El derecho al olvido en Internet A propósito de la sentencia del STJUE de 13/05/14 en el asunto...

El derecho al olvido en InternetA propósito de la sentencia del STJUE de 13/05/14 en el asunto Google Spain SL y Google Inc y la AEPD y Mario Costeja González

The right to privacy(Warren y Brandeis, Boston, 1890)

Que el individuo debería tener protección de su persona y sus propiedades es un principio tan antiguo como la ley, pero de vez en cuando es necesario definir de nuevo la naturalezay el alcance de esa protección. Cambios políticos, sociales y económicos, suponen el reconocimiento de nuevos derechos, y la Ley, en su eterna juventud, debe crecer para satisfacer las nuevas demandas de la sociedad. Inicialmente la Ley dio remedio a la interferencia física con la vida y la propiedad privada. Más tarde se reconoció la naturaleza espiritual del hombre, de sus sentimientos y de su intelecto de modo que el derecho a la vida se convirtió en el derecho a disfrutar de la vida, – el derecho al olvido, a que te dejen en paz, asegura el ejercicio de los amplios privilegios civiles, y el término “propiedad “ha crecido hasta incluir toda forma de posesión, intangible, así como tangible.

1984George Orwell

Quien controla el pasado controla el futuro.

Quien controla el presente controla el pasado.

Corte Constitucional de ColombiaSentencia T-414/92 (1/2)

“La cárcel del alma y el derecho al olvido”: “1. Con el triunfo definitivo del Estado moderno en el siglo XVIII, depositario de las ideas de la Ilustración y del humanismo racionalista, se impuso una nueva manera de ver las relaciones entre los gobernantes y los gobernados y con ella una nueva manera de ver el castigo. El punto clave de esta última novedad puede ser explicado como un abandono de la preocupación medioeval por punir el cuerpo de los delincuentes -a través de los suplicios- en beneficio de un interés permanente por castigar su alma. Este cambio de objeto, que Foucault ha descrito en detalle como un cambio estratégico en el ejercicio del poder, se ha ido imponiendo a través de los últimos siglos hasta adquirir hoy plena manifestación en disciplinas sociales basadas en la imposición de reglas comerciales, de métodos de observación, de técnicas de registro, de procedimientos de indagación y de pesquisa, de aparatos de verificación y, en general, de tratamiento de informaciones que condicionan y manipulan el comportamiento ciudadano sin necesidad de ejercer una coacción o una amenaza de coacción física sobre los individuos.

Corte Constitucional de ColombiaSentencia T-414/92 (2/2)

“El encarcelamiento del alma en la sociedad contemporánea, dominada por la imagen, la información y el conocimiento, ha demostrado ser un mecanismo más expedito para el control social que el tradicional encarcelamiento del cuerpo. Por eso vale la pena preguntarse si estos dos tipos de encarcelamiento se ejercen de manera discriminada y estratégica en Colombia como mecanismo de control frente a dos sectores de población diferente a saber: la cárcel tradicional para la clase marginada del circuito económico y comercial y la cárcel del espíritu contra los demás violadores de las reglas disciplinarias impuestas por dicho circuito.

“Los datos tienen por su naturaleza misma una vigencia limitada en el tiempo la cual impone a los responsables o administradores de bancos de datos la obligación ineludible de una permanente actualización a fin de no poner en circulación perfiles de "personas virtuales" que afecten negativamente a sus titulares, vale decir, a las personas reales.

“De otra parte, es bien sabido que las sanciones o informaciones negativas acerca de una persona no tienen vocación de perennidad y, en consecuencia después de algún tiempo tales personas son titulares de un verdadero derecho al olvido”

Definición

“The right of individuals to have their data no longer processed and deleted when they are no longer needed for legitimate purposes”

“El derecho de las personas de que sus datos no sean tratados y sean borrados cuando ya no sean necesarios para propósitos legítimos”

Denominación

Derecho al olvido

Derecho a la caducidad del dato negativo

Right to be forgotten

Right to oblivion

Dificultades (1/2)

1. Limited Scope (mirada limitada).

Alcance restringido por la existencia de una relación previa “contractual”, es decir, en la que previamente el afectado hubiese prestado su consentimiento (esto no siempre es así puesto que en ciertos casos los datos se obtuvieron legalmente sin el consentimiento de la persona.

b. Anonymized Data (los datos anónimos).

El individuo no puede pretender el cribado de datos respecto de información anónima. No existe o no se conoce contra quién podría hacerse valer este derecho, pero el contrapeso del anonimato es la falta de credibilidad.

c. Subtle Censorship (censura).

Dificultades(2/2)

1. Limited Scope (mirada limitada).

Alcance restringido por la existencia de una relación previa “contractual”, es decir, en la que previamente el afectado hubiese prestado su consentimiento (esto no siempre es así puesto que en ciertos casos los datos se obtuvieron legalmente sin el consentimiento de la persona.

b. Anonymized Data (los datos anónimos).

El individuo no puede pretender el cribado de datos respecto de información anónima. No existe o no se conoce contra quién podría hacerse valer este derecho, pero el contrapeso del anonimato es la falta de credibilidad.

c. Subtle Censorship (censura).

Al permitirse a las personas eliminar a voluntad los datos que le afecten, la información relevante puede llegar a ser incompleta, inaccesible o erróneamente representativa de la realidad, afectando las libertades de expresión e información y llevando a la censura.

d. Practical Difficulties (dificultades prácticas).

¿Cómo proceder a eliminar los datos perjudiciales (y sólo éstos) para las personas que se encuentran en multi-plataformas ubicuas y opacas?

e. The Illusion of Choice (la ilusión de la opción).

Se trata de una “fantasía” o una ilusión de tener elección que es insuficiente para hacer frente a los problemas de privacidad en la red.

Bienes jurídicos implicados

Derecho a la intimidad – privacidad

Derecho a la libertad

Derecho al honor

Derecho a la dignidad

Derecho a la identidad

Derecho de propiedad, etc.

Derecho a la protección de datos

Libertades de expresión y prensa de prensa, libertad de informar verazmente

Libertad de comercio

Intereses colectivos (v.gr., históricos)

Bienes jurídicosLibertad y privacidad

En Estados Unidos libertad y privacidad se entremezclan

1890 Warren le propuso escribir a Brandeis el primer artículo sobre privacidad en los Estados Unidos después de que la prensa de Boston publicara hechos intrusivos acerca de la boda de su hija, aunque las noticias aparecidas en el Boston Saturday Evening Gazette acerca de la boda no violaron su privacidad

El ensayo promovía la creación de un nuevo derecho civil que protegiera el espacio personal del individuo contra la difusión no autorizada al público. Trataba de una defensa frente a la prensa amarillista y a los avances tecnológicos.

Bienes jurídicos¿El honor o la intimidad?

Carreras Serra:

“En principio, el derecho al olvido podría enmarcase en el derecho al honor, puesto que la consecuencia de la intromisión es el descrédito de la persona o de su familia.

Sin embargo, se trata de la divulgación de hechos que ya no tienen interés público (aunque lo tuvieron en el momento en que sucedieron), pero de hechos reales, verídicos.

De ahí que se justifique más como una intromisión al derecho de la intimidad, una de cuyas notas es precisamente la difusión de hechos verídicos que pueden afectar a la reputación y buen nombre, cuya divulgación el individuo no tiene ninguna obligación de soportar.

Si los hechos fueran falsos, nos encontraríamos con una vulneración actual del derecho al honor, en cuyo caso no es que los hechos merezcan ser olvidados, es que, como no han sucedido, se trata de difamación pura y simple. Lo mismo puede decirse de la difusión de una fotografía o de un vídeo que contenga la imagen de una persona que fue relevante en su tiempo, pero que ahora ha pasado a ser desconocida y cuya divulgación no tiene ya ningún interés general”.

Primeros reconocimientos(1/2)

Pablo Salvador Coderch (1989)

Jurisprudencia estadounidense sobre la joven prostituta que llegó a ser juzgada por asesinato que abandona este tipo de vida, contrae matrimonio y lleva una vida ejemplar; años después, se produce una película que narra su vida, con el nombre real y expresando que era un caso verídico; la interesada demanda a la productora y gana el pleito; tenía el derecho al olvido.

Primeros reconocimientos(2/2)

Xavier O’Callaghan (1991)

“los supuestos que pueden darse coinciden substancialmente con la delimitación del derecho al honor. Así ocurre en la difusión del contenido de una sentencia o de datos del proceso o de datos obrantes en archivos públicos.

Sin embargo, si estos extremos eran desconocidos en el círculo en que se mueve el sujeto, por razón de la distancia en el tiempo o en el lugar (por ejemplo, se divulga una sentencia condenatoria de hace ya muchos años, o se divulga en el lugar donde se halla el sujeto, muy distante de aquél en que ocurrió) podrá darse la intromisión en el derecho a la intimidad.

Es lo que se ha llamado (y ha sido tratado) el ‘derecho al olvido’. Hay aún una excepción a la excepción: si el sujeto tiene una actividad de proyección pública la divulgación de tales hechos no constituirá intromisión a su intimidad, precisamente por el carácter del sujeto”.

Carencia de formulación legal genérica

El derecho al olvido es un supuesto atípico en el sentido de que, a fecha de hoy, carece de formulación legal y de escasa dedicación dogmática: no aparece recogido en ningún artículo ni de derecho interno ni de derecho internacional

Se lo ha visto como implícito en diversos apartados del artículo 7 de la Ley Orgánica de Protección de Datos de Carácter Personal, 15/1999.

Formulación legal limitadaCaducidad del dato financiero negativo

Ejemplos:

6 años previsto en las dos leyes orgánicas de España —Ley Orgánica n° 5/92 (LORTAD), artículo 28, punto 3, y Ley Orgánica n° 15/99 (LOPD), artículo 29, punto 4—;

5 años previsto en la ley de Dinamarca —Danish Act 429/2000, Section 20 (3)—;

3 años en la ley de Suecia - Credit Information Act (1973:1173), Article 8—;

7 años (genérico), o 10 años para ciertos supuestos, establecido en la legislación de Estados Unidos —Fair Credit Reporting Act (FCRA), Sección 1681 c—,

7 años en la legislación de Chile —Ley n° 19.628, artículo 18, antes de la reforma introducida por la Ley n° 19.812—

5 años previsto en el Código de Defensa del Consumidor de Brasil —Ley n° 8078, artículo 43—; en la ley de Perú —Ley n° 27.489, artículo 10— o en la de Uruguay —Ley n° 17.838, artículo 9—

Formulación legal limitada

Principios Rectores para la Reglamentación de los Ficheros Computadorizados en Datos Personales, AGONU, resolución 45/95, de 14 de diciembre de 1990:

“3. Principio de finalidad. La finalidad de un fichero y su utilización en función de esta finalidad deberían especificarse y justificarse y, en el momento de su creación, ser objeto de una medida de publicidad o ponerse en conocimiento de la persona interesada a fin de que ulteriormente sea posible asegurarse de que:…

c) El período de conservación de los datos personales no excede del necesario para alcanzar la finalidad con que se han registrado”.


Convenio 108/81:

Art. 5. Principio de calidad de los datos:

”Los datos de carácter personal que sean objeto de un tratamiento automatizado:

a) Se obtendrán y tratarán leal y legítimamente;

b) se registrarán para finalidades determinadas y legítimas, y no se utilizarán de una forma incompatible con dichas finalidades;

c) serán adecuados, pertinentes y no excesivos en relación con las finalidades para las cuales se hayan registrado;

d) serán exactos y si fuera necesario puestos al día;

e) se conservarán bajo una forma que permita la identificación de las personas concernidas durante un período de tiempo que no exceda del necesario para las finalidades para las cuales se hayan registrado”


Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos,

Directiva sobre la protección de la intimidad en el entorno digital 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002.

El derecho al olvido en las decisiones de los órganos garantes

La Commission nationale de l'informatique et les libertés, ha basado la existencia del derecho al olvido atendiendo al principio de finalidad del tratamiento de los datos personales —droit a l'oubli—, y se posicionó favorablemente para el reconocimiento del carácter fundamental del derecho al olvido de manera pionera en el año 1999.

El Garante per la protezioni dei dati personali, resolvió en noviembre del año 2004 un caso reconociendo el derecho al olvido —diritto all'oblio— dentro del derecho fundamental a la protección de datos.

El derecho al olvido en las decisiones de los órganos garantes

En España, la jurisprudencia del Tribunal Constitucional tiende a otorgar una posición preferente a la libertad de expresión frente a otros derechos constitucionales (SSTC 105/1983 y 107/1988) y atendiendo a la veracidad de la información facilitada (SSTC 6/1988, 105/1990 y 240/1992).

La tendencia resolutiva de la Agencia Española de Protección de Datos y las decisiones judiciales de la llamada jurisprudencia menor (juzgados pero, principalmente, audiencias provinciales) ha venido a considerar en varias de sus resoluciones que, aunque pudiera tratarse de una información veraz, al no referirse a asuntos públicos de interés general, resulta preferente el derecho fundamental a la protección de datos; esto es, en definitiva, la protección de los derechos ligados a la intimidad.

Colisión con normas de acceso a la información pública

El derecho al olvido digital puede decaer fácilmente, porque los datos de carácter histórico y cultural deben ser conservados en la medida que la finalidad que se pretende alcanzar con su conservación y tratamiento no caduca ni pierde intensidad por el simple paso del tiempo.

El estudio en perspectiva comparada puede ser de especial interés sobre este último extremo. En Italia, el Garante per la protezioni dei dati personali ha aprobado un código de conducta que establece las reglas y los límites del uso de los datos personales recogidos en la investigación histórica independiente y del derecho a la educación e información. Se garantiza así que en el acceso a registros y documentos se respete la dignidad de las personas y, en especial, el derecho a la identidad personal. Y además se establece que la recopilación de datos en archivos dedicados a la investigación histórica debe ser fomentada.

Límites en el derecho comunitario proyectado

Propuesta de Reglamento del Parlamento Europeo y del Consejo relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, de 25 de enero de 2012 (Reglamento general de protección de datos). Aprobado en primera lectura en marzo 2014 con 207 enmiendas

Considerando 53:

Toda persona debe tener derecho a que se rectifiquen los datos personales que le conciernen y «derecho a la supresión », cuando la conservación de tales datos no se ajuste a lo dispuesto en el presente Reglamento. En particular, a los interesados les debe asistir el derecho a que se supriman y no se traten sus datos personales, en caso de que ya no sean necesarios para los fines para los que fueron recogidos o tratados de otro modo, de que los interesados hayan retirado su consentimiento para el tratamiento, de que se opongan al tratamiento de datos personales que les conciernan o de que el tratamiento de sus datos personales no se ajuste de otro modo a lo dispuesto en el presente Reglamento. Sin embargo, la posterior conservación de los datos debe autorizarse cuando sea necesario para fines de investigación histórica, estadística y científica, por razones de interés público en el ámbito de la salud pública, para el ejercicio del derecho a la libertad de expresión, cuando la legislación lo exija, o en caso de que existan motivos para restringir el tratamiento de los datos en vez de proceder a su supresión. El derecho a la supresión tampoco debe aplicarse cuando la conservación de los datos personales sea necesaria para la ejecución de un contrato con el interesado, o cuando exista la obligación legal de conservar dichos datos.


Propuesta de Reglamento del Parlamento Europeo y del Consejo relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, de 25 de enero de 2012 (Reglamento general de protección de datos).

Considerando 54:

Con el fin de reforzar el «derecho a la supresión » en el entorno en línea, el derecho de supresión también debe ampliarse de tal forma que los responsables del tratamiento que hayan hecho públicos los datos personalessin justificación legal estén obligados a tomar todas las medidas necesarias para que se supriman los datos, también por parte de terceros, sin perjuicio alguno del derecho del interesado a exigir una compensación . (54 bis) Los datos que sean objeto de impugnación por el interesado o cuya exactitud o inexactitud no pueda determinarse deben bloquearse hasta que se aclare la cuestión.

Considerando 129:

Referencia tangencial al derecho de supresión


Propuesta de Reglamento.

Art. 16 Derecho de acceso y obtención de datos

1. A reserva de lo dispuesto en el artículo 12, apartado 4, los interesados que lo soliciten tendrán derecho a obtener del responsable del tratamiento, en cualquier momento, confirmación de si se están tratando o no datos personales que les conciernen, así como, en un lenguaje claro y llano, la siguiente información:

d) el plazo durante el cual se conservarán los datos personales o, cuando esto no sea posible, los criterios utilizados para determinar este plazo ;



Art. 17 Derecho de supresión

1. El interesado tendrá derecho a que el responsable del tratamiento suprima los datos personales que le conciernen y se abstenga de darles más difusión y , en relación con terceros, a que estos supriman todos los enlaces a los datos personales, copias o reproducciones de los mismos, cuando concurra alguna de las circunstancias siguientes:

a) los datos ya no son necesarios en relación con los fines para los que fueron recogidos o tratados;

b) el interesado retira el consentimiento en que se basa el tratamiento de conformidad con lo dispuesto en el artículo 6, apartado 1, letra a), o ha expirado el plazo de conservación autorizado y no existe otro fundamento jurídico para el tratamiento de los datos;…

1 bis. La aplicación del apartado 1 dependerá de la capacidad del responsable del tratamiento para comprobar que es el interesado quien solicita la supresión de los datos.




3. El responsable del tratamiento y, en su caso, el tercero procederán a la supresión sin demora, salvo en la medida en que la conservación de los datos personales sea necesaria:

a) para el ejercicio del derecho a la libertad de expresión de conformidad con lo dispuesto en el artículo 80;

b) por motivos de interés público en el ámbito de la salud pública de conformidad con lo dispuesto en el artículo 81;

c) con fines de investigación histórica, estadística y científica de conformidad con lo dispuesto en el artículo 83;

d) para el cumplimiento de una obligación legal de conservar los datos personales impuesta por la legislación de la Unión o de un Estado miembro a la que esté sujeto el responsable del tratamiento; las legislaciones de los Estados miembros deberán perseguir un objetivo de interés público, respetar el derecho a la protección de datos personales y ser proporcionales a la finalidad legítima perseguida;

e) en los casos contemplados en el apartado 4.




4. En lugar de proceder a la supresión, el responsable del tratamiento limitará el tratamiento de datos personales, de forma que no sean objeto de las operaciones normales de acceso y tratamiento y no puedan volver a modificarse, cuando:

b) el responsable del tratamiento ya no necesite los datos personales para la realización de su misión, pero estos deban conservarse a efectos probatorios;

d bis) el tipo determinado de tecnología de conservación de los datos no permita su supresión, siempre que dicha tecnología se hubiese puesto en práctica antes de la entrada en vigor del presente Reglamento.

8 bis. El responsable del tratamiento implementará mecanismos para garantizar que se respetan los plazos fijados para la supresión de los datos personales, así como para el examen periódico de la necesidad de conservar los datos.

Novedades que incluye el reglamento

1) Ámbito extraterritorial de aplicación no solo a los tratamientos de datos que se produzcan en el ámbito de la Unión Europea, sino a tratamientos de datos que se produzcan fuera del ámbito territorial de la Unión Europea, pero que afecten a ciudadanos o residentes en la Unión Europea.

2) Principios novedosos en materia de protección de datos;

Privacy by design (privacidad por diseño)

Privacy by default (privacidad por defecto)

Accountability (principio de responsabilidad o compromiso de los responsables y encargados)

3) Cambio radical en cuanto al sistema de infracciones y sanciones.

Novedades que incluye el reglamento Se incrementa la cuantía de las sanciones que se pueden imponer (se impondrán en

función del volumen de ingresos totales de la empresa, el volumen de negocio a nivel mundial)

Se extiende a las Administraciones Públicas.

4) Cambia también el marco institucional; el llamado Grupo del art. 29 de protección de datos se renueva

5) Se establece la figura del «Delegado de Protección de Datos», primero obligatoria en todas las empresas de más de 200/250 trabajadores y en todas las Administraciones Públicas. Un Delegado de Protección de Datos debe ser independiente, debe de tener una relación directa con el máximo responsable de la entidad pública o privada de que se trate, y velaría por el cumplimiento de la protección de datos

6) Impulso importante en favor de la autorregulación, novedades en las transferencias internacionales, una referencia expresa a las Binding Corporate Rules (BCR), las Normas Corporativas Vinculantes modernizando la protección de datos, pero desde el rigor

Límites(Jeff Ausloos)

El alcance del derecho de aplicación debe limitarse en los casos en que el titular de los datos proporcionó su consentimiento inequívoco, que demuestra una percepción de la privacidad como control, no como dignidad. Todas las otras situaciones que legitiman el procesamiento de datos implican “necesidad” y están fuera de la libre voluntad de la persona interesada. Sobre este aspecto volveremos en breve.

Y además, como medida de seguridad contra la censura y el borrado no deseado de datos, el “derecho a ser olvidado” debe estar limitado por un “interés público”. Esta excepción cubriría, pero no se limita a, las cuestiones de la libertad de expresión.

Este autor, a quien seguimos, introduce dos conceptos correctores interesantes, haciendo saber que para decidir en su aplicación, se podría contar con un estándar de “relevancia sustancial” (con respecto a los datos personales) y una prueba de proporcionalidad (con respecto a la solicitud de supresión).

Pero en última instancia, serán los jueces y autoridades nacionales de protección de datos quienes decidan sobre el alcance exacto de la excepción. La carga de la prueba, como dio a entender la Comisaria de la Unión Europea Viviane Reding debe estar en el controlador de datos (lo que supone una regla decidida en favor de los usuarios-afectados).

Alternativas técnicas de implantación(Jeff Ausloos)

Expiry Date (fecha de expiración)

Una posibilidad apuntada es que los datos que se comparten online nazcan con fecha de caducidad, de manera que llegado el dies ad quem, la información decaería.

Sin embargo, la viabilidad de este principio teórico está lejos de ser evidente.

Alternativamente, una protección técnica más profunda podría insertarse en los datos, de forma similar a la protección DRM (se refiere a los Digitals Rights Managements, sistema de protección de acceso a obras protegidas) de la propiedad intelectual.

La idea de que una persona tendrá que dar una fecha de caducidad cada vez que los datos personales están siendo recogidos parece poco realista. Además, se corre el riesgo de convertirse en un requisito meramente pro-forma al que nadie realmente presta atención. Y lo que es peor, nada impediría que alguien copiara o descifrara los datos durante el tiempo en que están accesibles.


- Reputation Managers (Gerentes de reputación)

Sitios web que se ofrecen a controlar toda la información que circula sobre una persona, la defensa de su reputación técnica y legalmente (por ejemplo mediante la supresión de la información nociva o lo que es inaccesible) e incluso “definir su imagen”.

Esto ilustra claramente las posibles amenazas de censura y la malversación de fondos y la distorsión de la información en Internet.


- Alternatives (alternativas):

Se refiere a la búsqueda de alternativas que nazcan con la protección de la privacidad como estandarte del funcionamiento normal de la intercomunicación online y que son proyectos de código abierto, lo que permite la entrada de todo el mundo.

Uno de los ejemplos más notables y recientes en este sentido es “Diáspora”. Se trata de una plataforma de red social construida desde cero con la protección de la privacidad en mente y está totalmente desarrollada por una comunidad global de voluntarios

El caso “Costeja”

Cuestiones prejudiciales planteadas por la Audiencia Nacional

1) Por lo que respecta a la aplicación territorial de la Directiva 95/46/CE y, consiguientemente de la normativa española de protección de datos:

1.1. ¿Debe interpretarse que existe un «establecimiento», en los términos descritos en el art. 4.1.a) de la Directiva 95/46/CE, cuando concurra alguno o algunos de los siguientes supuestos:

— cuando la empresa proveedora del motor de búsqueda crea en un Estado miembro una oficina o filial destinada a la promoción y venta de los espacios publicitarios del buscador, que dirige su actividad a los habitantes del Estado,

o

— cuando la empresa matriz designa a una filial ubicada en ese Estado miembro como su representante y responsable del tratamiento de dos ficheros concretos que guardan relación con los datos de los clientes que contrataron publicidad con dicha empresa

o

— cuando la oficina o filial establecida en un Estado miembro traslada a la empresa matriz, radicada fuera de la Unión Europea, las solicitudes y requerimientos que le dirigen tanto los afectados como las autoridades competentes en relación con el respeto al derecho de protección de datos, aun cuando dicha colaboración se realice de forma voluntaria?


1.2. ¿Debe interpretarse el art. 4.1.c) de la Directiva 95/46/CE en el sentido de que existe un «recurso a medios situados en el territorio de dicho Estado miembro»

— cuando un buscador utilice arañas o robots para localizar e indexar la información contenida en páginas web ubicadas en servidores de ese Estado miembro

o

— cuando utilice un nombre de dominio propio de un Estado miembro y dirija las búsquedas y los resultados en función del idioma de ese Estado miembro?

1.3. ¿Puede considerarse como un recurso a medios, en los términos del art. 4.1.c) de la Directiva 95/46/CE, el almacenamiento temporal de la información indexada por los buscadores en internet? Si la respuesta a esta última cuestión fuera afirmativa, ¿puede entenderse que este criterio de conexión concurre cuando la empresa se niega a revelar el lugar donde almacena estos índices alegando razones competitivas?

1.4. Con independencia de la respuesta a las preguntas anteriores y especialmente en el caso en que se considerase por el Tribunal de Justicia de la Unión que no concurren los criterios de conexión previstos en el art. 4 de la Directiva,

¿Debe aplicarse la Directiva 95/46/CE en materia de protección de datos, a la luz del art. 8 de la Carta Europea de Derechos Fundamentales, en el país miembro donde se localice el centro de gravedad del conflicto y sea posible una tutela más eficaz de los derechos de los ciudadanos de la Unión Europea?


2) Por lo que respecta a la actividad de los buscadores como proveedor de contenidos en relación con la Directiva 95/46/CE de Protección de Datos:

2.1. En relación con la actividad del buscador de la empresa «Google» en internet, como proveedor de contenidos, consistente en localizar la información publicada o incluida en la red por terceros, indexarla de forma automática, almacenarla temporalmente y finalmente ponerla a disposición de los internautas con un cierto orden de preferencia, cuando dicha información contenga datos personales de terceras personas,

¿Debe interpretarse una actividad como la descrita comprendida en el concepto de «tratamiento de datos» contenido en el art. 2.b de la Directiva 95/46/CE?


2.2. En caso de que la respuesta anterior fuera afirmativa y siempre en relación con una actividad como la ya descrita: ¿Debe interpretarse el artículo 2.d) de la Directiva 95/46/CE, en el sentido de considerar que la empresa que gestiona el buscador «Google» es «responsable del tratamiento» de los datos personales contenidos en las páginas web que indexa?

2.3. En caso de que la respuesta anterior fuera afirmativa: ¿Puede la autoridad nacional de control de datos (en este caso la Agencia Española de Protección de Datos), tutelando los derechos contenidos en el art. 12.b) y 14.a) de la Directiva 95/46/CE, requerir directamente al buscador de la empresa «Google» para exigirle la retirada de sus índices de una información publicada por terceros, sin dirigirse previa o simultáneamente al titular de la página web en la que se ubica dicha información?


2.4. En el caso de que la respuesta a esta última pregunta fuera afirmativa, ¿Se excluiría la obligación de los buscadores de tutelar estos derechos cuando la información que contiene los datos personales se haya publicado lícitamente por terceros y se mantenga en la página web de origen?


3) Respecto al alcance del derecho de cancelación y/o oposición en relación con el derecho al olvido se plantea la siguiente pregunta:

3.1. ¿Debe interpretarse que los derechos de supresión y bloqueo de los datos, regulaos en el art. 12.b) y el de oposición, regulados en el art. 14.a) de la Directiva 95/46/CE comprenden que el interesado pueda dirigirse frente a los buscadores para impedir la indexación de la información referida a su persona, publicada en páginas web de terceros, amparándose en su voluntad de que la misma no sea conocida por los internautas cuando considere que puede perjudicarle o desea que sea olvidada, aunque se trate de una información publicada lícitamente por terceros?

Posición de Google Incy Google Spain

Para Google INC no le es de aplicación la normativa española y europea de protección de datos al ser de su propiedad las arañas que rastrean continuamente la red, estar domiciliada en EEUU y no tener establecimiento permanente en España, ya que Google Spain SL sólo se dedica a comercializar los productos y servicios de Google INC.

Con sus motores de búsqueda no se producen tratamientos de datos personales en los términos establecidos en la legislación española y europea y en todo caso se debería acudir a la fuente para que elimine el contenido o instale un dispositivo (norobot.txt) que evite la indexación del contenido por parte de sus arañas.

Dictamen del Abogado General TJUE Niilo Jääskinen

1. Aplicabilidad territorial normativa protección de datos

Debe considerarse que un establecimiento trata datos personales si está vinculado a un servicio que participa en la venta de publicidad orientada a los habitantes de este Estado miembro, aunque las operaciones de tratamiento técnico de los datos estén situadas en otro Estado miembro o en países terceros.

Por consiguiente, propone al Tribunal de Justicia que declare que se lleva a cabo tratamiento de datos personales en el marco de las actividades de un establecimiento del responsable del tratamiento y que, por tanto, la normativa nacional en materia de protección de datos es de aplicación a un proveedor de un motor de búsqueda cuando éste establece en un Estado miembro, a fines de promover y vender espacios publicitarios en su motor de búsqueda, una oficina que orienta su actividad hacia los habitantes de dicho Estado.


2. Situación jurídica de Google como proveedor de servicios de motor de búsqueda en Internet

Cuando se adoptó la Directiva en 1995, Internet y los motores de búsqueda eran fenómenos novedosos y el legislador comunitario no previó su evolución actual.

No se ha de considerar que Google es, con carácter general, «responsable del tratamiento» de los datos contenidos en las páginas web que procesa, siendo así que el responsable del tratamiento, según la Directiva, es responsable del respeto de las normas de protección de datos. En efecto, la puesta a disposición de una herramienta de localización de información no implica control alguno sobre el contenido incluido en páginas web de terceros. Tampoco permite al proveedor de servicios de motor de búsqueda en Internet realizar distinciones entre datos personales en el sentido de la Directiva, es decir, relacionados con una persona física viva identificable, y otro tipo de datos. El proveedor de servicios de motor de búsqueda en Internet no puede ni jurídicamente ni de hecho cumplir las obligaciones del responsable del tratamiento en relación con los datos personales contenidos en páginas web fuente alojadas en servidores de terceros.


En consecuencia, una autoridad nacional de protección de datos no puede requerir a un proveedor de servicios de motor de búsqueda en Internet que retire información de su índice, salvo en los supuestos en que el proveedor de servicios no ha respetado los códigos de exclusión 4 o en los que no se ha dado cumplimiento a una solicitud emanada de la página web relativa a la actualización de la memoria oculta. Este supuesto no parece pertinente en relación con el presente asunto. La existencia de un procedimiento de «detección y retirada» que afecte a enlaces de las páginas web fuente con contenidos ilícitos o inapropiados es una cuestión regulada por el Derecho nacional, la responsabilidad civil basada en motivos distintos de la protección de datos personales.

En tercer lugar, la Directiva no establece ningún «derecho al olvido» generalizado. Por tanto, no puede invocarse tal derecho frente a proveedores de servicios de motor de búsqueda sobre la base de la Directiva, aun cuando ésta se interpreta con arreglo a la Carta de los Derechos Fundamentales de la Unión Europea.

Los derechos de rectificación, supresión y bloqueo de datos establecidos en la Directiva se refieren a datos cuyo tratamiento no cumple lo dispuesto en la Directiva, en particular debido al carácter incompleto o inexacto de los datos. Éste no parece ser el caso en el presente asunto.


La Directiva también reconoce a toda persona el derecho a oponerse, en cualquier momento y por razones legítimas propias de su situación particular, a que los datos que le conciernan sean objeto de tratamiento, salvo cuando la legislación nacional disponga otra cosa. No obstante, el Abogado General considera que una preferencia subjetiva por sí sola no equivale a una razón legítima y que, por tanto, la Directiva no faculta a una persona para restringir o poner fin a la difusión de datos personales que considere lesivos o contrarios a sus intereses.

Es posible que la responsabilidad secundaria de los proveedores de servicio de motor de búsqueda con arreglo al Derecho nacional implique la existencia de deberes que exijan bloquear el acceso a páginas web de terceros con contenidos ilegales, como las páginas web que vulneran derechos de propiedad intelectual o que muestran información injuriosa o delictiva. En cambio, solicitar a los proveedores de servicios de motor de búsqueda que eliminen información legítima y legal que se ha hecho pública traería consigo una injerencia en la libertad de expresión del editor de la página web. En su opinión, equivaldría a una censura del contenido publicado realizada por un particular.

Las respuestas en la sentencia TJUE

- La actividad de los motores de búsqueda como Google constituye un tratamiento de datos de carácter personal, del que es responsable el propio motor, dado que éste determina los fines y los medios de esta actividad, que consiste en hallar información publicada o puesta en Internet por terceros, indexarla de manera automática, almacenarla temporalmente y, por último, ponerla a disposición de los internautas según un orden de preferencia determinado.

- Ese tratamiento está sometido a las normas de protección de datos de la Unión Europea, dado que Google ha creado en un Estado miembro un establecimiento para la promoción y venta de espacios publicitarios y cuya actividad se dirige a los habitantes de ese Estado.

- Las personas tienen derecho a solicitar del motor de búsqueda, con las condiciones establecidas en la Directiva de protección de datos, la eliminación de referencias que les afectan, aunque esta información no haya sido eliminada por el editor ni dicho editor haya solicitado su desindexación. En caso de no atenderse su solicitud, las personas tienen derecho a recabar la tutela de la AEPD y de los Tribunales.

- El derecho a la protección de datos de las personas prevalece, con carácter general, sobre el “mero interés económico del gestor del motor de búsqueda” salvo que el interesado tenga relevancia pública y el acceso a la información esté justificado por el interés público.


A fin de viabilizar el pedido se tiene que analizar en concreto “si el interesado tiene derecho a que la información en cuestión relativa a su persona ya no esté, en la situación actual, vinculada a su nombre por una lista de resultados obtenida tras una búsqueda efectuada a partir de su nombre, sin que la apreciación de la existencia de tal derecho presuponga que la inclusión de la información en cuestión en la lista de resultados cause un perjuicio al interesado.

Puesto que éste puede, habida cuenta de los derechos que le reconocen los artículos 7 y 8 de la Carta, solicitar que la información de que se trate ya no se ponga a disposición del público en general mediante su inclusión en tal lista de resultados, estos derechos prevalecen, en principio, no sólo sobre el interés económico del gestor del motor de búsqueda, sino también sobre el interés de dicho público en acceder a la mencionada información en una búsqueda que verse sobre el nombre de esa persona.


Sin embargo, tal no sería el caso si resultara, por razones concretas, como el papel desempeñado por el interesado en la vida pública, que la injerencia en sus derechos fundamentales está justificada por el interés preponderante de dicho público en tener, a raíz de esta inclusión, acceso a la información de que se trate”.

De cumplirse los requisitos para el ejercicio de estos derechos, “el gestor de un motor de búsqueda está obligado a eliminar de la lista de resultados obtenida tras una búsqueda efectuada a partir del nombre de una persona vínculos a páginas web, publicadas por terceros y que contienen información relativa a esta persona, también en el supuesto de que este nombre o esta información no se borren previa o simultáneamente de estas páginas web, y, en su caso, aunque la publicación en dichas páginas sea en sí misma lícita”.

Consecuencias prácticas del fallo

La práctica totalidad de los más importantes medios de comunicación del mundo han reseñado la noticia y hoy todos sabemos, no por Google, sino por la publicación de la sentencia, que el nombre del reclamante al que ahora se da la razón apareció en La Vanguardia de los días 19 de enero y 9 de marzo de 1998 asociado a una subasta de inmuebles relacionada con un embargo por deudas a la Seguridad Social.

Paradójicamente, Google deberá borrar de su buscador unos datos que hoy ya todo el mundo conoce. Y que van a permanecer en todas las páginas web en las que ha aparecido, incluida la propia del Tribunal de Justicia. De modo que la información desaparecerá del buscador de Google al mismo tiempo que se hace de universal conocimiento. Con la desventaja para el reclamante de que al ser cancelada del buscador no va a serle posible saber quién dispone de información referente a su persona y, por tanto, le va a ser más que difícil ejercer su legítimo derecho de cancelación u oposición ante los responsables de ficheros o tratamientos que hayan tratado sus datos sin su consentimiento.


La sentencia solo obliga a eliminar los datos obtenidos como consecuencia de búsquedas “efectuadas a partir del nombre de una persona física”, lo que deja fuera cualquier otro criterio.

Obliga a ponderar si el interesado tiene derecho o no a que se borre la información relativa a su persona (siempre que se busque de acuerdo a aquel criterio).

La idea del buscador como mera correa de transmisión de la información existente en Internet, que la pone a disposición de todos cuanto la busquen, desaparece.

El buscador es el responsable del tratamiento, de modo que podría darse el caso de que libremente decidiese no incluir información de una determinada persona, que de este modo se haría invisible en Internet, lo que hoy puede suponer su inexistencia virtual.


En otro orden de cosas, dado que, como dice la sentencia, la puesta a disposición de la información por los buscadores es una cesión de datos, también debe considerarse que la captación de la información por parte de los buscadores implica asimismo una cesión por parte de los editores, que debería estar legitimada por el consentimiento del afectado o por lo que establezca una ley (que no la hay).

Por ello, los editores estarían cediendo datos de terceros a los buscadores de modo ilícito y además sin implantar medidas de seguridad que lo eviten. Lo que lleva a la absurda consecuencia de que todos los editores de contenidos deberían contar con el consentimiento de los afectados o evitar que los buscadores accedan a los datos personales en ellos contenidos y deberían informar a los interesados de la posibilidad de que sus datos sean indexados por los buscadores.

Además, el que un buscador cancele los datos de una persona no significa que tales datos desaparezcan de Internet.

Siguen existiendo y cualquiera podrá localizarlos a través de otros buscadores o de forma más artesanal. En consecuencia, dudo mucho de que la sentencia del caso Google mejore o aclare realmente el alcance de nuestra privacidad.


Se soluciona uno de los mayores problemas de la red ante amenazas y riesgos para la privacidad, a saber, la universalidad de la red y la falta de normativas sobre protección de datos en numerosos Estados. La retirada de los índices de búsqueda puede ser la única alternativa posible si el propietario de un sitio web o su servidor está domiciliado en alguno de estos países.

Los criterios para eliminar el resultado de búsqueda deben ser casi automáticos y la única verificación que deberían realizar los motores de búsqueda es la de comprobar la identidad del reclamante, al tratarse de derechos personalísimos. Por el contrario los editores de contenidos si tendrán que entrar a valorar si procede o no el ejercicio de esos derecho, pues así parece desprenderse del fallo cuando dice: “también en el supuesto de que este nombre o esta información no se borren previa o simultáneamente de estas páginas web, y, en su caso, aunque la publicación en dichas páginas sea en sí misma lícita”.


Que se pueda bajo determinadas condiciones exigir a un buscador que nos elimine de su lista de resultados no impide que se pueda reclamar también a la fuente la eliminación del contenido, salvo:

a) que exista una obligación legal que obligue a ello o que se demuestre un interés legítimo en el tratamiento)

b) que se esté ante uno de los casos en los que no proceda la eliminación del contenido (como puede ser una publicación obligatoria en boletín oficial)

c) que se instale un mecanismo que impida su indexación por buscadores como se ha venido haciendo hasta la fecha.

Siempre será mejor acudir a la fuente para que elimine o evite la indexación, ya que los buscadores se actualizan periódicamente, y antes o después desaparecerá de la lista de resultados.

Si nos dirigimos sólo al buscador corremos el riesgo de no poder localizar qué sitios web se están haciendo eco de ese contenido. No aparecerá en una lista de resultados pero cualquier internauta que acceda a ese sitio web tendrá acceso al contenido.


Google elaboró un formulario para ejercer el derecho al olvido y a constituir una Comisión Internacional de Expertos para la evaluación de la aplicación de la sentencia

Google comunica a los editores, sean medios de comunicación o responsables de páginas web, que ha eliminado un enlace en un resultado de búsqueda porque una persona lo ha pedido

Esa comunicación no está exigida por la sentencia,


Google:

Certain users can ask search engines to remove results for queries that include their name where those results are inadequate, irrelevant or no longer relevant, or excessive in relation to the purposes for which they were processed.

In implementing this decision, we will assess each individual request and attempt to balance the privacy rights of the individual with the public’s right to know and distribute information. When evaluating your request, we will look at whether the results include outdated information about you, as well as whether there’s a public interest in the information—for example, information about financial scams, professional malpractice, criminal convictions, or public conduct of government officials.

If you have a removal request, please fill out the form below. Please note that this form is an initial effort. We look forward to working closely with data protection authorities and others over the coming months as we refine our approach.

Estadísticas europeas

Google informó que entre el 29 de mayo, día en que se abrieron las solicitudes de petición al "derecho al olvido", y el 30 de junio ha recibido más de 70.000 requerimientos de ciudadanos europeos, 6.000 de ellos de España.

Protección de datos analiza si Google se extralimita con el derecho al olvidohttp://www.publico.es/532135/proteccion-de-datos-analiza-si-google-se-extralimita-con-el-derecho-al-olvido

Protección de datos analiza si Google se extralimita con el derecho al olvido

"Les diremos qué actuaciones no consideramos compatibles con la normativa de protección de datos y cuáles no son necesarias para dar cumplimiento a la sentencia porque parece que en esta fase inicial Google está realizando más actuaciones de las requeridas", ha subrayado. En este sentido, Rodríguez ha apuntado que, de darse un sobrecumplimiento o una extralimitación a la hora de aplicar el fallo, será responsabilidad de Google, quien tendrá que "explicar a las autoridades y los afectados por qué hace esas actividades"

Formulario Google

A recent ruling by the Court of Justice of the European Union found that certain users can ask search engines to remove results for queries that include their name where those results are inadequate, irrelevant or no longer relevant, or excessive in relation to the purposes for which they were processed.

In implementing this decision, we will assess each individual request and attempt to balance the privacy rights of the individual with the public’s right to know and distribute information. When evaluating your request, we will look at whether the results include outdated information about you, as well as whether there’s a public interest in the information—for example, information about financial scams, professional malpractice, criminal convictions, or public conduct of government officials.

If you have a removal request, please fill out the form below. Please note that this form is an initial effort. We look forward to working closely with data protection authorities and others over the coming months as we refine our approach.

Formulario Google

Search removal request under European Data Protection law

You will need a copy of a valid form of photo ID to complete this form. Fields marked with an asterisk * must be completed for your form to be submitted.

We're working to finalize our implementation of removal requests under European data protection law as soon as possible. In the meantime, please fill out the form below and we will notify you when we start processing your request. We appreciate your patience.

Please select the country whose law applies to your request *

Please select one

Your information

Name *

Your own name, if you are representing somebody else (If you’re sending a request for someone else, you must have the legal authority to act on their behalf) ?

If you are submitting this request on behalf of someone else, please specify your relationship to that person (for example: “parent” or “attorney”)

Contact email address *(where confirmation email will be sent)

Formulario Google

Search results you want removed from the list of results produced when searching for the name

For us to evaluate your request, you must:

(a) Identify each result in the list of results that you want removed by providing the URL for the web page that the result links to. (The URL can be taken from your browser bar after clicking on the search result in question.)

(b) Explain why the linked web page is about you (or, if you are submitting this form on behalf of someone else, why the page is about that person)

(c) For each URL, please explain why the inclusion of this URL as a search result is irrelevant, outdated, or otherwise objectionable.

URLs for results you want removed * Add additional

If your request concerns more than one result, please provide the URL for each result and an explanation of why the inclusion of that result in search results is irrelevant, outdated, or otherwise objectionable. We will not be able to process your complaint without this information. *For example:

http://example_1.com

This URL is about me because... This page should not be included as a search result because...

http://example_2.com

This URL is about me because... This page should not be included as a search result because...

Formulario Google

To prevent fraudulent removal requests from people impersonating others, trying to harm competitors, or improperly seeking to suppress legal information, we need to verify identity. Please attach a legible copy of a document that verifies your identity (or the identity of the person whom you are authorized to represent). A passport or other government-issued ID is not required. You may obscure parts of the document (e.g., numbers) as long as the remaining information identifies you. You may also obscure your photograph, unless you are asking for removal of pages that include photographs of you. Google will use this information solely to help us document the authenticity of your request and will delete the copy within a month of closing your removal request case except as otherwise required by law.

I represent that the information in this request is accurate and that I am the person affected by the web pages identified, or I am authorized by the person affected to submit this request. *

Please check to confirm

Please note that we will not be able to process your request if the form isn't properly filled out or if the request is incomplete.

Formulario Google

Signature

Signed on this date of *

Signature *

By typing your name below and clicking ‘submit’, you are representing that the above statements are true, that you are requesting the removal of the search results identified by the URLs you have listed above, and that, if you are acting on behalf of another persons, you have the legal authority to do so.

Google Inc. will use the personal information that you supply on this form (including your e-mail address and any ID information) for the purposes of processing your request and meeting our legal obligations. We may share details of your request with data protection authorities, but only when they require these details to investigate or review a decision that we have made. That will normally be because you have chosen to contact your national DPA about our decision. We may provide details to webmaster(s)of the URLs that have been removed from our search results.

El derecho al olvido en Internet A propósito de la sentencia del STJUE de 13/05/14 en el asunto...

Documents

Transcript of El derecho al olvido en Internet A propósito de la sentencia del STJUE de 13/05/14 en el asunto...