martes, 17 de octubre de 2017

Alcance territorial del derecho al olvido: el asunto C-507/17


        Ayer se publicó el Diario Oficial de la UE el texto de las cuestiones prejudiciales planteadas por el Conseil d’État francés en el marco de la controversia entre Google Inc. y la Commission nationale de l’informatique et des libertés (CNIL), que ha dado lugar al asunto C-507/17. Las cuestiones planteadas van referidas al alcance territorial del llamado “derecho al olvido” (“derecho de supresión”, en los términos del art. 17 del Reglamento (UE) 2016/679 general de protección de datos -RGPD- o “derecho de retirada”). Se trata de un aspecto especialmente controvertido de ese derecho desde su reconocimiento por parte del TJUE en su sentencia de 13 de mayo de 2014, Google Spain. Si bien el ámbito de aplicación espacial de la legislación europea sobre protección de datos mereció una singular atención en esa sentencia, el Tribunal de Justicia no abordó el alcance territorial de las medidas relativas a la supresión de los datos personales, lo que se reveló como un aspecto polémico desde el inicio de la aplicación de la sentencia Google Spain, tanto en la práctica de los motores de búsqueda de Internet como de la actividad supervisora de las autoridades nacionales en materia de protección de datos.



           La divergencia de criterios sobre el particular quedó reflejada ya en el documento adoptado el 26 de noviembre de 2014 por el llamado Grupo del Artículo 29 (GTPD) sobre la aplicación de la referida sentencia del Tribunal de Justicia. En ese documento el GTPD puso de relieve su posición –frente a la práctica de ciertos motores de búsqueda- de que no basta con suprimir los enlaces del buscador en las versiones del mismo que se ofrecen bajo dominios europeos, sino que consideró necesario que la supresión tenga lugar en todas las versiones del buscador relevantes con independencia del nombre de dominio bajo el que se proporcione, para asegurar la efectividad del derecho y que las medidas de supresión y la normativa de la UE no puedan ser fácilmente eludidas, por ejemplo, mediante el acceso a la versión del buscador disponible bajo el dominio .com. No obstante, el GTPD puso también de relieve que las respuestas podían variar en función de la organización interna y estructura de los motores de búsqueda. También resultaba de interés al respecto en ese documento la referencia a la determinación de los beneficiarios del llamado derecho al olvido, que vincula con el artículo 8 de la Carta de Derechos Fundamentales de la UE, referido “a toda persona”. El GTPD añadía que las autoridades nacionales se centrarán en las reclamaciones en las que exista un claro vínculo entre el afectado y la UE, por ejemplo debido a que el afectado sea nacional de o residente en un Estado miembro.

        Las cuestiones ahora planteadas por el Conseil d’État son en concreto las siguientes:
1) ¿Debe interpretarse el «derecho de retirada», según ha sido consagrado por el Tribunal de Justicia de la Unión Europea en su sentencia de 13 de mayo de 2014 sobre la base de las disposiciones de los artículos 12, letra b), y 14, letra a), de la Directiva de 24 de octubre de 1995, en el sentido de que el gestor de un motor de búsqueda que estima una solicitud de retirada está obligado a efectuar dicha retirada respecto de la totalidad de los nombres de dominio de su motor, de tal manera que los vínculos controvertidos dejen de mostrarse independientemente del lugar desde el que se realice la búsqueda a partir del nombre del solicitante, incluso fuera del ámbito de aplicación territorial de la Directiva de 24 de octubre de 1995?
2) En caso de respuesta negativa a esta primera cuestión, ¿debe interpretarse el «derecho de retirada», según ha sido consagrado por el Tribunal de Justicia de la Unión Europea en su sentencia antes citada, en el sentido de que el gestor de un motor de búsqueda que estima una solicitud de retirada solamente está obligado a suprimir los vínculos controvertidos de los resultados obtenidos como consecuencia de una búsqueda realizada a partir del nombre del solicitante en el nombre de dominio correspondiente al Estado en el que se considera que se ha efectuado la solicitud o, de manera más general, en los nombres de dominio del motor de búsqueda que corresponden a las extensiones nacionales de dicho motor para el conjunto de los Estados miembros de la Unión Europea?
3) Además, como complemento de la obligación mencionada en la segunda cuestión, ¿debe interpretarse el «derecho de retirada», según ha sido consagrado por el Tribunal de Justicia de la Unión Europea en su sentencia antes citada, en el sentido de que el gestor de un motor de búsqueda que estima una solicitud de retirada está obligado a suprimir, mediante la técnica denominada de «bloqueo geográfico», desde una dirección IP supuestamente localizada en el Estado de residencia del beneficiario del «derecho de retirada», los resultados controvertidos obtenidos como consecuencia de una búsqueda realizada a partir de su nombre, o incluso, de manera más general, desde una dirección IP supuestamente localizada en uno de los Estados miembros sujetos a la Directiva de 24 de octubre de 1995, y ello independientemente del nombre de dominio utilizado por el internauta que efectúa la búsqueda?

        Un elemento a tener en cuenta es que cuando previsiblemente se pronuncie la sentencia el marco normativo aplicable en la UE se habrá modificado con respecto al aplicable en el litigio principal, en la medida en que el RGPD será aplicable a partir del 25 de mayo de 2018. Como es conocido el RGPD regula expresamente el derecho de supresión o derecho al olvido en su artículo 17 y moderniza en su artículo 3 el ámbito territorial de la legislación europea sobre protección de datos, en comparación con el régimen de la Directiva 95/46/CE de 24 de octubre de 1995, a la que van referida las cuestiones prejudiciales. Se trata de un elemento que introduce un factor de complejidad en el análisis, en la medida en que las cuestiones prejudiciales en el asunto C-507/17 se hace referencia expresa al ámbito de aplicación territorial de la Directiva sustituida por el RGPD.

        Las respuestas a las dudas suscitadas en este ámbito habrán de estar en la práctica condicionadas no solo por la estructura y organización del servicio que presta el responsable del tratamiento sino también por las circunstancias del caso concreto. Con respecto a este segundo elemento cabe destacar que esas circunstancias pueden determinar que el nivel de conexión con la UE varíe sustancialmente, por ejemplo, en función no solo de la residencia habitual del afectado, sino también de su notoriedad en otros países no pertenecientes a la Unión, de la ubicación del medio en el que se elaboró y difundió la información objeto del enlace de cuya supresión se trata...

       En relación con la estructura y organización del servicio cabe apreciar que el que un motor de búsqueda se ofrezca en diversas versiones nacionales bajo diferentes dominios depende de cómo su gestor organiza la prestación del servicio. Igualmente el que los resultados de búsqueda que proporcione dependan del concreto nombre de dominio bajo el que se acceda al buscador o de otras circunstancias, como la ubicación del usuario del servicio, tal como viene determinada por los instrumentos de geolocalización relevantes con independencia de la versión del buscador utilizada, dependerá también de cómo el responsable del motor de búsqueda configure su funcionamiento. Llama la atención que tienda a establecerse una vinculación entre nombre de dominio bajo el que se ofrece el buscador empleado y lugar desde el que se realiza la búsqueda, como elemento relevante para limitar el alcance del derecho de supresión. Esa asociación en la práctica estará condicionada por la estructura y organización del buscador, por ejemplo, en la medida en que el buscador en cuestión adopte un modelo en el que imponga –típicamente mediante instrumentos de geolocalización suficientemente eficaces- a los usuarios de un determinado territorio el acceso a la versión del buscador bajo un concreto nombre de dominio, excluyendo el acceso desde ese territorio a otras versiones del buscador. En la medida en que eso no sea así, la ausencia de correlación efectiva entre versión local del buscador y utilización del buscador en el territorio de la UE, favorece la idea de que otras versiones del buscador también pueden producir efectos significativos en este territorio lo que facilita que la obligación de supresión se extienda a ellas al menos para excluir esos efectos.


       La primera de las cuestiones planteadas aborda si el derecho de supresión frente al buscador exige la  “retirada respecto de la totalidad de los nombres de dominio de su motor, de tal manera que los vínculos controvertidos dejen de mostrarse independientemente del lugar desde el que se realice la búsqueda a partir del nombre del solicitante, incluso fuera del ámbito de aplicación territorial de la Directiva de 24 de octubre de 1995”. En principio parece cuestionable que el alcance de tales medidas pueda ser por completo independiente del ámbito territorial de aplicación de la legislación que les sirve de fundamento; ahora bien, cómo se concreta precisamente ese ámbito con respecto al derecho de supresión es algo sobre lo que el Tribunal no se ha pronunciado, y los criterios relevantes no se basan necesariamente en una correlación estricta entre aplicación de la legislación de la UE y ubicación del usuario del servicio en el territorio de la UE, sin perjuicio de la gran relevancia práctica de esta circunstancia.