1/24 Expediente Nº: TD/00461/2013 RESOLUCIÓN Nº: R/01813/2013 Vista la reclamación formulada por D. A.A.A. contra EDICIONES EL PAÍS, S.L. y contra GOOGLE SPAIN S.L. (GOOGLE INC.) por no haber sido atendido su derecho de oposición y realizadas las actuaciones procedimentales previstas en el artículo 117 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre (en lo sucesivo, RLOPD), se han constatado los siguientes, HECHOS PRIMERO: D. A.A.A. (en lo sucesivo, el reclamante) ejercitó el derecho de cancelación ante Google Spain, S.L. (en lo sucesivo Google) y ante EDICIONES EL PAÍS, S.L. Concretamente solicitaba la eliminación de sus datos personales que aparecen en el siguiente enlace web: http://elpais....................... SEGUNDO: Con fecha 24 de enero de 2013, Ediciones El País responde a la solicitud formulada por el reclamante, denegando motivadamente el derecho de cancelación solicitado indicando al interesado que las informaciones que contienen sus datos personales fueron publicadas de conformidad con el artículo 20.1.
- d)de la Constitución Española. TERCERO: Con fecha 13 de febrero de 2013 tuvo entrada en esta Agencia, reclamación contra Google y contra Ediciones El País, por no haber sido atendido debidamente su derecho de cancelación. El reclamante manifiesta que los hechos ocurridos en los años ochenta se publicaron en el diario El País y son indexados por el buscador Google. Dichos datos hacen referencia a una información que carece de relevancia en la actualidad “debiendo tener en cuenta la grave trascendencia que para mi persona y mi familia tiene el permanecer indefinidamente en los resultados de los buscadores” y, por otro lado, “al haber pertenecido a las Fuerzas y Cuerpos de Seguridad del Estado (…) puede afectar, sin duda, tanto a mi seguridad personal, como a la de mi familia”. CUARTO: Con fecha 19 de marzo de 2013, se dio traslado de la citada reclamación a Google para que alegaran cuanto estimaran conveniente a su derecho, manifestando, en síntesis, lo siguiente: • Infracción por indeterminación de la parte: Se considera que Google Spain, S.L. y Google Inc. no constituyen una única persona jurídica ni pueden ser confundidas en una única parte en un procedimiento administrativo, conforme a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/24 lo cual el procedimiento debe dirigirse contra el responsable del fichero y no contra Google Spain que no presta el servicio de buscador ni podría ser considerado responsable de fichero. • Solicitud del interesado: Google manifiesta que en la solicitud del interesado se insta la eliminación de un enlace a una noticia que ofrece una información lícita, por lo que “sólo un tribunal podría declarar su ilicitud o limitar su difusión”. • Descripción del proceso de búsqueda por Google: El proceso mediante el que opera el buscador de Google se basa en dos fases: una primera de recolección de palabras clave, y la segunda de comparación de las palabras incluidas como criterio de búsqueda en la consulta del usuario con las de la lista. La primera fase se desarrolla de forma constante e inadvertida por el usuario, mediante unos dispositivos que navegan permanentemente por la Red, visitando los sitios web que encuentran y analizando su contenido. Durante esta visita, estos dispositivos extraen aquellas palabras que consideran útiles y las incluyen en una lista con la referencia a la dirección del sitio web de donde las extrajeron. La segunda fase es más perceptible en la práctica, ya que en ella se materializa el servicio prestado por la empresa. Esta fase se desarrolla mediante una simple comparación entre las palabras incluidas por el usuario como criterio de búsqueda y la lista que incluye las palabras extraídas y las referencias a los sitios web, facilitando al interesado una lista de resultados en la que se incluyen las referencias a los sitios web en que aparecen las palabras del criterio de búsqueda, ordenándolos en atención a la mayor o menor relevancia de la coincidencia. • Responsable del Servicio de Búsqueda: Alega Google que la entidad frente a quien se tramita la tutela de derechos, Google Spain, no es ni responsable ni encargada de la prestación del servicio de búsquedas en Internet. El negocio de Google Inc. se basa en la generación de un espacio para la publicidad, siendo el principal reclamo para que la publicidad insertada se vea o active la prestación con carácter gratuito del servicio de búsquedas en Internet. Es decir, Google Inc. presta dos servicios diferentes que completan su negocio, el primero es el servicio remunerado de publicitar la actividad de empresas en el comercio, mediante la venta del espacio publicitario. Para esta actividad se sirve de promotores locales (entre los que se encuentra Google Spain) que incentivan la compra de espacio en el área que tienen atribuida. El segundo consiste en el servicio gratuito de facilitar a los usuarios de Internet la localización de aquellos sitios en la Red cuyo contenido coincide con los criterios de búsqueda determinados por el usuario. La filial en España, Google Spain limita su actividad exclusivamente a promocionar, facilitar y/o procurar la venta de productos y/o servicios de publicidad on-line a través de Internet para terceros, actuando como agente comercial, así como el marketing de publicidad on-line etc. Es decir, Google Spain se limita a representar a Google Inc. en el negocio que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/24 ésta desarrolla de vender el espacio publicitario disponible en su página web, es sólo un Agente o representante mercantil exclusivo de Google Inc. y sólo representa a esta compañía en la promoción de la venta de los servicios publicitarios de Google Inc. Su actividad se limita a dichos servicios y, por ello, ni desarrolla la actividad de buscador ni cabe imputarle ninguna de las actividades ni consecuencias que se deriven de la actividad que ejecuta Google Inc. aunque esta empresa sea la matriz de Google Spain. Concluye Google alegando que Google Inc. es la única compañía de quien, en su caso, se podría exigir la eventual atención de cualesquiera derechos, quejas o sugerencias de las personas en relación con los servicios que presta esta compañía. • Normativa aplicable, partiendo de la premisa anterior, esto es, que el responsable único es Google Inc., y tras analizarse en las alegaciones por Google la normativa comunitaria y nacional de transposición, así como los criterios expuestos por el G 29, concluye que “dado que los servicios de buscador los presta Google Inc. desde los Estados Unidos, no resulta de aplicación ni la directiva europea de protección de datos ni la ley española que la aplica.” • Responsable principal del tratamiento.- el G 29 en su documento WP148 ha puesto de relieve que el motor de búsqueda no puede ser considerado el responsable principal de los datos principales que se tratan, de acuerdo con la legislación europea de protección de datos, sino que este papel principal responsable recae exclusivamente sobre el responsable del sitio web en donde se incluyó la información del interesado. • Inexistencia de infracción del derecho de oposición. Google alega finalmente que no ha habido infracción del derecho de oposición ya que recibida la solicitud de oposición por Google Spain, y en su papel de colaborador que desarrolla en el mercado español, remitió la misma a Google Inc. responsable del tratamiento respecto del cual el interesado instaba la cancelación de sus datos. Google Spain no contestó porque no es responsable de dicho tratamiento. Google Inc. contestó al interesado facilitándole la única información que podía darle relativa a que la única vía para conseguir el propósito que perseguía era el de acudir al responsable del sitio web para instar ahí la cancelación de sus datos o la limitación de los efectos de la publicación de forma que los motores de búsqueda no los indexen. QUINTO: Son conocidos por las partes de forma completa todos los hechos, alegaciones y demás documentación aportada por los interesados para su defensa, al haberse dado traslado por la instrucción del expediente a cada uno de los interesados en este procedimiento y constado todo ello en el expediente que obra en esta Agencia Española de Protección de Datos. FUNDAMENTOS DE DERECHO PRIMERO: La competencia para resolver la presente reclamación corresponde al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/24 Director de la Agencia Española de Protección de Datos, de acuerdo con el artículo 37.d), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (en lo sucesivo, LOPD). SEGUNDO: El artículo 18.1 de la LOPD señala que “Las actuaciones contrarias a lo dispuesto en la presente Ley pueden ser objeto de reclamación por los afectados ante la Agencia Española de Protección de Datos, en la forma que reglamentariamente se determine”. TERCERO: La vigente LOPD incorpora el derecho de oposición trasponiendo la Directiva 95/46/CE. A tal efecto, el artículo 6.4, que establece una previsión general, según el cual “En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una ley no disponga lo contrario, este podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una situación concreta. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado.” CUARTO: Los artículos 34 y 35 del RLOPD determinan: “Artículo 34. Derecho de oposición. El derecho de oposición es el derecho del afectado a que no se lleve a cabo el tratamiento de sus datos de carácter personal o se cese en el mismo en los siguientes supuestos:
- a)Cuando no sea necesario su consentimiento para el tratamiento, como consecuencia de la concurrencia de un motivo legítimo y fundado, referido a su concreta situación personal, que lo justifique, siempre que una Ley no disponga lo contrario.
- b)Cuando se trate de ficheros que tengan por finalidad la realización de actividades de publicidad y prospección comercial, en los términos previstos en el artículo 51 de este reglamento, cualquiera que sea la empresa responsable de su creación.
- c)Cuando el tratamiento tenga por finalidad la adopción de una decisión referida al afectado y basada únicamente en un tratamiento automatizado de sus datos de carácter personal, en los términos previstos en el artículo 36 de este reglamento. Artículo 35. Ejercicio del derecho de oposición. 1. El derecho de oposición se ejercitará mediante solicitud dirigida al responsable del tratamiento. Cuando la oposición se realice con base en la letra
- a)del artículo anterior, en la solicitud deberán hacerse constar los motivos fundados y legítimos, relativos a una concreta situación personal del afectado, que justifican el ejercicio de este derecho. 2. El responsable del fichero resolverá sobre la solicitud de oposición en el plazo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/24 máximo de diez días a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. En el caso de que no disponga de datos de carácter personal de los afectados deberá igualmente comunicárselo en el mismo plazo. 3. El responsable del fichero o tratamiento deberá excluir del tratamiento los datos relativos al afectado que ejercite su derecho de oposición o denegar motivadamente la solicitud del interesado en el plazo previsto en el apartado 2 de este artículo.” QUINTO: Observaciones sobre el fondo del asunto: Se alega por la entidad sujeto de la reclamación que GOOGLE SPAIN no es ni responsable, ni encargada de la prestación del servicio de búsquedas en Internet; para ello se basa en que GOOGLE se limita a representar a GOOGLE INC. en el negocio que ésta desarrolla de vender el espacio publicitario disponible en su página web. Continúa alegando que GOOGLE INC. es la única compañía de quien, en su caso, se podría exigir la eventual atención de cualesquiera derechos, quejas o sugerencias de las personas en relación con los servicios que presta esta compañía. Posteriormente, en cuanto a la normativa aplicable alega que a los servicios de buscador que presta GOOGLE INC desde los Estados Unidos, no resulta de aplicación ni la directiva europea de protección de datos ni la ley española que la aplica. A TODO ELLO CABE ARGUMENTAR LO SIGUIENTE: I. El artículo 3 del RLOPD señala su ámbito territorial de aplicación en los siguientes términos: “1.- Se regirá por el presente Reglamento todo tratamiento de datos de carácter personal:
- a)Cuando el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento, siempre que dicho establecimiento se encuentre ubicado en territorio español. Cuando no resulte de aplicación lo dispuesto en el párrafo anterior, pero exista un encargado del tratamiento ubicado en España, serán de aplicación al mismo las normas contenidas en el título VIII del presente Reglamento.
- b)Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española, según las normas de Derecho internacional público.
- c)Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/24 En este supuesto, el responsable del tratamiento deberá designar un representante establecido en territorio español. 2. A los efectos previstos en los apartados anteriores, se entenderá por establecimiento, con independencia de su forma jurídica, cualquier instalación estable que permita el ejercicio efectivo y real de una actividad” II. Este artículo traspone el artículo 4 de la Directiva 95/46/CE, que literalmente señala: “Derecho nacional aplicable 1. Los Estados miembros aplicarán las disposiciones nacionales que haya aprobado para la aplicación de la presente Directiva a todo tratamiento de datos personales cuando:
- a)el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro. Cuando el mismo responsable del tratamiento esté establecido en el territorio de varios Estados miembros deberá adoptar las medidas necesarias para garantizar que cada uno de dichos establecimientos cumple las obligaciones previstas por el Derecho nacional aplicable;
- b)el responsable del tratamiento no esté establecido en el territorio del Estado miembro, sino en un lugar en que se aplica su legislación nacional en virtud del Derecho internacional público;
- c)el responsable del tratamiento no esté establecido en el territorio de la Comunidad y recurra, para el tratamiento de datos personales, a medios, automatizados o no, situados en el territorio de dicho Estado miembro, salvo en caso de que dichos medios se utilicen solamente con fines de tránsito por el territorio de la Comunidad Europea. 2. En el caso mencionado en la letra
- c)del apartado 1, el responsable del tratamiento deberá designar un representante establecido en el territorio de dicho Estado miembro, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento.” III. Este artículo responde a las consideraciones que se plasman en la exposición de motivos de la misma directiva; en concreto los considerandos 18 y siguientes presentan la siguiente justificación del artículo 4 en cuestión: “
(18)Considerando que, para evitar que una persona sea excluida de la protección garantizada por la presente Directiva, es necesario que todo tratamiento de datos personales efectuado en la Comunidad respete la legislación de uno de sus Estados miembros; que, a este respecto, resulta conveniente someter el tratamiento de datos efectuados por cualquier persona que actúe bajo la autoridad del responsable del tratamiento establecido en un Estado miembro a la aplicación de la legislación de tal Estado; C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/24
(19)Considerando que el establecimiento en el territorio de un Estado miembro implica el ejercicio efectivo y real de una actividad mediante una instalación estable; que la forma jurídica de dicho establecimiento, sea una simple sucursal o una empresa filial con personalidad jurídica, no es un factor determinante al respecto; que cuando un mismo responsable esté establecido en el territorio de varios Estados miembros, en particular por medio de una empresa filial, debe garantizar, en particular para evitar que se eluda la normativa aplicable, que cada uno de los establecimientos cumpla las obligaciones impuestas por el Derecho nacional aplicable a estas actividades;
(20)Considerando que el hecho de que el responsable del tratamiento de datos esté establecido en un país tercero no debe obstaculizar la protección de las personas contemplada en la presente Directiva; que en estos casos el tratamiento de datos debe regirse por la legislación del Estado miembro en el que se ubiquen los medios utilizados y deben adaptarse garantías para que se respeten en la práctica los derechos y obligaciones contempladas en la presente Directiva;” IV. El documento WP 148 de 4 abril de 2008 elaborado por el Grupo de Trabajo “G 29”, relativo a buscadores, analiza detalladamente la cuestión de la Ley nacional aplicable, y se pronuncia en los siguientes términos: “Responsable del tratamiento Un proveedor de buscadores que trata datos de los usuarios incluyendo direcciones IP y/ o cookies permanentes que contengan un identificador único se encuentra dentro del ámbito material de la definición de responsable de tratamiento, puesto que determina de forma efectiva las finalidades y los medios del tratamiento. La naturaleza multinacional de los grandes proveedores de servicios de búsqueda (con frecuencia con oficinas principales ubicadas fuera del EEE, con servicios prestados en todo el mundo, y con la implicación de distintas sucursales y posiblemente de terceros en el tratamiento de los datos personales) ha ocasionado un debate sobre la pregunta de quién debería considerarse el responsable de tratamiento en relación con un tratamiento de datos personales. Al Grupo de Trabajo le gustaría insistir en la diferencia entre las definiciones de legislación en materia de protección de datos del EEE y la cuestión de si esta legislación se aplica en una situación determinada. Un proveedor de buscadores que efectúa el tratamiento de datos personales, como registros con historiales de búsquedas personalmente identificables, se considera el responsable de tratamiento de estos datos personales, independientemente de la cuestión acerca de la jurisdicción. Artículo 4 de la Directiva de protección de datos/ derecho aplicable El artículo 4 de la Directiva de protección de datos trata la cuestión del derecho nacional aplicable. El Grupo de Trabajo ha proporcionado directrices ulteriores en relación con lo dispuesto en el artículo 4 en su “Documento de trabajo sobre la determinación de la aplicación internacional de la legislación europea en materia de protección de datos a los tratamientos de datos personales en Internet C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/24 por parte de páginas web situadas fuera de la UE”. Existen dos razones detrás de esta disposición. La primera es evitar vacíos en el sistema establecido para la protección de datos en la Comunidad Europea, así como que se sortee éste. La segunda es evitar la posibilidad de que la misma operación de tratamiento se rija por leyes de más de un Estado miembro de la UE. A causa de la naturaleza transnacional de los flujos de datos inducidos por los buscadores, el Grupo de Trabajo trata específicamente ambas complicaciones. En el caso de un proveedor de servicios de búsqueda que se establezca y preste todos sus servicios desde uno o más Estados miembros, no existe ninguna duda de que su tratamiento de datos personales se encuentra dentro del ámbito de la Directiva de protección de datos. Es importante hacer constar que en este caso, las normas de protección de datos no se limitan a los interesados situados en el territorio de un Estado miembro o que posean su nacionalidad. Cuando el proveedor de servicios de búsqueda es un responsable de tratamiento situado fuera del EEE, existen dos casos en los que se aplica la legislación comunitaria en materia de protección de datos. En primer lugar, cuando el proveedor de servicios de búsqueda cuenta con un establecimiento en un Estado miembro, de acuerdo con el artículo 4
(1)(a). En segundo lugar, cuando el buscador recurre a medios situados en el territorio de un Estado miembro, de acuerdo con el artículo 4
(1)(c). En este último caso, el buscador, de acuerdo con el artículo 4
(2), debe designar un representante en el territorio de dicho Estado miembro concreto. Establecimiento en el territorio de un Estado miembro (EEE) El artículo 4
(1)(a) prevé que el derecho nacional en materia de protección de datos de un Estado miembro debe aplicarse cuando ciertas operaciones de tratamiento de datos personales por parte del responsable de tratamiento se realicen “en el marco de las actividades de un establecimiento” de dicho responsable de tratamiento en el territorio de un Estado miembro. Una operación concreta de tratamiento de datos personales debe considerarse desde el punto de partida. Cuando se aplica a un buscador concreto cuyas oficinas principales se encuentran situadas fuera del EEE, la pregunta que debe responderse es si el tratamiento de los datos del usuario implica a establecimientos en el territorio de un Estado miembro. Como ya ha señalado el Grupo de Trabajo en su documento de trabajo anterior, la existencia de un “establecimiento” implica el ejercicio real y efectivo de actividades a través de gestiones estables y debe determinarse de conformidad con la jurisprudencia del Tribunal de Justicia de las Comunidades Europeas. La forma jurídica del establecimiento (una oficina local, una filial con personalidad jurídica o una representación mediante terceros) no resulta determinante. Sin embargo, otro requisito consiste en que la operación de tratamiento se realice “en el marco de las actividades” del establecimiento. Esto significa que el establecimiento también debe desempeñar un papel importante en la operación de tratamiento concreta. Éste es claramente el caso cuando: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/24 - un establecimiento es responsable de las relaciones con los usuarios del buscador en una jurisdicción concreta; - un proveedor de buscadores establece una oficina en un Estado miembro (EEE) implicada en la venta de anuncios dirigidos a los habitantes de dicho estado; el establecimiento de un proveedor de buscadores cumple los autos judiciales y/o solicitudes de cumplimiento de la ley por parte de las autoridades competentes de un Estado miembro en relación con los datos de los usuarios. El proveedor de buscadores es responsable de aclarar el grado de implicación de los establecimientos en el territorio de los Estados miembro en el tratamiento de datos personales. Si un establecimiento nacional se ve implicado en el tratamiento de datos de los usuarios, se aplica el artículo 4
(1)(a) de la Directiva de protección de datos. Los proveedores de servicios de búsqueda situados fuera de la UE deben informar a sus usuarios sobre las condiciones en las que deben cumplir la Directiva de protección de datos, ya sea por el establecimiento o por el recurso a medios. Recurso a medios Los buscadores que recurren a medios en el territorio de un Estado miembro (EEE) para el tratamiento de datos personales también se encuentran dentro del ámbito de la legislación en materia de protección de datos del Estado miembro. La legislación en materia de protección de datos de un Estado miembro también se aplica cuando el responsable de tratamiento […] recurra, para el tratamiento de datos personales, a medios, automatizados o no, situados en el territorio de dicho Estado miembro, salvo en caso de que dichos medios se utilicen solamente con fines de tránsito por el territorio de la Comunidad Europea. • C/ Jorge Juan, 6 28001 – Madrid En lo que respecta a la prestación de servicios de buscadores desde fuera de la UE, los centros de datos situados en el territorio de un Estado miembro pueden utilizarse para el almacenamiento y el tratamiento a distancia de datos personales. Otros tipos de medios podrían ser la utilización de ordenadores personales, terminales y servidores. La utilización de cookies y dispositivos de software similares por parte de un proveedor de servicios online también puede considerarse como recurso a medios en el territorio del Estado miembro, invocando, de este modo, la legislación en materia de protección de datos de dicho Estado miembro. Esta cuestión se debatió en el documento de trabajo citado con anterioridad (WP56). Se indica que “el ordenador del usuario puede considerarse un medio en el sentido del artículo 4
(1)de la Directiva www.agpd.es sedeagpd.gob.es 10/24 95/46/CE. Se encuentra situado en el territorio de un Estado miembro. El responsable decide recurrir a este medio con el fin de tratar datos personales y, según se ha explicado en apartados anteriores, se producen diversas operaciones técnicas sin el control del interesado. El responsable de tratamiento controla el equipo del usuario y este equipo no se utiliza exclusivamente con fines de tránsito por el territorio de la Comunidad Europea.” “Conclusión El efecto combinado de los artículos 4
(1)(a) y 4
(1)(c) de la Directiva de protección de datos es que sus disposiciones se aplican al tratamiento de datos personales por parte de los proveedores de servicios de búsqueda en muchos casos, incluso cuando sus oficinas centrales se encuentran situadas fuera del EEE. (…) En el caso de proveedores de servicios de búsqueda multinacionales: - un Estado miembro en el que el proveedor de buscadores está establecido aplicará su legislación nacional en materia de protección de datos al tratamiento, de acuerdo con el artículo 4
(1)(a); - si el proveedor de buscadores no se encuentra establecido en ningún Estado miembro, un Estado miembro aplicará su legislación nacional en materia de protección de datos al tratamiento, de acuerdo con el artículo 4
(1)(c), si la empresa recurre a medios, automatizados o no, en el territorio de dicho Estado miembro, con fines de tratamiento de datos personales (por ejemplo, la utilización de una cookie). En algunos casos, un proveedor multinacional de buscadores deberá cumplir múltiples legislaciones en materia de protección de datos como resultado de las normas en relación con el derecho aplicable y la naturaleza transnacional de su tratamiento de datos personales: - un Estado miembro aplicará su derecho nacional a un buscador establecido fuera del EEE si recurre a medios; - un Estado miembro no puede aplicar su derecho nacional a un buscador establecido en el EEE en otra jurisdicción, aunque el buscador recurra a medios. En dichos casos, se aplicará el derecho nacional del Estado miembro en el que se encuentre establecido el buscador. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/24 V. El servicio de búsqueda de GOOGLE utiliza en el tratamiento de datos personales medios situados en territorio español sin que su utilización sea únicamente con fines de tránsito. El servicio de búsqueda de GOOGLE (Google Search) se presta a nivel mundial a través del sitio web www.google.com, aunque en muchos países existen versiones locales adaptadas al idioma nacional, a las cuales se accede por defecto, en función de la ubicación geográfica del usuario. La versión española del servicio se presta a través del sitio www.google.es. El motor de búsqueda de GOOGLE es un complejo sistema informático que indexa documentos almacenados en millones de servidores de páginas web (más comúnmente conocidos como servidores web), facilitando al usuario del servicio de búsqueda su inmediata localización, a través de determinadas palabras contenidas en los documentos buscados. El índice del motor de búsqueda de GOOGLE se actualiza de forma dinámica a partir de la información obtenida por robots, que continuamente rastrean los servidores web públicamente disponibles en Internet, utilizando para ello la capacidad tecnológica de los propios servidores de la compañía, usualmente conocidos como “arañas web” o “web crawlers”. Las “arañas web” analizan de forma metódica páginas web HTML disponibles públicamente, recopilando los hiperenlaces que figuran en éstas (referencias a otras direcciones URL), para extender así su labor de rastreo, de forma encadenada, a todas las páginas y documentos referenciados. El rastreo consiste en extraer, de todos los documentos visitados (no sólo de las páginas con formato HTML, sino también de los documentos que presentan otros formatos), las palabras clave que serán indexadas. Para que la información que ofrece el buscador GOOGLE sea lo más universal y completa posible, la labor de rastreo de las “arañas web” de GOOGLE se extiende a las páginas web que se almacenan en servidores informáticos ubicados en todo el mundo. En particular, los servidores web ubicados en territorio español son expresamente visitados para extraer la información que, en una alta proporción, dará respuesta a las búsquedas de usuarios españoles. La información rastreada expresamente por GOOGLE en los servidores ubicados en territorio español incluye datos de carácter personal relativos a personas que no necesariamente son usuarios del buscador y que, al margen de los derechos que debe reconocerse a éstos, también se hallan en disposición de ejercitar sus propios derechos, en relación con los distintos tratamientos que de sus datos realiza GOOGLE. Así, conviene centrarse no sólo en el tratamiento realizado por GOOGLE consistente en presentar datos al usuario que realiza la búsqueda, sino también en el que previamente efectúa, al rastrear tales datos de carácter personal en los citados servidores españoles, con objeto de facilitar su posterior localización. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/24 Por otra parte, una de las facilidades que la versión española del servicio de buscador ofrece al usuario es, precisamente, discriminar el resultado de su búsqueda en función del idioma de redacción de los documentos o de la localización geográfica de los servidores web que los alojan. Así, el usuario puede decidir que los resultados de su búsqueda se refieran a “páginas de España”, sin más que indicarlo en la página principal del buscador, o bien, haciendo uso de la funcionalidad “Búsqueda avanzada”, directamente accesible desde la página principal, el usuario puede seleccionar sólo aquellas páginas que estén “ubicadas en España”. En ambos casos, resulta imprescindible que GOOGLE haya visitado con anterioridad las páginas ubicadas en servidores web españoles y registrado esta circunstancia durante la labor de rastreo realizada por sus “arañas web", de forma tal que si estos servidores no hubieran sido rastreados previamente, el resultado de la búsqueda se vería seriamente limitado para los usuarios españoles. Todo ello viene a demostrar que, para la prestación del servicio de búsqueda a los usuarios españoles, es requisito ineludible que se utilicen medios técnicos ubicados en territorio español, siendo plenamente consciente de ello la compañía prestataria del servicio. VI. El servicio de búsqueda prestado a través del sitio web www.google.es, es un servicio dirigido específicamente al territorio español. La afirmación de que el servicio de búsqueda está dirigido específicamente al territorio español se basa en los siguientes hechos: o El lenguaje de la página www.google.es está redactada en castellano, (también da la posibilidad de catalán, euskera y gallego). o El dominio bajo el que se aloja el servicio de buscador Google en España es del tipo .es, que es un dominio territorial registrado en Red.es “bajo el código de país correspondiente a España” (Disposición adicional 6ª de la Ley 34/2002 de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico). o Cuando se realizan búsquedas en www.google.es, los resultados que aparecen están dirigidos a usuarios ubicados en el territorio español. VII. La publicidad es la forma de financiación del buscador gratuito de Google, hasta tal punto, que el usuario no puede evitarla si quiere utilizar este servicio. Tal y como establecen sus condiciones de uso “Google llevará a cabo el tratamiento de los datos personales únicamente de conformidad con lo dispuesto en la presente Política de Privacidad o en las notificaciones adicionales que se incluyan en determinados servicios. Además de lo descrito anteriormente, dichos fines incluyen: o C/ Jorge Juan, 6 28001 – Madrid prestar nuestros servicios a los usuarios, incluyendo la publicación de contenido y publicidad personalizados. www.agpd.es sedeagpd.gob.es 13/24 El servicio de búsqueda se financia a través de “Anuncios Google”. Estos anuncios se publican en la página de resultados de la búsqueda realizada por el usuario (AdWords) o en el contenido de sitios web visitados por este (AdSense). o El sistema AdWords, ofrece publicidad en los resultados de la búsqueda que realiza el usuario del servicio mediante enlaces patrocinados contextualizados en función de la búsqueda que se realice, y en particular, incorpora elementos adicionales que manifiestan su vinculación a un servicio dirigido específicamente a territorio español. Así en el sitio web en la que el cliente de Google solicita información sobre el servicio AdWords, se le requiere el CIF de la empresa (Código de Identificación Fiscal propio de España) y cuando se solicita que esa empresa defina u oriente sus objetivos publicitarios a consumidores, se le pregunta por el país al que desea dirigir su publicidad, figurando como primer país España. De esta manera, el servicio permite dirigir la publicidad a una determinada ubicación geográfica. o El segundo sistema de publicidad es Google AdSense. Este sistema está diseñado para editores de sitios web y es un método para que cualquier editor de sitios web pueda publicar en sus páginas “Anuncios Google” relevantes y relacionados con el contenido de su sitio, obteniendo un beneficio económico gracias a ellos. Para darse de alta en este servicio es necesario que se acepten los términos y condiciones del programa AdSense. Una vez que se es cliente de AdSense, este programa de publicidad de Google rastrea de forma automática el contenido de las páginas y publica anuncios, tanto gráficos como de texto, relevantes para el público que las visita y relacionados con el contenido de su sitio. De ello se deriva que si el sitio web incorpora temas de interés para usuarios ubicados en territorio español, la publicidad estará también dirigida al territorio español, según se establece en el Documento 5 del Anexo II, condiciones de uso y ejemplo de publicidad AdSense. Por último, la vinculación de la publicidad a un servicio de búsqueda dirigido específicamente al territorio español se refuerza con la actividad de Google Spain. VIII. El caso concreto queda incluido en el supuesto analizado con los argumentos anteriores, específicamente cuando: Examina la situación relativa a un buscador concreto cuyas oficinas principales se encuentran situadas fuera del EEE, y se plantea la pregunta que de si el tratamiento de los datos del usuario implica a establecimientos en el territorio de un Estado miembro. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/24 Como ya se ha señalado anteriormente, la existencia de un “establecimiento” implica el ejercicio real y efectivo de actividades a través de gestiones estables, y la forma jurídica del establecimiento (una oficina local, una filial con personalidad jurídica o una representación mediante terceros) no resulta determinante. También es requisito, en estos supuestos que la operación de tratamiento se realice “en el marco de las actividades” del establecimiento. Esto significa que el establecimiento también debe desempeñar un papel importante en la operación de tratamiento concreta. Éste es claramente el caso cuando: - un proveedor de buscadores establece una oficina en un Estado miembro (EEE) implicada en la venta de anuncios dirigidos a los habitantes de dicho estado; Como se ha señalado en las alegaciones de Google, su negocio (su actividad económica realizada en territorio nacional español), se basa en la generación de un espacio para la publicidad, siendo el principal reclamo para que la publicidad insertada se vea o active la prestación con carácter gratuito del servicio de búsquedas en Internet. Es decir, Google Inc. presta dos servicios diferentes que completan su negocio, el primero es el servicio remunerado de publicitar la actividad de empresas en el comercio, mediante la venta del espacio publicitario. Para esta actividad se sirve de promotores locales (entre los que se encuentra Google Spain) que incentivan la compra de espacio en el área que tienen atribuida. El segundo consiste en el servicio gratuito de facilitar a los usuarios de Internet la localización de aquellos sitios en la Red cuyo contenido coincide con los criterios de búsqueda determinados por el usuario. El proveedor de buscadores es responsable de aclarar el grado de implicación de los establecimientos en el territorio de los Estados miembro en el tratamiento de datos personales. Si un establecimiento nacional se ve implicado en el tratamiento de datos de los usuarios, se aplica el artículo 4
(1)(a) de la Directiva de protección de datos. Pero es más, según el criterio ya descrito anteriormente, los buscadores que recurren a medios en el territorio de un Estado miembro (EEE) para el tratamiento de datos personales también se encuentran dentro del ámbito de la legislación en materia de protección de datos del Estado miembro, salvo en caso de que dichos medios se utilicen solamente con fines de tránsito por el territorio de la Comunidad Europea. En lo que respecta a la prestación de servicios de buscadores desde fuera de la UE, los centros de datos situados en el territorio de un Estado miembro pueden utilizarse para el almacenamiento y el tratamiento a distancia de datos personales. Otros tipos de medios podrían ser la utilización de ordenadores personales, terminales y servidores. La utilización de cookies y dispositivos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/24 de software similares por parte de un proveedor de servicios online también puede considerarse como recurso a medios en el territorio del Estado miembro, de este modo la legislación en materia de protección de datos de dicho Estado miembro le resulta aplicable. Se indica que “el ordenador del usuario puede considerarse un medio en el sentido del artículo 4
(1)de la Directiva 95/46/CE. Se encuentra situado en el territorio de un Estado miembro. El responsable decide recurrir a este medio con el fin de tratar datos personales y, según se ha explicado en apartados anteriores, se producen diversas operaciones técnicas sin el control del interesado. El responsable de tratamiento controla el equipo del usuario y este equipo no se utiliza exclusivamente con fines de tránsito por el territorio de la Comunidad Europea. En esta línea, como se ha manifestado por Google, la actividad del buscador (que no debe olvidarse que forma parte del negocio que en el territorio nacional realiza Google como complementario del espacio publicitario ofrecido) se compone de dos fases: una de ellas mediante unos dispositivos que navegan permanentemente por la Red, visitando los sitios web que encuentran y analizando su contenido. Durante esta visita, estos dispositivos extraen aquellas palabras que consideran útiles y las incluyen en una lista con la referencia a la dirección del sitio web de donde las extrajeron. La segunda fase materializa el servicio prestado por la empresa. Esta fase se desarrolla mediante una simple comparación entre las palabras incluidas por el usuario como criterio de búsqueda y la lista que incluye las palabras extraídas y las referencias a los sitios web, facilitando al interesado una lista de resultados en la que se incluyen las referencias a los sitios web en que aparecen las palabras del criterio de búsqueda, ordenándolos en atención a la mayor o menor relevancia de la coincidencia. Pero es más, los buscadores recogen los datos y procede a su tratamiento, no siendo únicamente un vehículo de transmisión. También como antes quedó señalado, en algunos casos, un proveedor multinacional de buscadores deberá cumplir múltiples legislaciones en materia de protección de datos como resultado de las normas en relación con el derecho aplicable y la naturaleza transnacional de su tratamiento de datos personales. IX. Pero es más, no sólo es la normativa específica de protección de datos la que, con arreglo a los argumentos anteriores, determina la Ley nacional aplicable a este supuesto, sino que dicha normativa resultaría en todo caso aplicable por determinación del tenor literal de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI), que en su artículo 4 establece: “A los prestadores establecidos en países que no sean miembros de la Unión Europea o del Espacio Económico Europeo, les será de aplicación lo dispuesto en los artículos 7.2 y 11.2. Los prestadores que dirijan sus servicios específicamente al territorio C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/24 español quedarán sujetos, además, a las obligaciones previstas en esta Ley, siempre que ello no contravenga lo establecido en tratados o convenios internacionales que sean aplicables.” Por reenvío de dicho artículo resulta aplicable en este supuesto concreto el artículo 8.1.c de la misma Ley, que señala: “En caso de que un determinado servicio de la sociedad de la información atente o pueda atentar contra los principios que se expresan a continuación, los órganos competentes para su protección, en ejercicio de las funciones que tengan legalmente atribuidas, podrán adoptar las medidas necesarias para que se interrumpa su prestación o para retirar los datos que los vulneran”. El principio a que alude en el apartado
- c)es el “respeto a la dignidad de la persona”. Continúa el apartado siguiente de dicho artículo señalando: “En la adopción y cumplimiento de las medidas de restricción a que alude este apartado se respetarán, en todo caso, las garantías, normas y procedimientos previstos en el ordenamiento jurídico para proteger los derechos a la intimidad personal y familiar, a la protección de los datos personales, a la libertad de expresión o a la libertad de información, cuando estos pudieran resultar afectados”. Pero es más, esta cuestión ya ha sido analizada y resuelta por la Audiencia Provincial de Madrid, en su sentencia 95/2010, de 19 de febrero. Dicha sentencia en su fundamento jurídico tercero señala, en síntesis, respecto del ámbito territorial de la Ley 34/2002, que ésta es aplicable a “los prestadores de servicios de la sociedad de la información establecidos en España y a los servicios prestados por ellos, o bien en los supuestos en que el prestador de servicios opere mediante un establecimiento permanente situado en territorio español, cuando disponga en el mismo, de forma continuada o habitual, de instalaciones o lugares de trabajo, en los que realice toda o parte de su actividad.” La misma sentencia estima acreditado que Google opera en España mediante una oficina permanente a través de la cual realiza toda o parte de su actividad dirigida al mercado español. Dicha oficina permanente es Google Spain. SEXTO: Por lo que se refiere al derecho de oposición frente a Google, cabe señalar que un buscador es una herramienta que facilita al usuario de internet el acceso a determinadas páginas web. Para ello, la herramienta accede a una lista de enlaces previamente indexados y ofrece al usuario una relación de direcciones web que remiten a páginas en las que figuran las palabras seleccionadas por el usuario. Es importante especificar que la legislación española incluye a los buscadores dentro de la definición de “servicios de la sociedad de la información” de la LSSI. Así el apartado
- b)del Anexo define los servicios de intermediación como “el servicio de la sociedad de la información por el que se facilita la prestación o utilización de otros servicios de la sociedad de la información o el acceso a la información” y añade que son servicios de intermediación, entre otros, la provisión de instrumentos de búsqueda, acceso y recopilación de datos o de enlaces a otros sitios de Internet. El artículo 8 de la citada LSSI, dispone que “en caso de que un determinado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/24 servicio de la sociedad de la información atente o pueda atentar contra los principios que se expresan a continuación, los órganos competentes para su protección, en ejercicio de las funciones que tengan legalmente atribuidas, podrán adoptar las medidas necesarias para que se interrumpa su prestación o para retirar los datos que los vulneran. Los principios a que alude este apartado son los siguientes: (...)
- c)El respeto a la dignidad de la persona y al principio de no discriminación por motivos de raza, sexo, religión, opinión, nacionalidad, discapacidad o cualquier otra circunstancia personal o social. (el subrayado es de la Agencia Española de Protección de Datos) (...) Abundando en el principio del respeto a la dignidad de la persona la Sentencia del Tribunal Constitucional STC 292/2000 comienza señalando que “la singularidad del derecho a la protección de datos, por un lado, su objeto es más amplio que el del derecho a la intimidad, ya que el derecho fundamental a la protección de datos extiende su garantía no solo a la intimidad en su dimensión constitucionalmente protegida por el art. 18.1 CE, sino a lo que en ocasiones este Tribunal ha definido en términos más amplios como esfera de los bienes de la personalidad que pertenecen al ámbito de la vida privada, inextricablemente unidos al respeto de la dignidad personal (STC 170/1987, de 30 de Oct., FJ 4) como el derecho al honor, citado expresamente en el art. 18.4 CE, e igualmente, en expresión bien amplia del propio art. 18.4 CE, al pleno ejercicio de los derechos de la persona”. Reiterando la doctrina que ya había establecido en anteriores sentencias, la STC 292/2000, se refiere a que “el artículo 18.4 de la Constitución Española contiene un instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los restantes derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos, lo que la Constitución llama << la informática >>. La sentencia hace referencia a continuación al contenido esencial del derecho fundamental a la protección de datos, afirmando que “la garantía de la vida privada de la persona y de su reputación poseen hoy una dimensión positiva que excede el ámbito propio del derecho fundamental a la intimidad y que se traduce en un derecho de control sobre los datos relativos a la propia persona. La llamada <<libertad informática>> es así derecho a controlar el uso de los mismos datos insertos en un programa informático (habeas data) y comprende, entre otros aspectos, la oposición del ciudadano a que determinados datos personales sean utilizados para fines distintos de aquel legítimo que justificó su obtención”. (el subrayado es de la Agencia) Entiende el Alto Tribunal que “el derecho fundamental a la intimidad del artículo 18.1 CE es la de proteger frente a cualquier invasión que pueda realizarse en aquel ámbito de la vida personal y familiar que la persona desea excluir del conocimiento ajeno y de las intromisiones de terceros en contra de su voluntad. En cambio, el derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino, con el propósito de impedir su tráfico ilícito y lesivo para la dignidad y el derecho del afectado.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/24 De lo expuesto se desprende que la afectación del derecho a la protección de Datos “atenta o puede atentar” al principio de respeto a la dignidad de la persona a los efectos previstos en el artículo 8 de la LSSI; y esa afectación debe predicarse de todas y cada una de las garantías que integran el derecho fundamental a la protección de datos personales, entre las que se incluye el derecho de oposición. El artículo 17 de la LSSI “Responsabilidad de los prestadores de servicios que faciliten enlaces a contenidos o instrumentos de búsqueda” dispone lo siguiente: “1. Los prestadores de servicios de la sociedad de la información que faciliten enlaces a otros contenidos o incluyan en los suyos directorios o instrumentos de búsqueda de contenidos no serán responsables por la información a la que dirijan a los destinatarios de sus servicios, siempre que:
- a)No tengan conocimiento efectivo de que la actividad o la información a la que remiten o recomiendan es ilícita o de que lesiona bienes o derechos de un tercero susceptibles de indemnización, o
- b)Si lo tienen, actúen con diligencia para suprimir o inutilizar el enlace correspondiente. Se entenderá que el prestador de servicios tiene el conocimiento efectivo a que se refiere el párrafo
- a)cuando un órgano competente haya declarado la ilicitud de los datos, ordenado su retirada o que se imposibilite el acceso a los mismos, o se hubiera declarado la existencia de la lesión, y el prestador conociera la correspondiente resolución, sin perjuicio de los procedimientos de detección y retirada de contenidos de los prestadores apliquen en virtud de los acuerdos voluntarios y de otros medios de conocimiento efectivo que pudieran establecerse. 2. La exención de responsabilidad establecida en el apartado 1 no operará en el supuesto de que el destinatario del servicio actúe bajo la dirección, autoridad o control del prestador que facilite la localización de estos contenidos”. (El subrayado es de la Agencia Española de Protección de Datos). En el caso que nos ocupa los datos personales obtenidos por Google potencialmente podrían afectar a la dignidad de la persona y pueden lesionar derechos de un tercero, por lo que el Director de la Agencia Española de Protección de Datos como órgano competente para velar por el cumplimiento de la legislación sobre protección de datos y controlar su aplicación, atendiendo a la reclamación formulada por el reclamante, puede requerir al responsable del tratamiento de los datos, la adopción de medidas necesarias para la adecuación del tratamiento de los datos a las disposiciones de la Ley Orgánica 15/1999, ejerciendo las funciones que le atribuye su artículo 37, así como a los efectos establecidos en los artículos 8 y 17 de la LSSI. Todo ello sin perjuicio de lo que más adelante se expondrá. Siguiendo esta argumentación, la Audiencia Provincial de Madrid en su sentencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/24 95/2010, señala que Google no puede ser responsable del contenido de los datos trasmitidos en el caso de que se den los requisitos de exención de responsabilidad del art. 17 antes citado; la exención no opera una vez que el prestador del servicio tenga conocimiento efectivo de que la información lesiona derechos de terceros. Esto es, la exención de responsabilidad no se produce, entre otros, cuando “el prestador del servicio, en este caso Google, haya tenido conocimiento de la correspondiente resolución…….y por lo tanto tenga que actuar con diligencia a los efectos de suprimir o inutilizar el enlace correspondiente.”. En este caso, la resolución dictada por el Director de la Agencia Española de Protección de Datos, sería requisito suficiente para entender que no se produce la exención de responsabilidad de Google prevista en el art. 17 de la LSSI y que, por tanto, resulta responsable y obligado a suprimir o inutilizar el enlace correspondiente. Y todo ello, como se dice en la sentencia referida, no porque sea autor de la información controvertida sino por el hecho de que a través de su sistema de búsqueda permite acceder a dicha información. Es necesario insistir en los efectos divulgativos multiplicadores que se producen a través de Internet y, en mayor medida de los buscadores y su repercusión en la protección de datos de las personas. SÉPTIMO: En relación a la alegación formulada por Google Spain, en relación a la infracción por indeterminación de la parte, cabe señalar que lo que se suscita, en el fondo de este escrito remitido, es la discusión sobre si Google Spain representa a Google INC sólo en el negocio de venta de espacio publicitario como sostiene Google Spain o también como representante legal en materia de protección de datos; y es necesario ante esta cuestión manifestar que esta Agencia ha venido considerando en múltiples resoluciones la condición de Google Spain como representante en España de Google Inc y por ello se ha determinado su responsabilidad. La consideración de Google Spain como representante de Google Inc viene fundamentada en diversos argumentos que se han expuesto en varias resoluciones con un contenido idéntico al ahora analizado. Además de los recogidos en la resolución de esta tutela, se puede señalar que en repetidas ocasiones GOOGLE SPAIN, S.L. ha declarado a la Inspección de Datos su condición de representante en estos términos: “Google Spain se limita a representar a Google Inc. en el negocio que ésta desarrolla de vender el espacio publicitario disponible en su página web, es sólo un Agente o representante mercantil exclusivo de Google Inc. y sólo representa a esta compañía en la promoción de la venta de los servicios publicitarios de Google Inc.” GOOGLE SPAIN, S.L. ha declarado que “su actividad se limita a dichos servicios y, por ello, ni desarrolla la actividad de buscador ni cabe imputarle ninguna de las actividades ni consecuencias que se deriven de la actividad que ejecuta Google Inc. aunque esta empresa sea la matriz de Google Spain.” No obstante lo anterior, para ilustrar los motivos por los que la AEPD mantiene su criterio de considerar, con carácter general, a la mercantil española como representante legal en España de la corporación GOOGLE, conviene relacionar los procedimientos de tutela de derechos tramitados por la Inspección de Datos en los que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/24 GOOGLE SPAIN, S.L. atendió los requerimientos que le había dirigido la Inspección, al respecto de reclamaciones planteadas por ciudadanos españoles, relativas al servicio de búsqueda de GOOGLE: TD/00299/2007, TD/00463/2007, TD/00814/2007, TD/00155/2008, TD/00387/2008, TD/00420/2008, TD/00444/2008, TD/00569/2008, TD/00580/2008. Por otra parte, conviene reseñar que, a requerimiento de la Inspección de Datos, la propia GOOGLE SPAIN, S.L. realizó alegaciones en el marco del expediente de actuaciones previas de inspección E/01544/2007, tramitado como consecuencia de una denuncia presentada por una organización de usuarios española, en relación con otro de los servicios ofrecidos por GOOGLE: el servicio de correo electrónico gratuito GMAIL. Como consecuencia de lo manifestado anteriormente hay que concluir que no se produce error alguno al dirigir el acuerdo de apertura de procedimiento de tutela de derechos a Google Spain como representante en España de Google Inc. manteniéndose, por tanto, en los términos redactados. OCTAVO: La publicación de una noticia en la versión digital de un diario (en el presente supuesto, EL PAÍS, S.L. se encuentra amparada por la Constitución Española (en lo sucesivo, CE), en cuyo artículo 20, Capítulo Segundo “Derechos y Libertades”, que consagra los siguientes derechos: “Se reconocen y protegen los derechos:
- a)A expresar y difundir libremente los pensamientos, ideas y opiniones mediante la palabra, el escrito o cualquier otro medio de reproducción”. “
- d)A comunicar o recibir libremente información veraz por cualquier medio de difusión. La Ley regulará la cláusula de conciencia y el secreto profesional en el ejercicio de estas libertades”. Así, la publicación de la noticia, conteniendo los datos personales del reclamante, por la versión digital de EL PAÍS, S.L., es conforme con las libertades de opinión e información recogidas en el artículo 20 de la CE bajo la denominación genérica de “libertad de expresión”. El derecho a “recibir libremente información veraz por cualquier medio de difusión” prevalece frente a otros derechos constitucionales, atendiendo a la Jurisprudencia del Tribunal Constitucional, que reconoce esta posición preferente a la libertad de expresión siempre y cuando los hechos comunicados se consideren de relevancia pública (Sentencias 105/1983 y 107/1988) y la información facilitada sea veraz (Sentencias 6/1988, 105/1990 y 240/1992). Así, el citado Tribunal, en Sentencia 171/1990, afirma: "Dada su función institucional, cuando se produzca una colisión de la libertad de información con el derecho a la intimidad y al honor aquélla goza, en general, de una posición preferente y las restricciones que de dicho conflicto puedan derivarse a la libertad de información deben interpretarse de tal modo que el contenido fundamental del derecho a la información no resulte, dada su jerarquía institucional, desnaturalizado ni incorrectamente relativizado. … resulta obligado concluir que en esa confrontación de derechos, el de la libertad de información, como regla general, debe prevalecer siempre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/24 que la información transmitida sea veraz, y esté referida a asuntos públicos que son de interés general por las materias a que se refieren y por las personas que en ellos intervienen, contribuyendo, en consecuencia, a la formación de la opinión pública”. Asimismo, en Sentencia 225/2002, de 9 de diciembre, el mencionado Tribunal constitucional declara que “Si bien la jurisprudencia constitucional ha reconocido como titulares de la libertad de información tanto a los medios de comunicación, a los periodistas, así como a cualquier otra persona que facilite la noticia veraz de un hecho y a la colectividad en cuanto receptora de aquélla (por todas, SSTC 6/1981, 105/1983, 168/1986, 165/1987, 6/1988, 176/1995, 4/1996), ha declarado igualmente que la protección constitucional del derecho "alcanza su máximo nivel cuando la libertad es ejercitada por los profesionales de la información a través del vehículo institucionalizado de formación de la opinión pública que es la prensa entendida en su más amplia acepción" (STC 165/1987, reiterada en SSTC 105/1990 y 176/1995, entre otras). Afirmación con la que en modo alguno se quiso decir que los profesionales de la información tuvieran un derecho fundamental reforzado respecto a los demás ciudadanos; sino sólo que, al hallarse sometidos a mayores riesgos en el ejercicio de sus libertades de expresión e información, precisaban -y gozaban de- una protección específica. Protección que enlaza directamente con el reconocimiento a aquellos profesionales del derecho a la cláusula de conciencia y al secreto profesional para asegurar el modo de ejercicio de su fundamental libertad de información (STC 6/1981)”. En el mismo sentido, el Considerando 37 de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Considerando que para el tratamiento de datos personales con fines periodísticos o de expresión artística o literaria, en particular en el sector audiovisual, deben preverse excepciones o restricciones de determinadas disposiciones de la presente Directiva siempre que resulten necesarias para conciliar los derechos fundamentales de la persona con la libertad de expresión y, en particular, la libertad de recibir o comunicar informaciones, tal y como se garantiza en el artículo 10 del Convenio Europeo para la Protección de los Datos Humanos y de las Libertades Fundamentales...”. Por tanto, la publicación de la noticia por el diario reclamado, constituye un ejercicio de los derechos contenidos en el artículo 20, apartados
- a)y
- d)de la CE. En relación a este derecho, ante la ausencia de Exposición de Motivos de la LOPD, cabe acudir a los Considerandos de la Directiva 95/46/CE, de la que aquella trae causa, cuyo considerando 45 señala que “cuando se pudiera efectuar lícitamente un tratamiento de datos por razones de interés público o del ejercicio de la autoridad pública, o en interés legítimo de una persona física, cualquier persona deberá, sin embargo tener derecho a oponerse a que los datos que le conciernan sean objeto de un tratamiento, en virtud de motivos fundados y legítimos relativos a su situación concreta; que los Estados miembros tienen, no obstante, la posibilidad de establecer disposiciones nacionales contrarias.” Abundando en lo anterior, la Sentencia de la Audiencia Nacional de 25 de mayo de 2012, dispone lo siguiente en su Fundamento Jurídico Cuarto: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/24 “El ejercicio de la libertad de expresión y de información que amparaba al periódico implica el tratamiento de los datos personales de los sujetos objeto de la crítica y a la que se refiere la información, pues la utilización de los datos personales necesarios para el fin que se persigue y la libertad que se ejerce, se constituye un instrumentos imprescindible sin el cual la crítica o la información carecería de sentido y se vaciaría de contenido. Es por ello que la utilización de los datos del denunciante, estaba amparada por el ejercicio de la libertad de expresión e información sin que pueda utilizarse el derecho de cancelación para evitar la publicación de noticias o informaciones relacionadas con una o varias personas concretas, y si se considera que dichas noticias e informaciones vulneran su derecho al honor o son injuriosas o calumniosas son otras las vías que el ordenamiento jurídico ofrece para la defensa de sus derechos.” Consecuentemente, la publicación de una noticia en prensa se encuentra amparada por el artículo 20 de la Constitución Española, que consagra las libertades de opinión e información bajo la denominación genérica de “libertad de expresión”. El derecho a recibir libremente información veraz por cualquier medio de difusión prevalece frente a los derechos constitucionales, atendiendo a la jurisprudencia del Tribunal Constitucional que reconoce esta posición preferente a la libertad de expresión y cuando los hechos comunicados se consideren de relevancia pública y la información facilitada sea veraz. No obstante, los medios de comunicación deberían valorar la necesidad de que su actuación se dirija a conciliar, en mayor medida, el derecho a la libertad de información con la aplicación de los principios de protección de datos personales. En primer lugar debería ponderarse escrupulosamente la relevancia pública de la identidad de las personas afectadas por el hecho noticiable para, en el caso de que no aporte información adicional, evitar la identificación mediante la supresión del nombre e incluso, si fuera necesario, de las iniciales a cualquier referencia suplementaria de la que pueda deducirse la identificación, en el caso de que el entorno sea limitado. Junto a ello, no cabe duda de que el desarrollo de internet y la implantación generalizada de los motores de búsqueda suponen una actualización y divulgación exponencial y permanente de la información en prensa, así como de los datos personales incluidos en la misma como la identidad de las personas. Deberían por ello los medios de comunicación, reflexionar sobre la trascendencia que tiene mantener de manera permanente una absoluta accesibilidad de los datos contenidos en noticias cuya relevancia informativa, probablemente, es inexistente en la actualidad. Y tener en cuenta la trascendencia sobre la privacidad de las personas que puede derivar de ello. En este sentido, los medios de comunicación deberían de usar medidas informáticas para que, en el caso de que concurra interés legítimo de un particular y la relevancia del hecho haya dejado de existir, se evite desde su webmaster la indexación de la noticia por los motores de búsqueda en internet. De esta forma, aún manteniéndola inalterable en su soporte ya que no se borraría de sus archivos ni de sus históricos, se evitaría su divulgación indiscriminada, permanente y, en su caso, lesiva. Por todo lo anteriormente expuesto, procede inadmitir la reclamación de tutela de derechos interpuesta frente a Ediciones El País, S.L. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/24 NOVENO: En el presente caso, el reclamante también ejercitó el derecho de cancelación de sus datos personales ante GOOGLE SPAIN S.L. (Google Inc.) respecto del enlace web expuesto en el Hecho Primero de la presente resolución. Como ya se ha expuesto con anterioridad, en el citado enlace web aparecen los datos personales del reclamante en la publicación de una noticia en el diario El País de 1988. Respecto a Google Inc, cabe destacar que al margen de que Google Inc ha designado a Google Spain como su representante en España del tratamiento de un fichero inscrito recientemente por la primera y de acuerdo a los argumentos ya expuestos, es preciso valorar que Google Spain es una filial de Google Inc que se dedica a la promoción y venta de los espacios publicitarios del buscador, desempeñando un papel significativo para su matriz, ya que el tratamiento de los datos se efectúa en el marco de las actividades comerciales de publicidad que constituyen el negocio de Google, existiendo, por tanto, una relación de causalidad entre la publicidad obtenida por Google Spain y el tratamiento de los datos al dirigir la publicidad a una ubicación geográfica determinada. En consecuencia, las acciones de tramitación del procedimiento se dirigieron a Google Spain, S.L. como representante de Google Inc. Google contestó a la petición del referido derecho de oposición indicando que no podía proceder a lo solicitado, debido a que las informaciones de los resultados de búsqueda se encuentran en páginas web de terceros cuyo acceso es público. Para eliminar el contenido de los resultados necesitan la colaboración del webmaster. No existe una disposición legal en contrario respecto del ejercicio del derecho de cancelación frente a Google. Así, desde Google deberían haberse implementado las medidas necesarias para retirar los datos de su índice e imposibilitar el acceso posterior a los mismos. De acuerdo con lo anteriormente expuesto, sí procedía la exclusión de los datos personales del reclamante de los índices elaborados por Google, al tratarse de datos obsoletos e inadecuados, por lo que se estima el presente procedimiento de tutela de derechos. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por D. A.A.A. contra GOOGLE SPAIN, S.L. (Google Inc.), instando a esta entidad para que adopte las medidas necesarias para retirar los datos de su índice e imposibilite el acceso futuro a los mismos. SEGUNDO: INADMITIR la reclamación formulada por D. A.A.A. contra EDICIONES EL PAÍS, S.L. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/24 TERCERO: NOTIFICAR la presente resolución a D. A.A.A., a EDICIONES EL PAÍS, S.L. y a GOOGLE SPAIN, S.L. (Google Inc.). De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del RLOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 18.4 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es