REPOSICION-E-04027-2015

1/7 Procedimiento: E/04027/2015 ASUNTO: Recurso de Reposición Nº RR/00219/2016 Examinado el recurso de reposición interpuesto por don A.A.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/04027/2015, y teniendo como base los siguientes HECHOS PRIMERO: En fecha 26 de marzo de 2015 tiene entrada una denuncia en la que se hace referencia a un comunicado de prensa de esta Agencia, fechado el 28 de noviembre de 2014, acerca del documento aprobado por el Grupo de Autoridades europeas de protección de datos sobre “derecho al olvido”, en el que se analizan los pronunciamientos del TJUE y se dictan los criterios interpretativos comunes para su aplicación. En la denuncia se alude al posible incumplimiento legal por parte de tres buscadores de internet en relación con dos cuestiones abordadas en el comunicado de la AEPD: por un lado, la política de avisos a los usuarios sobre resultados incompletos y, por otro, la comunicación a terceros de los resultados que han sido desindexados por el buscador. En relación con el buscador Bing, al que se refieren las presentes actuaciones de inspección, la citada denuncia pone en duda que los procedimientos de la compañía responsable obedezcan estrictamente el criterio interpretativo expuesto. En concreto, hace referencia al aviso que figura en el sitio web del buscador: “Debes tener en cuenta que la información que envías en este formulario podrá ser compartida con terceros, incluido el editor de cualquier página web que aceptemos bloquear, así como con la autoridad de protección de datos o cualquier otro organismo público de las jurisdicciones que correspondan”. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Por la Inspección se ha verificado que en el formulario web habilitado por Microsoft en https://www.bing.com/webmaster/tools/eu-privacy-request (Solicitud para bloquear resultados de búsqueda en Bing en Europa) se indica: “En 2014, el Tribunal de Justicia de la Unión Europea (CJEU) determinó que las personas tienen el derecho de pedir a los motores de búsqueda que bloqueen los resultados de las consultas que incluyen el nombre de la persona si estos resultados no son adecuados, precisos o relevantes, o si son excesivos. Si eres residente europeo y deseas solicitar que Microsoft bloquee resultados de búsqueda en Bing en respuesta a búsquedas con tu nombre, utiliza el siguiente formulario. Proporciónanos información detallada y relevante en todas las preguntas aplicables de este formulario, ya que utilizaremos esa información para evaluar tu solicitud. Podremos tener en cuenta fuentes de información aparte de este formulario para comprobar o complementar la información que nos proporciones. Al considerar las solicitudes, Bing deberá buscar un equilibrio entre el interés individual a la privacidad y el interés C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 público a la protección de la libertad de expresión y la libre disponibilidad de información, todo ello en consonancia con la legislación europea. Debes entender que presentar una solicitud no garantiza que se vaya a bloquear un determinado resultado de búsqueda. […]” Al pie del formulario se incluye actualmente la siguiente leyenda: “La información que envíes con este formulario podrá ser compartida con terceros, incluidos los editores de las páginas web que pidas a Bing que bloquee, así como con la autoridad de protección de datos o cualquier otro organismo gubernamental de las jurisdicciones que correspondan.” 2. Se ha verificado asimismo que en las páginas de ayuda del buscador Bing se incluye la siguiente información: “Envío de solicitudes relacionadas con la privacidad para bloquear resultados en la UE. El pasado 13 de mayo de 2014, el Tribunal de Justicia de la Unión Europea dictaminó que determinados usuarios tienen derecho a solicitar a los motores de búsqueda que eliminen los resultados de las búsquedas efectuadas a partir del nombre de esa persona si se consideran inadecuadas, irrelevantes o excesivas. Si es residente en Europa y desea solicitar que Microsoft bloquee los resultados de búsquedas en Bing en respuesta a búsquedas efectuadas a partir de su nombre, rellene este formulario. Tenga en cuenta que Bing no publica ni controla el contenido en cuestión. Por tanto, el hecho de bloquear este contenido para que no se muestre en determinados resultados de búsqueda de Bing no supone su eliminación de la web. Si desea que este contenido se elimine de la web, le recomendamos que se ponga en contacto con el administrador web del sitio que publica el contenido. Se aconseja proporcionar información detallada y relevante para cada pregunta del formulario que corresponda. Usaremos la información que nos proporcione para evaluar su petición, aunque es posible que también tengamos en cuenta otras fuentes de información, además del formulario, para comprobar o complementar la información que nos proporcione. Durante la revisión de la información que nos envíe, Microsoft se compromete a garantizar su privacidad según los principios de nuestra declaración de privacidad. Conforme a lo dictaminado por el Tribunal de Justicia de la Unión Europea, la información que proporcione nos ayudará a considerar el equilibrio entre su interés de privacidad individual y el interés público de proteger la libre expresión y la disponibilidad de información gratuita, de manera coherente con la legislación europea. Por este motivo, el hecho de realizar una petición no garantiza que se bloqueará un resultado de búsqueda en particular. Trabajaremos en estrecha colaboración con las autoridades locales responsables de la protección de datos y otras entidades para asegurarnos de que nuestro método de evaluar las peticiones para bloquear resultados sea coherente con instrucciones futuras sobre la implementación del dictamen del Tribunal de Justicia de la Unión Europea. Si no está conforme con nuestra decisión con respecto a su solicitud de bloquear ciertos resultados, puede ponerse en contacto con las autoridades locales responsables de la protección de datos. Dado el elevado número de preguntas planteadas sobre cómo debería aplicarse el reciente dictamen del Tribunal de Justicia de la Unión Europea, es posible que se produzcan cambios en el formulario y los procesos relacionados a medida que dispongamos de más información sobre el tema. Las peticiones enviadas podrán evaluarse de nuevo transcurrido un tiempo. Bing ha recibido solicitudes para bloquear perfiles de usuarios, fotografías y direcciones URL asociadas a varios sitios de redes sociales de los resultados de búsqueda de Bing. Si ha creado o publicado contenido en redes sociales que desea bloquear, eliminar o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 reducir de los resultados de búsqueda, tanto en Bing como en otros motores de búsqueda, intente usar las herramientas y los procesos para la eliminación de contenido que hay disponibles en estos sitios de redes sociales.” 3. En contestación a la solicitud de información de la Inspección de Datos, MICROSOFT IBÉRICA, S.R.L. ha trasladado a la Agencia las informaciones recibidas de Microsoft Corporation, según las cuales su posición no ha cambiado con respecto a la respuesta que tuvo oportunidad de trasladar al Grupo de Trabajo del Artículo 29 mediante escrito de 24 de julio de 2014: “No tenemos actualmente la intención de avisar a los editores web de que estamos retirando sus páginas de los resultados de búsquedas por algunos nombres de persona”. Tras reiterar su posición, la compañía estadounidense ha indicado que atendiendo a las pautas ofrecidas por el propio Grupo de Trabajo del Artículo 29 en su documento WP 225, puede ser necesario que un motor de búsqueda se ponga en contacto con el editor de la información indexada en el marco del análisis individualizado, caso por caso, que ha de realizar Microsoft Corporation al evaluar cada petición de retirada. La compañía cita, traducido al español, el párrafo 23 del citado documento: “Por otro lado, puede ser legítimo que los motores de búsqueda contacten con los editores originales antes de tomar una decisión relativa a la petición de deslistado, en casos particularmente difíciles, donde sea necesario alcanzar un pleno entendimiento de las circunstancias del caso. En esos casos, los motores de búsqueda adoptarán todas las medidas necesarias para salvaguardar adecuadamente los derechos de los sujetos afectados”. En el escrito recibido se aclara: “Aunque, como se ha indicado, Microsoft Corporation no ha tenido que recurrir en la práctica a esta actuación, el formulario de solicitud contempla la posibilidad con el fin de proporcionar a los solicitantes información transparente y generar las expectativas adecuadas.” TERCERO: Con fecha 18 de marzo de 2016 se dictó resolución por la Directora de la Agencia, procediéndose al archivo de actuaciones. La resolución le fue notificada al denunciante en fecha 21 de marzo, según información proporcionada por el servicio de notificaciones. CUARTO: En fecha 23 de marzo, a través de una oficina administrativa, el denunciante ha presentado un escrito, que ha tenido entrada en la Agencia en fecha 28 de marzo, en el que formula recurso de reposición a la citada resolución. El recurrente reitera lo ya expuesto en su escrito de denuncia, considerando que los “terceros” a los que alude el aviso del buscador no están suficientemente determinados en la defectuosa fórmula empleada, que no obsta a que existan otros distintos de los terceros señalados, que el usuario desconoce. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 II Tal y como se exponía en la resolución recurrida, como viene argumentando esta Agencia en diversos procedimientos de tutela de derechos, los buscadores de internet facilitan la accesibilidad y difusión de datos personales a cualquier internauta que realice una búsqueda basada en el nombre de una persona, constituyendo una injerencia en el derecho fundamental al respeto de la vida privada del afectado. De conformidad con la Sentencia del Tribunal de Justicia de la Unión Europea (TJUE) en su apartado 99: “Los artículos 12, letra b), y 14, párrafo primero, letra a), de la Directiva 95/46 deben interpretarse en el sentido de que, al analizar los requisitos de aplicación de estas disposiciones, se tendrá que examinar, en particular, si el interesado tiene derecho a que la información en cuestión relativa a su persona ya no esté, en la situación actual, vinculada a su nombre por una lista de resultados obtenida tras una búsqueda efectuada a partir de su nombre, sin que la apreciación de la existencia de tal derecho presuponga que la inclusión de la información en cuestión en la lista de resultados cause un perjuicio al interesado. Puesto que éste puede, habida cuenta de los derechos que le reconocen los artículos 7 y 8 de la Carta, solicitar que la información de que se trate ya no se ponga a disposición del público en general mediante su inclusión en tal lista de resultados, estos derechos prevalecen, en principio, no sólo sobre el interés económico del gestor del motor de búsqueda, sino también sobre el interés de dicho público en acceder a la mencionada información en una búsqueda que verse sobre el nombre de esa persona. Sin embargo, tal no sería el caso si resultara, por razones concretas, como el papel desempeñado por el interesado en la vida pública, que la injerencia en sus derechos fundamentales está justificada por el interés preponderante de dicho público en tener, a raíz de esta inclusión, acceso a la información de que se trate.” La citada Sentencia también establece en su apartado 93 lo siguiente: “incluso un tratamiento inicialmente lícito de datos exactos puede devenir, con el tiempo, incompatible con dicha Directiva cuando estos datos ya no sean necesarios en relación con los fines para los que se recogieron o trataron. Este es el caso, en particular, cuando son inadecuados, no pertinentes o ya no pertinentes o son excesivos en relación con estos fines y el tiempo transcurrido.” III El TJUE sostiene que “Los artículos 12, letra

1. b)y 14, párrafo primero, letra a), de la Directiva 95/46 deben interpretarse en el sentido de que, para respetar los derechos que establecen estas disposiciones, siempre que se cumplan realmente los requisitos establecidos en ellos, el gestor de un motor de búsqueda está obligado a eliminar de la lista de resultados obtenida tras una búsqueda efectuada a partir del nombre de una persona vínculos a páginas web, publicadas por terceros y que contienen información relativa a esta persona”. Asimismo, el Tribunal establece que “el gestor de este motor(de búsqueda), como persona que determina los fines y los medios de esta actividad, debe garantizar, en el marco de sus responsabilidades, de sus competencias y de sus posibilidades, que dicha actividad satisface las exigencias de la Directiva 95/46 para que las garantías establecidas en ella puedan tener pleno efecto y pueda llevarse a cabo una protección eficaz y completa de los interesados, en particular, de su derecho al respeto de la vida privada.” Como señala el Grupo de Autoridades de protección de datos de la Unión C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 Europea (GT29) en el documento “Guidelines on the implementation of the Court of Justice of the European Union Judgment on <<Google Spain and Inc. vs. Agencia Española de Protección de Datos (AEPD) and …>> C-131/12”, la Sentencia establece una obligación de resultado que afecta a la operación de tratamiento llevada a cabo por el motor de búsqueda. Las decisiones de bloqueo de resultados deben aplicarse de modo que se garantice una eficaz y completa protección de los derechos garantizados por la Directiva y que no se eluda fácilmente el Derecho de la Unión. Las cuestiones que han sido objeto de las presentes actuaciones de inspección fueron analizadas en el citado documento del GT29, en sus apartados 22 y 23. El documento expone que la práctica de algunos buscadores de informar a los usuarios de que la lista de resultados puede no estar completa como consecuencia de la aplicación del derecho europeo no encuentra fundamento en ninguna exigencia normativa. El GT29 ha manifestado que esta práctica sólo puede ser aceptable si la información se ofrece de tal manera que los usuarios no puedan deducir, en ningún caso, que una persona concreta ha solicitado la retirada de ciertos resultados asociados a su nombre. En el documento se expone que los avisos deberían utilizarse de forma consistente para evitar que los usuarios lleguen a conclusiones equivocadas y recomienda que este tipo de informaciones se proporcione a través de una declaración general que figure de forma permanente en las páginas del buscador. IV El documento del GT29 aborda asimismo la práctica desarrollada por algunos buscadores de comunicar a los responsables de las webs que ciertas páginas dejarán de ser accesibles en determinadas búsquedas realizadas por nombres de personas. En el documento se expone la crucial diferencia entre la base legal que sustenta el tratamiento por los buscadores y la que sustenta el tratamiento por los editores. El apartado
2. f)del artículo 7 legitima las operaciones de tratamiento necesarias para los fines del interés legítimo que persiguen el responsable o los terceros a los que se les comuniquen los datos, excepto cuando tal interés se vea superado por los derechos y libertades fundamentales del afectado. Así, el interés de los operadores de sitios web en recibir la comunicación resulta cuestionable por varias razones. Por una parte, la eliminación de un enlace en la página de resultados asociada al nombre de una persona tiene solo un limitado impacto. Por otra parte, los operadores no pueden hacer un uso efectivo de la comunicación recibida, al afectar a una operación de tratamiento llevada a cabo por el responsable, sobre el que no tienen control ni influencia. De hecho, los motores de búsqueda no reconocen que los editores tengan un derecho legal a que sus contenidos sean indexados y mostrados o a que se muestren en un determinado orden. El GT29 entiende por otra parte que, en cualquier caso, ese interés de los operadores debería ponderarse con los derechos, libertades e intereses de los afectados. En el documento se expone que las leyes de protección de la Unión Europea no obligan a los motores de búsqueda a comunicar a los operadores de sitios web que han sido desenlazados algunos resultados relacionados con los contenidos que publican. El GT29 dictamina que esa comunicación es, en muchos casos, un tratamiento de datos y, como tal, requiere una base legal adecuada para ser legítima, concluyendo que en el artículo 7 de la Directiva 95/46 no figura ninguna previsión para realizar esa comunicación de forma sistemática. No obstante, el GT29 estima que puede ser legítimo que los motores de búsqueda contacten con los editores antes de tomar cualquier decisión sobre una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 solicitud de desindexación, en casos particularmente difíciles, cuando sea necesario lograr una mejor comprensión sobre las circunstancias que concurren. En tales casos, los motores de búsqueda deberían tomar todas las medidas precisas para garantizar adecuadamente los derechos de los afectados. Teniendo en consideración el importante papel que desempeñan los motores de búsqueda en la difusión y accesibilidad de la información publicada en internet y las legítimas expectativas que los operadores de sitios web pueden tener sobre la indexación de información y sobre su presentación en respuesta a las consultas de los usuarios, el GT29 anima a los motores de búsqueda a publicar sus propios criterios de eliminación de resultados y unas estadísticas más detalladas. En la resolución recurrida se exponía que, a partir de las actuaciones practicadas no se ha obtenido constancia de que el procedimiento implementado por MICROSOFT CORP. para atender las solicitudes de eliminación de resultados relacionadas con la citada STJUE contravenga el criterio interpretativo expuesto por las Autoridades de protección de datos de la Unión Europea respecto de las cuestiones planteadas en la denuncia. VI En el recurso de reposición se alude expresamente a la fórmula utilizada para describir a los “terceros” a los que se refiere el aviso del buscador Bing, que según el recurrente podría dar lugar a una deficiente información para prestar un consentimiento válido a los efectos establecidos en la normativa española de protección de datos. A este respecto procede señalar que el aviso analizado durante las actuaciones practicadas, según la redacción transcrita más arriba, en el apartado SEGUNDO, 2, concreta que, entre los terceros con los que puede compartirse la información recabada a través del formulario, se incluyen expresamente los editores y las Autoridades competentes. De las manifestaciones realizadas por MICROSOFT CORP. no se desprenden indicios de que esa compañía facilite o tenga previsto facilitar los datos de los reclamantes a otras entidades o personas no detalladas en el aviso. Tampoco se ha aportado por el recurrente ningún indicio documental de que la compañía esté realizando comunicaciones de los datos de los afectados a otros terceros no especificados en el aviso. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por don A.A.A. contra la resolución de esta Agencia dictada con fecha 18 de marzo de 2016, en el expediente de actuaciones previas de inspección E/04027/2015. SEGUNDO: NOTIFICAR la presente resolución a don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es