TD-01368-2015

1/7 Expediente Nº: TD/01368/2015 RESOLUCIÓN Nº: R/00070/2016 Vista la reclamación formulada el 3 de agosto de 2015, ante esta Agencia, por D. B.B.B., contra la UNIVERSIDAD DE LAS PALMAS DE GRAN CANARIA, por no haber sido debidamente atendido su derecho de cancelación. Realizadas las actuaciones procedimentales previstas en el artículo 117 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, se han constatado los siguientes, HECHOS PRIMERO: Con fecha 6 de julio de 2015, D. B.B.B. ejercitó el derecho de cancelación de sus datos personales, ante la UNIVERSIDAD DE LAS PALMAS DE GRAN CANARIA, respecto a la siguiente URL: A.A.A., sin que su solicitud haya recibido la contestación legalmente establecida. En dicho enlace aparecen los datos del interesado en una noticia publicada por el periódico La Voz de Lanzarote del año 1986 que recoge una entrevista realizada cuando era Inspector de Educación Básica. SEGUNDO: En fecha 3 de agosto de 2015, D. B.B.B. (en lo sucesivo, el reclamante) formuló reclamación de Tutela de Derechos, ante esta Agencia, contra la UNIVERSIDAD DE LAS PALMAS DE GRAN CANARIA, por no haber sido debidamente atendido su derecho de cancelación. TERCERO: Trasladadas sucesivamente la reclamación y los escritos de descargos que se produjeron en la tramitación de este expediente, y por lo que a efectos de la resolución de la presente reclamación interesa, se realizaron, en síntesis, las siguientes alegaciones: • Por parte de la UNIVERSIDAD DE LAS PALMAS DE GRAN CANARIA se pone de manifiesto que la Universidad, a través de su Biblioteca Universitaria, sólo presta soporte a la publicación a la que hace referencia el reclamante, por lo que, tal y como le indican, para cualquier petición en materia de datos personales debería dirigirse directamente al periódico La Voz de Lanzarote, responsable de sus propios contenidos. • El reclamante manifiesta que el motivo alegado por la Directora de la Biblioteca Universitaria es arbitrario y contradictorio, pues si sirve de soporte como dice a la publicación, puede y debe dejar de prestar dicho soporte. Pues si no da soporte a la publicación, esta no sale y no se refleja en la indexación de su nombre y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 apellidos, es pues, la responsable principal y necesaria para que aparezca en dicha indexación la publicación de la entrevista en el año 1986 y sea encontrada por los diferentes buscadores de Internet, en la URL de dicha Biblioteca. CUARTO: Son conocidos por las partes de forma completa todos los hechos, alegaciones y demás documentación aportada por los interesados para su defensa, al haberse dado traslado por la instrucción del expediente a cada uno de los interesados en este procedimiento y constado todo ello en el expediente que obra en esta Agencia Española de Protección de Datos. FUNDAMENTOS DE DERECHO PRIMERO: Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). SEGUNDO: El artículo 18.1 de la LOPD, señala que: “Las actuaciones contrarias a lo dispuesto en la presente Ley pueden ser objeto de reclamación por los afectados ante la Agencia Española de Protección de Datos, en la forma que reglamentariamente se determine”. TERCERO: El artículo 16 de la LOPD, dispone: “1. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días. 2. Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos. 3. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión. 4. Si los datos rectificados o cancelados hubieran sido comunicados previamente, el responsable del tratamiento deberá notificar la rectificación o cancelación efectuada a quien se hayan comunicado, en el caso de que se mantenga el tratamiento por este último, que deberá también proceder a la cancelación. 5. Los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado.” CUARTO: El artículo 32.2 y 3 del Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, determina: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 “2. El responsable del fichero resolverá sobre la solicitud de rectificación o cancelación en el plazo máximo de diez días a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. En el caso de que no disponga de datos de carácter personal del afectado deberá igualmente comunicárselo en el mismo plazo. 3. Si los datos rectificados o cancelados hubieran sido cedidos previamente, el responsable del fichero deberá comunicar la rectificación o cancelación efectuada al cesionario, en idéntico plazo, para que éste, también en el plazo de diez días contados desde la recepción de dicha comunicación, proceda, asimismo, a rectificar o cancelar los datos. La rectificación o cancelación efectuada por el cesionario no requerirá comunicación alguna al interesado, sin perjuicio del ejercicio de los derechos por parte de los interesados reconocidos en la Ley Orgánica 15/1999, de 13 de diciembre.” QUINTO: El artículo 25 del Reglamento de la LOPD, establece: “1. Salvo en el supuesto referido en el párrafo 4 del artículo anterior, el ejercicio de los derechos deberá llevarse a cabo mediante comunicación dirigida al responsable del fichero, que contendrá:
2. a)
3. b)
4. c)
5. d)Nombre y apellidos del interesado; fotocopia de su documento nacional de identidad, o de su pasaporte u otro documento válido que lo identifique y, en su caso, de la persona que lo represente, o instrumentos electrónicos equivalentes; así como el documento o instrumento electrónico acreditativo de tal representación. La utilización de firma electrónica identificativa del afectado eximirá de la presentación de las fotocopias del DNI o documento equivalente. El párrafo anterior se entenderá sin perjuicio de la normativa específica aplicable a la comprobación de datos de identidad por las Administraciones Públicas en los procedimientos administrativos. Petición en que se concreta la solicitud. Dirección a efectos de notificaciones, fecha y firma del solicitante. Documentos acreditativos de la petición que formula, en su caso. 2. El responsable del tratamiento deberá contestar la solicitud que se le dirija en todo caso, con independencia de que figuren o no datos personales del afectado en sus ficheros. 3. En el caso de que la solicitud no reúna los requisitos especificados en el apartado primero, el responsable del fichero deberá solicitar la subsanación de los mismos. 4. La respuesta deberá ser conforme con los requisitos previstos para cada caso en el presente título. 5. Corresponderá al responsable del tratamiento la prueba del cumplimiento del deber de respuesta al que se refiere el apartado 2, debiendo conservar la acreditación del cumplimiento del mencionado deber…” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 SEXTO: En el supuesto aquí analizado, ha quedado acreditado que el reclamante ejercitó su derecho de cancelación ante la entidad demandada, y que, trascurrido el plazo establecido conforme a las normas antes señaladas, su solicitud no obtuvo la respuesta legalmente exigible. No obstante, durante la tramitación del presente procedimiento la entidad procedió a contestar al reclamante, pero denegándole el derecho solicitado y remitiéndole al periódico donde se publicó la noticia original. En el presente caso, el reclamante ejercitó el derecho ante la Universidad de Las Palmas de Gran Canaria, en relación a la siguiente URL: A.A.A. En dicho enlace aparecen los datos del interesado en una noticia publicada por el periódico La Voz de Lanzarote del año 1986 que recoge una entrevista realizada cuando era Inspector de Educación. La lista de resultados obtenida en una búsqueda a partir de un nombre, página web o información relativa a una persona, facilita la accesibilidad y difusión de la información a cualquier internauta que realice una búsqueda sobre el interesado, constituyendo una injerencia en el derecho fundamental al respeto de la vida privada del interesado. De conformidad con la Sentencia de la Gran Sala del Tribunal de Justicia de la Unión Europea, de fecha 13 de mayo de 2014, en su apartado 99: “Los artículos 12, letra b), y 14, párrafo primero, letra a), de la Directiva 95/46 deben interpretarse en el sentido de que, al analizar los requisitos de aplicación de estas disposiciones, se tendrá que examinar, en particular, si el interesado tiene derecho a que la información en cuestión relativa a su persona ya no esté, en la situación actual, vinculada a su nombre por una lista de resultados obtenida tras una búsqueda efectuada a partir de su nombre, sin que la apreciación de la existencia de tal derecho presuponga que la inclusión de la información en cuestión en la lista de resultados cause un perjuicio al interesado. Puesto que éste puede, habida cuenta de los derechos que le reconocen los artículos 7 y 8 de la Carta, solicitar que la información de que se trate ya no se ponga a disposición del público en general mediante su inclusión en tal lista de resultados, estos derechos prevalecen, en principio, no sólo sobre el interés económico del gestor del motor de búsqueda, sino también sobre el interés de dicho público en acceder a la mencionada información en una búsqueda que verse sobre el nombre de esa persona. Sin embargo, tal no sería el caso si resultara, por razones concretas, como el papel desempeñado por el interesado en la vida pública, que la injerencia en sus derechos fundamentales está justificada por el interés preponderante de dicho público en tener, a raíz de esta inclusión, acceso a la información de que se trate.” La citada Sentencia también establece en su apartado 93 lo siguiente: “incluso un tratamiento inicialmente lícito de datos exactos puede devenir, con el tiempo, incompatible con dicha Directiva cuando estos datos ya no sean necesarios en relación con los fines para los que se recogieron o trataron. Este es el caso, en particular, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 cuando son inadecuados, no pertinentes o ya no pertinentes o son excesivos en relación con estos fines y el tiempo transcurrido.” Así, procede la exclusión de los datos personales del reclamante al tratarse de datos obsoletos y no concurrir “interés preponderante del público en tener acceso a esta información” a través de una búsqueda en Internet “que verse sobre el nombre de esa persona”. Alega la Universidad que solo presta soporte a una publicación del periódico La Voz de Lanzarote, por lo que deberá dirigirse directamente al medio de comunicación. Sin embargo, si consultamos la página web “jable.ulpgc.es” que es donde se publica la noticia, consta que es un Archivo de Prensa Digital de la ULPGC, Biblioteca Universitaria. Por lo que el responsable de ese Archivo sería la Universidad, y como tal quien debe evitar la indexación de esa noticia con los datos del reclamante, para que en una búsqueda realizada por su nombre y apellidos no aparezca la URL referida en los buscadores de Internet. En este sentido se pronuncia la Sentencia de la Sala de lo ContenciosoAdministrativo de la Audiencia Nacional (SAN 3501/2015) de fecha 2 de octubre de 2015, que en su Fundamento de Derecho Quinto recoge: “Ha de destacarse que, con independencia de la publicación de la información en el diario digital El País, que debe preservarse, la injerencia en el derecho a la protección de datos del afectado que entraña la potenciación de su difusión a través de los buscadores de internet no encuentra, dadas las circunstancias expresadas, justificación suficiente en el derecho a la libertad de expresión e información del editor, ni en el interés del público en tener acceso a tal información a través del empleo de los servicios de búsqueda ofertados por los buscadores de Internet. La libertad de información del editor se encuentra suficientemente salvaguardada mediante la publicación de la noticia en el diario digital y el acceso a la misma a través del buscador interno de su página web, que asimismo garantiza una difusión de la información que satisface también el interés del público en acceder a la misma. Por el contrario, la Sala aprecia evidentes motivos fundados y legítimos del afectado para oponerse a la indexación por los buscadores de Internet de la información empleando su nombre y apellidos sobre la base de las circunstancias antes expresadas.” Y la Sentencia de la Sala de lo Civil del Tribunal Supremo (STS 4132/2015) de fecha 15 de octubre de 2015, que en su Fundamento de Derecho Quinto, sobre el tratamiento de datos personales que realiza el editor de una página web, señala: “2.- El editor de una página web en la que se incluyen datos personales realiza un tratamiento de datos personales y como tal es responsable de que dicho tratamiento de datos respete las exigencias de la normativa que lo regula, en concreto las derivadas del principio de calidad de los datos. Así lo ha considerado el Tribunal de Justicia de la Unión Europea (en lo sucesivo, TJUE) en las sentencias de 6 de noviembre de 2003 (caso Lindqvist, asunto C-101/01, apartado 25) y 13 de mayo de 2014 (caso Google Spain S.L contra Agencia Española de Protección de Datos, asunto C-131/12, párrafo 26, en lo sucesivo, STJUE del caso Google ) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 Aunque la STJUE del caso Google analizó la responsabilidad de los gestores de motores de búsqueda en Internet (tales como Google, Yahoo, Bing, etc.) por el tratamiento de datos personales en informaciones contenidas en páginas web cuyos vínculos aparecían en la lista de resultados de tales buscadores cuando los datos personales (en concreto el nombre y apellidos) eran utilizados como palabras clave para la búsqueda, ello no significa que los editores de las páginas web no tengan la condición de responsables del tratamiento de esos datos personales, con los consiguientes deberes de respetar el principio de calidad de datos y atender el ejercicio de los derechos que la normativa de protección de datos otorga a los afectados, y la responsabilidad derivada de no respetar estas exigencias legales. Los editores de páginas web tienen la posibilidad de indicar a los motores de búsqueda en Internet que desean que una información determinada, publicada en su sitio, sea excluida total o parcialmente de los índices automáticos de los motores, mediante el uso de protocolos de exclusión como robot.txt, o de códigos como noindex o noarchive. Así lo recuerda la STJUE del caso Google en su párrafo 39.” A la vista de lo expuesto, procede estimar la presente reclamación de Tutela de Derechos. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por D. B.B.B. contra la UNIVERSIDAD DE LAS PALMAS DE GRAN CANARIA, instando a esta entidad para que adopte las medidas necesarias a fin de evitar la indexación de los datos personales del reclamante en sus páginas, al objeto de que en el futuro los motores de búsqueda de Internet no puedan asociarlas al mismo en la URL siguiente: A.A.A. SEGUNDO: NOTIFICAR la presente resolución a D. B.B.B. y a la UNIVERSIDAD DE LAS PALMAS DE GRAN CANARIA. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Contra esta resolución, que pone fin a la vía administrativa (artículo 18.4 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es