La Audiencia Nacional hace historia al plantear por primera vez al TJUE el derecho al olvido en Internet

La Audiencia Nacional acaba de hacer historia, al convertirse en el primer órgano jurisdiccional de un país de la UE que ha planteado una cuestión prejudicial al TJUE sobre el derecho al olvido en Internet.

Veamos brevemente los hechos que han permitido esta consulta. En noviembre de 2009, una persona de nacionalidad española y domiciliada en España ejercitó el derecho de oposición al tratamiento de sus datos personales ante "La Vanguardia Ediciones, S.L", puesto que al introducir su nombre en Google aparecía la referencia a una página del periódico "La Vanguardia" con enlaces a una subasta de inmuebles relacionada con un embargo derivado de deudas a la Seguridad Social. El afectado afirmaba que el embargo al que se había visto sometido estaba totalmente solucionado y resuelto desde hace años y carecía de relevancia en la actualidad. La Vanguardia Ediciones contestó a la solicitud entendiendo que no procedía la cancelación de datos, puesto que la publicación se realizó por orden del Ministerio de Trabajo y Asuntos Sociales a través de su Secretaría de Estado de la Seguridad Social, siendo ejecutora la Tesorería General de la Seguridad Social en la Dirección Provincial de Barcelona. A continuación, en Febrero de 2010, el afectado remitió escrito a "Google Spain S.L." mediante el que ejercitaba su derecho de oposición, solicitando que en los resultados de la búsqueda no aparecieran los enlaces de La Vanguardia. Google Spain S.L. le remitió en su contestación a la empresa "Google Inc.", domiciliada en California (EEUU), por entender que ésta era la empresa que presta el servicio de búsqueda en Internet, sin perjuicio de informarle que para ejercer sus derechos de cancelación u oposición sobre sus datos personales debería dirigirse al webmaster de la página web que publica esos datos en Internet.
Ante ello, en marzo de 2010, el afectado reclamó ante la Agencia Española de Protección de Datos (AEPD), solicitando, entre otras cosas, que se exigiese al responsable de la publicación on line de La Vanguardia que eliminase o modificase la publicación, para que así no apareciesen sus datos personales, o bien utilizase las herramientas facilitadas por los buscadores para proteger su información personal. Por otro lado, solicitaba que se exigiese a Google España o Google Inc. que eliminase o bien ocultase sus datos para que dejasen de incluirse en los resultados de búsqueda y así dejasen de estar ligados a los enlaces de La Vanguardia. La AEPD instruyó expediente por denegación del derecho de cancelación de datos, que concluyó mediante resolución de julio de 2010, en la que se estimaba la reclamación presentada por el afectado contra Google Spain SL y contra Google Inc, "instando a esta entidad para que adopte las medidas necesarias para retirar los datos de su índice e imposibilite el acceso futuro a los mismos", e inadmitió la reclamación formulada contra La Vanguardia Ediciones SL, considerando que esta última había denegando de forma motivada la cancelación solicitada de los datos personales del afectado, en atención a que la publicación de los citados datos tenía justificación legal y su fin era dar la máxima publicidad a las subastas para conseguir la mayor concurrencia de licitadores. Esta resolución de la AEPD fue recurrida ante la Audiencia Nacional (AN) por Google Inc. y por Google Spain, solicitando la nulidad de la resolución administrativa impugnada.

La AN, en su auto de remisión, empieza por realizar una serie de consideraciones sobre el objeto de la controversia, con la finalidad de centrar la discusión y justificar la cuestión prejudicial. Así, el problema central que se plantea en el asunto es determinar las obligaciones de los buscadores en Internet frente a la protección de datos personales de quienes no desean que se localicen, indexen y se pongan a disposición del público de forma indefinida determinadas informaciones publicadas en páginas web de terceros y que contienen sus datos personales y permiten relacionarles con ellas.

La AEPD considera en su resolución que los buscadores realizan un tratamiento de datos y son responsables del mismo, estando obligados a hacer efectivo el derecho de cancelación y/o oposición del interesado y a cumplir con los requerimientos que les dirija la AEPD en la tutela de estos derechos. Igualmente, considera que, como intermediarios de la sociedad de la información, están sometidos a la normativa en materia de protección de datos y están obligados a atender los requerimientos que les dirija la AEPD.
La protección de datos de las personas físicas se regula básicamente en la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. La normativa de la UE posterior que regulan la actividad de los servicios de la sociedad de la información se remite en materia de protección de datos a la Directiva 95/46/CE. Así lo hace la Directiva 2000/31/CE del Parlamento Europeo y del Consejo, de 8 de junio de 2000, relativa a determinados aspectos jurídicos de los servicios de la sociedad de la información, en particular el comercio electrónico en el mercado interior (Directiva sobre el comercio electrónico). Por tanto, el problema se reconduce finalmente a la interpretación y aplicación de la Directiva 95/46/CE dictada para la protección de datos de las personas físicas frente a los buscadores.

El primer problema que se plantean en el litigio es el ámbito de aplicación territorial de la normativa comunitaria y nacional en materia de protección de datos. Debe determinarse si es aplicable la Directiva 95/46/CE, y la normativa española de transposición, a la tutela del derecho de protección de los datos de un nacional español y residente en España frente a la empresa Google Inc., domiciliada en un tercer Estado, en EEUU, y su filial en España, Google Spain SL. De este modo, cabe plantear si la actividad de Google Spain SL cumple las exigencias para ser considerada un "establecimiento" en los términos previstos en el art. 4.1.a) de la Directiva, permitiendo de este modo la aplicación de la legislación española en materia de protección de datos frente al buscador "Google". También se plantea la duda de la actividad de la filial Google Spain SL, como empresa que representa a la empresa matriz Google Inc. ante la AEPD y colabora con esta última en hacer llegar a la matriz las solicitudes de los afectados y los requerimientos y notificaciones de la AEPD.

En relación con la utilización de medios situados en España, se plantea el problema de si puede considerarse como un "recurso a medios radicados en un Estado miembro" (art. 4.1.c de la Directiva 95/46/CE) la utilización por Google de sus arañas o robots que acceden a servidores situados en España para obtener la información contenida en páginas web españolas que posteriormente indexa, discriminando los resultados en función del idioma de redacción de los documentos o de la localización geográfica de los servidores Web que los alojan. En este caso, el prestador de servicios en Internet estaría sometido a todas las leyes y a las jurisdicciones de todos los países cuyos servidores alojaran información a la que los buscadores tuvieran acceso, pero, al mismo tiempo, facilitaría una tutela eficaz de los derechos de los afectados. Por otro lado, cabe preguntarse si la actividad de almacenamiento temporal en los centros de datos de la información indexada puede ser considerada "un recurso a medios" en relación con el tratamiento de datos, suponiendo que esta exista. Para el caso de que así se considerase, cabe plantearse si una interpretación de la Directiva exige que la empresa especifique y pruebe dónde están ubicados esos medios (centros de datos o servidores), pudiendo aplicarse, en caso contrario, el criterio de conexión con el Estado miembro que mantenga otros aspectos que le relacionen con la información tratada (por ej: información procedente de una pagina web radicada en un Estado miembro, información referida a ciudadanos de uno de los Estados miembros que reclaman la tutela, relevancia de la información en ese Estado miembro, etc.). Lo contrario, dada la dificultad de conocer donde se ubican esos medios en atención a la tecnología actualmente existente, conllevaría el peligro de hacer inoperante la aplicación de este criterio y consecuentemente la efectividad de la normativa de la UE y nacional en materia de protección de datos.
Finalmente, la AN se plantea si, aun cuando no concurriesen estos puntos de conexión previstos en el art. 4.1.c de la Directiva, sería preciso realizar una interpretación que, a la luz del art. 8 la Carta Europea de los Derechos Fundamentales, permita utilizar otros criterios de conexión para proporcionar una tutela eficaz de este derecho a los ciudadanos de la UE.

Un segundo problema que plantea la AN es determinar si la actividad que desempeñan los buscadores de información en Internet al localizar e indexar información contenida en paginas web pertenecientes a terceros, en el supuesto que esta información incluya datos personales, puede considerarse una actividad encuadrada en el concepto de "tratamiento de datos personales" del art. 2.b) de la Directiva. Si, finalmente, se considera que es una actividad de tratamiento de datos personales, cabe plantearse la consideración de los buscadores como "responsables del tratamiento" de los datos personales incluidos en la información que indexan.

La Directiva y la normativa española reconocen a los interesados el derecho a ejercitar frente al responsable del tratamiento los derechos de supresión, bloqueo y oposición, previstos en el art. 12.b) y 14.a) de la Directiva. Si se entiende que los buscadores pueden ser considerados "responsables del tratamiento", será preciso establecer el alcance y los límites de su responsabilidad. En otras palabras, habrá que determinar si, en la tutela de tales derechos, el buscador debe ser considerado responsable principal o tan solo subsidiario respecto al titular de la página web en la que están alojados dichos datos o en relación con la autoridad que ordenó su publicación.

Finalmente, la AN se plante el alcance y contenido que deben tener los derechos de bloqueo, supresión y/o oposición del afectado. En definitiva, debe establecerse si existe un poder de disposición del particular sobre las informaciones que se publican en la red sobre su persona, incluyendo el llamado "derecho al olvido", en especial cuando se ejercitan frente a un buscador.

Por todo lo anterior, la AN plantea al TJUE que se pronuncie sobre las siguientes cuestiones:

"1. Por lo que respecta a la aplicación territorial de la Directiva 95/46/CE y, consiguientemente de la normativa española de protección de datos:
1.1 ¿Debe interpretarse que existe un "establecimiento", en los términos descritos en el art. 4.1.a) de la Directiva 95/46/CE, cuando concurra alguno o algunos de los siguientes supuestos:
-cuando la empresa proveedora del motor de búsqueda crea en un Estado Miembro una oficina o filial destinada a la promoción y venta de los espacios publicitarios del buscador, que dirige su actividad a los habitantes de ese Estado,
o
-cuando la empresa matriz designa a una filial ubicada en ese Estado miembro como su representante y responsable del tratamiento de dos ficheros concretos que guardan relación con los datos de los clientes que contrataron publicidad con dicha empresa o
- cuando la oficina o filial establecida en un Estado miembro traslada a la empresa matriz, radicada fuera de la Unión Europea, las solicitudes y requerimientos que le dirigen tanto los afectados como las autoridades competentes en relación con el respeto al derecho de protección de datos, aun cuando dicha colaboración se realice de forma voluntaria?
1.2 ¿Debe interpretarse el art. 4.1.c de la Directiva 95/46/CE en el sentido de que existe un "recurso a medios situados en el territorio de dicho Estado miembro" cuando un buscador utilice arañas o robots para localizar e indexar la información contenida en páginas web ubicadas en servidores de ese Estado miembro
o
cuando utilice un nombre de dominio propio de un Estado miembro y dirija las búsquedas y los resultados en función del idioma de ese Estado miembro?
1.3 ¿Puede considerarse como un recurso a medios, en los términos del art. 4.1.c de la Directiva 95/46/CE, el almacenamiento temporal de la información indexada por los buscadores en internet? Si la respuesta a esta última cuestión fuera afirmativa, ¿puede entenderse que este criterio de conexión concurre cuando la empresa se niega a revelar el lugar donde almacena estos índices alegando razones competitivas?
1.4. Con independencia de la respuesta a las preguntas anteriores y especialmente en el caso en que se considerase por el Tribunal de Justicia de la Unión que no concurren los criterios de conexión previstos en el art. 4 de la Directiva,
¿Debe aplicarse la Directiva 95/46/CE en materia de protección de datos, a la luz del art. 8 de la Carta Europea de Derechos Fundamentales, en el país miembro donde se localice el centro de gravedad del conflicto y sea posible una tutela más eficaz de los derechos de los ciudadanos de la Unión Europea?

2. Por lo que respecta a la actividad de los buscadores como proveedor de contenidos en relación con la Directiva 95/46/CE de Protección de Datos:
2.1. En relación con la actividad del buscador de la empresa "Google" en internet, como proveedor de contenidos, consistente en localizar la información publicada o incluida en la red por terceros, indexarla de forma automática, almacenarla temporalmente y finalmente ponerla a disposición de los internautas con un cierto orden de preferencia, cuando dicha información contenga datos personales de terceras personas,
¿Debe interpretarse una actividad como la descrita comprendida en el concepto de "tratamiento de datos" contenido en el art. 2.b de la Directiva 95/46/CE?
2.2. En caso de que la respuesta anterior fuera afirmativa y siempre en relación con una actividad como la ya descrita: ¿Debe interpretarse el artículo 2.d) de la Directiva 95/46/CE, en el sentido de considerar que la empresa que gestiona el buscador "Google" es "responsable del tratamiento" de los datos personales contenidos en las páginas web que indexa?
2.3. En el caso de que la respuesta anterior fuera afirmativa: ¿Puede la autoridad nacional de control de datos (en este caso la Agencia Española de Protección de Datos), tutelando los derechos contenidos en el art. 12.b) y 14.a) de la Directiva 95/46/CE, requerir directamente al buscador de la empresa "Google" para exigirle la retirada de sus índices de una información publicada por terceros, sin dirigirse previa o simultáneamente al titular de la página web en la que se ubica dicha información?
2.4. En el caso de que la respuesta a esta última pregunta fuera afirmativa, ¿Se excluiría la obligación de los buscadores de tutelar estos derechos cuando la información que contiene los datos personales se haya publicado lícitamente por terceros y se mantenga en la página web de origen?

3. Respecto al alcance del derecho de cancelación y/oposición en relación con el derecho al olvido se plantea la siguiente pregunta:
3.1. ¿Debe interpretarse que los derechos de supresión y bloqueo de los datos, regulados en el art. 12.b) y el de oposición, regulado en el art. 14.a) de la Directiva 95/46/CE comprenden que el interesado pueda dirigirse frente a los buscadores para impedir la indexación de la información referida a su persona, publicada en páginas web de terceros, amparándose en su voluntad de que la misma no sea conocida por los internautas cuando considere que puede perjudicarle o desea que sea olvidada, aunque se trate de una información publicada lícitamente por terceros?"

Véase el texto del Auto de 27.2.2012 de la Sala de lo Contencioso-administrativo de la AN, así como la información complementaria.

Sobre las cuestiones planteadas por la AN, véase el comentario de Pedro A. de Miguel (Universidad Complutense de Madrid) en su blog.