Global Freedom of Expression | Google Spain SL contra la Agencia Española de Protección de Datos – Global Freedom of Expression

Resumen y resultado del caso

En marzo de 2010, el ciudadano español Costeja González presentó una denuncia ante la Agencia de Protección de Datos del país contra el periódico La Vanguardia, Google Spain y Google Inc. González quería que el periódico eliminara o modificara el registro de sus procedimientos de embargo y retención de 1998 para que la información dejara de estar disponible en los motores de búsqueda de Internet. También solicitó a Google Inc. o a su filial, Google Spain, que eliminara u ocultara los datos. González argumentó que los procedimientos estaban totalmente resueltos desde hacía varios años y que, por lo tanto, no debían seguir apareciendo en línea. La Agencia desestimó la denuncia contra el periódico por considerar que la publicación estaba legalmente justificada en virtud de una orden gubernamental. Sin embargo, estimó la denuncia contra Google, al considerar que los motores de búsqueda de Internet también están sujetos a las leyes de protección de datos y deben adoptar las medidas necesarias para proteger la información personal.

En apelación, la Audiencia Nacional de España suspendió el procedimiento y planteó una serie de cuestiones al Tribunal de Justicia de las Comunidades Europeas sobre la aplicabilidad de la Directiva 95/46 de la UE (protección de datos personales) a los motores de búsqueda de Internet. El Tribunal dictaminó que un motor de búsqueda se considera un «controlador» con respecto al «tratamiento» de datos personales a través de su acto de localizar, indexar, almacenar y difundir dicha información. Además, sostuvo que para garantizar el derecho a la intimidad y la protección de los datos personales, se puede exigir a los operadores de motores de búsqueda que eliminen la información personal publicada por sitios web de terceros. Pero el derecho del interesado a formular esa petición debe sopesarse con el interés del público en general en acceder a su información personal.

Hechos

En 1998, el diario La Vanguardia de España publicó dos artículos relativos a una acción de embargo y secuestro contra Costeja González. En 2009, éste se puso en contacto con el periódico, afirmando que al introducir su nombre en Google.com, seguía habiendo una referencia a las páginas del periódico relativas a la acción judicial. González argumentó que la información debía ser eliminada porque el procedimiento había concluido años antes y que no había ninguna reclamación pendiente contra él. Sin embargo, el periódico denegó su petición, alegando que la acción judicial se publicó en cumplimiento de una orden del Ministerio de Trabajo y Asuntos Sociales de España. Luego, en 2010, se puso en contacto con Google España, argumentando que los resultados de búsqueda en línea de su nombre no debían hacer referencia a la publicación de su proceso judicial por parte del periódico.

Al no cumplir Google, González presentó una denuncia ante la Agencia Española de Protección de Datos contra el periódico, Google España y Google Inc. La Agencia desestimó la acción contra el periódico, argumentando que la publicación se hizo en cumplimiento de una orden gubernamental. Pero estimó la denuncia contra Google y su filial, Google Spain. Sostuvo que, dado que los operadores de los motores de búsqueda de Internet procesan datos personales, están sujetos a la legislación pertinente en materia de privacidad y pueden tener la obligación de eliminar información que comprometa el derecho fundamental a la privacidad.

Por consiguiente, Google Inc. y Google Spain interpusieron recursos por separado contra la decisión. La Audiencia Nacional de España decidió suspender el procedimiento como la evaluación de la obligación de Google de proteger los datos personales que se publican en sitios web de terceros.

Resumen de la decisión

La Audiencia Nacional de España planteó al Tribunal de Justicia de las Comunidades Europeas las siguientes cuestiones prejudiciales:

(1) Si la Directiva 95/46 de la UE, tal y como ha sido transpuesta a través de la legislación nacional de un Estado miembro, puede aplicarse a una empresa extranjera de motores de búsqueda en Internet que tiene una sucursal o filial con la intención de promocionar y vender espacios publicitarios dirigidos a los habitantes de ese Estado miembro.

(2) Si el acto de los motores de búsqueda en Internet de localizar información publicada por terceros, y posteriormente indexar y poner la información a disposición de los usuarios de Internet puede considerarse un «tratamiento de datos personales» en el sentido de la Directiva.

(3) Si el operador de un motor de búsqueda debe ser considerado como un «responsable del tratamiento» con respecto al tratamiento de datos personales en virtud del artículo 2, letra d), de la Directiva.

(4) Si, sobre la base de motivos legítimos para proteger el derecho a la intimidad y otros derechos fundamentales previstos por la Directiva, los operadores de motores de búsqueda de Internet están obligados a eliminar o borrar la información personal publicada por sitios web de terceros, incluso cuando la difusión inicial de dicha información era lícita.

El artículo 1 de la Directiva 95/46 obliga a los Estados de la UE a proteger «los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la intimidad en lo que respecta al tratamiento de datos personales». Al mismo tiempo, prohíbe las restricciones a la libre circulación de datos personales entre los miembros de la UE.

La Directiva define los datos personales como «toda información sobre una persona física identificada o identificable («interesado»); se entiende por persona identificable aquélla cuya identidad puede determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos de su identidad física, fisiológica, psíquica, económica, cultural o social.» El acto de tratamiento de dicha información incluye «cualquier operación o conjunto de operaciones, efectuadas o no mediante procedimientos automatizados, como la recogida, registro, organización, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación, cotejo o interconexión, así como el bloqueo, la supresión o la destrucción». En virtud del artículo 2, letra d), se considera «responsable del tratamiento» de datos personales a toda «persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, solo o conjuntamente con otros, determine los fines y los medios del tratamiento de datos personales»

El Tribunal de Justicia de las Comunidades Europeas discutió en primer lugar si la actividad de un motor de búsqueda en Internet puede calificarse de «tratamiento» de datos personales en el sentido del artículo 2, letra c), de la Directiva. Y en caso de respuesta afirmativa, si el operador de un motor de búsqueda puede considerarse un responsable del tratamiento de datos personales. El Tribunal consideró indiscutible que algunas o muchas de las informaciones indexadas y almacenadas por los motores de búsqueda están relacionadas con «personas físicas identificables y, por tanto, con «datos personales» en el sentido del artículo 2, letra a), de .» Y que, a través de su búsqueda constante y sistemática de información en línea, el operador de un motor de búsqueda suele recoger esos datos personales, que posteriormente son indexados, almacenados y puestos a disposición de los usuarios de Internet. En consecuencia, el Tribunal concluyó que el acto de Google de recopilar, indexar, almacenar y divulgar datos personales se considera «tratamiento» de dicha información a efectos de la Directiva.

En cuanto a si el motor de búsqueda de Google debe considerarse un «responsable del tratamiento» de datos personales, el Tribunal opinó que el concepto de «responsable del tratamiento» dentro de la Directiva debe interpretarse de forma amplia para garantizar una «protección efectiva y completa de los interesados.» Y que sería contrario a los objetivos previstos en la Directiva excluir a los operadores de motores de búsqueda en Internet, ya que «desempeñan un papel decisivo en la difusión global de los datos.»

Respecto a si la Directiva, tal y como ha sido transpuesta por las leyes nacionales de España, puede aplicarse a Google como «responsable del tratamiento» de datos personales, las actas del Tribunal indican que Google Spain fue creada en 2003 por Google Inc. para actuar principalmente como su agente comercial en España «para promover, facilitar y efectuar la venta de productos y servicios de publicidad en línea a terceros y la comercialización de dicha publicidad.» En virtud del artículo 4, apartado 1, letra a), las disposiciones de la Directiva son aplicables cuando:

«el tratamiento se efectúe en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro; cuando el mismo responsable del tratamiento esté establecido en el territorio de varios Estados miembros, deberá adoptar las medidas necesarias para garantizar que cada uno de estos establecimientos cumpla las obligaciones establecidas por el Derecho nacional aplicable.»

Teniendo en cuenta los objetivos de la Directiva y la redacción del artículo 4, apartado 1, letra a), el Tribunal de Justicia consideró que Google está sujeta a las disposiciones porque su filial Google Spain es un establecimiento en España «destinado a promocionar y vender, en ese , espacios publicitarios ofrecidos por el motor de búsqueda, que sirven para rentabilizar el servicio ofrecido por dicho motor.»

Por último, el Tribunal aborda el alcance de la responsabilidad de Google como motor de búsqueda en Internet con respecto a la información personal publicada por sitios web de terceros y que posteriormente se pretende eliminar o modificar por el interesado. Las disposiciones aplicables en este caso son el artículo 12(b) y el 14(a) de la Directiva. Según el artículo 12(b), todo interesado tiene derecho a obtener del responsable del tratamiento «según proceda, la rectificación, la supresión o el bloqueo de los datos cuyo tratamiento no se ajuste a las disposiciones de la presente Directiva, en particular debido al carácter incompleto o inexacto de los mismos». El artículo 14(a) también concede al interesado el derecho a «oponerse en cualquier momento, por razones imperiosas y legítimas relacionadas con su situación particular, al tratamiento de los datos que le conciernen, salvo que la legislación nacional disponga otra cosa. Cuando exista una oposición justificada, el tratamiento promovido por el responsable del mismo no podrá seguir afectando a esos datos».

Google España y Google Inc. argumentaron que, en base al principio de proporcionalidad, la retirada de la información personal debe dirigirse al sitio web que publicó los datos y los puso a disposición del público. Y que el editor está en la mejor posición para valorar la licitud de esa información.

Al abordar esta cuestión, el Tribunal destacó en primer lugar los derechos fundamentales a la intimidad y a la protección de los datos personales. El artículo 8 de la Carta de los Derechos Fundamentales de la UE establece que «toda persona tiene derecho a la protección de los datos de carácter personal que le conciernan. Estos datos deben ser tratados de manera leal, para fines concretos y sobre la base del consentimiento de la persona afectada o en virtud de otro fundamento legítimo previsto por la ley. Toda persona tiene derecho a acceder a los datos recogidos que le conciernen y a su rectificación». En aplicación, entre otros, de los artículos 6, 7, 12, 14 y 28 de la Directiva 95/46, el Tribunal también subrayó la importancia de equilibrar el derecho a la intimidad con el derecho de acceso a la información.

A la luz de los principios anteriores, el Tribunal sostuvo que los motores de búsqueda en Internet están sujetos a «afectar a los derechos fundamentales a la intimidad y a la protección de los datos personales cuando la búsqueda por medio de ese motor se realiza sobre la base del nombre de una persona». Sin embargo, también debe respetarse el derecho de los internautas a acceder a la información personal a través de los motores de búsqueda, en función «de la naturaleza de la información en cuestión y de su sensibilidad para la vida privada del interesado, así como del interés del público en disponer de dicha información, interés que puede variar, en particular, en función del papel desempeñado por el interesado en la vida pública.»

En resumen, el Tribunal de Justicia dictaminó que «el operador de un motor de búsqueda está obligado a eliminar de la lista de resultados mostrados a raíz de una búsqueda realizada a partir del nombre de una persona los enlaces a páginas web, publicadas por terceros y que contienen información relativa a esa persona, también en el caso de que ese nombre o esa información no se borren previa o simultáneamente de esas páginas web, e incluso, en su caso, cuando su publicación en sí misma en esas páginas sea lícita.» El Tribunal de Justicia también consideró que las personas cuyos datos personales están disponibles públicamente a través de los motores de búsqueda de Internet pueden «solicitar que la información en cuestión deje de estar disponible para el público en general debido a su inclusión en dicha lista de resultados», ya que sus derechos a la intimidad y a la protección de los datos personales prevalecen «no sólo sobre el interés económico del operador del motor de búsqueda, sino también sobre el interés del público en general en tener acceso a esa información al realizar una búsqueda relacionada con el nombre del interesado». Sin embargo, el Tribunal de Justicia subrayó que el derecho a iniciar dicha solicitud puede dejar de existir cuando el acceso a la información personal «esté justificado por el interés preponderante del público en general en tener, con motivo de su inclusión en la lista de resultados, acceso a la información en cuestión.»