1/8 Procedimiento Nº: TD/00418/2013 RESOLUCIÓN Nº.: R/01718/2013 Vista la reclamación formulada por doña G.G.G., contra YAHOO IBERIA S.L., y en base a los siguientes, HECHOS PRIMERO: Doña G.G.G. ejercitó el derecho de oposición entendido como derecho de cancelación de sus datos personales ante Yahoo Iberia, S.L. SEGUNDO: Con fecha 6 de febrero de 2013, tuvo entrada en esta Agencia, reclamación de doña G.G.G. contra Yahoo por no haber sido atendido debidamente su derecho de cancelación. Concretamente solicitaba la eliminación de sus datos personales que aparecen en Internet mediante la herramienta de búsqueda de Yahoo, enlazando con las siguientes páginas web: 1. 2. 3. 4. 5. 6. ¡Error! Referencia de hipervínculo no válida. ¡Error! Referencia de hipervínculo no válida. A.A.A. ¡Error! Referencia de hipervínculo no válida. ¡Error! Referencia de hipervínculo no válida. E.E.E. TERCERO: Con fecha 14 de marzo de 2013, se dio traslado de la citada reclamación a Yahoo, para que alegara cuanto estimara conveniente a su derecho, manifestando, en síntesis, lo siguiente: C/ Jorge Juan, 6 28001 – Madrid - Que Yahoo contestó dentro del plazo legal previsto a tal efecto pero la contestación fue devuelta con el acuse de recibo en el que constaba “Ausente Reparto”. - Los servicios de búsqueda son sólo instrumentos que no guardan relación alguna con los sitios web enlazados y que ni son responsables del material ni del contenido en ellos disponibles, por lo que se le recomendó que dirigiera su solicitud a los titulares de los sitios web. - Asimismo, la entidad manifestó que “el Servicio de Búsquedas www.agpd.es sedeagpd.gob.es 2/8 actualmente está prestado por la entidad MICROSOFT CORPORATION y que, para el supuesto de que la AEPD estime la reclamación presentada por el RECLAMANTE, desde YAHOO! Haríamos nuestros mejores esfuerzos para actuar de enlace con MICROSOFT, a los efectos de que ésta última diera cumplimiento a la resolución de la AEPD.” CUARTO: Examinadas las alegaciones formuladas durante la tramitación del presente procedimiento de tutela de derechos, se dan traslado de las mismas a la reclamante en fecha 24 de abril de 2013, sin que se haya atendido el trámite de alegaciones solicitado. FUNDAMENTOS DE DERECHO PRIMERO: La competencia para resolver la presente reclamación corresponde al Director de la Agencia Española de Protección de Datos, de acuerdo con el artículo 37.d), en relación con el artículo 36, ambos de la LOPD. SEGUNDO: El artículo 18.1 de la LOPD señala que “Las actuaciones contrarias a lo dispuesto en la presente Ley pueden ser objeto de reclamación por los afectados ante la Agencia Española de Protección de Datos, en la forma que reglamentariamente se determine”. TERCERO: El artículo 16 de la LOPD dispone que: “1. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días. 2. Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos. 3. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones Públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión. 4. Si los datos rectificados o cancelados hubieran sido comunicados previamente, el responsable del tratamiento deberá notificar la rectificación o cancelación efectuada a quien se hayan comunicado, en el caso de que se mantenga el tratamiento por este último, que deberá también proceder a la cancelación. 5. Los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 CUARTO: El artículo 32.2 del RLOPD determina: “2. El responsable del fichero resolverá sobre la solicitud de rectificación o cancelación en el plazo máximo de diez días a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. En el caso de que no disponga de datos de carácter personal del afectado deberá igualmente comunicárselo en el mismo plazo.” QUINTO: Por lo que se refiere al derecho de cancelación frente a Yahoo, cabe señalar que un buscador es una herramienta que facilita al usuario de internet el acceso a determinadas páginas web. Para ello, la herramienta accede a una lista de enlaces previamente indexados y ofrece al usuario una relación de direcciones web que remiten a páginas en las que figuran las palabras seleccionadas por el usuario. Es importante especificar que la legislación española incluye a los buscadores dentro de la definición de “servicios de la sociedad de la información” de la LSSI. Así el apartado
- b)del Anexo define los servicios de intermediación como “el servicio de la sociedad de la información por el que se facilita la prestación o utilización de otros servicios de la sociedad de la información o el acceso a la información” y añade que son servicios de intermediación, entre otros, la provisión de instrumentos de búsqueda, acceso y recopilación de datos o de enlaces a otros sitios de Internet. El artículo 8 de la citada LSSI, dispone que “en caso de que un determinado servicio de la sociedad de la información atente o pueda atentar contra los principios que se expresan a continuación, los órganos competentes para su protección, en ejercicio de las funciones que tengan legalmente atribuidas, podrán adoptar las medidas necesarias para que se interrumpa su prestación o para retirar los datos que los vulneran. Los principios a que alude este apartado son los siguientes: (...)
- c)El respeto a la dignidad de la persona y al principio de no discriminación por motivos de raza, sexo, religión, opinión, nacionalidad, discapacidad o cualquier otra circunstancia personal o social. (el subrayado es de la Agencia Española de Protección de Datos) (...) Abundando en el principio del respeto a la dignidad de la persona la Sentencia del Tribunal Constitucional STC 292/2000 comienza señalando que “la singularidad del derecho a la protección de datos, por un lado, su objeto es más amplio que el del derecho a la intimidad, ya que el derecho fundamental a la protección de datos extiende su garantía no solo a la intimidad en su dimensión constitucionalmente protegida por el art. 18.1 CE, sino a lo que en ocasiones este Tribunal ha definido en términos más amplios como esfera de los bienes de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 la personalidad que pertenecen al ámbito de la vida privada, inextricablemente unidos al respeto de la dignidad personal (STC 170/1987, de 30 de Oct., FJ 4) como el derecho al honor, citado expresamente en el art. 18.4 CE, e igualmente, en expresión bien amplia del propio art. 18.4 CE, al pleno ejercicio de los derechos de la persona”. Reiterando la doctrina que ya había establecido en anteriores sentencias, la STC 292/2000, se refiere a que “el artículo 18.4 de la Constitución Española contiene un instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los restantes derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos, lo que la Constitución llama << la informática >>. La sentencia hace referencia a continuación al contenido esencial del derecho fundamental a la protección de datos, afirmando que “la garantía de la vida privada de la persona y de su reputación poseen hoy una dimensión positiva que excede el ámbito propio del derecho fundamental a la intimidad y que se traduce en un derecho de control sobre los datos relativos a la propia persona. La llamada <<libertad informática>> es así derecho a controlar el uso de los mismos datos insertos en un programa informático (habeas data) y comprende, entre otros aspectos, la oposición del ciudadano a que determinados datos personales sean utilizados para fines distintos de aquel legítimo que justificó su obtención”. (el subrayado es de la Agencia) Entiende el Alto Tribunal que “el derecho fundamental a la intimidad del artículo 18.1 CE es la de proteger frente a cualquier invasión que pueda realizarse en aquel ámbito de la vida personal y familiar que la persona desea excluir del conocimiento ajeno y de las intromisiones de terceros en contra de su voluntad. En cambio, el derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino, con el propósito de impedir su tráfico ilícito y lesivo para la dignidad y el derecho del afectado.” De lo expuesto se desprende que la afectación de el derecho a la protección de Datos “atenta o puede atentar” al principio de respeto a la dignidad de la persona a los efectos previstos en el artículo 8 de la LSSI; y esa afectación debe predicarse de todas y cada una de las garantías que integran el derecho fundamental a la protección de datos personales, entre las que se incluye el derecho de oposición. El artículo 17 de la LSSI “Responsabilidad de los prestadores de servicios que faciliten enlaces a contenidos o instrumentos de búsqueda” dispone lo siguiente: “1. Los prestadores de servicios de la sociedad de la información que faciliten enlaces a otros contenidos o incluyan en los suyos directorios o instrumentos de búsqueda de contenidos no serán responsables por la información a la que dirijan a los destinatarios de sus servicios, siempre que:
- a)No tengan conocimiento efectivo de que la actividad o la información a la que remiten o recomiendan es ilícita o de que lesiona bienes o derechos de un tercero susceptibles de indemnización, o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8
- b)Si lo tienen, actúen con diligencia para suprimir o inutilizar el enlace correspondiente. Se entenderá que el prestador de servicios tiene el conocimiento efectivo a que se refiere el párrafo
- a)cuando un órgano competente haya declarado la ilicitud de los datos, ordenado su retirada o que se imposibilite el acceso a los mismos, o se hubiera declarado la existencia de la lesión, y el prestador conociera la correspondiente resolución, sin perjuicio de los procedimientos de detección y retirada de contenidos de los prestadores apliquen en virtud de los acuerdos voluntarios y de otros medios de conocimiento efectivo que pudieran establecerse. 2. La exención de responsabilidad establecida en el apartado 1 no operará en el supuesto de que el destinatario del servicio actúe bajo la dirección, autoridad o control del prestador que facilite la localización de estos contenidos”. (El subrayado es de la Agencia Española de Protección de Datos). En el caso que nos ocupa los datos personales obtenidos por Yahoo afectan a la dignidad de la persona y pueden lesionar derechos de un tercero, por lo que el Director de la Agencia Española de Protección de Datos como órgano competente para velar por el cumplimiento de la legislación sobre protección de datos y controlar su aplicación, atendiendo a la reclamación formulada por la reclamante, puede requerir al responsable del tratamiento de los datos, la adopción de medidas necesarias para la adecuación del tratamiento de los datos a las disposiciones de la Ley Orgánica 15/1999, ejerciendo las funciones que le atribuye su artículo 37, así como a los efectos establecidos en los artículos 8 y 17 de la LSSI. Es necesario insistir en los efectos divulgativos multiplicadores que se producen a través de Internet y, en mayor medida de los buscadores y su repercusión en la protección de datos de las personas, especialmente sin trascendencia pública como el caso que nos ocupa, según se ha resuelto recientemente en la TD/266/2007: “Por todo ello, cabe proclamar que ningún ciudadano que ni goce de la condición de personaje público ni sea objeto de hecho noticiable de relevancia pública tiene que resignarse a soportar que sus datos de carácter personal circulen por la RED sin poder reaccionar ni corregir la inclusión ilegítima de los mismos en un sistema de comunicación universal como Internet. Si requerir el consentimiento individualizado de los ciudadanos para incluir sus datos personales en Internet o exigir mecanismos técnicos que impidieran o filtraran la incorporación inconsentida de datos personales podría suponer una insoportable barrera al libre ejercicio de las libertades de expresión e información a modo de censura previa (lo que resulta constitucionalmente proscrito), no es menos cierto que resulta palmariamente legítimo que el ciudadano que no esté obligado a someterse a la disciplina del ejercicio de las referidas libertades (por no resultar sus datos personales de interés público ni contribuir, en consecuencia, su conocimiento a forjar una opinión pública libre como pilar basilar del Estado democrático) debe gozar de mecanismos reactivos amparados en Derecho C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 (como el derecho de cancelación de datos de carácter personal) que impidan el mantenimiento secular y universal en la Red de su información de carácter personal”. Por ello debe estimarse la procedencia de evitar -mediante la estimación de la cancelación de los datos en el caso que así lo solicite el afectado, como en el presente-, que el tratamiento por parte de un buscador tenga efectos no deseados con carácter permanente en contra de la voluntad del afectado. Reiterando y ampliando la cita a la doctrina del Tribunal Constitucional, la STC 292/2000 señala que “con la inclusión del vigente artículo 18.4 de la CE el constituyente puso de relieve que era consciente de los riesgos que podría entrañar el uso de la informática y encomendó al legislador la garantía tanto de ciertos derechos fundamentales como del pleno ejercicio de los derechos de la persona. Esto es, incorporando un instituto de garantía “como forma de respuesta a una nueva forma de amenaza concreta a la dignidad y a los derechos de la persona”, pero que es también, “en sí mismo, un derecho o libertad fundamental” STC 254/1992. Preocupación y finalidad del constituyente que se evidencia, de un lado, si se tiene en cuenta que desde el Anteproyecto del texto constitucional ya se incluía un apartado similar al vigente art. 18.4 CE y que este fue luego ampliado al aceptarse una enmienda para que se incluyera su inciso final. Y más claramente, de otro lado, porque si en el debate en el Senado se suscitaron algunas dudas sobre la necesidad de este apartado del precepto dado el reconocimiento de los derechos a la intimidad y al honor en el apartado inicial, sin embargo fueron disipadas al ponerse de relieve que estos derechos, en atención a su contenido, no ofrecían garantías suficientes frente a las amenazas que el uso de la informática podía entrañar para la protección de la vida privada. De manera que el constituyente quiso garantizar mediante el actual artículo 18.4 CE no solo un ámbito de protección específico sino también más idóneo que el que podían ofrecer, por sí mismos, los derechos fundamentales mencionados en el apartado 1 del precepto. Resulta también relevante la referencia que en la misma sentencia se hace del derecho de protección de datos y la capacidad reactiva del titular de los derechos: “Este derecho fundamental a la protección de datos, a diferencia del derecho a la intimidad del art. 18.1 CE, con quien comparte el objetivo de ofrecer una eficaz protección constitucional de la vida privada personal y familiar, atribuye a su titular un haz de facultades que consiste en su mayor parte en el poder jurídico de imponer a terceros la realización u omisión de determinados comportamientos cuya concreta regulación debe establecer la Ley, aquella que conforme al art. 18.4 CE debe limitar el uso de la informática, bien desarrollando el derecho fundamental a la protección de datos (art. 18.1 CE), bien regulando su ejercicio (art.53.1 CE). La peculiaridad de este derecho fundamental tan afín como es el de la intimidad radica, pues, en su distinta función, lo que apareja, por consiguiente, que también su objeto y contenido difieran”. SEXTO: En el presente caso, la interesada solicitó a Yahoo Iberia, S.L. el derecho de cancelación de conformidad con lo previsto en el artículo 16 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 De las alegaciones formuladas por Yahoo se observa que la entidad contestó a la solicitud del reclamante indicándole que Yahoo Búsquedas es sólo un instrumento de búsqueda y que no guarda relación con los sitios web enlazados, por lo que debería dirigirse a dichos sitios web para solicitar la oposición y que por éstos se imposibilite la indexación de sus datos. Durante la tramitación del presente procedimiento, la entidad ha manifestado que “el Servicio de Búsquedas actualmente está prestado por la entidad MICROSOFT CORPORATION y que, para el supuesto de que la AEPD estime la reclamación presentada por el RECLAMANTE, desde YAHOO! Haríamos nuestros mejores esfuerzos para actuar de enlace con MICROSOFT, a los efectos de que ésta última diera cumplimiento a la resolución de la AEPD.” La Ley no dispone que los datos personales de la reclamante figuren en los índices que utiliza Yahoo para facilitar al usuario el acceso a determinadas páginas, ni tampoco dispone que figuren en las páginas que Yahoo conserva temporalmente en memoria “caché”. No existe, por tanto, una disposición legal en contrario respecto del ejercicio del derecho de cancelación frente a Yahoo. Desde Yahoo deberían haberse implementado las medidas necesarias para retirar los datos de su índice e imposibilitar el acceso posterior a los mismos. Por esta Agencia se ha constatado que los datos de la reclamante sólo son accesibles en el primer enlace de los solicitados, es decir, en ¡Error! Referencia de hipervínculo no válida. donde se hace referencia a la publicación de la relación definitiva de aspirantes aprobados de unas pruebas selectivas de la Seguridad Social, en un Boletín Oficial del Estado de septiembre de 1997. Debe indicarse que nos encontramos en un supuesto en el que, junto con la persona que ejercita el derecho de cancelación, aparecen publicados los datos de terceras personas afectados por la resolución publicada. En este supuesto, es precisa una adecuada ponderación de los derechos e intereses legítimos concurrentes en el caso a fin de determinar si debe prevalecer el eventual derecho de la interesada o el interés legítimo que los terceros afectados pudieran tener en que se mantuviera la indexación de la disposición a la que se refiriera el ejercicio del derecho, atendiendo entre otras circunstancias a la propia naturaleza de disposición, y en particular si la misma supone un reconocimiento de un derecho a los interesados cuyos datos son publicados, la concurrencia de datos especialmente protegidos y las restantes circunstancias concurrentes en el caso. En este caso, al ser varias las personas afectadas por el acto o disposición, una vez ponderados los derechos e intereses legítimos concurrentes, en consideración el derecho de los restantes interesados –captación de la publicación de la lista de aprobados a una prueba selectiva en el BOE- debe concluirse también en este aspecto que el reclamante tiene el deber jurídico de soportar la indexación. Por ello, procede la desestimación de la presente reclamación de Tutela de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Derechos. . Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR la reclamación formulada por doña G.G.G. contra la entidad YAHOO IBERIA, S.L. SEGUNDO: NOTIFICAR la presente resolución a YAHOO IBERIA, S.L. y a doña G.G.G.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 18.4 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es