El caso Google Spain: la afirmación del buscador como responsable del tratamiento y el reconocimiento del derecho al olvido (análisis de la STJUE de 13 de mayo de 2014)

AutorMònica Vilasau
CargoProfesora de Derecho Civil. Estudios de Derecho y Ciencia Política. UOC
Páginas16-32

En el contexto del proceso de elaboración y discusión de una nueva normativa en materia de protección de datos en el seno de la UE, el TJUE dicta una sentencia en la que se reconoce el llamado derecho al olvido. El Tribunal de Luxemburgo contesta las cuestiones prejudiciales planteadas por la Audiencia Nacional española, y acoge las pretensiones de una persona que ejerció los derechos de cancelación y oposición frente a los resultados que proporcionaba Google al introducir su nombre y sus apellidos en dicho motor de búsqueda.

I - Los hechos

El 13 de mayo de 2014, el TJUE (Gran Sala) dictó sentencia1 como consecuencia de la cuestión prejudicial planteada por la Audiencia Nacional española (AN)2 en relación con la interpretación de varios preceptos de la Directiva 95/46 de protección de datos. El litigio tiene su origen en el ejercicio por parte del señor Costeja del derecho de oposición al tratamiento de sus datos personales contra Google y el periódico La Vanguardia. La reclamación buscaba que se eliminaran de la lista de resultados del buscador los enlaces a dos anuncios oficiales, publicados años atrás en dicho periódico, relativos a la subasta de inmuebles del afectado en relación con deudas con la Seguridad Social. Los enlaces a los anuncios aparecían cuando se introducía el nombre del afectado en el buscador. Se trata de uno de los múltiples casos planteados contra Google que se han identificado como supuestos de ejercicio del derecho al olvido.

El señor Costeja reclamó ante la AEPD contra el buscador y el periódico por no haber atendido su derecho de oposición debidamente. La AEPD solo estimó la reclamación contra Google e instó al buscador a adoptar las medidas necesarias para retirar los datos de su índice e imposibilitar el acceso futuro a estos.3 Google interpuso recurso ante la AN.

La STJUE, al resolver la cuestión planteada por la AN, analiza distintos aspectos relativos a la interpretación y la aplicación de la DPD, concretamente: el ámbito de aplicación territorial; la interpretación de los términos «tratamiento» y «responsable del tratamiento»; y la procedencia de la pretensión del afectado de que se eliminen sus datos de los resultados ofrecidos por el buscador. Conviene subrayar que la sentencia dictada por la Gran Sala difiere, prácticamente en todos sus pronunciamientos, de las conclusiones del abogado general (AG).

II - La decisión del TJUE

En relación con la cuestión relativa al ámbito de aplicación territorial de la directiva y la interpretación del artículo 4.1.a) que determina que será aplicable la normativa europea cuando el tratamiento se efectúe en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro, Google alegó que la función del buscador la lleva a cabo exclusivamente la compañía domiciliada en Estados Unidos, por lo que la normativa española no le resultaría aplicable.

Sin embargo, el TJUE considera que el tratamiento se efectúa «en el marco» de las actividades de la filial de Google en

España si este establecimiento está destinado a la promoción y venta en España de espacios publicitarios del motor de búsqueda (§ 55). En este caso, la actividad del gestor del motor de búsqueda y la del establecimiento situado en el Estado miembro están indisociablemente ligadas, dado que las actividades relativas a los espacios publicitarios constituyen el medio para que el motor de búsqueda sea económicamente rentable (§ 56). En consecuencia, el TJUE considera que el art. 4.1.a) DPD debe interpretarse en el sentido de que se lleva a cabo un tratamiento de datos personales «cuando el gestor de un motor de búsqueda crea en el Estado miembro una sucursal o una filial destinada a garantizar la promoción y la venta de espacios publicitarios propuestos por el mencionado motor y cuya actividad se dirige a los habitantes de este Estado miembro» (§ 60).

En relación con el término «tratamiento» del art. 2.b) DPD, el TJUE considera que las actividades llevadas a cabo por el motor de búsqueda deben calificarse de «tratamiento», sin que sea relevante que el motor no distinga entre los datos personales y los que no lo son (§ 28). Tampoco contradice esta apreciación el hecho de que estos datos ya hayan sido objeto de publicación en internet y el motor no los modifique (§ 29)..

Otra de las cuestiones analizadas es si Google puede considerarse «responsable del tratamiento» [art. 2.d) DPD]. Al respecto, el AG4 y el TJUE sostienen opiniones distintas.

Según el AG, si bien un proveedor de servicios de motor de búsqueda en internet «trata» datos personales, no puede considerarse «responsable del tratamiento», salvo en los casos en que el motor de búsqueda no respete los códigos de exclusión establecidos por el administrador de la página, o bien no actualice la copia caché de la página web si el sitio web así lo solicita (§ 93 y 100). En consecuencia, el AG sostiene que, salvo en los dos supuestos mencionados, una autoridad nacional de protección de datos no puede requerir a un proveedor de servicios de motor de búsqueda que retire información de su índice (§ 99).

El tribunal llega a unas conclusiones distintas y considera que el gestor del motor, como sujeto que determina los fines y los medios de la actividad de búsqueda, debe garantizar que, al llevarse a cabo, se satisfagan las exigencias de la Directiva 95/46, de modo que se garantice una protección eficaz y completa de los interesados, en particular, de su derecho al respeto de la vida privada (§ 38).

Según el tribunal, el hecho de que el editor de la página web no haya incluido protocolos de exclusión no exime de responsabilidad a los buscadores (§ 39). Esta circunstancia no modifica el hecho de que el gestor determina los fines y los medios del tratamiento (§ 40). En definitiva, la actividad de un motor de búsqueda debe calificarse de tratamiento de datos cuando la información contiene datos personales, y el gestor de un motor de búsqueda ha de considerarse responsable de dicho tratamiento ex art. 2.d) DPD (§ 41).

A continuación, el tribunal analiza si la petición del afectado, basada en que los motores de búsqueda han de evitar la indexación de la información publicada legalmente en páginas web de terceros, puede tener cobertura en el art. 12.b) o 14.1.a) DPD.

En primer lugar, se plantea la cuestión respecto del art. 12.b) DPD, que hace referencia a los derechos de supresión y bloqueo de datos. El fundamento para el ejercicio de estos derechos se encuentra en que el tratamiento no se ajuste a las disposiciones de la DPD (AG, § 104). Sin embargo, en el presente caso, el auto de la AN reconoce que la información que aparece no puede considerarse incompleta o inexacta (conclusiones AG § 105). De todos modos, el TJUE subraya como un tratamiento en principio lícito puede devenir con el paso del tiempo incompatible con dicha directiva, concretamente cuando los datos ya no son necesarios en relación con los fines para los que se recogieron (§ 93). En consecuencia, según el TJUE, en los casos en que tras una solicitud del interesado se aprecie que el tratamiento es incompatible con el art. 6 DPD, la información y los vínculos de la lista deben eliminarse (§ 94).

En segundo lugar, se analiza si la petición del afectado puede tener cabida en el art. 14.1.a) DPD. Este precepto, que regula el derecho de oposición, puede invocarse, como mínimo, en los supuestos del art. 7 (e) y (f) DPD, y establece que el afectado puede oponerse al tratamiento, en cualquier momento y por razones legítimas propias de su situación particular. La cuestión es, pues, cómo interpretar este último requisito.

El AG señala la necesidad de ponderar los derechos en juego, y considera que «[...] la directiva no establece un derecho general al olvido, en el sentido de que un interesado esté facultado para restringir o poner fin a la difusión de datos personales que considera lesivos o contrarios a sus intereses. La finalidad del tratamiento y los intereses a los que sirve, al compararse con los del interesado, son los criterios que han de aplicarse cuando se procesan datos sin el consentimiento del interesado, y no las preferencias subjetivas de este. Una preferencia subjetiva por sí sola no equivale a una razón legítima, en el sentido del artículo 14, letra a), de la directiva (AG § 108)».

Además, el AG recuerda que el derecho de un interesado a la protección de su vida privada debe ponerse en equilibrio con otros derechos fundamentales, especialmente la libertad de expresión y de información (AG § 128 y 133).

El TJUE, que se desmarca de nuevo de la opinión vertida por el AG, recuerda que la directiva pretende garantizar un nivel elevado de protección de las libertades y derechos fundamentales de las personas físicas, sobre todo de su vida privada (§ 66).

Asimismo, el TJUE recuerda que todo tratamiento de datos personales debe ser conforme con los principios relativos a la calidad de los datos del art. 6 DPD, y de acuerdo con uno de los principios de legitimación del tratamiento ex art. 7 DPD (§ 71). En cuanto a este último punto, el tribunal considera que en el presente caso nos hallamos ante el supuesto del art. 7.f) DPD (§ 73). La aplicación de este precepto precisa de una ponderación de los derechos e intereses implicados, en cuyo marco debe tenerse en cuenta la importancia de los derechos del interesado, que resulta de los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea (§ 74). La ponderación debe tener en cuenta todas las circunstancias que rodean la situación concreta del interesado (§ 76).

El TJUE pone de relieve que el tratamiento realizado por los motores de búsqueda puede afectar significativamente a los derechos fundamentales de respeto de la vida privada y de protección de datos personales cuando la búsqueda se hace a partir del nombre de una persona física, en la medida en que permite obtener, mediante la lista de resultados, una visión estructurada de la información relativa a una persona y que sin dicho motor no se habría interconectado (o solo lo hubiera hecho muy difícilmente). De este modo, es posible llevar a cabo perfiles de los sujetos (§ 80). En consecuencia, el TJUE considera que, dada la gravedad de la injerencia, el mero interés económico del gestor del motor no la justifica (§ 81). Sin embargo, reconoce que la supresión de vínculos de la lista de resultados puede repercutir en el interés legítimo de los internautas para tener acceso a la información en cuestión y, por lo tanto, es preciso buscar un justo equilibrio entre los intereses de los internautas y los derechos fundamentales de la persona afectada ex art. 7 y 8 de la carta.

En la búsqueda de este equilibrio, los derechos fundamentales de la persona afectada pueden prevalecer, si bien ello debe ponderarse con la naturaleza de la información y el interés público en disponer de dicha información. El interés de la información puede variar en función del papel que la persona afectada desempeñe en la vida pública (STJUE § 81).

En consecuencia, la autoridad de control o el órgano jurisdiccional pueden ordenar al gestor eliminar de la lista de resultados vínculos a páginas web publicadas por terceros y que contienen información relativa a esta persona, sin que una orden, en este sentido, presuponga que la información sea eliminada previa o simultáneamente de la página web en la que se ha publicado (STJUE, § 82). El TJUE justifica esta solución porque la inclusión en la lista de resultados puede constituir una injerencia mayor en el derecho fundamental de respeto de la vida privada del interesado que la publicación de la página web por el editor (§ 87).

En consecuencia, según el tribunal, los artículos 12.b) y 14.1.a) deben interpretarse en el sentido de que «el gestor de un motor de búsqueda está obligado a eliminar de la lista de resultados obtenida tras una búsqueda efectuada a partir del nombre de una persona vínculos a páginas web, publicadas por terceros y que contienen información relativa a esta persona, también en el supuesto de que este nombre o esta información no se borren previa o simultáneamente de estas páginas web, y, en su caso, aunque la publicación en dichas páginas sea en sí misma lícita» (§ 88).

Finalmente, el TJUE resuelve la cuestión relativa a si los arts. 12.b) y 14.1.a) de la DPD amparan la pretensión del afectado cuando este considere que dicha información puede perjudicarle o simplemente desea que se olvide (§ 89). En este supuesto, ya no se trata de analizar si existe una razón legítima, sino simplemente si la mera voluntad del sujeto afectado permite obtener la retirada de la información.

Recuerda el TJUE que la apreciación de tal derecho no presupone que la inclusión de la información en cuestión en la lista de resultados cause un perjuicio al interesado (§ 96).

En la medida en que el interesado puede solicitar, ex arts. 7 y 8 de la Carta, que la información de que se trate no se ponga a disposición del público en general mediante su inclusión en la lista de resultados, es necesario considerar, ex § 81 de la presente STJUE, que «estos derechos prevalecen, en principio, no solo sobre el interés económico del gestor del motor de búsqueda, sino también sobre el interés de dicho público en encontrar la mencionada información en una búsqueda que verse sobre el nombre de esa persona. Sin embargo, tal no sería el caso si resultara, por razones concretas, como el papel desempeñado por el mencionado interesado en la vida pública, que la injerencia en sus derechos fundamentales está justificada por el interés preponderante de dicho público en tener, a raíz de esta inclusión, acceso a la información de que se trate» (TJUE, § 97).

En el caso concreto, el TJUE considera que, teniendo en cuenta el carácter sensible de la información contenida en los anuncios y que se remonta a dieciséis años atrás, el interesado tiene derecho a que esta información ya no se vincule a su nombre mediante la lista de resultados. Según el TJUE, en el caso de autos no parece que existan razones concretas que justifiquen un interés preponderante del público en tener acceso a la información en cuestión, si bien ello debe comprobarlo el órgano jurisdiccional remitente. El TJUE declara que el interesado puede, ex art. 12.b) y 14.1.a) DPD, exigir que se eliminen estos vínculos de la lista de resultados (§ 98).

III - Comentario

Existen varias cuestiones relevantes que surgen respecto de la sentencia del TJUE. La prueba de ello es la discrepancia entre dicho fallo y la opinión del AG. Este comentario se centrará en algunas de las cuestiones suscitadas.

1. - Ámbito territorial de aplicación de la normativa comunitaria

En cuanto al ámbito de aplicación territorial de la normativa comunitaria, el TJUE declara que resulta aplicable la DPD en la medida en que el tratamiento se efectúa en el marco de las actividades de la filial de Google en España, cuya finalidad es vender espacios publicitarios; el argumento definitivo es que la actividad del buscador se dirige a los habitantes de un Estado miembro de la UE. Este es uno de los pocos aspectos en que coinciden el tribunal de Luxemburgo y el AG. Al respecto, merece la pena subrayar que en caso de aprobarse la normativa que modificaría la actual directiva de protección de datos,5 se llegaría a una solución muy similar.

2. - El carácter de responsable del tratamiento de Google

Otro de los aspectos clave de este caso es la calificación de la actividad llevada a cabo por Google. Mientras que el AG considera que Google no es responsable del tratamiento, la STJUE sí lo califica como tal.

El AG señala que quienes predican la responsabilidad de Google lo hacen a partir del hecho de que el buscador es quien determina las finalidades y los medios del tratamiento de datos (§ 80). El AG, sin embargo, discrepa de esta apreciación, en la medida en que los datos en las páginas fuente están dispuestos de forma descuidada e indiscriminada, y el objeto del tratamiento llevado a cabo por el buscador constituye de forma aleatoria archivos que contienen datos personales y otros que no los contienen (§ 72 y 81).

En opinión del AG, el fundamento de la responsabilidad del responsable del tratamiento se basa en ser consciente de la existencia de una categoría determinada de información que contiene datos personales y tratarlos con una determinada intención (§ 82). En definitiva, el responsable debe poder tener una influencia sobre el tratamiento de los datos y debe ser consciente de qué tipo de datos está tratando (§ 83).

Sin embargo, el AG considera que el motor de búsqueda proporciona una herramienta de localización de información y no ejerce ningún control sobre los datos personales incluidos en páginas web de terceros (§ 84). Además, dicho motor carece de medios para modificar la información en los servidores de alojamiento (§ 86).

El AG señala que el proveedor de servicios de motor de búsqueda en internet controla el índice del motor de búsqueda que enlaza los términos clave con las direcciones URL relevantes y, además, determina cómo se estructura el índice, y puede bloquear técnicamente algunos resultados.

Asimismo, el motor de búsqueda decide si los códigos de exclusión de la página web fuente han de cumplirse o no (§ 91). Ahora bien, señala el AG que «no puede considerarse que los contenidos de la memoria oculta del motor de búsqueda en internet estén bajo el control del proveedor del servicio» (§ 92). En consecuencia, según el AG, el motor de búsqueda solo sería responsable en aquellos casos en que no se respeten los códigos de exclusión, o bien si el motor no actualizara una página web en su memoria oculta, a pesar de que el sitio en internet así lo solicitara (§ 93). La conclusión del AG, por tanto, es que no puede considerarse que el motor de búsqueda sea responsable del tratamiento, salvo en los casos expuestos (§ 100).

Sin embargo, la sentencia, como ya se ha subrayado, difiere del parecer del AG y determina que el buscador debe considerarse responsable del tratamiento. Concretamente, porque los motores de búsqueda desempeñan un papel decisivo en la difusión global de los datos al facilitar el acceso a todo internauta que lleva a cabo una búsqueda a partir del nombre del interesado. De no ser por el buscador, no se hubiera encontrado la página web en la que se publican los datos controvertidos (§ 36). Además, la organización y la agregación de la información publicada en internet efectuada por los motores de búsqueda puede conducir, cuando la búsqueda se lleva a cabo a partir del nombre de una persona física, a obtener, mediante la lista de resultados, una visión estructurada de la información relativa a la persona que permita establecer un perfil más o menos detallado del sujeto afectado (§ 37). Ello puede suponer una afectación significativa de los derechos fundamentales de respeto de la vida privada del afectado. En consecuencia, debe asegurarse que dicha actividad satisface las exigencias de la DPD (§ 38).

Por mi parte, comparto el parecer del TJUE de considerar que Google es responsable del tratamiento, puesto que los buscadores permiten una visualización, inmediatez y ubicuidad de la información que sin estos no sería posible.

En definitiva, comparto la decisión de la sentencia de considerar que el buscador es responsable porque realiza algo más que una mera localización de información. No se trata de una actividad puramente neutra.

Asimismo, vale la pena detenerse en una importante afirmación que realiza el AG, respecto de la que discrepo.

Concretamente este señala que «[a] mi juicio, el proveedor de servicios de motor de búsqueda en internet no puede ni jurídicamente ni de hecho cumplir las obligaciones del responsable del tratamiento establecidas en los artículos 6, 7 y 8 de la directiva en relación con los datos personales contenidos en páginas web fuente alojadas en servidores de terceros. Por lo tanto, una interpretación razonable de la directiva requiere que no se considere que el proveedor de servicios se encuentra con carácter general en esa posición» (§ 89). Según el AG, la opinión contraria comportaría que los motores de búsqueda por internet fueran incompatibles con el derecho de la UE (§ 90). Y pone el ejemplo del supuesto en que el motor de búsqueda se encuentre con datos sensibles, cuyo tratamiento requiere el consentimiento explícito del afectado. En este caso, la actividad del motor de búsqueda sería automáticamente ilegal (§ 90).

Efectivamente, la aplicación de las normas de protección de datos de forma estricta dejaría a los buscadores en una situación completamente ilegal. Pero considero que no es una solución adecuada negar el carácter de responsable al buscador por el hecho de que las consecuencias de esta interpretación no se consideren adecuadas o deseables.

La STJUE no hace ningún tipo de aclaración sobre cuál debe ser el régimen legal del buscador en cuanto responsable del tratamiento. Como señala Martínez Martínez, el tribunal se limita a responder las preguntas formuladas en la cuestión prejudicial, pero deja claro que el gestor de este motor, «como persona que determina los fines y los medios de esta actividad, debe garantizar, en el marco de sus responsabilidades, de sus competencias y de sus posibilidades, que dicha actividad satisface las exigencias de la Directiva 95/46» (§ 38).6

Concretamente, entre los múltiples interrogantes que surgen al plantearse la aplicación de la normativa de protección de datos a los buscadores, se constatan los siguientes: si debe o no inscribirse el tratamiento (en algunos países de la UE), el modo de satisfacer el derecho de información del afectado, el consentimiento en el supuesto de tratamiento de datos sensibles (cuestión apuntada por el AG), la aplicación de las medidas de seguridad por los buscadores y los supuestos de cesiones y transferencias de datos. Por lo tanto, efectivamente, calificar al buscador de responsable tiene muchísimas consecuencias, pero considero que ello no debe evitarse predicando que carece de la condición de responsable. En todo caso, sería más adecuado, como señala Cotino, y será analizado más adelante, establecer un marco jurídico para los motores de búsqueda.7 Negar el carácter de responsable no parece que sea la solución más acertada, especialmente teniendo en cuenta el protagonismo de los motores de búsqueda en el actual marco de la sociedad de la información.

3. - La existencia de un interés legítimo

Otro aspecto interesante de la sentencia es la referencia que se hace al interés legítimo. Una vez que se ha afirmado que hay tratamiento de datos, es preciso que exista un fundamento para dicho tratamiento. Este debe hallarse en uno de los supuestos contemplados en el art. 7 DPD. El AG y la sentencia coinciden en hallar dicho fundamento en el interés legítimo del buscador [ex art. 7.f) DPD].

El primero declara que un proveedor de servicios de motor de búsqueda en internet persigue intereses legítimos [ex art. 7.f) DPD] cuando trata datos personales en internet (§ 95). En términos parecidos se pronuncia la STJUE (§ 71, 73 y 74). Resulta muy útil que tanto el AG como la STJUE identifiquen supuestos en que se predica la existencia de este interés legítimo, en la medida en que su concurrencia en la forma en que está definida por la DPD es bastante indeterminada y exige una valoración caso por caso y una ponderación de los intereses en juego.8 Como señala Martínez

Martínez, ante la cuestión planteada por la doctrina relativa a qué debe entenderse por interés legítimo, el TJUE proporciona una respuesta muy sencilla, se trata del mero interés empresarial.9

El TJUE ya se pronunció sobre el término interés legítimo ex art. 7.f) DPD en la STJUE 24 de noviembre de 2011, en relación con la cuestión prejudicial planteada por el Tribunal Supremo español.10 En esa sentencia, el TJUE recuerda que los supuestos contemplados en el art. 7 DPD constituyen una lista exhaustiva y taxativa de los casos en que un tratamiento de datos de carácter personal puede considerarse lícito, y, por lo tanto, no pueden añadirse otros supuestos (§ 30 y 31). Además, la STJUE de 24 de noviembre de 2011 estableció que los Estados miembros no pueden añadir al art. 7 DPD nuevos principios relativos a la legitimación de los tratamientos de datos personales ni imponer exigencias adicionales que vendrían a modificar el alcance de alguno de los seis principios establecidos en el art. 7 (§ 32).

Otro aspecto que debe subrayarse de la STJUE de 13 de mayo de 2014 es que se declara que no es suficiente con hallar cobertura en alguna de las causas de legitimación que se recogen en el art. 7 DPD, sino que también debe cumplirse con el principio de calidad de los datos ex art. 6 DPD. En este aspecto, también coinciden el AG (§ 96) y la STJUE (§ 71 y 72).

Una nueva referencia al interés legítimo que resulta relevante es la que realiza la STJUE de 13 de mayo de 2014 en el § 86. Se señala que respecto de la misma información personal, el interés legítimo del editor y el del motor de búsqueda pueden no coincidir. Además de no coincidir ambos intereses legítimos, el resultado de la ponderación de los intereses en conflicto en cada caso puede conducir a resultados distintos.

Y ello porque los intereses legítimos que justifican los tratamientos en cada caso son distintos, y las consecuencias de estos tratamientos sobre el interesado y su vida privada tampoco son necesariamente las mismas (§ 86).

También resulta interesante recordar que el TJUE, en la sentencia de 2014, declara que en lo que atañe al cumplimiento del art. 7.f) DPD, cada tratamiento de datos personales debe ser legítimo en virtud de este precepto durante todo el periodo en el que se efectúa (§ 95).

Finalmente, en cuanto a las consecuencias que tiene esta declaración sobre el interés legítimo, me parecen muy acertadas las observaciones que realiza Martínez Martínez, que señala que «este posicionamiento anula por completo la regulación española sobre las fuentes accesibles al público y la posición tradicional sobre internet que afirma que no es una fuente accesible al público. Si lo es para Google, lo es para todos y cada uno de los responsables que acrediten un legítimo interés empresarial en husmear, acumular y tratar esos datos. Porque la regla no puede ser una para el buscador y distinta para el resto».11

4. - Las cuestiones relativas al derecho al olvido

El TJUE contrasta la pretensión del actor relativa a la eliminación de la lista de resultados de determinados enlaces con los arts. 12.b) y 14.1.a) DPD. Es conveniente analizar por separado estos dos supuestos, en la medida en que, en el primer caso (derecho de cancelación), el presupuesto para su ejercicio es que el tratamiento que se lleve a cabo no se ajuste a las disposiciones de la DPD, y, en el segundo caso (derecho de oposición), en cambio, se contempla el supuesto en que el afectado, por razones legítimas propias, se oponga al tratamiento.

4.1. - La pretensión en función del art 12.b) DPD (derecho de cancelación)

En cuanto a la adecuación de la pretensión del actor con el art. 12.b) DPD, considero que el AG no analiza suficientemente las consecuencias de la aplicación de dicho precepto. El AG pone de relieve que el art. 12 es aplicable en los casos en que el tratamiento no cumpla con lo previsto en la directiva, en particular debido al carácter incompleto o inexacto de los datos (§ 104). El propio AG recuerda que, en este caso, el auto de remisión reconoce que la información que aparece en las páginas web no puede considerarse incompleta o inexacta (§ 105) y, por lo tanto, no entra a analizar, a partir de este precepto, si el tratamiento de información por parte de Google puede ser contrario a la directiva. Sin embargo, el AG no tiene en cuenta que la información puede convertirse en inexacta por el transcurso del tiempo. Se trataría de un supuesto de aplicación del principio de calidad de los datos, a partir del cual no sería adecuado seguir tratando la información una vez que se hubiera alcanzado la finalidad prevista.12 Sin embargo, el AG no toma en consideración este aspecto. Por el contrario, la STJUE recuerda que todo tratamiento de datos debe cumplir con los arts. 6 y 7 DPD (§ 71); concretamente, el art. 6 exige que los datos no se conserven durante un periodo superior al necesario para el cumplimiento de los fines establecidos. En consecuencia, según la STJUE, los datos que no respondan a estos requisitos deben suprimirse o rectificarse (§ 72). Más adelante, en sus argumentos, el TJUE vuelve a recordar que la incompatibilidad del art. 12 con el art. 6 DPD puede derivarse de que los datos se conserven durante un periodo superior al necesario (§ 92). Y ello porque un tratamiento inicialmente lícito puede devenir, con el paso del tiempo, incompatible con la directiva cuando los datos ya no sean necesarios en relación con los fines para los que se recogieron o trataron (§ 93). En consecuencia, cuando se aprecie la concurrencia de esta circunstancia, los vínculos de la lista de resultados deben eliminarse (§ 94).

4.2. - La pretensión a partir del art 14.1.a) DPD (derecho de oposición)

En cuanto a la alegación del art. 14.1.a) DPD para eliminar los enlaces, el AG es contundente y señala que el parámetro que debe aplicarse cuando se procesan datos sin el consentimiento del interesado es la ponderación entre los intereses del buscador y los del afectado, y no las preferencias subjetivas de este. Por sí sola, una preferencia subjetiva no equivale a una razón legítima ex art. 14.1.a) DPD (§ 108).

En definitiva, el AG, en el balance de intereses que debe llevarse a cabo, priorizaría los de la comunidad, los de los internautas. Además, considera que los arts. 12.b) y 14.1.a) DPD no establecen un derecho al olvido (§ 111).

De nuevo, la STJUE opta por una interpretación opuesta a la del AG y parece dar a entender que la regla general es la procedencia del derecho al olvido. Considero que la argumentación del tribunal es discutible por los siguientes aspectos:

i.- Se otorga una prevalencia excesiva al derecho del afectado

El AG y la sentencia llegan a conclusiones diametralmente opuestas; el factor diferencial se halla en cómo se lleva a cabo la ponderación de los distintos derechos implicados.

El AG pone el acento en los derechos de los internautas y señala que «[el] derecho de los usuarios de internet a buscar o recibir información disponible en internet está protegido por el artículo 11 de la Carta. [...] A mi juicio, el derecho fundamental a la información merece protección particular en derecho de la Unión Europea, particularmente a la luz de la tendencia cada vez mayor de los regímenes autoritarios en todo el mundo a limitar el acceso a internet o a censurar el contenido disponible en él» (§ 121). El AG también pone de relieve que la actividad de los proveedores de servicios de motor de búsqueda en internet, en cuanto empresas, se reconoce en el art. 16 de la Carta de los Derechos Fundamentales de la Unión Europea (§ 124).13

Como indica el AG, los derechos reconocidos en la Carta pueden limitarse, si existe una justificación aceptable (§ 125).

En consecuencia, el derecho del interesado a la protección de su vida privada debe ponderarse con otros derechos fundamentales, especialmente la libertad de expresión y la libertad de información (AG, § 128). Según el AG (§ 131),

En la sociedad de la información actual, el derecho a la búsqueda de información publicada en internet mediante motores de búsqueda es una de las formas más importantes de ejercitar este derecho fundamental. Este derecho cubre, sin lugar a dudas, el derecho a buscar información relacionada con otras personas que está, en principio, protegida por el derecho a la vida privada, como la información disponible en internet sobre las actividades de un particular en su condición de empresario o político. El derecho a la información de un usuario de internet se vería comprometido si su búsqueda de información relativa a una persona física no generara resultados que ofrezcan un reflejo veraz de las páginas web relevantes, sino una versión bowdlerizada de estas

(§ 131).

El AG es muy claro respecto de la importancia de los distintos derechos implicados y declara contundentemente que

[la] pléyade particularmente compleja y difícil de derechos fundamentales que presenta el caso de autos impide que deba justificarse el refuerzo de la situación jurídica de los interesados con arreglo a la directiva, e imbuirla del derecho al olvido

(§ 133). Y concluye: «Ello entrañaría sacrificar derechos básicos, como la libertad de expresión e información» (§ 133).

En cambio, en la ponderación que lleva a cabo el TJUE, la balanza se inclina decididamente hacia la tutela del sujeto que desea que sus datos sean cancelados o, cuando menos, ocultados. Efectivamente, el tribunal declara que: «Vista la gravedad potencial de esta injerencia, es obligado declarar que el mero interés económico del gestor de tal motor en este tratamiento no la justifica. Sin embargo, en la medida en que la supresión de vínculos de la lista de resultados podría, en función de la información de que se trate, tener repercusiones en el interés legítimo de los internautas potencialmente interesados en tener acceso a la información en cuestión, es preciso buscar, en situaciones como las del litigio principal, un justo equilibrio, en particular entre este interés y los derechos fundamentales de la persona afectada con arreglo a los artículos 7 y 8 de la carta. Aunque, ciertamente, los derechos de esa persona protegidos por dichos artículos prevalecen igualmente, con carácter general, sobre el mencionado interés de los internautas, no obstante este equilibrio puede depender, en supuestos específicos, de la naturaleza de la información de que se trate y del carácter sensible para la vida privada de la persona afectada y del interés del público en disponer de esta información, que puede variar, en particular, en función del papel que esta persona desempeñe en la vida pública» (§ 81).

En definitiva, en primer lugar, se califica como mero interés económico el interés del motor de búsqueda y, en el caso discutido, se considera que el interés de dicho motor no puede prevalecer sobre el del afectado, dada la gravedad de la injerencia que se produce. Sin embargo, el TJUE reconoce que es preciso analizar la repercusión que la eliminación del vínculo puede tener en el interés legítimo de los internautas potencialmente interesados en tener acceso a la información en cuestión. Por ello es necesario buscar un justo equilibrio entre el interés de los internautas y los derechos fundamentales de la persona afectada.14 No obstante, el TJUE realiza de entrada una declaración que parece difícil de contrarrestar: «los derechos de esa persona protegidos por dichos artículos prevalecen igualmente, con carácter general, sobre el mencionado interés de los internautas» (§ 81). Finalmente, sin embargo, el TJUE da un paso atrás y afirma que, en supuestos específicos, dada la naturaleza de la información y del carácter sensible para la vida privada de la persona afectada y del interés del público en disponer de esta información, el equilibrio puede variar, especialmente en función del papel que la persona afectada por la información desempeñe en la vida pública (§ 81).

El tribunal lo reitera de nuevo al analizar si debe prevalecer el derecho al olvido del afectado también en aquellos casos en que la información sea verídica y cuando la pretensión del afectado se base exclusivamente en que la información puede perjudicarle, o bien, simplemente, que desee que los datos se olviden pasado un determinado tiempo.15

El TJUE, con base en los argumentos de esta misma sentencia expuestos en el § 81, reitera que los derechos del afectado prevalecen, en principio, no solo sobre el interés económico del gestor del motor de búsqueda, sino también sobre el interés de dicho público en encontrar la mencionada información en una búsqueda que verse sobre el nombre de un sujeto. Sin embargo, tal no será el caso si resulta, por razones concretas, como el papel desempeñado por el interesado en la vida pública, que la injerencia en sus derechos fundamentales está justificada por el interés preponderante de dicho público en tener, a raíz de esta inclusión, acceso a la información de que se trate (§ 97).

Aplicando estos criterios, en la medida en que en el caso analizado la información tiene carácter sensible respecto de la vida privada del sujeto, que se remonta a dieciséis años atrás, y que no parece que existan razones concretas que justifiquen un interés preponderante del público en tener acceso a la información, el interesado puede, ex art. 12.b) y 14.1.a) DPD, exigir que se eliminen estos vínculos de la lista de resultados (§ 98).

En la respuesta que proporciona el TJUE, este parece dar a entender que más que el derecho de acceso general a la información se está contemplando el derecho del usuario de internet a acceder a información buscando con el nombre y apellidos de una persona. Según el TJUE, en este caso no se trataría de un interés legítimo suficiente que pudiera prevalecer sobre el derecho a la protección de datos y vida privada del afectado. Pero la consecuencia de esta argumentación es que se minusvalora el derecho al acceso a la información, y ello, sin duda alguna, es una limitación preocupante.16

Antes de que el AG emitiera su opinión, De Miguel Asensio ya señalaba, respecto de los casos de inclusión entre los resultados del buscador de enlaces a información con datos personales publicados lícitamente por terceros, la necesidad de asegurar un justo equilibrio entre la tutela del derecho fundamental a la protección de datos y otros derechos fundamentales como el derecho a la libertad de expresión y de información.17 Por su parte, Rallo Lombarte, en referencia a la sentencia del TJUE, si bien no afirma que la atribución de la preponderancia de los derechos consagrados en los artículos 7 y 8 de la Carta sea desmesurada, sí pone de relieve que con la STJUE queda superada la pretensión de los buscadores de avalar su actividad en el ejercicio del derecho fundamental a la información, de atribuirse para sí la consideración de medio de comunicación o de pretender su impunidad en su supuesta neutralidad en la red.18 ii.- Atribución a los buscadores de una responsabilidad que probablemente no les corresponda

El TJUE afirma que el afectado puede solicitar del motor de búsqueda que se eliminen de la lista de resultados vínculos que lleven a páginas web publicadas por terceros, sin necesidad de que la información sea eliminada con carácter previo o simultáneamente de la página web en que ha sido publicada (§ 82 y 88).

Esta afirmación parece basarse en distintos argumentos.

En primer lugar, el hecho de que el tratamiento de datos personales realizado por el motor de búsqueda se distingue del que realiza el editor de la información y afecta de modo adicional a los derechos fundamentales del interesado (§ 83). En segundo lugar, no podría llevarse a cabo una protección eficaz y completa de los interesados si estos debieran obtener, de dichos editores, con carácter previo o en paralelo, la eliminación de la información que les afecta (§ 84). Y, finalmente, porque los editores, ante la pretensión de los afectados, pueden estar protegidos por el art. 9 DPD que dispone el establecimiento de exenciones y excepciones para el tratamiento de datos personales con fines exclusivamente periodísticos o de expresión artística o literaria, en la medida en que sean necesarias para conciliar el derecho a la intimidad con las normas que rigen la libertad de expresión (§ 85).

Sin embargo, considero que, cuando menos, debería hacerse una distribución de las responsabilidades entre los distintos sujetos implicados, tanto los editores de la información como los buscadores. Porque ¿quién mejor que el editor puede controlar la información que va a publicar? Los editores están en mejores condiciones para garantizar el cumplimiento del principio de calidad de los datos, de modo que la información que no cumpla con dicho principio (por ejemplo, porque se ha conservado más allá del tiempo necesario para el tratamiento) sea cancelada.

En este sentido, de nuevo, la doctrina ya se había manifestado antes de que el AG se pronunciara. Por un lado,

De Miguel Asensio indicó que era de gran importancia la eventual aplicación, por parte de los responsables de los sitios de internet que difundían información original, de restricciones que excluyeran de la indexación por los buscadores contenidos con datos personales.19

En sentido parecido se manifestó Martínez Martínez, que señaló que alguien más, aparte de Google, debería contribuir a garantizar el derecho al olvido y señalaba la conveniencia de acudir al origen de la información. Asimismo, este autor subrayaba la necesidad de tener en cuenta otros artífices de la información, tanto al redactar documentos administrativos como al ordenar su publicación en los diarios oficiales.

Entre otras medidas, hacía referencia a la anonimización de la información, al establecimiento de etiquetas que bloquearan a los buscadores y al establecimiento de un buen sistema de relación con los afectados para poder actualizar adecuadamente la información o bien retirarla. Al final, también ponía de relieve la necesidad de un cambio normativo que impusiera obligaciones específicas a los gestores de determinadas fuentes de información,20 como, por otro lado, ya había propuesto alguna de las autoridades de protección de datos.21

Posteriormente, se ha posicionado en una línea parecida Cotino, quien señala que se atribuye a Google el deber de llevar a cabo una ponderación extremadamente peligrosa para decidir si debe desindexar determinado contenido.

Comenta este autor que la STJUE de 13 de mayo 2014 no proporciona al buscador ningún criterio para determinar cómo debe proceder. La STJUE solo establece dos criterios: que el puro interés económico del buscador no es suficiente y que el interés de otros sujetos en acceder a la información que facilita el buscador en función del nombre de un sujeto tampoco es suficiente, salvo que se trate de información con relevancia pública o se trate de un sujeto público.22

Señala Cotino que una solución, para no dejar en manos de un sujeto privado una decisión de tal calado, sería establecer elementos de ponderación para Google. Estas pautas de actuación podrían marcarlas autoridades de protección de datos, como ya sucedió con la aplicación de la normativa sobre cookies.23 Sin embargo, este autor subraya la necesidad de que el legislador actúe para regular la actividad de los buscadores y proporcionar garantías adecuadas a los internautas, y también para dar una respuesta adecuada a quienes han sido desindexados, por la pérdida de visibilidad que ello comporta.24 iii.- La decisión del TJUE se desmarca totalmente de la recomendación del AG de no optar por una solución del caso concreto

Efectivamente, el AG declaró que «[...] desaconsejaría al Tribunal de Justicia que declarara que estos intereses en conflicto pueden equilibrarse de modo satisfactorio en cada situación concreta sobre una base casuística, dejando la decisión en manos del proveedor de servicios de motor de búsqueda en internet. Es posible que tales "procedimientos de detección y retirada", si los exige el Tribunal de Justicia, conduzcan a una retirada automática de enlaces a todo contenido controvertido o a un número de solicitudes inmanejable formuladas por los proveedores de servicios de motor de búsqueda en internet más populares y más importantes» (§ 133). Reitera, además, que, frente a los motores de búsqueda, no puede invocarse ningún derecho generalizado al olvido sobre la base de la directiva, aun cuando se interprete de acuerdo con la carta (§ 136).

Sin embargo, el fallo de la STJUE de 13 de mayo de 2014 precisamente comportará que el buscador deba llevar a cabo un análisis, caso por caso, de los derechos controvertidos y determinar si procede o no la pretensión del afectado.

Recuérdese que el TJUE dispone que para determinar si prevalece o no la pretensión de quien alega el derecho al olvido se deberá ponderar si la injerencia en los derechos fundamentales del interesado está justificada en función del interés preponderante del público en tener acceso a la información (§ 97). Ello, además de los elementos negativos subrayados, tiene el inconveniente de que si el afectado ejercita una misma pretensión frente a distintos buscadores (recuérdese que no se ataca el punto donde se ha originado la información), la ponderación llevada a cabo por los motores de búsqueda y su decisión final (eliminar o no el vínculo) puedan ser distintas.

5. - La solución que proporciona la propuesta de Reglamento de Protección de Datos

Llegados a este punto, conviene analizar brevemente qué solución proporcionaría, a las principales cuestiones suscitadas, el nuevo marco legal, que se está discutiendo a nivel comunitario, relativo a la protección de datos. El 25 de enero de 2012, la Comisión Europea propuso una reforma general de las normas de protección de datos de la UE integrada por una comunicación, una propuesta de reglamento y una propuesta de directiva25 La propuesta de reglamento (PRGPD),26 en caso de ser aprobada, sustituirá la actual directiva 95/46 y, por lo tanto, se convertirá en el texto general de protección de datos directamente aplicable a todos los Estados miembros.

En primer lugar, en cuanto al ámbito territorial de aplicación de la normativa comunitaria, ya ha sido puesto de relieve que la solución que proporciona la PRGPD es muy similar a la que proporciona la STJUE y que, además, coincide con las conclusiones del AG.

Efectivamente, el art. 3.2 de dicha propuesta establece que la normativa comunitaria es aplicable a responsables o encargados de tratamientos no establecidos en la Unión cuando las actividades de tratamiento estén relacionadas con la oferta de bienes o servicios a interesados en la Unión con el control de dichos interesados.27

En cuanto a la definición de tratamiento de datos, la novedad que cabe destacar de la PRGPD es que en el art. 4.3, al definir tratamiento, se introduce el término estructuración, se elimina de la definición contenida en la DPD el término elaboración y se incorpora, en cambio, el término adaptación, operaciones todas ellas referidas a datos personales.28

En cuanto al carácter de responsable del tratamiento de un buscador, la definición que proporciona la PRGPD es muy similar a la de la DPD. Se trata de una definición muy general, que de nuevo pone el acento en el hecho de que se trate de la persona que determine los fines y medios del tratamiento de datos personales (art. 4.5 PRGPD).29

En definitiva, en función de las definiciones que proporciona la PRGPD, puede afirmarse que queda fuera de toda duda que un buscador efectivamente trata datos personales, en la medida en que los estructura al proporcionar los resultados de la búsqueda.

En cambio, respecto al carácter de responsable del tratamiento, en la medida en que la definición que proporciona la PRGPD se mantiene prácticamente igual a la de la DPD, ello podría constituir un argumento para defender que un buscador no es responsable del tratamiento en la medida en que desconoce si los datos tratados son personales o no, y no puede actuar directamente respecto de ellos. Sin embargo, considero que este razonamiento puede quedar bastante debilitado por el hecho de que dentro de las definiciones de tratamiento se incluye expresamente la estructuración, lo que sin duda entra dentro de las funciones propias de un buscador.

Sin duda alguna, el aspecto más controvertido lo constituye el relativo al ejercicio del derecho al olvido.

El art. 17 de la PRGPD presentada por la Comisión en enero de 2012 regulaba el derecho al olvido. Al respecto, debe subrayarse que entre la redacción de la propuesta inicial de enero de 2012 y la aprobada por el Parlamento europeo en marzo de 201430 existen cambios importantes al respecto.

En primer lugar, la versión originaria no solo regulaba dicho derecho, sino que, además, el art. 17 PRGPD llevaba por rúbrica Derecho al olvido y a la supresión. En cambio, la propuesta de marzo de 2014, si bien ha recogido y ha ampliado el supuesto de ejercicio de este derecho, ha eliminado de dicha rúbrica el término «olvido».

En cuanto al contenido, una de las diferencias más importantes entre el texto de la Comisión y el del Parlamento es el sujeto destinatario de la pretensión. El texto de la

Comisión se dirigía al editor de la información, que, a su vez, debía contactar con los terceros que habían tratado la información y comunicarles que el afectado no deseaba que se continuara con el tratamiento de los datos. De alguna forma, la postura sostenida por Google (dirigirse frente al editor de la información) era similar al texto de la Comisión.31

Por el contrario, la propuesta del Parlamento es distinta e incluye dentro de los destinatarios de la pretensión al «tercero», en referencia a quien posteriormente trata los datos; en consecuencia, esta referencia también puede incluir a un buscador como Google. Concretamente, la redacción aprobada por el Parlamento dispone que el interesado tendrá derecho a que los terceros supriman todos los enlaces a los datos personales, copias o reproducciones de estos, cuando concurran determinadas circunstancias.32

Entre los supuestos en que es posible ejercitar el derecho a la supresión (recuérdese que la nueva versión elimina la referencia al olvido) se halla aquel en que el afectado ejercite su derecho de oposición [art. 17.1.c)].

El derecho de oposición, regulado en el art. 19 PRGPD, contempla como supuesto específico aquel en que el tratamiento de datos tenga como fundamento el interés legítimo del responsable del tratamiento (art. 19.2 PRGPD). En este caso, la regulación del derecho de oposición es más amplia que el supuesto contemplado en el art. 14.1.a) DPD. Este último establece que el interesado tiene derecho a oponerse en casos de tratamientos basados en el interés legítimo del responsable, en cualquier momento y por razones legítimas propias de la situación particular del afectado. En cambio, el art. 19. 2 PRGPD hace referencia expresa a que el afectado puede ejercitar dicho derecho en cualquier momento, sin necesidad de justificación. En definitiva, si el texto de la DPD exige la concurrencia de razones legítimas, el texto de la propuesta, en cambio, contempla su ejercicio sin necesidad de justificarlo.33

En vista de la redacción de la PRGPD (versión de marzo de 2014), cabe preguntarse cómo habría fallado el TJUE respecto al ejercicio del derecho al olvido (en realidad, derecho a la supresión). Al respecto, debe tenerse en cuenta una serie de aspectos de dicha versión de la propuesta.

En primer lugar, se reconoce la posibilidad del afectado de dirigirse contra el tercero y solicitarle que suprima todos los enlaces.

En segundo lugar, el presupuesto para el ejercicio de dicho derecho es similar a la actual regulación contenida en la DPD: que los datos no sean necesarios; que expire el plazo; que el interesado ejercite el derecho de oposición; que los datos se traten ilícitamente, o bien que el interesado revoque su consentimiento (esta última posibilidad expresamente prevista en la PRGPD).34

En cuanto al ejercicio del derecho de oposición, se contempla de forma muy amplia, incluido lo que podría calificarse como mera apetencia del afectado, aspecto que el AG rechaza de forma expresa.35

En todo caso, el responsable del tratamiento, el sujeto contra quien se ejercita el derecho al olvido, también debería llevar a cabo una ponderación entre los derechos afectados. El art. 17.3 PRGPD establece que «El responsable del tratamiento y, en su caso, el tercero procederán a la supresión sin demora, salvo en la medida en que la conservación de los datos personales sea necesaria». Se prevé que deban conservarse los datos si estos son necesarios para el ejercicio de la libertad de expresión; por motivos de interés público relacionados con la salud pública; con fines históricos, estadísticos o científicos, o en cumplimiento de una obligación legal de conservación.36

El art. 17.3 PRGPD parece atribuir esta operación de ponderar al destinatario de la obligación de suprimir los datos.

Al menos no dispone que deba obedecer exclusivamente al mandato de una autoridad judicial o de protección de datos. Asimismo, este precepto no menciona que el afectado deba dirigirse necesariamente, en primer lugar, contra el responsable del tratamiento (editor de los datos), ni que deba dirigirse a la vez contra el responsable y el tercero (editor y buscador). En consecuencia, el afectado podrá dirigirse exclusivamente contra el buscador.

En definitiva, teniendo en cuenta la redacción de los preceptos analizados, cabe afirmar que, de acuerdo con la

PRGPD, el fallo habría sido sustancialmente igual, si bien es necesaria una importante precisión: el TJUE menciona expresamente el derecho de información, como límite al ejercicio del derecho al olvido, aspecto que no se contempla en el art. 17.3 PRGPD, lo que resulta muy criticable.

IV - Conclusiones

Como ya ha sido apuntado, de aprobarse la PRGPD, la solución a la que llega la STJUE acabaría generalizándose, en la medida en que la redacción actual de la PRGPD ofrece una solución muy similar a la sostenida en el fallo del caso Costeja.

En consecuencia, la posibilidad de acudir directamente al buscador (en cuanto responsable del tratamiento) comporta que se abra un nuevo escenario respecto al ejercicio de los derechos del afectado y que un buscador deba llevar a cabo una ponderación en los términos marcados por la sentencia del TJUE.

Al respecto, y dado que se atribuye al buscador una responsabilidad importante, considero que es preciso que se establezcan criterios y parámetros, ya sea por las autoridades de protección de datos,37 ya sea por el propio legislador, para que el buscador tenga una referencia externa. Estas pautas de actuación son también indispensables para garantizar que, bajo la alegación de la protección de datos, y en algunos casos ante el temor de posibles sanciones, el acceso a la información en internet no quede lastrado.

Sin embargo, considero que también es imprescindible poner el acento en quien trata y edita la información por primera vez. Una de las principales críticas que cabe hacerle al fallo del Tribunal de Luxemburgo es que se olvida de la otra parte, de la fuente de la información. Recuérdese que, al admitir la pretensión del afectado, se está eliminando un enlace, pero no la información misma.

Por tal motivo considero necesario que se prosiga en la dirección emprendida por parte de algunas autoridades de protección de datos para establecer unas pautas y líneas de actuación a cargo de quien trata en primer lugar la información, como es el caso de diarios oficiales, periódicos en línea, o bien la propia administración pública (especialmente, la sede electrónica). La actuación de estos sujetos debe de estar presidida por el respeto a los principios de protección de datos, singularmente los principios de calidad y de finalidad. Al respecto resulta muy interesante el art. 17.8.bis PRGPD que establece que: «[el] responsable del tratamiento implementará mecanismos para garantizar que se respetan los plazos fijados para la supresión de los datos personales, así como para el examen periódico de la necesidad de conservar los datos». Esta medida, si bien puede ser también difícil de implementar, creo que puede ofrecer ciertas garantías de que la información se trate debidamente y, por lo tanto, en muchos casos quizá ya no sería preciso ejercitar el denominado derecho al olvido.

En definitiva, sería más razonable y operativo repartir las responsabilidades entre los distintos actores implicados.

Bibliografía

COTINO, L. (2014) «Audio sobre el olvido de la libertad de recibir información en la sentencia TJUE que reconoce el derecho al olvido» [en línea].

DE MIGUEL ASENSIO, P. (2012). «La cuestión prejudicial de la Audiencia Nacional sobre Google y la evolución de la legislación sobre protección de datos» [en línea]. .

MARTÍNEZ MARTÍNEZ, R. (2013). «¿Quién debería olvidarnos en Internet?». Actualidad jurídica Aranzadi nº 857, p. 11

MARTÍNEZ MARTÍNEZ, R. (2014). «Olvidar es un fenómeno muy complejo» [en línea].

PARRA, S. (2014). «Esto es lo que obligan a borrar a Google en virtud del Derecho al Olvido» [en línea]

RALLO LOMBARTE, A. (2014). «La garantía del "derecho al olvido" en internet». Actualidad Jurídica Aranzadi, nº 886.

Cita recomendada

VILASAU, Mònica (2014). «El caso Google Spain: la afirmación del buscador como responsable del tratamiento y el reconocimiento del derecho al olvido (análisis de la STJUE de 13 de mayo de 2014)».

IDP. Revista de Internet, Derecho y Política. Número. 18, pág. 16-32. UOC. [Fecha de consulta: dd/mm/aa].

[1] STJUE (Gran Sala), de 13 de mayo de 2014, Google Spain, S. L., Google Inc. y Agencia Española de Protección de Datos (AEPD), Mario Costeja González (C-131/12).

[2] Auto de la Audiencia Nacional, Sala de lo Contencioso-Administrativo, Sección 1ª, de 27 febrero 2012. (Roj: AAN 19/2012. Id Cendoj: 28079230012012200001).

[3] Vid. resolución de la AEPD, de 30 de julio de 2010, n.º R/01680/2010, Procedimiento n.º TD/00650/2010

[4] Las conclusiones del abogado general (señor Niilo Jääskinen), en el asunto C-131/12, presentadas el 25 de junio de 2013, pueden hallarse en:

[5] Véase § 5 del presente trabajo donde se hace referencia a la propuesta del nuevo reglamento.

[6] R. Martínez Martínez (2014).

[7] L. Cotino (2014).

[8] En este caso (ya se profundizará en ello más adelante), pese a predicarse la existencia del interés legítimo del buscador (de mero interés económico lo califica el tribunal, § 81), el TJUE declara que dicho interés legítimo no puede prevalecer sobre el interés del afectado cuyos datos se tratan (§ 81).

[9] R. Martínez Martínez (2014).

[10] Se trata del caso ASNEF, asuntos acumulados C-468/10 y C-469/10. El TS planteó cuestión ante el Tribunal de Luxemburgo como consecuencia de los recursos contencioso-administrativos que se plantearon contra el reglamento que desarrolló la LOPD. Si bien el TS en las sentencias que dictó el 15 de julio de 2010 anuló algunos preceptos de dicho reglamento, respecto de otros preceptos planteó cuestión ante el TJUE en relación con la interpretación del art. 7 DPD.

[11] R. Martínez Martínez (2014).

[12] Ello sería una exigencia del art. 6 1.e) de la Directiva que establece que los Estados miembros dispondrán que los datos personales sean "conservados en una forma que permita la identificación de los interesados durante un período no superior al necesario para los fines para los que fueron recogidos o para los que se traten ulteriormente. [...]

[13] Véase el texto de dicha Carta en:

[14] Estos últimos estarían tutelados por los artículos 7 y 8 de la Carta. Sin embargo, a la hora de llevar a cabo la ponderación, no se mencionan los artículos 11 y 16 de la Carta, como, por otro lado, sí hizo el AG.

[15] Véase como el TJUE recoge el planteamiento de la tercera cuestión en el § 89.

[16] Véase L. Cotino (2014).

[17] Véase P. de Miguel Asensio (2012). Entre la información que puede hallarse en diarios oficiales y que haga referencia a sujetos concretos puede mencionarse la publicación de nombramientos, sanciones, subvenciones o indultos.

[18] Véase. A. Rallo Lombarte (2014).

[19] El autor hacía este comentario en relación con los boletines oficiales y su posible indexación por los buscadores. (P. de Miguel Asensio, 2012).

[20] R. Martínez Martínez (2013, pág. 11).

[21] Véase: Recomanació 1/2008 sobre la difusió d’informació que contingui dades de caràcter personal a través d’Internet. Puede hallarse dicha Recomendación en la página web de la Autoritat Catalana de Protecció de Dades; concretamente en: Documentació/ Normativa/Disposicions adoptades per l’Autoritat/ Recomanacions: (http://www.apd.cat/ca/contingut.php?cont_id=137&cat_id=128).

[22] Véase L. Cotino (2014).

[23] En este sentido, resulta relevante señalar que el grupo del art. 29 convocó una reunión con los motores de búsqueda prevista para el 24 de julio de 2014, para establecer pautas de actuación para el ejercicio de ponderación que deberán llevar a cabo como consecuencia de la sentencia del caso Google vs Costeja. Según señala el comunicado de prensa, dicho grupo tiene previsto publicar, en otoño de 2014, un documento con indicaciones relativas al ejercicio del derecho al olvido. Vid el comunicado de prensa publicado por el grupo del art. 29:

[24] Véase L. Cotino (2014).

[25] Véase al respecto: http://ec.europa.eu/justice/newsroom/data-protection/news/120125_en.htm.

[26] Propuesta de Reglamento del Parlamento Europeo y del Consejo relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento general de protección de datos), COM (2012) 11 final, Bruselas, 25.1.2012. http://ec.europa.eu/justice/data-protection/document/review2012/com_2012_11_es.pdf

[27] Véase la redacción del art. 3 PRGPD, tras la votación del texto aprobado por el Parlamento, el 12 de marzo de 2014: Art. 3.2.- El presente reglamento se aplica al tratamiento de datos personales de interesados en la Unión por parte de un responsable o un encargado del tratamiento no establecido en la Unión, cuando las actividades de tratamiento estén relacionadas con: a) la oferta de bienes o servicios a dichos interesados en la Unión, independientemente de si se requiere o no un pago por parte del interesado; o b) el control de dichos interesados. (Se trata de la enmienda 97, los fragmentos en cursiva son las modificaciones introducidas respecto de la versión original).

[28] Véase art. 4.3 PRGPD y compárese con el art. 2.b) DPD

[29] Compárese el art. 2.d DPD con el art. 4.5 PRGPD y podrá constatarse que se recurre al mismo criterio para determinar quién es el responsable del tratamiento.

[30] En el Parlamento se produjeron numerosísimas enmiendas a dicha propuesta. Se logró un consenso en la comisión LIBE y el pleno votó el texto del reglamento (12 de marzo de 2014). El texto aprobado por el Parlamento se halla actualmente pendiente de negociación con el Consejo.

[31] De hecho, refiriéndose a la versión inicial del art. 17 PRGPD, el AG señalaba que «[este] texto parece considerar a los proveedores de servicios de motor de búsqueda en internet terceros, más que responsables del tratamiento por derecho propio» (§ 110).

[32] Véase la redacción aprobada por el Parlamento en marzo de 2014: art. 17.1 PRGPD. «El interesado tendrá derecho a que el responsable del tratamiento suprima los datos personales que le conciernen y se abstenga de darles más difusión y, en relación con terceros, a que estos supriman todos los enlaces a los datos personales, copias o reproducciones de estos, cuando concurra alguna de las circunstancias siguientes». Las partes que aparecen en cursiva son las modificaciones introducidas en la propuesta del Parlamento.

[33] Art. 19.2. PRGPD "Cuando el tratamiento de datos personales se base en el artículo 6, apartado 1, letra f), el interesado tendrá derecho a oponerse al tratamiento de sus datos personales, de modo general o para un fin específico, y ello en cualquier momento, sin necesidad de justificación y sin que le suponga gasto alguno". (Se trata de la versión adoptada por el Parlamento. El texto que está en cursiva son las modificaciones respecto la versión original). El art. 6.1.f) PRGPD contempla, como supuesto que habilita el tratamiento de datos personales, la satisfacción del interés legítimo perseguido por el responsable del tratamiento. En definitiva, frente a este interés legítimo del responsable, prevalecería la mera voluntad del afectado de no querer que sus datos fueran tratados (sin tener que aportar ningún tipo de justificación).

[34] Véanse los artículos 6, 12.b) y 14.1.a) DPD y el art. 17.1. (a) a (d) PRGPD.

[35] Recuérdese que el AG señalaba que "Una preferencia subjetiva por sí sola no equivale a una razón legítima ex art. 14.a) DPD" (§ 108).

[36] Véase art. 17.3. PRGPD epígrafes (a) a (e). La parte que está en cursiva es la incluida por el Parlamento en la redacción original.

[37] S. Parra (2014), en un excelente post sobre la STJUE de 13 de mayo de 2014, rompe una lanza a favor de la AEPD y señala que ante las peticiones que le llegaron referentes al derecho al olvido (89 de las 2100 resoluciones dictadas relativas a tutelas de derechos por la AEPD en 2013), dicha agencia evaluó todos los elementos en juego, y realmente tomó en consideración los principios de libertad de información y la relevancia del sujeto afectado por la información. De hecho, solo un tercio de las peticiones planteadas terminaron en una resolución que obligaba a Google a eliminar resultados. Dicho autor analiza las resoluciones y señala que la AEPD ha realizado una labor positiva ante el ejercicio de estas reclamaciones. En definitiva, Parra llega a la conclusión de que el derecho al olvido se fue construyendo con cierta lógica y coherencia por parte de la AEPD.

VLEX utiliza cookies de inicio de sesión para aportarte una mejor experiencia de navegación. Si haces click en 'Aceptar' o continúas navegando por esta web consideramos que aceptas nuestra política de cookies. ACEPTAR