← España

REPOSICION-E-05143-2016C

1/16 Procedimiento nº.: E/05143/2016 ASUNTO: Recurso de Reposición Nº RR/00712/2017 Examinado el recurso de reposición interpuesto por D. N.N.N. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/05143/2016, y en base a los siguientes HECHOS PRIMERO: En el escrito de recurso presentado por D. N.N.N. (en lo sucesivo el denunciante) contra la resolución dictada en el procedimiento TD/01488/2014, se indicó al realizar una búsqueda con su nombre y apellidos como criterio aparecía, a pie de página, el siguiente aviso: “En respuesta a un requisito legal enviado a Google, hemos eliminado 2 resultado(

  1. s)de esta página. Si lo desea, puede obtener más información sobre este requisito en ChillingEffects.org”. Aportó copia de una Acta notarial de presencia y comprobación, de 03/03/2015, que incorporaba el resultado de las búsquedas realizadas con su nombre y apellidos como criterio, vinculadas a las web google.es, google.fr y google.com, para dejar constancia de que en las páginas de resultados obtenidas se incluía el aviso antes transcrito. Posteriormente, en fechas 11/08/2015 y 15/12/2015, el denunciante reiteró lo expresado en sus escritos anteriores y aportó copia del resultado de la búsqueda realizada mediante el buscador Google, que contenía el siguiente aviso: “En respuesta a un requisito legal enviado a Google, hemos eliminado 4 resultado(
  2. s)de esta página. Si lo desea, puede obtener más información sobre este requisito en ChillingEffects.org. Es posible que algunos resultados se hayan eliminado de acuerdo con la ley de protección de datos europea. Más información”. Añade que al clickar el enlace “Leer más información sobre este requisito” se accedía a la página ChillingEffects, y a la indicación “ B.B.B.”. SEGUNDO: La denuncia reseñada en el Hecho Primero se incorporó a las actuaciones previas de investigación con referencia E/02889/2015, iniciadas con motivo de una denuncia formulada por los mismos hechos, llevándose a cabo las comprobaciones siguientes: 1. Por la Inspección de Datos se ha verificado que en la página https://support.google.com/legal/answer/3110420?hl=es Google informa a los usuarios, con carácter general, acerca del tratamiento que otorga a las solicitudes de retirada de contenido en los sitios web que administra: “Si has encontrado contenido en Google que pueda infringir la ley, infórmanos para que podamos revisar el material atentamente y consideraremos la posibilidad de bloquearlo, retirarlo o restringir el acceso... Como parte de nuestros esfuerzos por ser transparentes, enviamos una copia de todos los avisos legales que recibimos al proyecto Lumen para su publicación y anotación. Lumen es un proyecto conjunto de las facultades de derecho de Estados Unidos cuyo objetivo es proporcionar recursos relacionados C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 con la libertad de expresión en Internet y con las leyes de propiedad intelectual. También ofrece una base de datos de solicitudes de retirada de contenido de Internet. Lumen ocultará la información de contacto personal del remitente (es decir, tu número de teléfono, tu dirección de correo electrónico y tu domicilio). Puedes ver un ejemplo de una de estas publicaciones en esta página”. Se constata que en la página https://support.google.com/legal/answer/1728574?hl=es se informa “Ten en cuenta que es posible que enviemos una copia de cada una de las notificaciones legales que recibamos al proyecto Lumen (http://www.lumendatabase.org) para su publicación y anotación. Lumen retirará la información de contacto personal del remitente (es decir, el número de teléfono, la dirección de correo electrónico y el domicilio). Para consultar un ejemplo de este tipo de publicaciones, accede a la página http://www.lumendatabase.org/notices/5838...”. 2. En fechas 17 de julio y 12 de agosto de 2015, por la Inspección de Datos se realizó una búsqueda en Google del nombre y apellidos del denunciante, incorporándose a las presentes actuaciones de inspección una copia impresa de la página de resultados obtenida, en cuyo pie figura la leyenda: “En respuesta a un requisito legal enviado a Google, hemos eliminado 2 resultado(
  3. s)de esta página. Si lo desea, puede leer más información sobre este requisito en ChillingEffects.org.” Se verifica que, al seleccionar el enlace subrayado, se accede a una página del dominio chillingeffects.org, en la que se lee: “ ***”. En fechas 14 de diciembre de 2015 y 23 de febrero de 2016, se realizó una nueva búsqueda con el mismo criterio, obteniéndose una página de resultados que contenía al pie el mismo aviso. Se verifica que al seleccionar el enlace subrayado se accede a una página del dominio lumendatabase.org, en la que se indica que el aviso aún no está disponible. 3. De la información publicada en el sitio web www.lumendatabase.org se desprende que Lumen es un proyecto de investigación del Berkman Center for Internet & Society de la Universidad estadounidense de Harvard. En el sitio web se publica una nota, fechada el 2 de noviembre de 2015, anunciando el cambio de la denominación anterior del proyecto (ChillingEffects Clearinghouse) por la actual. Se indica que el propósito del proyecto es estudiar de forma transparente las solicitudes relacionadas con la eliminación de contenidos en internet. Entre las materias analizadas, aparte del “derecho al olvido” figuran: requerimientos judiciales y gubernamentales, difamación, cumplimiento normativo, patentes, publicidad, marcas, secretos comerciales. En cuanto a las fuentes, se indica que son de dos tipos: usuarios individuales que les remiten solicitudes a las que han tenido acceso sobre el borrado de contenidos (incluyendo las relacionadas con derechos de autor) o bien compañías (se cita, en particular, a Google, Twitter, Wordpress, Reddit) a las que directamente se les ha solicitado la eliminación de contenidos. Según se indica, estas compañías han suscrito acuerdos con Lumen para remitir automáticamente todas las solicitudes que reciben. 4. De las manifestaciones realizadas por GOOGLE INC., en adelante Google, en contestación a las solicitudes de información de la Inspección de Datos, se desprende lo siguiente: . Google ha declarado que no ha empezado todavía a notificar a la organización Lumen (antes Chilling Effects) las solicitudes que le han sido enviadas mediante el formulario web de retirada de resultados de búsqueda habilitado en relación con la Sentencia del Tribunal de Justicia de la Unión Europea (TJUE) de 13 de mayo de 2014 (C-131/12). No obstante, la compañía ha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 aclarado que es probable que lo haga en el futuro, pero que cuando inicie la notificación únicamente proporcionará información anonimizada, y no datos de carácter personal. . Respecto de las previsiones que se adopten para evitar que las informaciones facilitadas a Lumen, aun siendo anonimizadas, puedan ser atribuidas a las personas cuyos nombres y apellidos son objeto de consulta en el buscador, Google declaró que desde diciembre de 2014, Lumen utiliza un robot.txt para excluir todas las notificaciones de Lumen del índice de Search. En consecuencia, las notificaciones de Lumen no aparecen en los resultados de Search, con independencia de la consulta realizada. Si el webmaster retirase los protocolos de exclusión, el motor de búsqueda Search no sería capaz de atribuir la notificación anonimizada a un sujeto concreto. Las notificaciones no incluirán nombres, URL(
  4. s)completas ni el cuerpo de la solicitud. . De la información que se publica en la actualidad en la página de resultados sobre los casos analizados, no resulta posible deducir que una persona concreta hubiera solicitado la retirada del buscador de ciertos resultados asociados a su nombre. TERCERO: Tras la realización de las actuaciones previas de investigación señaladas con el número E/02889/2015, se acordó iniciar el procedimiento sancionador número PS/00149/2016 por unos hechos distintos a los reseñados en los Antecedentes anteriores. El denunciante se personó en el procedimiento PS/00149/2016 y solicitó que se tenga en cuenta en el procedimiento el aviso que muestra Google en el resultado de búsqueda, que sigue apareciendo, señalando que debería sancionarse la aparición del mismo durante meses. Por otra parte, con fecha 17/06/2016, se inició el período de práctica de pruebas, acordándose por el instructor del procedimiento incorporar a las actuaciones el resultado de las búsquedas realizadas en fechas 11 y 21/07/2016 a través del buscador de Internet Google con el criterio <<…-nombre y apellidos del denunciante>>, así como copia de la información accedida a través de los enlaces incluidos en la página de resultados. En fecha 11/07/2016 se obtienen varios resultados y se constata que al pie de dicha página se incluye la indicación siguiente: “En respuesta a un requisito legal enviado a Google, hemos eliminado 2 resultado(
  5. s)de esta página. Si lo deseas, puedes obtener más información sobre este requisito en LumenDatabase.org. Es posible que algunos resultados se hayan eliminado de acuerdo con la ley de protección de datos europea. Más información”. El enlace a Lumendatabase.org conduce a una página en la que se indica que la información no está disponible, y el enlace “Más información” conduce a la página “Preguntas frecuentes. Privacidad y condiciones” de google.es con el detalle del procedimiento implementado para atender las solicitudes de “derecho al olvido”. En este último documento se indica: “Al buscar un nombre, es posible que aparezca un aviso indicando que los resultados se pueden haber modificado de acuerdo con la ley de protección de datos europea. Google muestra un aviso en Europa cuando un usuario busca la mayoría de los nombres, no sólo las páginas que se han visto afectadas por la eliminación”. CUARTO: Una vez instruido el procedimiento sancionador, se dictó la Resolución de fecha 14/09/2016, en la que se acordó imponer una sanción por los hechos que determinaron la apertura del mismo. Por otra parte, en relación con las circunstancias puestas de manifiesto en los Antecedentes anteriores, en la citada Resolución se acordó la realización de Actuaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 Previas de Investigación para verificar la existencia de comunicaciones con información no anonimizada efectuadas por GOOGLE INC. a la organización Lumen y para determinar las posibles responsabilidades que pudieran derivarse de la práctica de GOOGLE INC. de informar a los usuarios, en las páginas de resultados de búsquedas por nombre, que la lista de resultados puede no estar completa. QUINTO: Para llevar a cabo las comprobaciones ordenadas en la Resolución de 14/09/2016 se acordó la apertura de las actuaciones previas de investigación de referencia, señaladas con el número E/05143/2016. Durante el desarrollo de estas investigaciones, por los Servicios de Inspección de la AEPD se llevaron a cabo las comprobaciones siguientes: Información comunicada a Lumen 1. www.lumendatabase.org es el sitio web del proyecto Lumen, que surge de la colaboración de la Electronic Frontier Foundation (una organización sin ánimo de lucro dedicada a la defensa de los derechos civiles y las libertades en Internet) y varias universidades y escuelas de derecho (en adelante se identificará al grupo de responsables del sitio web como Lumen). El proyecto Lumen pretende estudiar las solicitudes de retirada de contenido en Internet para lo cual recogen y analizan dichas solicitudes ("Lumen is an independent 3rd party research project studying cease and desist letters concerning online content. We collect and analyze requests to remove material from the web."). Con fecha 17/04/2017, los Servicios de Inspección de la AEPD acceden al aviso legal insertado en el sitio web (https://www.lumendatabase.org/pages/legal), en el que se informa que al publicar las solicitudes no se está autenticando la validez de lo que en ellas se reclama. Solicita que se ponga en su conocimiento cualquier caso en el que se considere que una notificación es fraudulenta para proceder al análisis de la solicitud publicada y, en su caso, a su retirada. 2. En sus respuestas a los requerimientos de información que le fueron realizados por los Servicios de Inspección, Google manifiesta que “…no ha empezado todavía a compartir con la organización Lumen ningún tipo de información relativa a solicitudes de retirada de resultados de búsqueda en virtud de la normativa europea de protección de datos” y que “…en caso de que Google inicie dicha comunicación en el futuro, únicamente proporcionaría información anonimizada y no datos de carácter personal.” 3. Se comprueba, con fecha 04/01/2017, que el sitio web www.lumendatabase.org dispone de formularios para notificar distintos tipos de solicitudes de retirada de contenido. Uno de los tipos de solicitud de retirada de contenido, descrito como “Data Protection”, está dedicado en exclusiva a las solicitudes de retirada de resultados relativas al llamado “derecho al olvido”. Los únicos datos obligatorios para incluir una solicitud de retirada son la URL de la que se ha pedido la retirada en los resultados de búsqueda, el nombre del receptor de la solicitud y el tipo de receptor (individuo u organización). El 26/01/2017, por los Servicios de Inspección se utiliza dicho formulario para notificar una solicitud de retirada recibida por “Prueba AEPD”, en la que se establece como URL a retirar de los resultados www.agpd.es. El 14/02/2017 se constata que esta solicitud ha sido publicada ( ***URL.1), sin que la inspección actuante tenga noticia de comprobación alguna sobre la veracidad de los datos incluidos. El 17/04/2017 se constata que la publicación de la prueba ya C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 no era accesible. De las pruebas realizadas, los Servicios de Inspección concluyen que la información publicada en el sitio web www.lumendatabase.org no es previamente comprobada o filtrada por Lumen, por lo que tanto la identidad del remitente como la del receptor de una solicitud de cancelación pueden ser falsas o contener errores. 4. En relación con las solicitudes de retirada de contenido que se muestran en el sitio web, Lumen informa que los detalles contenidos en las notificaciones publicadas dependen de los incluidos en la solicitud de publicación; que el destinatario que aparece en las solicitudes es la persona u organización que controla el acceso al material y que, por tanto, está en posición de cancelarlo o inhabilitar el acceso al mismo; y que el remitente es la persona física o jurídica que solicita en su propio nombre o en representación de otro, la retirada del material publicado. 5. Uno de los denunciantes manifestó que Google estaba notificando al sitio web www.lumendatabase.org solicitudes relacionadas con el derecho al olvido y con otras cuestiones. En sus escritos, incluyó un conjunto de 19 notificaciones que a su entender habían sido publicadas en base a información proporcionada por Google a dicho sitio web. Además de esas notificaciones aportadas, la inspección actuante también realizó búsquedas de posibles publicaciones en el sitio web relacionadas con Google, y concluyen en su informe de actuaciones previas que las comprobaciones realizadas y la información obtenida no permiten acreditar que Google haya comunicado a Lumen información alguna sobre solicitudes de retirada de contenidos. En el citado informe, de fecha 19/04/2017, se detallan las conclusiones sobre un subconjunto de las publicaciones analizadas: 0 ***URL.2 Fecha de recepción de la solicitud: Q.Q.Q.. Esta solicitud fue hallada por los Servicios de Inspección y una copia de la misma consta como documento 7 en un anexo de 04/01/2017. En ella Google consta como destinataria de la solicitud de retirada de contenido. Consultada sobre esta solicitud, en su último escrito de respuesta Google manifestó:  No ha comunicado a Lumen la información publicada.  Según la información proporcionada a Google por Lumen, la información tiene su origen en el formulario web descrito en el punto 7.  Siguiendo su propia política, Lumen ha eliminado la publicación. A 17/04/2017 la solicitud ha sido retirada. a ***URL.3 Fecha de recepción de la solicitud: O.O.O.. Google no figura como remitente o receptor de la solicitud. La descripción es confusa ya que, por un lado, se describe como una notificación relacionada con derechos de autor (el tipo de notificación es DMCA, acrónimo de Digital Millennium Copyright Act, una ley de derechos de autor de Estados Unidos que implementa dos tratados del año 1996 de la OMPI -Organización Mundial de la Propiedad Intelectual) y, por otro, la descripción cita el derecho al olvido y la eliminación de datos personales. No se especifica si se desea la eliminación de los datos personales de la URL indicada, de la que no es responsable Google, o se desea que el resultado deje de aparecer cuando se busquen el nombre y apellidos del remitente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 b ***URL.4 Sin fecha de recepción. Google no aparece como destinatario o remitente de la solicitud, ni se solicita la retirada de contenido del buscador, sino que el término “google” aparece en las URL de las que se ha solicitado la retirada. Conforme a las definiciones dadas por el responsable del sitio web, esta solicitud no es coherente. A 17/04/2017 la solicitud ha sido retirada. c ***URL.5 Sin fecha de recepción. Esta notificación se refiere a una solicitud de retirada de los mismos enlaces que la anterior solicitud. En este caso figura como remitente de la solicitud Google, mientras que el destinatario es la persona física que aparecía como destinatario de la solicitud anterior. Esta solicitud no es coherente con las definiciones dadas por el responsable del sitio web, ya que quien aparece como destinatario debería de aparecer como remitente y viceversa. Por otro lado, los errores gramaticales en la descripción de la solicitud hacen poco probable que esta haya sido comunicada por Google, una multinacional en la que el inglés es el idioma de trabajo habitual. La explicación más probable es que la persona física que desea que sus datos sean retirados fuese la que comunicó la solicitud a Lumen y no Google. d ***URL.6 Fecha de recepción de la solicitud: P.P.P.. Google no figura como remitente o receptor de la solicitud, sino que figura el afectado por la publicación de los datos. De la descripción parece entenderse que la solicitud de retirada de contenido tiene por objeto que el domicilio de quien aparece como remitente o receptor sea retirado del sitio web, no de los resultados del buscador Google. A 17/04/2017 la URL relativa a esta notificación no es accesible. e ***URL.7 Fecha de recepción de la solicitud: R.R.R.. Google no aparece como destinatario o remitente de la solicitud y ésta no tiene relación con el llamado “derecho al olvido”, sino que es una solicitud para que algunos de los programas y servicios de Google dejen de recordar sus contraseñas. A 17/04/2017 la solicitud ha sido retirada. f ***URL.8 Consultado sobre la publicación de esta solicitud, Google realiza las mismas manifestaciones reseñadas en el apartado a). A 17/04/2017 la solicitud ha sido retirada. g ***URL.9 Al seguir el enlace se redirige a ***URL.10. 17/04/2017 se informa que el contenido, una reclamación por protección de datos contra Google, ha sido cancelado. 6. Los Servicios de Inspección, y también uno de los denunciantes, localizaron varias C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 publicaciones en el sitio web www.lumendatabase.org erróneamente clasificadas como relativas a derechos de autor, cuando de su contenido se desprendía que las solicitudes de retirada se hacían en cumplimiento de la normativa en materia de protección de datos. Consultada sobre la cuestión, Google manifiesta en su último escrito que dichas solicitudes fueron enviadas a través del formulario web de que dispone Google para la denuncia de infracciones relativas a los derechos de autor (https://www.google.com/webmasters/tools/legalremoval-request?complaint_type=dmca), que no es el adecuado para las relativas a protección de datos personales. El formulario en cuestión informa que “…nuestra política exige la documentación de todas las notificaciones de presuntas infracciones ante las que tomamos medidas, entre las que se incluyen el envío de una copia de la notificación a uno o varios terceros o su publicación online. Puedes ver un ejemplo de una de estas publicaciones en http://lumendatabase.org/notices/861.” Google manifiesta que una de las solicitudes erróneas fue enviada en 2012 y que la información de las otras dos fue modificada, sin que se incluyesen datos identificativos del reclamante, además de haber puesto en conocimiento de Lumen la existencia de éstos errores. A 17/04/2017 las tres publicaciones por las que se consultó a Google han sido retiradas. Información mostrada en los resultados de las búsquedas 7. En su escrito de 23/12/2016, Google manifiesta que “…si los sistemas de Google detectan que un usuario se encuentra en la Unión Europea, o que está accediendo a Google Search utilizando un dominio de un país europeo (como www.google.es), y que además, el usuario ha realizado una búsqueda basada en el nombre de una persona, el pie de las páginas de resultados de búsqueda muestra el siguiente texto: “Es posible que algunos resultados se hayan eliminado de acuerdo con la ley de protección de datos europea. Más información”. 8. Según consta en diligencia de 04/01/2017, en relación con los avisos mostrados en la página de resultados del buscador Google Search, se ha accedido a los sitios web www.google.es y www.google.com desde direcciones IP en España y Canadá, comprobándose lo siguiente: a b c C/ Jorge Juan, 6 28001 – Madrid Cuando se realizan búsquedas en www.google.es utilizando como criterio los nombres y apellidos de los tres denunciantes, tanto si se accede desde una dirección IP española como de fuera de la Unión Europea, el resultado de buscar al denunciante 1 no muestra ningún aviso, pero cuando se utilizan como criterio los datos de los denunciantes 2 (el recurrente) o 3, aparece un aviso con el texto: “ Es posible que algunos resultados se hayan eliminado de acuerdo con la ley de protección de datos europea. Más información”. Estas búsquedas han sido realizadas utilizando las últimas versiones disponibles de los navegadores Google Chrome y Mozilla Firefox siendo los resultados idénticos en cuanto a los mensajes de aviso mostrados. Al escribir los nombres y apellidos se escribieron éstos en mayúsculas y sin tildes. El enlace “Más información” lleva a una página (http://www.google.es/policies/faq) con información sobre la aplicación de la sentencia del Tribunal de Justicia de la Unión Europa. No es posible acceder al buscador www.google.com desde una dirección IP española ya que el usuario es redirigido a www.google.es automáticamente. Cuando se realizan búsquedas en www.google.com accediendo desde una IP de www.agpd.es sedeagpd.gob.es 8/16 fuera de la unión europea, no se muestran avisos. 9. Cuando los criterios utilizados por el buscador Google se proporcionan entre comillas los resultados deben de tener una concordancia exacta con el texto entrecomillado, mientras que si no lo están las palabras pueden aparecer en distintas partes de la página y en cualquier orden. Debido a ello los resultados de las búsquedas de un mismo texto pueden diferir en función de si se utilizan o no comillas. Con objeto de comprobar si el uso de comillas influye en la aparición de los mensajes de aviso, el 26/01/2017 se realizó una nueva búsqueda utilizando esta vez como criterios los nombres y apellidos de los tres denunciantes entre comillas. De los resultados de las pruebas se desprende que el uso de comillas no altera la aparición o no de los mensajes de aviso. 10. Según manifiesta Google en su último escrito de respuesta, recibido el 04/04/2017, el buscador utiliza un sistema de aprendizaje automático para identificar en los criterios de búsqueda nombres de personas y, en tal caso, mostrar el aviso descrito en el punto 2.a. La entidad manifiesta que al no ser la identificación de nombres “una ciencia exacta” sucede que en ocasiones su sistema no es capaz de identificar un nombre de persona como tal y por tanto no muestra el aviso. 11. Google manifiesta que a 04/04/2017, al realizar una búsqueda utilizando el nombre y apellidos de uno de los denunciantes, distinto al recurrente, los resultados muestran el aviso descrito en el punto 2.a anterior y aporta impresión de los resultados de realizar una búsqueda con el criterio… (nombre y apellidos de dicho denunciante entrecomillados y con tilde). 12. El 17/04/2017 se realizaron nuevas pruebas de búsqueda, utilizando como criterio el nombre y los apellidos de ese denunciante con comillas y sin ellas, con tildes y sin ellas. Criterio de búsqueda 1 2 3 4 Mensaje de aviso (nombre y apellidos entrecomillados y conAparece tilde) (nombre y apellidos no entrecomillados yAparece con tilde) (nombre y apellidos entrecomillados y sin No aparece tilde) (nombre y apellidos no entrecomillados yNo aparece sin tilde) Así pues, el sistema de Google identifica como nombre de persona… (nombre y apellidos del denunciante en cuestión escrito con tilde), pero no el mismo texto sin tilde. Si se comparan los primeros 10 resultados obtenidos en cada búsqueda, se observa que 6 o 7 de los obtenidos en la búsqueda 1 aparecen en las búsquedas 2, 3 y 4. De las pruebas realizadas se deduce que el sistema que identifica nombres distingue entre un apellido con tilde y sin ella, pero el buscador no lo hace. Tal y como se acredita en la diligencia de 17/04/2017, 4 de los 5 primeros resultados devueltos por la búsqueda… (nombre y apellidos entrecomillados y con tilde) no contienen ese nombre, sino el nombre sin tilde y a pesar de ello son devueltos como resultado de la búsqueda. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 SEXTO: Con fecha 4 de agosto de 2017, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/05143/2016. La Agencia Española de Protección de Datos consideró que el denunciante no había aportado ningún indicio razonable del que pudiera inferirse la existencia de infracción y resolvió el archivo de las actuaciones. SEPTIMO: D. N.N.N. (en lo sucesivo el recurrente) ha presentado en esta Agencia, en fecha 7 de septiembre de 2017, recurso de reposición, fundamentándolo básicamente en las mismas circunstancias puestas de manifiesto en sus escritos anteriores. Solicita que se deje sin efecto la resolución recurrida de archivo de actuaciones previas de investigación, y que se lleven a cabo las actuaciones de investigación pertinentes, de acuerdo con las consideraciones siguientes: 1. - Al realizar la búsqueda de mi nombre y apellidos en Google, el buscador mostraba, al pie de los resultados de búsqueda un “aviso concreto” de censura atribuible a una persona concreta (con un hipervínculo a la web chillingeffects.org, en la que se detallaba la materia concreta de protección de datos), al que se añadía un “aviso general” de censura, el cual fue mantenido por Google hasta el 13/09/2016, a pesar de que solicitó su retirada mediante correo electrónico de 09/03/2013. Añade que Google conocía que no debía mostrar el aviso, bien por aplicación de la normativa, bien desde que conoció el criterio del GTA29 al respecto

(2014). Además, se puso de manifiesto por medio de conciliación judicial, según consta en acta de 04/03/2015, y por medio de la denuncia formulada en
  1. Consta, asimismo, en acta notarial de 03/03/
  2. La AEPD comprobó la existencia del aviso y en la resolución dictada en el PS/00149/2016 acordó la apertura de investigaciones (E/05143/2016), advirtiendo que dicha página arroja un aviso que vincula la eliminación de dos resultados a la aplicación de la normativa de protección de datos. No se entiende que posteriormente la AEPD decida archivar las actuaciones de referencia sin razón jurídica para ello, afirmando únicamente que el aviso ha sido suprimido.
  3. Manifiesta el recurrente que no utilizó la web de Google para solicitar la eliminación de datos, ni tuvo conocimiento de la publicación de su petición o la cesión de sus datos a un tercero como Chilling/Lumen. Tampoco incluyó personalmente sus datos en chillingeffects.org. Esta posibilidad de que el propio afectado fuese el autor de la publicación, a la que se refiere la Agencia que se comprueba para otros casos, no es posible en su caso, en el que la información publicada en dicha web era accesible a través de in hipervínculo insertado por Google en el aviso que aparecía en la página de resultados del buscador. Sobre la cuestión expuesta, añade que la Agencia no ha desarrollado una averiguación suficiente y que la valoración de los hechos es errónea.
  4. Conforme a la doctrina mantenida por la Audiencia Nacional, el recurrente está legitimado para demandar la debida averiguación de los hechos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II Según ha quedado expuesto, en el presente caso se denunció a la entidad Google Inc. por insertar el aviso que figura al pie de la página de resultados que ofrece el buscador Google en una búsqueda con el nombre y apellidos como criterio, en el que se hace referencia a la eliminación de resultados en respuesta a un requisito legal, así como por la comunicación a terceros de los resultados que han sido desindexados por el buscador, en concreto a la organización Lumen. A la vista de las circunstancias puestas de manifiesto en las dos fases de investigación llevadas a cabo, cuyas principales constataciones constan reseñadas en los Antecedentes, se determinó el archivo de las actuaciones mediante resolución de 04/08/2017, contra la que el denunciante ha interpuesto el recurso de reposición que consta reseñado en el Antecedente Octavo, que fundamenta básicamente en las circunstancias puestas de manifiesto en sus escritos anteriores, sin introducir ningún elemento que no hubiese sido ya considerado en el acuerdo de archivo impugnado. Al formular el recurso no tiene en cuenta el recurrente la argumentación que sirve de fundamento a la resolución de archivo de las actuaciones, en la que claramente se argumentaba que no existían razones suficientes para justificar la apertura de un procedimiento sancionador por los hechos denunciados. Se estima conveniente, por ello, reproducir los Fundamentos de Derecho de dicha Resolución: <<II En primer lugar, resulta necesario realizar unas consideraciones previas acerca de las circunstancias analizadas… Los buscadores de internet facilitan la accesibilidad y difusión de datos personales a cualquier internauta que realice una búsqueda basada en el nombre de una persona, constituyendo una injerencia en el derecho fundamental al respeto de la vida privada del afectado. En relación con esta cuestión, el 13 de mayo de 2014, el Tribunal de Justicia de la Unión Europea (TJUE) emitió su sentencia en el asunto C-131/12 (Google Spain, S. L, Google Inc. vs. Agencia Española de Protección de Datos (AEPD), y…), resolviendo la cuestión prejudicial planteada en 2012 por la Audiencia Nacional para la resolución de más de 200 recursos pendientes, interpuestos de forma sistemática por Google contra decisiones de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 AEPD en las que ésta requería al buscador retirar de su lista de resultados determinados enlaces al realizar la búsqueda mediante el nombre del afectado. El TJUE constata que la actividad de los buscadores tiene un impacto significativo sobre los derechos fundamentales del respeto a la vida privada y de protección de los datos personales, y concluye que los derechos de la persona interesada prevalecerán sobre el interés económico del motor de búsqueda, de tal manera que los interesados estén protegidos eficazmente contra el impacto de la difusión universal y la accesibilidad de la información personal ofrecida por los motores de búsqueda cuando las búsquedas se realizan sobre la base del nombre de las personas. Precisamente porque en búsquedas a partir del nombre de una persona se puede obtener una visión completa y estructurada de toda la información existente en internet sobre ella, lo que permite la elaboración de perfiles más o menos detallados. Asimismo, el Tribunal establece que “el gestor de este motor (de búsqueda), como persona que determina los fines y los medios de esta actividad, debe garantizar, en el marco de sus responsabilidades, de sus competencias y de sus posibilidades, que dicha actividad satisface las exigencias de la Directiva 95/46 para que las garantías establecidas en ella puedan tener pleno efecto y pueda llevarse a cabo una protección eficaz y completa de los interesados, en particular, de su derecho al respeto de la vida privada.” La citada Sentencia, en su apartado 99, declara: “Los artículos 12, letra b), y 14, párrafo primero, letra a), de la Directiva 95/46 deben interpretarse en el sentido de que, al analizar los requisitos de aplicación de estas disposiciones, se tendrá que examinar, en particular, si el interesado tiene derecho a que la información en cuestión relativa a su persona ya no esté, en la situación actual, vinculada a su nombre por una lista de resultados obtenida tras una búsqueda efectuada a partir de su nombre, sin que la apreciación de la existencia de tal derecho presuponga que la inclusión de la información en cuestión en la lista de resultados cause un perjuicio al interesado”. (…) Dicha Sentencia ha supuesto un aumento notable de las solicitudes de bloqueo de determinados resultados ofrecidos por el buscador cuando se realiza una búsqueda por el nombre del reclamante y que las compañías gestoras de motores de búsqueda hayan tenido que desarrollar procedimientos ad hoc para atender estas solicitudes. Asimismo, motivó que el Grupo de Autoridades de protección de datos de los Estados miembros de la UE (GT29) elaborara un documento de guía, que fue aprobado el 26 de noviembre de 2014, destinado a establecer las orientaciones básicas para aplicar la sentencia y servir de apoyo a las Autoridades nacionales, así como a las entidades implicadas en su aplicación (documento “Guidelines on the implementation of the Court of Justice of the European Union Judgment on <<Google Spain and Inc. vs. Agencia Española de Protección de Datos (AEPD) and…>> C-131/12” (“WP 225”). (…) III En segundo lugar, procede analizar las circunstancias puestas de manifiesto en las denuncias relativas a la comunicación a terceros de los resultados que han sido desindexados por el buscador Google, en relación con un aviso difundido a través del sitio web que indicaba lo siguiente: “Como parte de nuestros esfuerzos por ser transparentes, enviamos una copia de todos los avisos legales que recibimos al proyecto Chilling Effects para su publicación y anotación. Chilling Effects es un proyecto conjunto de las facultades de derecho de Estados C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 Unidos cuyo objetivo es proporcionar recursos relacionados con la libertad de expresión en Internet y con las leyes de propiedad intelectual. También ofrece una base de datos de solicitudes de retirada de contenido de Internet. Chilling Effects ocultará la información de contacto personal del remitente (es decir, tu número de teléfono, tu dirección de correo electrónico y tu domicilio” (Chilling Effects hace referencia a un proyecto actualmente denominado Lumen, cuyo propósito es el estudio de solicitudes de retirada de contenido de Internet). Los denunciantes aportaron indicios sobre la posible existencia de comunicaciones efectuadas por Google a la organización Lumen con información no anonimizada, en relación con solicitudes de retirada de resultados en búsquedas por nombre. Sin embargo, las actuaciones de investigación realizadas no han constatado que GOOGLE INC. haya facilitado a Lumen datos de carácter personal relativos a afectados que hayan solicitado la eliminación de resultados vinculados a su nombre y apellidos. Por un lado, se comprueba que Lumen no aplica ningún proceso para autenticar la validez de las notificaciones que recibe para que sean publicadas en el sitio web www.lumendatabase.org, ni para verificar la veracidad de los datos incluidos, o la identidad del remitente y receptor de la solicitud de cancelación. Dicho sitio web dispone de formularios para comunicar las solicitudes de retirada de contenidos, los cuales se ponen a disposición de cualquier usuario que pretenda realizar alguna comunicación de este tipo, de tal modo que la información publicada siempre depende de la información detallada en la solicitud de publicación. En concreto, en relación con GOOGLE INC., los Servicios de Inspección de la AEPD realizaron búsquedas de posibles publicaciones en www.lumendatabase.org por dicha entidad concluyendo que la información obtenida no permite acreditar que la misma haya comunicado información alguna sobre solicitudes de retirada de contenidos. En el Informe de Actuaciones Previas de Investigación se detallan las conclusiones sobre las publicaciones analizadas, que constan reseñadas en el Hecho Séptimo, en las que se destacan, según los casos, las circunstancias siguientes: . La información publicada fue proporcionada por los propios usuarios a través de los formularios habilitados en el sitio web www.lumendatabase.org para notificar solicitudes de retirada de contenido. . Alguna de las notificaciones publicadas está relacionada con derechos de autor y no especifica si pretende la retirada de una URL, de la que no es responsable GOOGLE INC., o se pretende de esta entidad que no aparezca en los resultados de búsqueda. . GOOGLE INC. no figura como remitente o receptor de la solicitud o esta no tiene relación con el “derecho al olvido”. . En otros casos se trata de solicitudes formuladas a GOOGLE INC. empleando el formulario habilitado por la misma para denunciar infracciones relativas a los derechos de autor, que informa sobre el envío de una copia a terceros o su publicación online. Por otra parte, GOOGLE INC., aunque ha reconocido su voluntad de notificar próximamente a la organización estadounidense Lumen las solicitudes recibidas en relación con la citada Sentencia, ha manifestado a los Servicios de Inspección, reiteradamente, que no ha empezado a compartir con Lumen ninguna información sobre solicitudes que le hayan sido enviadas mediante el formulario web de retirada de resultados de búsqueda en virtud de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 normativa europea de protección de datos. Ha informado que es probable que lo haga en el futuro, si bien advierte que dicha notificación se realizará de forma disociada, proporcionando únicamente información anonimizada y no datos de carácter personal. En definitiva, en este caso, a partir de las actuaciones practicadas, no se ha obtenido constancia de que GOOGLE INC. facilite a terceros, particularmente a la organización estadounidense Lumen, datos de carácter personal identificativos relativos a personas que hayan solicitado la eliminación de resultados vinculados a su nombre y apellidos. IV Finalmente debe abordarse el análisis de los avisos sobre eliminación de resultados insertados por GOOGLE INC. en las páginas de resultados de búsquedas por nombre. En el documento “Preguntas frecuentes. Privacidad y condiciones”, accesible a través del sitio web google.es, en el que se detalla el procedimiento implementado para atender las solicitudes de “derecho al olvido”, Google informa que “Al buscar un nombre, es posible que aparezca un aviso indicando que los resultados se pueden haber modificado de acuerdo con la ley de protección de datos europea. Google muestra un aviso en Europa cuando un usuario busca la mayoría de los nombres, no sólo las páginas que se han visto afectadas por la eliminación”. Al realizar una búsqueda por nombre, GOOGLE INC. informa a los usuarios que la lista de resultados puede no estar completa como consecuencia de la aplicación del derecho europeo. Esta información se ofrece mediante un aviso insertado a pie de página con el texto “Es posible que algunos resultados se hayan eliminado de acuerdo con la ley de protección de datos europea. Más información”. El enlace “Más información” conduce a la página “Preguntas frecuentes. Privacidad y Condiciones” de google.es, reseñada en el párrafo anterior. Como señala el GT29 en el documento antes mencionado, esta práctica no encuentra fundamento en ninguna exigencia normativa y sólo puede ser aceptable si la información se ofrece de tal manera que los usuarios no puedan deducir, en ningún caso, que una persona concreta ha solicitado la retirada de ciertos resultados asociados a su nombre. En el documento se expone que los avisos deberían utilizarse de forma consistente para evitar que los usuarios lleguen a conclusiones equivocadas y recomienda que este tipo de informaciones se proporcione a través de una declaración general que figure de forma permanente en las páginas del buscador. En este caso, GOOGLE INC. ha informado que el aviso sobre la eliminación de resultados se inserta en la página de resultados de búsqueda con carácter general, siempre “… los sistemas de Google detectan que un usuario se encuentra en la Unión Europea, o que está accediendo a Google Search utilizando un dominio de un país europeo (como www.google.es), y que además, el usuario ha realizado una búsqueda basada en el nombre de una persona”. Según esta entidad, el aviso se muestra siempre que el sistema identifica nombres de personas en los criterios de búsqueda, pero, en ocasiones, dicho sistema no es capaz de identificar un nombre de persona como tal y por tanto no muestra el aviso. Para contrastar estas indicaciones, los Servicios de Inspección de la AEPD llevaron a cabo las comprobaciones que se detallan en el Hecho Séptimo, constatando que no es posible acceder al buscador www.google.com desde una dirección IP española, ya que el usuario es redirigido a www.google.es automáticamente, y que cuando se realizan búsquedas en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 www.google.com accediendo desde una IP de fuera de la unión europea, no se muestran avisos. En cambio, cuando se realizaron búsquedas por nombre en www.google.es, tanto si se accede desde una dirección IP española como de fuera de la Unión Europea, resultó que existen casos en los que no se muestra ningún mensaje y otros en los sí se incluye a pie de página aquel aviso. Se ha comprobado que la respuesta es distinta en función de la forma utilizada para indicar el nombre al que se refiere la búsqueda, por ejemplo, con la utilización o no de entrecomilladas o el empleo de tildes (el sistema que identifica nombres distingue entre un apellido con tilde o sin ella). Interesa destacar que las comprobaciones realizadas han concluido que, en todos aquellos casos en los que se muestra el aviso en la página de resultados de búsqueda, los resultados idénticos en cuanto al texto de los mensajes mostrados. Se entiende, por tanto, que la información contenida en el aviso insertado en la página de resultados no permite deducir que una persona concreta haya solicitado la retirada del buscador de ciertos resultados asociados a su nombre. Por ello, estos hechos no determinan la formulación de imputación alguna. No obstante, en relación con los denunciantes 2 (el recurrente) y 3 se comprobó que Google mantuvo un aviso en la página de resultados de las búsquedas por sus nombres respectivos que incluía en ambos casos la información siguiente: “En respuesta a un requisito legal enviado a Google, hemos eliminado 2 resultado(s) de esta página. Si lo deseas, puedes obtener más información sobre este requisito en LumenDatabase.org”. Este aviso aparecía al realizar una búsqueda a partir de los nombres de los denunciantes citados, por lo que no parece que en estos casos se tratase de una declaración general, sino que se hacía referencia a los resultados eliminados a solicitud de los mismos. Adicionalmente, a continuación del aviso antes reseñado se indicaba “Es posible que algunos resultados se hayan eliminado de acuerdo con la ley de protección de datos europea. Más información”. El hecho de que ambas informaciones aparecieran reflejadas sin solución de continuidad en la página de resultados podía conducir a la conclusión de que la eliminación de los dos resultados se derivaba de la aplicación de la legislación de protección de datos europea. De este modo, dicha página arrojaba un aviso personalizado a partir de una búsqueda por el nombre de los denunciantes que vinculaba la eliminación de dos resultados a la aplicación de la normativa de protección de datos. A juicio de la AEPD, no resulta adecuado que, en tales casos, se incluyan en la página de resultados, de forma individualizada, avisos como el referido, en el que se advertía a los usuarios que se han eliminado resultados y se les facilitaba la posibilidad de ampliar detalles sobre los motivos concretos de la eliminación. Con independencia de que los datos publicados en www.lumendatabase.org vayan a estar disociados, el mero hecho de vincular la reclamación en la página de resultados permitiría a los usuarios deducir que se han excluido resultados como consecuencia, no ya de un requisito legal, sino de una “solicitud de olvido” de la persona sobre cuyo nombre y apellidos se ha realizado una búsqueda, lo que, de forma evidente, no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 respeta el criterio interpretativo del GT
  5. Con arreglo a ese criterio, GOOGLE INC. debe abstenerse de incluir estas declaraciones, que no tienen un carácter general, en la página de resultados respecto de solicitudes de retirada de contenidos. En el caso de los denunciantes citados, y según resulta de las comprobaciones realizadas… el aviso en cuestión y el enlace a LumenDatabase.org han sido suprimidos, manteniéndose únicamente el aviso general con el texto “Es posible que algunos resultados se hayan eliminado de acuerdo con la ley de protección de datos europea. Más información”>>. III En su escrito de recurso, el recurrente se limita a reproducir los argumentos expuestos en sus escritos anteriores, sin considerar los hechos constatados y los fundamentos que determinaron el acuerdo de archivo de las actuaciones adoptado, en los que se analizan ampliamente las circunstancias puestas de manifiesto por la misma. Con su recurso pretende justificar la procedencia de que se lleven a cabo las averiguaciones pertinentes, invocando su derecho a demandar la debida investigación de los hechos, si bien la misma ha sido realizada por los Servicios de Inspección de la Agencia, que señalaron expresamente que las actuaciones practicadas no permitieron tener constancia de que, con posterioridad al pronunciamiento del Tribunal de Justicia de la Unión Europea, Google hubiese facilitado a terceros, particularmente a la organización estadounidense Lumen, datos de carácter personal identificativos relativos a afectados que hayan solicitado la eliminación de resultados vinculados a su nombre y apellidos. Por todo ello, con la transcripción de los Fundamentos de Derecho efectuada anteriormente, dichos alegatos quedan sobradamente rebatidos con los argumentos transcritos, que se consideran válidos y suficientes para rechazar el recurso interpuesto. Interesa destacar, no obstante, que en el caso del recurrente el aviso insertado en la página de resultados de búsqueda con su nombre y apellidos como criterio se refería a una eliminación de contenidos del año 2013, anterior al nuevo procedimiento implementado por Google para la gestión de las solicitudes de retirada de resultados de búsqueda a raíz de la Sentencia del TJUE; y que el enlace insertado en ese aviso, a finales del año 2015 y en las comprobaciones realizadas en 2016, ofrecía un mensaje indicando que el contenido o información no estaba disponible, según se comprobó hasta en tres ocasiones diferentes. Así, el aviso en cuestión se refería a una retirada de contenidos anterior a la Sentencia del Tribunal de Justicia de la Unión Europea de 13/05/2014, que fue posteriormente eliminado y sustituido por el aviso general empleado por Google en todas las búsquedas por nombre, no sólo en las páginas afectadas por la eliminación de contenidos, lo que no permite deducir que una persona concreta hubiera solicitado la retirada del buscador de ciertos resultados asociados a su nombre. Este aviso general se ajusta a los criterios contenidos en el documento elaborado por el Grupo de Autoridades de protección de datos de los Estados miembros de la UE (GT29), aprobado el 26 de noviembre de 2014, en el que se establecen las orientaciones básicas para aplicar aquella Sentencia. Esta actuación de Google no resulta suficiente a juicio del recurrente, según el cual la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 subsanación de la incidencia no justifica el archivo de las actuaciones. Sin embargo, esta Agencia ha valorado oportunamente el proceso de adaptación y ajuste que conllevó aquella Sentencia. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por D. N.N.N. contra la resolución de esta Agencia dictada con fecha 4 de agosto de 2017, en el expediente de actuaciones previas de inspección E/05143/
  6. SEGUNDO: NOTIFICAR la presente resolución a D. N.N.N.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos 1616 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.