1/14 Expediente Nº: TD/00007/2014 RESOLUCIÓN Nº: R/00872/2014 Vista la reclamación formulada el 5 de noviembre de 2013 ante esta Agencia por Dª C.C.C. y D. B.B.B. (Representados por Dª D.D.D.) contra GOOGLE SPAIN S.L. (YOUTUBE), por no haber sido debidamente atendido su derecho de cancelación. Realizadas las actuaciones procedimentales previstas en el artículo 117 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre (en lo sucesivo, RLOPD), se han constatado los siguientes HECHOS PRIMERO: Con fecha 05 de noviembre de 2013 tuvo entrada en esta Agencia reclamación presentada por Dª C.C.C. y D. B.B.B. (Representados por Dª D.D.D.) (en lo sucesivo, los reclamantes) contra GOOGLE SPAIN S.L. (YOUTUBE) (en lo sucesivo, Youtube), por no haber sido debidamente atendido su derecho de cancelación. Se trata de un vídeo que una mujer publicó en Youtube de un programa de televisión peruana donde explica que es adoptada y que busca a su padre biológico, y donde, en un momento concreto, declara, basado en meras suposiciones, que éste es el reclamante, y además, menciona a la reclamante, esposa de su supuesto padre. SEGUNDO: Una vez examinada la documentación aportada con la reclamación, se observa que la misma debe ser subsanada, por lo que, de conformidad con el artículo 71 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo, LRJPAC), mediante escrito de fecha 08 de enero de 2014 se le solicitó “Acreditación del escrito de solicitud del ejercicio de derecho y la recepción del mismo ante el responsable del fichero”. TERCERO: Con fecha 07 de febrero de 2014 tuvo entrada en esta Agencia escrito de los reclamantes aportando la documentación solicitada, en la que consta que sus datos aparecen en el siguiente resultado de búsqueda de YouTube: A.A.A. Cabe señalar, que de acuerdo con el artículo 42.5 de la LRJPAC, el transcurso del plazo máximo legal para resolver el procedimiento de tutela de derechos y notificar la resolución (seis meses) se verá suspendido por el tiempo que medie entre la notificación del requerimiento y su efectivo cumplimiento por el destinatario. En el presente caso, el cumplimiento final de la subsanación se efectuó en fecha 07 de febrero de 2014, por lo que a partir de esa fecha volverá a comenzar el cómputo del plazo para la resolución del citado procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 CUARTO: Con fecha 26 de febrero de 2014 se dio traslado de la reclamación a GOOGLE SPAIN S.L. (YOUTUBE) para que presentase las alegaciones que, a su derecho, estimase convenientes, sin que haya tenido entrada en esta Agencia contestación alguna por parte de la entidad. FUNDAMENTOS DE DERECHO PRIMERO: La competencia para resolver la presente reclamación corresponde al Director de la Agencia Española de Protección de Datos, de acuerdo con el artículo 37.d), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (en lo sucesivo, LOPD). SEGUNDO: El artículo 18.1 de la LOPD señala que “Las actuaciones contrarias a lo dispuesto en la presente Ley pueden ser objeto de reclamación por los afectados ante la Agencia Española de Protección de Datos, en la forma que reglamentariamente se determine”. TERCERO: La vigente LOPD incorpora el derecho de oposición, trasponiendo la Directiva 95/46/CE. A tal efecto, el artículo 6.4, que establece una previsión general, según el cual “En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una ley no disponga lo contrario, este podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una situación concreta. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado.” CUARTO: Los artículos 34 y 35 del RLOPD determinan: “Artículo 34. Derecho de oposición. El derecho de oposición es el derecho del afectado a que no se lleve a cabo el tratamiento de sus datos de carácter personal o se cese en el mismo en los siguientes supuestos:
- a)Cuando no sea necesario su consentimiento para el tratamiento, como consecuencia de la concurrencia de un motivo legítimo y fundado, referido a su concreta situación personal, que lo justifique, siempre que una Ley no disponga lo contrario.
- b)Cuando se trate de ficheros que tengan por finalidad la realización de actividades de publicidad y prospección comercial, en los términos previstos en el artículo 51 de este reglamento, cualquiera que sea la empresa responsable de su creación.
- c)Cuando el tratamiento tenga por finalidad la adopción de una decisión referida al afectado y basada únicamente en un tratamiento automatizado de sus datos de carácter personal, en los términos previstos en el artículo 36 de este reglamento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 Artículo 35. Ejercicio del derecho de oposición. 1. El derecho de oposición se ejercitará mediante solicitud dirigida al responsable del tratamiento. Cuando la oposición se realice con base en la letra
- a)del artículo anterior, en la solicitud deberán hacerse constar los motivos fundados y legítimos, relativos a una concreta situación personal del afectado, que justifican el ejercicio de este derecho. 2. El responsable del fichero resolverá sobre la solicitud de oposición en el plazo máximo de diez días a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. En el caso de que no disponga de datos de carácter personal de los afectados deberá igualmente comunicárselo en el mismo plazo. 3. El responsable del fichero o tratamiento deberá excluir del tratamiento los datos relativos al afectado que ejercite su derecho de oposición o denegar motivadamente la solicitud del interesado en el plazo previsto en el apartado 2 de este artículo.” QUINTO: Aplicación de la normativa española de trasposición de la comunitaria sobre protección de datos: El documento de Privacidad de YouTube en España, remite a la “Política de Privacidad de Google”. En relación a la titularidad de Google sobre YouTube, existen indicios que evidencian que Google actúa como representante del servicio ofrecido por Youtube, como por ejemplo las declaraciones efectuadas por la directiva de Google España, ante los medios de comunicación, respecto a sus políticas sobre el contenido de sus plataformas, en concreto YouTube. Respecto a Google Inc, cabe destacar que dicha entidad tiene designado a Google Spain como su representante ubicado en territorio español, conforme a lo exigido por el artículo 3.1.c), segundo párrafo del RLOPD. En el Registro General de Protección de Datos, Google Inc. tiene designado a Google Spain, S.L. como la oficina o dependencia donde ejercitar los derechos regulados por la LOPD. Consecuentemente, al no existir constancia de otro representante en España de la entidad YouTube, nos dirigimos a Google Spain, S.L. para la tramitación de la reclamación interpuesta por los interesados ante la denegación del derecho de oposición ejercitado. A mayor abundamiento, la Sentencia de fecha 20 de octubre de 2011 de la Audiencia Nacional, Sala de lo Contencioso-Administrativo, Sección Primera, dictada en relación a un recurso interpuesto contra la resolución del procedimiento sancionador C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 tramitado por esta Agencia, PS/00508/2008, atribuye la responsabilidad de Google frente a YouTube, en los siguientes términos: “Partiendo de dicho dato, la AEPD solicitó de Google Spain información sobre una serie de extremos –folio 56- tales como: 1. Dirección IP desde la que se creó la cuenta de usuario fshm del portal http://es.youtube.com ; 2. Datos identificativos de la persona física o jurídica que creó dicha cuenta, solicitando todos los datos que consten en el registro, incluyendo nombre y apellidos o denominación social, dirección postal, CIF/NIF, fecha y hora en que se crearon dichas cuentas etc; 3. Productos y tipo de contrato que mantiene el mencionado usuario con la entidad para la utilización de las referidas cuentas; 4. Fecha y hora en que se produjo, y dirección IP desde la que se cargó en el portal http://es.youtube.com el vídeo identificado por el localizador de recurso URL http://es.youtube.com/watch?v=2ezaT0_0h_A; y 5. Cualquier otra información y documentación que consideren relevante respecto a la publicación de contenidos en formato vídeo que incluyan datos de carácter personal en el portal http://es.youtube.com. El “Equipo de Soporte Legal de Google” (lis-global”google.com) contesta al citado requerimiento de información –folio 64- que “debido a que Google es una compañía de Estados Unidos (…) la petición de información sea dirigida a Google Inc”, dirigiendo la AEPD la solicitud de información a Google Inc – folios 66 y 68-. Por el citado “Equipo de Soporte Legal de Google” (lis-global”google.com)respondiendo a dicho requerimiento se informa a la AEPD –folio 69- que adjunta la información del usuario, no poseen la IP desde donde se subió el vídeo y que el contrato que mantiene el usuario con YouTube LLC se basa en los términos y condiciones que pueden encontrar publicadas en la línea en el enlace http://es.youtube.com /t/terms. En dos páginas adjuntas que llevan como encabezamiento “GOOGLE CONFIDENTIAL AND PROPRITARY” figura la información sobre la fecha y hora en que se creó la cuenta fshm; la dirección IP desde la que se creó dicha cuenta; los datos que les constan del usuario: dirección de correo electrónico, el país (España) y el código postal
(2820); la hora y día en que se incluyó el vídeo “cerdos pozuelo” en Youtube, no constando la dirección IP desde la que fue incluido.” Si bien en la presente argumentación no se trata de un buscador, a continuación se exponen argumentos relevantes a los efectos de considerar a Google como un prestador de servicios de alojamiento de datos como YouTube. A TODO ELLO CABE ARGUMENTAR LO SIGUIENTE: I. El artículo 3 del RLOPD señala su ámbito territorial de aplicación en los siguientes términos: “1. Se regirá por el presente Reglamento todo tratamiento de datos de carácter personal:
- a)Cuando el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento, siempre que dicho establecimiento se encuentre ubicado en territorio español. Cuando no resulte de aplicación lo dispuesto en el párrafo anterior, pero C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 exista un encargado del tratamiento ubicado en España, serán de aplicación al mismo las normas contenidas en el título VIII del presente Reglamento.
- b)Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española, según las normas de Derecho internacional público.
- c)Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito. En este supuesto, el responsable del tratamiento deberá designar un representante establecido en territorio español. 2. A los efectos previstos en los apartados anteriores, se entenderá por establecimiento, con independencia de su forma jurídica, cualquier instalación estable que permita el ejercicio efectivo y real de una actividad” II. Este artículo traspone el artículo 4 de la Directiva 95/46/CE, que literalmente señala: “Derecho nacional aplicable 1. Los Estados miembros aplicarán las disposiciones nacionales que haya aprobado para la aplicación de la presente Directiva a todo tratamiento de datos personales cuando:
- a)el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro. Cuando el mismo responsable del tratamiento esté establecido en el territorio de varios Estados miembros deberá adoptar las medidas necesarias para garantizar que cada uno de dichos establecimientos cumple las obligaciones previstas por el Derecho nacional aplicable;
- b)el responsable del tratamiento no esté establecido en el territorio del Estado miembro, sino en un lugar en que se aplica su legislación nacional en virtud del Derecho internacional público;
- c)el responsable del tratamiento no esté establecido en el territorio de la Comunidad y recurra, para el tratamiento de datos personales, a medios, automatizados o no, situados en el territorio de dicho Estado miembro, salvo en caso de que dichos medios se utilicen solamente con fines de tránsito por el territorio de la Comunidad Europea. 2. En el caso mencionado en la letra
- c)del apartado 1, el responsable del tratamiento deberá designar un representante establecido en el territorio de dicho Estado miembro, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 III. Este artículo responde a las consideraciones que se plasman en la exposición de motivos de la misma directiva; en concreto los considerandos 18 y siguientes presentan la siguiente justificación del artículo 4 en cuestión: “
(18)Considerando que, para evitar que una persona sea excluida de la protección garantizada por la presente Directiva, es necesario que todo tratamiento de datos personales efectuado en la Comunidad respete la legislación de uno de sus Estados miembros; que, a este respecto, resulta conveniente someter el tratamiento de datos efectuados por cualquier persona que actúe bajo la autoridad del responsable del tratamiento establecido en un Estado miembro a la aplicación de la legislación de tal Estado;
(19)Considerando que el establecimiento en el territorio de un Estado miembro implica el ejercicio efectivo y real de una actividad mediante una instalación estable; que la forma jurídica de dicho establecimiento, sea una simple sucursal o una empresa filial con personalidad jurídica, no es un factor determinante al respecto; que cuando un mismo responsable esté establecido en el territorio de varios Estados miembros, en particular por medio de una empresa filial, debe garantizar, en particular para evitar que se eluda la normativa aplicable, que cada uno de los establecimientos cumpla las obligaciones impuestas por el Derecho nacional aplicable a estas actividades;
(20)Considerando que el hecho de que el responsable del tratamiento de datos esté establecido en un país tercero no debe obstaculizar la protección de las personas contemplada en la presente Directiva; que en estos casos el tratamiento de datos debe regirse por la legislación del Estado miembro en el que se ubiquen los medios utilizados y deben adaptarse garantías para que se respeten en la práctica los derechos y obligaciones contempladas en la presente Directiva;” IV. El servicio prestado a través del sitio web youtube.com, es un servicio dirigido específicamente al territorio español. Al teclear la dirección desde un ordenador situado en territorio español se redirecciona a una página en español adaptada a los clientes españoles como se deduce de la propia información de YouTube, que insta al afectado a solicitar la cancelación a través de la página habilitada por Google: “Cuentas y Políticas y Reclamaciones de Privacidad”. La afirmación de que el servicio de búsqueda está dirigido específicamente al territorio español se basa en los siguientes hechos: o El lenguaje de la página youtube.com está redactada en castellano. o Cuando se realizan búsquedas en youtube, los resultados que aparecen están dirigidos a usuarios ubicados en el territorio español. Pero es más, según el criterio ya descrito anteriormente, los prestadores que recurren a medios en el territorio de un Estado miembro (EEE) para el tratamiento de datos personales también se encuentran dentro del ámbito de la legislación en materia de protección de datos del Estado miembro, salvo en caso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 de que dichos medios se utilicen solamente con fines de tránsito por el territorio de la Comunidad Europea. En lo que respecta a la prestación de servicios de buscadores desde fuera de la UE, los centros de datos situados en el territorio de un Estado miembro pueden utilizarse para el almacenamiento y el tratamiento a distancia de datos personales. Otros tipos de medios podrían ser la utilización de ordenadores personales, terminales y servidores. La utilización de cookies y dispositivos de software similares por parte de un proveedor de servicios online también puede considerarse como recurso a medios en el territorio del Estado miembro, de este modo la legislación en materia de protección de datos de dicho Estado miembro le resulta aplicable. Se indica que “el ordenador del usuario puede considerarse un medio en el sentido del artículo 4
(1)de la Directiva 95/46/CE. Se encuentra situado en el territorio de un Estado miembro. El responsable decide recurrir a este medio con el fin de tratar datos personales y, según se ha explicado en apartados anteriores, se producen diversas operaciones técnicas sin el control del interesado. El responsable de tratamiento controla el equipo del usuario y este equipo no se utiliza exclusivamente con fines de tránsito por el territorio de la Comunidad Europea. V. Pero es más, no sólo es la normativa específica de protección de datos la que, con arreglo a los argumentos anteriores, determina la Ley nacional aplicable a este supuesto, sino que dicha normativa resultaría en todo caso aplicable por determinación del tenor literal de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI), que en su artículo 4 establece: “A los prestadores establecidos en países que no sean miembros de la Unión Europea o del Espacio Económico Europeo, les será de aplicación lo dispuesto en los artículos 7.2 y 11.2. Los prestadores que dirijan sus servicios específicamente al territorio español quedarán sujetos, además, a las obligaciones previstas en esta Ley, siempre que ello no contravenga lo establecido en tratados o convenios internacionales que sean aplicables.” Por reenvío de dicho artículo resulta aplicable en este supuesto concreto el artículo 8.1.c de la misma Ley, que señala: “En caso de que un determinado servicio de la sociedad de la información atente o pueda atentar contra los principios que se expresan a continuación, los órganos competentes para su protección, en ejercicio de las funciones que tengan legalmente atribuidas, podrán adoptar las medidas necesarias para que se interrumpa su prestación o para retirar los datos que los vulneran”. El principio a que alude en el apartado
- c)es el “respeto a la dignidad de la persona”. Continúa el apartado siguiente de dicho artículo señalando: “En la adopción y cumplimiento de las medidas de restricción a que alude este apartado se respetarán, en todo caso, las garantías, normas y procedimientos previstos en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 el ordenamiento jurídico para proteger los derechos a la intimidad personal y familiar, a la protección de los datos personales, a la libertad de expresión o a la libertad de información, cuando estos pudieran resultar afectados”. Pero es más, esta cuestión ya ha sido analizada y resuelta por la Audiencia Provincial de Madrid, en su sentencia 95/2010, de 19 de febrero. Dicha sentencia en su fundamento jurídico tercero señala, en síntesis, respecto del ámbito territorial de la LSSI, que ésta es aplicable a “los prestadores de servicios de la sociedad de la información establecidos en España y a los servicios prestados por ellos, o bien en los supuestos en que el prestador de servicios opere mediante un establecimiento permanente situado en territorio español, cuando disponga en el mismo, de forma continuada o habitual, de instalaciones o lugares de trabajo, en los que realice toda o parte de su actividad.” SEXTO: Los artículos 8 y 16 de la LSSI determinan lo siguiente: El artículo 8 de la citada LSSI, dispone que “en caso de que un determinado servicio de la sociedad de la información atente o pueda atentar contra los principios que se expresan a continuación, los órganos competentes para su protección, en ejercicio de las funciones que tengan legalmente atribuidas, podrán adoptar las medidas necesarias para que se interrumpa su prestación o para retirar los datos que los vulneran. Los principios a que alude este apartado son los siguientes: (...)
- c)El respeto a la dignidad de la persona y al principio de no discriminación por motivos de raza, sexo, religión, opinión, nacionalidad, discapacidad o cualquier otra circunstancia personal o social. (el subrayado es de la Agencia Española de Protección de Datos) (...) Abundando en el principio del respeto a la dignidad de la persona la Sentencia del Tribunal Constitucional STC 292/2000 comienza señalando que “la singularidad del derecho a la protección de datos, por un lado, su objeto es más amplio que el del derecho a la intimidad, ya que el derecho fundamental a la protección de datos extiende su garantía no solo a la intimidad en su dimensión constitucionalmente protegida por el art. 18.1 CE, sino a lo que en ocasiones este Tribunal ha definido en términos más amplios como esfera de los bienes de la personalidad que pertenecen al ámbito de la vida privada, inextricablemente unidos al respeto de la dignidad personal (STC 170/1987, de 30 de Oct., FJ 4) como el derecho al honor, citado expresamente en el art. 18.4 CE, e igualmente, en expresión bien amplia del propio art. 18.4 CE, al pleno ejercicio de los derechos de la persona”. Reiterando la doctrina que ya había establecido en anteriores sentencias, la STC 292/2000, se refiere a que “el artículo 18.4 de la Constitución Española contiene un instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los restantes derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos, lo que la Constitución llama << la informática >>. La sentencia hace referencia a continuación al contenido esencial del derecho fundamental a la protección de datos, afirmando que “la garantía de la vida privada de la persona y de su reputación poseen hoy una dimensión positiva que excede el ámbito propio del derecho fundamental a la intimidad y que se traduce en un derecho de control sobre los datos relativos a la propia persona. La llamada <<libertad informática>> es así derecho a controlar el uso de los mismos datos insertos en un programa informático (habeas data) y comprende, entre otros aspectos, la oposición del ciudadano a que determinados datos personales sean utilizados para fines distintos de aquel legítimo que justificó su obtención”. Entiende el Alto Tribunal que “el derecho fundamental a la intimidad del artículo 18.1 CE es la de proteger frente a cualquier invasión que pueda realizarse en aquel ámbito de la vida personal y familiar que la persona desea excluir del conocimiento ajeno y de las intromisiones de terceros en contra de su voluntad. En cambio, el derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino, con el propósito de impedir su tráfico ilícito y lesivo para la dignidad y el derecho del afectado.” De lo expuesto se desprende que la afectación del derecho a la protección de Datos “atenta o puede atentar” al principio de respeto a la dignidad de la persona a los efectos previstos en el artículo 8 de la LSSI; y esa afectación debe predicarse de todas y cada una de las garantías que integran el derecho fundamental a la protección de datos personales, entre las que se incluye el derecho de oposición. El artículo 16 de la LSSI “Responsabilidad de los prestadores de servicios de alojamiento o almacenamiento de datos” dispone lo siguiente: “1. Los prestadores de un servicio de intermediación consistente en albergar datos proporcionados por el destinatario de este servicio no serán responsables por la información almacenada a petición del destinatario, siempre que:
- a)No tengan conocimiento efectivo de que la actividad o la información almacenada es ilícita o de que lesiona bienes o derechos de un tercero susceptibles de indemnización, o
- b)Si lo tienen, actúen con diligencia para retirar los datos o hacer imposible el acceso a ellos. Se entenderá que el prestador de servicios tiene el conocimiento efectivo a que se refiere el párrafo
- a)cuando un órgano competente haya declarado la ilicitud de los datos, ordenado su retirada o que se imposibilite el acceso a los mismos, o se hubiera declarado la existencia de la lesión, y el prestador conociera la correspondiente resolución, sin perjuicio de los procedimientos de detección y retirada de contenidos de los prestadores apliquen en virtud de los acuerdos voluntarios y de otros medios de conocimiento efectivo que pudieran C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 establecerse. 2. La exención de responsabilidad establecida en el apartado 1 no operará en el supuesto de que el destinatario del servicio actúe bajo la dirección, autoridad o control de su prestador”. (El subrayado es de la Agencia Española de Protección de Datos). En el caso que nos ocupa los datos personales obtenidos por Google y que aparecen en la plataforma de alojamiento de vídeos YouTube, afectan a la dignidad de la persona y pueden lesionar derechos de un tercero, por lo que el Director de la Agencia Española de Protección de Datos como órgano competente para velar por el cumplimiento de la legislación sobre protección de datos y controlar su aplicación, atendiendo a la reclamación formulada por los interesados, puede requerir al responsable del tratamiento de los datos, la adopción de medidas necesarias para la adecuación del tratamiento de los datos a las disposiciones de la LOPD, ejerciendo las funciones que le atribuye su artículo 37, así como a los efectos establecidos en los artículos 8 y 16 de la LSSI. Siguiendo esta argumentación, la Audiencia Provincial de Madrid en su sentencia 95/2010, señala que Google no puede ser responsable del contenido de los datos trasmitidos en el caso de que se den los requisitos de exención de responsabilidad del art. 16 antes citado; la exención no opera una vez que el prestador del servicio tenga conocimiento efectivo de que la información lesiona derechos de terceros. Esto es, la exención de responsabilidad no se produce, entre otros, cuando “el prestador del servicio, en este caso Google, haya tenido conocimiento de la correspondiente resolución…….y por lo tanto tenga que actuar con diligencia a los efectos de suprimir o inutilizar el enlace correspondiente.”. En este caso, la resolución dictada por el Director de la Agencia Española de Protección de Datos, es requisito suficiente para entender que no se produce la exención de responsabilidad de Google como titular de Youtube prevista en el art. 16 de la LSSI y que, por tanto, resultan responsables y obligados a suprimir o inutilizar el enlace correspondiente. Y todo ello, como se dice en la sentencia referida, no porque sea autor de la información controvertida sino por el hecho de que tras la solicitud de un órgano competente, se sigue accediendo a dicha información, teniendo efectos no deseados con carácter permanente en contra de la voluntad del afectado. En ese sentido, la STS de 16 de febrero de 2011, llega incluso más lejos al considerar que el “conocimiento efectivo” por el prestador de servicios no puede reducirse a que un órgano competente lo declare, por ser una interpretación restrictiva. Así considera que el conocimiento efectivo se obtiene por el prestador del servicio a partir de hechos o circunstancias aptos para posibilitar una efectiva aprehensión de la realidad de que se trate. Tanto la fotografía como las expresiones empleadas constituyen una intromisión en el derecho al honor del demandante notoria y manifiesta, por lo que no es precisa una resolución judicial para declararse la ilicitud del contenido de las mismas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 Abundando en lo anteriormente expuesto, la Sentencia número 289/2010, del Juzgado de lo Mercantil nº 7 de Madrid, señala lo siguiente: “Lo que esto evidencia es que la demandada presta un servicio de intermediación en los términos definidos por la LSSI como “servicio de la sociedad de la sociedad de la información por el que se facilita la prestación o utilización de otros servicios de la sociedad de la información o el acceso a la información”. De esta manera, el régimen de responsabilidad de YouTube por la prestación de servicios de información está sancionado en los artículos 14 a 17 de la Ley de Servicios de la Sociedad de la Información. Dichos preceptos establecen un régimen de exención parcial de responsabilidad de los prestadores de servicios por los contenidos alojados en los sitios de web. Desde esta perspectiva es claro que de conformidad con la Directiva de Comercio Electrónico, de 8 de junio de 2000, y con el contenido de la ley de transposición española, la LSSI, no es posible imponer a ningún prestador del servicio de intermediación una obligación general de supervisar los datos que se transmitan o almacenen, ni mucho menos de realizar búsquedas activas de hechos o circunstancias de actividades ilícitas. YouTube no es un proveedor de contenidos y por tanto, no tiene la obligación de controlar ex ante la ilicitud de aquellos que se alojen en su sitio web; su única obligación es precisamente colaborar con los titulares de los derechos para, una vez identificada la infracción, proceder a la inmediata retirada de los contenidos. Ese deber de colaboración es el que se encuentra recogido también en la Exposición de Motivos de la LSSI y que, ha sido cumplimentado debidamente por la demandada mediante los sistemas de detección, notificación y verificación implantados. (…) De este modo, bajo la rúbrica de “Responsabilidad de los prestadores de servicios de alojamiento o almacenamiento de datos” el artículo 16 de la LSSI, recogiendo el contenido del artículo 14 de la Directiva de Comercio Electrónico exime de responsabilidad a los prestadores de servicios de alojamiento siempre y cuando: “-
- a)no tengan conocimiento efectivo de que la actividad o la información que almacenan o a la que remiten es ilícita o lesiona bienes o derechos de un tercero susceptibles de indemnización. B) si lo tienen, actúen con diligencia para retirar los datos o hacer imposible el acceso a ellos”. Como evidencia el texto transcrito la exención de responsabilidad para los prestadores de servicios de intermediación se configura en torno a un concepto jurídico de difícil determinación como el “conocimiento efectivo”. La Ley española parece optar por un concepto restringido y limitado de conocimiento efectivo de la ilicitud al exigir que este sea declarado por un órgano competente que haya ordenado la retirada de los datos o que imposibilita el acceso a los mismos. Según la LSSI por órgano competente haya que entender todo órgano jurisdiccional o administrativo, que actúe en el ejercicio de competencias legalmente atribuidas. De hecho, los únicos órganos competentes para determinar la licitud o ilicitud C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 de la información son los órganos judiciales, al no existir ningún órgano administrativo con competencias específicas en esta materia. Una interpretación estricta y ortodoxa de la normativa exigiría que para que Youtube tuviese “conocimiento efectivo” del carácter ilícito de los contenidos alojados en su sitio web y pudiera ser considerado responsable respecto de los mismos, esa ilicitud debería haber sido declarada previamente por un órgano jurisdiccional. (En este sentido, sentencia de la Audiencia Provincial de Madrid de 19 de febrero de 2010). La actora, propugna una hermenéutica más flexible de dicho concepto que posibilita que el conocimiento efectivo dimane de un “órgano competente” no jurisdiccional, o a través de otras fuentes de conocimiento, de conformidad con los criterios establecidos en la sentencia, que invoca, del Tribunal Supremo de 9 de diciembre de 2009. Lo primero que ha de advertirse es que la sentencia citada hace referencia a un supuesto de hecho ciertamente distinto, en el que el nombre de dominio registrado era manifiestamente difamatorio, lo que no ocurre en el caso que nos ocupa. Probablemente, la interpretación más acertada sea aquella que, sin alcanzar el rigor de una hermenéutica ortodoxa que restringe el concepto hasta hacerlo equivalente a una resolución judicial, se ajuste a los principios que inspiran tanto a la directiva como la LSSI, que con toda claridad prohíben establecer una obligación de control con carácter general a quienes prestan los servicios de intermediación. Lo que esto significa es que el conocimiento efectivo deberá acreditarse pormenorizadamente, no bastando la mera sospecha o el indicio racional para probarlo. Esa concretización del conocimiento efectivo exige sin duda la colaboración del perjudicado. Es lo que acertadamente sostiene la Sentencia del TGI de París de 15 de abril de 2008, que afirma que “el conocimiento efectivo del carácter manifiestamente ilícito de un ataque a los derechos patrimoniales o morales de los autores o productores no implica ningún conocimiento previo y hace necesaria la colaboración de las víctimas de la infracción, que deben notificar a la sociedad que aloja a los portales de los internautas sobre qué derechos estiman afectados”. Lo que significa en el caso concreto es que, partiendo del principio general firmemente establecido de que la demandada no tiene obligación alguna de monitorizar o controlar con carácter previo los contenidos alojados en su sitio web, corresponde a la actora poner en conocimiento efectivo de YouTube aquellos contenidos que puedan lesionar a infringir la titularidad de sus derechos de propiedad intelectual. Y debe hacerlo no de una forma masiva e incondicionada, sino individualizada y concreta porque, como bien dice la demandada, es posible que muchos de los vídeos que los usuarios han subido al sitio web de Youtube sean fragmentos de información no protegidos por la ley de propiedad intelectual o meras parodias de programas titularidad de Telecinco que tampoco se encuentran amparadas por esa protección”. Del precepto transcrito se colige, que, si bien Google como titular de YouTube no es responsable de los contenidos del vídeo, debe ordenar su retirada o imposibilitar el acceso al mismo cuando la Agencia Española de Protección de Datos, como órgano competente, así lo determine. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 SÉPTIMO: En el presente caso, los reclamantes solicitaron el derecho de oposición al tratamiento de sus datos de carácter personal que aparecían en el siguiente enlace web: A.A.A. Como ya se ha señalado en el Fundamento Jurídico Quinto de esta Resolución, el documento de Privacidad de YouTube en España, remite a la “Política de Privacidad de Google”. En relación a la titularidad de Google sobre YouTube, existen indicios que evidencian que Google actúa como representante del servicio ofrecido por Youtube, como por ejemplo las declaraciones efectuadas por la directiva de Google España, ante los medios de comunicación, respecto a sus políticas sobre el contenido de sus plataformas, en concreto YouTube. Respecto a Google Inc, cabe destacar que dicha entidad tiene designado a Google Spain como su representante ubicado en territorio español, conforme a lo exigido por el artículo 3.1.c), segundo párrafo del RLOPD. En el Registro General de Protección de Datos, Google Inc. tiene designado a Google Spain, S.L. como la oficina o dependencia donde ejercitar los derechos regulados por la LOPD. Consecuentemente, al no existir constancia de otro representante en España de la entidad YouTube, nos dirigimos a Google Spain, S.L. para la tramitación de la reclamación interpuesta por los interesados ante la denegación del derecho de oposición ejercitado. No existe una disposición legal en contrario respecto del ejercicio del derecho de cancelación frente a Google como prestador de servicios de alojamiento de datos de YouTube. De acuerdo con lo anterior, procedía la exclusión de los datos personales de los reclamantes de los índices elaborados por Google, así como la eliminación de las imágenes que aparecen en los vídeos incluidos en YouTube. Por esta Agencia se ha comprobado que sigue siendo accesible en YouTube el enlace A.A.A. . Se trata de un vídeo que una mujer publicó en Youtube de un programa de televisión peruana donde explica que es adoptada y que busca a su padre biológico, y donde, en un momento concreto, declara, basado en meras suposiciones, que éste es el reclamante, y además, menciona a la reclamante, esposa de su supuesto padre. No consta ninguna circunstancia que haga prevalecer la divulgación incondicionada e inconsentida de los datos de los afectados con carácter permanente a través de la plataforma de vídeos de referencia sobre su derecho a la protección de datos y privacidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 En consecuencia con lo anteriormente expuesto, procedía la exclusión de las imágenes que aparecen en el vídeo incluido en YouTube, por lo que se estima el presente procedimiento de tutela de derechos. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por Dª C.C.C. y D. B.B.B. (Representados por Dª D.D.D.) contra GOOGLE SPAIN, S.L. (Google Inc.) como representante en España del servicio ofrecido por Youtube, para que adopte y realice las gestiones necesarias en orden a la cancelación de los datos personales de los interesados contenidos en el vídeo A.A.A., objeto de la presente tutela de derechos. SEGUNDO: NOTIFICAR la presente resolución a Dª C.C.C. y D. (Representados por Dª D.D.D.), y a GOOGLE SPAIN S.L. (Youtube). B.B.B. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del RLOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 18.4 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la LRJPAC, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción ContenciosoAdministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es