TD-00016-2020

1/10 1035-150719  Expediente Nº: TD/00016/2020 RESOLUCIÓN Nº: R/00228/2020 Vista la reclamación formulada el 17/07/2019 ante esta Agencia por GARANTÉ ABOGADOS, S.L. en representación de D. A.A.A., contra GOOGLE LLC (GOOGLE SPAIN, S.L.), por no haber sido debidamente atendido su derecho de supresión. Realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: D. A.A.A. (en adelante, la parte reclamante) ejerció derecho de supresión en relación con unas emisiones de videos frente a YOUTUBE LLC (GOOGLE SPAIN, S.L. (en adelante, la reclamada). La parte reclamante aporta copia de diferentes correos electrónicos remitidos por la reclamada informando que, “De conformidad con los Lineamientos de la comunidad, eliminamos el material en cuestión debido a una infracción de la privacidad.” La parte reclamante aporta diversa documentación relativa a la reclamación planteada ante esta Agencia y sobre el ejercicio del derecho ejercitado y manifiesta que, a lo largo de los años 2018 y 2019 se subieron a YouTube, sin su consentimiento, numerosos vídeos, bajo el título «***TITULO.1» y otros parecidos. En ellos, la parte reclamante aparece en un ambiente distendido y realizando comentarios que, sacados de contexto, pueden afectar seriamente su imagen y reputación. Los vídeos se hicieron virales ocasionando serios perjuicios personales y familiares. Se hicieron parodias empleando la imagen y la voz sin consentimiento. Para el ejercicio de supresión de los videos se debe aporta documentación para comprobar la identidad y solo se puede llevar a cabo con los formularios web de YouTube y que únicamente permiten la denuncia de un vídeo por cada proceso, y no siempre procede al borrado de estos a pesar de no haber dado el consentimiento para la publicación. El hecho de tener que solicitar el borrado de uno en uno, ocasiona un grave perjuicio al tratarse de una cantidad excesiva. Asimismo, pese a haber solicitado el borrado, los usuarios pueden volver a subir el vídeo si lo desean, o también, las técnicas de posicionamiento en YouTube suponen que suban o aparezcan en la lista de búsquedas nuevos vídeos, lo que hace difícilmente cuantificable la expansión del fenómeno. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 2/10 Dado que, el proceso de reclamo de privacidad impide el ejercicio de un derecho de supresión total, se han buscado vías alternativas para ejercitar el mismo y solo existe un único medio posible a través de los formularios web. Tras intentos de poder gestionar la petición del borrado total, si intentó contactar con la reclamada, que no ofrece ninguna respuesta o solución al respecto. Se aporta a la reclamación un documento con enlaces que según manifiesta la parte reclamante, permanecen en YouTube: 1. 2. 3. 4. 5. 6. 7. 8. 9. ***URL.1 ***URL.2 ***URL.3 ***URL.4 ***URL.5 ***URL.6 ***URL.7 ***URL.8 ***URL.9 FUNDAMENTOS DE DERECHO PRIMERO: Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el apartado 2 del artículo 56 en relación con el apartado 1

1. f)del artículo 57, ambos del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD); y en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). SEGUNDO: El artículo 64.1 de la LOPDGDD, dispone que: “1. Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo siguiente. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación.” TERCERO: El artículo 17 del RGPD dispone lo siguiente: C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 3/10 “1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
2. a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
3. b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
4. c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
5. d)los datos personales hayan sido tratados ilícitamente;
6. e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
7. f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. 2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos. 3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
8. a)para ejercer el derecho a la libertad de expresión e información;
9. b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
10. c)por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras
11. h)e i), y apartado 3;
12. d)con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 4/10
13. e)para la formulación, el ejercicio o la defensa de reclamaciones.” CUARTO: Art. 9.2 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativo, determina lo siguiente: “2. Corresponderá a los Juzgados Centrales de lo Contencioso-Administrativo, la autorización a que se refiere el artículo 8.2 de la Ley 34/2002 así como autorizar la ejecución de los actos adoptados por la Sección Segunda de la Comisión de Propiedad Intelectual para que se interrumpa la prestación de servicios de la sociedad de la información o para que se retiren contenidos que vulneren la propiedad intelectual, en aplicación de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la información y de Comercio Electrónico.” QUINTO: Los artículos 8, 11.3 y 16 de La Ley de Servicios de la Sociedad de la Información (LSSI), determinan lo siguiente:  El artículo 8, dispone que “en caso de que un determinado servicio de la sociedad de la información atente o pueda atentar contra los principios que se expresan a continuación, los órganos competentes para su protección, en ejercicio de las funciones que tengan legalmente atribuidas, podrán adoptar las medidas necesarias para que se interrumpa su prestación o para retirar los datos que los vulneran. Los principios a que alude este apartado son los siguientes: (...)
14. c)El respeto a la dignidad de la persona y al principio de no discriminación por motivos de raza, sexo, religión, opinión, nacionalidad, discapacidad o cualquier otra circunstancia personal o social. (el subrayado es de la Agencia Española de Protección de Datos) (...) Abundando en el principio del respeto a la dignidad de la persona la Sentencia del Tribunal Constitucional STC 292/2000 comienza señalando que “la singularidad del derecho a la protección de datos, por un lado, su objeto es más amplio que el del derecho a la intimidad, ya que el derecho fundamental a la protección de datos extiende su garantía no solo a la intimidad en su dimensión constitucionalmente protegida por el art. 18.1 CE, sino a lo que en ocasiones este Tribunal ha definido en términos más amplios como esfera de los bienes de la personalidad que pertenecen al ámbito de la vida privada, inextricablemente unidos al respeto de la dignidad personal (STC 170/1987, de 30 de Oct., FJ 4) como el derecho al honor, citado expresamente en el art. 18.4 CE, e igualmente, en expresión bien amplia del propio art. 18.4 CE, al pleno ejercicio de los derechos de la persona”. Reiterando la doctrina que ya había establecido en anteriores sentencias, la STC 292/2000, se refiere a que “el artículo 18.4 de la Constitución Española contiene un instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los restantes derechos de los ciudadanos que, además, es en sí mismo un derecho o C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 5/10 libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos, lo que la Constitución llama << la informática >>. La sentencia hace referencia a continuación al contenido esencial del derecho fundamental a la protección de datos, afirmando que “la garantía de la vida privada de la persona y de su reputación poseen hoy una dimensión positiva que excede el ámbito propio del derecho fundamental a la intimidad y que se traduce en un derecho de control sobre los datos relativos a la propia persona. La llamada <<libertad informática>> es así derecho a controlar el uso de los mismos datos insertos en un programa informático (habeas data) y comprende, entre otros aspectos, la oposición del ciudadano a que determinados datos personales sean utilizados para fines distintos de aquel legítimo que justificó su obtención”. (el subrayado es de la Agencia) Entiende el Alto Tribunal que “el derecho fundamental a la intimidad del artículo 18.1 CE es la de proteger frente a cualquier invasión que pueda realizarse en aquel ámbito de la vida personal y familiar que la persona desea excluir del conocimiento ajeno y de las intromisiones de terceros en contra de su voluntad. En cambio, el derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino, con el propósito de impedir su tráfico ilícito y lesivo para la dignidad y el derecho del afectado.” De lo expuesto se desprende que la afectación del derecho a la protección de Datos “atenta o puede atentar” al principio de respeto a la dignidad de la persona a los efectos previstos en el artículo 8 de la LSSI; y esa afectación debe predicarse de todas y cada una de las garantías que integran el derecho fundamental a la protección de datos personales, entre las que se incluye el derecho de oposición.  El artículo 11. “Deber de colaboración de los prestadores de servicios de intermediación.” dispone lo siguiente: “3. En la adopción y cumplimiento de las medidas a que se refieren los apartados anteriores, se respetarán, en todo caso, las garantías, normas y procedimientos previstos en el ordenamiento jurídico para proteger los derechos a la intimidad personal y familiar, a la protección de los datos personales, a la libertad de expresión o a la libertad de información, cuando estos pudieran resultar afectados. En todos los casos en que la Constitución, las normas reguladoras de los respectivos derechos y libertades o las que resulten aplicables a las diferentes materias atribuyan competencia a los órganos jurisdiccionales de forma excluyente para intervenir en el ejercicio de actividades o derechos, sólo la autoridad judicial competente podrá adoptar las medidas previstas en este artículo. En particular, la autorización del secuestro de páginas de Internet o de su restricción cuando ésta afecte a los derechos y libertades de expresión e información y demás amparados en los términos establecidos en el artículo 20 C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 6/10 de la Constitución solo podrá ser decidida por los órganos jurisdiccionales competentes.”  El artículo 16 “Responsabilidad de los prestadores de servicios de alojamiento o almacenamiento de datos” dispone lo siguiente: “1. Los prestadores de un servicio de intermediación consistente en albergar datos proporcionados por el destinatario de este servicio no serán responsables por la información almacenada a petición del destinatario, siempre que:
15. a)No tengan conocimiento efectivo de que la actividad o la información almacenada es ilícita o de que lesiona bienes o derechos de un tercero susceptibles de indemnización, o
16. b)Si lo tienen, actúen con diligencia para retirar los datos o hacer imposible el acceso a ellos. Se entenderá que el prestador de servicios tiene el conocimiento efectivo a que se refiere el párrafo
17. a)cuando un órgano competente haya declarado la ilicitud de los datos, ordenado su retirada o que se imposibilite el acceso a los mismos, o se hubiera declarado la existencia de la lesión, y el prestador conociera la correspondiente resolución, sin perjuicio de los procedimientos de detección y retirada de contenidos de los prestadores apliquen en virtud de los acuerdos voluntarios y de otros medios de conocimiento efectivo que pudieran establecerse. 2. La exención de responsabilidad establecida en el apartado 1 no operará en el supuesto de que el destinatario del servicio actúe bajo la dirección, autoridad o control de su prestador”. (El subrayado es de la Agencia Española de Protección de Datos). Siguiendo esta argumentación, la Audiencia Provincial de Madrid en su sentencia 95/2010, señala que Google no puede ser responsable del contenido de los datos trasmitidos en el caso de que se den los requisitos de exención de responsabilidad del art. 16 antes citado. Abundando en lo anteriormente expuesto, la Sentencia número 289/2010, del Juzgado de lo Mercantil nº 7 de Madrid, señala lo siguiente: “Lo que esto evidencia es que la demandada presta un servicio de intermediación en los términos definidos por la LSSI como “servicio de la sociedad de la sociedad de la información por el que se facilita la prestación o utilización de otros servicios de la sociedad de la información o el acceso a la información”. De esta manera, el régimen de responsabilidad de YouTube por la prestación de servicios de información está sancionado en los artículos 14 a 17 de la Ley de Servicios de la Sociedad de la Información. Dichos preceptos establecen un régimen de exención parcial de responsabilidad de los prestadores de servicios por los contenidos alojados en los sitios de web. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 7/10 Desde esta perspectiva es claro que de conformidad con la Directiva de Comercio Electrónico, de 8 de junio de 2000, y con el contenido de la ley de transposición española, la LSSI, no es posible imponer a ningún prestador del servicio de intermediación una obligación general de supervisar los datos que se transmitan o almacenen, ni mucho menos de realizar búsquedas activas de hechos o circunstancias de actividades ilícitas. YouTube no es un proveedor de contenidos y por tanto, no tiene la obligación de controlar ex ante la ilicitud de aquellos que se alojen en su sitio web; su única obligación es precisamente colaborar con los titulares de los derechos para, una vez identificada la infracción, proceder a la inmediata retirada de los contenidos. Ese deber de colaboración es el que se encuentra recogido también en la Exposición de Motivos de la LSSI y que, ha sido cumplimentado debidamente por la demandada mediante los sistemas de detección, notificación y verificación implantados. (…) De este modo, bajo la rúbrica de “Responsabilidad de los prestadores de servicios de alojamiento o almacenamiento de datos” el artículo 16 de la LSSI, recogiendo el contenido del artículo 14 de la Directiva de Comercio Electrónico exime de responsabilidad a los prestadores de servicios de alojamiento siempre y cuando: “
18. a)no tengan conocimiento efectivo de que la actividad o la información que almacenan o a la que remiten es ilícita o lesiona bienes o derechos de un tercero susceptibles de indemnización. B) si lo tienen, actúen con diligencia para retirar los datos o hacer imposible el acceso a ellos”. Como evidencia el texto transcrito la exención de responsabilidad para los prestadores de servicios de intermediación se configura en torno a un concepto jurídico de difícil determinación como el “conocimiento efectivo”. La Ley española parece optar por un concepto restringido y limitado de conocimiento efectivo de la ilicitud al exigir que este sea declarado por un órgano competente que haya ordenado la retirada de los datos o que imposibilita el acceso a los mismos. Según la LSSI por órgano competente haya que entender todo órgano jurisdiccional o administrativo, que actúe en el ejercicio de competencias legalmente atribuidas. De hecho, los únicos órganos competentes para determinar la licitud o ilicitud de la información son los órganos judiciales, al no existir ningún órgano administrativo con competencias específicas en esta materia. Una interpretación estricta y ortodoxa de la normativa exigiría que para que Youtube tuviese “conocimiento efectivo” del carácter ilícito de los contenidos alojados en su sitio web y pudiera ser considerado responsable respecto de los mismos, esa ilicitud debería haber sido declarada previamente por un órgano jurisdiccional. (En este sentido, sentencia de la Audiencia Provincial de Madrid de 19 de febrero de 2010). La actora, propugna una hermenéutica más flexible de dicho concepto que posibilita que el conocimiento efectivo dimane de un “órgano competente” no jurisdiccional, o a través de otras fuentes de conocimiento, de conformidad con los C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 8/10 criterios establecidos en la sentencia, que invoca, del Tribunal Supremo de 9 de diciembre de 2009. Lo primero que ha de advertirse es que la sentencia citada hace referencia a un supuesto de hecho ciertamente distinto, en el que el nombre de dominio registrado era manifiestamente difamatorio, lo que no ocurre en el caso que nos ocupa. Probablemente, la interpretación más acertada sea aquella que, sin alcanzar el rigor de una hermenéutica ortodoxa que restringe el concepto hasta hacerlo equivalente a una resolución judicial, se ajuste a los principios que inspiran tanto a la directiva como la LSSI, que con toda claridad prohíben establecer una obligación de control con carácter general a quienes prestan los servicios de intermediación. Lo que esto significa es que el conocimiento efectivo deberá acreditarse pormenorizadamente, no bastando la mera sospecha o el indicio racional para probarlo. Esa concretización del conocimiento efectivo exige sin duda la colaboración del perjudicado. Es lo que acertadamente sostiene la Sentencia del TGI de París de 15 de abril de 2008, que afirma que “el conocimiento efectivo del carácter manifiestamente ilícito de un ataque a los derechos patrimoniales o morales de los autores o productores no implica ningún conocimiento previo y hace necesaria la colaboración de las víctimas de la infracción, que deben notificar a la sociedad que aloja a los portales de los internautas sobre qué derechos estiman afectados”. Lo que significa en el caso concreto es que, partiendo del principio general firmemente establecido de que la demandada no tiene obligación alguna de monitorizar o controlar con carácter previo los contenidos alojados en su sitio web, corresponde a la actora poner en conocimiento efectivo de YouTube aquellos contenidos que puedan lesionar a infringir la titularidad de sus derechos de propiedad intelectual. Y debe hacerlo no de una forma masiva e incondicionada, sino individualizada y concreta porque, como bien dice la demandada, es posible que muchos de los vídeos que los usuarios han subido al sitio web de Youtube sean fragmentos de información no protegidos por la ley de propiedad intelectual o meras parodias de programas titularidad de Telecinco que tampoco se encuentran amparadas por esa protección”. SEXTO: En el presente caso, la parte reclamante aporta a la reclamación nueve enlaces de videos que según él se publican en YouTube por un tercero en los enlaces ya referenciados. En relación con los enlaces que incluye en la reclamación presentada ante esta Agencia, una vez examinada la documentación aportada, se comprueba que no se acredita el ejercicio del derecho de dichos enlaces ante la reclamada tal y como marcan las normas antes citadas, por ello, no se puede considerar como una nueva petición el ejercicio del derecho con ocasión de un trámite administrativo, como la formulación de una reclamación. No obstante, lo anterior, por parte de esta Agencia se ha comprobado que, al realizar una búsqueda por el nombre de la parte reclamante y con los enlaces que se C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 9/10 aportan en la reclamación, tanto en el buscador, como en You Tube, no se visualizan videos y aparece el mensaje, “el video no está disponible”. El presente procedimiento tiene como objeto que las garantías y los derechos de los afectados queden debidamente restaurados, por ello, en el presente caso, las pretensiones de la parte reclamante han sido satisfechas, por lo que se procede a la desestimación al no existir objeto de la reclamación. Por consiguiente, la parte reclamante, si lo considera oportuno, debe de dirigirse nuevamente a la entidad reclamada, con los requisitos exigidos en la normativa de protección de datos y, ejercitar el derecho que estime pertinente. En cuanto a lo señalado que, no existen vías alternativas al ejercicio de la supresión de la totalidad de videos y se tiene que solicitar a través de los formularios web que solo permite su borrado de uno en uno, al tratarse de una cantidad excesiva, el proceso habilitado impide el ejercicio de un derecho de supresión total, cabe señalar que, la normativa en protección de datos señala que, deben arbitrarse mecanismos o fórmulas para facilitar al interesado el ejercicio del derecho que el afectado considere. Los medios deben ser fácilmente accesibles para el afectado y en caso de no recibir respuesta en el plazo de un mes o que esta fuera insatisfactoria, se pude dirigir a la Autoridad de control. La parte reclamante no aporta documentación del ejercicio del derecho, ni de las limitaciones que señala en la reclamación que impiden el ejercicio de supresión deseado. Por todo ello, procede desestima la reclamación formulada por la parte reclamante. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR la reclamación formulada por GARANTÉ ABOGADOS, S.L. en representación de D. A.A.A. frente a GOOGLE LLC (GOOGLE SPAIN, S.L.). SEGUNDO: NOTIFICAR la presente resolución a GARANTÉ ABOGADOS, S.L. en representación de D. A.A.A. y a GOOGLE LLC (GOOGLE SPAIN, S.L.). De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa (artículo 18.4 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos, en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o directamente recurso contencioso C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 10/10 administrativo ante la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la Disposición Adicional Cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es