viernes, 23 de mayo de 2014

Cuatro reflexiones sobre la sentencia Google Spain del Tribunal de Justicia

            En una primera valoración de la ya célebre sentencia Google Spain, C-131/12, de 13 de mayo, merecen ser destacadas cuatro cuestiones, que se corresponden con los epígrafes en los que está dividida esta reseña: concreción del ámbito de aplicación espacial de la legislación europea sobre protección de datos; caracterización del gestor del motor de búsqueda como responsable del tratamiento; obligaciones del motor de búsqueda e interacción con la posición de los editores de sitios de Internet; y alcance del llamado derecho al olvido. En lo relativo al aspecto clave de la interacción entre las obligaciones de los editores de sitios de Internet y las que corresponden a los gestores de motores de búsqueda –como Google Inc.-, resulta de interés destacar desde un principio que alguno de los aspectos controvertidos de la resolución –así como las circunstancias mismas en las que la controversia se planteó- aparecen vinculados con la posición de claro dominio de Google en el sector de las búsquedas por Internet. Por otra parte, al centrarse la sentencia en valorar la posición de los gestores de motores de búsqueda, el análisis de la posición de los editores de páginas web y de las obligaciones que sobre los mismos recaen en relación con la puesta a disposición de contenidos es objeto de una atención menor en la sentencia, pero cabe entender que para el futuro resulta una cuestión de singular interés, en particular con respecto a la disponibilidad de protocolos que facilitan la exclusión de contenidos de la indexación por buscadores.


I. Sometimiento del editor del motor de búsqueda –Google Inc- a la legislación española de protección de datos
           
Es conocido que el artículo 2 LOPD –que incorpora el art. 4 de la Directiva 95/46/CE- prevé la aplicación de la legislación española, en particular, cuando “el tratamiento sea efectuado en territorio español en el marco de las actividades de un establecimiento del responsable del tratamiento” o cuando “el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito”. A partir de la vinculación existente entre Google Inc –gestora del buscador- y su filial en España Google SL, el Tribunal de Justicia concluye sobre este particular que el artículo 4 de la Directiva “debe interpretarse en el sentido de que se lleva a cabo un tratamiento de datos personales en el marco de las actividades de un establecimiento del responsable de dicho tratamiento en territorio de un Estado miembro, en el sentido de dicha disposición, cuando el gestor de un motor de búsqueda crea en el Estado miembro una sucursal o una filial destinada a garantizar la promoción y la venta de espacios publicitarios propuestos por el mencionado motor y cuya actividad se dirige a los habitantes de este Estado miembro”.
Se trata de una respuesta coherente con el dato de que el concepto de “establecimiento” en el marco del artículo 4 de la Directiva venía siendo entendido como un término muy amplio en el que lo determinante es el ejercicio efectivo y real en el país en cuestión de una actividad mediante una instalación estable con independencia de la forma jurídica de ésta. El objetivo de la Directiva 95/46 de garantizar una protección eficaz y completa del derecho fundamental al tratamiento de los datos personales, excluye según el criterio del Tribunal una interpretación restrictiva del ámbito de aplicación de la legislación europea (como recoge el ap. 53 de la sentencia), lo que favorece una interpretación según la cual la idea de que de que la existencia de una filial dedicada a comercializar servicios básicos para la rentabilidad y viabilidad del servicio que presta la empresa matiz resulta determinante para apreciar que ésta tiene un establecimiento en España a los efectos de la Directiva. A este respecto el Tribunal destaca que las actividades del gestor del motor de búsqueda y las de su establecimiento situado en España, dedicado básicamente a comercializar espacios publicitarios en el buscador, están indisociablemente ligadas, concluyendo que el tratamiento de datos personales por el gestor del buscador “se lleva a cabo en el marco de la actividad publicitaria y comercial del establecimiento” existente en España.
Más allá de su concreta formulación en la sentencia, el resultado alcanzado con respecto al sometimiento de Google Inc a la legislación española de protección de datos no parece rechazable. No está de más recordar que, como señalaba en mi comentario previo al hilo del auto de la Audiencia Nacional que ha dado lugar a la sentencia reseñada del Tribunal de Justicia: “…tratándose de las actividades de un prestador de servicios que tiene decenas de millones de usuarios en la UE, que dirige  sus servicios (entre otros) a los países de la UE, que ofrece espacios publicitarios específicamente dirigidos a anunciantes interesados en comercializar sus productos o servicios en países de la UE, que dispone de establecimientos en Estados de la UE dedicados a la comercialización de servicios esenciales para la rentabilidad del buscador… parece razonable que quede sometido a la legislación de la UE en materia de datos personales (…). Cualquier otro resultado menoscabaría gravemente la protección del derecho fundamental a la protección de datos de carácter personal y constituiría una discriminación intolerable para los prestadores de servicios establecidos en la UE que favorecería la deslocalización de estos servicios a países con un marco menos estricto en materia de protección de datos (o incluso carentes de cualquier regulación en la materia).”
De cara al futuro, es de prever que la evolución próxima de la legislación europea sobre protección de datos consolide este resultado. A este respecto el artículo 3 de la Propuesta de Reglamento general de protección de datos de la UE -COM(2012) 11 final- contempla una significativa evolución en la medida en que incluye como criterio determinante de la aplicación de la legislación de la UE con respecto a las situaciones en las que el tratamiento de datos no se produce en el marco de un establecimiento del responsable, el que el tratamiento de datos personales de los residentes en la Unión Europea esté relacionado con la oferta de bienes o servicios a esos interesados en la Unión. Esta evolución en gran medida se corresponde con el propósito de hacer depender la aplicación de la legislación en esta materia de que el responsable dirija la actividad en el marco del cual tiene lugar el tratamiento al Estado de la residencia del interesado. Se trata de un enfoque que facilitará el sometimiento a la legislación europea (y a la competencia de las autoridades administrativas de sus Estados miembros) de quienes no se encuentran establecidos en la Unión, pero tratan datos de residentes en la Unión en circunstancias en las que es apropiado que queden sometidos a la legislación europea. En todo caso, la sentencia ahora reseñada es de prever que siga siendo de gran interés tras la aprobación de la nueva legislación de la UE en la materia, en la medida en que también se contempla  mantener como criterio suficiente para que sea aplicable el futuro Reglamento el que el tratamiento de datos personales tenga lugar en el contexto de las actividades de un establecimiento del responsable o del encargado del tratamiento en la Unión.

II. Caracterización del gestor del motor de búsqueda como responsable del tratamiento

            Que las actividades propias del funcionamiento de un buscador implican un “tratamiento” de datos personales en el sentido del artículo 2.b) de la Directiva 95/46 es algo que básicamente resultaba ya de la jurisprudencia anterior del Tribunal, en particular a la luz de sus sentencias en los asuntos Lindqvist y Satamedia. La nueva sentencia viene a confirmar ese criterio, precisando que esa conclusión debe afirmarse aunque el buscador realice sus operaciones conjuntamente con respecto a informaciones que no son datos personales, se limite a tratar datos que ya han sido publicados en Internet y no modifique tales datos (aps. 28 y 29). Por el contrario, un aspecto más controvertido –como refleja la comparación de la sentencia con el contenido de las conclusiones del Abogado General (sobre estas puede verse en este blog la entrada de 26 de junio de 2013)- es el relativo a la consideración del gestor del motor de búsqueda (Google Inc) como “responsable” del tratamiento de datos personales efectuado por el buscador.
            Elemento clave de la sentencia es precisamente la caracterización por el Tribunal de Justicia del buscador como responsable, en el sentido del artículo 2.d) de la Directiva. El Tribunal basa su respuesta afirmativa en que la misma se desprende con claridad del tenor literal del mencionado artículo 2.d), en la medida en que el gestor del motor de búsqueda determina los fines y los medios del tratamiento llevado a cabo en el funcionamiento del buscador, que se distingue con claridad del tratamiento realizado por los editores que incluyen las informaciones en sus sitios de Internet y que tiene lugar en el marco de una actividad que resulta determinante de la difusión global de esos datos (aps. 33 y ss de la sentencia). Significativo a este respecto para el Tribunal es que el tratamiento característico del buscador puede afectar decisivamente a los derechos fundamentales de respeto de la vida privada y de protección de datos personales, pues facilita el acceso a todo internauta a partir del nombre del interesado de resultados que permiten elaborar un perfil más o menos detallado del afectado, enlazando con páginas que contienen información sobre él y que sin el buscador no habría encontrado quien busca la información (aps. 35-37 y 80-83 de la sentencia).
            Al valorar el resultado alcanzado por el Tribunal, parece razonable convenir en que la extraordinaria trascendencia que tiene el funcionamiento de los buscadores en el acceso a la información sobre las personas es un elemento que favorece la idea de que la eventual consideración de los gestores de tales motores de búsqueda como “responsables” del tratamiento resultaría adecuada y coherente con el modelo de protección de datos existente en la Unión Europea. Cuestión diferente es si el concreto marco jurídico actual en lo que respecta a las obligaciones de los responsables –elaborado básicamente antes de la expansión del uso de Internet- resulta apropiado para regular adecuadamente la actividad de los gestores de motores de búsqueda, así como en lo relativo a otros aspectos, por ejemplo, de cara a precisar las obligaciones de los editores de páginas web con respecto a la utilización en el marco del tratamiento del que son responsables de protocolos que permiten la exclusión de contenidos de su indexación por los motores de búsqueda.

III. Obligaciones del motor de búsqueda e interacción con la posición de los editores de sitios de Internet

            La consideración como responsable del tratamiento del editor del motor de búsqueda se vincula con que el mismo deba cumplir, entre otros, con los principios relativos a la calidad de los datos (art. 6 de la Directiva) y a la legitimación del tratamiento (art. 7), así como que el interesado pueda ejercer frente al mismo el derecho de acceso a los datos (art. 12) y el derecho de oposición (art. 14). El Tribunal de Justicia opta por una interpretación de los artículos 12 y 14 según la cual el gestor de un motor de búsqueda puede está obligado a eliminar de la lista de resultados obtenida a partir del nombre de una persona vínculos a páginas web, publicadas por terceros y que contienen información relativa a esta persona, también en el supuesto de que este nombre o esta información no se borren previa o simultáneamente de estas páginas web, y, en su caso, aunque la publicación en dichas páginas sea en sí misma lícita.
            Los apartados 84 a 87 de la sentencia sintetizan por qué tal resultado se considera necesario para asegurar una protección eficaz y completa de los afectados por el tratamiento, que se vinculan con la posibilidad de que el mantenimiento de la información en la página web en la que figura sea legítimo, en situaciones como las siguientes: que el responsable de la página web donde la información se publica no esté sometido al Derecho de la Unión; que la publicación en la página web en cuestión se beneficie del régimen excepcional de los tratamientos con fines exclusivamente periodísticos (art. 9 de la Directiva); que la ponderación de intereses determinante para apreciar si el tratamiento es legítimo y si cabe oponerse al tratamiento (arts. 7.f y 14.a de la Directiva) sea diferente en relación con el tratamiento por el motor de búsqueda y el tratamiento por el editor de la página web. Además, el apartado 87 establece lo siguiente: “en la medida en que la inclusión, en la lista de resultados… facilita sensiblemente la accesibilidad de dicha información a cualquier internauta que lleve a cabo una búsqueda sobre el interesado y puede desempeñar un papel decisivo para la difusión de esta información, puede constituir una injerencia mayor en el derecho fundamental al respeto de la vida privada del interesado que la publicación por el editor de esta página web.”  
            Como señalaba en la introducción, la mayor injerencia en ese derecho fundamental inherente a la indexación de la información disponible en Internet por los buscadores, puede ser un elemento relevante no sólo con respecto a los buscadores sino también con respecto a los editores de páginas de Internet. En este sentido, aunque es una cuestión no abordada en la sentencia, cabe poner de relieve que en la aplicación de los principios relativos a la calidad de los datos y a la legitimación del tratamiento de datos por parte de editores de sitios de Internet puede resultar exigible a tales editores en determinadas circunstancias la inclusión en relación con el tratamiento de datos de los que son responsables de  protocolos de exclusión como «robot.txt», o de códigos como «noindex» o «noarchive» -como los aludidos en el ap. 39 de la sentencia-, para que una información determinada, publicada en su sitio, sea excluida total o parcialmente de los índices automáticos de los motores.
            Por otra parte, al margen de ciertas situaciones que no serán las más habituales en la práctica –como las referidas en los apartados 84 a 87 de la sentencia-, el que el afectado por el tratamiento se dirija frente al buscador (para eliminar un enlace del resultado) y no frente al editor del sitio web en el que se contiene la información, parece que puede ser un fenómeno asociado en buena medida a la clara posición de dominio de Google como motor de búsqueda. Precisamente, esa posición de dominio cabe entender que puede implicar ciertas cargas. Si en la prestación de servicios de motor de búsqueda hubiera un número relativamente elevado de operadores significativos no sería tan efectivo ni relevante que un concreto operador suprimiera ese enlace. Sería además mucho más importante para el afectado la eliminación de la información por el editor de la página web (o la difusión pero en circunstancia en la que no fuera indexable), pues sólo estas medidas garantizarían que no apareciera la información entre los resultados de búsqueda de ninguno de los buscadores.

IV. Alcance del llamado derecho al olvido

            En relación con el llamado derecho al olvido, el fallo de la sentencia establece que: “…se tendrá que examinar, en particular, si el interesado tiene derecho a que la información en cuestión relativa a su persona ya no esté, en la situación actual, vinculada a su nombre por una lista de resultados obtenida tras una búsqueda efectuada a partir de su nombre, sin que la apreciación de la existencia de tal derecho presuponga que la inclusión de la información en cuestión en la lista de resultados cause un perjuicio al interesado. Puesto que éste puede, habida cuenta de los derechos que le reconocen los artículos 7 y 8 de la Carta, solicitar que la información de que se trate ya no se ponga a disposición del público en general mediante su inclusión en tal lista de resultados, estos derechos prevalecen, en principio, no sólo sobre el interés económico del gestor del motor de búsqueda, sino también sobre el interés de dicho público en acceder a la mencionada información en una búsqueda que verse sobre el nombre de esa persona. Sin embargo, tal no sería el caso si resultara, por razones concretas, como el papel desempeñado por el interesado en la vida pública, que la injerencia en sus derechos fundamentales está justificada por el interés preponderante de dicho público en tener, a raíz de esta inclusión, acceso a la información de que se trate.
            Una vez establecido el carácter de responsable del tratamiento del gestor del motor de búsqueda y el carácter diferenciado de su tratamiento con respecto al tratamiento que lleva a cabo el editor de la página web en la que aparece la información, la solución alcanzada por el Tribunal con respecto al llamado derecho al olvido no parece diferir sustancialmente de la que resultaría del contenido del artículo 17 de la Propuesta de Reglamento general de protección de datos, antes mencionada.
Ahora bien, no cabe desconocer que la solución alcanzada conduce a un análisis casuístico por parte de los responsables del tratamiento, que puede resultar especialmente complejo en el caso de los motores de búsqueda. Por ello, de cara al futuro sería deseable que el proyectado Reglamento general sobre protección de datos de la UE introduzca elementos que favorezcan la seguridad jurídica en este ámbito.
En todo caso, si para que este derecho pueda ejercitarse frente al editor del motor de búsqueda es necesario que se trate de situaciones en las que el interesado puede “…solicitar que la información de que se trate ya no se ponga a disposición del público en general mediante su inclusión en tal lista de resultados” (en los términos del propio fallo), cabe entender que típicamente se tratará de situaciones en las que como mínimo resulta además exigible al editor del sitio web en el que se contiene la información que la misma se difunda haciendo uso de los protocolos o códigos fácilmente utilizables para excluir que la información sea indexable por los buscadores.