De las dos sentencias
pronunciadas hoy por el Tribunal de Justicia relativas al llamado derecho al
olvido, la recaída en el asunto C-507/17,Google (Portée territoriale dudéréférencement), EU:C:2019:772, reviste una singular importancia en
relación con la delimitación del alcance espacial de las medidas de retirada de
contenidos de Internet basadas en la legislación de protección de datos de la
UE. En síntesis, la cuestión abordada por el Tribunal es si el buscador cuando
estima una solicitud de retirada de enlaces de los resultados de búsqueda, está
obligado a retirarlos a nivel mundial (de todas las versiones del buscador y
con independencia de la ubicación del usuario del buscador) o si solo está
obligado a retirarlos en las versiones correspondientes a los Estados miembros
o a algún Estado miembro en concreto, combinando, en su caso, la retirada con
medidas de geolocalización que restrinjan el acceso a esa información desde los
Estados miembros o el Estado miembro en cuestión (apdos. 43 y 53). Se trata de
un asunto al que ya me referí en otra entrada
el día que el Abogado General presentó sus conclusiones en este asunto. El
Tribunal de Justicia opta como criterio de base por una solución prudente y
razonable: que los buscadores están obligados a eliminar en principio los
resultados no a nivel mundial sino en las versiones que correspondan al
conjunto de los Estados miembros, combinándola con mecanismos de
geolocalización que impidan o dificulten seriamente el acceso a los resultados
de que se trate desde el territorio de la Unión (apdo. 73). Ahora bien, más
allá de ese criterio general, la sentencia puede ir unida a una significativa
incertidumbre de cada al futuro.
I. Confirmación de la doctrina previa sobre el derecho al olvido y el
ámbito de aplicación territorial de la legislación sobre datos personales
Como
punto de partida, el Tribunal de Justicia confirma su jurisprudencia previa, en
el asunto Google Spain, en relación
con la obligación del gestor del motor de búsqueda, en tanto que responsable
del tratamiento de datos personales, de eliminar los resultados del buscador en
el marco del ejercicio por los afectados del derecho al olvido o derecho de
supresión en los términos ahora del artículo 17 RGPD (apdos 44 a 47).
También
reafirma el Tribunal de su planteamiento en la sentencia Google Spain en lo relativo a la aplicación de la legislación
europea de protección de datos a la actividad del buscador Google aunque su
gestor se encuentre en un tercer Estado, por considerar que realiza un
tratamiento de datos personales en el marco de las actividades de un
establecimiento del responsable en el territorio de un Estado miembro (apdos.
48 a 52). Aunque el Tribunal no lo mencione, a efectos del artículo 17 RGPD
también cabe afirmar que en este caso las actividades de tratamiento del gestor
del motor de búsqueda están relacionadas con la oferta de bienes o servicios a
interesados residentes en la Unión cuyos datos se tratan, de modo que la
situación queda comprendida en el ámbito territorial de aplicación del RGPD también
en virtud de su artículo 3.2.
El ámbito
territorial de aplicación de la legislación sobre datos personales resulta
determinante de que un responsable (incluso establecido en un Estado tercero)
se halle sometido a la legislación europea y por lo tanto frente a él pueda
hacerse valer el derecho al olvido. Lo que resulta controvertido en este caso y
de lo que trata la sentencia reseñada es cuál debe ser la configuración y
alcance de las medidas para hacer efectivo ese derecho.
II. Rechazo de que las medidas de retirada deban tener un alcance
mundial y posibles excepciones
La
negativa a que con carácter general las medidas de retirada de enlaces basadas
en el derecho al olvido deban tener un alcance global se funda principalmente
en la diversidad normativa existente a nivel mundial, lo que aconseja una
actitud prudente cuando las medidas se adoptan con base en la legislación de un
único territorio (en este caso la UE), que difiere de otros en los que, habida
cuenta del alcance potencialmente global de Internet, la retirada con alcance
global de dichos enlaces surtiría efectos (véase el enfoque del AG Szpunar en
el asunto C-18/18, Glawischnig-Piesczek,
pendiente, al que ya hice referencia aquí).
En concreto, el Tribunal de Justicia destaca que en otros países el derecho a
la supresión de enlaces no existe o presenta un contenido diverso al que tiene
en la UE, admitiendo que la ponderación “entre los derechos al respeto de la
vida privada y a la protección de los datos personales, por un lado, y la
libertad de información de los internautas, por otro lado, puede variar
significativamente en las distintas partes del mundo” (apdos. 59 y 60).
Precisamente esa vinculación con los derechos fundamentales refuerza la
conveniencia de un enfoque prudente, en la medida en que la eficacia de tales
medidas podría resultar contraria al orden público en esos terceros Estados, lo
que imposibilitaría su reconocimiento y ejecución en esos territorios.
El
Tribunal considera que, como criterio general, los derechos establecidos en la legislación
de la Unión sobre datos personales no tienen un alcance que vaya más allá del
territorio de los Estados miembros y que obligue a responsables del tratamiento
incluidos en su ámbito territorial de aplicación a “retirar enlaces también de
las versiones nacionales de su motor de búsqueda que no correspondan a los
Estados miembros” (apdo. 62). De cara al futuro, este razonable planteamiento
debe proyectarse también sobre las medidas a adoptar en su caso por
responsables del tratamiento establecidos en un Estado miembro.
La
ausencia más allá de la Unión de mecanismos de cooperación entre las
autoridades de control como los existentes en el seno de la Unión, que permiten
la adopción de decisiones consensuadas entre las autoridades de los Estados
miembros, refuerza, según el Tribunal, el criterio de que el alcance de las
medidas de retirada no debe ser en principio mundial, ya que no existen
posibilidades similares de coordinación con las autoridades de terceros Estados
(apdo. 63).
Ahora
bien, como complemento de ese criterio general, el Tribunal de Justicia destaca
que si bien la legislación de la UE no obliga a la retirada de enlaces a nivel
global, no excluye que al ponderar los derechos fundamentales una autoridad de
control o judicial de un Estado miembro adopte ese tipo de medidas con alcance
mundial (apdos. 64 y 72). Sin embargo, el Tribunal no adopta ninguna precisión
adicional a este respecto. En relación con la posibilidad de que un órgano
judicial adopte ese tipo de medidas, debe tenerse en cuenta que será
presupuesto el que se trate de un órgano cuya competencia judicial
internacional no esté sometida a restricciones (vid. STJUE de 17 de octubre de 2017, Bolagsupplysningen e Ilsjan, C‑194/16, EU:C:2017:766, reseñada aquí). Por otra parte, aunque del
contenido del apartado 72 de la sentencia de hoy pudiera desprenderse algo
diferente, el alcance de la retirada de los enlaces debe ser el mismo, cuando
concurran las circunstancias pertinentes, con independencia de que el gestor
del motor de búsqueda actúe tras el requerimiento de un afectado o de que la
retirada sea consecuencia de una medida adoptada por una autoridad de control o
judicial de un Estado miembro. El alcance preciso del derecho al olvido no
varía en uno y otro caso, sin perjuicio de que la actuación de la autoridad de
control o judicial pueda ser instada una vez que el gestor del motor de búsqueda
no ha atendido la petición del afectado.
Por
otra parte, el Tribunal de Justicia admite que su planteamiento genera riesgos
en relación con la efectiva protección de datos personales, en la medida en que
el acceso de internautas situados fuera de la Unión a los enlaces retirados en
la Unión relativos a personas cuyo centro de interés está en la Unión puede
producir “efectos inmediatos y sustanciales en la propia Unión” (apdo. 57). En
tales circunstancias, el rechazo de que las medidas de retirada deban tener un
alcance mundial, puede reclamar medidas de control en relación con la eventual
utilización en la UE de la información personal obtenida mediante el uso del
buscador fuera de la UE.
III. Delimitación del alcance territorial de las medidas: incertidumbre
en el ámbito intracomunitario
Junto
con el rechazo de la obligación de que la retirada deba tener en principio un
alcance mundial, la conclusión fundamental alcanzada en la sentencia, tal como
aparece recogido en su apartado 73 y en su fallo es que el gestor del motor de búsqueda
está obligado a proceder a la retirada de los enlaces en las versiones del
buscador “que correspondan al conjunto de los Estados miembros, combinándola,
en caso necesario, con medidas que, con pleno respeto de las exigencias
legales, impidan de manera efectiva o, al menos, dificulten seriamente a los
internautas que efectúen una búsqueda a partir del nombre del interesado desde
uno de los Estados miembros el acceso, a través de la lista de resultados que
se obtenga tras esa búsqueda, a los enlaces objeto de la solicitud de retirada”.
En
consecuencia, el criterio general es que el alcance de la obligación de
suprimir los enlaces se proyecta sobre el conjunto del territorio de la Unión,
planteamiento que resulta avalado porque las normas en la materia ahora estén
contenidas en un reglamento, destinado a garantizar un nivel uniforme de
protección en toda la Unión (apdo. 66). Ahora bien, el Tribunal de Justicia
admite que esto no sea siempre así y que puede haber situaciones en las que sea
posible que la retirada se encuentre limitada a un Estado miembro. La sentencia
puede ser fuente de significativa incertidumbre en este punto.
Por una parte,
un alcance limitado de la medida en el sentido de que cubra solo parte de la
Unión puede resultar coherente con la constatación de que el RGPD no unifica plenamente
el nivel de protección, pues como recoge el Tribunal, por ejemplo, su artículo
85 determina que corresponde a los Estados miembros establecer en relación con
ciertos tratamientos las exenciones y excepciones necesarias para conciliar los derechos al respeto de la vida privada y a
la protección de los datos personales del interesado con, entre otras cosas, la
libertad de información (apdo. 67). No obstante, el RGPD ni siquiera
proporciona criterios acerca de cómo se determina la ley de qué Estado miembro
debe aplicarse al llevar a cabo esa ponderación en situaciones con vínculos con
una pluralidad de Estados miembros. Por otra parte, en los apartados 67 a 69 el
Tribunal de Justicia parece vincular la posibilidad de adoptar medidas con
alcance para toda la Unión (es decir, que impliquen la retirada de resultados
del buscador de las versiones de todos los Estados miembro y el geobloqueo de
los accesos desde cualquier Estado miembro) a la existencia en el RGPD de
mecanismos de coordinación entre las autoridades de los Estados miembros en las
situaciones transfronterizas, que permiten alcanzar un consenso entre las autoridades
nacionales implicadas. El Tribunal destaca la importancia de ese marco
reglamentario “para poder adoptar, en su caso, una decisión sobre la retirada
de enlaces que abarque la totalidad de las búsquedas efectuadas a partir del
nombre del interesado desde el territorio de la Unión” (apdo. 69).
Ahora bien, el
recurso a ese marco de cooperación no puede ser con carácter general
presupuesto de la adopción de medidas de retirada cuyo alcance vaya referido al
conjunto de la Unión. Por ejemplo, la adopción de tales medidas puede
pretenderse en el marco de una acción judicial –por ejemplo, como complemento
del ejercicio de una acción indemnizatoria-, al margen de la actuación de las autoridades
de control nacionales y del mecanismo de cooperación entre ellas que contempla
el Reglamento. El fundamento y los objetivos del RGPD justifican que con
carácter general el alcance de las medidas de retirada de contenidos fundadas
en el Reglamento deba ir referido al conjunto de la Unión. El nivel de
incertidumbre que resulta de un enfoque distinto se proyecta incluso sobre la
determinación de cuál es el Estado miembro a cuyo territorio deben ir referidas
medidas de alcance más limitado. La sentencia hace referencia al Estado de la
residencia del afectado (apdo 43 y 66), el Estado de su centro de interés (apdo
57), el Estado en el que se ha presentado la solicitud (apdo 43), que no tienen
por qué coincidir en un mismo Estado miembro.
En tales
circunstancias, sin perjuicio de que pueda haber situaciones excepcionales en
las que las medidas de retirada puedan tener un alcance más limitado, en
particular cuando lo exijan las diferencias normativas entre Estados miembros
que subsisten tras el RGPD, el criterio general debe ser que el alcance de las
medidas de retirada basadas en el RGPD debe alcanzar el conjunto del territorio
de la UE. La redacción del apartado 73 y
del fallo de la sentencia parece avalar este criterio.
IV. Obligaciones del gestor del motor de búsqueda
En
la práctica no es tan importante las versiones del buscador que resultan
afectadas por la medida, como el territorio respecto del que el destinatario de
la obligación de retirada de los contenidos debe garantizar que no se pueda
acceder a los mismos. De hecho, en el apartado 42 de la sentencia se destaca la
importancia de los cambios introducidos por Google a este respecto en lo
relativo a la configuración del buscador, que condicionan el conjunto de la
sentencia.
“42 Durante el procedimiento ante el Tribunal de
Justicia, Google ha explicado que, tras la presentación de la petición de
decisión prejudicial, elaboró una nueva configuración de las versiones
nacionales de su motor de búsqueda, en la que el nombre de dominio introducido
por un internauta ya no determina la versión nacional del motor de búsqueda a
la que este accede. De este modo, el internauta es dirigido automáticamente a
la versión nacional del motor de búsqueda de Google que corresponde al lugar
desde el que se considera que efectúa la búsqueda y los resultados de esta se
obtienen de acuerdo con ese lugar, que es determinado por Google mediante un
proceso de localización geográfica.”
Por lo tanto,
la fiabilidad y efectividad del proceso de localización geográfica fundamental
a estos efectos es responsabilidad del gestor del motor de búsqueda. En los
términos del fallo, corresponde al buscador la adopción de medidas que “impidan
de manera efectiva o, al menos, dificulten seriamente a los internautas que
efectúen una búsqueda a partir del nombre del interesado desde uno de los
Estados miembros el acceso, a través de la lista de resultados que se obtenga
tras esa búsqueda, a los enlaces objeto de la solicitud de retirada”. La
interpretación de esta obligación, por ejemplo, cuándo las medidas adoptadas “dificultan
seriamente” el acceso a los enlaces puede ser, claro está, fuente de
incertidumbre. Ahora bien, se trata de una obligación (de resultado) cuyo
cumplimiento exigirá que el responsable adopte las medidas en cada momento
adecuadas. La carga que esta obligación impone y el grado de diligencia que le
es exigible se vinculan con la responsabilidad inherente a la posición que
ocupa el buscador y la actividad que desarrolla.
Para terminar,
como ya señalé en relación con las conclusiones del Abogado General en este
asunto, cabe destacar que si bien al rechazar el alcance mundial de las
medidas, el criterio adoptado en la sentencia se ha presentado como favorable
para la posición de los motores de búsqueda, lo cierto es que la opción
adoptada responde a un modelo tradicionalmente rechazado por ese tipo de
prestadores de servicios en línea globales, pues conduce a una evidente
fragmentación de difusión de contenidos en Internet. El reto que ello implica para esos
prestadores -cumplir las legislaciones de los países en los que prestan sus
servicios a través de Internet- es simplemente proporcional a las ventajas que
pretenden obtener con la utilización de ese medio, cuyo alcance global no
impide apreciar que, a falta de mecanismos de armonización, implica la difusión
de contenidos o realización de actividades en países en los que existen
estándares o requisitos diferentes acerca de la licitud de tales contenidos o
actividades. Además, se trata de una respuesta acorde con la importancia clave
que tienen en la actualidad los mecanismos de geolocalización, como elemento
para asegurar la adaptación de la prestación de servicios de Internet a la
coexistencia en el mundo de ese par de centenares de sistemas jurídicos
estatales. La fragmentación inherente a un enfoque basado en la geolocalización
y la restricción de determinados contenidos respecto de un cierto territorio es
coherente con la organización política del mundo y la falta de estándares
globales en relación con la licitud de los contenidos difundidos y las
actividades desarrolladas en Internet.
