Como elemento de interés de las Directrices
5/2019 del Comité Europeo sobre Protección de Datos (EDPB) acerca de la aplicación del derecho al olvido
por motores de búsqueda (primera parte), destaca la circunstancia de que
proporcionan las pautas para determinar en qué medida el Reglamento (UE)
2016/679 General de Protección de Datos (RGPD) refuerza ese derecho.
Ciertamente, pese a tratarse de un derecho existente ya en el marco de la Directiva
95/46/CE –como estableció el Tribunal de Justicia en su conocida sentencia Google Spain-, las Directrices 5/2019
responden al criterio de que en el marco del RGPD se incrementa la protección
de los afectados frente al tratamiento de datos personales por los motores de
búsqueda, habida cuenta de que el contenido de sus artículos 17 –“Derecho de
supresión («el derecho al olvido»)” y 21 –“ Derecho de oposición”- justifican
un análisis parcialmente diferenciado respecto a la situación anterior. El documento
se limita a analizar el derecho a la supresión de enlaces en los resultados de
motores de búsqueda e insiste como esencial en el criterio de que el
tratamiento realizado por el buscador –con respecto a búsquedas con base en el
nombre del interesado- tiene típicamente una repercusión muy superior sobre los
derechos del interesado a la que tiene el tratamiento llevado a cabo por el
responsable de la página web a la que dirige el enlace generado por el buscador.
Esta circunstancia condiciona la interpretación de los dos elementos en los que
se centran las Directrices: los motivos en los que puede fundarse la supresión
(art. 17.1 RGPD) y las excepciones que prevalecen sobre el derecho del
interesado a la supresión (art. 17.3 RGPD).
Motivos en los que puede fundarse el derecho de supresión
Entre
los motivos enumerados en el artículo 17.1 RGPD, las Directrices ponen de
relieve cómo los más relevantes en relación con la supresión de enlaces por
motores de búsqueda son los recogidos en sus apartados a), c) y f).
En
concreto, el apartado a) va referido a la supresión cuando “los datos
personales ya no sean necesarios en relación con los fines para los que fueron
recogidos o tratados de otro modo”. Este motivo justifica la supresión, en
particular, de aquellos enlaces que conducen a información personal que resulta
obsoleta, en circunstancias en las que la protección de la privacidad del
interesado debe prevalecer sobre el interés de los usuarios de Internet a
acceder a esa información, como sucede típicamente cuando el enlace lleva a la
página web de una empresa con los datos de contacto de una persona que ha
dejado ya de trabajar en la misma o una página que contiene información con
base en una obligación legal de difundirla durante un cierto periodo que ya ha
expirado. Asimismo, las Directrices ponen de relieve que este motivo justifica
típicamente la supresión de enlaces a información personal que por el paso del
tiempo resulta errónea.
El
apartado c) del artículo 17.1 RGPD contempla como motivo para la supresión el
ejercicio por el interesado de su derecho de oposición al tratamiento
contemplado en el artículo 21 RGPD. El artículo 21.1 reconoce al afectado el
derecho de oposición “por motivos relacionados con su situación particular”…
salvo que el responsable del tratamiento “acredite motivos legítimos imperiosos
para el tratamiento que prevalezcan sobre los intereses, los derechos y las
libertades del interesado…”. Las Directrices destacan como especialmente
relevante la circunstancia de que el derecho de oposición tiene un alcance más
amplio en el RGPD que en la Directiva 95/46/CE, lo que se traduce en un
reforzamiento del derecho a la supresión de enlaces frente a motores de
búsqueda. A diferencia del artículo 14 de la Directiva, que vinculaba el
derecho de oposición a “razones legítimas propias de (la) situación particular”
del interesado, en el artículo 21 RGPD el derecho de oposición va referido
simplemente a “motivos relacionados con su situación particular”.
A la luz de
esa diferencia el EDPB considera que en el nuevo régimen hay un desplazamiento
de la carga de la prueba de modo que es el responsable –motor de búsqueda- que
no quiera dejar tratar los datos del interesado –manteniendo el enlace
controvertido entre los resultados de su buscador- pese a su oposición a quien
corresponde acreditar que existen “motivos legítimos imperiosos para el
tratamiento que prevalezcan sobre los intereses, los derechos y las libertades
del interesado” (artículo 21.1). Las Directrices destacan cómo la relevancia
atribuida a la “situación particular” del interesado debe condicionar la
ponderación entre el derecho a la protección de datos del interesado y el
derecho a la información, a la hora de decidir si procede la supresión, lo que
justifica tener en cuenta aspectos como la repercusión de la presencia de ese
enlace entre los resultados del motor de búsqueda sobre la situación del
interesado al buscar un puesto de trabajo o en general con respecto a su reputación
personal. Además, el EDPB reafirma que en esa ponderación siguen siendo
relevantes también criterios ya aceptados con anterioridad, en particular, en
las orientaciones para aplicar la STJUE Google Spain adoptadas el 26 de
noviembre de 2014 por el anterior Grupo de Autoridades de protección de datos
de los Estados miembros de la UE (Grupo de Trabajo artículo 29) (WP 225). Entre
tales criterios se encuentran la relevancia en la vida pública del interesado,
la vinculación de la información con su actividad profesional, el contenido de
la información (su licitud, el ir referida a hechos contrastados)… En todo
caso, esa ponderación solo procede ahora una vez que el responsable del motor
de búsqueda acredita la existencia de motivos legítimos imperiosos para proseguir
el tratamiento.
Por su parte,
el apartado f) del artículo 17.1 RGPD contempla como motivo para la supresión
el que “los datos personales se hayan obtenido en relación con la oferta de
servicios de la sociedad de la información” ofrecidos directamente a niños en
los términos del artículo 8.1. En la medida en que el término servicios de la
sociedad de la información es equivalente al empleado en la Directiva 2000/31
sobre el comercio electrónico, resulta claro conforme a la jurisprudencia del
TJUE que la provisión de servicios de motor búsqueda en línea constituye
típicamente una modalidad servicio de la sociedad de la información (vid., v.gr., STJUE de 23 de marzo de
2010, Google France and Google, C-236/08 a C-238/08, EU:C:2010:159). La
principal aportación de las Directrices a este respecto es precisar que en
relación con el ejercicio del derecho de supresión fundado en este motivo, la
fecha relevante para apreciar si los datos han sido obtenidos en relación con
la oferta a niños, será la fecha de inicio del tratamiento por la página web a
la que remite el enlace que figura entre los motores de búsqueda. Con respecto
a la determinación de la condición de niño, en la medida en que el artículo
17.1.f) RGPD se remite al artículo 8.1, cabe recordar que esta norma fija una
edad de 16 años, pero permite a los Estados miembros establecer por ley una
edad inferior a tales fines, siempre que esta no sea inferior a 13 años. Como
es conocido, en España el artículo 7.1 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos
digitales establece que el tratamiento de los datos personales de un menor de
edad únicamente podrá fundarse en su consentimiento cuando sea mayor de catorce
años. En la medida en que las soluciones pueden variar según los Estados
miembros la aplicación del RGPD no excluye la necesidad de determinar la
legislación de qué Estado es aplicable sobre este particular al caso concreto.
Aunque se trata de un aspecto que excede del alcance de esta reseña, en algún
otro lugar he puesto de relieve por qué en relación con el artículo 8.1 RGPD
parecen existir razones que avalan la toma en consideración como criterio de
conexión a ese respecto de la ubicación (o residencia habitual) de la persona
(niño) interesada (a pesar de la importancia atribuida en el RGPD en su
conjunto al establecimiento (principal) del responsable, en caso de hallarse en
un Estado miembro, al concretar el régimen aplicable).
Excepciones al derecho de supresión
Las
excepciones al derecho de supresión, determinantes de que el responsable del
tratamiento no deba proceder a la supresión de los datos personales, aparecen
recogidas en el apartado 3 del artículo 17 RGPD. El EPDB considera que la
configuración de las excepciones en esa norma no se encuentra especialmente
bien adaptada al concreto caso concreto de la retirada de enlaces de los
resultados del buscador, para los que podría resultar más apropiada la
aplicación su artículo 21 (véase la referencia a este respecto contenido al
inicio de la sección 2 de las Directrices). En relación con el derecho de
oposición, el artículo 21 RGPD prevé que el responsable del tratamiento dejará
de tratar los datos personales, salvo que acredite motivos legítimos imperiosos
para el tratamiento que prevalezcan sobre los intereses, los derechos y las
libertades del interesado, o para la formulación, el ejercicio o la defensa de
reclamaciones. En todo caso, las excepciones del artículo 17.3 son susceptibles
de ser invocadas como motivos legítimos imperiosos para el tratamiento en el
marco del artículo 21.
La
primera da las excepciones del artículo 17.3 va referida a que el tratamiento
de los datos personales sea necesario para ejercer el derecho a la libertad de
expresión e información (apartado a), de modo que plantea la cuestión clave de
la ponderación entre el derecho fundamental a la protección de datos del
interesado y el derecho de los usuarios de Internet a acceder a la información
a través del motor de búsqueda. A este respecto, las Directrices se ciñen
básicamente a destacar la importancia de la jurisprudencia sobre el particular
del Tribunal de Justicia, especialmente su sentencia de 24 de septiembre de
2019, GC y otros (Déréférencement de
données sensibles), C-136/17, EU:C:2019:773.
A partir del
criterio de que el tratamiento por el buscador para generar los resultados con
base en el nombre del interesado puede afectar de manera muy significativa a
sus derechos a la intimidad y la protección de datos, unido a la idea de que la
posición del buscador no puede ser equiparada a la del titular de la página en
la que se difunde la información original a la que enlaza el buscador, en
particular en la medida el tratamiento realizado por el motor de búsqueda no
puede ser considerado un tratamiento con fines periodísticos (art. 85 RGPD) (a
diferencia del que se lleve a cabo en la página web objeto de enlace entre los
resultados del buscado), el EDPB constata que, como ya puso de relieve la STEDH
de 28 de junio de 2018, M.L. y W.W. c.
Alemania (núms. 60798/10 y 65599/10), la valoración acerca de si procede la
supresión de enlaces en los resultados de búsqueda reclama un análisis
específico. En síntesis, extendiendo el criterio recogido en el apartado 69 de
la STJUE de 24 de septiembre de 2019, C-136/17 (referido a ciertas categorías
especiales de datos personales), el EDPB considera que cuando el gestor de un
buscador recibe una solicitud de retirada de un enlace que dirige a una página
web en la que se publican datos personales, dicho enlace deberá ser suprimido
de la lista resultante de la búsqueda efectuada a partir del nombre del
interesado salvo que el motor de búsqueda acredite que resulta estrictamente
necesaria para proteger la libertad de información de los internautas
potencialmente interesados en acceder a esa página web mediante tal búsqueda.
También es objeto de
análisis la excepción del artículo 17.3.b) RGPD, según la cual no procede la
supresión cuando el tratamiento sea necesario para el cumplimiento de una
obligación legal que requiera el tratamiento de datos impuesta por el Derecho
de la Unión o de los Estados miembros que se aplique al responsable del
tratamiento. Por una parte, las Directrices ponen de relieve que típicamente
los gestores de los motores de búsqueda no son destinatarios de obligaciones
legales de ese tipo, de modo que no podrán invocar esta excepción para rechazar
la supresión de un enlace. Aunque la información que contiene los datos
personales haya sido incluida en un página web en virtud de una obligación de
ese tipo del titular de la página web en cuestión, el gestor del motor de
búsqueda no podrá invocar el artículo 17.3.b) RGPD como excepción al derecho
del interesado a que el enlace a esa información que aparece entre los
resultados del motor de búsqueda sea suprimido cuando se emplea su nombre para buscar. El
artículo 17.3.b) resulta de aplicación únicamente con respecto al responsable
del tratamiento al que va dirigida la obligación legal en cuestión. Además, si
bien el que el tratamiento por la pagina web original sea necesario para el cumplimiento de una obligación
legal puede ser un elemento relevante al ponderar el
derecho a la protección de datos del interesado y el derecho al acceso a la
información de los usuarios de Internet, al llevar a cabo esa ponderación debe
tenerse en cuenta que una obligación de ese tipo como fundamento de la inclusión
de la información en la página web original, no implica que deba excluirse el
derecho del interesado a que el enlace a esa página se suprima de los
resultados del motor de búsqueda cuando la búsqueda tiene lugar utilizando su
nombre.
