El derecho al olvido está ahora recogido en el artículo 17 del RGPD, que habilita a los interesados a solicitar, en determinados casos, la supresión de sus datos personales.
“Derecho al olvido”. Seguro que te suena el término de haberlo escuchado repetidas veces en los últimos años. El origen se sitúa en el caso conocido como Google Spain v. CostejaGonzález. Vamos a hacer un breve resumen para situarnos todos en la misma página: en 2010, Mario Costeja González solicitó al periódico La Vanguardia y a Google (tanto Google Inc. como Google España), la supresión de la información relativa a una orden de confiscación de su casa, la cual, a pesar de haber sido resuelta hacía años, aún era mostrada como principal información cuando se escribía su nombre en el buscador. Google recurrió la decision de la AEPD ante la Audiencia Nacional y ésta presentó unas cuestiones preliminares al TJUE. En el dictamen que emitió el TJUE, se estableció que un interesado puede solicitar al proveedor de un motor de búsqueda online la “supresión de la lista de resultados y enlaces que aparecen tras efectuar una búsqueda con el nombre de dicha persona, publicados por terceras partes y que contienen información personal, también cuando el nombre o información no son eliminados de ante mano o de forma simultánea de esas páginas e incluso, según las características del caso, cuando la publicación en sí misma sea legítima”.
El derecho al olvido está regulado ahora en el artículo 17 del RGPD. El objetivo de las recomendaciones del CEPD es interpretar el derecho al olvido cuando se aplica a los motores de búsqueda, conforme a las disposiciones de los artículos 17.1 y 21 RGPD, dado que éste último recoge el derecho de oposición, que puede servir como base para las solicitudes de eliminación de enlaces.
En relación al artículo 17.2 del RGPD, el CEPD señala que “las afirmaciones del Grupo de Trabajo del Artículo 29 que defienden que los motores de búsqueda “no deberían, como práctica general, informar a los administradores de las páginas web afectadas por la desindexación” porque “dicha comunicación no tendría base legal bajo la normativa europea de protección de datos”, continúan siendo válidas.
Las bases del derecho a solicitar desindexación de resultados bajo el RGPD
El artículo 17.1 RGPD establece seis bases conforme a las cuales se puede solicitar la supresión de datos personales:
En el contexto de una solicitud de desindexación de resultados, la clave es el equilibrio entre la protección de la privacidad y los intereses de los usuarios de internet para acceder a la información. El CEPD ofrece los siguientes ejemplos sobre escenarios en los cuales un interesado podría ejercer este derecho aplicado a los motores de búsqueda, en cumplimiento del artículo 17.1.a:
El TJUE ha interpretado que es difícil que esta cláusula se llegue a aplicar en los casos de desindexación, porque el responsable a quien el interesado dio su consentimiento es el editor de la página web, no el motor de búsqueda. Sin embargo, siempre que sujeto retire su consentimiento a una página web para el uso de sus datos, el editor original debería informar en consecuencia a los motores de búsqueda.
Al contrario que la anterior Directiva de Protección de Datos, el RGPD no impone a los interesados la obligación de demostrar “motivos legítimos imperiosos” de cara a oponerse al tratamiento “en relación a su situación particular”. Como resultado, cuando un motor de búsqueda recibe una solicitud para desindexar con base en la situación específica del interesado, deberá eliminar dichos datos a no ser que pueda demostrar “intereses legítimos predominantes” para listar dicha búsqueda. Así por tanto, hay una necesidad de evaluar la situación particular del sujeto, junto a los criterios tradicionales, como su rol en la vida pública, cómo su privacidad se ve afectada, la naturaleza de la información, si ésta ha sido verificada, la fecha de los hechos, etc.
El concepto de tratamiento ilegítimo deberá interpretarse a la luz, por un lado, del artículo 6 RGPD y, por otro, como el incumplimiento de cualquier provisión legal aparte del RGPD.
El cumplimiento con una obligación legal puede provenir de un requerimiento, una solicitud expresa de la ley nacional o europea por estar bajo “una obligación legal de supresión” o el mero incumplimiento por parte del responsable del período de retención.
Conforme a la Directiva 2000/31/EC, los servicios de la Sociedad de la Información no están únicamente limitados a “servicios que originan un contrato online, sino que también, en cuanto a que representan una actividad económica, se extienden a servicios que no son remunerados por parte de quienes los reciben, como la provisión de información online o comunicaciones comerciales, o aquellos que proporcionan herramientas que permiten la búsqueda, acceso y recuperación de los datos”.
Excepciones al derecho de solicitar desindexación conforme al artículo 17.3 RGPD
El artículo 17.3 RGPD afirma que las provisiones de los artículos 17.1 y 17.2 no se aplicarán cuando el tratamiento sea necesario. Sin embargo, conforme al CEPD, estas excepciones no parecen apropiadas en el caso de una solicitud de desindexación, lo cual es a favor de la aplicación del artículo 21 RGPD a estos efectos. Vamos a ver por qué:
El TJUE reconoció, en su dictamen para el caso Costeja, lo cual ha repetido recientemente en el caso Google 2, que el tratamiento de datos llevado a cabo por un motor de búsqueda puede afectar de manera significativa a los derechos fundamentales de privacidad y a la protección de datos cuando la búsqueda se realiza con el nombre del interesado. La Corte también consideraque los derechos de los sujetos prevalecerán en general frente al interés de los usuarios de internet de acceder a la información mediante el buscador. Sin embargo, identificó algunos factores importantes que pueden influir en lo anterior como, por ejemplo: la naturaleza de la información o cómo de sensible sea y el interés de los usuarios en acceder, que puede variar en función del rol del interesado en la vida pública. Esto significa que los motores de búsqueda podrían denegar una solicitud de desindexación de contenido, pero para ello deberán demostrar que si conclusión de mantener los resultados es estrictamente necesaria para proteger la libertad de información de los usuarios de internet.
Según considera el CEPD, el contenido de esta excepción torna complicada su aplicación a los motores de búsqueda, porque el tratamiento por parte de los mismos se basa, en principio, en su interés legítimo.
Teniendo en cuenta la actividad que desarrollan los motores de búsqueda, lo cual implica que no producen contenido, no es fácil imaginar la existencia de provisiones legales que les obliguen a difundir cierta información en lugar de imponer dicha obligación en páginas web que serán después indexadas por los motores de búsqueda.
Por otro lado, los proveedores de motores de búsqueda no son autoridades públicas, con lo que no tienen poderes públicos como tal. Sin embargo, podrían ejercer dichos poderes si así se lo atribuyese la ley o un Estado Miembro de la UE. De la misma forma podrían llevar a cabo misiones en interés público si su actividad fuese considerada necesaria para satisfacerlo de acuerdo a la legislación nacional. Sin embargo, dadas las características de los buscadores, es improbable que los Estados Miembro les otorguen poderes públicos o vean su actividad necesaria para el alcanzar un determinado interés público.
Estas finalidades deberán ser perseguidas de forma objetiva por el proveedor del motor de búsqueda. La posibilidad de que la supresión de los resultados pudiese afectar de forma significativa a investigaciones o estadísticas desarrolladas por los usuarios de los buscadores no es relevante para la aplicación de esta excepción. Se tendrá así en cuenta también la necesidad de que se mantenga el link entre el nombre del interesado y los resultados de la búsqueda.
Las solicitudes de desindexación conducen a la eliminación de determinado contenido de los resultados de búsqueda mostrados cuando se introduce el nombre del sujeto en el buscador. La información, sin embargo, continua siendo accesible si se emplean otros términos de búsqueda.
Se debe enfatizar que, aunque lo detallado aquí se centra en los motores de búsqueda y las solicitudes de desindexación, los Artículos 17 y 21 RGPD son aplicables a todos los responsables del tratamiento.
