PS-00149-2016

1/51 Procedimiento Nº PS/00149/2016 RESOLUCIÓN: R/02232/2016 En el procedimiento sancionador PS/00149/2016, instruido por la Agencia Española de Protección de Datos a la entidad GOOGLE INC., vistas las denuncias presentadas, y en base a los siguientes, ANTECEDENTES PRIMERO: En fecha 26 de marzo de 2015, tuvo entrada una denuncia presentada por el denunciante 1, cuya identidad consta en los Anexos, en la que se hace referencia a un comunicado de prensa de esta Agencia, fechado el 28 de noviembre de 2014, acerca del documento aprobado por el Grupo de Autoridades europeas de protección de datos sobre “derecho al olvido”, en el que se analizan los pronunciamientos del TJUE y se dictan los criterios interpretativos comunes para su aplicación. En la denuncia se alude al posible incumplimiento legal por parte del buscador de Internet Google en relación con dos cuestiones abordadas en el comunicado de la AEPD: por un lado, la política de avisos a los usuarios sobre resultados incompletos y, por otro, la comunicación a terceros de los resultados que han sido desindexados por el buscador: En el comunicado de la AEPD se aclara: . Política de avisos. La práctica de algunos buscadores de informar a los usuarios de que la lista de resultados puede no estar completa como consecuencia de la aplicación del derecho europeo no encuentra fundamento en ninguna exigencia normativa. Esta práctica sólo puede ser aceptable si la información se ofrece de tal manera que los usuarios no puedan deducir, en ningún caso, que una persona concreta ha solicitado la retirada de ciertos resultados asociados a su nombre. . Comunicación a terceros. En relación con la práctica desarrollada por algunos buscadores de comunicar a los responsables de las webs que ciertas páginas dejarán de ser accesibles en determinadas búsquedas realizadas por nombres de personas, las Autoridades manifiestan que, dado que los buscadores no reconocen a los editores un derecho a ser indexados ni a un trato equitativo, no existe base legal que ampare dicha comunicación. Únicamente se considera justificada la realización de contactos previos cuando sea necesario recabar información adicional para tomar la decisión contra el buscador. En concreto, la denuncia hace referencia al aviso que figura en el sitio web del buscador, según el cual la compañía “puede proporcionar información a los webmasters de las URL que se hayan retirado de nuestros resultados de búsqueda”, y señala que Google únicamente debería establecer comunicaciones “a priori” en los casos en que resulte necesario, no ajustándose al criterio establecido por las autoridades europeas comunicar las eliminaciones “a posteriori”, que supondrían una vulneración del deber de secreto y/o infracción por comunicación de datos personales. En la denuncia se alude expresamente a los avisos remitidos por Google a dos medios de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/51 comunicación españoles anunciando la eliminación de resultados relacionados con contenidos publicados en dichos medios. También se hace referencia a otro aviso difundido a través del sitio web de Google que indica lo siguiente: “Como parte de nuestros esfuerzos por ser transparentes, enviamos una copia de todos los avisos legales que recibimos al proyecto Chilling Effects para su publicación y anotación. Chilling Effects es un proyecto conjunto de las facultades de derecho de Estados Unidos cuyo objetivo es proporcionar recursos relacionados con la libertad de expresión en Internet y con las leyes de propiedad intelectual. También ofrece una base de datos de solicitudes de retirada de contenido de Internet. Chilling Effects ocultará la información de contacto personal del remitente (es decir, tu número de teléfono, tu dirección de correo electrónico y tu domicilio”. A este respecto, advierte que Google no ha declarado a esta Agencia dicha comunicación de datos, que incluye el detalle de nombre y apellidos de los peticionarios, algunos de los cuales, según se indica, han obtenido una resolución de la AEPD o tienen intención de iniciar un procedimiento. Aporta varias URLs como ejemplo. Considera que esta comunicación de datos puede suponer la comisión de las infracciones tipificadas en los artículos 44.2.a), 44.3.

1. d)y
2. k)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). Todo ello, además, a juicio del denunciante 1, limita el ejercicio de los derechos por los interesados, concurriendo en la infracción descrita en el artículo 44.3.e), en la medida en que los interesados podrían no ejercitar los derechos por el temor a que el buscador divulgue las solicitudes s los resultados de forma desproporcionada. En fechas 9 de diciembre de 2015 y 23 de febrero de 2016, tuvieron entrada en la Agencia nuevos escritos del denunciante 1, en los que se refiere a direcciones web del dominio lumendatabase.org, nueva web cesionaria de Google, en la que son accesibles detalles de distintas reclamaciones de eliminación de contenidos en internet de personas españolas. Añade que no consta que esta cesión se haya declarado en los ficheros de Google registrados en la AEPD. Advierte que los enlaces señalados en su escrito anterior han sido eliminados, excepto dos de ellos que han sido redirigidos a lumendatabase.org, y añade nuevos enlaces como ejemplo. SEGUNDO: En fecha 25 de junio de 2015, por el Director de la Agencia se dicta resolución del recurso de reposición formulado frente a la resolución del procedimiento de tutela de derechos TD/1488/2014, informándose al recurrente (en lo sucesivo denunciante 2, cuya identidad consta en los Anexos) que “las cuestiones denunciadas referentes a la comunicación de resultados desindexados a ChillingEffects.org y al editor” serían analizadas en el marco de las actuaciones de inspección iniciadas con motivo de la denuncia reseñada en el Hecho Primero. En dicho recurso, el denunciante señala, en concreto, que la herramienta de eliminación de contenidos de Google posibilita la comunicación por parte de la misma a las web de origen y que al realizar una búsqueda con su nombre y apellidos como criterio aparece, a pie de página, el siguiente aviso: “En respuesta a un requisito legal enviado a Google, hemos eliminado 2 resultado(
3. s)de esta página. Si lo desea, puede obtener más información sobre este requisito en ChillingEffects.org”. Considera que estos hechos son constitutivos de la infracción tipificada en el artículo 44.4.b), incumple el deber de guardar secreto, el deber de información, por cuanto Google nunca advirtió C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/51 que se añadiría ese aviso a pie de página, impide u obstaculiza el ejercicio de derechos y supone un tratamiento de datos sin consentimiento con conculcación de los principios y garantías establecidos en el artículo 4 de la LOPD. Aporta copia de una Acta notarial de presencia y comprobación, de 03/03/2015, que incorpora el resultado de las búsquedas realizadas con su nombre y apellidos como criterio, vinculadas a las web google.es, google.fr y google.com, para dejar constancia de que en las páginas de resultados obtenidas se incluye el aviso antes transcrito. En fecha 14 de julio de 2015 tiene entrada un nuevo escrito del denunciante 2, en el que reitera las manifestaciones realizadas en el recurso y acompaña copia de un acta de conciliación, del Juzgado de 1ª Instancia nº 4 de Madrid, de 4 de marzo de 2015, en la que la representación legal de Google Spain, S.L. y Google Inc., como parte demandada, afirma que las URL controvertidas habían sido retiradas del buscador, aportando acta notarial acreditativa de ello. Asimismo, en relación con los mensajes referidos en la papeleta de conciliación sobre notificación a la página web de origen, la representación legal de la parte demandada afirma que “no se refieren específicamente a la parte actora”, rechazándose la indemnización solicitada por el demandante. Posteriormente, en fechas 11/08/2015 y 15/12/2015, el denunciante 2 reiteró lo expresado en sus escritos anteriores. Asimismo, aportó copia del resultado de la búsqueda realizada mediante el buscador Google, que contiene el siguiente aviso: “En respuesta a un requisito legal enviado a Google, hemos eliminado 4 resultado(
4. s)de esta página. Si lo desea, puede obtener más información sobre este requisito en ChillingEffects.org. Es posible que algunos resultados se hayan eliminado de acuerdo con la ley de protección de datos europea. Más información”. Añade que al clickar el enlace “Leer más información sobre este requisito” se accede a la página ChillingEffects, que incluye la indicación “NOTICE TYPE: Data Proteccion This user requested removal of 2 URLs”. TERCERO: En fecha 27 de noviembre de 2015, tuvo entrada una denuncia presentada por el denunciante 3, cuya identidad consta en los Anexos, que se refiere también al aviso que figura al pie de la página de resultados del buscador Google con su nombre y apellidos como criterio de la búsqueda, cuyo contenido es el siguiente: “En respuesta a un requisito legal enviado a Google, hemos eliminado 2 resultado(
5. s)de esta página. Si lo desea, puede obtener más información sobre este requisito en LumenDatabase.org”. Según expone, al seleccionar el enlace que figura en dicho aviso se accede a una página en la que se le informa que el contenido no está disponible pero que lo estará en un futuro. Añade que la búsqueda con su nombre y apellidos entrecomillados en google.es y google.com ofrece la posibilidad de repetir los resultados con inclusión de algunos omitidos y que esta búsqueda sin exclusiones muestra varios enlaces, en los que ya no están sus datos pero que contienen la leyenda: “como respuesta a un requerimiento legal enviado a Google, hemos suprimido esta entrada. Si quieres, puedes obtener más información sobre el requerimiento en ChillingEffects.org”. Al seleccionar el hipervínculo se accede a la web lumendatabase.org, en la que se informa que el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/51 contenido no está disponible pero que lo estará en un futuro. Advierte que la misma respuesta se obtiene mediante la búsqueda en dicha web con su nombre y apellidos. Añade que en los enlaces eliminados (en uno de los cuales se muestra su nombre y apellidos) pueden obtenerse sus datos personales, accesibles en la caché de Google, por lo que solicitó su eliminación a través de las herramientas de la entidad. En la denuncia se solicita expresamente que por la AEPD se apliquen los criterios tenidos en cuenta para la apertura de las actuaciones a las que hacía referencia la resolución del recurso de reposición arriba indicado. CUARTO: Tras la recepción de la primera denuncia la Subdirección General de Inspección de Datos inició la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Por la Inspección de Datos se ha verificado que en la página https://support.google.com/legal/answer/3110420?hl=es Google informa a los usuarios, con carácter general, acerca del tratamiento que otorga a las solicitudes de retirada de contenido en los sitios web que administra: “Si has encontrado contenido en Google que pueda infringir la ley, infórmanos para que podamos revisar el material atentamente y consideraremos la posibilidad de bloquearlo, retirarlo o restringir el acceso... Como parte de nuestros esfuerzos por ser transparentes, enviamos una copia de todos los avisos legales que recibimos al proyecto Lumen para su publicación y anotación. Lumen es un proyecto conjunto de las facultades de derecho de Estados Unidos cuyo objetivo es proporcionar recursos relacionados con la libertad de expresión en Internet y con las leyes de propiedad intelectual. También ofrece una base de datos de solicitudes de retirada de contenido de Internet. Lumen ocultará la información de contacto personal del remitente (es decir, tu número de teléfono, tu dirección de correo electrónico y tu domicilio). Puedes ver un ejemplo de una de estas publicaciones en esta página”. Por otra parte, se constata que en la página https://support.google.com/legal/answer/1728574? hl=es se informa “Ten en cuenta que es posible que enviemos una copia de cada una de las notificaciones legales que recibamos al proyecto Lumen (http://www.lumendatabase.org) para su publicación y anotación. Lumen retirará la información de contacto personal del remitente (es decir, el número de teléfono, la dirección de correo electrónico y el domicilio). Para consultar un ejemplo de este tipo de publicaciones, accede a la página http://www.lumendatabase.org/notices/5838...”. 2. Por la Inspección de Datos se ha verificado que en el formulario web habilitado por Google en https://support.google.com/legal/contact/lr_eudpa?product=websearch (Solicitud de retirada de resultados de búsqueda en virtud de la normativa de protección de datos europea) se indica: “En mayo de 2014, una sentencia del Tribunal de Justicia de la Unión Europea (C-131/12, 13 de mayo de 2014) declaró que determinados usuarios pueden solicitar que los motores de búsqueda eliminen resultados de consultas que incluyan su nombre si los derechos de privacidad de la persona prevalecen sobre los intereses en esos resultados. Cuando nos envías una solicitud de este tipo, Google buscará un equilibrio entre el derecho a la privacidad del individuo y el derecho del público a conocer y distribuir información. Al evaluar tu solicitud, Google examinará si los resultados incluyen información obsoleta sobre ti, así como si existe interés público por esa información (por ejemplo, Google puede negarse a retirar determinada información sobre estafas financieras, negligencia profesional, condenas penales o comportamiento público de funcionarios públicos).” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/51 Al pie del formulario se incluye la siguiente leyenda: “Al escribir tu nombre y hacer clic en ‘Enviar’, aceptas que se procese la información personal que envías como se describe a continuación y declaras que las afirmaciones anteriores son verdaderas, que solicitas la retirada de los resultados de búsqueda identificados por las URL que has indicado anteriormente y que, si actúas en nombre de otra persona, tienes la autoridad legal para hacerlo. Google Inc. utilizará la información personal que proporciones en este formulario (como tu dirección de correo electrónico y todos los datos de identificación) y la información personal que envíes en otros mensajes para procesar tu solicitud y cumplir con nuestras obligaciones legales… Google puede proporcionar información a los webmasters de las URL que se hayan retirado de nuestros resultados de búsqueda.” 3. En fechas 17 de julio y 12 de agosto de 2015, por la Inspección de Datos se realizó una búsqueda en Google del nombre y apellidos del denunciante 2, incorporándose a las presentes actuaciones de inspección una copia impresa de la página de resultados obtenida, en cuyo pie figura la leyenda: “En respuesta a un requisito legal enviado a Google, hemos eliminado 2 resultado(
6. s)de esta página. Si lo desea, puede leer más información sobre este requisito en ChillingEffects.org.” Se verifica que, al seleccionar el enlace subrayado, se accede a una página del dominio chillingeffects.org, en la que se lee: “Data Protection Complaint to Google Recipient Google Inc. […] Received on June 13, 2013 Re: Link Removal Sent via: unknown NOTICE TYPE: Data Protection This user requested removal of 2 URLs Requests for Removal from Search Results […]”. En fechas 14 de diciembre de 2015 y 23 de febrero de 2016, se realizó una nueva búsqueda con el mismo criterio, obteniéndose una página de resultados que contenía al pie el mismo aviso. Se verifica que al seleccionar el enlace subrayado se accede a una página del dominio lumendatabase.org, en la que se indica que el aviso aún no está disponible. 4. En fecha 4 de diciembre de 2015 y 23 de febrero de 2016por la Inspección de Datos se realizó una búsqueda en Google del nombre y apellidos del denunciante 3, incorporándose a las presentes actuaciones de inspección una copia impresa de la página de resultados obtenida, en cuyo pie figura la siguiente leyenda: “Para mostrarte los resultados más relevantes, hemos omitido algunas entradas muy similares a las cuatro que ya se muestran. Si quieres, puedes repetir la búsqueda e incluir los resultados que se han omitido” En respuesta a un requisito legal enviado a Google, hemos eliminado 2 resultado(
7. s)de esta página. Si lo deseas puedes leer más información sobre este requisito en LumenDatabase.org. Es posible que algunos resultados se hayan eliminado de acuerdo con la ley de protección de datos europea. Más información”. Se verifica que, al seleccionar el enlace subrayado, se accede a una página del dominio lumendatabase.org, en la que se indica que el aviso aún no está disponible. Con fecha 14 de diciembre de 2015 se realiza la misma búsqueda relativa al denunciante 3 y se incorpora a las actuaciones la información que ofrece el buscador y que conserva en su memoria temporal relativa a uno de los resultados, vinculado al blog ***BLOG.1.com. Corresponde a una entrada de DD de MM de AA e incluye el detalle de nombre y apellidos del denunciante 3 y una fotografía del mismo. Asimismo, con fecha 23 de febrero 2016 se realizó una nueva búsqueda en Google del nombre y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/51 apellidos del denunciante 3, incorporándose a las presentes actuaciones de inspección una copia impresa de la página de resultados obtenida, en cuyo pie figura la siguiente leyenda: “En respuesta a un requisito legal enviado a Google, hemos eliminado 2 resultado(
8. s)de esta página. Si lo deseas puedes leer más información sobre este requisito en LumenDatabase.org. Es posible que algunos resultados se hayan eliminado de acuerdo con la ley de protección de datos europea. Más información”. 5. De la información publicada en el sitio web www.lumendatabase.org se desprende que Lumen es un proyecto de investigación del Berkman Center for Internet & Society de la Universidad estadounidense de Harvard. En el sitio web se publica una nota, fechada el 2 de noviembre de 2015, anunciando el cambio de la denominación anterior del proyecto (ChillingEffects Clearinghouse) por la actual. Se indica que el propósito del proyecto es estudiar de forma transparente las solicitudes relacionadas con la eliminación de contenidos en internet. Entre las materias analizadas, aparte del “derecho al olvido” figuran: requerimientos judiciales y gubernamentales, difamación, cumplimiento normativo, patentes, publicidad, marcas, secretos comerciales. En cuanto a las fuentes, se indica que son de dos tipos: usuarios individuales que les remiten solicitudes a las que han tenido acceso sobre el borrado de contenidos (incluyendo las relacionadas con derechos de autor) o bien compañías (se cita, en particular, a Google, Twitter, Wordpress, Reddit) a las que directamente se les ha solicitado la eliminación de contenidos. Según se indica, estas compañías han suscrito acuerdos con Lumen para remitir automáticamente todas las solicitudes que reciben. 6. Por la Inspección de Datos se ha constatado que en las ediciones digitales de tres medios de comunicación (www.elmundo.es www.que.es, www.elconfidencial.com) figuran sendas informaciones en las que se comunica la recepción de avisos de retirada de resultados de Google. La primera, del DD de MM de AA, se refiere a una comunicación recibida por el diario ***DIARIO.1, con el titular “XXXXXX’”. Las otras dos, fechadas el DD1 de MM1 de AA1, se refieren ambas a ..............., con los siguientes titulares: “XXXXXXXXXXXXX”. 7. De las manifestaciones realizadas por GOOGLE INC., en adelante Google, en contestación a las solicitudes de información de la Inspección de Datos, se desprende lo siguiente:
9. a)En relación con el sitio web www.lumendatabase.org: . Google ha declarado que no ha empezado todavía a notificar a la organización Lumen (antes Chilling Effects) las solicitudes que le han sido enviadas mediante el formulario web de retirada de resultados de búsqueda habilitado en relación con la Sentencia del Tribunal de Justicia de la Unión Europea (TJUE) de 13 de mayo de 2014 (C-131/12). No obstante, la compañía ha aclarado que es probable que lo haga en el futuro, pero que cuando inicie la notificación únicamente proporcionará información anonimizada, y no datos de carácter personal. . Con respecto a los datos de carácter personal específicos del procedimiento TD/1488/2014, Google ha llevado a cabo una investigación tras la cual no ha identificado supuesto alguno de suministro de información a dicha organización. No obstante, Google reconoce que sí ha identificado una solicitud independiente realizada por el reclamante en el año 2013, con anterioridad a la Sentencia del TJUE y antes de que el procedimiento de Google para la gestión de solicitudes de retirada de resultados de búsqueda por razones de protección de datos fuera implementado. Google ha contactado con la citada organización para explicar la situación y la organización ha anonimizado la notificación en cuestión. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/51 . En relación al denunciante 3, Google afirma que ha llevado a cabo una investigación tras la cual no ha identificado supuesto alguno de suministro de información a Lumen sobre el particular tratamiento de datos personales en cuestión. No obstante, Google sí ha identificado solicitudes independientes realizadas por el reclamante en los años 2013 y 2014 sobre reclamaciones por difamación. Las solicitudes fueron enviadas a través del formulario web de difamación de Google. Según manifiesta la compañía, la herramienta de reclamaciones por difamación de Google informa con claridad a los solicitantes de que “es posible que enviemos una copia de cada una de las notificaciones legales que recibamos al proyecto Lumen (http://www.lumendatabase.org) para su publicación anotación. Lumen eliminará la información de contacto personal del remitente (es decir, el número de teléfono, la dirección de correo electrónico y el domicilio)”. En consonancia, Google envió ambas notificaciones por difamación a Lumen, que estarán disponibles una vez que Lumen elimine la información antes citada y después publique. . Respecto del requisito legal mencionado en el apartado 4 sobre el denunciante 3, cuyo contenido no está publicado, Google ha declarado que, realizadas las gestiones oportunas con la organización Lumen, han confirmado que no está relacionado con solicitudes recibidas por Google de dicho denunciante, sino de una tercera persona que, según manifiestan, resulta ser precisamente el denunciante 2. . Del análisis de las páginas del dominio lumendatabase.org a las que corresponden las direcciones web relacionadas por el primer denunciante en sus escritos, no necesariamente enlazadas en la página de resultados del buscador, se desprende que como “receptores” figuran: usuarios particulares, Google Inc. (en relación con distintos servicios como orkut o blogger), Google Brasil Internet Ltda. La práctica totalidad se refieren a reclamaciones fechadas entre 2011 y 2013 relacionadas con difamación o con derechos de autor (con el literal “DMCA”). . Respecto de las previsiones que se adopten para evitar que las informaciones facilitadas a Lumen, aun siendo anonimizadas, puedan ser atribuidas a las personas cuyos nombres y apellidos son objeto de consulta en el buscador, Google ha declarado que desde diciembre de 2014, Lumen utiliza un robot.txt para excluir todas las notificaciones de Lumen del índice de Search. En consecuencia, las notificaciones de Lumen no aparecen en los resultados de Search, con independencia de la consulta realizada. Si el webmaster retirase los protocolos de exclusión, el motor de búsqueda Search no sería capaz de atribuir la notificación anonimizada a un sujeto concreto. Las notificaciones no incluirán nombres, URL(
10. s)completas ni el cuerpo de la solicitud. . Al margen de estas últimas consideraciones, Google no ha comunicado a la Agencia la implementación de ninguna medida para evitar que al pie de la página de resultados se siga publicando, en determinados casos, particularmente los que han motivado las presentes actuaciones, un aviso advirtiendo a los usuarios de que algunos resultados han sido eliminados debido a un requerimiento legal. No obstante, de la información que se publica en la actualidad en la página de resultados sobre los casos analizados, no resulta posible deducir que una persona concreta hubiera solicitado la retirada del buscador de ciertos resultados asociados a su nombre.
11. b)En relación con la información que facilita Google a los responsables de las páginas afectadas de que estas no serán accesibles desde el buscador de Google, en respuesta a una consulta basada en un nombre específico: . Google expone el funcionamiento del servicio Webmaster Tools que ha venido prestando a los webmasters, en virtud del cual les proporciona (en un panel del servicio o mediante correo electrónico) información con respecto a aquellas URLs de sus sitios web que eran eliminadas de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/51 los resultados de búsqueda por razones legales, tales como presuntas infracciones de derechos de propiedad intelectual. El panel de Webmaster Tools muestra únicamente las URLs eliminadas a partir de las solicitudes de retirada de enlaces realizadas de conformidad con la legislación de protección de datos, pero ningún detalle adicional sobre la solicitud. . Google ha declarado que, como respuesta a las inquietudes del GT29 respecto de la realización de notificaciones a webmasters de forma general, está elaborando una lista de categorías de páginas web para las que no sería apropiado remitir tales notificaciones. Por ejemplo, Google ha adoptado la política de no enviar notificaciones a webmasters de páginas web maliciosas con contenido pornográfico. Google está llevando a cabo un proceso de ampliación de las categorías de páginas web maliciosas a cuyos webmasters no se remitirán notificaciones. Google se ha mostrado dispuesto a acoger favorablemente cualquier sugerencia que la AEPD pudiera hacer al respecto. La intención de Google es asegurarse de que el planteamiento adoptado sea equilibrado y proporcionado y tiene el compromiso de hacerlo evolucionar a lo largo del tiempo. . Google aportó una muestra de las notificaciones que efectúa, con el siguiente texto: Aviso de eliminación de resultados de búsqueda de Google A causa de una solicitud según la legislación de protección de datos europea, ya no podemos mostrar una o más páginas de tu sitio en nuestros resultados de búsqueda en respuesta a determinadas consultas de búsqueda de nombres u otros identificadores personales. Solo están afectados por esta medida los resultados de versiones europeas de Google. No se requiere ninguna acción por tu parte. Estas páginas no se han bloqueado completamente de nuestros resultados de búsqueda y se continuarán mostrando para consultas diferentes de las especificadas por personas concretas en las solicitudes de la legislación de protección de datos europea que hemos cumplido. Desgraciadamente, a causa de cuestiones de privacidad individuales, no podemos revelar qué consultas están afectadas. Ten en cuenta que, en muchos casos, las consultas afectadas no están relacionadas con el nombre de ninguna persona que se mencione de modo destacado en la página. Por ejemplo, en algunos casos, es posible que el nombre aparezca solo en una sección de comentarios. Las URL siguientes están afectadas por esta acción: … En relación con esta práctica, consistente en comunicar a los webmasters las URLs que no serán accesibles desde el buscador en una consulta basada en un nombre específico, Google expone diversas consideraciones que, a su juicio, justifican la entrega de esa información desde el punto de vista de la normativa de protección de datos de carácter personal, las cuales han sido posteriormente reproducidas y ampliadas en el escrito de alegaciones elaborado por dicha entidad con motivo de la apertura del presente procedimiento, que consta reseñado en el Antecedente Noveno. QUINTO: Con fecha 18/03/2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a Google Inc., por la presunta infracción de los artículos 11.1 y 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como graves en los artículos 44.3.
12. k)y 44.3.d), respectivamente, de la citada Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/51 SEXTO: Notificado el acuerdo de inicio, el denunciante 1 presentó escrito por el que se persona en el procedimiento, en el que manifiesta que no se ha tenido en cuenta en la apertura del procedimiento la documentación aportada sobre la información cedida por Google a lumendatabase.org, que incluye datos sexuales, teléfonos, emails, DNI, direcciones, datos sanitarios, etc., ni se ha considerado su denuncia por obstaculización del ejercicio de derechos o por cesiones de datos no declaradas en el oportuno fichero en la AEPD. Señala que la AEPD ha concluido que los enlaces aportados son de 2011 a 2013 y corresponden a reclamaciones de DMCA y de difamación sin entrar en el fondo de las mismas, y sin comprobar que el aviso es idéntico para las peticiones de derecho al olvido que para las DMCA. Y tampoco se ha considerado que algunas de las URLs de ChillingEffects se han redirigido a LumenDatabase. Insiste en que Google informa exactamente que envían copia de “todos los avisos legales” que le llegan a Lumen y que sólo se eliminará el teléfono, email y domicilio. A su juicio, este contenido engañoso obstaculiza el ejercicio de derechos por los interesados. Por otra parte, añade que el modelo de comunicación de Google a las webs de origen acredita que dicha comunicación es posterior a la desindexación, que en las realizadas a medios de comunicación éstos divulgan aún más la noticia originaria que se pretendía retirar y que existen URLs que únicamente identifican a una persona. Cita un nuevo ejemplo de comunicaciones que Google ha realizado a un medio de comunicación. SEPTIMO: El denunciante 2 se personó igualmente en el procedimiento mediante escrito de 28/03/2016, en el que insiste en los hechos denunciados y solicita que se tenga en cuenta en el procedimiento el aviso que muestra Google en el resultado de búsqueda y la obstaculización reiterada a eliminar resultados, así como el reconocimiento que la misma realiza en el acta de conciliación aportada sobre los contactos con las webs de origen. Advierte que el aviso referido sigue apareciendo y que, en todo caso, debería sancionarse la aparición del mismo durante meses. OCTAVO: El denunciante 3 presentó tres escritos con motivo de la apertura del procedimiento, solicitando que se incorpore al objeto del mismo el estudio de los avisos de eliminación de contenidos en la página de resultados de una búsqueda con su nombre y apellidos como criterio y que se sancione por los meses que lleva publicado. NOVENO: Notificado el acuerdo de inicio, Google Inc. presentó escrito en el que solicita el archivo de las actuaciones o, subsidiariamente, la imposición de una multa por el importe mínimo establecido para las infracciones leves, de acuerdo con las consideraciones siguientes: . En el caso de solicitudes amparadas en la Sentencia del Tribunal de Justicia de la Unión Europea de 13 de mayo de 2014 (C 131/12), las URLs notificadas por Google a los webmasters no constituyen datos de carácter personal, por cuanto la notificación que realiza incluye únicamente la URL retirada de los resultados de búsqueda, que no proporciona ninguna indicación acerca del individuo que ha solicitado dicha retirada o de los términos de búsqueda a los que se refiere la solicitud. A este respecto, advierte que se trata del mismo planteamiento adoptado para el suministro de información a los webmasters con respecto a aquellas URLs de sus sitios web que eran retiradas de los resultados de búsqueda por razones legales, tales como presuntas Infracciones de derechos de propiedad intelectual e industrial, que se realizaba mediante un panel dentro del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/51 producto Search Console (antes, Webmaster Tools), o mediante correo electrónico si los webmasters eligen esta opción. . En el presente Procedimiento Sancionador se imputan dos infracciones por la notificación a los correspondientes Webmasters de las siguientes siete URLs: (
13. a)http://www.que.es.......................1 (
14. b)http://www.que.es.......................2 (
15. c)http://www:que.es.......................3 (
16. d)http://www.elmundo.es.......................4 (
17. e)http://derechodeltrabajo.......................5 (
18. f)http://derechodeltrabajo.......................6 (
19. g)http://www.laregion.es.......................7 Las dos infracciones imputadas requieren que la información cedida o revelada afecte a “datos de carácter personal” y esto únicamente ocurre si la propia URL mostrase la identidad del individuo (por ejemplo, cuando el nombre del interesado es parte de la URL) o que la identidad del solicitante pudiese inferirse del contenido de la página web correspondiente a la URL retirada (por ejemplo, cuando el contenido de la página web hace referencia únicamente a una persona que se corresponde con dicho solicitante). Así, salvo en dos casos, que incluyen los apellidos de dos individuos identificados, las restantes cinco URLs no implican un tratamiento (cesión o revelación) en el que se vean implicados “datos de carácter personal” al no incluir ninguna información que permita la identificación directa de una persona. Por otra parte, las web accesibles a través de las siete URLs denunciadas hacen referencia a múltiples individuos, haciendo que resulte imposible ligar dichas URLs con la identidad de la persona que solicitó su retirada de los resultados de búsqueda a partir de la notificación remitida por Google. En relación con las dos URLs que incluyen una referencia directa a un individuo identificable, señala que la notificación de las mismas al webmaster no supondría revelación o cesión alguna de datos de carácter personal en los términos indicados en los artículos 10 y 11 de la LOPD, dado que dichos datos de carácter personal ya eran conocidos por el mismo, no hacen ninguna referencia al solicitante, no puede deducirse su identidad del contenido de las páginas web, ni existe motivo alguno para creer que el solicitante es la persona que se identifica en la URL y no cualquier otra de las muchas que se mencionan en la web. De hecho, como prueba la copia de la noticia de la página 3 del expediente, Google anima al webmaster a no extraer conclusiones precipitadas al incluir el siguiente texto: ‘[t]en en cuenta que, en muchos casos, las consultas afectadas no están relacionadas con el nombre de ninguna persona que se mencione de modo destacado en la página. Por ejemplo, en algunos casos, es posible que el nombre aparezca solo en una sección de comentarios’. . Incluso ignorando los argumentos ofrecidos, la cesión o revelación de datos de carácter personal tendría una base legal bajo la normativa de protección de datos aplicable, considerando que dicha comunicación es un tratamiento de datos de carácter personal compatible con la eliminación de los resultados de búsqueda en cumplimiento de la LOPD y de la Sentencia del TJUE de 13/05/2014. Según el artículo 6.1 (
20. b)de la Directiva 95/46/CE y 4.1 de la LOPD, los datos pueden ser tratados para la finalidad para la que fueron recogidos inicialmente y para finalidades compatibles con aquella del tratamiento inicial. En este caso, para la eliminación de la URL solicitada es clave la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/51 notificación de la eliminación a los webmasters, dado que el interesado desea también eliminar completamente de Internet (es decir, de la fuente) el contenido (páginas web, artículos, publicaciones, etc.) y, por otro lado, Google puede desconocer todas las circunstancias concernientes al contenido accesible a través de la URL y, en particular, todos los elementos que pueden justificar el interés público de dicho contenido, dando lugar a la aceptación errónea de solicitudes de eliminación que no deberían haber sido admitidas. Además, permite al webmaster revisar que el contenido de sus páginas web no infringe el derecho a la protección de datos de los interesados como, por ejemplo, parece haber ocurrido en el caso de la URL Denunciada http://www.laregion.es.......................7, donde el webmaster, como se menciona en la página 35 del Expediente, decidió remplazar los nombres de todos los individuos que aparecían en la página web por sus iniciales; y/o facilitar información adicional a Google Inc. con el fin de que reconsidere la eliminación del resultado de búsqueda y confirme que dicha URL realmente tiene que ser retirada conforme a la Sentencia del TJUE de 13/05/2014. De hecho, para tales propósitos, la notificación que Google envía a los webmasters en relación con la URL eliminada, incluye un enlace a un formulario donde los webmasters pueden proporcionar dicha información adicional, como puede comprobarse en la copia de la notificación incluida en la página 3, entre otras, del expediente. La misma base legal que justifica la retirada de la URL justifica la notificación a los webmasters. En realidad esta es la razón por la que el artículo 12(
21. c)de la Directiva y el artículo 16.4 de la LOPD regulan la obligación de notificar la cancelación a terceros a quienes se les hayan comunicado los datos y por la que el artículo 17.2 del Reglamento de la UE contempla una más amplia obligación de notificación. . Asimismo, considera Google que la notificación a los webmasters está justificada por el interés legítimo de ambas entidades, sin que prevalezcan los derechos de los interesados, con base legal en el artículo 7(
22. f)de la Directiva. Dicho interés, en el caso de Google, consiste en garantizar un justo equilibro entre el derecho a la protección de los datos de los interesados y los derechos de los usuarios de Internet y de los webmasters, entre otros, la libertad de expresión y de información de los usuarios de Internet (esto es, el derecho a acceder a opiniones e información), lo que incluye a su vez el derecho de los proveedores de contenidos de Internet de publicar dichas opiniones e información, incluyendo la transmisión de sus publicaciones al público a través de intermediarios tal y como se protege en el artículo 11 de la propia Carta de Derechos Fundamentales de la Unión Europea. Google Inc. tiene el interés legítimo de asegurarse de que esta ponderación se realiza de la mejor forma posible, para lo que necesita conocer y evaluar las razones en las que el interesado basa su solicitud, los detalles relativos a la naturaleza de la información de que se trate y del interés del público en disponer de esta información, lo que exige que el webmaster, editor del contenido, esté involucrado en el procedimiento de retirada de los resultados para que sean tomados en cuenta todos los elementos relevantes. Una vez notificados acerca de la eliminación de las URLs, los webmasters tienen la opción de considerar si pueden tomar alguna medida como (
23. i)proporcionar nuevos detalles a Google Inc. que pudiesen dar lugar (o
24. no)a la corrección de la anterior decisión de eliminación; (
25. ii)ejercitar acciones en defensa de sus intereses legítimos y los de los usuarios de Internet (por ejemplo, porque el contenido es de interés público); o (iii) incluso eliminar o anonimizar el contenido fuente relevante (al margen de la decisión tomada por Google Inc. respecto a la URL) con el fin de evitar lesiones en el derecho a la protección de datos de los interesados, reafirmando así el derecho a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/51 la protección de datos del interesado que solicitó la eliminación de la URL de los resultados de búsqueda, sin poner en peligro el derecho a la eliminación de resultados de búsqueda o la protección de datos de los interesados. Que tal contacto es legítimo, ha sido previamente reconocido por la AEPD y las otras Autoridades Europeas de Protección de Datos. En efecto, en el documento “Guidelines on the implementation of the Costeja Decision” (“WP 225”), adoptado el 2DD1 de MM1 de AA1 por el Grupo de Trabajo del Artículo 29 (“GT 29”), del que la AEPD es parte, ello se expresa en los siguientes términos: ‘[p]uede ser legítimo para los motores de búsqueda contactar con el editor original antes de tornar una decisión sobre la solicitud de retirada, especialmente en casos complicados, donde es necesario obtener un entendimiento más profundo sobre las circunstancias del caso. En esos casos, los motores de búsqueda deben tomar todas las medidas necesarias para salvaguardar adecuadamente los derechos de los interesados afectados”. Ambas notificaciones a los webmasters, antes o después de la decisión acerca de la solicitud de retirada, sirven a la misma finalidad legítima de garantizar un justo equilibrio de los derechos en juego y permite que el webmaster proporcione información que confirme o corrija la decisión anterior tomada por Google. La notificación al webmaster realizada antes o después de la eliminación de los resultados de búsqueda no entraña ninguna diferencia, en tanto en cuanto la eliminación puede ser corregida y los resultados de búsqueda rehabilitados a raíz de la revisión de la ponderación realizada, tras recibir información adicional de los webmasters que pruebe que la decisión de retirada fue errónea. Por otro lado, nada impide, junto con la eliminación del resultado, la adopción de medidas adicionales con el objetivo de alcanzar la solución más proporcionada tanto para los derechos de los interesados como para los restantes intereses en juego. Así ocurre, por ejemplo, en el caso de las URLs denunciadas donde Google terminó considerando que la solución más proporcionada se basaba en eliminar los resultados de búsqueda, pero también comunicar la retirada a los webmasters para que éstos pudiesen actuar en consecuencia, por ejemplo, aportando detalles adicionales que no fueron tenidos en cuenta durante el ejercicio de ponderación. Involucrar al webmaster con carácter previo (y antes de adoptar la decisión sobre la eliminación) en línea con la opinión del GT 29, habría sido menos favorable para los interesados que la adoptada porque la eliminación se habría dilatado considerablemente en el tiempo hasta obtener la información de los webmasters. Por tanto, la notificación de la eliminación al editor permite que las solicitudes de retirada “legítimas” se tramiten con mayor agilidad, eliminando las URLs de inmediato, y únicamente rehabilitándolas a posteriori si el editor identifica información que pone en entredicho el ejercicio de ponderación inicial realizado por Google. Finalmente, los riesgos para el derecho a la protección de datos del solicitante de la retirada son exactamente los mismos con independencia de si los editores son notificados sobre la solicitud de eliminación antes o después de que la misma tenga lugar. No cabe duda de que si un editor notificado sobre la eliminación quiere eludirla, puede hacerlo simplemente copiando el contenido de la página web correspondiente en otra URL o cambiando la URL en cuestión. Sin embargo, las mismas medidas de elusión puede aplicarlas un editor que es notificado sobre la solicitud de retirada con carácter previo a la misma. Además de lo anterior, Google tiene un interés legítimo en mantener buenas relaciones con los webmasters afectados así como en asegurarse de que estos entiendan cómo indexa sus contenidos. Google ya ha empezado a recibir quejas de webmasters con respecto a decisiones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/51 de eliminación de enlaces a sus sitios web, algunas de las cuales han llevado a la rehabilitación de la URL que fue eliminada por error. El webmasters tiene interés legítimo en evitar restricciones desproporcionadas e innecesarias a la libertad de expresión, propia y de los usuarios de Internet, que puede verse afectado al reducirse la posibilidad de encontrar el enlace a sus sitios web o cuando se reduce la posibilidad de encontrar una URL. Aunque la Sentencia del TJUE de 13/05/2014 establece claramente la importancia prevalente del derecho a la protección de datos en relación con la exhibición de los resultados de búsqueda tras una búsqueda a partir de un nombre, esto no niega a los webmasters su legítimo interés de, al menos, saber que sus derechos en liza (y también los de los usuarios de Internet) se han visto afectados, Así, los webmasters tienen la opción de considerar si pueden tomar medidas para salvaguardar sus propios derechos (y los de los usuarios de Internet) o también para brindar una capa adicional de protección a los derechos de protección de datos de los interesados, como se explicó anteriormente. Además, en contra de lo expresado por el GT 29, la eliminación de una URL de los resultados de búsquedas para búsquedas realizadas por el nombre de una persona no tiene un impacto limitado. De hecho, en función de la finalidad de la búsqueda, puede que la única búsqueda razonable sea a partir del nombre. El “justo equilibrio” entre los derechos en liza mencionado en la Sentencia del TJUE de 13/05/2014 tiene que interpretarse en el contexto del artículo 10.2 del Convenio y referirse necesariamente a la obligada aplicación de un test de proporcionalidad a cualquier restricción a los derechos a la libertad de expresión e información, como la eliminación de una URL de Google Search. En este sentido, el hecho de impedir a Google Inc. la notificación a editores de páginas web (como los webmasters) de la eliminación de URLs (como las URLs denunciadas), en una situación donde tal notificación permite llevar a cabo una ponderación más justa y, además, no implica ningún riesgo (o, al menos, ese riesgo, de existir, no es distinto del que se deriva de la notificación con carácter previo que el GT 29 avala), conllevaría una restricción de la libertad de expresión e información de los webmasters totalmente desproporcionada. Y lo mismo aplica con respecto al sacrificio de la libertad de expresión e información que el GT 29 acepta con base en el impacto limitado” del derecho fundamental. Cuando tal impacto (limitado o
26. no)se puede mitigar sin comprometer ningún otro derecho fundamental y aplicando algunas medidas sencillas, obstaculizar la aplicación de dichas salvaguardas es a todas luces una restricción desproporcionada. Por otro lado, en el documento WP 225, el GT 29 argumenta que el webmaster original no puede hacer uso de la comunicación recibida. Nada más lejos de la realidad, como demuestra el caso tratado en estas Alegaciones, donde los webmasters precisamente reaccionaron frente a la notificación de las URLs denunciadas. Una cosa es que el webmaster no tenga un derecho a obligar a un motor de búsqueda a enlazar una URL, y otra bien distinta que los webmasters no puedan hacer uso de tales notificaciones por ejemplo, aportando información adicional a Google Inc. Si los webmasters pueden servirse de dicha notificación antes de la eliminación, como el GT 29 reconoce, también deberán poder hacerlo con posterioridad a la misma. El interés legítimo de Google Inc. y de los webmasters no se ven sobrepasados por los derechos de los interesados que solicitan la eliminación. A este respecto, el GT 29, en su Dictamen 06/20 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/51 14 sobre el concepto de interés legítimo del responsable del tratamiento de los datos en virtud del artículo 7 de la Directiva 95/46/CE (“WP 217”), aclara que la finalidad del ejercicio de ponderación no es prevenir cualquier impacto negativo en el interesado, sino prevenir un impacto desproporcionado. Google Inc. se cerciora de que los derechos e intereses de los interesados son protegidos de manera adecuada, teniendo en cuenta factores como la proporcionalidad y el tratamiento justo. Por ejemplo, al revelar solo la URL (y no la identidad del solicitante) a los webmasters en casos como los que aquí nos ocupan; a través de la gestión de las categorías de páginas web respecto de las que la notificación no procede; y al avisar a las personas de la posibilidad de que se puede informar a los webmasters de las solicitudes de retirada que presentan. En este sentido, el formulario de solicitud de eliminación de Google contiene la afirmación de que “Google puede proporcionar información a los webmasters de las URL que se hayan retirado de nuestros resultados de búsqueda”, asegurándose, por lo tanto, de que las personas son conscientes
27. de)modo en el cual serán tratados sus datos. En definitiva, dado el limitado impacto de la notificación de las URLs denunciadas a los webmasters sobre el derecho a la protección de datos de los interesados, está claro que dichos derechos no prevalecen sobre el interés legítimo de Google Inc. de enviar y de los webmasters en recibir tales notificaciones. . En el improbable caso de que las anteriores Alegaciones no sean estimadas, ha de considerarse que las dos infracciones imputadas derivan de un mismo hecho -la presunta compartición de datos de carácter personal a los webmasters que se suscribieron a webmaster Tools (ahora Search Console) cuando Google Inc. les facilitó información sobre las URLs de sus sitios web que habían sido eliminadas de los resultados de búsqueda por solicitudes de retiradasiendo además que cualquier cesión de datos entraña necesariamente una revelación de información susceptible de infringir el deber de secreto. Así lo ha considerado la Agencia en supuestos de hecho como los resueltos mediante las Resoluciones R/00880/2005, de 13 de diciembre de 2005, y R/00709/2005, de 3 de octubre de 2005, en las que la AEPD indicó claramente que la revelación de datos de carácter personal y, por lo tanto, la consiguiente cesión, están basadas ambas en una conducta semejante, si bien la segunda implica un elemento cualificado que no está presente en la primera. a distinción entre ambos tipos de garantías exige que la cesión suponga un comportamiento cualificado de la comunicación de datos, cualificación que no puede ser otra que la voluntad de que los datos sirvan para ser tratados por parte del cesionario. De modo que, en aquellos casos en los que el elemento volitivo está presente, la infracción será la de la cesión no autorizada de datos de carácter personal, mientras que en aquellos casos en los que dicho elemento está ausente la infracción se considerará como una vulneración del deber de secreto. . Subsidiariamente, solicita la aplicación al presente caso de lo dispuesto en el artículo 45.4 de la LOPD para imponer las sanciones en su grado mínimo, y lo preceptuado en el artículo 45.5 de la LOPD, que establece la aplicación de la escala relativa a la clase de infracción que precede inmediatamente en gravedad por la concurrencia de varios de los criterios enunciados en el artículo anterior; junto con el principio de proporcionalidad previsto en el artículo 131 de la LRJPAC. Google considera que concurren las circunstancias de ausencia de beneficios; ausencia de intencionalidad, teniendo en cuenta que nunca tuvo la intención de infringir la normativa de protección de datos de carácter personal ni dificultar el ejercicio de los derechos de retirada de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/51 URL, sino ponderar los intereses legítimos de Google Inc. y de los webmasters y usuarios de Internet, y los derechos, libertades e intereses de los interesados; no ha sido nunca sancionada por infracciones similares a las que son objeto del presente procedimiento; ausencia de perjuicios causados a las personas interesadas o a terceras; y que siempre se ha mostrado abierta a recibir cualquier propuesta de la AEPD y siempre ha tenido la intención de asegurar que su planteamiento fuera el más equilibrado y proporcionado. Finalmente, solicita Google Inc. que se tenga en cuenta la gran cantidad de información confidencial que contiene el procedimiento, cuyo conocimiento por terceros impactaría gravemente en su actividad empresarial y desarrollo futuro, por lo que solicita que la Agencia guarde la debida confidencialidad sobre la información incluida en el Acuerdo de Inicio y en estas Alegaciones, absteniéndose de publicar en sus resoluciones cualesquiera informaciones relacionadas con el grupo Google que revelen los extremos antes indicados, por el evidente e injustificado perjuicio que dicha publicación causaría. DECIMO: Con fecha 17/06/2016, se inició el período de práctica de pruebas, teniéndose por reproducidos a efectos probatorios las denuncias interpuestas y su documentación, los documentos que integran el expediente de investigación previa E/02889/2015, incluido el Informe de Actuaciones Previas de Inspección; y por presentadas las alegaciones al acuerdo de inicio formuladas por Google y por los denunciantes, que se han personado en el procedimiento, y la documentación que a ellas acompañan. Por otra parte, el instructor del procedimiento acordó la realización de las actuaciones siguientes: 1. Por el instructor del procedimiento se acordó requerir a Titanium Gourmet, S.L. (diario “Que!”) para que aportase copia de todos los “avisos de eliminación de resultados de búsqueda de Google” recibidos de esta entidad, incluido el referido en el artículo publicado el DD1 de MM1 de AA1. No obstante, esta comunicación no puedo ser notificada a la citada entidad. 2. Por el instructor del procedimiento se acordó requerir a la entidad Unidad Editorial Información General, S.L.U. (diario “El Mundo”) para que aportase copia de todos los “avisos de eliminación de resultados de búsqueda de Google” recibidos de esta entidad, incluido el referido en el artículo publicado el DD de MM de AA. En respuesta a este requerimiento, la citada entidad aportó una muestra de las notificaciones recibidas de Google y un listado con el detalle de las URLs eliminadas por ésta de los resultados de búsqueda desde el 01/07/2014 al 23/06/2016 (71 en total). La notificación de 01/07/2014 aportada por Unidad Editorial Información General, S.L.U. contiene el texto siguiente: Aviso de eliminación de resultados de búsqueda de Google Lamentamos informarte de ya no podemos mostrar las páginas siguientes de tu sitio web en respuesta a determinadas búsquedas en las versiones europeas de Google: http://... Para obtener más información, consulta http://…”. La notificación de 23/06/2016 aportada por Unidad Editorial Información General, S.L.U. consta reseñada en el Hecho Probado Cuarto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/51 3. Por el instructor del procedimiento se acordó requerir a Google Inc. para que aportase todos los “avisos de eliminación de resultados de búsqueda de Google” que haya comunicado a las entidades Titanium Gourmet, S.L. (diario “Que!”) y Unidad Editorial Información General, S.L.U. (diario “El Mundo”), e informara sobre el número total de “avisos de eliminación de resultados de búsqueda de Google” que haya comunicado a webmaster en España, en atención a solicitudes de retiradas de resultados de búsquedas formuladas en virtud de la normativa de protección de datos de carácter personal. Asimismo, en atención a lo solicitado por los denunciantes que se indican, se acordó requerir a Google Inc. para que aportase la documentación e información siguiente: . Por el denunciante 3 se requieren “las comunicaciones que Google hizo a la web de origen”. . Por el denunciante 2 se requiere la siguiente información: “Atendido que el procedimiento se dirigió a saber si Google había contactado con las web de origen, y que Google manifestó en un acta de conciliación que sí lo había hecho, parece conveniente que Google identifique las citadas comunicaciones (correctamente)”. En respuesta a este requerimiento, Google presentó escrito de 05/07/2016, en el que señala lo siguiente:
28. a)La prueba solicitada en relación con el denunciante 3 es innecesaria atendiendo a la denuncia presentada, supone una extensión de dicha denuncia, incorporando hechos y alegaciones frente a los que Google no ha tenido ocasión de defenderse y se refiere, en todo caso y si nos atenemos al alcance real de las comunicaciones objeto del Procedimiento Sancionador (es decir las resultantes del ejercicio del denominado ‘Derecho al Olvido”), a notificaciones que nunca fueron remitidas por Google. Las únicas notificaciones que sí fueron remitidas se refieren al bloqueo de URLs que enlazaban a contenidos difamatorios, cuestión esta ajena al Procedimiento Sancionador, y que no podrían dar lugar a infracción alguna por haber transcurrido el periodo de prescripción. El denunciante 3 denunció la supuesta comunicación por Google de determinadas URLs a LumenDatabase.org, y no hizo referencia a comunicación alguna de URLs a ningún otro tercero. Siendo ello así, ninguna notificación que Google pudiese haber remitido a un webmaster en relación con tales URLs podría tener impacto alguno en la resolución del procedimiento. En el Acuerdo de Inicio la AEPD rechazó la existencia de cualquier infracción de la LOPD que pudiera haber sido cometida por Google en relación con las supuestas notificaciones de eliminación de URLs de Google Search, remitidas a LumenDatabase.org (antes, ChillingEffects.org). A este respecto, cita la Sentencia de la Audiencia Nacional 246/2015, de 13 de mayo de 2015, que confirmó la resolución dictada por la AEPD en el contexto del procedimiento sancionador PS/00275/2013. Añade que ninguna notificación ha sido enviada por Google a webmasters en relación con URLs que se han eliminado de los resultados de búsqueda en respuesta a una consulta basada en un nombre específico que se identifiquen en la denuncia formulada por el denunciante 3. Destaca que el procedimiento se refiere claramente a URLs que han sido eliminadas de los resultados de búsqueda de Google Search en respuesta a solicitudes del llamado “Derecho al Olvido”, de hecho, uno de los argumentos usados por la AEPD para excluir del Procedimiento Sancionador las supuestas notificaciones remitidas por Google a LumenDatabase.org fue, precisamente, que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/51 tales notificaciones estaban relacionadas con solicitudes de retirada relativas a difamación o derechos de autor. Siendo ello así, Google confirma que no ha remitido ninguna comunicación a webmasters en relación con solicitudes de “Derecho al Olvido” relativas a ninguna de las tres URLs mencionadas en la denuncia presentada por el denunciante 3: . http://noticiadiariodigital........................8 . http://noticiadiariodigital........................9 . http://noticiadiariodigital........................10 La retirada de una de las URLs referidas en la denuncia fue notificada por Google a un webmaster, pero se realizó sobre la base de una solicitud relativa a difamación y cae fuera del alcance del Procedimiento Sancionador. Sin perjuicio de lo anterior, y con el fin de dar una respuesta lo más completa posible, Google confirma que notificó al webmaster del espacio web http://noticiariodioital.blogspot.com.es, la retirada de la siguiente URL de Google Search: http://noticiariodipital........................9........, que no tiene relación con una solicitud de “Derecho al Olvido”, sino que se produjo en 2013, mucho antes de la Sentencia del TJUE de 13/05/2014, como resultado de una solicitud realizada por el denunciante 3 sobre la base de una reclamación de difamación. Añade que no conserva copia de la notificación en cuestión y fue remitida el 10 de septiembre de 2013, por lo que la posible infracción habría prescrito.
29. b)En el caso del denunciante 2 son aplicables muchos de los argumentos indicados en el apartado anterior. En efecto, también en el presente caso las únicas notificaciones que sí fueron remitidas por Google se refieren al bloqueo de URLs que remitían a contenido que vulneraba el derecho a la intimidad, cuestión esta ajena al Procedimiento Sancionador, que tampoco podrían dar lugar a una posible declaración de infracción por haber transcurrido el periodo de prescripción. Ninguna notificación ha sido enviada por Google a webmasters en relación con “URLs que se han eliminada de las resultados de búsqueda en respuesta a una consulta basada en un nombre específico” que se identifiquen en la denuncia del denunciante 2. Siendo ello así, Google confirma que no ha remitido ninguna comunicación a Webmasters en relación con solicitudes de “Derecho al Olvido” relativas a ninguna de las tres URLs mencionadas en la denuncia: . http://derechodeltrabajo.......................5 . http://derechodeltrabajo.......................6 . http://www.laregion.es.......................7 Confirma que notificó al webmaster del espacio web http://derechodeltrabaio.......................11 la retirada de la URL de Google Search: http://derechodeltrabajo.......................12, que se produjo el 19 de agosto de 2013, mucho antes de la Sentencia del TJUE de 13/05/2014, sobre la base de una reclamación relativa a vulneración del derecho a intimidad.
30. c)La prueba requerida sobre los avisos de eliminación de resultados de búsqueda comunicados a las entidades Titanium Gourmet, S.L. (diario “Que!”) y Unidad Editorial Información General, S.L.U. (diario “El Mundo”) resulta innecesaria, atendiendo al alcance del Procedimiento Sancionador, y supone una extensión de los hechos considerados como posiblemente infractores en el Acuerdo de Inicio, incorporando hechos y alegaciones frente a los que Google no ha tenido ocasión de defenderse. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/51 En efecto, el Acuerdo de Inicio se dictó tras una investigación donde la AEPD identificó de forma concreta determinadas URLs teóricamente retiradas de Google Search, que pudieron haber sido notificadas a ciertos webmasters, lo que podría dar lugar a la infracción de dos concretos preceptos de la LOPD, siendo obvio que la prueba solicitada abarca muchas más notificaciones que las correspondientes a las cuatro URLs incluidas en el procedimiento. Cualquier notificación distinta de tales cuatro, sobre las que Google no ha podido realizar alegaciones, no puede tener impacto alguno en la resolución del Procedimiento Sancionador por la AEPD. Sin embargo, advierte que entrega la información relativa a retirada de URLs debidas a solicitudes de “Derecho al Olvido”, no todas relacionadas con españoles o bajo la LOPD, con el fin de colaborar con la AEPD. Señala que todas las notificaciones se realizaron sobre la misma plantilla, revisada a partir del 23 de septiembre de 2015. En relación con la web www.que.es, aporta el detalle de 20 URLs notificadas entre el 01/07/2014 y el 01/07/2016. En relación con la web www.elmundo.es, aporta el detalle de 77 URLs notificadas entre el 01/07/2014 y el 23/06/2016. Asimismo, aporta copia de la plantilla utilizada para notificar la eliminación de resultados de búsqueda a webmasters hasta el 23/09/2015, que contiene el siguiente texto: . <<Aviso de eliminación de resultados de búsqueda de Google Hola A causa de una solicitud según la legislación de protección de datos europea, ya no podemos mostrar una o más páginas de tu sitio en nuestros resultados de búsqueda en respuesta a determinadas consultas de búsqueda de nombres u otros identificadores personales. Solo están afectados por esta medida los resultados de versiones europeas de Google. No se requiere ninguna acción por tu parte. Estas páginas no se han bloqueado completamente de nuestros resultados de búsqueda y se continuarán mostrando para consultas diferentes de las especificadas por personas concretas en las solicitudes de la legislación de protección de datos europea que hemos cumplido. Desgraciadamente, a causa de cuestiones de privacidad individuales, no podemos revelar qué consultas están afectadas. Ten en cuenta que, en muchos casos, las consultas afectadas no están relacionadas con el nombre de ninguna persona que se mencione de modo destacado en la página. Por ejemplo, en algunos casos, es posible que el nombre aparezca solo en una sección de comentarios. Si crees que Google debería tener en cuenta información adicional sobre este contenido que podría suponer una cancelación o un cambio en relación con esta eliminación, utiliza el formulario que hay en la página https://www.google.com/webmasters/tools/eu-privacywebmaster. Ten en cuenta que no podemos garantizar que respondamos a los envíos de este formulario. Las URL siguientes están afectadas por esta acción: …>>. También aporta copia de la plantilla utilizada para notificar la eliminación de resultados de búsqueda a webmasters desde el 23/09/2015, cuyo texto coincide con la notificación de 23/06/2016 aportada por Unidad Editorial Información General, S.L.U., que consta reseñada en el Hecho Probado Cuarto.
31. d)La información sobre el número total de avisos de eliminación de resultados de búsqueda comunicados a webmasters en España supone igualmente una extensión de los hechos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/51 considerados como posiblemente infractores en el Acuerdo de Inicio, incorporando hechos y alegaciones frente a los que Google no ha tenido ocasión de defenderse. Añade que no conserva datos exactos sobre el número de avisos remitidos en España No obstante, añade que con el fin de colaborar con la AEPD y con fines de transparencia, informa que, a 1 de julio de 2016, había remitido un total de 10.007 notificaciones relativas a URLs correspondientes al ccTLD correspondiente a España “.es”, y matiza que cada notificación puede hacer referencia a más de una URLy que la cifra anterior no es comprensiva de todos los “webmasters en España” que menciona la AEPD, dado que hay webmasters en España que operan bajo otros gTLDs como “.com’, “.net”, “.org”, etc. La cifra indicada, por otro lado, incluye también notificaciones no sujetas a la LOPD (no toda notificación referida al ccTLD correspondiente a España “.es” trae causa de solicitudes de bloqueo promovidas por un español o ciudadano cuyo tratamiento de datos personales esté sujeto a la LOPD). Finalmente, solicita que la Agencia guarde la debida confidencialidad sobre la información incluida en el documento, absteniéndose de publicar en sus resoluciones cualesquiera informaciones relacionadas con el grupo Google que revelen los extremos indicados, por el evidente e injustificado perjuicio que dicha publicación causaría en la entidad. 6. En atención a lo solicitado por el denunciante 1, se incorporó a las actuaciones el resultado del acceso realizado a la URL “http://www.........................13”. Se trata de una noticia publicada el DD2 de MM2 de AA2, que comienza como sigue: “XXXXXXXXXXXXXXX 7. En atención a lo solicitado por el denunciante 3, se incorpora a las actuaciones el resultado de la búsqueda realizada a través del buscador de Internet Google con el criterio <<“nombre y apellidos del denunciante 3”>>. Se obtiene un único resultado y se constata que al pie de dicha página se incluye la indicación siguiente: “En respuesta a un requisito legal enviado a Google, hemos eliminado 2 resultado(
32. s)de esta página. Si lo deseas, puedes obtener más información sobre este requisito en LumenDatabase.org. Es posible que algunos resultados se hayan eliminado de acuerdo con la ley de protección de datos europea. Más información”. Por otra parte, en cuanto a la prueba solicitada por el denunciante 1 para que se requiriese a Google Inc. “copia de las comunicaciones que haya realizado a los webmaster desde que conoció el criterio del Grupo del Art. 29”, se estimó que el interesado no justificó cómo puede influir la práctica de esta prueba en la resolución del presente procedimiento, por lo que la misma fue rechazada conforme a lo establecido en el artículos 80 y 137.4 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común. Asimismo, el denunciante 3 solicitó que se requiriese a la entidad Google Inc. para que aportase “las comunicaciones que Google hizo a Chillingeffects.org”, las cuales no se estimaron necesarias para la resolución del presente procedimiento, siendo rechazada de acuerdo con los preceptos citados. DECIMOPRIMERO: Con fecha 28/06/2016, se recibe un nuevo escrito del denunciante 1, en el que reitera sus argumentos anteriores en relación con las notificaciones que Google realiza a webmasters y añade que es posible conocer al solicitante de la eliminación respectiva comprobando quién aparece en la URL y no motive la aparición de dicha URL realizando una búsqueda de sus datos. Asimismo, reitera que la comunicación a lumendatabase.org es ilegal, que Google no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/51 advierte sobre esta cesión y que la misma constituye una transferencia internacional sin autorización. En cuanto a la prueba acordada, indica que la AEPD debería investigar las posibles cesiones a webmasters y las comunicaciones a chillineffects.org y lumendatabase.org. Solicita que se solicite a Google copia de todas las comunicaciones realizadas a webmasters españoles, que informe si esta notificación es anterior o posterior a la dexindexación, copia del aviso enviado al medio de comunicación señalado en su escrito de alegaciones a la apertura, de los avisos relativos a webs referidas en los casos de los denunciantes 2 y 3 que no se refieran a los mismos, de las comunicaciones realizadas a chillineffects.org y lumendatabase.org y, en concreto, aquellas en las que identificó a dicho denunciante. A este respecto, por el instructor del procedimiento se advirtió al denunciante 1 que corresponde a las partes formular su propuesta de prueba en el mismo plazo de quince días que sigue a la notificación de la apertura del procedimiento y se acordó rechazar la propuesta de prueba antes reseñada, de acuerdo con lo establecido en el artículo 17 del citado Reglamento, según el cual podrá rechazarse la práctica de aquellas pruebas que sean improcedentes que no sean adecuadas para la determinación de hechos y posibles responsabilidades, o que no puedan alterar la resolución final, así como la práctica de aquellas que los interesados puedan aportar en cualquier momento del procedimiento. Por las razones expuestas, no se estimó necesario requerir a Google Inc. que aportase copia de todas las comunicaciones realizadas a webmasters españoles, a modo de aviso de exclusión, y tampoco todas las que dicha entidad haya realizado “a las web referidas en los casos de los denunciantes 2 y 3 que no se refieran a los mismos” o al responsable de la web “elblogderamon.com”. La misma conclusión se adoptó en relación con las comunicaciones hechas a Chillingeffects.org y lumendatabase.org identificadas por esa parte. Por otra parte, se advirtió que ya constan en las actuaciones las manifestaciones realizadas por Google Inc. sobre la práctica de los avisos a webmasters y el modelo de notificación empleado para ello. DECIMOSEGUNDO: En la misma fecha 28/06/2016, se recibe un nuevo escrito del denunciante 2, en el que formula una nueva propuesta de prueba para que se requiera a Google la totalidad de avisos de eliminación de contenidos remitidos al BOE, Blogspot y laregion.es, todas las remitidas a Chillingeffects.org y lumendatabase.org, incluidas las relativas a dicho denunciante y, por otra parte, en relación con los avisos incluidos en la página de resultados de búsqueda, que Google informe si se referían a los denunciantes, tiempo de permanencia, medidas implementadas para evitar su aparición y fechas, justificación legal de su existencia, e información facilitada a los interesados sobre la posibilidad de incluir tales avisos, así como la aceptación de los afectados. Por el instructor del procedimiento se respondió al denunciante 2 en el mismo sentido expresado al denunciante 1, reseñado en el Antecedente Undécimo. DECIMOTERCERO: En la misma fecha 28/06/2016, se recibe un nuevo escrito del denunciante 3, en el que formula una nueva propuesta de prueba para que se requiera a Google la totalidad de comunicaciones remitidas a titulares de Blogspot, todas las remitidas a Chillingeffects.org y lumendatabase.org, incluidas las relativas a dicho denunciante y, por otra parte, en relación con los avisos incluidos en la página de resultados de búsqueda, que Google informe si se referían a los denunciantes, tiempo de permanencia, medidas implementadas para evitar su aparición y fechas, justificación legal de su existencia, e información facilitada a los interesados sobre la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/51 posibilidad de incluir tales avisos, así como la aceptación de los afectados. Por el instructor del procedimiento se respondió al denunciante 3 en el mismo sentido expresado al denunciante 1, reseñado en el Antecedente Undécimo. DECIMOCUARTO: Por el instructor del procedimiento se realizan las siguientes comprobaciones: . Se incorpora a las actuaciones el resultado de la búsqueda realizada en fecha 21/07/2016 a través del buscador de Internet Google con el criterio <<“…-nombre y apellidos del denunciante 3”>>, así como copia de la información accedida a través de los enlaces incluidos en la página de resultados. Se obtiene un único resultado y se constata que al pie de dicha página se incluye la indicación siguiente: “En respuesta a un requisito legal enviado a Google, hemos eliminado 2 resultado(
33. s)de esta página. Si lo deseas, puedes obtener más información sobre este requisito en LumenDatabase.org. Es posible que algunos resultados se hayan eliminado de acuerdo con la ley de protección de datos europea. Más información”. El enlace a Lumendatabase.org conduce a una página en la que se indica que la información no está disponible, y el enlace “Más información” conduce a la página “Preguntas frecuentes. Privacidad y condiciones” de google.es con el detalle del procedimiento implementado para atender las solicitudes de “derecho al olvido”. En este último documento se indica: “Al buscar un nombre, es posible que aparezca un aviso indicando que los resultados se pueden haber modificado de acuerdo con la ley de protección de datos europea. Google muestra un aviso en Europa cuando un usuario busca la mayoría de los nombres, no sólo las páginas que se han visto afectadas por la eliminación”. Incluye un enlace al formulario de solicitud, en cuyo apartado “Firma” se informa al interesado: “Google Inc. utilizará la información personal que proporciones en este formulario (como tu dirección de correo electrónico y todos los datos de identificación) y la información personal que envíes en otros mensajes para procesar tu solicitud y cumplir con nuestras obligaciones legales. Google puede compartir información de tu solicitud con las autoridades de protección de datos, pero solo si la solicitan para investigar o revisar una decisión que Google haya tomado. Esto suele ocurrir porque te hayas puesto en contacto con la autoridad de protección de datos nacional en relación con nuestra decisión. Google puede proporcionar información a los webmasters de las URL que se hayan retirado de nuestros resultados de búsqueda”. . Se incorpora a las actuaciones el resultado de las búsquedas realizadas en fechas 11 y 21/07/2016 a través del buscador de Internet Google con el criterio <<…-nombre y apellidos del denunciante 2>>, así como copia de la información accedida a través de los enlaces incluidos en la página de resultados. En fecha 11/07/2016 se obtienen varios resultados y se constata que al pie de dicha página se incluye la indicación siguiente: “En respuesta a un requisito legal enviado a Google, hemos eliminado 2 resultado(
34. s)de esta página. Si lo deseas, puedes obtener más información sobre este requisito en LumenDatabase.org. Es posible que algunos resultados se hayan eliminado de acuerdo con la ley de protección de datos europea. Más información”. Los enlaces incluidos en este aviso conducen a la misma información reseñada en la búsqueda anterior. En fecha 21/07/2016 se obtienen varios resultados y se constata que al pie de dicha página se incluye la indicación siguiente: “Es posible que algunos resultados se hayan eliminado de acuerdo con la ley de protección de datos europea. Más información”. El enlace “Más información” conduce a la misma información reseñada en la búsqueda anterior relativa al denunciante 3. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/51 . Se realiza una búsqueda en fecha 21/07/2016 a través del buscador de Internet Google con el criterio <<…-nombre y apellidos del denunciante 2- site:laregion.es/noticia>>, que no ofrece resultados. La página incluye un aviso con la indicación siguiente: “Es posible que algunos resultados se hayan eliminado de acuerdo con la ley de protección de datos europea. Más información”. El enlace “Más información” conduce a la misma información reseñada en la búsqueda anterior relativa al denunciante 3. . Se incorpora a las actuaciones el resultado de la búsqueda realizada en fecha 21/07/2016 a través del buscador de Internet Google con el criterio <<…-nombre y apellidos del denunciante 2- site:derechodeltrabajo.......................14>>, que no ofrece resultados. La página incluye un aviso con la indicación siguiente: “Es posible que algunos resultados se hayan eliminado de acuerdo con la ley de protección de datos europea. Más información”. . Se incorpora a las actuaciones el resultado del acceso realizado en fecha 21/07/2016 a la URL <<http://www.que.es.......................1>>. Se realiza una búsqueda a través del buscador de Internet Google con el nombre y apellidos de las personas que se citan