. c)El acceso a URL completas y las decisiones judiciales se limita a investigadores de buena fe: “Lumen” opera un acceso a datos gradual, de forma que el acceso a URL completas y documentos adjuntos relacionados con una publicación (como una decisión judicial) no permanece a disposición del público en general y sólo se puede acceder a los mismos a petición individual por correo electrónico. “Lumen” sólo da acceso a esta información a investigadores de buena fe, lo que limita el acceso a dicha información y pondera de forma adecuada los intereses de la comunidad de investigadores con aquellos de los sujetos que presentan solicitudes de retirada de contenido a GOOGLE LLC.
19. d)El interés legítimo en juego es importante y apremiante: la comunicación de solicitudes de retirada de contenido a “Lumen” por motivos de transparencia e investigación beneficia al público en general, lo cual, de acuerdo con el Dictamen del Interés Legítimo, es un elemento clave a considerar al realizar el test de ponderación: “En general, el hecho de que el responsable del tratamiento actúe no solo en su interés legítimo propio (por ejemplo, su empresa), sino también en el interés de la comunidad en general puede dar más «peso» a su interés. Cuanto más apremiante sea el interés público o el interés de la comunidad en general, y cuanto más claramente la comunidad y los interesados reconozcan y esperen que el responsable del tratamiento pueda actuar y tratar los datos para perseguir estos intereses, más C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/137 peso tendrá en la balanza dicho interés legítimo”.
20. e)(…): i. (…) ii. (…) iii. (…) 3. No se ha vulnerado el art. 17 RGPD: GOOGLE LLC respeta el derecho al olvido/derecho de supresión de los individuos A. (…). Respecto a las solicitudes del Derecho al Olvido, la web de “Lumen” (https://www.lumendatabase.org/pages/lumen-notice-basics) indica expresamente que GOOGLE LLC “no comparte con Lumen, en estos momentos, solicitudes que recibe de ciudadanos de la UE relativas al llamado “Derecho al Olvido (“RTBF”)(…)” (Traducción no oficial). (…) El elemento esencial que determina la aplicación del artículo 17 RGPD es la finalidad de la solicitud y, en consecuencia, el derecho invocado y ejercido por el individuo. Además, se producirían consecuencias no deseadas e inesperadas si todas las solicitudes que impliquen la retirada de datos personales se tratasen de forma automática como ejercicios del derecho de supresión al amparo del art. 17 RGPD, con independencia del régimen legal en el cual el sujeto fundamenta la solicitud de retirada de contenido. Las solicitudes de retirada de contenido se valoran realizando análisis legales y test en función del motivo por el que presenta su solicitud. Por ejemplo, las solicitudes de desindexación por motivos de difamación, a falta de una decisión judicial, se analizan según la normativa local que regula la difamación y el marco legal de la Directiva de Comercio Electrónico, y no sobre la base del RGPD, de tal modo que se tienen en cuenta los hechos y, en función de la normativa local, las opiniones contenidas en ese contenido y otros factores relevantes (incluida doctrina legal). En el caso español, esto implicaría analizar, entre otros, el artículo 7 de la Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen, o los artículos 205 y siguientes del Código Penal en relación con los delitos contra el honor; así como la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico. B. El formulario para el ejercicio del Derecho al Olvido puesto a disposición por GOOGLE LLC, accesible en la dirección “https://www.google.com/webmasters/tools/legal-removal-request? complaint_type=rtbf”, no incluye referencia alguna a la comunicación de información a Lumen porque tales solicitudes no se comparten con Lumen. De este modo, no cabe interpretar que el Formulario del Derecho al Olvido obstaculice de ninguna forma los derechos de los interesados bajo el artículo 17 del RGPD por una supuesta imposición de la comunicación de información a Lumen. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/137 La documentación e información incluidas en el expediente del Procedimiento Sancionador son incompatibles con esa afirmación. Ninguno de los formularios mencionados por el denunciante en sus denuncias (y luego confirmados por la Subdirección General de Inspección, los “Formularios Investigados”) se refieren al Formulario del Derecho al Olvido. Los Formularios Investigados tienen por objeto la presentación de solicitudes de retirada de contenido por diversos motivos legales no relacionados con la protección de datos (e.g. infracciones de derechos de autor), y no el Derecho al Olvido. (…) (…) 4. En relación con la graduación de las sanciones, considera que deben tenerse en cuenta las circunstancias atenuantes siguientes:
21. a)Cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados (artículo 83.2.c RGPD): GOOGLE LLC se ha puesto en contacto con “Lumen” para hacerle saber que debe llevar a cabo anonimizaciones adicionales de algunas de sus publicaciones relativas a las solicitudes de retirada de contenido identificadas por la AEPD en el Fundamento de Derecho II del Acuerdo de Inicio. A partir de ello, “Lumen” ha llevado a cabo nuevas actuaciones dirigidas bien a anonimizar información o retirar publicaciones (aporta impresión de pantallas correspondientes a los Enlaces Lumendatabase 3, 5, 8, 9, 10, 11, 18, 22 y 26).
22. b)Los beneficios obtenidos como consecuencia de la comisión de la infracción (art. 76.2.c LOPDGDD): la comunicación de información a “Lumen” se lleva a cabo con las finalidades de incrementar la transparencia y rendición de cuentas, educar al público y facilitar la investigación, todo lo cual beneficia a la sociedad en su conjunto (siendo estas finalidades además impulsadas a lo largo del RGPD). GOOGLE LLC no obtiene beneficio comercial o ingreso alguno como consecuencia de estas comunicaciones. 5. Sin perjuicio de las alegaciones anteriores, GOOGLE LLC se encuentra en la actualidad en proceso de revisión de sus prácticas en lo relativo a la comunicación de solicitudes de retirada de contenido a “Lumen”. GOOGLE LLC considera la protección de los datos personales como una cuestión extremadamente relevante y toma atenta nota de los comentarios realizados por la AEPD en el Acuerdo de Inicio. GOOGLE LLC revisa sus prácticas de forma continuada para asegurar que alcanza un correcto equilibrio entre la transparencia y los derechos de protección de datos de los individuos. GOOGLE LLC espera tener la oportunidad de presentar y comentar sus nuevas prácticas con la AEPD pronto. NOVENO: Con fecha 05/10/2021, tuvo entrada en esta Agencia un escrito de alegaciones complementarias presentado por GOOGLE LLC. (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/137 (…). (…):
23. a)(…).
24. b)(…).
25. c)(…).
26. d)(…). (…) (…) (…) (…). DÉCIMO: Con fecha 30/12/2021, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por reproducidos a efectos probatorios las denuncias interpuestas y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de las denuncias y las comprobaciones realizadas por la Subdirección General de Inspección de Datos para verificar que los enlaces mencionados en las denuncias y su contenido se corresponden con las impresiones de pantalla aportadas por el denunciante o para acceder a dicho contenido en los casos en que éste no hubiera aportado la captura de pantalla correspondiente; y por presentadas las alegaciones formuladas por GOOGLE LLC y la documentación que a ellas acompaña. Asimismo, se acordó incorporar a las actuaciones la información y/o documentación siguiente: “
27. a)Información financiera relativa a la entidad GOOGLE LLC, obtenida de los sitios web “es.investing.com” y “es.tradingview.com”.
28. b)Copia de los “formularios” que se mencionan en los Antecedentes del acuerdo de inicio del procedimiento sancionador de referencia, habilitados por GOOGLE LLC para que los interesados puedan solicitar la retirada de contenidos, accesibles a través de las direcciones de internet que también se mencionan en dicho acuerdo (Formularios Google 1 a 23).
29. c)Copia de la información accesible a través de los enlaces a “lumendatabase.org” que se mencionan en los Antecedentes del acuerdo de inicio del procedimiento sancionador de referencia (Enlaces Lumendatabase 1 a 29).
30. d)Copia de la primera página de resultados de búsqueda en el buscador Google con los términos “D.D.D.”.
31. e)Copia del formulario “Retirada en virtud de la ley de privacidad de la UE”, accesible a través del sitio web “google.com” (“https://www.google.com/webmasters/tools/legal-removal-request? complaint_type=rtbf&visit_id=637759350971490255-235171692&hl=es&rd=1”). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/137
32. f)Copia de la Política de Privacidad accesible a través del sitio web “google.com” en su versión actual, vigente desde el 01/07/2021, y de algunas versiones de la misma vigentes a partir de 25/05/2018.
33. g)Copia de la información accesible a través de la URL citada por GOOGLE LLC en el punto 3.3 de su escrito de alegaciones de fecha 21/07/2021 (“https://www.lumendatabase.org/pages/lumen-notice-basics”).
34. h)Información disponible en el sitio web “lumendatabase.org” relativa al “Proyecto Lumen”. Dicha práctica de prueba fue notificada a GOOGLE LLC, advirtiéndole que el resultado de las mismas podría dar lugar a la realización de otras y que contra dicho acto de trámite no cabe la interposición de recurso administrativo, sin perjuicio de que el interesado pueda interponer los recursos que procedan contra la resolución que ponga fin al procedimiento, en virtud de lo establecido en el artículo 112.1 de la LPACAP. Por otra parte, se advirtió sobre el derecho a conocer, en cualquier momento, el estado de la tramitación del procedimiento y a formular alegaciones, utilizar los medios de defensa admitidos por el Ordenamiento Jurídico, y a aportar documentos en cualquier fase del procedimiento anterior al trámite de audiencia. A) Resultado de la prueba señalada con la letra a): ( …). (…). B. Resultado de la prueba señalada con la letra b): Se comprueba que el contenido y estructura de los formularios comprobados coincide con el detalle reseñado en el Antecedente Sexto. Por otra parte, se realizan las constataciones siguientes:
35. a)“Formularios Google 1 y 11”: formulario habilitado por GOOGLE LLC para denunciar presuntas infracciones de derechos de autor. Se accede al enlace “https://www.lumendatabase.org/notices/2069”, que corresponde a un aviso de infracción de derechos de autor de una empresa radicada en Estados Unidos, fechado en septiembre de 2003. Se pulsa el enlace que conduce a uno de los documentos de soporte de la solicitud y se accede a un formulario de Lumen que permite solicitar “el acceso completo a las quejas” de la empresa en cuestión ante Google, el cual tiene la siguiente estructura: “Para acceder a este aviso ingrese su dirección de correo electrónico y resuelva el captcha. Después de enviar el formulario, le enviaremos un correo electrónico con un enlace de un solo uso al aviso. Dirección de correo electrónico (espacio para registrar la dirección de correo) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/137 ( ) Seleccione para recibir una notificación cuando se agreguen nuevos documentos de notificación (o cuando se actualicen los documentos de notificación existentes). Entregar (botón)”. Este formulario incluye un enlace para acceder a las “instrucciones para presentar una notificación según la DMCA para cada producto”, el cual conduce a un documento con el rótulo “Ley estadounidense de los derechos de autor (DBCA)”.
36. b)“Formularios Google 2, 4, 5, 7, 9, 17, 21 y 23”: páginas de entrada para la solicitud de retirada de contenido en la que se listan diversos productos de la compañía y donde el solicitante elegiría a cuál de dichos productos se refiere su solicitud de retirada de contenido. Respecto de la lista de productos que consta reseñada en el Antecedente Sexto, se comprueba que desaparece el producto “Navlekha” y se añade “Google Workspace Marketplace”. 1. Se accede a la página a la que conduce el enlace al producto “Búsqueda de Google” (“Formulario Google 24”), comprobándose que no incluye ninguna referencia a la comunicación de información a Lumen. En esta página se ofrecen las opciones siguientes: “¿En qué podemos ayudarte? ( ) Quiero informar de software malicioso, phishing o problemas similares. ( ) Un contenido que solicité que se retirara sigue apareciendo en los resultados de búsqueda, a pesar de que el webmaster ya lo ha eliminado. ( ) Retirar información personal de Google de acuerdo con las políticas de nuestros productos (información personal identificable, doxxing, imágenes explícitas no consentidas, etc.). ( ) Información personal: solicitar que se retire información personal mía de los resultados de búsqueda de Google. ( ) Problema de propiedad intelectual: denunciar una infracción de derechos de autor, elusión, etc. ( ) Otro problema legal: denunciar contenido por otro motivo legal no incluido en la lista” . Con la opción “Información personal: solicitar que se retire información personal mía de los resultados de búsqueda de Google” se accede a una nueva página para retirada de contenidos, en la que GOOGLE LLC informa que “es posible que los resultados de búsqueda incluyan un aviso para indicar que se han eliminado algunos resultados”; y se ofrecen nuevas opciones al interesado: “Elige una de las siguientes opciones: ( ) Retirar información personal de Google de acuerdo con las políticas de nuestros productos (información personal identificable, doxxing, imágenes explícitas no consentidas, etc.) ( ) Derecho al olvido: solicitud de retirada de información de acuerdo con la legislación europea en materia de protección de datos ( ) Difamación: el contenido me difama a mí o a mi empresa u organización”. Al seleccionar una de estas opciones, se permite crear una solicitud (“Haga clic en Crear solicitud para enviar una solicitud a nuestro equipo”). La opción “Derecho al olvido” conduce al formulario “Retirada en virtud de la ley de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/137 privacidad de la UE”. Para la opción “Difamación” se muestra un formulario de recogida de datos con la información siguiente: “Solicitar la retirada de contenido por motivos legales Si cree que ha encontrado contenido que es ilegal en su país, puede utilizar este formulario para enviar una reclamación. Identifique las URL exactas del contenido en cuestión y explique detalladamente por qué cree que ese contenido es ilegal. Evaluaremos su solicitud teniendo en cuenta nuestras políticas de retirada de contenido, la revisaremos y adoptaremos las medidas oportunas”. “Para las reclamaciones de Búsqueda de Google, debe identificar la URL de cada página web que contenga material presuntamente infractor. Consulte este artículo si necesita ayuda para buscar las URL”. “Para que sea lo más preciso posible, cite exactamente el texto de las URLs indicadas arriba que considera que infringe sus derechos. Si el contenido presuntamente infractor es una imagen o un vídeo, proporcione una descripción detallada de ese contenido para que podamos localizarlo en la URL en cuestión”. “Si la infracción afecta a varios productos de Google, debe enviar una notificación por cada producto afectado”. Este formulario incluye campos para que el solicitante facilite los datos siguientes: país de residencia, nombre completo del solicitante, nombre de la empresa, nombre de la empresa o de la organización cuyos derechos legales representa, dirección de correo electrónico de contacto, URL presuntamente infractoras y firma. Se pide, asimismo, al solicitante que “Explique detalladamente por qué cree que el contenido de las URLs indicadas arriba es ilegal y cite las disposiciones legales específicas si es posible”. 2. Se accede a la página a la que conduce el enlace al producto “Google Maps y productos relacionados” (“Formulario Google 25”), comprobándose que incluye la siguiente información: “Cómo retirar contenido de Google Esta página le permitirá acceder al sitio adecuado para informar del contenido que quiera que se retire de los servicios de Google de acuerdo con las leyes aplicables. Proporciónenos información completa para que podamos investigar su consulta. Si tiene problemas que no sean de tipo legal con los Términos del Servicio o las Políticas de Productos de Google, visite http://support.google.com. Debe enviar una notificación individual para cada servicio de Google en el que aparezca el contenido”. En esta página se ofrecen nuevas opciones de “producto” (Fichas locales, Google Maps, Street View y sitio web de My Business). Al seleccionar la opción “Fichas locales (incluidas las fichas de empresa, reseñas, publicaciones y fotos)”, se muestra un texto informativo que hace referencia a la comunicación de datos al “Proyecto Lumen” (la misma referencia a “lumendatabase.org” que consta en los “Formularios de Google 3, 6, 8, 10, 12, 13, 14, 15, 16, 19, 20 y 22”, reproducida en el Antecedente Sexto), así como a la publicación de información en el informe de transparencia de “Google (“Asimismo, podemos publicar información similar procedente de tu notificación en nuestro informe de transparencia. Para obtener más información sobre este informe, haz clic aquí”). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/137 Se muestran, asimismo, las siguientes opciones sobre el motivo de la solicitud: “¿En qué podemos ayudarte? ( ) Quiero cambiar la información incorrecta de mi ficha local ( ) Quiero saber por qué se ha cambiado la información de mi ficha local ( ) Información personal: el contenido incluye mis datos personales ( ) Problema de propiedad intelectual: denunciar una infracción de derechos de autor, elusión, etc. ( ) Orden judicial: una sentencia judicial ha determinado que un contenido concreto es ilegal ( ) Problema legal: problema legal que no aparece en la lista ( ) Material con imágenes de abuso sexual infantil: representación visual de prácticas sexuales explícitas con menores”. Al seleccionar una de estas opciones, se permite crear una solicitud (“Haga clic en Crear solicitud para enviar una solicitud a nuestro equipo”). Para la opción “Información personal: el contenido incluye mis datos personales” se muestra un formulario de recogida de datos con la información siguiente: “Formulario para solicitar la retirada de información personal Por motivos de privacidad, es posible que tenga derecho a solicitar que se retire determinada información personal relacionada con usted. Este formulario se utiliza para solicitar la retirada de determinado contenido del producto de Google que ha seleccionado. Si desea solicitar la retirada de información personal de otro producto de Google, envíe una solicitud a través del formulario del producto correspondiente, disponible en nuestra página “Cómo retirar contenido de Google”. Por ejemplo, si desea solicitar que se retiren determinados resultados de la Búsqueda de Google correspondientes a consultas que incluyan su nombre, envíe una solicitud a través del formulario de la Búsqueda de Google correspondiente. Al recibir una solicitud, Google busca un equilibrio entre el derecho a la privacidad del individuo afectado y el derecho del público general a tener acceso a la información, así como el derecho de otros usuarios a distribuirla. Por ejemplo, Google puede negarse a retirar determinada información sobre estafas financieras, negligencia profesional, condenas penales o comportamiento público de funcionarios del gobierno”. “Acepto que se procese la información personal que envío, como se describe a continuación: Google LLC o Google Irlanda, para los usuarios del Espacio Económico Europeo o Suiza, utilizará la información personal que proporcione en este formulario (como su dirección de correo electrónico y todos los datos de identidad) y la información personal que envíe en otros mensajes para procesar su solicitud y cumplir con nuestras obligaciones legales. Google puede compartir información de su solicitud con las autoridades de protección de datos, pero solo si la solicitan para investigar o revisar una decisión que Google haya tomado. Esto suele ocurrir si se ha puesto en contacto con la autoridad de protección de datos nacional en relación con nuestra decisión. Una vez que se haya retirado el contenido de nuestros productos, informaremos a los propietarios correspondientes. Tenga en cuenta que si ha iniciado sesión en su cuenta de Google, podemos asociar su solicitud a esa cuenta. ( ) Marque la casilla para confirmarlo”. Este formulario incluye campos para que el solicitante facilite sus datos relativos a país de residencia, nombre completo y dirección de correo electrónico de contacto; así como el nombre y apellidos de la persona a la que representa, URL del contenido que incluya la información personal que desea que se retire, la información personal que desea que se retire y los motivos de la retirada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/137 3. Se accede a la página que conduce el enlace al producto “Google +” (“Formulario Google 26”), comprobándose que incluye la misma información reseñada en el caso anterior (“Google Maps”), incluida la referencia a la comunicación de datos a Lumen y al “Informe de transparencia de Google”. En cuanto a las opciones, se ofrecen las siguientes: “¿En qué podemos ayudarte? ( ) Quiero que se elimine mi perfil de los resultados de búsqueda. ( ) Quiero presentar una reclamación de suplantación de identidad. ( ) Otro problema legal: denunciar contenido por otro motivo legal no incluido en la lista”. Al seleccionar una de estas opciones, se permite crear una solicitud (“Haga clic en Crear solicitud para enviar una solicitud a nuestro equipo”). Para la opción “Quiero que se elimine mi perfil de los resultados de búsqueda” se muestra un enlace a la siguiente información: “Permitir o impedir que los motores de búsqueda web rastreen tu perfil de Google+ En la configuración de Google+ puedes permitir o impedir que los motores de búsqueda web rastreen tu perfil. 1. En el ordenador, abre Google+. 2. Haz clic en Menú Configuración. 3. Ve a "Perfil". 4. Activa o desactiva la opción "Permitir que otros usuarios encuentren mi perfil en los resultados de búsqueda". “¿Utilizas Google Currents en el trabajo o en un centro educativo? La persona de tu organización que gestiona tu cuenta de Google Workspace, denominado "administrador del sistema", elegirá si los buscadores web pueden rastrear tu página de perfil o no. Si no te gusta la opción que haya elegido, puedes cambiarla”. 4. Se accede a la página a la que conduce el enlace al producto “Google News” (“Formulario Google 27”), comprobándose que incluye la misma información reseñada en el apartado 2 anterior, salvo la referencia a la comunicación de datos al “Proyecto Lumen” y al “Informe de transparencia de Google”. En esta página se ofrecen las opciones siguientes: “¿En qué podemos ayudarte? ( ) Infracción de derechos de autor: mi obra protegida por derechos de autor se está utilizando ilegalmente sin autorización ( ) Contranotificación: apelación destinada a restaurar contenido que se retiró debido a una reclamación por infracción de derechos de autor ( ) Elusión: una herramienta elude las medidas tecnológicas de protección de los derechos de autor ( ) Información personal: el contenido incluye mis datos personales ( ) Orden judicial: una sentencia judicial ha determinado que un contenido concreto es ilegal ( ) Problema legal: problema legal que no aparece en la lista ( ) Material con imágenes de abuso sexual infantil: representación visual de prácticas sexuales explícitas con menores”. Al seleccionar una de estas opciones, se permite crear una solicitud (“Haga clic en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/137 Crear solicitud para enviar una solicitud a nuestro equipo”). Para la opción “Información personal: el contenido incluye mis datos personales” se muestra un formulario de recogida de datos con la misma información que consta en el apartado 2 anterior, correspondiente al formulario de solicitud disponible para esta misma opción, en el producto “Google Maps”. Este formulario incluye campos para que el solicitante facilite sus datos relativos a país de residencia, nombre completo y dirección de correo electrónico de contacto; así como el nombre y apellidos de la persona a la que representa, URL del contenido que incluya la información personal que desea que se retire, la información personal que desea que se retire y los motivos de la retirada.
37. c)Formularios Google 3, 6, 8, 10, 12, 13, 14, 15, 16, 19, 20 y 22. Se trata de las páginas de entrada a los formularios de retirada de contenido relativos a distintos productos de GOOGLE LLC, que constan detallados en el Antecedente Sexto. Se accede al enlace que se facilita en estos formularios para poder examinar un ejemplo de publicación en “lumendatabase.org” (https://www.lumendatabase.org/notices/5838). Corresponde a una retirada de contenido por difamación solicitada en abril de 2005 por una empresa del Reino Unido que no se identifica. Tampoco consta ninguna información personal del cliente de la entidad solicitante, y no se incluye ninguna URL ni documentación de soporte. Se pulsa el enlace incluido en esta publicación “para solicitar el acceso y ver las URL completas” y se accede al formulario habitual de “Lumen”, en que se solicita la dirección de correo electrónico de la persona que desea acceder a la información, a la que posteriormente dicha entidad envía un correo con un enlace a la información de un solo uso. Estos formularios incluyen un enlace para obtener información sobre el informe de transparencia de GOOGLE LLC (“Asimismo, podemos publicar información similar procedente de tu notificación en nuestro informe de transparencia. Para obtener más información sobre este informe, haz clic aquí”). Por otra parte, en el formulario de retirada de contenidos correspondiente al producto “Drive y documentos”, se selecciona la opción “Información personal: el contenido incluye mis datos personales”, que conduce a la página en la que se posibilita la creación de la solicitud (Formulario Google 22). Para esta opción se muestra un formulario de recogida de datos con la misma información que consta el apartado 2 anterior, correspondiente al formulario de solicitud disponible para esta misma opción, en el producto “Google Maps”. Este formulario incluye campos para que el solicitante facilite sus datos relativos a país de residencia, nombre completo y dirección de correo electrónico de contacto; así como el nombre y apellidos de la persona a la que representa, URL del contenido que incluya la información personal que desea que se retire, la información personal que desea que se retire y los motivos de la retirada.
38. d)Formulario Google 18: página de entrada a los formularios de retirada de contenido relativo al producto “Google Imágenes”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/137 Se accede al enlace “Visite esta página”, mediante el que se accede a la información facilitada sobre la manera de ponerse en contacto con el webmaster de un sitio web. Al final del documento, se indica: “Si el webmaster ya ha hecho los cambios que has solicitado en un sitio web que aparece en los resultados de búsqueda, puedes pedirnos que quitemos la información obsoleta mediante una “solicitud de retirada de página web”. Mediante este enlace “solicitud de retirada de página web” se accede a una herramienta para retirada de “contenido obsoleto de la Búsqueda de Google”. En la misma se indica lo siguiente: “Directrices . Esta herramienta solo funciona con páginas o imágenes que ya se hayan modificado o quitado de la Web. . Para retirar información personal o contenido con problemas legales que aún esté presente en una página, “envía una solicitud legal”. . Consulta más información en “este documento”. Nueva solicitud” Mediante la “consulta del documento” insertada en esa información permite acceder a una página con el rótulo “Herramienta retirar contenido obsoleto”, que permite “actualizar los resultados de búsqueda de Google de páginas o imágenes eliminadas o de páginas con contenido retirado”. Mediante el enlace “envía una solicitud legal”, también insertado en la información reseñada, se accede a la página en la que se incluye el botón “Crear solicitud”. Esta página informa lo siguiente: “Denunciar contenido por motivos legales Nos tomamos muy en serio el contenido inapropiado Si ve contenido en un producto de Google que cree que infringe la ley o sus derechos, póngase en contacto con nosotros. Revisaremos el material y estudiaremos la posibilidad de bloquearlo, limitarlo o retirar el acceso a dicho material. Comportamientos como la suplantación de identidad (phishing) o la presencia de contenido violento o explícito pueden suponer la infracción de las “políticas de nuestros productos” y dar lugar a una posible retirada de los contenidos de los productos de Google. Le recomendamos que informe sobre la posible infracción de contenido en la página del producto correspondiente antes de crear una solicitud. Crear una solicitud (botón). Proteger su información Nuestro objetivo es proporcionarle las herramientas de seguridad y privacidad más potentes del mundo. La seguridad y la privacidad son muy importantes para nosotros, por lo que nos esforzamos para ofrecerle la máxima protección. Lea nuestra “Política de Privacidad” para saber cómo utiliza Google la información y qué puede hacer usted para protegerse. Nuestro “Centro de seguridad” puede ayudarles a usted y a su familia a estar seguros en Internet. Consúltelo para obtener más información sobre el tema y saber cómo protege Google a los usuarios, sus ordenadores y toda la Web frente a los delitos informáticos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/137 La transparencia es fundamental para nosotros La transparencia es uno de los valores primordiales de Google. En nuestro afán de ser transparentes, podemos enviar una copia de cada aviso legal que recibamos al “proyecto Lumen” (enlace a la web “lumendatabase.org”) para que se publique. Lumen es un proyecto de investigación independiente dirigido por el Berkman Klein Center for Internet & Society de la Facultad de Derecho de Harvard. La base de datos de Lumen contiene millones de solicitudes de retirada de contenido que varias empresas han compartido de forma voluntaria, incluida Google. Su objetivo es facilitar la investigación académica y sectorial sobre la disponibilidad de contenidos online. Lumen ocultará la información de contacto personal del remitente, como su número de teléfono, dirección de correo electrónico y dirección postal. Puede ver un ejemplo de publicación de Lumen “en esta página”. Asimismo, podríamos publicar información similar procedente de su aviso en nuestro “Informe de transparencia”, que proporciona datos sobre las solicitudes que nos envían tanto titulares de derechos de autor como gobiernos para que retiremos información de nuestros productos. Información sobre los derechos de autor De acuerdo con la política de Google, debemos cumplir con los avisos de infracción de derechos de autor de conformidad con la ley estadounidense de protección de los derechos de autor (DMCA). Consulte más información sobre nuestras políticas de derechos de autor y todos los requisitos que debe cumplir un aviso en el “Centro de Ayuda sobre derechos de autor”. C. Resultado de la prueba señalada con la letra c): La información publicada en los Enlaces Lumendatabase 6, 7, 13, 15, 16, 17, 19, 27, 28 y 29 coincide con la reseñada en los Antecedentes Primero y Sexto. En el resto de los casos, se realizan las constataciones siguientes: . Enlace Lumendatabase 1 En la indicación del enlace figura: “(…)”. (…) Asimismo, se accede al enlace “Click here to request access and see full URLs””, que da acceso a la página “(…)”. Esta página aparece con el rótulo “Solicitar acceso completo a la denuncia por difamación a Google”, con el texto siguiente: “Para acceder a este aviso ingresa tu dirección de correo electrónico y resuelve el captcha. Después de enviar el formulario, le enviaremos un correo electrónico con un enlace de un solo uso al aviso. Dirección de correo electrónico (espacio para añadir la dirección de correo electrónico) ( ) Seleccione para recibir una notificación cuando se agreguen nuevos documentos de notificación (o cuando se actualicen los documentos de notificación existentes). Entregar (Botón)”. . Enlace Lumendatabase 2 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/137 El contenido publicado coincide con el reseñado en los Antecedentes anteriores. Se accede al enlace “Click here to request access and see full URLs””, que da acceso a la página “(…)”, con la misma estructura que la reseñada en el Enlace Lumendatabase 1. . Enlace Lumendatabase 3 En el texto de la reclamación se han suprimido los datos “(…)”, y la URL “(…)”. Se accede al enlace “Click here to request access and see full URLs””, que da acceso a la página “(…)”, con la misma estructura que la reseñada en el Enlace Lumendatabase 1. . Enlace Lumendatabase 4 Se indica la fecha de la solicitud dirigida a GOOGLE LLC ***FECHA.12 y los enlaces aparecen como sigue: (…) (…) (…) (…) (…) (…). . Enlace Lumendatabase 5 En el texto de la reclamación se han suprimido los datos “I.I.I.” y “***EMPRESA.1”. . Enlace Lumendatabase 8 En el texto de la reclamación se han suprimido los datos “B.B.B.” y (…) ; y el enlace figura con la reseña “(…)”. . Enlaces Lumendatabase 9 a 12 En el texto de la reclamación se han suprimido los datos “B.B.B.” (enlace 9), “B.B.B.” (enlace 10), “B.B.B.” (enlaces 11) y “B.B.B.” (enlace 12). . Enlace Lumendatabase 13 El contenido publicado coincide con el reseñado en los Antecedentes anteriores. . Enlace Lumendatabase 14 En el enlace se indica “(…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/137 . Enlace Lumendatabase 18 En el encabezado se han suprimido los datos “C.C.C.”, y en el texto de la reclamación se ha suprimido la información “(…)”. . Enlace Lumendatabase 19 La información coincide con la reseñada en los Antecedentes anteriores (solicitud anterior a la vigencia del RGPD). . Enlace Lumendatabase 20 El contenido publicado coincide con el reseñado en los Antecedentes anteriores (solicitud anterior a la vigencia del RGPD). . Enlace Lumendatabase 21 El contenido publicado coincide con el reseñado en los Antecedentes anteriores (solicitud anterior a la vigencia del RGPD). Se accede al blog “(…)” y se comprueba que ha sido eliminado. . Enlace Lumendatabase 22 Se ha suprimido el nombre de la solicitante en el encabezado. Se accede al blog “(…)” y se comprueba que ha sido eliminado. . Enlace Lumendatabase 23 Página similar a la anterior, con solicitudes dirigidas a GOOGLE LLC en base a resoluciones judiciales. . Enlace Lumendatabase 24 Página similar a la anterior, con solicitudes dirigidas a GOOGLE LLC en base a resoluciones judiciales. Se accede a algunos de los enlaces que figuran en la página de los resultados de la búsqueda correspondientes a usuarios españoles, comprobándose lo siguiente: . (…) (Enlace Lumendatabase 30) . Encabezado: Dirigida a GOOGLE LLC por J.J.J., en fecha 06/07/2020, como consecuencia de un fallo judicial. . Reclamación: “(…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/137 . Enlace: (…) . Documentos: Posibilidad de descarga de dos documentos de soporte en formato pdf. Por otra parte, se accede al enlace “Documentos de respaldo. PDF de apoyo. Haga clic aquí para obt…”, que da acceso a la página “(…)”. Esta página, que aparece con el rótulo “Solicitar acceso completo a la demanda de orden judicial a Google”, ofrece la opción de solicitar la información relativa a esta notificación: “Para acceder a este aviso ingresa tu dirección de correo electrónico y resuelve el captcha. Después de enviar el formulario, le enviaremos un correo electrónico con un enlace de un solo uso al aviso. Dirección de correo electrónico (espacio para añadir la dirección de correo electrónico) ( ) Seleccione para recibir una notificación cuando se agreguen nuevos documentos de notificación (o cuando se actualicen los documentos de notificación existentes). . (…) (Enlace Lumendatabase 31) . Encabezado: Dirigida a GOOGLE LLC por K.K.K., en fecha ***FECHA.16, como consecuencia de un fallo judicial. . Reclamación: “(…)”. . Enlace: (…) . (…) (Enlace Lumendatabase 32) . Encabezado: Dirigida a GOOGLE LLC por L.L.L., en fecha ***FECHA.17, como consecuencia de un fallo judicial. . Reclamación: “(…)” . Enlaces: (…) . Documentos: Posibilidad de descarga de dos documentos de soporte en formato pdf. . (…) (Enlace Lumendatabase 33) . Encabezado: Dirigida a GOOGLE LLC por M.M.M., en fecha ***FECHA.18, como consecuencia de un fallo judicial. . Enlaces: (…) (…) . Enlace Lumendatabase 25 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/137 Pagina no encontrada . Enlace Lumendatabase 26 Se han suprimido del encabezado los datos “H.H.H.”. D) Resultado de la prueba señalada con la letra d): Se incorpora a las actuaciones la primera página de resultados de búsqueda en el buscador Google con los términos “D.D.D.”. Se comprueba que en el pie de la página se incluye la siguiente reseña: “Es posible que algunos resultados se hayan eliminado de acuerdo con la ley de protección de datos europea. Más información”. E) Resultado de la prueba señalada con la letra e):
39. a)Se accede al sitio web “Google.com” y se incorpora a las actuaciones copia del formulario “Retirada en virtud de la ley de privacidad de la UE” (“https://www.google.com/webmasters/tools/legal-removal-request? complaint_type=rtbf&visit_id=637759350971490255-235171692&hl=es&rd=1”), el cual consta reproducido íntegramente en Anexo 2.
40. b)Se pulsa el enlace “Cómo retirar contenido de Google” insertado en el formulario anterior y se comprueba que da acceso a la página de entrada de Google para la solicitud de retirada de contenido en la que se listan diversos productos de la compañía, en la que el solicitante puede elegir a cuál de dichos productos se refiere su solicitud de retirada de contenido (Formularios Google 2, 4, 5, 7, 9, 17, 21 y 23). F) Resultado de la prueba señalada con la letra f): Se incorpora a las actuaciones copia de la Política de Privacidad accesible a través del sitio web “google.com” en su versión actual, vigente desde el 01/07/2021, y copia de las versiones de dicha Política de Privacidad de fechas 25/05/2018, 22/01/2019 y 31/03/2020. Del contenido de la actualización de la Política de Privacidad de fecha 25/05/2018 se destacan los apartados que constan reseñados en Anexo 1. La actualización de 22/01/2019 incluye los mismos apartados que la anterior y expresados en los mismos términos, salvo los cambios señalados en Anexo 1 (se introduce un nuevo apartado con el rótulo “Requisitos europeos”). De la misma forma, la actualización de 31/03/2020 tiene la misma estructura que la anterior y se expresa en los mismos términos, con los cambios que se indican en Anexo 1, entre los que destaca la incorporación de un nuevo apartado relativo a la “Conservación de datos”. La actualización de esta Política de Privacidad de 01/07/2021, que corresponde a la versión vigente en la actualidad incluye los mismos apartados que la versión anterior C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 40/137 y se expresan en los mismos términos, con los cambios señalados en Anexo 1. Todas las versiones de la Política de Privacidad examinadas incluyen el enlace “solicitar que se retire contenido”. Se pulsa dicho enlace y se comprueba, en todos los casos, que da acceso a la página de entrada a la solicitud de retirada de contenido en la que se listan diversos productos de la compañía, en la que el solicitante puede elegir a cuál de dichos productos se refiere su solicitud de retirada de contenido (Formularios Google 2, 4, 5, 7, 9, 17, 21 y 23). G) Resultado de la prueba señalada con la letra g):
41. a)Se accede a la dirección de internet “https://www.lumendatabase.org/pages/lumennotice-basics” y se incorpora a las actuaciones la información contenida en la misma. De la información contenida en este documento, que aparece con el rótulo “Conceptos básicos de la información del aviso de Lumen”, se destacan los fragmentos que se reproducen en Anexo 4.
42. b)Se accede a la dirección de Internet “https://support.google.com/websearch/troubleshooter/3111061#ts=2889054%2C2889 099”, incluida en el documento anterior, en el apartado “OTROS TIPOS DE AVISOS”. Conduce a un documento informativo de “Google” sobre retirada de información, el cual consta igualmente reproducido en Anexo 4. H) Resultado de la prueba señalada con la letra h):
43. a)Se accede al sitio web “lumendatabase.org”, al apartado denominado “Acerca de” y se incorpora a las actuaciones la información disponible en dicho apartado, la cual consta reproducida en Anexo 3.
44. b)Se accede al “Aviso Legal” insertado en “lumendatabase.org” y se incorpora a las actuaciones la información disponible en dicho apartado, la cual consta reproducida en Anexo 3.
45. c)Se accede al sitio web “lumendatabase.org”, al apartado denominado “Investigadores”, y se incorpora a las actuaciones la información disponible en dicho apartado, la cual consta reproducida en Anexo 3. DECIMOPRIMERO: Con fecha 31/01/2022, se emitió propuesta de resolución en el sentido siguiente: 1. Que por la Directora de la AEPD se sancione a la entidad GOOGLE LLC, por una infracción del artículo 6 del RGPD, tipificada en el artículo 83.5.
46. a)y calificada como muy grave a efectos de prescripción en el artículo 72.1.
47. b)de la LOPDGDD, con una multa por importe de 5.000.000 euros (cinco millones de euros). 2. Que por la Directora de la AEPD se sancione a la entidad GOOGLE LLC, por una infracción del artículo 17 del RGPD, tipificada en el artículo 83.5.
48. b)y calificada como muy grave a efectos de prescripción en el artículo 72.1.
49. k)de la LOPDGDD, con una multa por importe de 5.000.000 euros (cinco millones de euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 41/137 3. Que por la Directora de la AEPD se imponga a la entidad GOOGLE LLC, en el plazo que se determine, la adopción de las medidas necesarias para adecuar a la normativa de protección de datos personales las operaciones de tratamiento y los procedimientos de ejercicio del derecho objeto de las actuaciones, con el alcance expresado en el Fundamento de Derecho X de la propuesta de resolución. DECIMOSEGUNDO: Notificada la propuesta de resolución, ampliado el plazo concedido para la formulación de alegaciones y remitida copia de las actuaciones incorporadas al procedimiento, se recibió escrito de GOOGLE LLC en el que solicita lo siguiente: 1. Que se declare la nulidad de pleno derecho del procedimiento por no tener en consideración las normas del mecanismo de cooperación, e infringir las normas reguladoras del procedimiento sancionador de carácter fundamental y del principio de confianza legítima (letra
50. e)del artículo 47.1 de la LPACAP). 2. Subsidiariamente a lo anterior, la anulabilidad del Procedimiento en los términos contemplados en el artículo 48 LPACAP, por existir una actuación por parte de la Agencia que supone una infracción del ordenamiento jurídico y que provoca la indefensión de la reclamada. 3. Subsidiariamente a lo anterior, la inexistencia de las supuestas infracciones de los arts. 6.1 y 17 del RGPD, y el archivo de las actuaciones. 4. Subsidiariamente a lo anterior, la imposición de la cuantía de la sanción correspondiente en su grado mínimo y la limitación del ámbito de las órdenes o medidas correctoras únicamente a los tratamientos de datos atribuibles a GOOGLE LLC, otorgando un plazo razonable para cumplirlas. Después de declarar reproducidos sus escritos e informaciones anteriores, formula las consideraciones siguientes, en las que basa su petición: 1. El objeto inicial del procedimiento, referido a la “comunicación de datos relacionados con solicitudes o requerimientos de retirada de contenido que efectúa GOOGLE LLC. al proyecto Lumendatabase”, ha sido ampliado por la AEPD en la propuesta de resolución a tratamientos de los que GOOGLE LLC no es responsable, infringiendo con ello la normativa. Indica GOOGLE LLC que la Agencia inició el procedimiento con un objeto definido, como es el análisis de la comunicación de datos relacionados con solicitudes de retiradas de contenido al “Proyecto Lumen”, y se cuestionaba el cumplimiento del artículo 17 del RGPD en relación con esas comunicaciones. Sobre esta cuestión, GOOGLE LLC declara expresamente lo siguiente: “En efecto… Google LLC, es la entidad responsable del tratamiento de los datos personales que ha tenido lugar en el contexto de las comunicaciones de solicitudes de retirada a Lumen. Precisamente por este motivo el presente procedimiento fue correctamente iniciado frente a Google LLC”. Añade que, no obstante lo anterior, en la citada propuesta se imputa una nueva supuesta infracción del artículo 17 RGPD en base a las deficiencias (quod non) encontradas en los formularios y procedimientos para la retirada de contenidos accesibles a través de los productos y servicios de Google, que son ofrecidos a los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 42/137 usuarios ubicados en el Espacio Económico Europeo (“EEE”) y Suiza (incluidos Blogger/Blogspot, Drive, Google Fotos, Google Play, YouTube, etc.) por Google Ireland Limited, por lo que es esta entidad la responsable del tratamiento de los datos personales asociados al uso de estos servicios y la Irish Data Protection Commission (o “IDPC”) la autoridad de control principal para cualquier tratamiento transfronterizo relacionado con dichos datos personales. Tampoco GOOGLE LLC es responsable de los procedimientos y formularios para la retirada de contenidos ni de los datos personales tratados en este contexto. Al no considerar si el mecanismo de cooperación del artículo 60 del RGPD debía activarse con la ampliación del procedimiento, la AEPD ha infringido la normativa aplicable, lo que conlleva irremediablemente la nulidad del presente procedimiento conforme lo establecido en el artículo 47.1.
51. e)de la LPACAP o, en todo caso, la anulabilidad del procedimiento en los términos contemplados en el artículo 48 LPACAP. 2. Los hechos ponen de manifiesto que la tramitación de las reclamaciones, la involucración de la IDPC y las actuaciones de investigación y comprobación realizadas por la Agencia se han dilatado durante más de lo permitido en la normativa aplicable, no sujetándose tampoco a los trámites previstos en dicha normativa. Las actuaciones previas de investigación han excedido ampliamente el plazo de 12 meses establecido en el artículo 67.2 de la LOPDGDD, toda vez que la IDPC rechazó su competencia (entendiéndose, entonces, que la competencia correspondía a la AEPD) el 22/01/2020. Frente a ello no puede oponerse el archivo provisional del expediente declarado el 16/01/2020 de conformidad con el artículo 66.2 de la misma Ley Orgánica, que solo puede extenderse hasta el momento en que la AEPD confirme su competencia. En este momento el archivo provisional se levanta y el expediente vuelve a recuperar todo su vigor. Procede aplicar en este caso por analogía un criterio en línea con lo que establece el artículo 64.4 de la LOPDGDD, según el cual la suspensión de los plazos de los trámites finaliza en el momento en que la autoridad de control del otro Estado Miembro procede a la “notificación del pronunciamiento a la Agencia Española de Protección de Datos”. Así, aunque la Agencia declarase en su momento el archivo provisional del procedimiento, dicho archivo debe entenderse alzado el 22/01/2020, una vez que la AEPD “recuperó” su competencia sobre el conocimiento de las reclamaciones. En consecuencia, el archivo provisional del procedimiento resulta ineficaz para evitar la caducidad de las actuaciones. Asimismo, la falta de declaración por parte de la AEPD del levantamiento formal del archivo provisional no puede tener efecto alguno a este respecto, dado que es evidente que el procedimiento continuó. Ante esta situación, las actuaciones previas de investigación habrían caducado, por lo que la información recabada en el marco de las mismas no podría utilizarse en este Procedimiento. Esta circunstancia fue puesta de manifiesto por esta parte en sus Alegaciones al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 43/137 Acuerdo de Inicio. Ante ello, en la propuesta de resolución, la Agencia señala que acordó la apertura del procedimiento sin haber desarrollado actuaciones previas de investigación y, que siendo así, no puede invocarse la caducidad de unas actuaciones que no han tenido lugar. Aunque la Agencia niega estas actuaciones previas, resulta palmario que sí llevó a cabo una serie de actuaciones destinadas a la “mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento” y que sólo pueden calificarse de investigaciones o comprobaciones y que han quedado reflejadas en el Expediente Original (pág. 194 y ss. y pág. 275 y ss. del Anexo 1), así como en los antecedentes indicados en la propuesta de resolución. La existencia de estas labores de investigación es un hecho incontestable. La AEPD no facilita ninguna explicación acerca de cómo calificar entonces las labores de investigación que efectivamente realizó con carácter previo al acuerdo de inicio, ni tampoco el marco jurídico en el que las habría realizado. Simplemente se limita a negar haber practicado investigación alguna, lo cual es evidente que no se ajusta a la realidad. A la vista de ello, sólo caben dos posibilidades, abocando ambas a la infracción del ordenamiento jurídico por parte de la AEPD:
52. a)Que aunque no se declarase formalmente la apertura de actuaciones previas al no existir acuerdo por el que se decidiese su iniciación, tales actuaciones previas debieran entenderse abiertas de todas formas, dadas las labores de investigación que, de forma efectiva, sí llevó a cabo la Agencia. Si tal fuera el caso, dichas actuaciones previas habrían excedido el plazo de tiempo legalmente permitido y deberían entenderse caducadas por las razones expuestas anteriormente.
53. b)Que, al no existir formalmente acuerdo de iniciación de las actuaciones previas, la Agencia hubiese realizado actuaciones de indagación, investigación y comprobación, fuera del marco legalmente establecido para las actuaciones previas, (
54. i)ejercitando potestades e invirtiendo recursos y medios humanos y materiales, sin amparo legal ni un marco jurídico legalmente establecido (lo que de por sí conlleva el reproche legal) y (
55. ii)burlando así además de forma reprochable el límite temporal establecido por la LOPDGDD para las actuaciones previas. En relación con la posibilidad de realizar labores de investigación sin apertura formal de diligencias previas, GOOGLE LLC señala que no comparte la interpretación que la Agencia hace respecto del artículo 67 de la LOPDGDD y del carácter potestativo de las mismas. En virtud de este artículo la Agencia puede llevar a cabo o no actuaciones previas de investigación antes de adoptar el acuerdo de inicio, pero en caso de realizar alguna investigación o comprobación, el cauce legal previsto para ello deben ser las citadas actuaciones previas de investigación. Por otro lado, el plazo de 12 meses establecido para las actuaciones previas obedece a la voluntad del legislador de asegurar la eficiencia de la labor de la AEPD y proteger a los administrados frente a la dilatación excesiva de los procedimientos. No puede C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 44/137 aceptarse que la AEPD pueda llevar a cabo actuaciones destinadas a la “mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento” indefinidamente, sin considerarlas formalmente “actuaciones previas de investigación”, más aún cuando, como ocurre en nuestro caso, ello es invocado precisamente para eludir las restricciones de plazo impuestas imperativamente por el artículo 67.2 de la LOPDGDD. Por tanto, la Agencia ha vulnerado las disposiciones de la LOPDGDD relativas al procedimiento administrativo sancionador y su tramitación, viciando de nulidad el acuerdo de inicio y el procedimiento conforme lo establecido en el artículo. 47.1.
56. e)de la LPACAP por haber prescindido total y absolutamente del procedimiento legalmente establecido. 3. Considera GOOGLE LLC que no ha vulnerado el artículo 6 del RGPD, que procede aplicar la base legitimadora del interés legítimo a las comunicaciones de datos hechas a Lumen. La Agencia rechaza la aplicación del interés legítimo y niega la posibilidad de acudir al consentimiento. Respecto de esta última alternativa indica que nunca ha sido defendida por GOOGLE LLC, por lo que no alude a la misma en sus alegaciones, aunque advierte que discrepa de los razonamientos recogidos en la propuesta, si bien no ofrece explicación alguna al respecto. Entiende la reclamada que, según el Dictamen 06/2014 sobre el concepto de interés legítimo del responsable del tratamiento de los datos, (
57. a)existen varios intereses legítimos en la cesión de datos con Lumen, y (
58. b)dichos intereses legítimos prevalecen sobre los derechos y libertades de los interesados; en línea con lo indicado en las alegaciones al acuerdo de inicio, que reproduce casi literalmente en este nuevo escrito de alegaciones a la propuesta. Reitera lo expresado en el escrito de alegaciones a la apertura del procedimiento sobre los intereses legítimos de GOOGLE LLC, Lumen y la sociedad en general en la cesión de información sobre solicitudes relativas a la retirada de contenidos, y señala, en respuesta a lo indicado en la propuesta de resolución, que tales intereses legítimos no tienen un carácter sobrevenido, sino que existían antes de que se realizasen las cesiones a Lumen y cumplían los requisitos necesarios para constituir la base legitimadora de tales cesiones; y que no cabe defender que dicha comunicación de datos defraude la expectativa de privacidad de los usuarios, dado que estos son informados en los formularios. Por otra parte, GOOGLE LLC aclara que no es cierto que comparta con Lumen la dirección de correo electrónico de los reclamantes, y que ello solo podría ocurrir en el caso de que sea el propio reclamante el que incluya su dirección de correo en el campo libre del formulario destinado a motivar o explicar su solicitud de retirada. Finalmente, alega la reclamada que ninguna de las circunstancias señaladas por la Agencia para cuestionar la aplicación de esta base legal puede negar su propio interés legítimo, el de Lumen o de la sociedad en general, ni tampoco puede entenderse que inclinen el test de ponderación en favor de los derechos y libertades de los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 45/137 4. La AEPD imputa a GOOGLE LLC una infracción del art. 17 del RGPD, referido al derecho de supresión, si bien desde una perspectiva muy distinta a la analizada en el acuerdo de inicio, y reprocha la “no atención y obstaculización del derecho de supresión de datos personales” a partir del análisis de procedimientos y diversos formularios que las entidades del grupo Google ponen a disposición de sus usuarios para la solicitud de la retirada de contenidos ilícitos o de aquellos contenidos contrarios a los términos del servicio o a las políticas de contenido de cada respectivo servicio o producto de Google. GOOGLE LLC no es el responsable del tratamiento de los datos personales tratados en el contexto de muchos de esos formularios y de los procesos de retirada asociados, lo que conlleva la imposibilidad de que la Agencia pueda imputarle la infracción del artículo 17 del RGPD respecto de esos tratamientos. Además, la AEPD no aporta prueba alguna de la existencia de un solo derecho de supresión “no atendido” ni “obstaculizado” por la reclamada y fundamenta la infracción en una opinión sobre la falta de sencillez y claridad de los formularios de retirada de Contenidos. La citada imputación está desprovista de prueba o criterio objetivo alguno y desconectada absolutamente de las denuncias que originaron el procedimiento. La AEPD ignora que GOOGLE LLC tiene más canales abiertos para la comunicación con sus usuarios e interesados en ejercitar un derecho al amparo de la normativa de protección de datos, siendo posible contactar con la Oficina de Protección de Datos de Google por los cauces habilitados para ello, se ofrecen formularios genéricos para formular cualquier tipo de reclamación legal y, del mismo modo, la entidad recibe regularmente todo tipo de correos postales relacionados con retiradas de contenido o con el ejercicio de derechos. La AEPD “especula” que la falta de atención y obstaculización existe porque los formularios de retirada de contenidos no son claros, pero ello no resulta suficiente para acreditar la infracción, que se sitúa ante un supuesto de ejercicio efectivo de un derecho de supresión, que se infringe sólo cuando se frustra realmente, bien por impedirse su ejercicio, bien por no suprimirse los datos personales cuando procedía. Pero la comisión del tipo infractor exige como “conditio sine qua non” la existencia de un derecho de supresión que, bien se intentó ejercitar y no se logró al impedirse ilícitamente su ejercicio, o se ejercitó y no se suprimieron los datos cuando así procedía. Corresponde a la AEPD la carga de probar la existencia real de ese ejercicio del derecho de supresión que no llegó a buen término por “no haber sido atendido o haber sido obstaculizado”. Sin embargo, la Agencia no prueba tal cosa. Frente a ello, aunque no es exigible a nadie que pruebe su inocencia, GOOGLE LLC puede aportar numerosas evidencias de que el derecho de supresión se atiende correctamente y en ningún caso se obstaculiza. (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 46/137 Por otro lado, la AEPD ignora el conjunto de páginas de ayuda y recursos específicamente destinados a informar y asistir a los solicitantes del derecho de supresión ante GOOGLE LLC. Es el caso, entre otras, de la página de ayuda “Descripción general del derecho al olvido” (aporta el detalle de esta página), que incluye, según dicha entidad, información muy detallada, en lenguaje sencillo, claro y conciso sobre el derecho, tal y como ha sido reconocido por el TJUE y lo vienen aplicando e interpretando los tribunales y las autoridades de protección de datos en sus decisiones y guías. También pone a disposición de los reclamantes videotutoriales para explicar los cauces y procedimientos para ejercitar su derecho de supresión (“derecho al olvido”) eficazmente (aporta impresión de pantalla disponible en Youtube). Considera inaudito que la AEPD entienda que GOOGLE LLC obstaculiza el ejercicio de derechos, cuando invierte tantos recursos y medios para explicar a los reclamantes como pueden ejercitarlo. La AEPD también parece haber pasado por alto que la Sala Tercera del Tribunal Supremo ha tenido ocasión de evaluar formularios para la retirada de contenidos ofrecido por Google LLC en diversas sentencias, y lo ha hecho en los siguientes términos: “ofrece a los interesados información completa sobre el ejercicio de su derecho, facilita los correspondientes formularios y proporciona instrucciones precisas para cumplimentarlos”. Véanse, por todas, la Sentencia núm. 1917/2016, de 21 de julio de 2016 (Recurso núm. 2866/2015), la Sentencia núm. 3713/2016 de 21 de julio de 2016 (Recurso núm. 3279/2015) o la Sentencia núm. 1912/2016 de 21 de julio de 2016 (Recurso núm. 1867/2015). A la vista de la ausencia de prueba, a juicio de la reclamada, resulta que la AEPD está tratando de reorientar la finalidad del artículo 17 RGPD y de crear una nueva construcción sobre cómo se deben canalizar las solicitudes de los interesados. Una nueva interpretación que no tiene ninguna conexión con las pruebas recabadas por la AEPD, sus conclusiones y las denuncias presentadas. Como en ocasiones anteriores, parece que la AEPD está utilizando un procedimiento sancionador de manera impropia para establecer criterios interpretativos (cuando dicho procedimiento es claramente inadecuado para ello) y, como la Agencia bien sabe, dicho comportamiento no está permitido por la ley. Así lo estableció la Sala de lo Contencioso Administrativo de la Audiencia Nacional en su sentencia de 23 de abril de 2019 (recurso núm. 88/2017), precisamente como resultado de un recurso de GOOGLE LLC: “En definitiva, considera la Sala que la AEPD, en este caso, no ha procedido a incoar un procedimiento sancionador, a partir de la denuncia de unos hechos concretos, y en el que, respetando los principios que rigen tal procedimiento, haya llegado a una resolución sancionadora después de hacer una valoración razonable de las pruebas, sino que, como ella misma viene a reconocer, ha hecho uso de un procedimiento sancionador, para establecer un criterio interpretativo respecto a las cuestiones planteadas por los denunciantes –el desacuerdo con los criterios ya establecidos por la propia AEPD en un comunicado de prensa- conforme a las directrices del Grupo de Autoridades de protección de datos de la Unión Europea. (F. V, pág 41 de la resolución), criterio que en absoluto puede ser compartido por la Sala, de acuerdo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 47/137 con lo anteriormente expuesto”. Tampoco consta en el expediente queja o denuncia de algún ciudadano sobre este particular. Así, las conclusiones de la propuesta de resolución son