1/137
Expediente Nº: PS/00140/2020
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: A.A.A. (en adelante, el denunciante) con fechas 13 y 29 de septiembre de
2018 y 15 de octubre de 2018, interpuso sendas denuncias ante la Agencia Española
de Protección de Datos. Las denuncias se dirigen contra GOOGLE LLC (en adelante,
GOOGLE LLC, la entidad reclamada o la reclamada) por la comunicación de datos
personales al “Proyecto Lumen” (en adelante, “Proyecto Lumen”, “Organización
Lumen” o “Lumen”), al sitio web “lumendatabase.org”. Los motivos en que basa las
denuncias son los siguientes:
Denuncia de 13 de septiembre de 2018:
“[…] Cualquier usuario de internet, puede encontrar en Google o en sus
productos/herramientas (Google +, YouTube, Google Drive, Blogs de Blogspot, etc.),
circunstancias como las siguientes:
. Datos personales (que no sólo están en el buscador, sino en sus productos como los blogs de
Google, Google +, etc.).
. Difamación (publicándose, además, datos de carácter personal).
. Contenidos ilícitos declarados en una orden judicial.
. Infracción de marcas comerciales o de derechos de autor.
. Problemas relacionados con las funciones Autocompletar o Búsqueda relacionada.
. Otras incidencias legales.
[…] Google ha puesto a disposición de los afectados canales de comunicación específicos (on
line, y distribuidos por distintas materias), para que los mismos puedan trasladar a Google
reclamaciones (identificando el sitio o URL conflictiva, su nombre y apellidos, email, documento
identificativo, etc.), y pueda tomarse una decisión al respecto. Los llamados “formularios de
contacto” son los siguientes:
https://support.google.com/legal/contact/lr_dmca?product=news&uraw=&hl=es [Formulario
Google 1]
https://support.google.com/legal/troubleshooter/1114905?
rd=2#ts=1115655%2C1282900%2C1115974 [Formulario Google 2]
https://support.google.com/legal/troubleshooter/1114905#ts=1115645 [Formulario Google 3]
https://support.google.com/legal/troubleshooter/1114905#ts=1115658%2C1115662 [Formulario
Google 4]
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/137
https://support.google.com/legal/troubleshooter/1114905#ts=1115658%2C7565832 [Formulario
Google 5]
https://support.google.com/legal/troubleshooter/1114905#ts=1115658%2C1115673 [Formulario
Google 6]
https://support.google.com/legal/troubleshooter/1114905#ts=1115658%2C6387768
[Formulario Google 7]
https://support.google.com/legal/troubleshooter/1114905#ts=1115658%2C7308762 [Formulario
Google 8]
https://support.google.com/legal/troubleshooter/1114905#ts=1115658%2C1115676 [Formulario
Google 9]
https://support.google.com/legal/troubleshooter/1114905#ts=1115658%2C1115686 [Formulario
Google 10]
https://support.google.com/legal/contact/lr_dmca?product=news&uraw=&hl=es [Formulario
Google 11]
https://support.google.com/legal/troubleshooter/1114905#ts=1115658%2C7494925 [Formulario
Google 12]
https://support.google.com/legal/troubleshooter/1114905#ts=1115658%2C7529574 [Formulario
Google 13]
https://support.google.com/legal/troubleshooter/1114905#ts=1115658%2C7282135 [Formulario
Google 14]
https://support.google.com/legal/troubleshooter/1114905#ts=1115658%2C7367058 [Formulario
Google 15]
https://support.google.com/legal/troubleshooter/1114905#ts=1115658%2C7546357 [Formulario
Google 16]
https://support.google.com/legal/troubleshooter/1114905#ts=1115658%2C9053853 [Formulario
Google 17]
https://support.google.com/legal/troubleshooter/1114905#ts=1115648 [Formulario Google 18]
https://support.google.com/legal/troubleshooter/1114905#ts=1115652 [Formulario Google 19]
https://support.google.com/legal/troubleshooter/1114905#ts=1115681 [Formulario Google 20]
https://support.google.com/legal/troubleshooter/1114905#ts=1349036 [Formulario Google 21]
https://support.google.com/legal/troubleshooter/1114905#ts=1115681%2C7689505 [Formulario
Google 22]
https://support.google.com/legal/troubleshooter/1114905#ts=1115655%2C1282900 [Formulario
Google 23]
[…] El problema de los anteriores “formularios de contacto” es simple: Google impone al
usuario que los utilice la cesión de sus datos personales y de su reclamación a una
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/137
organización llamada Lumendatabase.org. Google anuncia lo expuesto en los “formularios” de
la siguiente forma:
“Ten en cuenta que es posible que enviemos una copia de cada una de las notificaciones
legales que recibamos al proyecto Lumendatabase (https://www.lumendatabase.org) para
su publicación y anotación. Lumendatabase retirará la información de contacto personal
del remitente (es decir, el número de teléfono, la dirección de correo electrónico y el
domicilio).
Para consultar un ejemplo de este tipo de publicaciones, accede a la
página https://www.lumendatabase.org/notices/5838.
También podemos enviar la notificación original al presunto infractor o al titular de los
derechos si tenemos motivos para sospechar de la validez de tu reclamación.
Asimismo, podemos publicar información similar procedente de tu notificación en nuestro
informe de transparencia. Para obtener más información sobre este informe, haz
clic aquí”.
[…] De acuerdo con los criterios del GTA29, Google no puede comunicar la censura a las
páginas web afectadas por esta, ni informar de la censura a los usuarios de su buscador.
Con el razonamiento expuesto, no tiene sentido que Google se reserve la facultad de
comunicar datos de carácter personal a Lumendatabase.org. Las comunicaciones de Google a
Lumendatabase.org revelan quién ha solicitado el ejercicio de censura (de cualquier clase) en
internet, su situación personal concreta previa, y sus datos personales, siendo del todo
innecesaria la comunicación.
[…] A la luz del RGPD, no existe justificación alguna para que Google transmita a
Lumendatabase.org datos de carácter personal.
Es muy posible que Google argumente que, si no hay datos de carácter personal en las
publicaciones de Lumendatabase.org (por haberlos anonimizado Lumendatabase.org antes de
publicitarlos), no hay infracción, pero lo cierto es que la infracción se produce desde el mismo
momento en el que se realiza una cesión de datos personales, antes de que estos se
anonimicen. Por otra parte, no siempre los anonimiza Lumendatabse.org. En algunos
supuestos las publicaciones que se realizan en Lumendatabase.org no han eliminado el
nombre y apellidos de los solicitantes y en otros casos no eliminan las URL objeto de
reclamaciones, por lo que, cualquier persona que acceda a Lumendatabase.org puede conocer
la identidad de los solicitantes.
El sistema de cesión ideado por Google no responde a los principios del RGPD: se elevan los
riesgos de los tratamientos innecesariamente, y no cabe basarse en el interés legítimo (el
formulario no permite la oposición, y es incuestionable que no pasa una mínima ponderación).
Tampoco cabe fundamentar las cesiones en el consentimiento del usuario, pues –en el caso de
advertir la cesión, cuyo consentimiento no se solicita de forma separada y a modo de casilla
destinada al efecto- se ve obligado a facilitarlo, de querer completar el formulario (si no quiere
completarlo debido a la mención de Lumendatabase estaríamos ante una infracción más,
consistente en la obstaculización del ejercicio de derechos).
No resulta adecuado a derecho que:
. Un afectado esté obligado a consentir en la citada cesión al usar el formulario.
. Google LLC. transmita datos de carácter personal a una organización absolutamente ajena a
la decisión que se adopte sobre la reclamación del interesado. La cesión es innecesaria, y
perjudicial, máxime en aquellos casos en los que se revelan situaciones intimas o privadas que
han merecido la censura de Google. ¿Qué base legitimadora real existe? Ninguna.
. Se transgredan todos los principios del RGPD señalados.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/137
. Un usuario se vea imposibilitado a usar el formulario de Google ante el temor de la cesión
efectuada, lo que le obstaculiza el ejercicio de sus derechos.
[…] Casos que afectan a España, publicados en Lumendatabase.org desde agosto de 2018.
(…) [Enlace Lumendatabase 1]
(…) [Enlace Lumendatabase 2]
(…) [Enlace Lumendatabase 3]
(…) [Enlace Lumendatabase 4]
(…) [Enlace Lumendatabase 5]
(…) [Enlace Lumendatabase 6]
(…) [Enlace Lumendatabase 7]
[…]”.
Denuncia de 28 de septiembre de 2018.
Refiere cuatro nuevos casos “que afectan a España, publicados en
Lumendatabase.org desde agosto de 2018”.
Sobre el primer caso, indica que se identifica a la persona con su nombre y apellidos,
entendiendo por ello que no siempre se anonimizan los datos para su publicación en
“lumendatabase.org”. Reseña los siguientes enlaces:
(…) [Enlace Lumendatabase 8]
(…) [Enlace Lumendatabase 9]
(…) [Enlace Lumendatabase 10]
(…) [Enlace Lumendatabase 11]
(…) [Enlace Lumendatabase 12]
En relación con los tres casos siguientes, señala que en la publicación de
“lumendatabase.org” aparece la palabra “Redacted” en el peticionario y destaca que si
GOOGLE LLC hubiera facilitada este dato para su anonimización y fuera personal se
habría infringido la normativa de protección de datos. Los enlaces correspondientes a
estos casos son los siguientes:
(…) [Enlace Lumendatabase 13]
(…) [Enlace Lumendatabase 14]
(…) [Enlace Lumendatabase 15]”.
Aporta capturas de pantalla correspondientes a los enlaces 8 a 14. La descripción de
estas capturas de pantalla es la siguiente:
. Enlace Lumendatabase 8
. Encabezado: Dirigida a GOOGLE LLC por un usuario español anonimizado por
motivos de difamación.
. Reclamación: (...).
. Enlace: (…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/137
. Enlaces Lumendatabase 9 a 12
Se trata del mismo supuesto que el del enlace anterior, pero en estos enlaces 9 a 12,
en el párrafo que muestra parte de la reclamación presentada ante GOOGLE LLC, el
nombre aparece como sigue: “B.B.B.” (enlace 9), “B.B.B.” (enlace 10), “B.B.B.”
(enlaces 11) y “B.B.B.” (enlace 12).
La dirección del enlace muestra “B.B.B.” (enlace 9), “B.B.B.” (enlaces 10 y 11) o
“B.B.B.” (enlace 12).
. Enlace Lumendatabase 13
. Encabezado: Dirigida a GOOGLE LLC por un usuario español anonimizado por
motivos de difamación.
. Reclamación: (…).
. Enlace: (…).
. Enlace Lumendatabase 14
. Encabezado: Dirigida a GOOGLE LLC por un usuario español anonimizado por
motivos de difamación.
. Reclamación: (…).
. Enlace: (…).
Denuncia de 15 de octubre de 2018.
“Una persona mandó a Google LLC una Sentencia, que ha sido remitida por Google a
Lumendatabase.org en septiembre de 2018 para su publicación junto a su nombre y
apellidos, sin que la comunicación a Lumendatabase esté amparada por los principios
del RGPD”.
Los enlaces a los que se refiere esta reclamación son los siguientes:
(…) [Enlace Lumendatabase 16]
(…) [Enlace Lumendatabase 17]
Aporta captura de pantalla correspondiente a estos enlaces, con los detalles
siguientes:
. Enlace Lumendatabase 16:
. Encabezado: Dirigida a GOOGLE LLC por C.C.C. el ***FECHA.1 como
consecuencia de un fallo judicial.
. Reclamación: (…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/137
. Enlace: (…)
. Documentos: Icono que señalaría a un documento adjunto en formato .pdf
que supondría el soporte para la retirada de contenido.
. Enlace Lumendatabase 17: la captura de pantalla aportada corresponde a un
fragmento de la primera página de la (…) presuntamente accesible a través del
anterior enlace.
Aporta, asimismo, copia completa de esta Sentencia, en la que constan los nombres y
apellidos de todas las personas que intervienen en el proceso (juez que la dicta, parte
demandante (C.C.C.), demandada, sus representantes, Ministerio Fiscal y (…)
(D.D.D.), así como todas las circunstancias del proceso, que está motivado por un
artículo publicado en un blog (se indica la dirección URL que condice a dicho artículo).
El fallo condena al demandado a suprimir el contenido del artículo publicado en su
blog.
SEGUNDO: Con carácter previo a la admisión a trámite, estas denuncias se
trasladaron a GOOGLE LLC, de conformidad con lo establecido en el artículo 9.4 del
Real Decreto-Ley 5/2018, de 27 de julio, de medidas urgentes para la adaptación del
derecho español a la normativa de la Unión Europea en materia de protección de
datos.
El día 28/12/2018, tuvo entrada en esta Agencia escrito de contestación de la
mercantil referida en el párrafo anterior, en el que señala lo siguiente:
“[…] Que, mediante el presente escrito, Google aporta la información y documentación
solicitadas en el Traslado de Reclamación y Solicitud de Información y, en concreto:
1. Copia de las comunicaciones, de la decisión adoptada que haya remitido al
reclamante a propósito del traslado de esta reclamación, y acreditación de que el
reclamante ha recibido la comunicación de esa decisión.
Se incorpora al presente escrito como DOCUMENTO N.º 2 la comunicación enviada
por Google el 28 de diciembre de 2018 en relación con las reclamaciones presentadas
por… (nombre y apellidos del denunciante), así como justificante de envío por burofax.
2. Informe sobre las causas que han motivado la incidencia que ha originado la
reclamación.
Google desconoce la relación existente entre el reclamante y las dos páginas web a
las que se hace referencia en sus reclamaciones. El reclamante no ha facilitado
ninguna explicación a este respecto y tampoco se nos ha facilitado información acerca
de si el reclamante ha probado a la AEPD tener relación o capacidad alguna para
representar al interesado en cuestión.
3. Informe sobre las medidas adoptadas para evitar que se produzcan incidencias
similares.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/137
A pesar de la falta de claridad de las reclamaciones y de que no se haya identificado
al interesado supuestamente afectado, Google LLC ha contactado con la organización
Lumendatabase, y, tras ello, ha advertido que las dos URLs mencionadas en las
reclamaciones (ver 2 más arriba) ya no son accesibles, tal como se desprende de las
impresiones que se proporcionan como DOCUMENTO N.º 3.
[…] Que resulta procedente inadmitir las reclamaciones presentadas por… (nombre y
apellidos del denunciante), en virtud de lo dispuesto por el artículo 9.3 del Real
Decreto-ley 5/2018, de 27 de julio, de medidas urgentes para la adaptación del
Derecho español a la normativa de la Unión Europea en materia de protección de
datos, o el artículo 65.3 de la vigente Ley Orgánica 3/2018, de 5 de diciembre, de
Protección de Datos Personales y Garantía de los Derechos Digitales a la vista de
que, con independencia de que en este momento no nos es posible conocer cuál es la
relación existente entre el reclamante y las páginas web a las que se hace referencia
en sus reclamaciones, las páginas web ya no son accesibles, por lo que entendemos
que no sería siquiera necesaria la adopción de medidas correctivas adicionales por
carencia de objeto. […]”
Los enlaces a que hace referencia el escrito de contestación de GOOGLE LLC son los
contenidos en la denuncia de 15/10/2018 (“Enlaces Lumendatabase 16 y 17”).
TERCERO: En fechas 02, 03, 05, 07 y 09/01/2019, el denunciante presenta nuevas
denuncias ante la Agencia Española de Protección de Datos acerca de nuevos casos
que incurrirían en la misma infracción denunciada en el Antecedentes Primero.
Denuncia de 2 de enero de 2019:
“Advierto que al buscar el nombre de C.C.C. en Google, aparece vinculado, al pie de
los resultados de búsqueda, un aviso concreto de eliminación de contenidos.
Al buscar el nombre de su padre, ya fallecido, D.D.D., aparece otro aviso concreto de
eliminación de contenidos, que hipervincula a lumendatabase.org, donde podremos
encontrar una solicitud de eliminación de contenidos y una sentencia, en la que se
declara la vulneración del derecho al honor de ambos. […]”
Adjunta sendas capturas de pantalla de la búsqueda, en fecha 2 de enero de 2019 y
en el “Buscador Google”, de los términos “C.C.C.” y “D.D.D.”, en la que aparece una
nota al pie indicando que se han eliminado varios resultados y se resalta un
hipervínculo a “LumenDatabase.org” [Búsqueda Google 1 y 2].
Asimismo, adjunta una impresión de pantalla correspondiente a la URL (…) [Enlace
Lumendatabase 18]
Descripción de la impresión aportada:
. Encabezado: Dirigida a GOOGLE LLC por C.C.C., en fecha ***FECHA.2,
como consecuencia de un fallo judicial.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/137
. Reclamación: “(…)”.
. Enlaces:
(…)
(…)
. Documentos: Posibilidad de descarga de un documento en formato .pdf
Vuelve a remitir la sentencia aludida dictada por el (…). Esta sentencia se corresponde
con el contenido del Enlace Lumendatabase 17 referido anteriormente.
Denuncia de 3 de enero de 2019:
Denuncia que a través de la URL (…) [Enlace Lumendatabase 19], puede accederse a
información facilitada por GOOGLE LLC que, identifica a los solicitantes de censura.
Adjunta copia de la información disponible en dicha dirección de internet y del
documento accesible a través de la misma. En el encabezado de la información consta
que corresponde a una solicitud dirigida a GOOGLE LLC por (…), anterior a la
vigencia del RGPD.
Denuncia de 5 de enero de 2019:
Denuncia referida a la URL (…) [Enlace Lumendatabase 20], en el que aparece
publicado el nombre de una persona y ofrece la posibilidad de descargar de dos
documentos en formato .pdf. Se comprueba que la información disponible en este
enlace corresponde a una solicitud dirigida a GOOGLE LLC por la persona citada, en
fecha ***FECHA.3, anterior a la vigencia del RGPD.
Denuncia de 7 de enero de 2019:
Denuncia referida a la URL (…) [Enlace Lumendatabase 21], en la que aparece
publicado el nombre de una persona. En el encabezado de la información consta que
corresponde a una solicitud dirigida a GOOGLE LLC por (…), anterior a la vigencia del
RGPD.
Denuncia de 9 de enero de 2019:
“Informo y denuncio ante la AEPD hechos relativos al siguiente enlace:
(…) [Enlace Lumendatabase 22]
En el citado enlace se está publicitando (de forma anexa) una notificación judicial en el
que está incluido el nombre de la (…): E.E.E.. Por lo que parece, GOOGLE LLC ha
remitido a lumendatabase.org el documento judicial sin anonimización alguna”.
Descripción de la impresión aportada:
. Encabezado: Dirigida a GOOGLE LLC por F.F.F., en fecha 03/01/2019, como
consecuencia de un fallo judicial.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/137
. Reclamación: (…).
. Enlaces: (…)
. Documentos: Posibilidad de descarga de un documento en formato .pdf
Con la denuncia se acompaña copia del (…). No obstante, no se acredita que el
documento fuese obtenido a través de la publicación en “lumendatabase.org”.
CUARTO: El 1 de febrero de 2019, la Agencia Española de Protección de Datos dio
traslado de las denuncias descritas en los puntos anteriores a Data Protection
Commision de Irlanda (en adelante DPC Irlanda) para que dicha autoridad de control
valorase si ostenta la condición de autoridad de control principal en base al artículo 56
del RGPD, al encontrarse radicada, en ese país, la entidad GOOGLE IRELAND LTD.,
el establecimiento del responsable que decide, para Europa, los fines y los medios en
el tratamiento de datos personales.
En una primera comunicación, de fecha 10 de abril de 2019, DPC Irlanda comunica
que no se considera competente en este caso debido a que las denuncias se
interpusieron con anterioridad a que DPC Irlanda se convirtiera en la autoridad de
control principal para asuntos relacionados con la protección de datos personales, en
el ámbito territorial del RGPD, en que se vea involucrada GOOGLE.
Posteriormente, el 20 de agosto de 2019, DPC Irlanda dirige una comunicación a esta
Agencia solicitando se dé traslado al denunciante de una serie de cuestiones
relacionadas con las denuncias presentadas. Así, solicita al denunciante que confirme
si ha contactado con GOOGLE en relación con la denuncia y facilite copia de la
correspondencia mantenida que considere pertinente. De la misma manera le solicita
confirme su consentimiento a efectos de un posible traslado de la denuncia por parte
de DPC Irlanda a GOOGLE. En otro orden de cosas, DPC Irlanda manifiesta sus
reservas en relación con la condición de interesado del denunciante
El 4 de noviembre de 2019 tiene entrada en esta Agencia escrito de contestación del
denunciante, en el que defiende su condición de afectado e interesado; que es la
entidad reclamada la que debe acreditar ante la autoridad de control los motivos por
los que obliga a los usuarios que utilizan sus formularios a aceptar la cesión de datos
personales a “lumendatabase.org”, sobre la que ha aportado pruebas, incluso relativas
a nacionales de otros países; y que la gravedad de este hecho no se ve minorada por
las modificaciones realizadas por “lumendatabase.org” para anonimizar las
publicaciones. Con su escrito, el denunciante aporta la comunicación que le fue
remitida por GOOGLE en fecha 28/12/2018, con ocasión del trámite de traslado y una
captura de pantalla con una serie de indicadores estadísticos sobre las publicaciones
que, según el denunciante, “lumendatabase.org” ha publicado desde mayo de 2019
hasta la fecha del 04/11/2019.
La Agencia Española de Protección de Datos acordó el archivo provisional del
expediente el día 16 de enero de 2020.
Mediante comunicación de 22 de enero de 2020, DPC Irlanda rechaza la competencia
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/137
en la tramitación de las denuncias al considerar que el responsable del tratamiento no
sería GOOGLE IRELAND LTD., sino GOOGLE LLC, toda vez que el tratamiento
consiste en la comunicación, a una base de datos estadounidense, de datos
relacionados con solicitudes de retirada de contenido gestionadas por GOOGLE LLC.
QUINTO: El 1 de diciembre de 2020, el denunciante presenta nuevo escrito ante
Agencia Española de Protección de Datos, en el que hace referencia a sus denuncias
y al archivo acordado por la AEPD en enero de 2020, por la remisión de su denuncia a
la Autoridad Irlandesa de Protección de Datos, señalando que en el mismo únicamente
se menciona su denuncia de 13/09/2018; que la Autoridad Irlandesa le comunicó, en
fecha 30/04/2020, que la autoridad competente es la AEPD.
Por otra parte, pone en conocimiento “la existencia de las siguientes publicaciones en
Lumendatabase.org, a efectos de que se incorporen al PROCEDIMIENTO que se
sigue en la AEPD
Publicaciones judiciales en Lumendatabase, remitidas inicialmente a Google LLC,
desde el 27.11.2029:
(…) [Enlace Lumen 23]
(…) [Enlace Lumen 24]
(…) [Enlace Lumen 25
(…) [Enlace Lumen 26]
(…) [Enlace Lumen 27]
Es sumamente significativo que actualmente sigan publicadas todas estas peticiones.
Google es responsable de comunicar a Lumen la retirada de las mismas.
(…) [ Enlace Lumen 28]
VIII.- Cabe indicar que al buscar en Google el nombre y apellidos, entrecomillados, de
“C.C.C.”, y "D.D.D." aparece al pie del buscador un enlace que muestra la censura en
Google. ¿Ambos han sido advertidos por Google de que se llevaría a cabo esta
práctica, que es un tratamiento de datos diferenciado? ¿la han consentido
claramente? ¿se ha comprobado por la AEPD y se han investigado al respecto?
IX.- En el siguiente enlace se publican datos personales referidos a C.C.C. e G.G.G.
(ha consentido este último en este tratamiento de datos???). (…) [Enlace Lumen 29]”.
SEXTO: Por la Subdirección General de Inspección se Datos se llevan a cabo
impresiones de pantalla de los enlaces que constan en las denuncias reseñadas, para
verificar que se corresponden con los aportados por el denunciante, así como para
realizar una descripción de lo figurado en los mismos en aquellos supuestos en que no
se hubiera aportado captura o impresión en las denuncias presentadas.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/137
Formularios de Google
a) Formularios Google 1 y 11: se trata del formulario habilitado por GOOGLE LLC para
denunciar presuntas infracciones de derechos de autor. Las referencias textuales a
“lumendatabase.org” en este formulario son las siguientes:
“Independientemente de si Google puede ser responsable de dicha infracción en virtud de la
legislación específica de un país o de la ley de Estados Unidos, nuestra respuesta puede incluir
la retirada de cualquier material contra el que se haya presentado una reclamación por incurrir
en una actividad infractora, la inhabilitación del acceso a dicho material o la cancelación de
cuentas de suscriptores. Si retiramos material o inhabilitamos el acceso a él en respuesta a
este tipo de notificaciones, nos pondremos en contacto con el propietario o el administrador del
contenido o del sitio web en cuestión para que pueda presentar una contranotificación.
Asimismo, según nuestra política, documentamos todas las notificaciones de presuntas
infracciones que recibimos, lo que incluye el envío de una copia de la notificación a uno o
varios terceros, o bien su publicación. Puede ver un ejemplo de este tipo de publicaciones en la
página https://www.lumendatabase.org/notices/2069”.
“Tenga en cuenta que se envía una copia de cada notificación legal que recibimos a un tercero,
que podría publicarla y anotarla (sin su información personal). Así pues, el contenido de este
formulario se reenviará a Lumen (http://www.lumendatabase.org) para que pueda publicarse.
Para ver un ejemplo de este tipo de publicaciones, acceda a la página
http://www.lumendatabase.org/dmca512/notice.cgi?NoticeID=861. En el caso de productos
como la Búsqueda web de Google, aparecerá un enlace al aviso publicado en los resultados de
búsqueda de Google en lugar del contenido retirado”.
Este formulario incluye campos de cumplimentación obligatoria para que el solicitante
facilite los datos siguientes: país de residencia, nombre completo del solicitante,
nombre completo del titular de los derechos de autor, dirección de correo electrónico
de contacto, obra protegida, ¿dónde se puede ver un ejemplo autorizado de la obra?,
URL presuntamente infractora y firma.
b) Formularios Google 2, 4, 5, 7, 9, 17, 21 y 23: son páginas de entrada para la
solicitud de retirada de contenido en la que se listan diversos productos de la
compañía y donde el solicitante elegiría a cuál de dichos productos se refiere su
solicitud de retirada de contenido. Incluye el texto siguiente:
“Cómo retirar contenido de Google
Esta página te permitirá acceder al sitio adecuado para informar del contenido que quieras
retirar de los servicios de Google de acuerdo con las leyes aplicables. Proporciónanos
información completa para que podamos investigar tu consulta.
Si tienes problemas que no son de tipo legal relacionados con las “Condiciones de servicio” o
con las Políticas de productos de Google, accede a la página http://support.google.com.
Debes enviar una notificación para cada servicio de Google en el que aparezca el contenido.
¿A qué producto de Google hace referencia su solicitud?
( ) Búsqueda de Google
( ) Blogger/Blogspot
( ) Google Maps y productos relacionados
( ) Google Play: Aplicaciones
( ) YouTube
( ) Google Imágenes
( ) Un anuncio de Google
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/137
( ) Drive y Documentos
( ) Google Photos y Picasa Web Albums
( ) Google Shopping
( ) Ver más productos”.
Al pulsar la opción “Ver más productos” se despliega una nueva lista:
“Selecciona una opción de la siguiente lista.
( ) Google+
( ) Caché de Google AMP
( ) Google Arts & Culture
( ) Asistente de Google
( ) Chrome Web Store/galería de extensiones
( ) Google Classroom
( ) Cloud Firestore
( ) Google Cloud Platform
( ) Data Studio
( ) Dominios de Google
( ) Feedburner
( ) Firebase
( ) Gmail
( ) Google URL Shortener (goo.gl)
( ) Grupos de Google
( ) Google Help Communities
( ) Google Lens
( ) Navlekha
( ) Google News
( ) Google Play Libros y Google Libros
( ) Poly
( ) Google Sites (herramienta de creación de páginas web y wikis de Google)
( ) Stadia”.
c) Formularios Google 3, 6, 8, 10, 12, 13, 14, 15, 16, 19, 20 y 22. Se trata de las
páginas de entrada a los formularios de retirada de contenido relativos a distintos
productos de GOOGLE LLC:
Formulario Google 3: producto Blogger/Blogspot.
Formulario Google 6: producto Chrome Web Store/galería de extensiones.
Formulario Google 8: producto Google Classroom.
Formulario Google 10: producto Grupos de Google.
Formulario Google producto 12: Google Help Communities.
Formulario Google 13: producto Poly.
Formulario Google 14: producto Feedburner.
Formulario Google 15: producto Data Studio.
Formulario Google 16: producto Cloud Firestore.
Formulario Google 19: producto Google Photos y Picasa Web Album.
Formulario Google 20: producto Drive y Documentos.
Formulario Google 22: página similar al número 20, diferenciándose en que ya se
encuentra seleccionada la opción “Información personal: la información incluye
mis datos personales” como motivo para solicitar la retirada de contenido.
Todos ellos incluyen la misma información reseñada en el apartado b) anterior (“Como
retirar contenido de Google…”).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/137
Las referencias textuales a “lumendatabase.org” en estos formularios son las
siguientes:
“Ten en cuenta que es posible que enviemos una copia de cada una de las notificaciones
legales que recibamos al proyecto Lumen (https://www.lumendatabase.org) para su publicación
y anotación. Lumen retirará la información de contacto personal del remitente (es decir, el
número de teléfono, la dirección de correo electrónico y el domicilio).
Para consultar un ejemplo de este tipo de publicaciones, accede a la página
https://www.lumendatabase.org/notices/5838”.
Y se añade:
“Asimismo, podemos publicar información similar procedente de tu notificación en nuestro
informe de transparencia. Para obtener más información sobre este informe, haz clic aquí”.
Se ofrecen las opciones siguientes:
. Formularios Google 3
“¿En qué podemos ayudarte?
( ) Me gustaría informar sobre software malintencionado, suplantación de identidad,
divulgación de datos privados u otras incidencias similares.
( ) Quiero informar de un blog que suplanta mi identidad.
( ) Quiero informar sobre la divulgación de información o imágenes de desnudos privadas
( ) Quiero informar de contenido intimidatorio y acosador.
( ) Problema de propiedad intelectual: denunciar una infracción de derechos de autor,
elusión, etc.
( ) Otro problema legal: denunciar contenido por otro motivo legal no incluido en la lista”.
. Formulario Google 6
“¿En qué podemos ayudarte?
( ) Infracción de derechos de autor: mi obra protegida por derechos de autor se está
utilizando ilegalmente sin autorización
( ) Contranotificación: apelación destinada a restaurar contenido que se retiró debido a una
reclamación por infracción de derechos de autor
( ) Marca: mi marca se está utilizando de un modo que puede causar confusión
( ) Orden judicial: una sentencia judicial ha determinado que un contenido concreto es
ilegal
( ) Elusión: una herramienta elude las medidas tecnológicas de protección de los derechos
de autor
( ) Material con imágenes de abuso sexual infantil: representación visual de prácticas
sexuales explícitas con menores”.
Formularios Google 8, 12, 13, 14 (salvo la primera opción, en los 3 últimos casos),
15 (salvo la primera opción y la relativa a “Problema legal”) y 16 (salvo la primera
opción y las relativas a “Elusión” y “Problema legal”)
“¿En qué podemos ayudarte?
( ) Tengo una pregunta sobre las políticas del programa Classroom
( ) Infracción de derechos de autor: mi obra protegida por derechos de autor se está
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/137
utilizando ilegalmente sin autorización
( ) Contranotificación: apelación destinada a restaurar contenido que se retiró debido a una
reclamación por infracción de derechos de autor
( ) Elusión: una herramienta elude las medidas tecnológicas de protección de los derechos
de autor
( ) Orden judicial: una sentencia judicial ha determinado que un contenido concreto es
ilegal
( ) Problema legal: problema legal que no aparece en la lista
( ) Material con imágenes de abuso sexual infantil: representación visual de prácticas
sexuales explícitas con menores”.
Formularios Google 10, 19 (salvo la primera opción)
“¿En qué podemos ayudarte?
( ) Denunciar contenido violento o que incite al odio, la divulgación de datos personales o
la promoción de bienes y servicios
( ) Infracción de derechos de autor: mi obra protegida por derechos de autor se está
utilizando ilegalmente sin autorización
( ) Contranotificación: apelación destinada a restaurar contenido que se retiró debido a una
reclamación por infracción de derechos de autor
( ) Información personal: el contenido incluye mis datos personales
( ) Orden judicial: una sentencia judicial ha determinado que un contenido concreto es
ilegal
( ) Problema legal: problema legal que no aparece en la lista
( ) Material con imágenes de abuso sexual infantil: representación visual de prácticas
sexuales explícitas con menores”.
Formulario Google 20
“¿En qué podemos ayudarte?
( ) Deseo denunciar un caso de suplantación de identidad, spam software malicioso u
otros usos inadecuados en un archivo de Google Docs o Google Drive
( ) Infracción de derechos de autor: mi obra protegida por derechos de autor se está
utilizando ilegalmente sin autorización
( ) Contranotificación: apelación destinada a restaurar contenido que se retiró debido a una
reclamación por infracción de derechos de autor
( ) Elusión: una herramienta elude las medidas tecnológicas de protección de los derechos
de autor
( ) Información personal: el contenido incluye mis datos personales
( ) Otro problema legal: denunciar contenido por otros motivo legal no incluido en la lista”.
d) Formulario Google 18: corresponde a la página de entrada a los formularios de
retirada de contenido relativo al producto “Google Imágenes”, que no contiene
referencias a “lumendatabase.org”. La información que se facilita es la siguiente:
“Cómo retirar contenido de Google… (la misma información reseñada en el apartado b)
anterior)”.
“Aunque Google retire una página web o una imagen de nuestros resultados de búsqueda, no
podemos retirar contenido de los sitios web que lo alojan. Es posible que la página siga
existiendo en el sitio web, lo que significa que se puede encontrar a través de la URL del sitio
web, en redes sociales donde se haya compartido o en otros buscadores. Le recomendamos
que se ponga en contacto con el propietario del sitio web para pedirle que retire el contenido en
cuestión.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/137
Visite “esta página” para obtener más información sobre cómo ponerse en contacto con el
propietario de un sitio web”.
En esta página se ofrecen las opciones siguientes:
“¿En qué podemos ayudarte?
( ) Quiero informar de software malicioso, phishing o problemas similares.
( ) Un contenido que solicité que se retirara sigue apareciendo en los resultados de búsqueda,
a pesar de que el webmaster ya lo ha eliminado.
( ) Derecho al olvido: solicitud de retirada de información de acuerdo con la legislación europea
en materia de protección de datos
( ) Difamación: el contenido me difama a mí o a mi empresa u organización
( ) Problema de propiedad intelectual: denunciar una infracción de derechos de autor, elusión,
etc.
( ) Otro problema legal: denunciar contenido por otro motivo legal no incluido en la lista”.
Enlaces de Lumendatabase
. Enlace Lumendatabase 1
. Encabezado: Requerimiento de retirada por difamación. Dirigida a GOOGLE
LLC el ***FECHA.4 por un usuario español anonimizado.
. Reclamación: (…).
. Enlace: (…)
. Enlace Lumendatabase 2
. Encabezado: Requerimiento de retirada por difamación. Dirigida a GOOGLE
LLC el ***FECHA.5 por un usuario español anonimizado.
. Reclamación: (…).
. Enlace: (…)
. Enlace Lumendatabase 3
. Encabezado: Requerimiento de retirada por difamación. Dirigida a GOOGLE
LLC el ***FECHA.6 por un usuario español anonimizado.
. Reclamación: “(…)”.
. Enlace: (…)
. Enlace Lumendatabase 4
. Encabezado: Requerimiento de retirada por difamación. Dirigida a GOOGLE
LLC por un usuario español anonimizado.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/137
. Reclamación: “(…)”.
. Enlace:
(…)
(…)
(…)
(…)
(…)
. Enlace Lumendatabase 5
. Encabezado: Requerimiento de retirada por difamación. Dirigida a GOOGLE
LLC el ***FECHA.7 por un usuario español anonimizado.
. Reclamación: “(…)”.
. Enlace: (…)
. Enlace Lumendatabase 6
. Encabezado: Requerimiento de retirada por difamación. Dirigida a GOOGLE
LLC el ***FECHA.8 por un usuario español anonimizado.
. Reclamación: “(…)”.
. Enlace: (…)
. Enlace Lumendatabase 7
Esta impresión se corresponde con el buscador de “lumendatabase.org” compuesto
por una serie de cajetines de búsqueda simple y avanzada. El cajetín de búsqueda
simple aparece relleno con el término “Google”, supuestamente utilizado por el
denunciante para realizar las búsquedas que presenta como indicios ante esta
Agencia.
. Enlace Lumendatabase 8
Se verifica que la información de este enlace coincide sustancialmente con la captura
de pantalla adjuntada en el escrito de denuncia de 28 de septiembre de 2018 (Ver
Hechos Primero), presentando las siguientes diferencias:
. Consta la fecha de la solicitud, siendo esta el ***FECHA.9.
. Se ha eliminado de la dirección del enlace objeto de la solicitud de retirada
cualquier referencia al nombre personal, subsistiendo este en el resumen de la
solicitud de contenido.
. Enlace Lumendatabase 9 a 12
Se verifica que la información de este enlace coincide sustancialmente con la captura
de pantalla adjuntada en el escrito de denuncia de 28 de septiembre de 2018 (Ver
Hechos Primero), presentando las siguientes diferencias:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/137
. Consta la fecha de la solicitud, siendo esta el ***FECHA.9.
. En la dirección del enlace se indica únicamente “(…)”.
. Enlace Lumendatabase 13
Se verifica que la información de este enlace coincide sustancialmente con la captura
de pantalla adjuntada en el escrito de denuncia de 28 de septiembre de 2018 (Ver
Hechos Primero), presentando las siguientes diferencias:
. Consta la fecha de la solicitud, siendo esta de ***FECHA.10.
. Se ha simplificado la dirección del enlace.
. Enlace Lumendatabase 14
Se verifica que la información de este enlace coincide sustancialmente con la captura
de pantalla adjuntada en el escrito de denuncia de 28 de septiembre de 2018 (Ver
Hechos Primero), presentando las siguientes diferencias:
. Consta la fecha de la solicitud, siendo esta de ***FECHA.11.
. Se ha simplificado la dirección del enlace.
. Enlace Lumendatabase 15
. Encabezado: Requerimiento de retirada por aplicación de normativa local.
Dirigida a GOOGLE LLC el ***FECHA.10 por un usuario español anonimizado.
. Enlace: (…).
. Enlace Lumendatabase 16
La página presenta un error 404, lo que concuerda con lo manifestado por GOOGLE
SPAIN S.L. en su escrito de 28 de diciembre de 2018
. Enlace Lumendatabase 17
Este enlace no permite la descarga del documento, lo que concuerda con lo
manifestado por GOOGLE SPAIN S.L. en su escrito de 28 de diciembre de 2018.
. Enlace Lumendatabase 18
Se verifica que la información de este enlace coincide sustancialmente con la
impresión de la página web adjuntada en el escrito de denuncia de 2 de enero de 2019
(Ver hechos Primero), presentando las siguientes diferencias:
. Solo subsiste el enlace (…).
. Enlace Lumendatabase 19
Se verifica que la información de este enlace corresponde a una solicitud dirigida a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/137
GOOGLE LLC con anterioridad a la vigencia del RGPD. Asimismo, se comprueba que
ha desaparecido la posibilidad de descarga del documento judicial.
. Enlace Lumendatabase 20
Se verifica que la información de este enlace corresponde a una solicitud dirigida a
GOOGLE LLC con anterioridad a la vigencia del RGPD. Asimismo, se comprueba que
la posibilidad de descarga de documentos se ha limitado a uno.
. Enlace Lumendatabase 21
Se verifica que la información de este enlace corresponde a una solicitud dirigida a
GOOGLE LLC en fecha ***FECHA.12, anterior a la vigencia del RGPD.
. Enlace Lumendatabase 22
Se verifica que la información de este enlace coincide sustancialmente con la
impresión de la página web adjuntada en el escrito de denuncia de 9 de enero de 2019
(Ver Hechos Primero).
. Enlace Lumendatabase 23
Descripción del enlace: Se trata de una página que ofrece los resultados de búsqueda
de requerimientos de retirada de contenido. Se incorpora a las actuaciones la primera
de las páginas, que reseña solicitudes de diciembre de 2019, enero y febrero de 2020,
dirigidas a GOOGLE LLC en base a resoluciones judiciales.
. Enlace Lumendatabase 24
Descripción del enlace: Página que ofrece los resultados de búsqueda de
requerimientos de retirada de contenido dirigidas a GOOGLE LLC en base a
resoluciones judiciales, en idioma español.
. Enlace Lumendatabase 25
Descripción del enlace:
. Encabezado: Requerimiento de retirada por difamación. Dirigida a GOOGLE
LLC el ***FECHA.13 por un usuario español anonimizado.
. Reclamación: “(…)”.
. Enlace: (…)
(…)
(…)
(…)
. Enlace Lumendatabase 26
Descripción del enlace:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
19/137
. Encabezado: Requerimiento de retirada como consecuencia de un fallo
judicial. Dirigida a GOOGLE LLC el ***FECHA.14 por H.H.H.
. Explicación: “(…)”
. Enlace: (…)
(…)
. Enlace Lumendatabase 27
Descripción del enlace: Hace referencia a una retirada de contenido solicitada por un
usuario de Italia.
. Enlace Lumendatabase 28
Descripción del enlace: Página que ofrece los resultados de búsqueda de
publicaciones en la página de web de Lumen en base a los términos “EU-Derecho al
Olvido” y “Google”. Corresponde a solicitudes de 2014, 2015 y 2016.
. Enlace Lumendatabase 29
Se trata del mismo enlace que el número 18 ya remitido en la denuncia presentada el
2 de enero de 2019.
Debajo de los enlaces indicados en las publicaciones reseñadas con los números 1, 2,
3, 4, 5, 6, 8, 9, 10, 11, 12, 13, 14, 15, 18, 19, 20, 21, 22, 25, 26 y 29 se muestra la
frase “Click here to request access and see full URLs” (cuya traducción sería “Pinche
aquí para solicitar acceso ver dirección URL completa”) en formato hipervínculo.
Búsquedas Google
1. Se introducen los términos “C.C.C.” en el “Buscador Google”, resultando que se ha
eliminado la referencia a “lumendatabase.org”.
2. Se introducen los términos “D.D.D.” en el “Buscador Google”, verificándose que
hace referencia concreta a resultados eliminados y dirige, para más información, a un
hipervínculo de “lumendatabase.org”.
SÉPTIMO: Con fecha 09/06/2021, la Directora de la Agencia Española de Protección
de Datos acordó iniciar procedimiento sancionador a la entidad GOOGLE LLC, con
arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas (en adelante,
LPACAP), por la presunta infracción del artículo 17 del RGPD en concurso ideal con
una infracción del artículo 6.1 del RGPD, que se tipifican en el artículo 83.5 de la
misma norma.
En el acuerdo de apertura se determinó que las sanciones que pudieran corresponder,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
20/137
atendidas las evidencias existentes en el momento de la apertura y sin perjuicio de lo
que resulte de la instrucción, serían de 5.000.000,00 de euros por la infracción relativa
al artículo 17 del RGPD y de 5.000.000,00 de euros por la infracción relativa al artículo
6.1 del RGPD. No obstante, al considerarse que ambas infracciones concurren en
régimen de concurso ideal, el total resultante de la sanción a imponer ascendería a
5.000.000,00 de euros.
En el mismo acuerdo de apertura del procedimiento se advertía que las infracciones
imputadas, de confirmarse, podrán conllevar la imposición de medidas, de acuerdo
con lo establecido en el citado artículo 58.2 d) del RGPD.
OCTAVO: Notificado el citado acuerdo de inicio y ampliado el plazo concedido para
formular alegaciones, la entidad reclamada, habiendo recibido copia de las
actuaciones, presentó escrito de fecha 21/07/2021, en el que solicita:
“1. La nulidad del Procedimiento Sancionador por infracción de normas reguladoras del
procedimiento sancionador de carácter fundamental y esencial que provoca la indefensión de
Google.
2. Subsidiariamente a lo anterior, la inexistencia de las supuestas infracciones de los artículos
6.1 y 17 del RGPD, y el archivo de las actuaciones.
3. Subsidiariamente a lo anterior, y en el improbable caso de que se considere a Google
responsable de la infracción de los artículos 6.1 y/o 17 RGPD, la imposición de la cuantía de la
sanción correspondiente en su grado mínimo”.
Con carácter previo a la exposición de las alegaciones en las que basa dicha petición,
GOOGLE LLC indica que no discute la aplicación del RGPD a las actividades de
tratamiento en cuestión, si bien no está de acuerdo con el análisis de la Agencia sobre
los supuestos alternativos (y no cumulativos) previstos en los artículos 3.1 y 3.2.(a)
RGPD. Entiende que el artículo 3.2.(a) RGPD no es de aplicación, dado que cuenta
con diversos establecimientos en países de la Unión Europea, además de España.
(…).
(…)
Esto ocurre en un contexto legal y normativo complejo, que requiere de una evaluación
cuidadosa y una ponderación de todos los derechos en liza en el funcionamiento de un
programa de moderación de contenidos exitoso, especialmente la libertad de
expresión e información, el derecho a la protección de datos, la protección del honor,
intimidad y otros derechos de la personalidad, derechos de propiedad intelectual, la
libertad de las artes y las ciencias, la protección de los consumidores y los principios
de transparencia y responsabilidad. Entre otros requisitos, llama la atención de la
Agencia sobre los marcos legales que derivan del Reglamento (UE) 2019/1150 del
Parlamento Europeo y del Consejo, de 20 de junio de 2019, sobre el fomento de la
equidad y la transparencia para los usuarios profesionales de servicios de
intermediación en línea (el “Reglamento P2B”) y la Propuesta de la Comisión Europea
de Reglamento Relativo a un Mercado Único de Servicios Digitales (Digital Services
Act, “DSA”). Ambos instrumentos normativos imponen altos estándares de
transparencia y rendición de cuentas sobre la forma en la que los prestadores de
servicios de intermediación moderan el contenido, incluyendo el requisito de publicar
todas las decisiones de retirada de contenidos en una base de datos de acceso
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
21/137
público, ya que “contribuiría a mitigar posibles abusos” (véase el art. 15.4 de la DSA y
el Considerando 26 del Reglamento P2B).
Es en este contexto donde debe analizarse la relación de GOOGLE LLC con
“lumendatabase.org” (“Lumen”). En concreto:
“Lumen” es un proyecto del Berkman Klein Center for Internet & Society en la
Universidad de Harvard, cuyo objetivo principal es estudiar las “cartas de cese y
desistimiento” (cease and desist letters) relativas a contenidos en línea. Lumen recaba
y analiza solicitudes de retirada de materiales de la web con el objetivo de educar al
público, facilitar la investigación sobre los diferentes tipos de reclamaciones y
solicitudes de retirada que se están enviando a los editores y prestadores de servicios
de Internet, y proporcionar la mayor transparencia posible sobre la "ecología" de tales
comunicaciones, en términos de quién las envía y por qué, y con qué fin. Aunque en
un principio “Lumen” se centraba en solicitudes enviadas voluntariamente por
empresas en virtud de la Ley de Derechos de Autor del Milenio Digital de Estados
Unidos (United States' Digital Millennium Copyright Act, “DMCA”), ahora también
incluye reclamaciones relativas a otros temas, incluyendo marcas, difamación,
resoluciones judiciales, etc.
En el contexto anterior, GOOGLE LLC, junto con otros actores importantes en la
sociedad digital (Véase: https://lumendatabase.org/pages/about para más información
al respecto), contribuye con el “Proyecto Lumen” con fines de transparencia y
rendición de cuentas, así como para evitar abusos y fraudes y comparte con Lumen
solicitudes de retirada de contenido en relación con derechos de propiedad intelectual
(DMCA), elusión/evasión, falsificación, resoluciones judiciales no confidenciales,
difamación y notificaciones de retirada basadas en normativa local.
La contribución positiva del “Proyecto Lumen” a la sociedad es evidente. Por ejemplo,
fue gracias a Lumen que se identificó un muy reciente uso fraudulento de las
herramientas de retirada de contenidos por parte de una entidad española (que llegó
hasta el punto de fingir ser la Comisión Europea) y cita los enlaces: (…).
(…):
a) (…).
b) (…).
c) (…).
La citada entidad basa su petición en las consideraciones siguientes:
1. Infracción de la LOPDGDD, que prevé un procedimiento sancionador de una
duración máxima de 21 meses, teniendo en cuenta la duración de las actuaciones
previas de investigación (art. 67.2) y la del propio procedimiento sancionador (art.
64.2), por cuanto mantiene a GOOGLE LLC bajo investigación durante más de dos
años, ignorando la caducidad de las actuaciones previas de investigación.
Además, el art. 65.5 LOPDGDD establece que “La decisión sobre la admisión o
inadmisión a trámite, así como la que determine, en su caso, la remisión de la
reclamación a la autoridad de control principal que se estime competente, deberá
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
22/137
notificarse al reclamante en el plazo de tres meses”.
En este caso, la primera reclamación presentada es de 13/09/2018, por lo que puede
entenderse admitida el 13/12/2018, aunque a Agencia no dictó ninguna resolución en
esta fecha. Más de un año después, el 16/01/2020, la AEPD decidió archivar
provisionalmente el expediente y dirigirlo a la autoridad de protección de datos de
Irlanda (Irish Data Protection Commission); y más de un año y medio después, el
23/06/2021, se notificó el Acuerdo de Inicio (la Agencia ha tardado casi 3 años desde
la primera reclamación en iniciar el Procedimiento Sancionador).
De acuerdo con lo expuesto, las actuaciones previas de investigación caducaron el
13/12/2019, por lo que la información recabada en el marco de dichas actuaciones
previas de investigación no puede utilizarse en el Procedimiento Sancionador, entre
otras cosas, porque son investigaciones que han caducado y que ya no son correctas
desde un punto de vista fáctico, ni están actualizadas. Utilizarlas vulneraría lo
dispuesto en el art. 95.3 de la Ley 39/2015, de 1 de octubre, del Procedimiento
Administrativo Común de las Administraciones Públicas (“LPAC”), así como las leyes y
principios que regulan el procedimiento administrativo sancionador.
Estos hechos, que obstaculizan el derecho de defensa de GOOGLE LLC, implican la
nulidad del Acuerdo de Inicio y del Procedimiento Sancionador, procediendo el archivo
de las actuaciones.
2. No se ha producido ninguna vulneración del art. 6 RGPD: aplicación de la base
legitimadora del interés legítimo
Aclara que la base legitimadora en la que se ampara para compartir datos personales
con Lumen no es el consentimiento, sino el interés legítimo, interpretado de
conformidad con el Dictamen 06/2014, sobre el concepto de interés legítimo del
responsable del tratamiento de los datos en virtud del artículo 7 de la Directiva
95/46/CE, que resulta aplicable al caso que nos ocupa. Considera GOOGLE LLC que
(A) hay varios intereses legítimos prevalentes en la cesión de datos con Lumen, y (B)
que dichos intereses legítimos prevalecen sobre los derechos y libertades de los
interesados.
A. Existe un interés legítimo, tanto de GOOGLE LLC como de “Lumen” (en este caso,
un tercero), en la cesión de las solicitudes relativas a la retirada de contenidos (que
pueden, o no, incluir datos personales, dependiendo del tipo de solicitud de retirada y
el solicitante):
a) El interés legítimo de “Lumen” consiste en el fomento de la educación, la
investigación y la transparencia, que, en última instancia, entran dentro del interés de
toda la sociedad en su conjunto y encuentran apoyo en muchas leyes distintas
(incluida la propia Constitución Española (arts. 27 y 44.2 de la Constitución Española,
relativos a la educación e investigación, respectivamente) y Leyes Orgánicas (Ley
Orgánica 2/2006, de 3 de mayo, de Educación; LOPDGDD; Ley Orgánica 1/1982, de 5
de mayo, sobre protección civil del derecho al honor, a la intimidad personal y familiar
y a la propia imagen, etc.), e incluso en el Dictamen del Interés Legítimo, que
establece que:
“La naturaleza del interés puede variar. Algunos intereses pueden ser apremiantes y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
23/137
beneficiosos para la sociedad en general, tales como el interés de la prensa en
publicar información sobre la corrupción gubernamental o el interés en llevar a cabo
investigación científica (sujetos a las garantías adecuadas)”.
b) GOOGLE LLC también cuenta con un interés legítimo claro en compartir con
“Lumen” solicitudes de retirada de contenido. Concretamente, estas cesiones
constituyen un mecanismo importante para que el grupo Google se asegure de que
sus prácticas de retirada de contenidos sean transparentes y responsables, y no están
relacionadas con el ejercicio de derechos de protección de datos, sino con otros
derechos (por ejemplo, derechos de propiedad intelectual, derecho al honor, marcas,
etc.). “Lumen” proporciona transparencia y sirve para rendir cuentas sobre los
procesos de moderación de contenidos implementados por el grupo Google (que no es
una entidad o autoridad pública), para demostrar la existencia de procedimientos de
retirada reactivos, para fomentar una comprensión clara de los tipos de contenidos en
línea que son objeto de solicitudes de retirada, la equidad entre asuntos similares en
diferentes países y regiones, así como para mitigar el riesgo de uso indebido o
fraudulento de las herramientas de retirada de contenidos. Además de la comunidad
de investigadores, el público en general y las autoridades públicas se benefician de
esta transparencia.
La importancia de estos objetivos de transparencia se refleja en el propio marco
jurídico aplicable (como el Reglamento P2B), e incluso en disposiciones legales que
están por venir (como, por ejemplo, la DSA).
Estos intereses legítimos también se reconocen en el Dictamen del Interés Legítimo,
que establece los siguientes ejemplos de intereses legítimos: “el ejercicio del derecho
de libertad de expresión o información, incluidas las situaciones en las que se ejerza
dicho derecho en los medios de comunicación”, “la prevención del fraude, el uso
indebido de servicios o el blanqueo de dinero”, “el tratamiento con fines históricos,
científicos o estadísticos” y la “publicación de datos con fines de transparencia y
responsabilidad”.
La propia AEPD también reconoce en el Acuerdo de Inicio que cumplir con los
estándares de transparencia puede constituir un interés legítimo.
B. Estos intereses legítimos no se ven superados por los intereses o derechos y
libertades de los interesados.
En opinión de GOOGLE LLC, la afirmación de la AEPD en el Acuerdo de Inicio -sin
apoyo probatorio alguno- de que la comunicación de GOOGLE LLC a Lumen de
solicitudes de retirada de contenido “ejerce un impacto elevado en los intereses y
derechos del interesado” carece de soporte alguno por los siguientes motivos:
a) Los interesados que completan los formularios de retirada de contenido de “Google”
son suficientemente informados acerca de la comunicación de las solicitudes a
“Lumen”: En concreto, los interesados son informados de forma clara sobre la
comunicación de sus datos personales a Lumen en el momento en el que facilitan sus
datos a GOOGLE LLC, incluso mediante una nota informativa prominente que se
muestra en la herramienta de solución de problemas legales de “Google” (reproduce la
información sobre la posibilidad de enviar una copia de las notificaciones al Proyecto
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
24/137
Lumen” y de publicarlas en el “Informe de Transparencia de Google”, ya reseñada en
el Antecedente Sexto).
b) GOOGLE LLC limita los datos personales que se comparten con “Lumen” y “Lumen”
procede a anonimizar las solicitudes que GOOGLE LLC comparte.
(…).
(…).
Por último, es práctica de “Lumen” anonimizar ciertos datos personales de las
solicitudes antes de su publicación, incluidas las categorías de solicitudes compartidas
por GOOGLE LLC en el caso objeto de análisis en el Acuerdo de Inicio (estas son,
aquellas relativas a difamación, decisiones judiciales no confidenciales y aquellas
relacionadas con normativa local distinta a la de protección de datos), con el objeto de
minimizar los datos personales incluidos en las publicaciones. El protocolo de
anonimización de Lumen está a disposición del público de forma clara en su página
web (https://www.lumendatabase.org/pages/lumen-notice-basics).
Sobre esta cuestión, aporta una captura de pantalla en la que puede verse la
información relativa solicitudes por motivos de difamación o por un fallo judicial
(coincide con la información facilitada en el sitio web “lumendatabase.org”, en el
documento “Conceptos básicos de la información del aviso de Lumen”, que consta
reseñado en Anexo 4.
Lo anterior no impide que, de forma ocasional, se cometan errores y que algunas
publicaciones de Lumen no se anonimicen del todo. En estos casos, los afectados
pueden dirigirse tanto a GOOGLE LLC (para que avise a Lumen de dichos errores)
como a Lumen directamente pidiendo la corrección de la anonimización.
c) El acceso a URL completas y las decisiones judiciales se limita a investigadores de
buena fe: “Lumen” opera un acceso a datos gradual, de forma que el acceso a URL
completas y documentos adjuntos relacionados con una publicación (como una
decisión judicial) no permanece a disposición del público en general y sólo se puede
acceder a los mismos a petición individual por correo electrónico. “Lumen” sólo da
acceso a esta información a investigadores de buena fe, lo que limita el acceso a dicha
información y pondera de forma adecuada los intereses de la comunidad de
investigadores con aquellos de los sujetos que presentan solicitudes de retirada de
contenido a GOOGLE LLC.
d) El interés legítimo en juego es importante y apremiante: la comunicación de
solicitudes de retirada de contenido a “Lumen” por motivos de transparencia e
investigación beneficia al público en general, lo cual, de acuerdo con el Dictamen del
Interés Legítimo, es un elemento clave a considerar al realizar el test de ponderación:
“En general, el hecho de que el responsable del tratamiento actúe no solo en su
interés legítimo propio (por ejemplo, su empresa), sino también en el interés de la
comunidad en general puede dar más «peso» a su interés. Cuanto más apremiante
sea el interés público o el interés de la comunidad en general, y cuanto más
claramente la comunidad y los interesados reconozcan y esperen que el responsable
del tratamiento pueda actuar y tratar los datos para perseguir estos intereses, más
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
25/137
peso tendrá en la balanza dicho interés legítimo”.
e) (…):
i. (…)
ii. (…)
iii. (…)
3. No se ha vulnerado el art. 17 RGPD: GOOGLE LLC respeta el derecho al
olvido/derecho de supresión de los individuos
A. (…).
Respecto a las solicitudes del Derecho al Olvido, la web de “Lumen”
(https://www.lumendatabase.org/pages/lumen-notice-basics) indica expresamente que
GOOGLE LLC “no comparte con Lumen, en estos momentos, solicitudes que recibe
de ciudadanos de la UE relativas al llamado “Derecho al Olvido (“RTBF”)(…)”
(Traducción no oficial).
(…)
El elemento esencial que determina la aplicación del artículo 17 RGPD es la finalidad
de la solicitud y, en consecuencia, el derecho invocado y ejercido por el individuo.
Además, se producirían consecuencias no deseadas e inesperadas si todas las
solicitudes que impliquen la retirada de datos personales se tratasen de forma
automática como ejercicios del derecho de supresión al amparo del art. 17 RGPD, con
independencia del régimen legal en el cual el sujeto fundamenta la solicitud de retirada
de contenido.
Las solicitudes de retirada de contenido se valoran realizando análisis legales y test en
función del motivo por el que presenta su solicitud. Por ejemplo, las solicitudes de
desindexación por motivos de difamación, a falta de una decisión judicial, se analizan
según la normativa local que regula la difamación y el marco legal de la Directiva de
Comercio Electrónico, y no sobre la base del RGPD, de tal modo que se tienen en
cuenta los hechos y, en función de la normativa local, las opiniones contenidas en ese
contenido y otros factores relevantes (incluida doctrina legal). En el caso español, esto
implicaría analizar, entre otros, el artículo 7 de la Ley Orgánica 1/1982, de 5 de mayo,
de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia
imagen, o los artículos 205 y siguientes del Código Penal en relación con los delitos
contra el honor; así como la Ley 34/2002, de 11 de julio, de servicios de la sociedad de
la información y de comercio electrónico.
B. El formulario para el ejercicio del Derecho al Olvido puesto a disposición por
GOOGLE LLC, accesible en la dirección
“https://www.google.com/webmasters/tools/legal-removal-request?
complaint_type=rtbf”, no incluye referencia alguna a la comunicación de información a
Lumen porque tales solicitudes no se comparten con Lumen. De este modo, no cabe
interpretar que el Formulario del Derecho al Olvido obstaculice de ninguna forma los
derechos de los interesados bajo el artículo 17 del RGPD por una supuesta imposición
de la comunicación de información a Lumen.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
26/137
La documentación e información incluidas en el expediente del Procedimiento
Sancionador son incompatibles con esa afirmación. Ninguno de los formularios
mencionados por el denunciante en sus denuncias (y luego confirmados por la
Subdirección General de Inspección, los “Formularios Investigados”) se refieren al
Formulario del Derecho al Olvido. Los Formularios Investigados tienen por objeto la
presentación de solicitudes de retirada de contenido por diversos motivos legales no
relacionados con la protección de datos (e.g. infracciones de derechos de autor), y no
el Derecho al Olvido.
(…)
(…)
4. En relación con la graduación de las sanciones, considera que deben tenerse en
cuenta las circunstancias atenuantes siguientes:
a) Cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados (artículo 83.2.c RGPD):
GOOGLE LLC se ha puesto en contacto con “Lumen” para hacerle saber que debe
llevar a cabo anonimizaciones adicionales de algunas de sus publicaciones relativas a
las solicitudes de retirada de contenido identificadas por la AEPD en el Fundamento de
Derecho II del Acuerdo de Inicio. A partir de ello, “Lumen” ha llevado a cabo nuevas
actuaciones dirigidas bien a anonimizar información o retirar publicaciones (aporta
impresión de pantallas correspondientes a los Enlaces Lumendatabase 3, 5, 8, 9, 10,
11, 18, 22 y 26).
b) Los beneficios obtenidos como consecuencia de la comisión de la infracción (art.
76.2.c LOPDGDD): la comunicación de información a “Lumen” se lleva a cabo con las
finalidades de incrementar la transparencia y rendición de cuentas, educar al público y
facilitar la investigación, todo lo cual beneficia a la sociedad en su conjunto (siendo
estas finalidades además impulsadas a lo largo del RGPD). GOOGLE LLC no obtiene
beneficio comercial o ingreso alguno como consecuencia de estas comunicaciones.
5. Sin perjuicio de las alegaciones anteriores, GOOGLE LLC se encuentra en la
actualidad en proceso de revisión de sus prácticas en lo relativo a la comunicación de
solicitudes de retirada de contenido a “Lumen”. GOOGLE LLC considera la protección
de los datos personales como una cuestión extremadamente relevante y toma atenta
nota de los comentarios realizados por la AEPD en el Acuerdo de Inicio. GOOGLE
LLC revisa sus prácticas de forma continuada para asegurar que alcanza un correcto
equilibrio entre la transparencia y los derechos de protección de datos de los
individuos. GOOGLE LLC espera tener la oportunidad de presentar y comentar sus
nuevas prácticas con la AEPD pronto.
NOVENO: Con fecha 05/10/2021, tuvo entrada en esta Agencia un escrito de
alegaciones complementarias presentado por GOOGLE LLC.
(…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
27/137
(…).
(…):
a) (…).
b) (…).
c) (…).
d) (…).
(…)
(…)
(…)
(…).
DÉCIMO: Con fecha 30/12/2021, el instructor del procedimiento acordó la apertura de
un período de práctica de pruebas, teniéndose por reproducidos a efectos probatorios
las denuncias interpuestas y su documentación, los documentos obtenidos y
generados durante la fase de admisión a trámite de las denuncias y las
comprobaciones realizadas por la Subdirección General de Inspección de Datos para
verificar que los enlaces mencionados en las denuncias y su contenido se
corresponden con las impresiones de pantalla aportadas por el denunciante o para
acceder a dicho contenido en los casos en que éste no hubiera aportado la captura de
pantalla correspondiente; y por presentadas las alegaciones formuladas por GOOGLE
LLC y la documentación que a ellas acompaña.
Asimismo, se acordó incorporar a las actuaciones la información y/o documentación
siguiente:
“a) Información financiera relativa a la entidad GOOGLE LLC, obtenida de los sitios web
“es.investing.com” y “es.tradingview.com”.
b) Copia de los “formularios” que se mencionan en los Antecedentes del acuerdo de inicio del
procedimiento sancionador de referencia, habilitados por GOOGLE LLC para que los
interesados puedan solicitar la retirada de contenidos, accesibles a través de las direcciones
de internet que también se mencionan en dicho acuerdo (Formularios Google 1 a 23).
c) Copia de la información accesible a través de los enlaces a “lumendatabase.org” que se
mencionan en los Antecedentes del acuerdo de inicio del procedimiento sancionador de
referencia (Enlaces Lumendatabase 1 a 29).
d) Copia de la primera página de resultados de búsqueda en el buscador Google con los
términos “D.D.D.”.
e) Copia del formulario “Retirada en virtud de la ley de privacidad de la UE”, accesible a través
del sitio web “google.com” (“https://www.google.com/webmasters/tools/legal-removal-request?
complaint_type=rtbf&visit_id=637759350971490255-235171692&hl=es&rd=1”).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
28/137
f) Copia de la Política de Privacidad accesible a través del sitio web “google.com” en su versión
actual, vigente desde el 01/07/2021, y de algunas versiones de la misma vigentes a partir de
25/05/2018.
g) Copia de la información accesible a través de la URL citada por GOOGLE LLC en el punto
3.3 de su escrito de alegaciones de fecha 21/07/2021
(“https://www.lumendatabase.org/pages/lumen-notice-basics”).
h) Información disponible en el sitio web “lumendatabase.org” relativa al “Proyecto Lumen”.
Dicha práctica de prueba fue notificada a GOOGLE LLC, advirtiéndole que el resultado
de las mismas podría dar lugar a la realización de otras y que contra dicho acto de
trámite no cabe la interposición de recurso administrativo, sin perjuicio de que el
interesado pueda interponer los recursos que procedan contra la resolución que ponga
fin al procedimiento, en virtud de lo establecido en el artículo 112.1 de la LPACAP. Por
otra parte, se advirtió sobre el derecho a conocer, en cualquier momento, el estado de
la tramitación del procedimiento y a formular alegaciones, utilizar los medios de
defensa admitidos por el Ordenamiento Jurídico, y a aportar documentos en cualquier
fase del procedimiento anterior al trámite de audiencia.
A) Resultado de la prueba señalada con la letra a):
( …).
(…).
B. Resultado de la prueba señalada con la letra b):
Se comprueba que el contenido y estructura de los formularios comprobados coincide
con el detalle reseñado en el Antecedente Sexto.
Por otra parte, se realizan las constataciones siguientes:
a) “Formularios Google 1 y 11”: formulario habilitado por GOOGLE LLC para denunciar
presuntas infracciones de derechos de autor.
Se accede al enlace “https://www.lumendatabase.org/notices/2069”, que corresponde
a un aviso de infracción de derechos de autor de una empresa radicada en Estados
Unidos, fechado en septiembre de 2003. Se pulsa el enlace que conduce a uno de los
documentos de soporte de la solicitud y se accede a un formulario de Lumen que
permite solicitar “el acceso completo a las quejas” de la empresa en cuestión ante
Google, el cual tiene la siguiente estructura:
“Para acceder a este aviso ingrese su dirección de correo electrónico y resuelva el captcha.
Después de enviar el formulario, le enviaremos un correo electrónico con un enlace de un solo
uso al aviso.
Dirección de correo electrónico
(espacio para registrar la dirección de correo)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
29/137
( ) Seleccione para recibir una notificación cuando se agreguen nuevos documentos de
notificación (o cuando se actualicen los documentos de notificación existentes).
Entregar (botón)”.
Este formulario incluye un enlace para acceder a las “instrucciones para presentar una
notificación según la DMCA para cada producto”, el cual conduce a un documento con
el rótulo “Ley estadounidense de los derechos de autor (DBCA)”.
b) “Formularios Google 2, 4, 5, 7, 9, 17, 21 y 23”: páginas de entrada para la solicitud
de retirada de contenido en la que se listan diversos productos de la compañía y
donde el solicitante elegiría a cuál de dichos productos se refiere su solicitud de
retirada de contenido.
Respecto de la lista de productos que consta reseñada en el Antecedente Sexto, se
comprueba que desaparece el producto “Navlekha” y se añade “Google Workspace
Marketplace”.
1. Se accede a la página a la que conduce el enlace al producto “Búsqueda de
Google” (“Formulario Google 24”), comprobándose que no incluye ninguna referencia
a la comunicación de información a Lumen. En esta página se ofrecen las opciones
siguientes:
“¿En qué podemos ayudarte?
( ) Quiero informar de software malicioso, phishing o problemas similares.
( ) Un contenido que solicité que se retirara sigue apareciendo en los resultados de búsqueda,
a pesar de que el webmaster ya lo ha eliminado.
( ) Retirar información personal de Google de acuerdo con las políticas de nuestros productos
(información personal identificable, doxxing, imágenes explícitas no consentidas, etc.).
( ) Información personal: solicitar que se retire información personal mía de los resultados de
búsqueda de Google.
( ) Problema de propiedad intelectual: denunciar una infracción de derechos de autor, elusión,
etc.
( ) Otro problema legal: denunciar contenido por otro motivo legal no incluido en la lista” .
Con la opción “Información personal: solicitar que se retire información personal mía
de los resultados de búsqueda de Google” se accede a una nueva página para
retirada de contenidos, en la que GOOGLE LLC informa que “es posible que los
resultados de búsqueda incluyan un aviso para indicar que se han eliminado algunos
resultados”; y se ofrecen nuevas opciones al interesado:
“Elige una de las siguientes opciones:
( ) Retirar información personal de Google de acuerdo con las políticas de nuestros productos
(información personal identificable, doxxing, imágenes explícitas no consentidas, etc.)
( ) Derecho al olvido: solicitud de retirada de información de acuerdo con la legislación europea
en materia de protección de datos
( ) Difamación: el contenido me difama a mí o a mi empresa u organización”.
Al seleccionar una de estas opciones, se permite crear una solicitud (“Haga clic en
Crear solicitud para enviar una solicitud a nuestro equipo”).
La opción “Derecho al olvido” conduce al formulario “Retirada en virtud de la ley de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
30/137
privacidad de la UE”.
Para la opción “Difamación” se muestra un formulario de recogida de datos con la
información siguiente:
“Solicitar la retirada de contenido por motivos legales
Si cree que ha encontrado contenido que es ilegal en su país, puede utilizar este formulario
para enviar una reclamación.
Identifique las URL exactas del contenido en cuestión y explique detalladamente por qué cree
que ese contenido es ilegal. Evaluaremos su solicitud teniendo en cuenta nuestras políticas de
retirada de contenido, la revisaremos y adoptaremos las medidas oportunas”.
“Para las reclamaciones de Búsqueda de Google, debe identificar la URL de cada página web
que contenga material presuntamente infractor. Consulte este artículo si necesita ayuda para
buscar las URL”.
“Para que sea lo más preciso posible, cite exactamente el texto de las URLs indicadas arriba
que considera que infringe sus derechos. Si el contenido presuntamente infractor es una
imagen o un vídeo, proporcione una descripción detallada de ese contenido para que podamos
localizarlo en la URL en cuestión”.
“Si la infracción afecta a varios productos de Google, debe enviar una notificación por cada
producto afectado”.
Este formulario incluye campos para que el solicitante facilite los datos siguientes: país
de residencia, nombre completo del solicitante, nombre de la empresa, nombre de la
empresa o de la organización cuyos derechos legales representa, dirección de correo
electrónico de contacto, URL presuntamente infractoras y firma. Se pide, asimismo, al
solicitante que “Explique detalladamente por qué cree que el contenido de las URLs
indicadas arriba es ilegal y cite las disposiciones legales específicas si es posible”.
2. Se accede a la página a la que conduce el enlace al producto “Google Maps y
productos relacionados” (“Formulario Google 25”), comprobándose que incluye la
siguiente información:
“Cómo retirar contenido de Google
Esta página le permitirá acceder al sitio adecuado para informar del contenido que quiera que
se retire de los servicios de Google de acuerdo con las leyes aplicables. Proporciónenos
información completa para que podamos investigar su consulta.
Si tiene problemas que no sean de tipo legal con los Términos del Servicio o las Políticas de
Productos de Google, visite http://support.google.com.
Debe enviar una notificación individual para cada servicio de Google en el que aparezca el
contenido”.
En esta página se ofrecen nuevas opciones de “producto” (Fichas locales, Google
Maps, Street View y sitio web de My Business). Al seleccionar la opción “Fichas
locales (incluidas las fichas de empresa, reseñas, publicaciones y fotos)”, se muestra
un texto informativo que hace referencia a la comunicación de datos al “Proyecto
Lumen” (la misma referencia a “lumendatabase.org” que consta en los “Formularios de
Google 3, 6, 8, 10, 12, 13, 14, 15, 16, 19, 20 y 22”, reproducida en el Antecedente
Sexto), así como a la publicación de información en el informe de transparencia de
“Google (“Asimismo, podemos publicar información similar procedente de tu
notificación en nuestro informe de transparencia. Para obtener más información sobre
este informe, haz clic aquí”).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
31/137
Se muestran, asimismo, las siguientes opciones sobre el motivo de la solicitud:
“¿En qué podemos ayudarte?
( ) Quiero cambiar la información incorrecta de mi ficha local
( ) Quiero saber por qué se ha cambiado la información de mi ficha local
( ) Información personal: el contenido incluye mis datos personales
( ) Problema de propiedad intelectual: denunciar una infracción de derechos de autor, elusión,
etc.
( ) Orden judicial: una sentencia judicial ha determinado que un contenido concreto es ilegal
( ) Problema legal: problema legal que no aparece en la lista
( ) Material con imágenes de abuso sexual infantil: representación visual de prácticas sexuales
explícitas con menores”.
Al seleccionar una de estas opciones, se permite crear una solicitud (“Haga clic en
Crear solicitud para enviar una solicitud a nuestro equipo”). Para la opción
“Información personal: el contenido incluye mis datos personales” se muestra un
formulario de recogida de datos con la información siguiente:
“Formulario para solicitar la retirada de información personal
Por motivos de privacidad, es posible que tenga derecho a solicitar que se retire determinada
información personal relacionada con usted.
Este formulario se utiliza para solicitar la retirada de determinado contenido del producto de
Google que ha seleccionado. Si desea solicitar la retirada de información personal de otro
producto de Google, envíe una solicitud a través del formulario del producto correspondiente,
disponible en nuestra página “Cómo retirar contenido de Google”.
Por ejemplo, si desea solicitar que se retiren determinados resultados de la Búsqueda de
Google correspondientes a consultas que incluyan su nombre, envíe una solicitud a través del
formulario de la Búsqueda de Google correspondiente.
Al recibir una solicitud, Google busca un equilibrio entre el derecho a la privacidad del individuo
afectado y el derecho del público general a tener acceso a la información, así como el derecho
de otros usuarios a distribuirla. Por ejemplo, Google puede negarse a retirar determinada
información sobre estafas financieras, negligencia profesional, condenas penales o
comportamiento público de funcionarios del gobierno”.
“Acepto que se procese la información personal que envío, como se describe a continuación:
Google LLC o Google Irlanda, para los usuarios del Espacio Económico Europeo o Suiza,
utilizará la información personal que proporcione en este formulario (como su dirección de
correo electrónico y todos los datos de identidad) y la información personal que envíe en otros
mensajes para procesar su solicitud y cumplir con nuestras obligaciones legales. Google puede
compartir información de su solicitud con las autoridades de protección de datos, pero solo si la
solicitan para investigar o revisar una decisión que Google haya tomado. Esto suele ocurrir si
se ha puesto en contacto con la autoridad de protección de datos nacional en relación con
nuestra decisión. Una vez que se haya retirado el contenido de nuestros productos,
informaremos a los propietarios correspondientes.
Tenga en cuenta que si ha iniciado sesión en su cuenta de Google, podemos asociar su
solicitud a esa cuenta.
( ) Marque la casilla para confirmarlo”.
Este formulario incluye campos para que el solicitante facilite sus datos relativos a país
de residencia, nombre completo y dirección de correo electrónico de contacto; así
como el nombre y apellidos de la persona a la que representa, URL del contenido que
incluya la información personal que desea que se retire, la información personal que
desea que se retire y los motivos de la retirada.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
32/137
3. Se accede a la página que conduce el enlace al producto “Google +” (“Formulario
Google 26”), comprobándose que incluye la misma información reseñada en el caso
anterior (“Google Maps”), incluida la referencia a la comunicación de datos a Lumen y
al “Informe de transparencia de Google”. En cuanto a las opciones, se ofrecen las
siguientes:
“¿En qué podemos ayudarte?
( ) Quiero que se elimine mi perfil de los resultados de búsqueda.
( ) Quiero presentar una reclamación de suplantación de identidad.
( ) Otro problema legal: denunciar contenido por otro motivo legal no incluido en la lista”.
Al seleccionar una de estas opciones, se permite crear una solicitud (“Haga clic en
Crear solicitud para enviar una solicitud a nuestro equipo”).
Para la opción “Quiero que se elimine mi perfil de los resultados de búsqueda” se
muestra un enlace a la siguiente información:
“Permitir o impedir que los motores de búsqueda web rastreen tu perfil de Google+
En la configuración de Google+ puedes permitir o impedir que los motores de búsqueda web
rastreen tu perfil.
1. En el ordenador, abre Google+.
2. Haz clic en Menú Configuración.
3. Ve a "Perfil".
4. Activa o desactiva la opción "Permitir que otros usuarios encuentren mi perfil en los
resultados de búsqueda".
“¿Utilizas Google Currents en el trabajo o en un centro educativo?
La persona de tu organización que gestiona tu cuenta de Google Workspace, denominado
"administrador del sistema", elegirá si los buscadores web pueden rastrear tu página de perfil o
no. Si no te gusta la opción que haya elegido, puedes cambiarla”.
4. Se accede a la página a la que conduce el enlace al producto “Google News”
(“Formulario Google 27”), comprobándose que incluye la misma información reseñada
en el apartado 2 anterior, salvo la referencia a la comunicación de datos al “Proyecto
Lumen” y al “Informe de transparencia de Google”.
En esta página se ofrecen las opciones siguientes:
“¿En qué podemos ayudarte?
( ) Infracción de derechos de autor: mi obra protegida por derechos de autor se está utilizando
ilegalmente sin autorización
( ) Contranotificación: apelación destinada a restaurar contenido que se retiró debido a una
reclamación por infracción de derechos de autor
( ) Elusión: una herramienta elude las medidas tecnológicas de protección de los derechos de
autor
( ) Información personal: el contenido incluye mis datos personales
( ) Orden judicial: una sentencia judicial ha determinado que un contenido concreto es ilegal
( ) Problema legal: problema legal que no aparece en la lista
( ) Material con imágenes de abuso sexual infantil: representación visual de prácticas sexuales
explícitas con menores”.
Al seleccionar una de estas opciones, se permite crear una solicitud (“Haga clic en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
33/137
Crear solicitud para enviar una solicitud a nuestro equipo”). Para la opción
“Información personal: el contenido incluye mis datos personales” se muestra un
formulario de recogida de datos con la misma información que consta en el apartado 2
anterior, correspondiente al formulario de solicitud disponible para esta misma opción,
en el producto “Google Maps”.
Este formulario incluye campos para que el solicitante facilite sus datos relativos a país
de residencia, nombre completo y dirección de correo electrónico de contacto; así
como el nombre y apellidos de la persona a la que representa, URL del contenido que
incluya la información personal que desea que se retire, la información personal que
desea que se retire y los motivos de la retirada.
c) Formularios Google 3, 6, 8, 10, 12, 13, 14, 15, 16, 19, 20 y 22. Se trata de las
páginas de entrada a los formularios de retirada de contenido relativos a distintos
productos de GOOGLE LLC, que constan detallados en el Antecedente Sexto.
Se accede al enlace que se facilita en estos formularios para poder examinar un
ejemplo de publicación en “lumendatabase.org”
(https://www.lumendatabase.org/notices/5838). Corresponde a una retirada de
contenido por difamación solicitada en abril de 2005 por una empresa del Reino Unido
que no se identifica. Tampoco consta ninguna información personal del cliente de la
entidad solicitante, y no se incluye ninguna URL ni documentación de soporte.
Se pulsa el enlace incluido en esta publicación “para solicitar el acceso y ver las URL
completas” y se accede al formulario habitual de “Lumen”, en que se solicita la
dirección de correo electrónico de la persona que desea acceder a la información, a la
que posteriormente dicha entidad envía un correo con un enlace a la información de
un solo uso.
Estos formularios incluyen un enlace para obtener información sobre el informe de
transparencia de GOOGLE LLC (“Asimismo, podemos publicar información similar
procedente de tu notificación en nuestro informe de transparencia. Para obtener más
información sobre este informe, haz clic aquí”).
Por otra parte, en el formulario de retirada de contenidos correspondiente al producto
“Drive y documentos”, se selecciona la opción “Información personal: el contenido
incluye mis datos personales”, que conduce a la página en la que se posibilita la
creación de la solicitud (Formulario Google 22). Para esta opción se muestra un
formulario de recogida de datos con la misma información que consta el apartado 2
anterior, correspondiente al formulario de solicitud disponible para esta misma opción,
en el producto “Google Maps”.
Este formulario incluye campos para que el solicitante facilite sus datos relativos a país
de residencia, nombre completo y dirección de correo electrónico de contacto; así
como el nombre y apellidos de la persona a la que representa, URL del contenido que
incluya la información personal que desea que se retire, la información personal que
desea que se retire y los motivos de la retirada.
d) Formulario Google 18: página de entrada a los formularios de retirada de contenido
relativo al producto “Google Imágenes”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
34/137
Se accede al enlace “Visite esta página”, mediante el que se accede a la información
facilitada sobre la manera de ponerse en contacto con el webmaster de un sitio web.
Al final del documento, se indica:
“Si el webmaster ya ha hecho los cambios que has solicitado en un sitio web que aparece en
los resultados de búsqueda, puedes pedirnos que quitemos la información obsoleta mediante
una “solicitud de retirada de página web”.
Mediante este enlace “solicitud de retirada de página web” se accede a una
herramienta para retirada de “contenido obsoleto de la Búsqueda de Google”. En la
misma se indica lo siguiente:
“Directrices
. Esta herramienta solo funciona con páginas o imágenes que ya se hayan modificado o
quitado de la Web.
. Para retirar información personal o contenido con problemas legales que aún esté presente
en una página, “envía una solicitud legal”.
. Consulta más información en “este documento”.
Nueva solicitud”
Mediante la “consulta del documento” insertada en esa información permite acceder a
una página con el rótulo “Herramienta retirar contenido obsoleto”, que permite
“actualizar los resultados de búsqueda de Google de páginas o imágenes eliminadas o
de páginas con contenido retirado”.
Mediante el enlace “envía una solicitud legal”, también insertado en la información
reseñada, se accede a la página en la que se incluye el botón “Crear solicitud”. Esta
página informa lo siguiente:
“Denunciar contenido por motivos legales
Nos tomamos muy en serio el contenido inapropiado
Si ve contenido en un producto de Google que cree que infringe la ley o sus derechos, póngase
en contacto con nosotros. Revisaremos el material y estudiaremos la posibilidad de bloquearlo,
limitarlo o retirar el acceso a dicho material. Comportamientos como la suplantación de
identidad (phishing) o la presencia de contenido violento o explícito pueden suponer la
infracción de las “políticas de nuestros productos” y dar lugar a una posible retirada de los
contenidos de los productos de Google. Le recomendamos que informe sobre la posible
infracción de contenido en la página del producto correspondiente antes de crear una solicitud.
Crear una solicitud (botón).
Proteger su información
Nuestro objetivo es proporcionarle las herramientas de seguridad y privacidad más potentes
del mundo. La seguridad y la privacidad son muy importantes para nosotros, por lo que nos
esforzamos para ofrecerle la máxima protección.
Lea nuestra “Política de Privacidad” para saber cómo utiliza Google la información y qué puede
hacer usted para protegerse.
Nuestro “Centro de seguridad” puede ayudarles a usted y a su familia a estar seguros en
Internet. Consúltelo para obtener más información sobre el tema y saber cómo protege Google
a los usuarios, sus ordenadores y toda la Web frente a los delitos informáticos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
35/137
La transparencia es fundamental para nosotros
La transparencia es uno de los valores primordiales de Google.
En nuestro afán de ser transparentes, podemos enviar una copia de cada aviso legal que
recibamos al “proyecto Lumen” (enlace a la web “lumendatabase.org”) para que se publique.
Lumen es un proyecto de investigación independiente dirigido por el Berkman Klein Center for
Internet & Society de la Facultad de Derecho de Harvard. La base de datos de Lumen contiene
millones de solicitudes de retirada de contenido que varias empresas han compartido de forma
voluntaria, incluida Google. Su objetivo es facilitar la investigación académica y sectorial sobre
la disponibilidad de contenidos online. Lumen ocultará la información de contacto personal del
remitente, como su número de teléfono, dirección de correo electrónico y dirección postal.
Puede ver un ejemplo de publicación de Lumen “en esta página”.
Asimismo, podríamos publicar información similar procedente de su aviso en nuestro “Informe
de transparencia”, que proporciona datos sobre las solicitudes que nos envían tanto titulares de
derechos de autor como gobiernos para que retiremos información de nuestros productos.
Información sobre los derechos de autor
De acuerdo con la política de Google, debemos cumplir con los avisos de infracción de
derechos de autor de conformidad con la ley estadounidense de protección de los derechos de
autor (DMCA). Consulte más información sobre nuestras políticas de derechos de autor y todos
los requisitos que debe cumplir un aviso en el “Centro de Ayuda sobre derechos de autor”.
C. Resultado de la prueba señalada con la letra c):
La información publicada en los Enlaces Lumendatabase 6, 7, 13, 15, 16, 17, 19, 27,
28 y 29 coincide con la reseñada en los Antecedentes Primero y Sexto.
En el resto de los casos, se realizan las constataciones siguientes:
. Enlace Lumendatabase 1
En la indicación del enlace figura: “(…)”.
(…)
Asimismo, se accede al enlace “Click here to request access and see full URLs””,
que da acceso a la página “(…)”. Esta página aparece con el rótulo “Solicitar
acceso completo a la denuncia por difamación a Google”, con el texto siguiente:
“Para acceder a este aviso ingresa tu dirección de correo electrónico y resuelve el
captcha. Después de enviar el formulario, le enviaremos un correo electrónico con un
enlace de un solo uso al aviso.
Dirección de correo electrónico
(espacio para añadir la dirección de correo electrónico)
( ) Seleccione para recibir una notificación cuando se agreguen nuevos documentos de
notificación (o cuando se actualicen los documentos de notificación existentes).
Entregar (Botón)”.
. Enlace Lumendatabase 2
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
36/137
El contenido publicado coincide con el reseñado en los Antecedentes anteriores.
Se accede al enlace “Click here to request access and see full URLs””, que da
acceso a la página “(…)”, con la misma estructura que la reseñada en el Enlace
Lumendatabase 1.
. Enlace Lumendatabase 3
En el texto de la reclamación se han suprimido los datos “(…)”, y la URL “(…)”.
Se accede al enlace “Click here to request access and see full URLs””, que da
acceso a la página “(…)”, con la misma estructura que la reseñada en el Enlace
Lumendatabase 1.
. Enlace Lumendatabase 4
Se indica la fecha de la solicitud dirigida a GOOGLE LLC ***FECHA.12 y los
enlaces aparecen como sigue:
(…)
(…)
(…)
(…)
(…)
(…).
. Enlace Lumendatabase 5
En el texto de la reclamación se han suprimido los datos “I.I.I.” y
“***EMPRESA.1”.
. Enlace Lumendatabase 8
En el texto de la reclamación se han suprimido los datos “B.B.B.” y (…) ; y el
enlace figura con la reseña “(…)”.
. Enlaces Lumendatabase 9 a 12
En el texto de la reclamación se han suprimido los datos “B.B.B.” (enlace 9),
“B.B.B.” (enlace 10), “B.B.B.” (enlaces 11) y “B.B.B.” (enlace 12).
. Enlace Lumendatabase 13
El contenido publicado coincide con el reseñado en los Antecedentes anteriores.
. Enlace Lumendatabase 14
En el enlace se indica “(…)”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
37/137
. Enlace Lumendatabase 18
En el encabezado se han suprimido los datos “C.C.C.”, y en el texto de la
reclamación se ha suprimido la información “(…)”.
. Enlace Lumendatabase 19
La información coincide con la reseñada en los Antecedentes anteriores (solicitud
anterior a la vigencia del RGPD).
. Enlace Lumendatabase 20
El contenido publicado coincide con el reseñado en los Antecedentes anteriores
(solicitud anterior a la vigencia del RGPD).
. Enlace Lumendatabase 21
El contenido publicado coincide con el reseñado en los Antecedentes anteriores
(solicitud anterior a la vigencia del RGPD).
Se accede al blog “(…)” y se comprueba que ha sido eliminado.
. Enlace Lumendatabase 22
Se ha suprimido el nombre de la solicitante en el encabezado.
Se accede al blog “(…)” y se comprueba que ha sido eliminado.
. Enlace Lumendatabase 23
Página similar a la anterior, con solicitudes dirigidas a GOOGLE LLC en base a
resoluciones judiciales.
. Enlace Lumendatabase 24
Página similar a la anterior, con solicitudes dirigidas a GOOGLE LLC en base a
resoluciones judiciales.
Se accede a algunos de los enlaces que figuran en la página de los resultados de
la búsqueda correspondientes a usuarios españoles, comprobándose lo siguiente:
. (…) (Enlace Lumendatabase 30)
. Encabezado: Dirigida a GOOGLE LLC por J.J.J., en fecha 06/07/2020,
como consecuencia de un fallo judicial.
. Reclamación: “(…)”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
38/137
. Enlace: (…)
. Documentos: Posibilidad de descarga de dos documentos de soporte en
formato pdf.
Por otra parte, se accede al enlace “Documentos de respaldo. PDF de apoyo.
Haga clic aquí para obt…”, que da acceso a la página “(…)”. Esta página, que
aparece con el rótulo “Solicitar acceso completo a la demanda de orden judicial
a Google”, ofrece la opción de solicitar la información relativa a esta
notificación:
“Para acceder a este aviso ingresa tu dirección de correo electrónico y resuelve el
captcha. Después de enviar el formulario, le enviaremos un correo electrónico con un
enlace de un solo uso al aviso.
Dirección de correo electrónico
(espacio para añadir la dirección de correo electrónico)
( ) Seleccione para recibir una notificación cuando se agreguen nuevos documentos de
notificación (o cuando se actualicen los documentos de notificación existentes).
. (…) (Enlace Lumendatabase 31)
. Encabezado: Dirigida a GOOGLE LLC por K.K.K., en fecha ***FECHA.16,
como consecuencia de un fallo judicial.
. Reclamación: “(…)”.
. Enlace: (…)
. (…) (Enlace Lumendatabase 32)
. Encabezado: Dirigida a GOOGLE LLC por L.L.L., en fecha ***FECHA.17,
como consecuencia de un fallo judicial.
. Reclamación: “(…)”
. Enlaces: (…)
. Documentos: Posibilidad de descarga de dos documentos de soporte en
formato pdf.
. (…) (Enlace Lumendatabase 33)
. Encabezado: Dirigida a GOOGLE LLC por M.M.M., en fecha ***FECHA.18,
como consecuencia de un fallo judicial.
. Enlaces: (…) (…)
. Enlace Lumendatabase 25
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
39/137
Pagina no encontrada
. Enlace Lumendatabase 26
Se han suprimido del encabezado los datos “H.H.H.”.
D) Resultado de la prueba señalada con la letra d):
Se incorpora a las actuaciones la primera página de resultados de búsqueda en el
buscador Google con los términos “D.D.D.”. Se comprueba que en el pie de la página
se incluye la siguiente reseña: “Es posible que algunos resultados se hayan eliminado
de acuerdo con la ley de protección de datos europea. Más información”.
E) Resultado de la prueba señalada con la letra e):
a) Se accede al sitio web “Google.com” y se incorpora a las actuaciones copia del
formulario “Retirada en virtud de la ley de privacidad de la UE”
(“https://www.google.com/webmasters/tools/legal-removal-request?
complaint_type=rtbf&visit_id=637759350971490255-235171692&hl=es&rd=1”), el cual
consta reproducido íntegramente en Anexo 2.
b) Se pulsa el enlace “Cómo retirar contenido de Google” insertado en el formulario
anterior y se comprueba que da acceso a la página de entrada de Google para la
solicitud de retirada de contenido en la que se listan diversos productos de la
compañía, en la que el solicitante puede elegir a cuál de dichos productos se refiere su
solicitud de retirada de contenido (Formularios Google 2, 4, 5, 7, 9, 17, 21 y 23).
F) Resultado de la prueba señalada con la letra f):
Se incorpora a las actuaciones copia de la Política de Privacidad accesible a través del
sitio web “google.com” en su versión actual, vigente desde el 01/07/2021, y copia de
las versiones de dicha Política de Privacidad de fechas 25/05/2018, 22/01/2019 y
31/03/2020.
Del contenido de la actualización de la Política de Privacidad de fecha 25/05/2018 se
destacan los apartados que constan reseñados en Anexo 1.
La actualización de 22/01/2019 incluye los mismos apartados que la anterior y
expresados en los mismos términos, salvo los cambios señalados en Anexo 1 (se
introduce un nuevo apartado con el rótulo “Requisitos europeos”).
De la misma forma, la actualización de 31/03/2020 tiene la misma estructura que la
anterior y se expresa en los mismos términos, con los cambios que se indican en
Anexo 1, entre los que destaca la incorporación de un nuevo apartado relativo a la
“Conservación de datos”.
La actualización de esta Política de Privacidad de 01/07/2021, que corresponde a la
versión vigente en la actualidad incluye los mismos apartados que la versión anterior
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
40/137
y se expresan en los mismos términos, con los cambios señalados en Anexo 1.
Todas las versiones de la Política de Privacidad examinadas incluyen el enlace
“solicitar que se retire contenido”. Se pulsa dicho enlace y se comprueba, en todos los
casos, que da acceso a la página de entrada a la solicitud de retirada de contenido en
la que se listan diversos productos de la compañía, en la que el solicitante puede
elegir a cuál de dichos productos se refiere su solicitud de retirada de contenido
(Formularios Google 2, 4, 5, 7, 9, 17, 21 y 23).
G) Resultado de la prueba señalada con la letra g):
a) Se accede a la dirección de internet “https://www.lumendatabase.org/pages/lumen-
notice-basics” y se incorpora a las actuaciones la información contenida en la misma.
De la información contenida en este documento, que aparece con el rótulo “Conceptos
básicos de la información del aviso de Lumen”, se destacan los fragmentos que se
reproducen en Anexo 4.
b) Se accede a la dirección de Internet
“https://support.google.com/websearch/troubleshooter/3111061#ts=2889054%2C2889
099”, incluida en el documento anterior, en el apartado “OTROS TIPOS DE AVISOS”.
Conduce a un documento informativo de “Google” sobre retirada de información, el
cual consta igualmente reproducido en Anexo 4.
H) Resultado de la prueba señalada con la letra h):
a) Se accede al sitio web “lumendatabase.org”, al apartado denominado “Acerca de” y
se incorpora a las actuaciones la información disponible en dicho apartado, la cual
consta reproducida en Anexo 3.
b) Se accede al “Aviso Legal” insertado en “lumendatabase.org” y se incorpora a las
actuaciones la información disponible en dicho apartado, la cual consta reproducida en
Anexo 3.
c) Se accede al sitio web “lumendatabase.org”, al apartado denominado
“Investigadores”, y se incorpora a las actuaciones la información disponible en dicho
apartado, la cual consta reproducida en Anexo 3.
DECIMOPRIMERO: Con fecha 31/01/2022, se emitió propuesta de resolución en el
sentido siguiente:
1. Que por la Directora de la AEPD se sancione a la entidad GOOGLE LLC, por una
infracción del artículo 6 del RGPD, tipificada en el artículo 83.5.a) y calificada como
muy grave a efectos de prescripción en el artículo 72.1.b) de la LOPDGDD, con una
multa por importe de 5.000.000 euros (cinco millones de euros).
2. Que por la Directora de la AEPD se sancione a la entidad GOOGLE LLC, por una
infracción del artículo 17 del RGPD, tipificada en el artículo 83.5.b) y calificada como
muy grave a efectos de prescripción en el artículo 72.1.k) de la LOPDGDD, con una
multa por importe de 5.000.000 euros (cinco millones de euros).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
41/137
3. Que por la Directora de la AEPD se imponga a la entidad GOOGLE LLC, en el plazo
que se determine, la adopción de las medidas necesarias para adecuar a la normativa
de protección de datos personales las operaciones de tratamiento y los procedimientos
de ejercicio del derecho objeto de las actuaciones, con el alcance expresado en el
Fundamento de Derecho X de la propuesta de resolución.
DECIMOSEGUNDO: Notificada la propuesta de resolución, ampliado el plazo
concedido para la formulación de alegaciones y remitida copia de las actuaciones
incorporadas al procedimiento, se recibió escrito de GOOGLE LLC en el que solicita lo
siguiente:
1. Que se declare la nulidad de pleno derecho del procedimiento por no tener en
consideración las normas del mecanismo de cooperación, e infringir las normas
reguladoras del procedimiento sancionador de carácter fundamental y del principio de
confianza legítima (letra e) del artículo 47.1 de la LPACAP).
2. Subsidiariamente a lo anterior, la anulabilidad del Procedimiento en los términos
contemplados en el artículo 48 LPACAP, por existir una actuación por parte de la
Agencia que supone una infracción del ordenamiento jurídico y que provoca la
indefensión de la reclamada.
3. Subsidiariamente a lo anterior, la inexistencia de las supuestas infracciones de los
arts. 6.1 y 17 del RGPD, y el archivo de las actuaciones.
4. Subsidiariamente a lo anterior, la imposición de la cuantía de la sanción
correspondiente en su grado mínimo y la limitación del ámbito de las órdenes o
medidas correctoras únicamente a los tratamientos de datos atribuibles a GOOGLE
LLC, otorgando un plazo razonable para cumplirlas.
Después de declarar reproducidos sus escritos e informaciones anteriores, formula las
consideraciones siguientes, en las que basa su petición:
1. El objeto inicial del procedimiento, referido a la “comunicación de datos
relacionados con solicitudes o requerimientos de retirada de contenido que efectúa
GOOGLE LLC. al proyecto Lumendatabase”, ha sido ampliado por la AEPD en la
propuesta de resolución a tratamientos de los que GOOGLE LLC no es responsable,
infringiendo con ello la normativa.
Indica GOOGLE LLC que la Agencia inició el procedimiento con un objeto definido,
como es el análisis de la comunicación de datos relacionados con solicitudes de
retiradas de contenido al “Proyecto Lumen”, y se cuestionaba el cumplimiento del
artículo 17 del RGPD en relación con esas comunicaciones. Sobre esta cuestión,
GOOGLE LLC declara expresamente lo siguiente:
“En efecto… Google LLC, es la entidad responsable del tratamiento de los datos personales
que ha tenido lugar en el contexto de las comunicaciones de solicitudes de retirada a Lumen.
Precisamente por este motivo el presente procedimiento fue correctamente iniciado frente a
Google LLC”.
Añade que, no obstante lo anterior, en la citada propuesta se imputa una nueva
supuesta infracción del artículo 17 RGPD en base a las deficiencias (quod non)
encontradas en los formularios y procedimientos para la retirada de contenidos
accesibles a través de los productos y servicios de Google, que son ofrecidos a los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
42/137
usuarios ubicados en el Espacio Económico Europeo (“EEE”) y Suiza (incluidos
Blogger/Blogspot, Drive, Google Fotos, Google Play, YouTube, etc.) por Google
Ireland Limited, por lo que es esta entidad la responsable del tratamiento de los datos
personales asociados al uso de estos servicios y la Irish Data Protection Commission
(o “IDPC”) la autoridad de control principal para cualquier tratamiento transfronterizo
relacionado con dichos datos personales.
Tampoco GOOGLE LLC es responsable de los procedimientos y formularios para la
retirada de contenidos ni de los datos personales tratados en este contexto.
Al no considerar si el mecanismo de cooperación del artículo 60 del RGPD debía
activarse con la ampliación del procedimiento, la AEPD ha infringido la normativa
aplicable, lo que conlleva irremediablemente la nulidad del presente procedimiento
conforme lo establecido en el artículo 47.1.e) de la LPACAP o, en todo caso, la
anulabilidad del procedimiento en los términos contemplados en el artículo 48
LPACAP.
2. Los hechos ponen de manifiesto que la tramitación de las reclamaciones, la
involucración de la IDPC y las actuaciones de investigación y comprobación realizadas
por la Agencia se han dilatado durante más de lo permitido en la normativa aplicable,
no sujetándose tampoco a los trámites previstos en dicha normativa.
Las actuaciones previas de investigación han excedido ampliamente el plazo de 12
meses establecido en el artículo 67.2 de la LOPDGDD, toda vez que la IDPC rechazó
su competencia (entendiéndose, entonces, que la competencia correspondía a la
AEPD) el 22/01/2020.
Frente a ello no puede oponerse el archivo provisional del expediente declarado el
16/01/2020 de conformidad con el artículo 66.2 de la misma Ley Orgánica, que solo
puede extenderse hasta el momento en que la AEPD confirme su competencia. En
este momento el archivo provisional se levanta y el expediente vuelve a recuperar todo
su vigor. Procede aplicar en este caso por analogía un criterio en línea con lo que
establece el artículo 64.4 de la LOPDGDD, según el cual la suspensión de los plazos
de los trámites finaliza en el momento en que la autoridad de control del otro Estado
Miembro procede a la “notificación del pronunciamiento a la Agencia Española de
Protección de Datos”.
Así, aunque la Agencia declarase en su momento el archivo provisional del
procedimiento, dicho archivo debe entenderse alzado el 22/01/2020, una vez que la
AEPD “recuperó” su competencia sobre el conocimiento de las reclamaciones. En
consecuencia, el archivo provisional del procedimiento resulta ineficaz para evitar la
caducidad de las actuaciones. Asimismo, la falta de declaración por parte de la AEPD
del levantamiento formal del archivo provisional no puede tener efecto alguno a este
respecto, dado que es evidente que el procedimiento continuó.
Ante esta situación, las actuaciones previas de investigación habrían caducado, por lo
que la información recabada en el marco de las mismas no podría utilizarse en este
Procedimiento.
Esta circunstancia fue puesta de manifiesto por esta parte en sus Alegaciones al
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
43/137
Acuerdo de Inicio. Ante ello, en la propuesta de resolución, la Agencia señala que
acordó la apertura del procedimiento sin haber desarrollado actuaciones previas de
investigación y, que siendo así, no puede invocarse la caducidad de unas actuaciones
que no han tenido lugar.
Aunque la Agencia niega estas actuaciones previas, resulta palmario que sí llevó a
cabo una serie de actuaciones destinadas a la “mejor determinación de los hechos y
las circunstancias que justifican la tramitación del procedimiento” y que sólo pueden
calificarse de investigaciones o comprobaciones y que han quedado reflejadas en el
Expediente Original (pág. 194 y ss. y pág. 275 y ss. del Anexo 1), así como en los
antecedentes indicados en la propuesta de resolución. La existencia de estas labores
de investigación es un hecho incontestable.
La AEPD no facilita ninguna explicación acerca de cómo calificar entonces las labores
de investigación que efectivamente realizó con carácter previo al acuerdo de inicio, ni
tampoco el marco jurídico en el que las habría realizado. Simplemente se limita a
negar haber practicado investigación alguna, lo cual es evidente que no se ajusta a la
realidad.
A la vista de ello, sólo caben dos posibilidades, abocando ambas a la infracción del
ordenamiento jurídico por parte de la AEPD:
a) Que aunque no se declarase formalmente la apertura de actuaciones previas al no
existir acuerdo por el que se decidiese su iniciación, tales actuaciones previas
debieran entenderse abiertas de todas formas, dadas las labores de investigación que,
de forma efectiva, sí llevó a cabo la Agencia. Si tal fuera el caso, dichas actuaciones
previas habrían excedido el plazo de tiempo legalmente permitido y deberían
entenderse caducadas por las razones expuestas anteriormente.
b) Que, al no existir formalmente acuerdo de iniciación de las actuaciones previas, la
Agencia hubiese realizado actuaciones de indagación, investigación y comprobación,
fuera del marco legalmente establecido para las actuaciones previas, (i) ejercitando
potestades e invirtiendo recursos y medios humanos y materiales, sin amparo legal ni
un marco jurídico legalmente establecido (lo que de por sí conlleva el reproche legal) y
(ii) burlando así además de forma reprochable el límite temporal establecido por la
LOPDGDD para las actuaciones previas.
En relación con la posibilidad de realizar labores de investigación sin apertura formal
de diligencias previas, GOOGLE LLC señala que no comparte la interpretación que la
Agencia hace respecto del artículo 67 de la LOPDGDD y del carácter potestativo de
las mismas.
En virtud de este artículo la Agencia puede llevar a cabo o no actuaciones previas de
investigación antes de adoptar el acuerdo de inicio, pero en caso de realizar alguna
investigación o comprobación, el cauce legal previsto para ello deben ser las citadas
actuaciones previas de investigación.
Por otro lado, el plazo de 12 meses establecido para las actuaciones previas obedece
a la voluntad del legislador de asegurar la eficiencia de la labor de la AEPD y proteger
a los administrados frente a la dilatación excesiva de los procedimientos. No puede
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
44/137
aceptarse que la AEPD pueda llevar a cabo actuaciones destinadas a la “mejor
determinación de los hechos y las circunstancias que justifican la tramitación del
procedimiento” indefinidamente, sin considerarlas formalmente “actuaciones previas
de investigación”, más aún cuando, como ocurre en nuestro caso, ello es invocado
precisamente para eludir las restricciones de plazo impuestas imperativamente por el
artículo 67.2 de la LOPDGDD.
Por tanto, la Agencia ha vulnerado las disposiciones de la LOPDGDD relativas al
procedimiento administrativo sancionador y su tramitación, viciando de nulidad el
acuerdo de inicio y el procedimiento conforme lo establecido en el artículo. 47.1.e) de
la LPACAP por haber prescindido total y absolutamente del procedimiento legalmente
establecido.
3. Considera GOOGLE LLC que no ha vulnerado el artículo 6 del RGPD, que procede
aplicar la base legitimadora del interés legítimo a las comunicaciones de datos hechas
a Lumen.
La Agencia rechaza la aplicación del interés legítimo y niega la posibilidad de acudir al
consentimiento. Respecto de esta última alternativa indica que nunca ha sido
defendida por GOOGLE LLC, por lo que no alude a la misma en sus alegaciones,
aunque advierte que discrepa de los razonamientos recogidos en la propuesta, si bien
no ofrece explicación alguna al respecto.
Entiende la reclamada que, según el Dictamen 06/2014 sobre el concepto de interés
legítimo del responsable del tratamiento de los datos, (a) existen varios intereses
legítimos en la cesión de datos con Lumen, y (b) dichos intereses legítimos prevalecen
sobre los derechos y libertades de los interesados; en línea con lo indicado en las
alegaciones al acuerdo de inicio, que reproduce casi literalmente en este nuevo escrito
de alegaciones a la propuesta.
Reitera lo expresado en el escrito de alegaciones a la apertura del procedimiento
sobre los intereses legítimos de GOOGLE LLC, Lumen y la sociedad en general en la
cesión de información sobre solicitudes relativas a la retirada de contenidos, y señala,
en respuesta a lo indicado en la propuesta de resolución, que tales intereses legítimos
no tienen un carácter sobrevenido, sino que existían antes de que se realizasen las
cesiones a Lumen y cumplían los requisitos necesarios para constituir la base
legitimadora de tales cesiones; y que no cabe defender que dicha comunicación de
datos defraude la expectativa de privacidad de los usuarios, dado que estos son
informados en los formularios.
Por otra parte, GOOGLE LLC aclara que no es cierto que comparta con Lumen la
dirección de correo electrónico de los reclamantes, y que ello solo podría ocurrir en el
caso de que sea el propio reclamante el que incluya su dirección de correo en el
campo libre del formulario destinado a motivar o explicar su solicitud de retirada.
Finalmente, alega la reclamada que ninguna de las circunstancias señaladas por la
Agencia para cuestionar la aplicación de esta base legal puede negar su propio interés
legítimo, el de Lumen o de la sociedad en general, ni tampoco puede entenderse que
inclinen el test de ponderación en favor de los derechos y libertades de los
interesados.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
45/137
4. La AEPD imputa a GOOGLE LLC una infracción del art. 17 del RGPD, referido al
derecho de supresión, si bien desde una perspectiva muy distinta a la analizada en el
acuerdo de inicio, y reprocha la “no atención y obstaculización del derecho de
supresión de datos personales” a partir del análisis de procedimientos y diversos
formularios que las entidades del grupo Google ponen a disposición de sus usuarios
para la solicitud de la retirada de contenidos ilícitos o de aquellos contenidos contrarios
a los términos del servicio o a las políticas de contenido de cada respectivo servicio o
producto de Google.
GOOGLE LLC no es el responsable del tratamiento de los datos personales tratados
en el contexto de muchos de esos formularios y de los procesos de retirada asociados,
lo que conlleva la imposibilidad de que la Agencia pueda imputarle la infracción del
artículo 17 del RGPD respecto de esos tratamientos.
Además, la AEPD no aporta prueba alguna de la existencia de un solo derecho de
supresión “no atendido” ni “obstaculizado” por la reclamada y fundamenta la infracción
en una opinión sobre la falta de sencillez y claridad de los formularios de retirada de
Contenidos. La citada imputación está desprovista de prueba o criterio objetivo alguno
y desconectada absolutamente de las denuncias que originaron el procedimiento.
La AEPD ignora que GOOGLE LLC tiene más canales abiertos para la comunicación
con sus usuarios e interesados en ejercitar un derecho al amparo de la normativa de
protección de datos, siendo posible contactar con la Oficina de Protección de Datos de
Google por los cauces habilitados para ello, se ofrecen formularios genéricos para
formular cualquier tipo de reclamación legal y, del mismo modo, la entidad recibe
regularmente todo tipo de correos postales relacionados con retiradas de contenido o
con el ejercicio de derechos.
La AEPD “especula” que la falta de atención y obstaculización existe porque los
formularios de retirada de contenidos no son claros, pero ello no resulta suficiente para
acreditar la infracción, que se sitúa ante un supuesto de ejercicio efectivo de un
derecho de supresión, que se infringe sólo cuando se frustra realmente, bien por
impedirse su ejercicio, bien por no suprimirse los datos personales cuando procedía.
Pero la comisión del tipo infractor exige como “conditio sine qua non” la existencia de
un derecho de supresión que, bien se intentó ejercitar y no se logró al impedirse
ilícitamente su ejercicio, o se ejercitó y no se suprimieron los datos cuando así
procedía.
Corresponde a la AEPD la carga de probar la existencia real de ese ejercicio del
derecho de supresión que no llegó a buen término por “no haber sido atendido o haber
sido obstaculizado”. Sin embargo, la Agencia no prueba tal cosa.
Frente a ello, aunque no es exigible a nadie que pruebe su inocencia, GOOGLE LLC
puede aportar numerosas evidencias de que el derecho de supresión se atiende
correctamente y en ningún caso se obstaculiza.
(…)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
46/137
Por otro lado, la AEPD ignora el conjunto de páginas de ayuda y recursos
específicamente destinados a informar y asistir a los solicitantes del derecho de
supresión ante GOOGLE LLC. Es el caso, entre otras, de la página de ayuda
“Descripción general del derecho al olvido” (aporta el detalle de esta página), que
incluye, según dicha entidad, información muy detallada, en lenguaje sencillo, claro y
conciso sobre el derecho, tal y como ha sido reconocido por el TJUE y lo vienen
aplicando e interpretando los tribunales y las autoridades de protección de datos en
sus decisiones y guías.
También pone a disposición de los reclamantes videotutoriales para explicar los
cauces y procedimientos para ejercitar su derecho de supresión (“derecho al olvido”)
eficazmente (aporta impresión de pantalla disponible en Youtube).
Considera inaudito que la AEPD entienda que GOOGLE LLC obstaculiza el ejercicio
de derechos, cuando invierte tantos recursos y medios para explicar a los reclamantes
como pueden ejercitarlo.
La AEPD también parece haber pasado por alto que la Sala Tercera del Tribunal
Supremo ha tenido ocasión de evaluar formularios para la retirada de contenidos
ofrecido por Google LLC en diversas sentencias, y lo ha hecho en los siguientes
términos:
“ofrece a los interesados información completa sobre el ejercicio de su derecho, facilita los
correspondientes formularios y proporciona instrucciones precisas para cumplimentarlos”.
Véanse, por todas, la Sentencia núm. 1917/2016, de 21 de julio de 2016 (Recurso
núm. 2866/2015), la Sentencia núm. 3713/2016 de 21 de julio de 2016 (Recurso núm.
3279/2015) o la Sentencia núm. 1912/2016 de 21 de julio de 2016 (Recurso núm.
1867/2015).
A la vista de la ausencia de prueba, a juicio de la reclamada, resulta que la AEPD está
tratando de reorientar la finalidad del artículo 17 RGPD y de crear una nueva
construcción sobre cómo se deben canalizar las solicitudes de los interesados. Una
nueva interpretación que no tiene ninguna conexión con las pruebas recabadas por la
AEPD, sus conclusiones y las denuncias presentadas. Como en ocasiones anteriores,
parece que la AEPD está utilizando un procedimiento sancionador de manera impropia
para establecer criterios interpretativos (cuando dicho procedimiento es claramente
inadecuado para ello) y, como la Agencia bien sabe, dicho comportamiento no está
permitido por la ley. Así lo estableció la Sala de lo Contencioso Administrativo de la
Audiencia Nacional en su sentencia de 23 de abril de 2019 (recurso núm. 88/2017),
precisamente como resultado de un recurso de GOOGLE LLC:
“En definitiva, considera la Sala que la AEPD, en este caso, no ha procedido a incoar un
procedimiento sancionador, a partir de la denuncia de unos hechos concretos, y en el que,
respetando los principios que rigen tal procedimiento, haya llegado a una resolución
sancionadora después de hacer una valoración razonable de las pruebas, sino que, como ella
misma viene a reconocer, ha hecho uso de un procedimiento sancionador, para establecer un
criterio interpretativo respecto a las cuestiones planteadas por los denunciantes –el desacuerdo
con los criterios ya establecidos por la propia AEPD en un comunicado de prensa- conforme a
las directrices del Grupo de Autoridades de protección de datos de la Unión Europea. (F. V,
pág 41 de la resolución), criterio que en absoluto puede ser compartido por la Sala, de acuerdo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
47/137
con lo anteriormente expuesto”.
Tampoco consta en el expediente queja o denuncia de algún ciudadano sobre este
particular.
Así, las conclusiones de la propuesta de resolución son manifiestamente contrarias al
principio de confianza legítima recogido en el art. 3.1(e) de la Ley 40/2015, de 1 de
octubre, de Régimen Jurídico del Sector Público, teniendo en cuenta que la AEPD
lleva años enlazando e invitando a los ciudadanos a usar el conjunto de formularios de
retirada de contenidos, como puede verse en su web: Derecho de supresión ("al
olvido"): buscadores de internet, Eliminar fotos y vídeos de internet, Guía para el
ciudadano (página núm. 23) o su reciente Canal Prioritario (reseña los enlaces que
conducen a esta información insertada en la web de la AEPD).
GOOGLE LLC manifiesta que está abierta a perfeccionar los procedimientos y
mecanismos habilitados para la retirada de contenido y el ejercicio de derechos al
amparo de la normativa de protección de datos, conforme a las consideraciones que le
traslade la AEPD, pero no considera que esté obstaculizando su ejercicio.
Lo expuesto en esta alegación conlleva, según la reclamada, la inexistencia de la
infracción del artículo 17 del RGPD, así como la nulidad del acuerdo de inicio y del
procedimiento conforme a lo establecido en el art. 47.1(e) LPACAP y,
subsidiariamente, la anulabilidad del mismo en los términos contemplados en el art. 48
LPACAP.
5. En relación con la graduación de las sanciones, GOOGLE LLC formula de forma
subsidiaria las alegaciones siguientes:
a) La AEPD ha tenido en consideración formularios de retirada de contenidos
relacionados con productos y servicios proporcionados por GOOGLE IRELAND LTD y
tratamientos de los que GOOGLE LLC no es responsable. Entiende que, dado que se
han reducido los productos y servicios objeto de análisis, las sanciones deben ser
objeto de una reducción igualmente proporcional.
b) Deben considerarse las circunstancias atenuantes que se especifican a
continuación:
. Artículo 83.2.c del RGPD:
GOOGLE LLC ha instado a Lumen la realización de anonimizaciones adicionales de
las solicitudes de retirada de contenido identificadas por la AEPD, según consta en las
actuaciones.
Rechaza la apreciación realizada por la Agencia respecto de estas medidas cuando
indica que no modifican el hecho base de la infracción para no tenerlas en cuenta
como atenuantes. Las circunstancias atenuantes, por definición, no modifican el hecho
de que se haya producido una infracción, sino que contribuyen a atenuar la
responsabilidad del infractor por la infracción cometida. Si tales medidas no son
válidas a estos efectos, la reclamada plantea qué es lo que la Agencia considera que
sería una circunstancia atenuante adecuada al precepto indicado.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
48/137
Tampoco se puede aceptar que las medidas complementarias (descritas en las
Alegaciones Complementarias), dirigidas a reforzar la protección de los derechos de
los interesados, no se deban tomar en consideración por ser insuficientes, según el
criterio de la AEPD, que parece querer desincentivar la toma de medidas por parte de
los responsables ante un procedimiento. Añade que el hecho de que no “llegaran a
remediar a la infracción” no implica que no se puedan configurar como atenuantes
(especialmente, teniendo en cuenta el art. 83.2.k del RGPD no limita el tipo de
atenuantes a los que recurrir).
. Artículo 76.2.c de la LOPDGDD:
GOOGLE LLC no obtiene beneficio comercial o ingreso alguno como consecuencia de
las comunicaciones a Lumen.
La Agencia ha indicado que la ausencia de beneficios no puede medirse
exclusivamente en términos comerciales o monetarios y, además, tratándose de una
empresa que basa su actividad en el tratamiento de datos personales, no puede
decirse, sin más acreditación, que GOOLGE LLC no obtiene beneficios comerciales. Si
la Agencia considera que la entidad reclamada ha obtenido beneficios, ya sean
comerciales o de cualquier otro tipo, debe acreditarlo, no correspondiendo a GOOGLE
LLC demostrar un hecho negativo (y constitutivo de “prueba diabólica”), como es la
ausencia de beneficios obtenidos en este aspecto.
c) El objeto de las infracciones imputadas se reduce únicamente a los tratamientos de
datos atribuibles a GOOGLE LLC en España, lo cual implica un claro y directo impacto
en las circunstancias agravantes (que esa entidad rechaza en su totalidad) bajo los
artículos 83.2(a), (g) y (k) del RGPD señalados por la AEPD.
d) En atención al principio de confianza legítima, es manifiestamente incoherente que
la propia Agencia lleve años enlazando y promocionando los Formularios de Retirada
de Contenidos de Google en sus sitios webs, guías y publicaciones, si realmente
consideraba que eran un obstáculo o barrera al ejercicio de derechos. Resulta cuanto
menos chocante que no sea hasta ahora, y nada menos que en sede de una
Propuesta de Resolución sancionadora, la primera vez que se plantea esta cuestión.
Según la reclamada, la publicidad realizada por parte de la AEPD de los formularios de
Google debería considerarse una circunstancia atenuante bajo el art. 83.2 (k) RGPD,
que atenúa directamente el potencial comportamiento doloso o negligente de Google
LLC (quod non).
e) Tampoco cabe aceptar la recriminación que la AEPD hace sobre la falta de
manifestación por parte de GOOGLE LLC, en sus alegaciones al acuerdo de inicio,
acerca de los factores de graduación indicados en dicho acuerdo de Inicio. GOOGLE
LLC rechaza en su totalidad las circunstancias agravantes señaladas por la AEPD y su
falta de manifestación al respecto en las alegaciones al acuerdo de inicio no produce
efecto alguno a este respecto.
6. En relación con las medidas que GOOGLE LLC debe adoptar para ajustar su
actuación a la normativa de protección de datos personales, reitera que en el territorio
español sólo puede ser considerada responsable del tratamiento derivado de la
comunicación de solicitudes de retirada a Lumen y en relación con determinados datos
personales presentes en la información indexada y mostrada en los servicios de
“Búsqueda de Google” y “Google Maps”. Cualquier medida que la AEPD establezca
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
49/137
deberá circunscribirse a esos concretos tratamientos.
A este respecto, advierte que cualquier tipo de medida que afecte a sus procesos
internos exige importantes recursos de ingeniería e implica la necesidad de acometer
varias tareas de planificación, coordinación, gestión, prueba de errores y supervisión,
con la dificultad añadida de que la reclamada es una compañía extranjera que tendrá
que coordinar a distintos equipos a nivel internacional. En base a ello, solicita que se
conceda un plazo suficiente para garantizar una correcta implementación de las
medidas de que se trate y que permita salvaguardar los derechos de los interesados y
no poner en riesgo la calidad y estabilidad de los sistemas de la entidad.
De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:
HECHOS PROBADOS
1. GOOGLE LLC es una empresa con domicilio social en California (Estados Unidos),
que cuenta con una filial en España que actúa bajo la forma jurídica de sociedad de
responsabilidad limitada, con la denominación GOOGLE SPAIN, S.L. y que tiene como
objeto social “Promover, promocionar y comercializar servicios de publicidad online,
mediante internet”.
GOOGLE LLC desarrolla una actividad de carácter económico que tiene como objeto
la oferta de productos y la prestación de servicios on-line, los cuales comprenden,
entre otros, sistemas operativos, aplicaciones para dispositivos móviles, correo
electrónico, redes sociales, mapas, video, blogs, servicios de Cloud y aplicaciones
específicas para empresas.
Esta entidad ofrece sus productos y servicios a personas residentes en España, ya
sean personas físicas (como “Búsqueda”, “Maps”, “Gmail”, “YouTube”, “Drive”,
“Blogger”) o jurídicas. En unos casos, la utilización de los productos o servicios se
ofrece a usuarios que previamente se hayan registrado como tales (ej., Gmail), pero
también se ofrecen productos y servicios (Búsqueda, Maps, Youtube, etc.) que pueden
utilizarse sin iniciar una sesión como usuario registrado.
GOOGLE LLC cuenta con una filial en Irlanda, con la denominación GOOGLE
IRELAND LIMITED. Esta filial, desde el 22/01/2019 (fecha de la actualización de la
Política de Privacidad en la que se informa sobre oferta de productos y servicios de
“Google” por parte de esta entidad en el Espacio Económico Europeo), actúa como
responsable del tratamiento de datos personales de los usuarios de los servicios de
“Google” que se encuentren en el Espacio Económico Europeo, “salvo que se indique
lo contrario en un aviso de privacidad específico de un servicio” (Política de
Privacidad).
A partir de esa fecha, “Google LLC es el responsable del tratamiento de la
información indexada y mostrada en servicios como la Búsqueda de Google y Google
Maps” (Política de Privacidad), con independencia de la ubicación del usuario.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
50/137
2. La Política de Privacidad de GOOGLE LLC se encuentra accesible en el sitio web
“google.com”. Desde la fecha 25/05/2018, constan ocho actualizaciones de esta
Política de Privacidad, cuatro de las cuales han sido incorporadas a las actuaciones
(las fechadas el 25/05/2018, 22/01/2019, 31/03/2020 y 01/07/2021, que corresponde a
la versión vigente en la actualidad).
Según se indica en esta información, la Política de Privacidad se aplica a todos los
servicios ofrecidos por GOOGLE LLC y sus afiliados, salvo “a los servicios que estén
sometidos a políticas de privacidad independientes”.
El contenido íntegro de esta Política de Privacidad, en sus distintas versiones, se
declara reproducido en este acto a efectos probatorios. Parte de este contenido se
incorpora a este acto como Anexo 1.
3. GOOGLE LLC ha dispuesto un procedimiento específico para que los interesados
puedan solicitar, “por motivos de privacidad”, la retirada de resultados obtenidos en
búsquedas con el nombre de la persona como criterio y habilitado un formulario
específico denominado “Retirada en virtud de la ley de privacidad de la UE”. Este
formulario se encuentra accesible a través del sitio web “google.com”, en la URL
“https://www.google.com/webmasters/tools/legal-removal-request?
complaint_type=rtbf&visit_id=637759350971490255-235171692&hl=es&rd=1”.
En este formulario, GOOGLE LLC se declara responsable del tratamiento de datos
personales al ofrecer resultados de la “Búsqueda de Google” y de gestionar las
solicitudes de retirada enviadas mediante dicho formulario.
Incorpora un enlace “Cómo retirar contenido de Google” que conduce a la página en la
que se listan diversos productos de “Google”, a través de la cual se accede a los
formularios de retirada de contenidos habilitados para cada uno de estos productos
(en el Antecedente Sexto se detalla la lista completa de los productos y servicios
incluidos en la misma). Esta página coincide con la reseñada como “Formularios
Google 2, 4, 5, 7, 9, 17, 21 y 23”.
El contenido íntegro de este formulario, que se incorpora a este acto como Anexo 2, se
declara reproducido a efectos probatorios.
4. A través del sitio web “google.com” puede accederse a la página “Cómo retirar
contenido de Google”, que coincide con la reseñada como “Formularios Google 2, 4, 5,
7, 9, 17, 21 y 23”.
Esta página da entrada a los formularios habilitados por GOOGLE LLC para que los
usuarios puedan solicitar la retirada de contenidos en línea para cada uno de los
productos que se listan en la misma (según la información ofrecida, “Esta página le
permitirá acceder al sitio adecuado para informar del contenido que quieras retirar de
los servicios de Google de acuerdo con las leyes aplicables”).
En el Antecedente Sexto se detalla la lista completa de los productos y servicios
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
51/137
incluidos en esta página.
En las actuaciones se han realizado comprobaciones (constan detalladas en los
Antecedentes Sexto y Décimo) en relación con los productos Blogger/Blogspot,
Chrome Web Store/galería de extensiones, Google Classroom, Grupos de Google,
Google Help Communities, Poly, Feedburner, Data Studio, Cloud Firestore, Google
Imágenes, Google Photos y Picasa Web Album, Drive y Documentos, Búsqueda de
Google, Google Maps y productos relacionados, Google + y Google News
(“Formularios Google 3, 6, 8, 10, 12, 13, 14, 15, 16, 18, 19, 20, 22, 24, 25, 26 y 27,
respectivamente).
Con carácter general, al pulsar un producto en la página “Cómo retirar contenido de
Google” se accede a una nueva página que permite crear una solicitud de retirada de
contenidos en línea.
La solicitud incluye campos para que el solicitante facilite sus datos relativos al país de
residencia, nombre completo y dirección de correo electrónico de contacto; así como el
nombre y apellidos de la persona a la que representa, URL del contenido que incluya
la información personal que desea que se retire, la información personal que desea
que se retire y los motivos de la retirada.
Los “Formularios Google 3, 6, 8, 10, 12, 13, 14, 15, 16, 19, 20 y 22” incluyen el
siguiente texto informativo:
“Asimismo, podemos publicar información similar procedente de tu notificación en nuestro
informe de transparencia. Para obtener más información sobre este informe, haz clic aquí”.
El contenido de estos formularios, que consta reseñado en los Antecedentes Sexto y
Décimo, se declara reproducido a efectos probatorios.
5. GOOGLE LLC ha dispuesto un formulario específico para denunciar presuntas
infracciones de derechos de autor (“Formularios Google 1 y 11”), accesible a través del
sitio web “Google.com”. Esta denuncia puede conllevar “la retirada de cualquier
material contra el que se haya presentado una reclamación por incurrir en una
actividad infractora, la inhabilitación del acceso a dicho material o la cancelación de
cuentas de suscriptores”.
Estos formularios incluyen el siguiente texto informativo:
“Asimismo, según nuestra política, documentamos todas las notificaciones de presuntas
infracciones que recibimos, lo que incluye el envío de una copia de la notificación a uno o
varios terceros, o bien su publicación”.
El contenido de estos formularios, que consta reseñado en los Antecedentes Sexto y
Décimo, se declara reproducido a efectos probatorios.
6. Los “Formularios Google 3, 6, 8, 10, 12, 13, 14, 15, 16, 19, 20, 22, 25 y 26”
muestran el siguiente texto informativo, que hace referencia a la comunicación de
datos al “Proyecto Lumen” por parte de GOOGLE LLC:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
52/137
“Ten en cuenta que es posible que enviemos una copia de cada una de las notificaciones
legales que recibamos al proyecto Lumen (https://www.lumendatabase.org) para su publicación
y anotación. Lumen retirará la información de contacto personal del remitente (es decir, el
número de teléfono, la dirección de correo electrónico y el domicilio).
Para consultar un ejemplo de este tipo de publicaciones, accede a la página
https://www.lumendatabase.org/notices/5838”.
A través del “Formulario Google 18”, correspondiente al producto Google Imágenes, se
accede a una herramienta para retirada de “contenido obsoleto de la Búsqueda de
Google”. En esta herramienta se ofrece la opción de enviar una “solicitud legal” para
“retirar información personal o contenido con problemas legales que aún esté presente
en una página”. En relación con esta solicitud se indica lo siguiente:
La transparencia es fundamental para nosotros
La transparencia es uno de los valores primordiales de Google.
En nuestro afán de ser transparentes, podemos enviar una copia de cada aviso legal que
recibamos al “proyecto Lumen” (enlace a la web lumendatabase.org) para que se publique.
Lumen es un proyecto de investigación independiente dirigido por el Berkman Klein Center for
Internet & Society de la Facultad de Derecho de Harvard. La base de datos de Lumen contiene
millones de solicitudes de retirada de contenido que varias empresas han compartido de forma
voluntaria, incluida Google. Su objetivo es facilitar la investigación académica y sectorial sobre
la disponibilidad de contenidos online. Lumen ocultará la información de contacto personal del
remitente, como su número de teléfono, dirección de correo electrónico y dirección postal.
Puede ver un ejemplo de publicación de Lumen “en esta página”.
Los “Formularios Google 1 y 11”, dispuestos para solicitar retiradas de contenido en
línea por infracción de derechos de autor, incluyen las siguientes referencias al
“Proyecto Lumen”:
“Asimismo, según nuestra política, documentamos todas las notificaciones de presuntas
infracciones que recibimos, lo que incluye el envío de una copia de la notificación a uno o
varios terceros, o bien su publicación. Puede ver un ejemplo de este tipo de publicaciones en la
página https://www.lumendatabase.org/notices/2069”.
“Tenga en cuenta que se envía una copia de cada notificación legal que recibimos a un tercero,
que podría publicarla y anotarla (sin su información personal). Así pues, el contenido de este
formulario se reenviará a Lumen (http://www.lumendatabase.org) para que pueda publicarse.
Para ver un ejemplo de este tipo de publicaciones, acceda a la página
http://www.lumendatabase.org/dmca512/notice.cgi?NoticeID=861. En el caso de productos
como la Búsqueda web de Google, aparecerá un enlace al aviso publicado en los resultados de
búsqueda de Google en lugar del contenido retirado”.
7. GOOGLE LLC comunica al “Proyecto Lumen”, creado por la entidad Berkman Klein
Center for Internet & Society de la Universidad de Harvard, ambas con sede en
Estados Unidos, las solicitudes de retirada o eliminación de contenidos en línea que
gestiona, motivadas por infracción de derechos de autor, difamación, fallos judiciales,
marcas, solicitudes basadas en la legislación local (problema legal).
La información incluida en los “Formularios de Google” muestran otros motivos para
que sean seleccionados por los interesados, que también pueden dar lugar al envío de
la notificación de retirada de contenido al “Proyecto Lumen”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
53/137
Esta comunicación se produce en relación con solicitudes de retirada de contenido en
línea que se formulen respecto de los productos que se mencionan en los Hechos
Probados 4 y 5.
GOOGLE LLC comunica al “Proyecto Lumen” toda la información correspondiente a
estas solicitudes, incluida la identificación del solicitante y el afectado, en su caso, su
dirección de correo electrónico, los motivos que se alegan (el texto de la reclamación)
y la URL reclamada, así como la documentación que sirve de soporte, si existe.
8. La entidad responsable del “Proyecto Lumen” publica los avisos de retirada de
contenidos en línea que recibe de GOOGLE LLC en la web de su titularidad,
“lumendatabase.org”.
El aviso se publica con la información que es transmitida al “Proyecto Lumen”, si bien,
esta entidad informa en su web que ejecuta procesos automáticos para anonimizar
algunos datos personales (direcciones de correo electrónico, números de teléfono o
números de identificación nacional o de Seguro Social, nombres incluidos dentro de
una URL o en el texto del aviso), en la forma indicada en los Hechos Probados
siguientes.
La publicación de estas notificaciones o avisos tiene la estructura siguiente:
. Encabezado: motivo de la solicitud, persona física o entidad que formula la solicitud,
fecha de la solicitud, país de origen, entidad a la que se dirige la solicitud y entidad que
ha remitido el aviso al “Proyecto Lumen”.
. Reseña de la solicitud de retirada de contenido: incluye un cuadro de texto en el que
se reproducen las circunstancias de hecho de la solicitud y su motivación y la URL
correspondiente que da acceso al contenido eliminado.
. Enlace a la documentación de soporte en formato “pdf”.
Al pie de estas publicaciones se incluyen un enlace, “Click here to request access and
see full URLs” (cuya traducción sería “Pinche aquí para solicitar acceso ver dirección
URL completa”) conduce a una página
(“https://lumendatabase.org/notices/.../request_access”) en la que puede solicitarse al
“Proyecto Lumen” el acceso a la información completa del correspondiente aviso de
retirada de contenido. Al pulsar dicho enlace se accede a una página con el rótulo
“Solicitar acceso completo a la denuncia”, que incluye un formulario el que se solicita
la dirección de correo electrónico de la persona que desea acceder a la información, a
la que posteriormente el “Proyecto Lumen” envía un correo con un enlace a la
información de un solo uso. La estructura de este formulario es la siguiente:
Se pulsa el enlace incluido en esta publicación “para solicitar el acceso y ver las URL
completas” y se accede a un formulario disponible en “lumendatabase.org”, en
“Para acceder a este aviso ingrese su dirección de correo electrónico y resuelva el captcha.
Después de enviar el formulario, le enviaremos un correo electrónico con un enlace de un solo
uso al aviso.
Dirección de correo electrónico
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
54/137
(espacio para registrar la dirección de correo)
( ) Seleccione para recibir una notificación cuando se agreguen nuevos documentos de
notificación (o cuando se actualicen los documentos de notificación existentes).
Entregar (botón)”.
9. Se declara reproducida en este acto, a efectos probatorios, la información disponible
en la web “lumendatabae.org”, en los apartados “Acerca de”, “Aviso Legal” e
“Investigadores”, y en el documento denominado “Conceptos básicos de la
información del aviso de Lumen”, cuyo contenido consta íntegramente reseñado en
Anexos 3 y 4.
10. Consta incorporado a las actuaciones el detalle de diversas publicaciones
realizadas en el sitio web “lumendatabase.org” correspondientes a notificaciones de
eliminación de contenidos en línea remitidas por GOOGLE LLC, relacionadas con
solicitudes dirigidas a esta entidad por usuarios españoles bajo la vigencia del RGPD.
El contenido de estas publicaciones, que consta reseñado en los Antecedentes de
este acto, se declara reproducido a efectos probatorios.
Dicho contenido puede ser accedido públicamente, sin restricciones, a través de las
URL que se mencionan en los Antecedentes de este acto, reseñadas como “Enlace
Lumendatabase” y señaladas con los números 1, 2, 3, 4, 5, 6, 8, 9, 10, 11, 12, 13, 14,
15, 16, 17, 18, 22, 25, 26, 29, 30, 31, 32 y 33.
Las notificaciones de eliminación de contenidos accesibles a través de los “Enlace
Lumentadabase” señalados con los números 1, 2, 3, 4, 5, 6, 8, 9, 10, 11, 12, 13, 14, y
25 fueron remitidas por GOOGLE LLC como avisos relativos a solicitudes por motivos
de difamación. Sobre los motivos de la solicitud, en relación con los “Enlaces
Lumendatabase 3, 14 y 25”, consta lo siguiente:
. “Enlace Lumendatabase 3”: se remite como solicitud por motivos de difamación,
pero hace referencia a la eliminación de resultados de búsqueda del “Buscador de
Google” “(…)”.
. “Enlace Lumendatabase 14”: se remite como solicitud por motivos de difamación,
pero hace referencia a la eliminación de datos personales (“Se dan datos sobre mí,
dirección de email…”).
. “Enlace Lumendatabase 25”: se remite por GOOGLE LLC como una solicitud por
motivos de difamación, pero el texto de la misma hace referencia a la eliminación
de resultados de búsqueda del “Buscador de Google” “(…)”.
Las notificaciones de eliminación de contenidos accesibles a través de los “Enlace
Lumentadabase” señalados con los números 16, 17, 18, 22, 26, 29, 30, 31, 32 y 33
fueron remitidas por GOOGLE LLC como avisos relativos a solicitudes basadas en un
fallo judicial.
La notificación de eliminación de contenidos accesible a través del “Enlace
Lumentadabase 15” fue remitida por GOOGLE LLC como un aviso relativos a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
55/137
solicitudes de retirada por aplicación de normativa local.
Las publicaciones accesibles a través de los “Enlace Lumentadabase” señalados con
los números 16, 18, 22, 26, 29, 30, 31, 32 y 33 incluyen en el encabezado los datos
personales de los solicitantes relativos a nombre y dos apellidos (salvo el número 32,
que solo menciona nombre y un apellido).
Las publicaciones accesibles a través de los “Enlace Lumentadabase” señalados con
los números 3, 5, 8 a 12, 18, 25, 29 y 30 incluyen en el cuadro de texto que reproduce
la solicitud de eliminación de contenidos, en el que se detallan, además de las
circunstancias de hecho que motivan dicha solicitud, la identificación de una o varias
personas (ya sean las interesadas a las que se refiere el contenido retirado u otras
afectadas o implicadas en los hechos); direcciones postales; reseña de alguna URL
que incluye la mención del nombre y apellidos de una persona o una dirección postal;
el nombre mercantil de un establecimiento; la referencia de una sentencia (número,
fecha) y el nombre de las personas que intervienen como partes en el proceso
(demandante y demandado); o la profesión de un afectado:
“Enlace Lumentadabase 3”: dirección postal y URL con dirección postal.
“Enlace Lumentadabase 5”: nombre y dos apellidos de una persona y nombre
mercantil de un establecimiento.
“Enlaces Lumentadabase 8 a 12”: nombre y dos apellidos del afectado (8), nombre y
un apellido de la misma persona (9 y 10), solo nombre de la misma persona (11 y 12).
“Enlace Lumentadabase 18 y 29”: referencia de una sentencia (número, fecha) y el
nombre de las personas que intervienen como partes en el proceso (demandante y
demandado).
“Enlace Lumentadabase 25”. nombre y un apellido de una persona y su profesión.
“Enlace Lumentadabase 30”: nombre y un apellido de dos personas intervinientes en
un proceso judicial.
Las publicaciones accesibles a través de los “Enlace Lumentadabase” señalados con
los números 4, 8, 9 a 12, 13, 16, 18 y 32 incluyen la URL que da acceso al contenido
eliminado, en la que aparecen datos personales integrados en la propia dirección de
internet. Estas URL aparecen en la publicación como sigue:
“Enlace Lumentadabase 4”:
“(…)”.
“(…)”.
“(…)”.
“(…)”.
“(…)”.
“Enlace Lumentadabase 8”:
“(…)”.
“Enlace Lumentadabase 9 a 12”: Estos enlaces corresponden a la misma solicitud de
retirada de contenido del “Enlace Lumendatabase 8”. En estos casos, la dirección del
enlace muestra “B.B.B.” (enlace 9), “B.B.B.” (enlaces 10 y 11) o “B.B.B.” (enlace
12).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
56/137
“Enlace Lumentadabase 13”:
“(…)”.
“Enlace Lumentadabase 16”:
“(…)”.
“Enlace Lumentadabase 18”:
“(…)”.
“Enlace Lumentadabase 32”:
“(…)”.
En relación con el “Enlace Lumentadabase 16”, el denunciante aportó una captura de
pantalla del sitio web web “lumendatabase.org” (“Enlace Lumendatabase 17”), en la
que se muestra un fragmento de la primera página de la (…), accesible a través del
“Enlace Lumendatabase 16”. Aportó, asimismo, copia completa de esta Sentencia, en
la que constan los nombres y apellidos de todas las personas que intervienen en el
proceso (juez que la dicta, parte demandante “C.C.C.”, demandada, sus
representantes, Ministerio Fiscal y (…) “D.D.D.”, así como todas las circunstancias del
proceso, (…).
Esta sentencia es soporte también de la publicación señalada como “Enlace
Lumendatabase 18”.
Las comprobaciones realizadas en la fase de prueba del procedimiento han permitido
constatar que los datos personales y la información accesible mediante los enlaces
reseñados ha variado en el sentido siguiente:
“Enlace Lumentadabase 3”: En el texto de la reclamación se ha suprimido la dirección
postal y la URL que se mencionaba.
“Enlace Lumentadabase 4”: Se han anonimizado tres de URL, permaneciendo las
otras dos como sigue:
“(…)”.
“(…)”.
“Enlace Lumentadabase 5”: En el texto de la reclamación se han suprimido los datos
de nombre y apellidos y el nombre mercantil del establecimiento.
“Enlaces Lumentadabase 8 a 12”: En el texto de la reclamación y en la dirección del
enlace se han suprimido los datos personales relativos a nombre y apellidos.
“Enlace Lumentadabase 13”: La URL objeto de la solicitud de retirada de contenido
aparece anonimizada.
“Enlaces Lumentadabase 18 y 29”: En el encabezado se han suprimido los datos del
solicitante; en el texto de la reclamación se ha suprimido el nombre de las personas
que intervienen como partes en el proceso y las URL han sido suprimidas.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
57/137
“Enlace Lumentadabase 22 y 26”: El nombre del solicitante ha sido eliminado del
encabezado.
“Enlaces Lumentadabase 16, 17 y 25”: La página no se encuentra accesible.
Durante la fase de prueba del procedimiento, se accedió a las URL siguientes,
mencionadas en los “Enlace Lumentadabase” que se indican, las cuales corresponden
a las respectivas direcciones de internet que fueron objeto de la solicitud de retirada de
contenidos en línea. Este acceso mostró la información siguiente:
“Enlace Lumentadabase 1”:
Se accede al blog disponible en la dirección “(…)”, en el que figura la fecha
***FECHA.19. Se comprueba que corresponde a un blog creado, según se indica, (…).
En el encabezamiento se indica “(…)”.
“Enlace Lumentadabase 4”:
Se accede a la dirección de internet “(…)” y se comprueba que da acceso a un
documento fechado el ***FECHA.20, con el rótulo (…). (…).
11. En una búsqueda realizada por el denunciante con el “Buscador de Google”, con el
nombre y apellidos del solicitante al que corresponden los “Enlaces Lumendatabase
16, 17 y 18” como criterio de la consulta, se obtiene una página de resultados que
incluye al pie una nota indicando que se han eliminado varios resultados y se resalta
un hipervínculo a “lumendatabase.org”:
“En respuesta a un requisito legal enviado a Google, hemos eliminado 3 resultado(s) de esta
página. Si lo deseas, puedes leer más información sobre este requisito en
LumenDatabase.org”.
En una búsqueda realizada por el denunciante con el “Buscador de Google”, con el
nombre y apellidos del afectado al que corresponden los “Enlaces Lumendatabase 16,
17 y 18” como criterio de la consulta, se obtiene una página de resultados que incluye
al pie dos notas indicando que se han eliminado varios resultados y se resalta un
hipervínculo a “lumendatabase.org”:
“En respuesta a un requisito legal enviado a Google, hemos eliminado 3 resultado(s) de esta
página. Si lo deseas, puedes leer más información sobre este requisito en
LumenDatabase.org”.
“En respuesta a un requisito legal enviado a Google, hemos eliminado 1 resultado(s) de esta
página. Si lo deseas, puedes leer más información sobre este requisito en
LumenDatabase.org”.
12. Se tienen en cuenta, a efectos probatorios, las manifestaciones realizadas por
GOOGLE LLC en su escrito de alegaciones complementarias, de fecha 05/10/2021, el
cual se declara reproducido a tales efectos.
(…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
58/137
(…):
. (…).
. (…).
. (…).
. (…)
. (…).
. (…).
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada Autoridad de
Control y, según lo establecido en los artículos 47, 64.2 y 68.1 de la LOPDGDD, la
Directora de la Agencia Española de Protección de Datos es competente para iniciar
este procedimiento.
El artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la
Agencia Española de Protección de Datos se regirán por lo dispuesto en el
Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos”.
II
Con carácter previo, se estima oportuno analizar las excepciones alegadas por
GOOGLE LLC, en base a las cuales solicita la declaración de nulidad de las
actuaciones, por infracción de normas reguladoras del procedimiento sancionador
causante de indefensión.
1. Considera que la AEPD ha ignorado la caducidad de las actuaciones previas de
investigación y ha mantenido a la entidad reclamada bajo investigación durante más
de dos años, a pesar de que la LOPDGDD prevé un procedimiento sancionador de
una duración máxima de 21 meses, teniendo en cuenta la duración de doce meses de
las actuaciones previas de investigación (artículo 67.2) y los nueve meses del propio
procedimiento sancionador (artículo 64.2).
Advierte que las actuaciones previas caducaron el 13/12/2019, considerando que la
primera denuncia es de 13/09/2018 y que el art. 65.5 LOPDGDD establece que la
admisión o inadmisión a trámite, deberá notificarse al reclamante en el plazo de tres
meses.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
59/137
Y añade que la AEPD no dictó ningún acuerdo sobre la admisión a trámite y no fue
hasta el 16/01/2020 cuando decidió archivar provisionalmente el expediente y dirigirlo
a la autoridad de protección de datos de Irlanda (Irish Data Protection Commission). El
acuerdo de inicio se notificó el 23/06/2021, casi tres años después de la primera
denuncia.
Considerando esta caducidad de las actuaciones previas, alega que la información
recabada durante las mismas no puede utilizarse en el procedimiento, de conformidad
con lo establecido en el artículo 95.3 de la LPACAP.
A este respecto, debe señalarse que los hechos puestos de manifiesto por GOOGLE
LLC para mantener esta alegación resultan incompletos y no se ajustan en su totalidad
a los antecedentes que deben valorarse para apreciar o no la nulidad invocada.
En este caso, se recibieron ocho denuncias (8) entre las fechas 13/09/2018 y el
09/01/2019, y una más de fecha 01/12/2020.
Las primeras denuncias recibidas fueron trasladadas, el 01/02/2019, a la autoridad de
protección de datos de Irlanda (DPC Irlanda), de conformidad con el artículo 56 del
RGPD, para que valorase si ostentaba o no la condición de autoridad de control
principal, al encontrarse radicada en ese país la entidad GOOGLE IRELAND LTD., en
tanto que establecimiento del responsable que decide, para Europa, los fines y los
medios en el tratamiento de datos personales.
En una primera comunicación, de 10/04/2019, DPC Irlanda comunicó que no se
consideraba competente para resolver este caso. Sin embargo, posteriormente,
siguiendo el mecanismo de asistencia mutua regulado en el artículo 61 del RGPD,
solicitó la colaboración de esta Agencia para que se trasladaran al denunciante
diversas cuestiones relacionadas con las denuncias formuladas.
Cumplido este trámite y conocidas las respuestas del denunciante, DPC Irlanda
rechazó la competencia en la tramitación de las denuncias mediante comunicación de
22/01/2020, al considerar que es GOOGLE LLC la responsable del tratamiento,
consistente en la comunicación de datos personales relacionados con solicitudes de
retirada de contenido gestionadas por GOOGLE LLC, llevada a cabo por esta entidad
en Estados Unidos a una base de datos también estadounidense.
Finalizada esta tramitación, que determinó la competencia de esta AEPD para resolver
las cuestiones suscitadas en aquellas denuncias, en fecha 09/06/2021 se acordó la
apertura del presente procedimiento sancionador, sin haber desarrollado actuaciones
previas de investigación.
Siendo así, no puede invocarse la caducidad de unas actuaciones que no han tenido
lugar.
La decisión de llevar a cabo estas actuaciones previas de investigación es una
potestad de la AEPD, que podrá acordar su iniciación o no (artículo 67 de la
LOPDGDD). En este caso, dichas actuaciones no fueron acordadas y, por tanto, no se
practicó investigación alguna.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
60/137
Ninguna consecuencia jurídica puede atribuirse al hecho de no haber acordado la
apertura de actuaciones previas de investigación, ni tampoco al tiempo transcurrido
desde el rechazo de las denuncias por parte de DPC Irlanda y la apertura del
procedimiento, al no existir ninguna norma que acote el tiempo de que dispone la
Administración para iniciar este tipo de procedimientos, más allá de la regla de la
prescripción y los efectos que se le atribuyen.
Por otra parte, debe señalarse que el planteamiento que GOOGLE LLC realiza sobre
la duración máxima del procedimiento sancionador, que fija en 21 meses, teniendo en
cuenta la duración de doce meses de las actuaciones previas de investigación (artículo
67.2) y los nueve meses del propio procedimiento sancionador (artículo 64.2), no se
ajusta a Derecho. Por un lado, como se ha indicado, no existe ninguna norma
aplicable al procedimiento sancionador en materia de protección de datos personales
que establezca un plazo preclusivo para acordar su apertura; y, por otro lado, el plazo
de caducidad del procedimiento sancionador está establecido en nueve meses y se
computa desde la fecha en que se acuerda su inicio, resultando improcedente añadir a
ese cómputo, a efectos de medir la duración del expediente administrativo, ningún otro
período, tal como el tiempo de las actuaciones previas de investigación, en caso de
que se hubiese acordado su realización.
Las normas procesales españolas (LPACAP), establece que los procedimientos de
naturaleza sancionadora se iniciarán siempre de oficio por acuerdo del órgano
competente.
GOOGLE LLC responde a los razonamientos anteriores en sus alegaciones a la
propuesta de resolución, señalando que las actuaciones previas de investigación se
han dilatado más de lo permitido en la norma, sin que pueda oponerse el archivo
provisional del expediente declarado por razón de los trámites seguidas ante DPC
Irlanda, dado que esta entidad rechazó el caso en fecha 22/01/2020. En este momento
aquel archivo provisional debe entenderse alzado y el expediente recupera su “vigor”.
La consecuencia de ello, según GOOGLE LLC, es la caducidad de las actuaciones
previas, cuya existencia es un hecho incontestable a juicio de dicha entidad, por
cuanto la Agencia, antes de la apertura del procedimiento, realizó una serie de
actuaciones destinadas a la “mejor determinación de los hechos y las circunstancias
que justifican la tramitación del procedimiento” (artículo 67 de la LOPDGDD) que solo
pueden calificarse como investigaciones, las cuales constan reflejadas en este acto.
Esto supone, a juicio de la reclamada, una infracción del ordenamiento jurídico por
parte de la Agencia, tanto si las actuaciones previas se consideran abiertas por las
labores de investigación realizadas, en cuyo caso estas actuaciones estarían
caducadas; como por el ejercicio de estas potestades de investigación sin haber
acordado formalmente su iniciación, burlando el límite temporal establecido.
Según GOOGLE LLC, la única posibilidad de realizar labores de investigación es a
través de estas actuaciones previas, cuya duración se fija en 12 meses para proteger
a los administrados de investigaciones indefinidas y de dilataciones excesivas en los
procedimientos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
61/137
Sin embargo, como ha quedado expresado anteriormente, esta Agencia no opone el
citado archivo provisional para justificar el tiempo transcurrido hasta la apertura del
procedimiento sancionador. Como puede comprobarse, en los párrafos precedentes
esta Agencia detalla la tramitación seguida de acuerdo con los artículos 56 y 61 del
RGPD y se indica claramente que DPC Irlanda rechazó la competencia en la
tramitación de las denuncias con fecha 22/01/2020, para añadir seguidamente que no
puede atribuirse ninguna consecuencia al tiempo transcurrido hasta la apertura del
procedimiento, salvo que se hubiese producido la prescripción de las infracciones.
Ello es así considerando, tal como entiende esta Agencia, que no se han realizado
actuaciones previas de investigación con anterioridad a la apertura del presente
procedimiento.
Únicamente se obtuvieron impresiones de pantalla de los enlaces que constan en las
denuncias, para verificar que se corresponden con lo manifestado por el denunciante.
Conviene aclarar a este respecto que en algunos casos se indican los enlaces que
motivan la denuncia, pero sin acompañar su contenido. Y esto se realiza así por parte
del denunciante conociendo que el acceso a la información es público y la reseña de la
URL que conduce a esa información es suficiente para que esta Agencia pudiera
comprobar los motivos o las manifestaciones de la denuncia.
Es lo mismo que hace GOOGLE LLC en sus alegaciones a la propuesta de resolución
en relación con la infracción del artículo 17 del RGPD que se analiza en el
Fundamento de Derecho VII. En estas alegaciones invoca el principio de confianza
legítima teniendo en cuenta que la web de la AEPD invitando a los ciudadanos a usar
el conjunto de formularios de retirada de contenidos en línea habilitados por dicha
entidad e incluye enlaces para acceder a los mismos. GOOGLE LLC detalla las URL
que conducen a esta información insertada en la web de esta Agencia (“aepd.es”),
pero sin aportar la información ofrecida. Para dar respuesta a estas alegaciones en
esta Resolución, esta Agencia ha accedido a la información alegada por la reclamada
y verificado los enlaces a los formularios en cuestión, y no puede decirse que esta
verificación tenga naturaleza investigadora.
Por tanto, ninguna actuación se desarrolló para la “mejor determinación de los hechos
y las circunstancias que justifican la tramitación del procedimiento”, como dice GOOGLE
LLC.
2. Por otra parte, en su escrito de alegaciones a la propuesta de resolución, GOOGLE
LLC cuestiona la ampliación del objeto del procedimiento llevada a cabo en la
propuesta de resolución, que ha añadido una nueva supuesta infracción del artículo 17
del RGPD.
A este respecto, argumenta que dicha infracción tiene base en formularios y
procedimientos para la retirada de contenidos accesibles a través de los productos y
servicios de Google ofrecidos por GOOGLE IRELAND LTD. Entiende, por ello, que es
esta entidad y no GOOGLE LLC, la responsable de esos procedimientos y formularios
y del tratamiento de los datos personales asociados al uso de estos servicios; y que es
la Irish Data Protection Commission (o “IDPC”) la autoridad de control principal para
cualquier tratamiento transfronterizo relacionado con dichos datos personales.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
62/137
Por tanto, considera que aquella ampliación del objeto del procedimiento se ha
realizado sin acudir al mecanismo de cooperación regulado en el artículo 60 del
RGPD, viciando de nulidad o anulabilidad el presente procedimiento.
Esta Agencia no comparte con GOOGLE LLC que para declarar la infracción del
artículo 17 fuese necesario acudir al mecanismo de cooperación regulado en el
artículo 60 citado.
En este expediente se analiza exclusivamente la responsabilidad de GOOGLE LLC en
las cuestiones suscitadas, considerando las denuncias formuladas y la documentación
examinada en el expediente.
De ello resulta que desde el momento en que el RGPD tuvo plena aplicabilidad, en
mayo de 2018, y en el momento en que se formulan las denuncias, GOOGLE LLC era
responsable de los tratamientos de datos asociados al uso de todos los productos y
servicios de Google, así como de todos los procedimientos y formularios de retirada de
contenidos en línea y de los tratamientos de los datos personales que conlleva su
utilización.
Esta situación se mantuvo hasta el 22/01/2019, fecha en la que, según se informa a
los usuarios en la Política de Privacidad disponible en el sitio web “google.com”, la filial
de GOOGLE LLC en Irlanda, con la denominación GOOGLE IRELAND LTD, se hizo
cargo de proveer algunos productos y prestar servicios de “Google” para el Espacio
Económico Europeo y Suiza.
Y no solo eso. Consta acreditado que GOOGLE LLC ha sido la entidad responsable en
nuestro territorio de determinados productos y servicios durante todo este período y lo
sigue siendo en la actualidad. Según informa la mencionada Política de Privacidad,
“Google LLC es el responsable del tratamiento de la información indexada y mostrada
en servicios como la Búsqueda de Google y Google Maps”, con independencia de la
ubicación del usuario. Incluso, puede decirse, tal y como se expresa la Política de
Privacidad, que los productos “Búsqueda de Google” y “Google Maps” se mencionan
como ejemplo, dando a entender que puede haber otros productos o servicios de los
que GOOGLE LLC sea la entidad responsable, distintos a los dos que se mencionan
en la Política de Privacidad.
Esta es la responsabilidad específica de GOOGLE LLC que se valora en las
actuaciones, en las que nada se resuelve respecto de GOOGLE IRELAND LTD, de
modo que no resulta de aplicación al presente supuesto lo establecido en el artículo 60
el RGPD.
También en relación con esta vulneración de lo establecido en el artículo 17 del
RGPD, GOOGLE LLC, además de cuestionar lo que dicha entidad califica como una
ampliación del objeto del procedimiento, señala que esta imputación está
desconectada de las denuncias que han dado lugar al procedimiento y que en el
mismo se establecen criterios interpretativos de manera impropia, en contra de lo
declarado por la Audiencia Nacional en su sentencia de 23/04/2019 (recurso núm.
88/2017), dictada por razón de un recurso de la propia entidad reclamada.
No comparte esta Agencia la conclusión manifestada por GOOGLE LLC. Como puede
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
63/137
comprobarse en este acto, los acuerdos que se adoptan encuentran fundamento en lo
expresado en la normativa aplicable y en consolidadas interpretaciones de la misma.
Además, la doctrina sentada en la sentencia citada es aplicable a hechos anteriores al
RGPD, el cual establece un régimen jurídico nuevo y distinto que ha de tenerse en
cuenta en el procedimiento y que, a diferencia de lo relatado en la sentencia, en la
presente resolución se hace referencia a las concretas denuncias, se hace una
valoración de las pruebas practicadas en torno a las mismas, que están relacionadas
con conductas concretas e individualizadas en relación a unas determinadas personas
físicas, pero que además trascienden dichas denuncias.
Por otra parte, entiende esta Agencia que las decisiones adoptadas en la presente
resolución están directamente vinculadas con las denuncias reseñadas en los
Antecedentes, que hacen referencia a numerosos casos de solicitudes de retirada de
contenido en línea y a los concretos formularios objeto de análisis.
En todo caso, la intervención de esta Agencia no está restringida por las denuncias
formuladas.
El RGPD ha establecido un régimen propio y específico respecto de los
procedimientos ante las autoridades de control en materia de protección de datos. En
el Capítulo VIII del RGPD, que lleva por título “Recursos, responsabilidad y sanciones”,
se establece el derecho a presentar una reclamación ante una autoridad de control si
se considera que un tratamiento de datos infringe el Reglamento (artículo 77) y el
derecho a la tutela judicial efectiva en caso de violación de los derechos establecidos
en dicho Reglamento (artículo 79).
La LOPDGDD ha plasmado también esta distinción, de modo que la reclamación de
un particular puede dar lugar a dos tipos de procedimientos, uno de ellos relativo a
infracciones del RGPD, con carácter general, y otro por vulneración de sus derechos
(artículo 63.1).
No prevé la LOPDGDD ningún tipo adicional de procedimiento en caso de posible
vulneración de la normativa de protección de datos, de manera que todas las
funciones y poderes que el RGPD otorga a las autoridades de control en los artículos
57 y 58 RGPD habrán de ejercitarse a través de dichos procedimientos en caso de
posible vulneración de la normativa de protección de datos. No existen otros.
Teniendo en cuenta igualmente el artículo 64 LOPDGDD, cuando el procedimiento se
dirija exclusivamente a la falta de atención de una solicitud de los derechos los
artículos 15 a 22 RGPD será necesaria una reclamación, pero (art. 64.2 LOPDGDD)
[c]uando el procedimiento tenga por objeto la determinación de la posible existencia
de una infracción de lo dispuesto en el Reglamento (UE) 2016/679 y en la presente ley
orgánica, se iniciará mediante acuerdo de inicio adoptado por propia iniciativa o como
consecuencia de reclamación. Es decir, tanto el RGPD como la LOPDGDD consideran
que una reclamación de un afectado puede ser la vía o el medio de llevar a
conocimiento de la autoridad de control una posible infracción de la normativa de
protección de datos, pero en ningún caso restringe la actuación de la autoridad de
control a la específica y concreta queja de los afectados. La Autoridad de control
puede actuar cuando de la confluencia de varias reclamaciones de personas
individuales afectadas se ponga de manifiesto una actuación del responsable de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
64/137
carácter general (esto es, no sólo en los casos concretos presentados por los
reclamantes) de la que resulte que dichos casos concretos son el reflejo de una pauta
o política común aplicada a todas aquellas personas afectadas que estén en el mismo
caso que los interesados.
Cuando una actuación que se considera incorrecta deriva de una política general
adoptada por el responsable del tratamiento, de manera que no se trata de casos
puntuales, sino que dichos casos son tan sólo la muestra de una política general
adoptada que se considera en infracción del RGPD, la infracción no reside
exclusivamente en los casos examinados sino en la actuación general seguida por el
responsable. Será dicha actuación general la que constituya una infracción del RGPD,
y no solamente las infracciones concretas basadas en la misma.
Lo contrario sería inconsistente con la finalidad y la voluntad del legislador comunitario,
plasmada expresamente en el RGPD, según la cual las autoridades de control han de
controlar y hacer aplicar el RGPD; y con la posibilidad de que las “infracciones” de la
normativa de protección de datos puedan transcender de las reclamaciones
individuales formuladas a través de las que se pongan de manifiesto.
En cualquier caso, ninguna norma impide que el órgano que ejerce la potestad
sancionadora, cuando determina la apertura de un procedimiento sancionador,
siempre de oficio (artículo 63.1 ley 39/2015, de 1 de octubre), determine su alcance
conforme a las circunstancias puestas de manifiesto, aunque las mismas no se ajusten
estrictamente a las manifestaciones y pretensiones del denunciante. Es decir, el
acuerdo de inicio del procedimiento sancionador no está constreñido por la denuncia
(lo mismo sucede con la reclamación en el ámbito del RGPD) presentada por el
particular. No ocurre así en el caso de procedimientos tramitados a solicitud del
interesado, en los que el artículo 88.2 de la LPACAP exige que la resolución sea
congruente con las peticiones formuladas por éste. Incluso, en este caso, queda a
salvo la potestad de la Administración de incoar de oficio un nuevo procedimiento.
Este mismo artículo 88 de la LPACAP, referido al contenido de la resolución, en su
apartado 1 establece la obligación de decidir todas las cuestiones planteadas por los
interesados y aquellas otras que deriven del procedimiento, incluidas cuestiones
conexas no planteadas por los interesados.
En el procedimiento sancionador, incluso, se tendrán en cuenta los hechos que se
pongan de manifiesto durante su instrucción, los cuales se determinarán en la
propuesta de resolución, y podrán motivar la modificación de las imputaciones
contenidas en el acuerdo de inicio del procedimiento o su calificación jurídica. En este
sentido, al referirse a las especialidades de la resolución en los procedimientos
sancionadores, el artículo 90 de la LPACAP establece que “En la resolución no se
podrán aceptar hechos distintos de los determinados en el curso del procedimiento,
con independencia de su diferente valoración jurídica…”.
Por todo ello, las alegaciones de nulidad reseñadas deben ser rechazadas.
III
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
65/137
El presente procedimiento tiene como objeto analizar la presunta ilicitud de la
comunicación de datos personales relacionados con las retiradas de contenidos en
línea que lleva a cabo GOOGLE LLC, bien a solicitud del afectado o a requerimiento
de alguna instancia, al “Proyecto Lumen”; así como una posible infracción del derecho
de supresión de datos personales regulado en el artículo 17 del RGPD.
Para analizar estas cuestiones se tiene en cuenta la información facilitada por la
entidad reclamada a los usuarios, principalmente la facilitada en los propios
formularios de solicitud habilitados por dicha entidad y en la “Política de Privacidad de
Google”. Se tiene en cuenta, asimismo, el sistema de gestión de datos personales que
se pone a disposición de los usuarios y los mecanismos para el ejercicio de los
derechos reconocidos a los interesados en materia de protección de datos.
No obstante, el presente acto no contiene ningún pronunciamiento sobre la licitud de
esta información y de los procesos de gestión de datos personales diseñados e
implementados por GOOGLE LLC, distintos al analizado de forma específica en el
presente procedimiento.
De la misma forma, aunque se tiene en cuenta la información obtenida de los “Enlaces
Lumendatabase” incorporados a las actuaciones, no forma parte del objeto del
procedimiento el análisis del tratamiento de datos personales que conlleva la
recepción y el procesado de los avisos de retirada de contenidos en línea que el
“Proyecto Lumen” recibe de la reclamada, la publicación de estos avisos que esta
entidad realiza a través de su web “lumendatabase.org”, ni la comunicación de datos
que dicha entidad realiza a terceros, a los que da acceso a la información completa
relativa a estas solicitudes.
Por otra parte, en relación con las publicaciones realizadas en “lumendatabase.org”
(“Enlaces Lumendatabase”) de los documentos aportados por el denunciante y de la
verificación de estos enlaces por parte de la Subdirección General de Inspección de
Datos, se obtienen indicios de una efectiva comunicación de datos por parte de
GOOGLE LLC al “Proyecto Lumen” bajo la vigencia del RGPD en los supuestos
correspondientes a solicitudes de retirada de contenidos posteriores a la entrada en
vigor de este Reglamento, en fecha 25/05/2018.
Se excluyen, por tanto, del objeto del procedimiento las solicitudes anteriores a esta
fecha. También aquellas que correspondan a solicitudes formuladas por usuarios de
otros países.
De acuerdo con lo expuesto, las conclusiones que pudieran derivarse del presente
procedimiento no supondrán ningún pronunciamiento respecto de los aspectos
anteriores descartados.
IV
GOOGLE LLC es una empresa con domicilio social en California (Estados Unidos) que
desarrolla su actividad como proveedor de productos y servicios on-line, los cuales se
ofertan en el territorio Unión Europea.
Esta entidad cuenta con una filial en Irlanda, con la denominación GOOGLE IRELAND
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
66/137
LTD, que, desde el 22/01/2019, es el proveedor de productos y servicios de “Google”
para el Espacio Económico Europeo y Suiza. Así, desde esa fecha, GOOGLE
IRELAND LTD actúa como responsable del tratamiento de datos personales de los
usuarios de los servicios de “Google” que se encuentren en el Espacio Económico
Europeo, “salvo que se indique lo contrario en un aviso de privacidad específico de un
servicio” (Política de Privacidad).
Hasta esa fecha de enero de 2019, GOOGLE LLC era la entidad encargada de esta
provisión de productos y prestación de servicios en su totalidad. Después de esa
fecha, lo sigue siendo de determinados productos, como la “Búsqueda de Google” y
“Google Maps” (según informa la Política de Privacidad, “Google LLC es el
responsable del tratamiento de la información indexada y mostrada en servicios como
la Búsqueda de Google y Google Maps”, con independencia de la ubicación del
usuario).
El presente procedimiento se dirige contra GOOGLE LLC por considerar a esta
empresa como responsable del tratamiento de datos consistente en la cesión a un
tercero (“Proyecto Lumen”) de los datos relacionados con las solicitudes de retirada de
contenido de sus productos y/o servicios de internet.
En este caso, como se ha dicho, el tratamiento de datos objeto del procedimiento
consiste en una comunicación de datos relacionados con solicitudes o requerimientos
de retirada de contenido que GOOGLE LLC efectúa al “Proyecto Lumen”.
Por tanto, el presente procedimiento se dirige contra GOOGLE LLC, como entidad
responsable de esa comunicación de datos personales a un tercero (la posición de
tercero que se otorga al “Proyecto Lumen” se realiza de acuerdo con la definición
reflejada en el artículo 4.10) del RGPD: “tercero: persona física o jurídica, autoridad
pública, servicio u organismo distinto del interesado, del responsable del tratamiento,
del encargado del tratamiento y de las personas autorizadas para tratar los datos
personales bajo la autoridad directa del responsable o del encargado”).
Así, tratándose de una empresa con sede social en un país tercero, procede analizar
el ámbito de aplicación territorial del RGPD.
El artículo 3 del RGPD establece los supuestos relativos al ámbito territorial en que el
propio Reglamento y la normativa europea resultan de aplicación a los tratamientos de
datos personales. Concretamente, el artículo en cuestión, fundamentado a su vez en
los Considerandos 22 a 25 del mismo texto legal, establece:
"1. El presente Reglamento se aplica al tratamiento de datos personales en el contexto de las
actividades de un establecimiento del responsable o del encargado en la Unión,
independientemente de que el tratamiento tenga lugar en la Unión o no.
2. El presente Reglamento se aplica al tratamiento de datos personales de interesados que se
encuentren en la Unión por parte de un responsable o encargado no establecido en la Unión,
cuando las actividades de tratamiento estén relacionadas con:
a) la oferta de bienes o servicios a dichos interesados en la Unión, independientemente de si a
estos se les requiere su pago, o
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
67/137
b) el control de su comportamiento, en la medida en que este tenga lugar en la Unión.
3. El presente Reglamento se aplica al tratamiento de datos personales por parte de un
responsable que no esté establecido en la Unión sino en un lugar en que el Derecho de los
Estados miembros sea de aplicación en virtud del Derecho internacional público”.
Estos criterios de aplicación del RGPD, a la luz del artículo transcrito son susceptibles
de agruparse en dos grandes grupos: por un lado, el que hace referencia al lugar de
establecimiento del responsable (o encargado, en su caso) y por otro, el lugar de
ubicación del público objetivo de las actividades del responsable (o encargado, en su
caso), aun cuando éste no se pueda considerar establecido en la Unión Europea.
Finalmente, el artículo señala que también entra dentro del ámbito del RGPD aquellos
supuestos en los que, en virtud de la aplicación de las normas de derecho
internacional público, se considere que el derecho aplicable al lugar de establecimiento
del responsable es el de un Estado miembro.
Por lo que se refiere al presente procedimiento sancionador, y toda vez que se
considera responsable del tratamiento de datos personales a GOOGLE LLC., es
necesario examinar si el RGPD es de aplicación a la entidad estadounidense y en
virtud de qué criterio.
Comenzando el examen por el primero de los dos grandes criterios, el que hace
referencia al lugar de establecimiento del responsable, es necesario que concurran
dos elementos: la existencia de un establecimiento en el territorio de la Unión Europea
y que el tratamiento de datos se lleve a cabo en el “contexto de las actividades del
establecimiento del responsable o encargado”, independientemente de que el
tratamiento tenga lugar en la Unión Europea o no.
Respecto al primero de los mencionados elementos, el Considerando 22 nos ofrece
una interpretación de lo que debe considerarse como establecimiento:
“[…]Un establecimiento implica el ejercicio de manera efectiva y real de una actividad a través
de modalidades estables. La forma jurídica que revistan tales modalidades, ya sea una
sucursal o una filial con personalidad jurídica, no es el factor determinante al respecto”.
En este sentido, nos encontramos con que, con independencia de la designación, por
parte de la empresa matriz, de GOOGLE IRLELAND LTD. como proveedor de
servicios en el ámbito del Espacio Económico Europeo y Suiza, GOOGLE LLC. sigue
manteniendo filiales en diversos territorios miembros que pueden ser considerados
establecimientos ‘estables’ a efectos de lo dispuesto en el RGPD. Así, cabe recordar lo
dictaminado por el Tribunal de Justicia de la Unión Europea (en adelante TJUE) en la
Sentencia dictada el 13 de mayo de 2014 en el asunto C-131/12 (GOOGLE SPAIN
S.L. y Google Inc. vs. Agencia Española de Protección de Datos y N.N.N.) cuando
señala que “[…] no se discute que Google Spain se dedica al ejercicio efectivo y real
de una actividad mediante una instalación estable en España. Además, al estar
dotada de personalidad jurídica propia, es de este modo una filial de Google Inc. en
territorio español, y, por lo tanto, un “establecimiento”, en el sentido del artículo 4,
apartado 1, letra a), de la Directiva 95/46. […]”, cuyo tenor literal era “[…] el
tratamiento sea efectuado en el marco de las actividades de un establecimiento del
responsable del tratamiento en el territorio del Estado miembro […]”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
68/137
Respecto al segundo de los elementos que entran en juego, lo determinante no sería
tanto que el tratamiento de datos se lleve a cabo por el propio establecimiento
radicado en la Unión Europea, sino que las actividades que desempeña este último
estén indisolublemente ligadas a las actividades de tratamiento de datos realizadas
por el responsable. En este punto, el TJUE, en la misma sentencia citada en el párrafo
anterior consideró lo siguiente:
“[…] procede considerar que el tratamiento de datos personales realizado en orden al
funcionamiento de un motor de búsqueda como Google Search, gestionado por una empresa
que tiene su domicilio social en un Estado tercero pero que dispone de un establecimiento en
un Estado miembro, se efectúa «en el marco de las actividades» de dicho establecimiento si
éste está destinado a la promoción y venta en dicho Estado miembro de los espacios
publicitarios del motor de búsqueda, que sirven para rentabilizar el servicio propuesto por el
motor.
En efecto, en tales circunstancias, las actividades del gestor del motor de búsqueda y las de su
establecimiento situado en el Estado miembro de que se trate están indisociablemente ligadas,
dado que las actividades relativas a los espacios publicitarios constituyen el medio para que el
motor de búsqueda en cuestión sea económicamente rentable y dado que este motor es, al
mismo tiempo, el medio que permite realizar las mencionadas actividades” .
A mayor abundamiento, por lo que se refiere a la aplicación del RGPD al tratamiento
de datos objeto del presente procedimiento sancionador, es de hacer notar que, no
obstante, la concurrencia del elemento territorial en virtud del artículo 3.1 examinado,
también cabe concluir que el tratamiento de datos objeto del presente procedimiento
quedaría recogido bajo el paraguas del citado artículo 3.2.a), hallándose la
fundamentación para determinar la concurrencia del mencionado precepto, en el
Considerando 23 del mismo texto legal:
“Con el fin de garantizar que las personas físicas no se vean privadas de la protección a la que
tienen derecho en virtud del presente Reglamento, el tratamiento de datos personales de
interesados que se encuentran en la Unión por un responsable o un encargado no establecido
en la Unión debe regirse por el presente Reglamento si las actividades de tratamiento se
refieren a la oferta de bienes o servicios a dichos interesados, independientemente de que
medie pago. Para determinar si dicho responsable o encargado ofrece bienes o servicios a
interesados que se encuentran en la Unión, debe determinarse si es evidente que el
responsable o el encargado proyecta ofrecer servicios a interesados en uno o varios de los
Estados miembros de la Unión. Si bien la mera accesibilidad del sitio web del responsable o
encargado o de un intermediario en la Unión, de una dirección de correo electrónico u otros
datos de contacto, o el uso de una lengua generalmente utilizada en el tercer país donde resida
el responsable del tratamiento, no basta para determinar dicha intención, hay factores, como el
uso de una lengua o una moneda utilizada generalmente en uno o varios Estados miembros
con la posibilidad de encargar bienes y servicios en esa otra lengua, o la mención de clientes o
usuarios que residen en la Unión, que pueden revelar que el responsable del tratamiento
proyecta ofrecer bienes o servicios a interesados en la Unión” .
Examinando el supuesto de hecho, se observa su encaje con el mencionado artículo
3.2.a) del RGPD y con los criterios del Considerando 23, a saber, existencia de un
tratamiento de datos personales de interesados que se encuentren en la Unión
Europea; por parte de un responsable no estableció en la Unión; y que esté
relacionado con la oferta de bienes y servicios a dichos interesados en la Unión:
. GOOGLE LLC, en el desarrollo de su actividad como proveedor de servicios de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
69/137
internet, oferta productos y servicios on-line en el territorio de la Unión Europea, los
cuales comprenden, entre otros, sistemas operativos, aplicaciones para dispositivos
móviles, correo electrónico, redes sociales, mapas, video, blogs, servicios de Cloud y
aplicaciones específicas para empresas. Estos productos y servicios se ofrecen a
personas residentes en dicho territorio, ya sean personas físicas (como “Búsqueda”,
“Maps”, “Gmail”, “YouTube”, “Drive”, “Blogger”) o jurídicas.
Como se ha indicado, hasta el 22/01/2019, GOOGLE LLC era la entidad encargada de
esta provisión de productos y prestación de servicios en su totalidad. Después de esa
fecha, lo sigue siendo de determinados productos, como la “Búsqueda de Google” y
“Google Maps”.
Esa actividad convierte a la entidad reclamada en responsable de los tratamientos de
datos personales que conlleva el desarrollo de la misma. Como tal, gestiona las
solicitudes que formulen los usuarios para la retirada de contenido de los productos y
servicios que ofrece en el territorio de la Unión Europea, de conformidad con la
normativa aplicable, y es responsable del tratamiento de datos que motiva las
actuaciones, consistente en comunicar a una entidad tercera los datos personales
contenidos en esas solicitudes de interesados que se encuentran en el repetido
territorio.
GOOGLE LLC, en su escrito de alegaciones a la apertura del procedimiento, indica
que no discute la aplicación del RGPD a las actividades de tratamiento en cuestión, si
bien considera que los supuestos previstos en los artículos 3.1 y 3.2.a) del RGPD son
alternativos y que este último no es de aplicación, dado que cuenta con diversos
establecimientos en países de la Unión Europea, además de España.
Esta Agencia no comparte dicha consideración, sobre la que GOOGLE LLC no aporta
argumento alguno.
V
El artículo 5.1 del RGPD enumera los principios a los que se deben someter los
tratamientos de datos personales:
“a) tratados de manera lícita, leal y transparente en relación con el interesado (“licitud, lealtad y
transparencia”);
b) recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente
de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el
tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de
investigación científica e histórica o fines estadísticos no se considerará incompatible con los
fines iniciales (“limitación de la finalidad”);
c) adecuados, pertinentes y limitados a los necesario en relación con los fines para los que son
tratados (“minimización de datos”);
d) exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para
que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con
respecto a los fines para los que se tratan (“exactitud”);
e) mantenidos de forma que se permita la identificación de los interesados durante no más
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
70/137
tiempo del necesario para los fines del tratamiento de los datos personales; los datos
personales podrán conservarse durante períodos más largos siempre que se traten
exclusivamente con fines de archivo en interés público, fines de investigación científica o
histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la
aplicación de las medidas técnicas y organizativas apropiadas que impone el presente
Reglamento a fin de proteger los derechos y libertades del interesado (“limitación del plazo de
conservación”);
f) tratados de tal manera que se garantice una seguridad adecuada de los datos personales,
incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida,
destrucción o daño accidental, mediante la aplicación de medidas técnicas y organizativas
apropiadas (“integridad y confidencialidad”)”.
El Considerando 39 incide, asimismo, en estos principios aplicables a todo tratamiento
de datos.
VI
- Sobre el “Proyecto Lumen”
Antes de analizar el tratamiento de datos personales que supone la comunicación de
datos que GOOGLE LLC realiza al “Proyecto Lumen” y si dicho tratamiento vulnera el
RGPD, se estima conveniente reseñar algunas consideraciones relativas al “Proyecto
Lumen”.
Según la información disponible en la web “lumendatabae.org”, en los apartados
“Acerca de”, “Aviso Legal” e “Investigadores”, o en el documento denominado
“Conceptos básicos de la información del aviso de Lumen”, cuyos contenidos constan
incorporados a este acto en Anexos 3 y 4, “Lumen” es un proyecto de la entidad
Berkman Klein Center for Internet & Society de la Universidad de Harvard, con sede en
la ciudad de Cambridge (Massachusetts, Estados Unidos), nacido en el año 2002,
cuya principal misión radica en la recogida y puesta a disposición, tanto de
investigadores como de personas interesadas, de solicitudes de retirada de contenido
de páginas web de dentro y fuera de Estados Unidos.
Su finalidad estribaría en contribuir a realizar un estudio lo más ecológico posible de
los tipos de solicitudes, sus solicitantes y sus receptores, potenciando la transparencia
acerca de internet. Así, se dice que tiene por objeto, como proyecto de investigación
independiente, (i) el estudio de las solicitudes de retirada o eliminación de contenidos
en línea que se formulan a editores de Internet, motores de búsqueda y proveedores
de servicios; (ii) facilitar la investigación de sus diferentes tipos; (iii) y brindar la mayor
transparencia posible sobre quién los envía y por qué y con respecto a qué contenido
en línea; (iv) y educar al público.
La base de datos de Lumen crece en más de 40 000 avisos por semana, con
presentaciones voluntarias proporcionadas por compañías, como “Google”, o por las
personas responsables de enviar o recibir los avisos originariamente. A finales de
2021, el proyecto alberga más de dieciocho millones de avisos, referenciando cerca de
cuatro mil quinientos millones de URL. En 2021, el sitio web del proyecto fue visitado
más de diecinueve millones de veces por más de un millón de usuarios únicos de
prácticamente todos los países del mundo.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
71/137
Sobre estas solicitudes de retirada de contenido, en dicha web se aclara que la base
de datos de Lumen solo incluye los avisos que le son notificados y únicamente con la
información incluida en los estas notificaciones; de todas las variedades, como
solicitudes presentadas en virtud de la normativa de derechos de autor, marcas
registradas, difamación y privacidad, nacionales e internacionales, y órdenes
judiciales; y que, generalmente, los avisos son presentados por el “Proyecto Lumen”
en la forma en que le son compartidos.
De dicha información, se retiraría el contenido que a juicio del proyecto pudiera
resultar sensible o personal, así como la información de contacto del solicitante original
de la retirada de contenido. Sobre el contenido confidencial que puede incluir el aviso,
informa que “una persona o empresa que envía un aviso directamente a la base de
datos de Lumen puede haber decidido no compartir con Lumen, o mantener en
privado, cierta información en el aviso”; que el personal de Lumen realiza un esfuerzo
para eliminar información confidencial o personal del texto del aviso, como números de
teléfono, direcciones de correo electrónico u otras formas de número de identificación
(con números de Seguro Social o de identificación nacional), direcciones postales o
contenido presuntamente difamatorio (se dice: “Nuestros procesos de redacción
automática buscan identificar y eliminar” esa información). En relación con las copias
de órdenes judiciales, en concreto, señala que generalmente las muestra en la forma
en que se han compartido con “Lumen” y “además, hace un esfuerzo de buena fe para
hacerlo de acuerdo con la ley aplicable de la jurisdicción de donde surgió la orden”.
La base de datos de “Lumen”, que incluye los avisos de retirada de contenidos en
línea, puede ser consultada por el público en general. En el documento denominado
“Investigadores”, insertado en la web “lumendatbase.org”, se incluye la información
siguiente:
“¿Para quién es Lumen?
Lumen está diseñado para un uso casual tanto por parte de usuarios de Internet legos curiosos
acerca de un aviso que pueden haber encontrado, tal vez en las noticias, o por interés
personal… así como por periodistas, ONG, legisladores, académicos y otros investigadores
legales que realizan investigaciones más profundas y enfocadas o estudian tendencias más
amplias sobre la eliminación de contenido en línea…
Si usted o su organización están interesados en realizar su propia investigación periodística,
académica, legal o centrada en políticas, o si tienen más ideas sobre cómo podemos mejorar la
base de datos y sus interfaces, envíenos un correo electrónico a [email protected].
Ver un aviso
Para los no investigadores, Lumen actualmente ofrece acceso a un aviso completo por
dirección de correo electrónico cada veinticuatro (24) horas. Enviar una dirección de correo
electrónico a través del formulario de solicitud proporcionará una URL de uso único para ese
aviso en particular que mostrará el contenido completo del aviso. El acceso a través de esta
URL tendrá una duración de 24 horas. Vea aquí para más detalles.
¿Como funciona?
La mayoría de los usuarios encontrarán que la interfaz web será suficiente para navegar y
descubrir dentro de la base de datos. Sin embargo, para aquellos que necesitan acceder a
grandes cantidades de datos para su investigación, o para aquellos interesados en enviar
copias de avisos de eliminación a Lumen, ofrecemos nuestra API. Siga leyendo para obtener
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
72/137
más información”.
Los avisos de contenidos eliminados son publicados en el sitio web
“lumendatabase.org”, que incluye una herramienta de búsqueda.
También son ofrecidos a través de la API del “Proyecto Lumen”, que está prevista
“para aquellos que necesitan acceder a grandes cantidades de datos o crear procesos
automatizados” y requiere obtener una “clave API” para consular la base de datos.
También se informa que “Las consultas de API a la base de datos enviadas sin un
token se limitarán a los primeros 25 resultados y a 5 solicitudes por día”.
Sobre la “Descarga de resultados de forma masiva” se indica: “Para administrar mejor
sus recursos, Lumen limita las solicitudes a su API, así como el uso de la interfaz de
usuario basada en la web. Para aquellos interesados en un acceso menos restringido
a la base de datos a través de la API, consulte "Obtención de una clave de API"…”.
Siendo esto como se ha dicho, y siendo conocido por GOOGLE LLC, no se entiende la
alegación que esta entidad plantea cuando señala en su defensa que la información
completa se limita a “investigadores de buena fe”.
La publicación de estas notificaciones o avisos en “lumendatabase.org” tiene la
estructura siguiente:
. Encabezado: motivo de la solicitud, persona física o entidad que formula la solicitud,
fecha de la solicitud, país de origen, entidad a la que se dirige la solicitud y entidad que
ha remitido el aviso a la organización.
. Reseña de la solicitud de retirada de contenido: incluye un cuadro de texto en el que
se reproducen las circunstancias de hecho de la solicitud y su motivación y la URL
correspondiente que da acceso al contenido eliminado.
. Enlace a la documentación de soporte en formato “pdf”.
Al pie de estas publicaciones se incluyen un enlace (“Click here to request access and
see full URLs”) que conduce a una página
(“https://lumendatabase.org/notices/.../request_access”) en la que puede solicitarse a
la “Organización Lumen” el acceso a la información completa del correspondiente
aviso de retirada de contenido. Esta página aparece con el rótulo “Solicitar acceso
completo a la denuncia por difamación a Google” e incluye el texto siguiente:
“Para acceder a este aviso ingresa tu dirección de correo electrónico y resuelve el captcha.
Después de enviar el formulario, le enviaremos un correo electrónico con un enlace de un solo
uso al aviso.
Dirección de correo electrónico
(espacio para añadir la dirección de correo electrónico)
( ) Seleccione para recibir una notificación cuando se agreguen nuevos documentos de
notificación (o cuando se actualicen los documentos de notificación existentes).
Entregar (Botón)”.
Este mismo formulario se utiliza también para acceder a la documentación de soporte
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
73/137
del aviso en cuestión.
En relación con “Google”, el documento “Conceptos básicos de la información del
aviso de Lumen” disponible en “lumendatabase.org”, informa lo que sigue:
En la misma web “lumendatabase.org” se indica que “Google” es el remitente más
grande del “Proyecto Lumen”, tanto por el volumen total de avisos como por la
cantidad de posibles tipos de avisos que dicha entidad ha elegido compartir con el
“Proyecto Lumen” (DMCA, difamación, elusión, órdenes judiciales, avisos basados en
legislación local, etc.), los cuales pueden ser recibidos por “Google” respecto de sus
diversos productos (búsqueda, Blogger, Drive y Documentos, Grupos, búsqueda de
imágenes, etc.).
Sobre los avisos basados en órdenes judiciales recibidos de “Google”, el “Proyecto
Lumen” indica que se presentan en la forma en que se reciben de “Google” y aclara
que si esta entidad tiene prohibido compartir el contenido de una orden judicial que ha
recibido, deberá indicarlo explícitamente en el texto del aviso. No obstante, añade que
el “Proyecto Lumen” realiza un esfuerzo para eliminar órdenes judiciales extranjeras
de acuerdo con cualquier ley local, incluidos los nombres, direcciones o aspectos de
las URL en cuestión.
Sobre los avisos relacionados con solicitudes por motivos de difamación se dice:
“Como cuestión de políticas internas de Google, Google no comparte con Lumen los nombres
de los remitentes de los avisos de difamación. Además, si el nombre de un Remitente/Principal
aparece de alguna forma dentro de una de las URL reclamadas que son el tema del aviso, o
dentro de cualquier texto dentro del aviso, ese texto también se eliminará.
Por ejemplo, una URL original de
https://www.blogger.com/JohnQPublicistheworst.com
sería compartida por Google con Lumen como
https://www.blogger.com/[eliminado]es lo peor.com
Además, Google no comparte con Lumen el texto ingresado por un reclamante en el
“Para garantizar la especificidad, cite el texto exacto…”
campo en el formulario web de Google.
Texto introducido por un denunciante en el
"Explique en detalle por qué cree que el contenido de las URL anteriores es ilegal, citando
disposiciones legales específicas siempre que sea posible".
Google comparte el campo del formulario web con Lumen y se muestra como parte del aviso
en Lumen tal cual, sujeto únicamente a los procesos de redacción automática de Lumen.
Tenga en cuenta que si el sujeto de la supuesta difamación no es el remitente del aviso, el
nombre de ese sujeto no se eliminará automáticamente del aviso. Notifique a Lumen si el
nombre de la persona presuntamente difamada todavía está presente en un aviso”.
Y sobre “Otro tipo de avisos” se indica:
“…en este momento, Google NO comparte con Lumen los avisos que recibe de los ciudadanos
de la UE como parte del llamado "Derecho al olvido ("RTBF") o los avisos enviados a través del
formulario de Google para informar sobre imágenes sexuales explícitas”.
En este apartado “Otro tipo de avisos” del documento “Conceptos básicos de la
información del aviso de Lumen”, se incluye una dirección de Internet que conduce a
un documento informativo sobre retirada de información de “Google”, que se incorpora
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
74/137
en Anexo 4.
- Información compartida por GOOGLE LLC con el “Proyecto Lumen”.
GOOGLE LLC comunica al “Proyecto Lumen” (“enviar una copia”) las solicitudes de
retirada o eliminación de contenidos en línea de usuarios españoles que gestiona. Se
trata de solicitudes que se formulen respecto de sus productos y servicios (los
mencionados en los Hechos Probados 4 y 5).
Las solicitudes remitidas al “Proyecto Lumen” están motivadas por infracción de
derechos de autor, difamación, fallos judiciales, marcas, solicitudes basadas en la
legislación local (problema legal), si bien en los “Formularios de Google” se muestran
otros motivos para que sean seleccionados por los interesados, que también pueden
ser remitidos al “Proyecto Lumen”, según la información que se incluye en los propios
formularios.
Aunque GOOGLE LLC señala en sus alegaciones que únicamente comparte estas
solicitudes relacionadas con derechos de propiedad intelectual (DMCA),
elusión/evasión, falsificación, resoluciones judiciales, difamación y notificaciones de
eliminación de contenido basadas en normativa local (lo que coincide con la
información facilitada en la web “lumendatabase.org”), y que no remite en ningún caso
solicitudes de ejercicios de derechos reconocidos en la normativa de protección de
datos personales, existen circunstancias que introducen dudas sobre la efectividad de
esta decisión o que pueden generar confusión en los usuarios a la hora de señalar el
motivo de sus solicitudes.
Un ejemplo de esto lo encontramos en los “Enlaces Lumendatabase 3, 14 y 25”, que
constan reseñados en el Hecho Probado 10, en los que la solicitud del interesado
estaba relacionada con la supresión de datos personales o con la retirada de
resultados de búsqueda en el “Buscador de Google”, aunque todas ellas se remitieron
por GOOGLE LLC como notificaciones basadas en motivos de difamación.
En otros casos, como el correspondiente a los “Enlaces Lumendatabase 16, 17 y 18”,
se remiten al “Proyecto Lumen” como avisos basados en un fallo judicial, pero este
fallo está relacionado con la eliminación de contenido en un blog, en el que se incluían
datos personales.
Los propios formularios de solicitud no contribuyen a tener certeza sobre esta
cuestión, tal y como se explica en el Fundamento de Derecho siguiente. Sirven a estos
efectos todas las circunstancias que se ponen de manifiesto en dicho Fundamento. Se
citan a continuación algunos ejemplos de las dudas que suscitan estos formularios:
. Los “Formularios de Google 18 y 24”, correspondientes a “Google Imágenes” y al
“Buscador de Google”, no informan sobre la comunicación de datos a “Lumen”, pero
sí incluyen entre los motivos de la solicitud la difamación, infracciones de derechos
de autor o la eliminación de información personal.
. Otros “Formularios de Google”, como los señalados con los números 3, 6, 10, 18
(formulario de “Google Imágenes” para la retirada de contenido obsoleto), 19, 20,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
75/137
22, 25 y 27, que sí advierten sobre el envío de la solicitud al “Proyecto Lumen”,
están referidos al ejercicio del derecho de supresión de datos personales. Entre los
motivos que se muestran para la utilización de estos formularios de eliminación de
contenidos figura la “divulgación de datos privados”, “divulgación de datos
personales” e “Información personal: el contenido incluye mis datos personales”.
. El formulario señalado con el número 25, correspondiente a “Google Maps”, se
ofrece la opción de cambiar la “ficha local” del usuario por los motivos siguientes:
“Quiero cambiar la información incorrecta de mi ficha local”, “Quiero saber por qué
se ha cambiado la información de mi ficha local”, “Información personal: el
contenido incluye mis datos personales”.
. Los resultados de búsqueda del “Buscador de Google” reportan enlaces a
contenidos de otros productos de GOOGLE LLC (Blogger/Blogspot, etc.). Esto hace
difícil diferenciar cuándo un usuario solicita la retirada de información del buscador
o del producto específico. En el primer caso no se remite copia al “Proyecto
Lumen”, según la reclamada, y en el segundo sí se enviaría, según la información
contenida en los formularios.
GOOGLE LLC comunica al “Proyecto Lumen” toda la información correspondiente a
estas solicitudes, incluida la identificación del solicitante y el afectado, en su caso, su
dirección de correo electrónico, los motivos que se alegan (el texto de la reclamación)
y la URL reclamada, así como la documentación que sirve de soporte, si existe.
GOOGLE LLC no ha negado esta comunicación de datos personales. Se ha limitado a
manifestar que ninguna de las solicitudes de retirada que traslada o notifica al
“Proyecto Lumen” está relacionada con el ejercicio de derechos en materia de
protección de datos personales. Sin embargo, esta cuestión, que será analizada en el
Fundamento de Derecho siguiente, no modifica el hecho de que la comunicación de
datos personales a una organización tercera tiene lugar, con independencia de la
solicitud de retirada de contenidos en línea que le sirve de base.
En los Antecedentes consta el detalle de las comprobaciones realizadas en
“lumendatabase.org”, sobre publicaciones de avisos de eliminación de contenido en
línea que tienen origen en solicitudes dirigidas a GOOGLE LLC por usuarios
españoles, notificadas posteriormente por esta entidad a la organización Lumen.
Asimismo, en el Hecho Probado 10 consta un resumen de estos detalles.
Estas comprobaciones han permitido constatar que las notificaciones de eliminación
de contenidos comprobadas fueron remitidas por GOOGLE LLC como avisos relativos
a solicitudes por motivos de difamación, basadas en un fallo judicial o por aplicación
de normativa local.
Según el estado en el que fueron publicadas inicialmente, consta que nueve de ellas
incluían en el encabezado los datos personales de los solicitantes relativos a nombre y
dos apellidos (salvo un caso, que solo menciona nombre y un apellido).
En once casos comprobados, el cuadro de texto de la solicitud, en el que se expresan
los motivos que aduce el solicitante para justificar la eliminación, consta reproducido
en la publicación y detalla las circunstancias de hecho que motivan dicha solicitud, la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
76/137
identificación de una o varias personas (ya sean las interesadas a las que se refiere el
contenido retirado u otras afectadas o implicadas en los hechos); direcciones postales;
reseña de alguna URL que incluye la mención del nombre y apellidos de una persona
o una dirección postal; el nombre mercantil de un establecimiento; la referencia de una
sentencia (número, fecha) y el nombre de las personas que intervienen como partes
en el proceso (demandante y demandado); o la profesión de un afectado:
Y en diez avisos, la URL que da acceso al contenido eliminado, que también se
incluye en la publicación, contiene datos personales integrados en la propia dirección
de internet. También se verificaron dos de estas URL, comprobando que posibilitaban
el acceso a información personal, con datos personales de nombres y apellidos de
varias personas.
Además, uno de los avisos publicados permitía el acceso a una Sentencia en la que
constan los nombres y apellidos de todas las personas que intervienen en el proceso,
así como todas las circunstancias del mismo.
Obviamente, estas publicaciones de avisos de eliminación de contenidos en
“lumendatabase.org” evidencian que GOOGLE LLC notificó las respectivas solicitudes
de usuarios españoles sin suprimir los datos personales que se han referido.
(…).
(…).Se trata de medidas poco efectivas si consideramos que se incluyen datos
personales en otros apartados de la notificación de eliminación remitida al “Proyecto
Lumen”, como ocurre en los casos de los “Enlace Lumentadabase” señalados con los
números 3, 4, 5, 8, 9 a 12 y 13, que incluyen datos personales en el texto de la
reclamación o integrados en la propia dirección de internet que da acceso al contenido
eliminado.
En todo caso, el interés de las presentes actuaciones está dirigido a la propia
comunicación de datos personales que GOOGE LLC realiza al “Proyecto Lumen” y no
a la publicación que esta última entidad realiza en “lumendatabase.org”.
Durante la fase de prueba, pudo comprobarse que casi todos los datos personales que
aparecían inicialmente en la publicación de estas notificaciones de retirada en
“lumendatabase.org” han sido suprimidas, tanto en el encabezado del aviso, como en
el texto de la reclamación y en las URL. Debe entenderse que esta supresión no
afecta a los fines pretendidos por GOOGLE LLC y por el “Proyecto Lumen” con las
actuaciones que llevan a cabo.
Por otra parte, la entidad reclamada ha manifestado en su escrito de alegaciones que
el marco jurídico aplicable a esta comunicación de datos personales viene
determinado por el Reglamento (UE) 2019/1150 del Parlamento Europeo y del
Consejo, de 20 de junio de 2019, sobre el fomento de la equidad y la transparencia
para los usuarios profesionales de servicios de intermediación en línea, y la Propuesta
de la Comisión Europea de Reglamento Relativo a un Mercado Único de Servicios
Digitales, que reflejan la importancia de los objetivos de transparencia sobre la forma
en la que los prestadores de servicios de intermediación moderan el contenido,
incluyendo el requisito de publicar todas las decisiones de retirada de contenidos en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
77/137
una base de datos de acceso público. Y cita el artículo 15.4 de la DSA y el
Considerando 26 del Reglamento P2B.
No comparte esta Agencia esa posición.
El Reglamento 2019/1150 se aplica “a los servicios de intermediación en línea y a los
motores de búsqueda en línea que se faciliten o cuyo uso se proponga a los usuarios
profesionales y los usuarios de sitios web corporativos, respectivamente”; y regula
aspectos tales como las decisiones que estos proveedores puedan adoptar en orden a
restringir, suspender o terminar la prestación de sus servicios para un usuario
profesional; o la diferencia de trato que estos proveedores puedan dar a unos usuarios
profesionales en relación con otros.
El mismo Reglamento ordena a estos proveedores establecer un sistema interno de
reclamaciones que debe ponerse a disposición de los usuarios profesionales y que se
basará en los principios de transparencia e igualdad de trato. Es en relación con estas
reclamaciones que se establece la obligación de dichos proveedores de servicios de
intermediación en línea de presentar información sobre el funcionamiento del sistema
interno de tramitación de reclamaciones y poner esos datos a disposición del público.
Nada que ver, por tanto, con el asunto que nos ocupa; y tampoco este Reglamento
contiene ninguna disposición por la que se habilite la puesta a disposición del público
de datos personales.
Sobre la Propuesta de Reglamento de la Comisión Europea que se invoca por
GOOGLE LLC, solo indicar que el mismo artículo que esta entidad cita señala que los
prestadores de servicios de alojamiento de datos publicarán en una base de datos de
acceso público gestionada por la Comisión las decisiones sobre retirar elementos de
información concretos proporcionados por destinatarios del servicio, o inhabilitar el
acceso a los mismos; y dispone expresamente que dicha información no contendrá
datos personales.
- Información ofrecida por GOOGLE LLC a los usuarios sobre la comunicación
de datos personales al “Proyecto Lumen”
La única información ofrecida por GOOGLE LLC a los usuarios sobre la comunicación
al “Proyecto Lumen” de los datos personales que puedan incluir en sus solicitudes de
retirada de contenidos de los productos de la entidad consiste en un aviso insertado en
los propios formularios de solicitud (“Formularios de Google”).
El detalle de estos avisos y los formularios en los que se inserta consta reseñado en el
Hecho Probado 6. La información ofrecida en los mismos se limita a advertir sobre la
posibilidad de “enviar una copia de cada una de las notificaciones legales que
recibamos al proyecto Lumen para su publicación y anotación”, señalando que “Lumen
retirará la información de contacto personal del remitente (es decir, el número de
teléfono, la dirección de correo electrónico y el domicilio)”.
Según esta información, GOOGLE LLC no suprime ninguna información contenida en
las solicitudes que recibe y admite que sea el “Proyecto Lumen” quien anonimice los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
78/137
datos de contacto del solicitante para que no sean publicados. Se concluye, asimismo,
que la publicación de la notificación en “lumendatabase.org” se realizará sin suprimir la
identidad del solicitante.
De los formularios comprobados, únicamente en el “Formulario de Google 18”,
correspondiente al producto “Google Imágenes”, en la herramienta dispuesta para
retirada de “contenido obsoleto de la Búsqueda de Google”, en la opción “retirar
información personal o contenido con problemas legales que aún esté presente en
una página”, se incluye un texto informativo en el que se menciona la “transparencia”
como motivo para que GOOGLE LLC traslade la información al “Proyecto Lumen” y se
cita a la entidad responsable de este proyecto y su objetivo (“facilitar la investigación
académica y sectorial sobre la disponibilidad de contenidos online”).
Por otra parte, la Política de Privacidad de GOOGLE LLC, que se encuentra accesible
en el sitio web “google.com” y se aplica a todos los servicios ofrecidos por esta entidad
y sus afiliados (salvo “a los servicios que estén sometidos a políticas de privacidad
independientes”) no hace mención a este tratamiento de datos personales de los
usuarios, ni entre las finalidades para las que serán tratados dichos datos personales
figura la comunicación de datos personales al “Proyecto Lumen”, ni los fines
manifestados por GOOGLE LLC para los que esta comunicación de datos personales
se lleva a cabo.
Esta Política de Privacidad incluye un apartado específico relativo a la “información
personal” que dicha entidad comparte de forma externa, señalando que “No
compartimos tu información personal con empresas, organizaciones o individuos
ajenos a Google”, salvo que el interesado preste su consentimiento o por motivos
legales (cuando Google considere, “de buena fe”, que es necesario revelarlos para
cumplir con cualquier requisito previsto en la ley o la normativa aplicables o
para atender un proceso legal o un requerimiento de una autoridad competente;
cumplir las condiciones de servicio aplicables, incluida la investigación de posibles
infracciones; detectar, prevenir o solucionar de otra forma fraudes o problemas de
seguridad o técnicos; o proteger a Google, a los usuarios y al público en general de
daños a sus derechos y bienes o a su seguridad en la medida exigida o permitida por
la ley).
En cuanto a la eliminación de los datos personales, se informa que existe la posibilidad
de eliminar productos concretos de “Google”, incluida la información asociada al
producto, o “Eliminar tu Cuenta de Google por completo”. De manera específica, se
informa que es posible “solicitar que se retire contenido” de determinados servicios de
“Google” de acuerdo con las leyes aplicables. Esta información incluye un enlace que
da acceso a la página en la que se listan diversos productos de la compañía para que
el usuario selecciones el producto al que corresponde el contenido que pretende
eliminar (“Formularios Google 2, 4, 5, 7, 9, 17, 21 y 23”), pero tampoco en esta ocasión
se informa sobre la comunicación de estas eliminaciones de contenido a terceros.
- Base jurídica del tratamiento
Dentro de los principios relativos al tratamiento de datos personales enunciados en el
artículo 5.1 del RGPD, merece traer a colación en el caso que nos ocupa los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
79/137
relacionados con la “licitud, lealtad y transparencia” y con la “limitación de la finalidad”.
Y esto sucede ya que los “Formularios de Google” objeto de estudio tienen como
objetivo la recogida de una serie de datos y documentos en orden a una finalidad
clara, tal y como es solicitar la retirada de contenido de algún producto o la denuncia
de infracciones de derechos de autor, pero a la que se une otra diferente (ya que ni
media ni es imprescindible para la gestión de la referida retirada de contenido) tal cual
es la comunicación de datos a un tercero, como el “Proyecto Lumen”.
Será, por lo tanto, prioritario analizar si puede inferirse una base legitimadora que
confiera licitud a la citada comunicación de datos por parte de GOOGLE LLC al
“Proyecto Lumen”. A este respecto, el artículo 6.1 del RGPD, establece los supuestos
que permiten considerar lícito el tratamiento de datos personales.
“El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
a) El interesado dio su consentimiento para el tratamiento de sus datos personales para uno o
varios fines específicos;
b) El tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte
o para la aplicación a petición de este de medidas precontractuales;
c) El tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) El tratamiento es necesario para proteger interese vitales del interesado o de otra persona
física;
e) El tratamiento es necesario para el cumplimiento de una misión realizada en interés público
o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) El tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el
responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no
prevalezcan los intereses o los derechos y libertades fundamentales del interesado que
requieran la protección de datos personales, en particular cuando el interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por
las autoridades pública en el ejercicio de sus funciones”.
En relación con lo anterior, en el caso del tratamiento de datos consistente en la
cesión de la información relativa a la solicitud de retirada de contenido al “Proyecto
Lumen” por parte de GOOGLE LLC nos encontraríamos con que la licitud del
tratamiento debería basarse, bien en la existencia de consentimiento, bien en la
existencia de un interés legítimo, ya que un somero análisis del resto de supuestos
nos hacen ver que no podrían ser aplicables (por la propia naturaleza de los hechos y
de las partes intervinientes).
Interés legítimo
La entidad reclamada, en sus escritos de alegaciones a la apertura del procedimiento
y a la propuesta de resolución, acude a esta base jurídica para fundamentar la
comunicación de datos personales que nos ocupa, entendiendo que existen intereses
legítimos, tanto propios como del “Proyecto Lumen”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
80/137
Después de destacar los objetivos pretendidos por el “Proyecto Lumen”, ya
mencionados (educar al público, facilitar la investigación, proporcionar transparencia,
etc.), alega que contribuye con este proyecto con fines de transparencia y rendición de
cuentas, así como para evitar abusos y fraudes.
Según GOOGLE LLC, el interés legítimo del “Proyecto Lumen” consiste precisamente
en eso, en el fomento de la educación, la investigación y la transparencia, que, en
última instancia, entran dentro del interés de toda la sociedad en su conjunto.
Sobre el interés legítimo propio, también se refiere a la importancia que tienen estas
comunicaciones de datos para asegurar que sus prácticas de retirada de contenidos
sean transparentes y responsables; añadiendo que sirven para rendir cuentas sobre
los procesos de moderación de contenidos implementados, para demostrar la
existencia de procedimientos de retirada reactivos, para fomentar una comprensión
clara de los tipos de contenidos en línea que son objeto de solicitudes de retirada, la
equidad entre asuntos similares en diferentes países y regiones, así como para mitigar
el riesgo de uso indebido o fraudulento de las herramientas de retirada de contenidos.
Además del beneficio que esta transparencia representa para la comunidad de
investigadores, el público en general y las autoridades públicas.
Y señala al respecto que el Dictamen 06/2014, sobre el concepto de interés legítimo,
admite estos intereses legítimos, incluidos los intereses “apremiantes y beneficiosos
para la sociedad en general, tales como… el interés en llevar a cabo investigación
científica (sujetos a las garantías adecuadas”; y que la propia AEPD también reconoce
en el Acuerdo de Inicio que cumplir con los estándares de transparencia puede
constituir un interés legítimo.
Un aspecto importante que interesa destacar en primer término tiene que ver con la
información que se facilita a los usuarios. Según ha quedado expuesto, esta
información está contenida en un aviso de texto insertado en los propios formularios
de solicitud de retirada de contenidos y se limita a advertir sobre la posibilidad de
enviar al “Proyecto Lumen” una copia de las notificaciones, sin ninguna mención a la
base jurídica que legitima el tratamiento de datos personales ni a los intereses
legítimos indicados en el escrito de alegaciones.
En la Política de Privacidad de GOOGLE LLC, la única información sobre la base
jurídica que fundamenta el tratamiento de datos en general se refiere a la prestación
de un servicio, el cumplimiento de obligaciones legales, consentimiento del interesado
(“Solicitamos tu autorización para tratar tu información para finalidades determinados y
tienes derecho a revocar tu consentimiento en cualquier momento”) y el ejercicio de
intereses legítimos, propios y de terceros.
Entre los “objetivos” que se pretenden con el tratamiento de datos personales en base
al interés legítimo, en la Política de Privacidad se mencionan con carácter general los
siguientes:
. Detectar, prevenir o solucionar de otra forma fraudes, abusos y problemas de seguridad o
técnicos relacionados con nuestros servicios.
. Proteger a Google, a nuestros usuarios y al público en general de daños a sus derechos y
propiedades o a su seguridad en la medida exigida o permitida por la ley, lo que incluye la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
81/137
revelación de información a autoridades gubernamentales.
. Llevar a cabo investigaciones que mejoren nuestros servicios para los usuarios y
beneficien al público en general.
Con esta información, no puede entenderse que el usuario haya sido debidamente
informado sobre la base jurídica que justificaría la comunicación de sus datos
personales al “Proyecto Lumen”, ni tampoco sobre los intereses legítimos propios o de
terceros que se invocan, de ser el interés legítimo la base jurídica.
Al contrario, teniendo en cuenta la información que en la Política de Privacidad se
ofrece sobre la información personal que se comparte de forma externa, reseñada en
el apartado anterior (“No compartimos tu información personal con empresas,
organizaciones o individuos ajenos a Google”, salvo que el interesado preste su
consentimiento o por motivos legales), más parece que la conclusión que puede
obtener el usuario sobre la base jurídica que ampara la comunicación de datos a una
entidad externa como el “Proyecto Lumen” sea la prestación del consentimiento.
En relación con la base jurídica del interés legítimo, el artículo 6 citado establece:
“1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el
responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no
prevalezcan los intereses o los derechos y libertades fundamentales del interesado que
requieran la protección de datos personales, en particular cuando el interesado sea un niño...”.
Respecto del interés legítimo, deben concurrir los dos requisitos cumulativos de su
enunciado: la existencia de un interés legítimo perseguido por el responsable del
tratamiento o del tercero al que se comunican los datos y la no prevalencia de los
derechos y libertades del interesado.
El Considerando 47 del RGPD precisa el contenido y alcance de esta base
legitimadora del tratamiento:
“(47) El interés legítimo de un responsable del tratamiento, incluso el de un responsable al que
se puedan comunicar datos personales, o de un tercero, puede constituir una base jurídica
para el tratamiento, siempre que no prevalezcan los intereses o los derechos y libertades del
interesado, teniendo en cuenta las expectativas razonables de los interesados basadas en su
relación con el responsable. Tal interés legítimo podría darse, por ejemplo, cuando existe una
relación pertinente y apropiada entre el interesado y el responsable, como en situaciones en
las que el interesado es cliente o está al servicio del responsable. En cualquier caso, la
existencia de un interés legítimo requeriría una evaluación meticulosa, inclusive si un
interesado puede prever de forma razonable, en el momento y en el contexto de la recogida de
datos personales, que pueda producirse el tratamiento con tal fin. En particular, los intereses y
los derechos fundamentales del interesado podrían prevalecer sobre los intereses del
responsable del tratamiento cuando se proceda al tratamiento de los datos personales en
circunstancias en las que el interesado no espere razonablemente que se realice un
tratamiento ulterior. Dado que corresponde al legislador establecer por ley la base jurídica para
el tratamiento de datos personales por parte de las autoridades públicas, esta base jurídica no
debe aplicarse al tratamiento efectuado por las autoridades públicas en el ejercicio de sus
funciones. El tratamiento de datos de carácter personal estrictamente necesario para la
prevención del fraude constituye también un interés legítimo del responsable del tratamiento de
que se trate. El tratamiento de datos personales con fines de mercadotecnia directa puede
considerarse realizado por interés legítimo”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
82/137
Los criterios interpretativos que se extraen de este Considerando son, entre otros, (i)
que el interés legítimo del responsable prevalezca sobre los intereses o derechos y
libertades fundamentales del titular de los datos, a la vista de las expectativas
razonables que éste tenga, fundadas en la relación que mantiene con el responsable
del tratamiento; (ii) será imprescindible que se efectúe una “evaluación meticulosa” de
los derechos e interés en juego, también en aquellos supuestos en los que el
interesado pueda prever de forma razonable, en el momento y en el contexto de la
recogida de datos, que pueda producirse el tratamiento con tal fin; (iii) los intereses y
derechos fundamentales del titular de los datos personales podrían prevalecer frente a
los intereses legítimos del responsable cuando el tratamiento de los datos se efectúe
en circunstancias tales en las que el interesado “no espere razonablemente” que se
lleve a cabo un tratamiento ulterior de sus datos personales.
La entidad reclamada no ha justificado haber realizado este análisis previo y consta
que no ha informado debidamente a los interesados sobre esta base legitimadora,
como se ha dicho.
En el caso concreto que nos ocupa, es pertinente partir de la base de que el
reclamado no ofrece la suficiente información acerca de la comunicación de datos al
“Proyecto Lumen” para poder colegir qué interés legítimo estaría en la base de la
citada comunicación de datos.
Realizando una inferencia a partir de la mención que se hace en los formularios de
solicitud de retirada de contenido a un informe de transparencia y de la misión del
“Proyecto Lumen”, se podría llegar a la conclusión de que el interés legítimo
subyacente podría ser cumplir con unos ciertos estándares de transparencia. Una vez
supuesto lo anterior, sin embargo, es necesario que el responsable del tratamiento de
los datos demuestre que, una vez aplicada la prueba de ponderación, su interés
legítimo real y actual prevalece sobre los intereses o derechos de los particulares.
Teniendo en cuenta la deficiente información ofrecida acerca de la finalidad y base
legitimadora de la comunicación de datos, no es posible evaluar la ponderación de
intereses y concluir la prevalencia del interés legítimo del responsable o de terceros.
El interesado, por su parte, al faltar la información relativa a la prueba de ponderación,
se ve privado de su derecho a conocer la base jurídica del tratamiento alegada por el
responsable, y en concreto, al referirse al interés legítimo, se ve privado de su derecho
a conocer cuáles son dichos intereses legítimos alegados por el responsable o de un
tercero que justificarían el tratamiento.
Del mismo modo, el interesado se ve privado de su derecho a alegar por qué causas
dicho interés legítimo del responsable del tratamiento podría ser contrarrestado por los
derechos o intereses del interesado. No habiéndosele dado oportunidad al interesado
de alegarlos frente al responsable, cualquier sopesamiento que realice el responsable
sin tener en cuenta las circunstancias que pudiera alegar el interesado a quien no se la
ha permitido hacerlo estaría viciado, por ser un acto contrario a una norma imperativa.
No cabe, por tanto, invocar esta base jurídica del interés legítimo con ocasión de un
trámite administrativo, como el de alegaciones a la apertura de un procedimiento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
83/137
sancionador. Aceptarlo sería tanto como admitir un interés legítimo sobrevenido, o a
posteriori, respecto del cual no se han respetado las exigencias previstas en la
normativa de protección de datos personales y sobre el que no se informa a los
interesados.
Aunque el interés legítimo no es aplicable, interesa analizar los términos en que debe
llevarse a cabo la ponderación que prevé el artículo 6.1.f) del RGPD entre el legítimo
interés del responsable de los datos o un tercero y la protección de datos de carácter
personal del interesado, es decir, cómo juega dicho interés legítimo, si fuera aplicable.
El TJUE, en su sentencia de 04/05/2017, C-13/16, Rigas Satskime, apartado 28 a 34,
determinó cuáles son los requisitos para que un tratamiento pueda resultar lícito sobre
la base del interés legítimo. La sentencia TJUE de 29/07/2019, C-40/17, Fashion ID,
haciéndose eco de la sentencia citada, recoge dichos requisitos.
28. A tal respecto, el artículo 7, letra f), de la Directiva 95/46 -(actual artículo 6.1.f) del RGPD)-
fija tres requisitos acumulativos para que el tratamiento de datos personales resulte lícito:
primero, que el responsable del tratamiento o el tercero o terceros a quienes se comuniquen
los datos persigan un interés legítimo; segundo, que el tratamiento sea necesario para la
satisfacción de ese interés legítimo y, tercero, que no prevalezcan los derechos y libertades
fundamentales del interesado en la protección de los datos.
Esta base jurídica requiere la existencia de intereses reales, no especulativos y que,
además, sean legítimos. Y no solo la existencia de ese interés legítimo significa que
puedan realizarse aquellas operaciones de tratamiento. Es preciso también que estos
tratamientos sean necesarios para satisfacer ese interés y considerar la repercusión
para el interesado, el nivel de intrusismo en su privacidad y los efectos que pueden
repercutirle negativamente.
Aunque el responsable tenga dicho interés legítimo, ello no significa, en sí mismo
considerado, que pueda simplemente invocarse esta base jurídica como fundamento
del tratamiento. La legitimidad de este interés es solo un punto de partida, uno solo de
los elementos que deben ponderarse.
En este caso, se considera que el tratamiento de datos personales que realiza
GOOGLE LLC no es necesario o estrictamente necesario para la satisfacción del
interés legítimo alegado (la sentencia citada de 04/05/2017, C-13/16, Rigas Satskime,
en su apartado 30, declara “Por lo que atañe al requisito de que el tratamiento de
datos sea necesario, procede recordar que las excepciones y restricciones al principio
de protección de los datos de carácter personal deben establecerse sin sobrepasar los
límites de lo estrictamente necesario”).
Este principio, según el cual el tratamiento debe ser estrictamente necesario para la
satisfacción del interés legítimo, hay que interpretarlo de conformidad con lo
establecido en el artículo 5.1.c) RGPD, que hace referencia al principio de
minimización de datos, señalando que los datos personales serán “adecuados,
pertinentes y limitados a lo necesario en relación con los fines para los que son
tratados”.
De esta forma, deberán preferirse siempre medios menos invasivos para servir a un
mismo fin. Necesidad supone aquí que el tratamiento resulte imprescindible para la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
84/137
satisfacción del referido interés, de modo que, si dicho objetivo se puede alcanzar de
forma razonable de otra manera que produzca menos impacto o menos intrusiva, el
interés legítimo no puede ser invocado.
El término “necesidad” que utiliza el artículo 6.1 f) del RGPD tiene a juicio del TJUE un
significado propio e independiente en la legislación comunitaria. Se trata de un
“concepto autónomo del Derecho Comunitario” (STJUE de 16/12/2008, asunto C-
524/2006, apartado 52). De otra parte, el Tribunal Europeo de Derechos Humanos
(TEDH) ha ofrecido también directrices para interpretar el concepto de necesidad. En
su Sentencia de 25/03/1983 precisó que, sin perjuicio de que el tratamiento de los
datos de los reclamantes sea “útil”, “deseable” o “razonable”, como precisó el TEDH en
su Sentencia de 25/3/1983, el término “necesario” no tiene la flexibilidad que está
implícita en esas expresiones.
Cuanto más “negativo” o “incierto” pueda ser el impacto del tratamiento, más
improbable es que el tratamiento en su conjunto pueda considerarse legítimo.
Como puede apreciarse, lo expresado anteriormente se ajusta a la doctrina del
Tribunal Constitucional sobre el juicio de proporcionalidad que debe realizarse sobre
una medida restrictiva de un derecho fundamental. Según esta doctrina, deberán
constatarse tres requisitos: idoneidad (si la medida permite conseguir el objetivo
propuesto); necesidad (que no exista otra medida más moderada); proporcionalidad en
sentido estricto (más beneficios o ventajas que perjuicios).
Además, en el supuesto de que la debida ponderación atribuyera una preferencia al
interés legítimo del responsable o del tercero, se deberá garantizar que queda a salvo
el derecho de oposición al tratamiento del artículo 21.1 del RGPD por parte del
particular:
“El interesado tendrá derecho a oponerse en cualquier momento, por motivos relacionados con
su situación particular, a que datos personales que le conciernan sean objeto de un tratamiento
basado en lo dispuesto en el artículo 6, apartado 1, letras e) o f), incluida la elaboración de
perfiles sobre la base de dichas disposiciones. El responsable del tratamiento dejará de tratar
los datos personales, salvo que acredite motivos legítimos imperiosos para el tratamiento que
prevalezcan sobre los intereses, los derechos y las libertades del intestado, o para la
formulación, el ejercicio o la defensa de reclamaciones”.
En definitiva, se entiende que la comunicación de datos personales al “Proyecto
Lumen” que la entidad reclamada realiza es excesiva, considerando que existen otras
formas menos intrusivas para satisfacer los intereses legítimos alegados.
Ello significa que, en este caso, no se cumple el requisito de necesidad, por cuanto la
comunicación de los datos personales incluidos en las solicitudes de retirada de
contenido en línea que formulan los usuarios no es estrictamente necesaria, en los
términos señalados. GOOGLE LLC no ha aportado ni una sola razón que justifique
incluir los datos personales en los avisos de eliminación de contenidos que traslada al
“Proyecto Lumen” para satisfacer sus propios intereses legítimos o los del tercero. Así,
no resulta si quiera necesario analizar si tales intereses existen, es decir, si son reales
y no especulativos, ni tampoco si dichos intereses son o no legítimos.
(…)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
85/137
Sobre la utilización de datos personales con las finalidades pretendidas por GOOGLE
LLC y el “Proyecto Lumen” es oportuno considerar lo establecido en el artículo 89.1 del
RGPD, referido a las garantías y excepciones aplicables al tratamiento con fines, entre
otros, de investigación científica o histórica o fines estadísticos, según el cual estos
tratamientos estarán sujetos “a las garantías adecuadas, con arreglo al presente
Reglamento, para los derechos y las libertades de los interesados”, y obliga a disponer
de medidas técnicas y organizativas, en particular para garantizar el respeto del
principio de minimización de los datos personales. Se añade que “Tales medidas
podrán incluir la seudonimización, siempre que de esa forma puedan alcanzarse
dichos fines. Siempre que esos fines pueden alcanzarse mediante un tratamiento
ulterior que no permita o ya no permita la identificación de los interesados, esos fines
se alcanzarán de ese modo”.
Y lo establecido en el artículo 21.6 del mismo Reglamento, referido al derecho de
oposición, sobre el que nada se indica en este caso a los interesados en relación con
la comunicación de datos a “Lumen”:
“6. Cuando los datos personales se traten con fines de investigación científica o histórica o
fines estadísticos de conformidad con el artículo 89, apartado 1, el interesado tendrá derecho,
por motivos relacionados con su situación particular, a oponerse al tratamiento de datos
personales que le conciernan, salvo que sea necesario para el cumplimiento de una misión
realizada por razones de interés público”.
Es preciso también considerar la repercusión que para el interesado tiene la
comunicación de datos a un tercero, el nivel de intrusismo en su privacidad y los
efectos que pueden repercutirle negativamente, especialmente considerando la
utilización que se realiza con ellos, que incluye su divulgación en la web del tercero,
“lumendatabase.org”. No es posible obviar que la referida comunicación de datos al
“Proyecto Lumen” por parte de la entidad reclamada para su publicación por este
proyecto ejerce un impacto elevado en los intereses y derechos del interesado debido
a los siguientes motivos:
1º Difícilmente puede considerarse como una expectativa del interesado que la
información respecto a la que ha solicitado su retirada del producto de Google quede
nuevamente accesible a través de otra página. Así, tal y como se desprende de la
“Búsqueda Google 2”, al introducir los términos de la búsqueda en el “Buscador de
Google” (nombre y apellido del afectado), aparece una nota informativa que remite, a
través de un hipervínculo, a una página de “lumendatabase.org”, en orden a obtener
más información acerca del contenido retirado, lo que significaría en la práctica vaciar
de contenido la solicitud o requerimiento de retirada de información efectuados.
En los “Formularios de Google 1 y 11”, habilitados para denunciar infracciones de
derechos de autor, también hacen referencia en la información que contienen a la
comunicación del “contenido de este formulario” al “Proyecto Lumen” para que pueda
publicarse, y se advierte expresamente que “En el caso de productos como la
Búsqueda web de Google, aparecerá un enlace al aviso publicado en los resultados
de búsqueda de Google en lugar del contenido retirado”.
2º GOOGLE LLC comunica los datos relativos a las solicitudes de retirada de
contenido sin anonimizar los datos personales de solicitantes y terceros, y delega en el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
86/137
“Proyecto Lumen” esta función. Sin embargo, esta anonimización a veces es
deficiente, como muestran los casos de los enlaces siguientes:
1. “Enlace Lumendatabase 3”: En el texto que muestra el parte del contenido de la
solicitud de retirada de contenido aparece una dirección completa,
***DIRECCIÓN.1, que permitiría identificar a la persona solicitante de la retirada
de contenido y que, además, según manifiesta éste, se encontraría vinculada a su
número de teléfono móvil.
3. “Enlace Lumendatabase 5”: En la sección reclamación del enlace, aparece el
nombre “I.I.I.”. Este nombre no corresponde a la persona que ha solicitado la
retirada del contenido, sino de un tercero respecto al que aquella atribuye una
conducta que considera ilícita. En este caso, por tanto, incluso se está exponiendo
el nombre identificativo de una persona respecto de la que se vierten unas
manifestaciones con implicaciones legales.
4. “Enlaces Lumendatabase 8 y 9 a 12”: Estos enlaces versan sobre la misma
solicitud de retirada de contenido. La presencia de datos personales en la sección
reclamación del enlace abarca desde la constancia del nombre completo y los dos
apellidos (“B.B.B.”) en el enlace nº 8 hasta la aparición de únicamente el nombre
“(…)” en el enlace nº 11. El resto de los enlaces publican diversas combinaciones
del nombre y de alguno de los apellidos, tal y como se ha puesto de manifiesto en
los Antecedentes.
5. “Enlace Lumendatabase 18”. En este enlace subsiste sin anonimizar el nombre
del remitente de la solicitud de retirada de contenido (“C.C.C.”) y en el que,
además, son legibles otros dos nombres propios “G.G.G.” -en la sección
reclamación del enlace- y “D.D.D.” -en la dirección del enlace.
6. “Enlace Lumendatabase 22”: Al igual que en el supuesto anterior, en este caso
subsiste asimismo el nombre del remitente de la notificación de retirada de
contenido “F.F.F.”.
7. “Enlace Lumendatabase 25”. En la sección resumen de la solicitud de retirada,
aparece el nombre “P.P.P.”, que se correspondería, con la persona afectada por la
presunta difamación.
8. “Enlace Lumendatabase 26”: Al igual que en otros casos relacionados
anteriormente, subsiste el nombre del remitente de la notificación de retirada de
contenido, “H.H.H.”.
3º GOOGLE LLC comunica documentos judiciales íntegros al “Proyecto Lumen” sin
anonimizar ningún dato personal. No puede desconocerse que el “Proyecto Lumen”,
aun cuando manifiesta que intentará respetar la normativa aplicable en función del
ámbito territorial en que el órgano judicial radique, se ubica en un país que no ejerce
censura sobre los mismos debido a la consideración de documentos públicos de que
gozan los documentos judiciales en Estados Unidos y por lo tanto no aplica
correctamente las medidas adecuadas para asegurar que la publicación de
documentos judiciales es acorde con la normativa del país en que se han dictado.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
87/137
En el caso concreto de España, las sentencias judiciales no son fuente de acceso
público con carácter general y su publicación por parte de los órganos encargados de
ello (con excepciones atinentes a sentencias del Tribunal Constitucional) se realiza
anonimizando y disociando los datos de personas físicas. La divulgación de datos de
carácter personal provenientes de sentencias únicamente podrá realizarse en los
supuestos que determina la Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial y en
aquellos supuestos en que, de acuerdo con la doctrina emanada del Tribunal
Constitucional, pueda considerarse que en que, realizada la preceptiva ponderación
entre los derechos garantizados por los artículos 18 y 20 de la Constitución Española,
pueda afirmarse que prima la libertad de expresión sobre el derecho a la protección de
datos personales.
Por otra parte, se recuerda que el acceso a las sentencias judiciales habrá de
realizarse de conformidad con el Real Decreto 937/2003, de 18 de julio, de
modernización de los archivos judiciales.
Un supuesto que haría referencia a lo referido en los párrafos anteriores lo conforma el
documento judicial que pudo ser descargado a través del “Enlace Lumendatabase 18”
en el que, de acuerdo con la documentación aportada por el denunciante, constan
nombres de varias personas físicas que han tomado parte en el procedimiento judicial.
4º Independientemente de lo señalado en los ordinales anteriores, es posible, además,
acceder al enlace original retirado o desindexado, ya que el “Proyecto Lumen” facilita
un mecanismo de solicitud de acceso al enlace completo.
5º Por último, se señala que una misma información puede ser accesible a través de
diferentes enlaces de “lumendatabase.org”, lo que evidenciaría la ausencia de un
protocolo o de implementación de medidas técnicas para verificar la información que
se publica en la base de datos de “lumendatabase.org”. Es posible encontrar estos
casos en:
1. El supuesto anteriormente citado relativo a los “Enlaces Lumendatabase 8 y 9 a
12”, que al referirse a la misma solicitud de contenido suponen la puesta a
disposición de estos datos de manera quintuplicada.
2. Por otra parte, en escrito de contestación al traslado, la reclamada puso de
manifiesto la retirada del contenido del “Enlace Lumendatabase 16”. Sin embargo,
la información contenida en ese enlace ha persistido, con posterioridad, a través
del “Enlace Lumendatabase 18”.
En consecuencia, de conformidad con todo lo expuesto anteriormente, el interés
legítimo invocado por GOOGLE LLC no prevalece frente los derechos y libertades
fundamentales de los interesados en la protección de sus datos personales, por lo que
no cabe considerar que el tratamiento de datos personales que lleva a cabo esté
amparado por el interés legítimo que prevé el artículo 6.1.f) del RGPD.
Consentimiento
En otro orden, no puede decirse que la firma del formulario de solicitud de retirada de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
88/137
contenido en los productos de GOOGLE LLC, en los que se informa sobre el traslado
de la notificación de eliminación al “Proyecto Lumen”, incluidos los datos personales
que se reflejan en la misma, pueda considerarse una prestación de consentimiento
válido para que dicha comunicación de datos se lleve a efecto.
Para que concurra el supuesto del consentimiento del interesado, es necesario que el
mismo esté vinculado a los fines concretos del tratamiento de sus datos. Respecto de
su forma, de acuerdo con el artículo 4 del RGPD deberá ser una “manifestación de
voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya
sea mediante una declaración, o una clara acción afirmativa, el tratamiento de los
datos persones que le conciernen”.
Asimismo, según el Considerando 32:
“El consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación
de voluntad libre, específica, informada e inequívoca del interesado de aceptar el tratamiento
de datos de carácter personal que le concierten, como una declaración por escrito, inclusive
por medios electrónicos, o una declaración verbal. Esto podría incluir marcar una casilla de un
sitio web en internet, escoger parámetros técnicos para la utilización de servicios de la
sociedad de la información, o cualquier otra declaración o conducta que indique claramente en
este contexto que el interesado acepta la propuesta de tratamiento de sus datos personales
[…]El consentimiento debe darse para todas las actividades de tratamiento realizadas con el
mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el
consentimiento para todos ellos […]”.
Abundando en esta necesidad de declaración clara e inequívoca, el Considerando 42
establece que:
“Cuando el tratamiento se lleva a cabo con el consentimiento del interesado, el responsable del
tratamiento debe ser capaz de demostrar que aquel ha dado su consentimiento a la operación
de tratamiento. En particular en el contexto de una declaración por escrito efectuada sobre otro
asunto, debe haber garantías de que el interesado es consciente del hecho de que da su
consentimiento y de la medida en que lo hace. De acuerdo con la Directiva 93/13/CEE del
Consejo [de 5 de abril de 1993, sobre las cláusulas abusivas en los contratos celebrados con
consumidores], debe proporcionarse un modelo de declaración de consentimiento elaborado
previamente por el responsable del tratamiento con una formulación inteligible y de fácil acceso
que emplee un lenguaje claro y sencillo, y que no contenga cláusulas abusivas. Para que el
consentimiento sea informado, el interesado debe conocer como mínimo la identidad del
responsable del tratamiento y los fines del tratamiento a los cuales están destinados los datos
personales. El consentimiento no debe considerarse libremente prestado cuando el interesado
no goza de verdadera o libre elección o no puede denegar o retirar su consentimiento sin sufrir
perjuicio alguno”.
Asimismo, el artículo 7 del RGPD enumera las condiciones que deben concurrir para
el otorgamiento del consentimiento:
“1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá
ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales.
2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que
también se refiera a otros asuntos, la solicitud del consentimiento se presentará de tal forma
que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y
utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
89/137
constituya infracción del presente Reglamento.
3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada
del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a
su retirada. Antes de dar su consentimiento, el interesado será informado de ello Será tan fácil
retirar el consentimiento como darlo.
4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor
medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la
prestación de un servicio, se supedita al consentimiento de datos personales que no son
necesarios para la ejecución de dicho contrato”.
En consecuencia, y de acuerdo con los preceptos transcritos, para considerar válido el
consentimiento otorgado este deberá ser informado, referirse de manera específica a
finalidades concretas, prestarse de manera libre y ser inequívoco.
En primer lugar, en relación con la necesidad de que el consentimiento sea informado,
habrá que acudir al artículo 13 el RGPD, que se convierte en el vector del principio de
transparencia consagrado en el artículo 5.1 del RGPD.
Sobre la deficiente información facilitada, sirven los argumentos expresados
anteriormente.
Analizando los formularios que GOOGLE LLC pone a disposición de los usuarios
para solicitar la retirada de información, se observa que en los enlaces relacionados
con la denuncia de infracciones relacionadas con derechos de autor (“Formularios de
Google 1 y 11”) se informa de que “se enviará” una copia de las notificaciones a uno o
varios terceros (poniendo como ejemplo al “Proyecto Lumen”), mientras que en los
relativos a solicitudes de retirada de contenido “Formularios Google 3, 6, 8, 10, 12, 13,
14, 15, 16, 19, 20, 22, 25 y 26”) se señala que “es posible que se envíe” una copia de
las notificaciones al “Proyecto Lumen” para su publicación. En el último caso se deja
claro que el “Proyecto Lumen” será quien se encargue de retirar la información de
contacto personal, lo que se une a que es el propio proyecto el que anonimiza la
información que considera sensible.
La comparación entre el artículo 13 del RGPD con la información proporcionada en los
formularios, pone de relieve la falta de información imprescindible, como es la relativa
a todos los fines del tratamiento (en los supuestos de retirada de contenido no queda
claro si la información aportada, además de ser utilizada para analizar y gestionar la
retirada va a ser o no comunicada y en qué casos), los terceros a los que se
comunican los datos (en las denuncias por infracción de los derechos de autor se
habla de uno o varios terceros), así como algo fundamental, como es la información
referente acerca de la base jurídica que sirve de base a dicha comunicación de datos
o si la misma responde a algún interés legítimo del responsable o del tercero.
En segundo lugar, el requisito de especificidad se vincula íntimamente con el requisito
de consentimiento “informado”, por lo que al no cumplirse esto último, tal y como se ha
expuesto, difícilmente el interesado podrá obtener una información precisa acerca de
una finalidad diferente en el tratamiento de sus datos a la de gestión de la retirada de
contenido. En este punto es necesario recordar, tal y como se ha señalado
anteriormente, que la comunicación de datos al “Proyecto Lumen” (o a cualquier otro
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
90/137
tercero) no es requisito imprescindible para la efectiva gestión de retirada de contenido
por parte de GOOGLE LLC. Para poder cumplir con el requisito de un consentimiento
específico, GOOGLE LLC debería posibilitar que el mismo fuera otorgado de manera
independiente a la solicitud de retirada de contenido, a través de la modalidad que se
ha venido denominando granular o por capas.
En tercer lugar, un consentimiento prestado libremente significa que el interesado que
rellena el formulario ha de tener una opción real para no otorgar el consentimiento de
comunicación de sus datos al “Proyecto Lumen”, sin que ello implique ninguna
penalización en el uso del servicio de retirada de contenido o reclamación. Sin
embargo, en los formularios estudiados esto no ocurre, ya que la cesión de datos al
“Proyecto Lumen” viene incluida incondicionalmente con la propia solicitud de retirada
de contenido o denuncia, sin que quepa la posibilidad de elegir esta cesión o no y con
el agravante de que no otorgar el consentimiento global implica no poder interponer la
denuncia o solicitar el contenido, algo que podría conculcar el derecho supresión
enunciado en el artículo 17 del RGPD. Al igual que ocurría con el cumplimiento del
requisito de especificidad, para poder configurarse como requisito libre, es necesario
garantizar que el consentimiento de comunicación de datos al “Proyecto Lumen” se
presta de manera independiente y desvinculado de la solicitud de retirada de
contenido o denuncia de infracción.
Por último, en cuarto lugar y respecto a la no equivocidad, este requisito se
manifestaría en que, del uso del servicio de retirada de contenidos que hace el
interesado, debería extraerse la conclusión indubitada de que la citada persona acepta
que sus datos se comuniquen al “Proyecto Lumen”. Sin embargo, habida cuenta, tal y
como se ha expuesto en los párrafos anteriores, de que no se ofrece una información
clara y precisa acerca de la finalidad y su base jurídica, y de que no puede
considerarse libre el presunto consentimiento otorgado ya que ostenta una naturaleza
condicional (si no desea ceder sus datos no puede solicitar la retirada de contenido),
no es posible concluir de una manera racional que nos encontremos ante una
declaración clara y no ambigua de que el interesado desea comunicar los datos de su
solicitud a un tercero como el “Proyecto Lumen”.
Frente a todo lo expuesto en este Fundamento de Derecho VI, en su escrito de
alegaciones a la propuesta de resolución GOOGLE LLC se limita a señalar que los
intereses legítimos alegados, de la propia entidad reclamada, del “Proyecto Lumen” y
de la sociedad en general, no son sobrevenidos, sino que son previos a las cesiones a
Lumen; y que no se defrauda la expectativa de privacidad de los usuarios, dado que
son informados en los formularios.
En respuesta a esta alegación basta con remitirnos a lo ya expuesto anteriormente
sobre los defectos apreciados en la información que la reclamada ofrece a los
interesados en relación con las comunicaciones que realiza al “Proyecto Lumen”, en la
que ni siquiera se menciona la base jurídica que legitima la comunicación de datos. El
interés legítimo solo se menciona en los escritos de respuesta aportados a esta
Agencia por GOOGLE LLC, pero en forma alguna en la información facilitada a los
usuarios.
(…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
91/137
Termina GOOGLE LLC manifestando en su escrito de alegaciones que “Ninguna de
las circunstancias señaladas por la Agencia para cuestionar la aplicación de dicha
base legal puede negar el interés legítimo de Google LLC, Lumen y la sociedad en
general, ni tampoco puede entenderse que inclinen el test de ponderación en favor de
los derechos y libertades de los interesados”, pero no expone ningún razonamiento
para defender esta afirmación.
Por último, interesa destacar que en el escrito de alegaciones a la propuesta de
resolución presentado por GOOGLE LLC, esta entidad se declara responsable de la
comunicación de datos relacionados con solicitudes de retiradas de contenido al
“Proyecto Lumen”. Sobre esta cuestión, GOOGLE LLC manifiesta expresamente lo
siguiente:
“En efecto… Google LLC, es la entidad responsable del tratamiento de los datos personales
que ha tenido lugar en el contexto de las comunicaciones de solicitudes de retirada a Lumen.
Precisamente por este motivo el presente procedimiento fue correctamente iniciado frente a
Google LLC”.
En consecuencia, de conformidad con las evidencias expuestas, los citados hechos
suponen una vulneración de lo dispuesto en el artículo 6 del RGPD, que da lugar a la
aplicación de los poderes correctivos que el artículo 58 del citado Reglamento otorga a
la Agencia Española de Protección de datos.
VII
El derecho de supresión (“Derecho al olvido”) se regula en el artículo 17 del RGPD,
que dispone lo siguiente:
“1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento
la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin
dilación indebida los datos personales cuando concurra alguna de las circunstancias
siguientes:
a) los datos personales ya no sean necesarios en relación con los fines para los que fueron
recogidos o tratados de otro modo;
b) el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el
artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro
fundamento jurídico;
c) el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no
prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al
tratamiento con arreglo al artículo 21, apartado 2;
d) los datos personales hayan sido tratados ilícitamente;
e) los datos personales deban suprimirse para el cumplimiento de una obligación legal
establecida en el Derecho de la Unión o de los Estados miembros que se aplique al
responsable del tratamiento;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
92/137
f) los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad
de la información mencionados en el artículo 8, apartado 1.
2.Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto
en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la
tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas
medidas técnicas, con miras a informar a los responsables que estén tratando los datos
personales de la solicitud del interesado de supresión de cualquier enlace a esos datos
personales, o cualquier copia o réplica de los mismos.
3.Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
a) para ejercer el derecho a la libertad de expresión e información;
b) para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta
por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del
tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio
de poderes públicos conferidos al responsable;
c) por razones de interés público en el ámbito de la salud pública de conformidad con el
artículo 9, apartado 2, letras h) e i), y apartado 3;
d) con fines de archivo en interés público, fines de investigación científica o histórica o fines
estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho
indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los
objetivos de dicho tratamiento, o
e) para la formulación, el ejercicio o la defensa de reclamaciones”.
Sobre el derecho al olvido se pronuncia asimismo el Considerando 65, cuando declara
que:
“Los interesados deben tener derecho a que se rectifiquen los datos personales que le
conciernen y un «derecho al olvido» si la retención de tales datos infringe el presente
Reglamento o el Derecho de la Unión o de los Estados miembros aplicable al responsable del
tratamiento. En particular, los interesados deben tener derecho a que sus datos personales se
supriman y dejen de tratarse si ya no son necesarios para los fines para los que fueron
recogidos o tratados de otro modo, si los interesados han retirado su consentimiento para el
tratamiento o se oponen al tratamiento de datos personales que les conciernen, o si el
tratamiento de sus datos personales incumple de otro modo el presente Reglamento. Este
derecho es pertinente en particular si el interesado dio su consentimiento siendo niño y no se
es plenamente consciente de los riesgos que implica el tratamiento, y más tarde quiere suprimir
tales datos personales, especialmente en internet. El interesado debe poder ejercer este
derecho aunque ya no sea un niño. Sin embargo, la retención ulterior de los datos personales
debe ser lícita cuando sea necesaria para el ejercicio de la libertad de expresión e información,
para el cumplimiento de una obligación legal, para el cumplimiento de una misión realizada en
interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento,
por razones de interés público en el ámbito de la salud pública, con fines de archivo en interés
público, fines de investigación científica o histórica o fines estadísticos, o para la formulación, el
ejercicio o la defensa de reclamaciones”.
En el presente caso, interesa destacar algunos aspectos sobre los sistemas diseñados
y mecanismos habilitados por GOOGLE LLC para que los interesados puedan
gestionar o requerir la supresión de sus datos personales tratados por esta entidad.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
93/137
En relación con el ejercicio de los derechos que el RGPD reconoce a los interesados
titulares de los datos personales, la Política de Privacidad disponible en el sitio web
“google.com” contiene la única referencia siguiente:
“Si la normativa de protección de datos de la Unión Europea es de aplicación al tratamiento de
tu información, te proporcionaremos los controles que se describen en esta política para que
puedas ejercitar tu derecho a solicitar el acceso a tus datos, actualizarlos, retirarlos y restringir
su tratamiento. También tienes derecho a oponerte al tratamiento de tu información o a
exportarla a otro servicio” (párrafo introducido por primera vez en la actualización de fecha
22/01/2019, en la que se añadió un nuevo apartado con el rótulo “Requisitos europeos”).
Asimismo, además de señalar que existen funciones de privacidad específicas en los
productos de Google, se ofrecen diversas opciones para la gestión y control de los
datos personales (se puede revisar y actualizar la información personal en cualquier
momento iniciando sesión de la “cuenta de Google”, se dispone de un espacio para
establecer controles de actividad, configurar anuncios o controlar la información que se
compartirá con otros usuarios…).
También se insertan enlaces a distintas herramientas habilitadas para ello, como las
siguientes:
. “Revisión de Privacidad”, para ajustar el historial de búsqueda, reproducciones e
historial de Youtube o configuración de anuncios;
. “Mi actividad”, para consultar y eliminar la actividad en sitios web de Google y en
aplicaciones, o el historial de ubicación y de Youtube;
. “Panel de control”, que permite “gestionar la información asociada a productos
específicos”, como Youtube, Gmail, Google Play, Calendario y otros;
. El espacio “Tu información personal”, a través del cual puede gestionarse la
información de contacto, como el nombre, la dirección de correo electrónico, el número
de teléfono o los perfiles que se muestran al usar los productos de Google.
En cuanto a la eliminación de los datos personales, se añade que existe la posibilidad
de eliminar contenido personal de “servicios específicos de Google”; buscar elementos
específicos y eliminarlos de la cuenta de usuario mediante “Mi Actividad”; “eliminar
productos concretos de Google”, incluida la información asociada al producto; o
“eliminar tu Cuenta de Google por completo”.
De manera específica, se informa en la Política de Privacidad que es posible “solicitar
que se retire contenido” de determinados servicios de Google de acuerdo con las leyes
aplicables. Esta información incluye un enlace que da acceso a la página de entrada
de Google para la solicitud de retirada de contenido en la que se listan diversos
productos de la compañía. En esta página, el solicitante puede elegir a cuál de dichos
productos se refiere su solicitud de retirada de contenido y, una vez seleccionado el
producto de que se trate, el sistema pone a disposición del usuario el formulario
específico habilitado por GOOGLE LLC para formular la solicitud, según los detalles
que se exponen más adelante (Formularios Google 2, 4, 5, 7, 9, 17, 21 y 23).
A pesar de la complejidad de este sistema implementado por GOOGLE LLC, la
Política de Privacidad no hace referencia ni contiene ningún enlace que conduzca a un
formulario específico de ejercicio de derechos en materia de protección de datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
94/137
personales.
Sí ha dispuesto un procedimiento específico para que los interesados puedan solicitar,
“por motivos de privacidad”, la retirada de resultados obtenidos en búsquedas con el
nombre de la persona como criterio y habilitado un formulario específico denominado
“Retirada en virtud de la ley de privacidad de la UE”, que no se menciona en la Política
de Privacidad. Este formulario, el único disponible que contiene una referencia expresa
a la normativa de protección de datos personales, se encuentra accesible a través del
sitio web “google.com”, en la URL “https://www.google.com/webmasters/tools/legal-
removal-request?complaint_type=rtbf&visit_id=637759350971490255-
235171692&hl=es&rd=1”.
En este formulario, GOOGLE LLC se declara responsable del tratamiento de datos
personales al ofrecer resultados de la “Búsqueda de Google” y de gestionar las
solicitudes de retirada enviadas mediante dicho formulario.
El solicitante debe indicar la información personal que desea retirar y su ubicación
(“las URL del contenido que incluya la información personal que quieres retirar”), el
nombre que, si se utiliza como consulta de búsqueda, produce los resultados a los que
se refiere la solicitud de eliminación y el motivo de la eliminación para cada URL (“(1)
cómo se relaciona la información personal identificada anteriormente con la persona
en cuyo nombre presentas esta solicitud; y (2) por qué crees que esta información
personal debe retirarse”).
En el mismo formulario se informa expresamente:
“Con este formulario, puedes solicitar que se retiren determinados resultados de la Búsqueda
de Google devueltos en consultas que incluyen tu nombre”.
“Si quieres solicitar que se retire información personal de otro producto de Google, envía una
solicitud mediante el formulario de ese producto, que puedes encontrar en la página “Cómo
retirar contenido de Google”. Por ejemplo, si quieres solicitar la retirada de información
personal de Blogger, envía una solicitud a través del formulario de Blogger correspondiente…” .
El enlace “Cómo retirar contenido de Google” insertado en esta información conduce a
la página en la que se listan diversos productos de “Google”, a través de la cual se
accede a los formularios de retirada de contenidos habilitados para cada uno de estos
productos. Esta página es la misma a la que se accede mediante el enlace “solicitar
que se retire contenido” incluido en la Política de Privacidad, antes señalado.
A través del sitio web “google.com” puede también accederse a la página “Cómo
retirar contenido de Google”, que coincide con la reseñada como “Formularios Google
2, 4, 5, 7, 9, 17, 21 y 23”.
Esta página da entrada a los formularios habilitados por GOOGLE LLC para que los
usuarios puedan solicitar la retirada de contenidos en línea para cada uno de los
productos que se listan en la misma (según la información ofrecida, “Esta página le
permitirá acceder al sitio adecuado para informar del contenido que quieras retirar de
los servicios de Google de acuerdo con las leyes aplicables”).
En el Antecedente Sexto se detalla la lista completa de los productos y servicios
incluidos en esta página.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
95/137
En las actuaciones se han realizado comprobaciones (constan detalladas en los
Antecedentes Sexto y Décimo) en relación con los productos Blogger/Blogspot,
Chrome Web Store/galería de extensiones, Google Classroom, Grupos de Google,
Google Help Communities, Poly, Feedburner, Data Studio, Cloud Firestore, Google
Imágenes, Google Photos y Picasa Web Album, Drive y Documentos, Búsqueda de
Google, Google Maps y productos relacionados, Google + y Google News
(“Formularios Google 3, 6, 8, 10, 12, 13, 14, 15, 16, 18, 19, 20, 22, 24, 25, 26 y 27,
respectivamente).
Con carácter general, al pulsar un producto en la página “Cómo retirar contenido de
Google” se accede a una nueva página que permite crear una solicitud de retirada de
contenidos en línea.
Previamente, se ofrecen distintas opciones sobre el motivo de la solicitud. A
continuación, se enumeran los distintos motivos que se muestran en estos formularios,
en el apartado “¿En qué podemos ayudarte?”, para que el interesado seleccione aquel
que sirve de base a su solicitud (en el Antecedente sexto se indican cuáles de estos
motivos se incluyen en cada uno de los formularios incorporados a las actuaciones):
( ) Quiero cambiar la información incorrecta de mi ficha local
( ) Quiero saber por qué se ha cambiado la información de mi ficha local
( ) Información personal: el contenido incluye mis datos personales
( ) Problema de propiedad intelectual: denunciar una infracción de derechos de autor, elusión,
etc.
( ) Orden judicial: una sentencia judicial ha determinado que un contenido concreto es ilegal
( ) Problema legal: problema legal que no aparece en la lista
( ) Material con imágenes de abuso sexual infantil: representación visual de prácticas sexuales
explícitas con menores”.
( ) Infracción de derechos de autor: mi obra protegida por derechos de autor se está utilizando
ilegalmente sin autorización
( ) Contranotificación: apelación destinada a restaurar contenido que se retiró debido a una
reclamación por infracción de derechos de autor
( ) Elusión: una herramienta elude las medidas tecnológicas de protección de los derechos de
autor
( ) Me gustaría informar sobre software malintencionado, suplantación de identidad, divulgación
de datos privados u otras incidencias similares.
( ) Quiero informar de un blog que suplanta mi identidad.
( ) Quiero informar sobre la divulgación de información o imágenes de desnudos privadas
( ) Quiero informar de contenido intimidatorio y acosador.
( ) Marca: mi marca se está utilizando de un modo que puede causar confusión
( ) Denunciar contenido violento o que incite al odio, la divulgación de datos personales o la
promoción de bienes y servicios
( ) Deseo denunciar un caso de suplantación de identidad, spam, software malicioso u otros
usos inadecuados en un archivo de Google Docs o Google Drive
( ) Derecho al olvido: solicitud de retirada de información de acuerdo con la legislación europea
en materia de protección de datos
( ) Difamación: el contenido me difama a mí o a mi empresa u organización
Al seleccionar una de estas opciones se accede a una nueva página, en la que se
permite crear la solicitud (“Haga clic en Crear solicitud para enviar una solicitud a
nuestro equipo”).
En relación con los productos “Google Maps”, “Google News” y “Drive y documentos”,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
96/137
se ha verificado el proceso seleccionando entre los motivos de la solicitud la opción
“Información personal: el contenido incluye mis datos personales”. En todos los casos
se mostró un formulario de recogida de datos con la información siguiente:
“Formulario para solicitar la retirada de información personal
Por motivos de privacidad, es posible que tenga derecho a solicitar que se retire determinada
información personal relacionada con usted.
Este formulario se utiliza para solicitar la retirada de determinado contenido del producto de
Google que ha seleccionado. Si desea solicitar la retirada de información personal de otro
producto de Google, envíe una solicitud a través del formulario del producto correspondiente,
disponible en nuestra página “Cómo retirar contenido de Google”.
Por ejemplo, si desea solicitar que se retiren determinados resultados de la Búsqueda de
Google correspondientes a consultas que incluyan su nombre, envíe una solicitud a través del
formulario de la Búsqueda de Google correspondiente
Al recibir una solicitud, Google busca un equilibrio entre el derecho a la privacidad del individuo
afectado y el derecho del público general a tener acceso a la información, así como el derecho
de otros usuarios a distribuirla. Por ejemplo, Google puede negarse a retirar determinada
información sobre estafas financieras, negligencia profesional, condenas penales o
comportamiento público de funcionarios del gobierno”.
Se ha comprobado que el enlace “formulario de la Búsqueda de Google” insertado en
ese texto informativo conduce al formulario de solicitud de “Retirada en virtud de la ley
de privacidad de la UE”.
La solicitud que se genera con el proceso descrito, que el interesado debe
cumplimentar y enviar, incluye campos para que el solicitante facilite sus datos
relativos a país de residencia, nombre completo y dirección de correo electrónico de
contacto; así como el nombre y apellidos de la persona a la que representa, “URL del
contenido que incluya la información personal que desea que se retire”, “la información
personal que desea que se retire” y “los motivos de la retirada”.
Es importante reseñar, por otra parte, que la página “Cómo retirar contenido de
Google” en la que se listan diversos productos de “Google”, a través de la cual se
accede a los formularios de retirada de contenidos habilitados para cada uno de ellos,
se incluye también el producto “Búsqueda de Google”.
Al pulsar este producto se accede a una nueva página que permite crear una solicitud
de retirada de contenidos en línea. En esta página se ofrecen las opciones siguientes:
“¿En qué podemos ayudarte?
( ) Quiero informar de software malicioso, phishing o problemas similares.
( ) Un contenido que solicité que se retirara sigue apareciendo en los resultados de búsqueda,
a pesar de que el webmaster ya lo ha eliminado.
( ) Retirar información personal de Google de acuerdo con las políticas de nuestros productos
(información personal identificable, doxxing, imágenes explícitas no consentidas, etc.).
( ) Información personal: solicitar que se retire información personal mía de los resultados de
búsqueda de Google.
( ) Problema de propiedad intelectual: denunciar una infracción de derechos de autor, elusión,
etc.
( ) Otro problema legal: denunciar contenido por otro motivo legal no incluido en la lista” .
Con la opción “Información personal: solicitar que se retire información personal mía
de los resultados de búsqueda de Google” se accede a una nueva página para
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
97/137
retirada de contenidos, en la que se ofrecen nuevas opciones al interesado:
“Elige una de las siguientes opciones:
( ) Retirar información personal de Google de acuerdo con las políticas de nuestros productos
(información personal identificable, doxxing, imágenes explícitas no consentidas, etc.)
( ) Derecho al olvido: solicitud de retirada de información de acuerdo con la legislación europea
en materia de protección de datos
( ) Difamación: el contenido me difama a mí o a mi empresa u organización”.
Al seleccionar una de estas opciones, se permite crear la solicitud (“Haga clic en Crear
solicitud para enviar una solicitud a nuestro equipo”).
La opción “Derecho al olvido” conduce al formulario “Retirada en virtud de la ley de
privacidad de la UE”.
Para la opción “Difamación” se muestra un formulario de recogida de datos con la
información siguiente:
“Solicitar la retirada de contenido por motivos legales.
Si cree que ha encontrado contenido que es ilegal en su país, puede utilizar este formulario
para enviar una reclamación.
Identifique las URL exactas del contenido en cuestión y explique detalladamente por qué cree
que ese contenido es ilegal. Evaluaremos su solicitud teniendo en cuenta nuestras políticas de
retirada de contenido, la revisaremos y adoptaremos las medidas oportunas”.
“Para que sea lo más preciso posible, cite exactamente el texto de las URLs indicadas arriba
que considera que infringe sus derechos. Si el contenido presuntamente infractor es una
imagen o un vídeo, proporcione una descripción detallada de ese contenido para que podamos
localizarlo en la URL en cuestión”.
“Si la infracción afecta a varios productos de Google, debe enviar una notificación por cada
producto afectado”.
Este formulario incluye campos para que el solicitante facilite los datos siguientes: país
de residencia, nombre completo del solicitante, nombre de la empresa, nombre de la
empresa o de la organización cuyos derechos legales representa, dirección de correo
electrónico de contacto y la URL presuntamente infractoras. Se pide, asimismo, al
solicitante que “Explique detalladamente por qué cree que el contenido de las URLs
indicadas arriba es ilegal y cite las disposiciones legales específicas si es posible”.
Estos formularios, que aparecen en las actuaciones señalados como “Formularios de
Google 3, 6, 8, 10, 12, 13, 14, 15, 16, 19, 20, 22, 25, 26 y 27”, como ya se ha indicado,
informan a los usuarios que GOOGLE LLC puede enviar (“es posible que enviemos”)
una copia de las notificaciones legales que reciba al “Proyecto Lumen” para su
publicación y anotación. La información que se comunica a “Lumen” y la publicación
que esta entidad realiza en su web “lumendatabase.org” ha quedado expuesta en el
Fundamento de Derecho anterior.
Se indica, además, que la propia entidad GOOGLE LLC puede publicar en su “Informe
de Transparencia” información de la notificación de retirada “similar” a la publicada en
“lumendatabase.org”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
98/137
(…)
(…)
Añade a este respecto que el elemento esencial que determina la aplicación del
artículo 17 RGPD es la finalidad de la solicitud y, en consecuencia, el derecho
invocado y ejercido por el individuo, el régimen legal en el cual el sujeto fundamenta la
solicitud de retirada de contenido.
Y aclara que estas solicitudes de retirada de contenido se valoran realizando análisis
legales y test en función del motivo por el que presenta su solicitud. Por ejemplo, las
solicitudes de desindexación por motivos de difamación, a falta de una decisión
judicial, se analizan según la normativa local que regula la difamación y no sobre la
base del RGPD.
Sin embargo, en los casos de retiradas de contenidos de productos y servicios
analizados es difícil deducir si la solicitud se formula invocando la normativa de
protección de datos personales, sencillamente porque esta normativa no se menciona
en ninguno de los formularios, con independencia del motivo que el interesado
seleccione de entre las opciones propuestas, salvo en el formulario denominado
“Retirada en virtud de la ley de privacidad de la UE”, el único disponible que contiene
una referencia expresa a esta normativa, como se ha dicho.
Si atendemos a lo manifestado por GOOGLE LLC, esto supone que dicha entidad
considera que las solicitudes de retirada de contenido en línea para los productos de
“Google” que se formulen sirviéndose de los mecanismos a los que da acceso la
página “Cómo retirar contenido de Google”, en ningún caso se considera un ejercicio
de derecho de supresión regulado en el artículo 17 del RGPD y en ningún caso se
analiza y resuelve por la entidad responsable conforme a la normativa de protección
de datos personales.
Ello es así a pesar de que muchos de los motivos que se muestran en los formularios
en cuestión para que sean marcados por los usuarios interesados están directamente
relacionados con el tratamiento de datos personales, o pueden estarlo en la intención
de éste al efectuar su selección. Véanse como ejemplo las siguientes opciones,
teniendo presente en todo momento que la cuestión analizada tiene que ver con
solicitudes de retirada de contenido en línea:
( ) Quiero cambiar la información incorrecta de mi ficha local
( ) Información personal: el contenido incluye mis datos personales
( ) Me gustaría informar sobre software malintencionado, suplantación de identidad, divulgación
de datos privados u otras incidencias similares.
( ) Quiero informar de un blog que suplanta mi identidad.
( ) Quiero informar sobre la divulgación de información o imágenes de desnudos privadas
( ) Denunciar contenido violento o que incite al odio, la divulgación de datos personales o la
promoción de bienes y servicios
Con la opción “Información personal: el contenido incluye mis datos personales”,
incluso, se accede a un formulario que se presenta como “Formulario para solicitar la
retirada de información personal. Por motivos de privacidad…”, que tampoco invoca la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
99/137
normativa de protección de datos personales.
Y no solo eso. Estos formularios ni siquiera emplean los términos “datos personales”.
Además, el sistema diseñado por GOOGLE LLC, que conduce al interesado a través
de diversas páginas para llegar a cumplimentar su solicitud, obligándole previamente a
marcar las opciones que se ofrecen, puede provocar que éste termine marcando una
opción que se adapte a los motivos que considera apropiados a su interés, pero que le
aparta de su intención originaria, que puede estar claramente vinculada a la protección
de sus datos personales, desconociendo que estas opciones le sitúan en un régimen
normativo distinto porque así lo ha querido GOOGLE LLC o que su solicitud se
resolverá según las políticas internas establecidas por esta misma entidad.
Tampoco nada asegura que un usuario no haya advertido la existencia del contenido
que pretende retirar a través del “Buscador de Google”, que también ofrece entre los
resultados de búsqueda contenidos ubicados en otros productos de “Google”, y que su
intención fuera la desindexación de dicho contenido y sus datos personales.
En los casos analizados, solo GOOGLE LLC sabe qué solicitudes responden a un
criterio u otro, lo que equivale a decir que solo GOOGLE LLC sabe qué solicitudes se
resolverán de conformidad con unas reglas u otras. Es tanto como dejar a criterio de
GOOGLE LLC la decisión sobre cuándo aplica y cuándo no el RGPD, y esto supondría
aceptar que esta entidad pueda eludir la aplicación de la normativa de protección de
datos personales y, más concretamente para este caso, aceptar que el derecho de
supresión de datos personales quede condicionado por el sistema de eliminación de
contenidos diseñado por la entidad responsable.
El efecto puede ser que no se supriman datos personales que el interesado desee
eliminar en casos en que la normativa de protección de datos personales ampare esta
supresión.
No hay otro formulario sobre ejercicios de derechos de protección de datos personales
que el denominado “Retirada en virtud de la ley de privacidad de la UE”, y GOOGLE
LLC lo trata, correctamente, como un ejercicio del derecho al olvido porque está
previsto para solicitudes de eliminación de resultados del “Buscador de Google” en
búsquedas con el nombre de una persona como criterio. Pero no hay ningún otro
formulario para el derecho de supresión de datos regulado por el RGPD.
Ya sabemos que el ejercicio de estos derechos no está sujeto a forma y que un
interesado puede formular la solicitud con un simple escrito elaborado por él mismo.
Pero lo que se analiza aquí es la idoneidad y legalidad de los mecanismos habilitados
por GOOGLE LLC para que un usuario pueda solicitar la supresión de sus datos
personales cuando esta supresión implique la eliminación de contenidos en línea de
los productos y servicios que la entidad presta, considerando que la existencia de
estos medios puede llevar al interesado a utilizarlos, desconociendo el verdadero
alcance y efectos que tendrá en relación con sus propósitos el hecho de servirse de
ellos.
Es importante destacar que la información que la Política de Privacidad ofrece sobre el
derecho de supresión, la forma de ejercerlo y los medios a disposición del interesado,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
100/137
en el apartado “Exportar, retirar y eliminar tu información”, informa expresamente que
se puede “solicitar que se retire contenido de determinados servicios de Google de
acuerdo con las leyes aplicables”. Esta información incluye un enlace que da acceso a
la página “Cómo retirar contenido de Google” en la que se listan los productos y
servicios y que conduce a los formularios que se analizan. Se entiende que si la
Política de Privacidad se refiere a “eliminación de información” y a “retirar contenidos”
se está refiriendo al derecho de supresión de datos personales.
No puede aceptarse, por tanto, que la Política de Privacidad conduzca a este sitio
web, en el que se ponen a disposición del usuario medios para el ejercicio del derecho
de supresión, con el que se persigue la eliminación de contenidos (debe entenderse
que se refiere a datos personales) y, posteriormente, las solicitudes que se formulan
no se traten como tales, a criterio de la entidad responsable.
Para la correcta valoración de lo aquí tratado, es preciso considerar el nivel de
implantación social de los productos y servicios de GOOGLE LLC, casi global respecto
de la población de los territorios en los que se ofertan esos productos y se prestan
esos servicios. Y considerar, asimismo, que este sistema de retirada de contenidos en
línea y sus efectos, exige para su correcta comprensión un nivel de formación en la
materia que no se da en el perfil del ciudadano medio.
Este sistema no solo provoca aquellas dificultades y efectos en el interesado. A juicio
de esta Agencia, también la gestión de las solicitudes que debe realizar la propia
entidad reclamada puede verse afectada.
Prueba de ello son los casos a los que corresponden los “Enlaces Lumendatabase 3,
14 y 25”, que constan reseñados en el Hecho Probado 10. Estas publicaciones de
“lumendatabase.org” corresponden a solicitudes de supresión de datos personales
(retirada de resultados de búsqueda en el “Buscador de Google”), pero se remitieron
por GOOGLE LLC como notificaciones basadas en motivos de difamación.
Llama la atención, por otra parte, la existencia de dos formularios para la eliminación
de contenidos en el “Buscador de Google”, antes reseñados, lo que no contribuye a
aclarar la cuestión.
Uno de ellos, el de “Retirada en virtud de la ley de privacidad de la UE”; y otro, el
disponible a través de la página “Cómo retirar contenido de Google”, que también
incluye este producto en la lista que contiene.
En primero de esos formularios, de acuerdo con la información que se facilita, se
utiliza únicamente para la eliminación de “información personal” en los resultados de
búsqueda cuando se utiliza un nombre como consulta de la búsqueda (“Con este
formulario, puedes solicitar que se retiren determinados resultados de la Búsqueda de
Google devueltos en consultas que incluyen tu nombre”).
En el segundo caso, el formulario presenta la misma mecánica que los señalados
anteriormente. El interesado debe marcar uno de los motivos de la reclamación que se
muestran en el apartado “¿En qué podemos ayudarte?”, similares a los ya expresados
(tales como “Un contenido que solicité que se retirara sigue apareciendo en los
resultados de búsqueda, a pesar de que el webmaster ya lo ha eliminado”, “Retirar
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
101/137
información personal de Google de acuerdo con las políticas de nuestros productos
(información personal identificable, doxxing, imágenes explícitas no consentidas,
etc.)”, “Información personal: solicitar que se retire información personal mía de los
resultados de búsqueda de Google”, o “Otro problema legal: denunciar contenido por
otro motivo legal no incluido en la lista”).
Con la opción “Información personal: solicitar que se retire información personal mía
de los resultados de búsqueda de Google” se accede a una nueva página para
retirada de contenidos, en la que se ofrecen nuevas opciones al interesado:
“Elige una de las siguientes opciones:
( ) Retirar información personal de Google de acuerdo con las políticas de nuestros productos
(información personal identificable, doxxing, imágenes explícitas no consentidas, etc.)
( ) Derecho al olvido: solicitud de retirada de información de acuerdo con la legislación europea
en materia de protección de datos
( ) Difamación: el contenido me difama a mí o a mi empresa u organización”.
Al seleccionar una de estas opciones, se permite crear la solicitud (“Haga clic en Crear
solicitud para enviar una solicitud a nuestro equipo”).
La opción “Derecho al olvido” conduce al formulario “Retirada en virtud de la ley de
privacidad de la UE”.
Para la opción “Difamación” se muestra un formulario de recogida de datos en el que
se informa que la solicitud se evaluará y resolverá teniendo en cuenta las “políticas de
retirada de contenido” de GOOGLE LLC.
Por tanto, las solicitudes que se formulen utilizando este formulario nunca se
resolverán de conformidad con la normativa de protección de datos:
. Si la eliminación de contenidos se refiere a resultados de búsqueda con el nombre de
una persona como criterio, se resuelve conforme a la normativa de protección de
datos, pero utilizando el formulario habilitado para la “Retirada en virtud de la ley de
privacidad de la UE”, al que conduce la segunda opción de las tres anteriores.
. La opción primera y tercera anteriores se resuelven conforme a las “políticas de
retirada de contenido” de GOOGLE LLC. De este modo, la eliminación de contenidos
en el producto “Buscador de Google” en otros casos distintos al anterior (ej.,
búsquedas con el número de teléfono como consulta) se resuelve conforme a criterios
propios de la entidad responsable, establecidos por ella misma, aunque ese contenido
incluya datos personales (la opción primera incluye retirada de “información personal
identificable”; y la segunda habla de contenido que difame a una persona).
Debe añadirse, además, que el resultado que el interesado obtiene de la utilización del
formulario “Retirada en virtud de la ley de privacidad de la UE” no alcanza a la
supresión de contenidos en línea, sino que da lugar únicamente a la desindexación de
esos contenidos, y solo en las búsquedas por nombre como criterio de la consulta,
evitando que en estos casos el contenido se muestre en los resultados del “Buscador
de Google”.
En los demás casos de ejercicio del derecho mediante los formularios de solicitud de
retirada de contenido en línea el resultado acorde con las exigencias del RGPD es la
eliminación efectiva de la información.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
102/137
Por ello, aunque esté operativo el formulario “Retirada en virtud de la ley de privacidad
de la UE”, el único que hace mención a la normativa de protección de datos
personales, no puede ser este el único formulario que sirva a GOOGLE LLC para
entender ejercitado el derecho de supresión.
Presentada la solicitud de retirada de contenido en línea y atendido el derecho, es
decir, acordada la supresión de los datos personales, no cabe un tratamiento posterior
de los mismos, como es la comunicación que GOOGLE LLC realiza al “Proyecto
Lumen”.
La comunicación de datos de solicitudes de retirada de contenido de GOOGLE LLC al
“Proyecto Lumen”, analizada en el Fundamento de Derecho anterior, considerando
que se remite toda la información contenida en la solicitud para que se incluya en otra
base de datos accesible al público y para que se divulgue a través de una web,
supone en la práctica frustrar la finalidad del ejercicio del derecho de supresión.
Además, esta comunicación de datos por parte de GOOGLE LLC al “Proyecto Lumen”
se impone al usuario que pretenda utilizar los repetidos formularios, que no tiene si
quiera la opción de oponerse a la misma. Esta condicionalidad en el ejercicio de un
derecho reconocido a los interesados, cual es del de supresión, no encuentra
acomodo en el RGPD en la medida en que se genere un tratamiento adicional de los
datos sobre los que versa la solicitud de supresión al comunicarlos a un tercero.
Más aún, si consideramos que en la página de resultados del “Buscador de Google”,
en búsquedas realizadas con el nombre de los interesados como criterio de la
consulta, se incluye una nota al pie señalando que se ha eliminado un resultado “en
respuesta a un requisito legal” y se incluye un hipervínculo a “lumendatabase.org” para
que el usuario pueda acceder a la información (“Si lo deseas, puedes leer más
información sobre este requisito en LumenDatabase.org”). Sobre esta nota en los
resultados de búsqueda se informa expresamente a los interesados en los
“Formularios Google 1 y 11”, dispuestos para solicitar retiradas de contenido en línea
por infracción de derechos de autor (“En el caso de productos como la Búsqueda web
de Google, aparecerá un enlace al aviso publicado en los resultados de búsqueda de
Google en lugar del contenido retirado”).
A esto hay que añadir que la propia entidad GOOGLE LLC informa en los formularios
en cuestión sobre la posibilidad de publicar información similar a la comunicada al
“Proyecto Lumen” en su “Informe de Transparencia”.
Sobre este incumplimiento del artículo 17 del RGPD, señala GOOGLE LLC que la
AEPD no aporta prueba alguna de la existencia de un solo derecho de supresión “no
atendido” ni “obstaculizado” por la reclamada, necesario para que se entienda
incumplido el artículo 17 del RGPD, ya sea por impedirse el ejercicio o por no
suprimirse los datos cuando así procede. Destaca el número de solicitudes de derecho
de supresión (“derecho al olvido”) que recibe y atiende cada año en España y el de
procedimientos de tutela de derecho tramitados por la Agencia sin comentario crítico
alguno.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
103/137
Como bien indica GOOGLE LLC, se ha tenido en cuenta el impedimento del ejercicio
del derecho de supresión que supone la utilización de los repetidos formularios por los
interesados y el procedimiento de gestión de estas solicitudes que aplica la reclamada,
así como los numerosos casos individuales analizados en las actuaciones, que
constan reseñados en los Hechos Probados con todo detalle, algunos de los cuales
corresponden a ejercicios de “derecho al olvido”, en los que GOOGLE LLC no suprimió
los datos personales de los interesados. En nada modifica estas conclusiones el
número de solicitudes de derecho de supresión que atienda dicha entidad ni los
procedimientos de ejercicios de derecho promovidos por los interesados ante esta
Agencia, todos ellos referidos a “derecho al olvido”.
Añade también la entidad reclamada que la AEPD ignora otros canales y recursos
dispuestos por la misma para la comunicación con sus usuarios e interesados en
relación con el ejercicio de derechos. Pero esto no contrarresta el hecho de que los
formularios objeto de las presentes actuaciones se hayan habilitado por GOOGLE LLC
para el ejercicio del derecho de supresión, tal y como se explica en su Política de
Privacidad, a través de la cual puede accederse a los mismos. Aunque pueda existir
otras vías, dada la libertad de forma para el ejercicio de derechos que dispone la
normativa aplicable, el interesado puede optar por la utilización de los dispuestos por
la entidad a la que se dirige. Puede decirse, incluso, que se ve conducido a la
utilización de estos formularios. Tampoco puede asegurar la reclamada que cuando un
interesado opta por estos formularios lo hace conociendo y habiendo accedido antes a
esos otros canales y recursos a los que se refiere en sus alegaciones.
Por otra parte, entiende GOOGLE LLC que las conclusiones de la propuesta de
resolución, que coinciden con las expresadas anteriormente, son manifiestamente
contrarias al principio de confianza legítima recogido en el art. 3.1.e) de la Ley
40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, teniendo en cuenta
que la AEPD lleva años enlazando e invitando a los ciudadanos a usar el conjunto de
formularios de retirada de contenidos, como puede verse en su web.
En dichas alegaciones ha detallado las URL que conducen a esta información
insertada en la web de esta Agencia (“aepd.es”):
1. El primero de estos enlaces (“https://www.aepd.es/es/areas-de-actuacion/internet-y-
redes-sociales/derecho-al-olvido”), dentro de la pestaña “Áreas de actuación. Internet
y Redes Sociales”, conduce al apartado “Derecho de supresión (“al olvido”):
buscadores de internet”, en el que se ofrecen a los interesados varios “puntos clave”
para ejercer dicho derecho. En el punto 4 “¿Cómo ejercerlo?” se informa lo siguiente:
“La normativa de protección de datos establece que para ejercer el derecho de supresión (y,
por tanto, el 'derecho al olvido') es imprescindible que el ciudadano se dirija en primer lugar a la
entidad que está tratando sus datos, en este caso al buscador. Los buscadores mayoritarios
han habilitado sus propios formularios (Google…) para recibir las peticiones de ejercicio de
este derecho en este ámbito”.
El enlace “Google” que figura en este texto permite acceder al formulario de GOOGLE
LLC denominado “Retirada en virtud de la ley de privacidad de la UE”, que no figura
entre los formularios denunciados.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
104/137
2. La segunda URL (“https://www.aepd.es/es/areas-de-actuacion/internet-y-redes-
sociales/eliminar-fotos-y-videos-de-internet”), dentro de la misma pestaña indicada en
el apartado anterior, conduce al apartado “Eliminar fotos y vídeos de internet”, en el
que se informa como sigue:
“¿Sabes cómo solicitar la eliminación de fotos o de vídeos publicados en internet? Tu imagen
es un dato personal, tanto si apareces en una foto como en un vídeo.
Tu imagen, tanto una foto como un vídeo en el que apareces, es un dato personal. La difusión
de imágenes o vídeos publicados en diferentes servicios de internet sin que exista legitimación
para tratar este dato tuyo, sobre todo en redes sociales, es un tema que se plantea con
frecuencia ante la Agencia. El Reglamento General de Protección de Datos reconoce a las
personas el ejercicio del derecho de supresión…
¿Qué debes hacer?
El ejercicio del derecho de supresión sólo puede solicitarlo la persona afectada o, en caso de
tratarse de menores de 14 años, sus progenitores o tutores legales.
Siempre que las circunstancias lo permitan, es recomendable contactar con quien subió el
contenido solicitándole su eliminación.
Si no consiguieras tu objetivo, deberías necesariamente solicitar el borrado a la plataforma que
ha proporcionado los medios para la publicación, esto es, la red social o el portal de video en
que se han publicado esas imágenes o vídeos, acreditando tu identidad e indicando qué
enlaces son los que contienen los datos que quieres cancelar…
Las redes sociales más populares, por su parte, disponen de mecanismos establecidos para
comunicarles vulneraciones de la privacidad o contenidos inapropiados mediante sus propios
formularios.
A continuación, detallamos algunos de los métodos que ofrecen…
Google
La compañía dispone de una página desde la que se puede solicitar la retirada de contenido
de sus diferentes servicios. En el caso del servicio de vídeos YouTube, se te ofrecerán
diferentes opciones en caso de abuso o acoso, vulneraciones de la privacidad, denuncia de
contenidos sexuales, contenidos violentos u otros problemas. Por otro lado, si consideras que
un vídeo colgado en YouTube incluye un contenido inapropiado puedes utilizar el icono con
forma de bandera (Denunciar) para avisar del contenido y que la empresa lo revise”.
El enlace “La retirada de contenido” que figura en este texto permite acceder a la
página “Cómo retirar contenido de Google”, de “google.com”, que es la página de
entrada de Google para la solicitud de retirada de contenido en la que se listan
diversos productos de la compañía, a través de la cual se accede a los formularios
habilitados para cada producto. Esta página coincide con la reseñada en las
actuaciones como “Formularios Google 2, 4, 5, 7, 9, 17, 21 y 23”.
El resto de los enlaces (“abuso o acoso”, “vulneraciones de la privacidad”, denuncia de
contenidos sexuales”, “contenidos violentos” y “otros problemas”), básicamente,
permite acceder a la información ofrecida por la reclamada sobre retiradas de
contenido en Youtube según las políticas de la propia entidad (“Normas de la
Comunidad de Youtube”): “La seguridad de nuestros creadores, espectadores y
partners es nuestra máxima prioridad, y esperamos que cada uno de vosotros nos
ayudéis a proteger esta comunidad única y llena de vida. Es importante que te
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
105/137
familiarices con nuestras Normas de la Comunidad y entiendas el papel que
desempeñan en nuestra responsabilidad compartida para mantener la seguridad en
YouTube. También puedes consultar la lista completa de nuestras políticas”.
3. Mediante la tercera URL (“https://www.aepd.es/sites/default/files/2020-05/guia-
ciudadano.pdf”) se accede a la “Guía para el ciudadano” elaborada por esta Agencia,
que se encuentra disponible en la web de esta entidad, en la pestaña “Guías y
herramientas”. En el apartado 5.4 de esta Guía se informa sobre el “Derecho de
supresión (“Derecho al olvido”)”, con el texto siguiente:
“Por otra parte, las redes sociales más populares ofrecen servicios de ayuda que permiten
poner en su conocimiento, a través de sus propios formularios, cuándo se ha producido una
vulneración de la privacidad o contenidos inapropiados.
Algunos de estos servicios son los siguientes:
Google:
Retirada de contenido
Denunciar abuso o acoso (Youtube)
Vulneración de la privacidad (Youtube)
Denuncia contenidos sexuales (Youtube)
Denuncia contenidos violentos (Youtube)”.
Son los mismos enlaces del apartado 2 anterior.
4. La cuarta URL (“https://www.aepd.es/sites/default/files/2020-02/infografia-canal-
prioritario.pdf”) accede a información relativa al “Canal prioritario” habilitado por la
AEPD para comunicar la difusión de contenido sensible y solicitar su retirada. Este
documento incluye la información siguiente:
“¿Qué puedo hacer si se difunden imágenes en las que aparezco? Con carácter general, los
afectados por estas conductas deben dirigirse al prestador de servicios en Internet solicitándole
la retirada de imágenes que están siendo difundidas sin su consentimiento. A continuación se
detallan los enlaces a algunos de los prestadores de servicios mayoritarios:
Google…”.
Al pulsar sobre el enlace “Google” que figura en esta información se accede a la
página “Retirar información de Google”, de “google.com”. En esta página se informa
cómo ponerse en contacto con el webmaster de un sitio web para solicitar la
eliminación de contenidos y se incluyen enlaces para acceder a la herramienta de
retirada de contenido obsoleto, retirada de imágenes, pornografía falsa, prácticas
abusivas, información financiera, médica o documentos de identificación personal,
contenidos de “doxxing” o imágenes de menores de edad.
Se incluye, asimismo, un enlace a los formularios objeto de las actuaciones
(“Formulario de solución de problemas legales”).
El mencionado principio de confianza legítima se encuentra recogido en el artículo 3
de la LRJSP:
“Artículo 3. Principios generales.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
106/137
1. Las Administraciones Públicas sirven con objetividad los intereses generales y actúan de
acuerdo con los principios de eficacia, jerarquía, descentralización, desconcentración y
coordinación, con sometimiento pleno a la Constitución, a la Ley y al Derecho.
Deberán respetar en su actuación y relaciones los siguientes principios:
(…)
e) Buena fe, confianza legítima y lealtad institucional”.
Es una manifestación de la doctrina de los “actos propios” y tiene relación con el
principio de seguridad jurídica. El principio de confianza legítima puede entenderse
como la confianza de los ciudadanos en la actuación futura de las Administraciones
Públicas atendiendo a sus actuaciones pasadas, considerando las expectativas que
generan, aunque salvaguardando siempre el principio de legalidad, por lo que aquel
principio no podrá invocarse para salvar situaciones contrarias a la norma.
Así se desprende de la STS de 18/12/2007, que se refiere al principio de protección de
confianza legítima citando los términos de una Sentencia anterior de 10/05/1999:
“Así, la STS de 10-5-99 ( RJ 1999, 3979) , recuerda "la doctrina sobre el principio de protección
de la confianza legítima, relacionado con los más tradicionales en nuestro ordenamiento de la
seguridad jurídica y la buena fe en las relaciones entre la Administración y los particulares, y
que comporta, según la doctrina del Tribunal de Justicia de las Comunidades Europeas y la
jurisprudencia de esta Sala, el que la autoridad pública no pueda adoptar medidas que resulten
contrarias a la esperanza inducida por la razonable estabilidad en las decisiones de aquélla, y
en función de las cuales los particulares han adoptado determinadas decisiones. […] Por otra
parte, en la STS de 1-2-99 (RJ 1999, 1633), se recuerda que "este principio no puede
invocarse para crear, mantener o extender, en el ámbito del Derecho público, situaciones
contrarias al ordenamiento jurídico, o cuando del acto precedente resulta una contradicción con
el fin o interés tutelado por una norma jurídica que, por su naturaleza, no es susceptible de
amparar una. conducta discrecional por la Administración que suponga el reconocimiento de
unos derechos y/u obligaciones que dimanen de actos propios de la misma. […] Una cosa es la
irrevocabilidad de los propios actos declarativos de derechos fuera de los cauces de revisión
establecidos en la Ley (arts. 109 y 110 de la Ley de Procedimiento Administrativo de 1958
[ RCL 1958, 1258, 1469, 1504 y RCL 1959, 585] , 102 y 103 de la Ley de Régimen Jurídico de
las Administraciones Públicas y Procedimiento Administrativo Común, Ley 30/1992 [ RCL 1992,
2512, 2775 y RCL 1993, 246] , modificada por Ley 4/1999 [ RCL 1999, 114, 329] ), y otra el
respeto a la confianza legítima generada por actuación propia que necesariamente ha de
proyectarse al ámbito de la discrecionalidad o de la autonomía, no al de los aspectos reglados
o exigencias normativas frente a las que, en el Derecho Administrativo, no puede prevalecer lo
resuelto en acto o en precedente que fuera contrario a aquéllos. O, en otros términos, no
puede decirse que sea legítima la confianza que se deposite en un acto o precedente que sea
contrario a norma imperativa".
La STS de 22/02/2016 (rec.1354/2014), por su parte, se refiere a los requisitos que
deben concurrir para apreciar la confianza legítima:
“Conviene tener en cuenta que confianza legítima requiere, en definitiva, de la concurrencia de
tres requisitos esenciales. A saber, que se base en signos innegables y externos (1); que las
esperanzas generadas en el administrado han de ser legítimas (2); y que la conducta final de la
Administración resulte contradictoria con los actos anteriores, sea sorprendente e incoherente
(3). Exactamente lo que acontece en el caso examinado, a tenor de los hechos antes
relatados, que no hace al caso insistir.
Recordemos que, respecto de la confianza legítima, venimos declarando de modo reiterado,
por todas, Sentencia de 22 de diciembre de 2010 (recurso contencioso administrativo nº
257/2009), que «el principio de la buena fe protege la confianza legítima que fundadamente se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
107/137
puede haber depositado en el comportamiento ajeno e impone el deber de coherencia en el
comportamiento propio. Lo que es tanto como decir que el principio implica la exigencia de un
deber de comportamiento que consiste en la necesidad de observar de cara al futuro la con -
ducta que los actos anteriores hacían prever y aceptar las consecuencias vinculantes que se
desprenden de los propios actos constituyendo un supuesto de lesión a la confianza legítima
de las partes "venire contra factum propium".
Esta misma Sentencia se refiere a la confianza en la estabilidad de criterio de la
Administración, evidenciado en actos anteriores en un mismo sentido.
Por otra parte, la STS de 21 de septiembre de 2015 (rec.721/2013), en su Fundamento
de Derecho Cuarto, declara lo siguiente:
“En la mencionada sentencia de esta Sala jurisdiccional de 23 de febrero de 2000, la aplicación
del principio de protección de confianza legítima se condiciona no tanto al hecho de que se
produzca cualquier tipo de convicción psicológica en el particular beneficiado, sino más bien a
que se acredite la existencia de signos externos producidos por la Administración “lo
suficientemente concluyentes” para que le induzcan razonablemente a confiar en la legalidad
de la actuación administrativa”.
Por tanto, esa esperanza o confianza generada ha de ser “legítima” y estar basada en
actos externos anteriores, cuyo sentido sea indudablemente contrario a lo acordado
posteriormente, sin que deba incluirse en este principio de confianza legítima una
mera convicción psicológica del particular.
En este caso, consta que la web de esta Agencia incluye información general dirigida a
los usuarios de internet sobre el ejercicio del derecho de supresión y advierte a los
mismos, en diversos apartados, sobre la posibilidad de utilizar para ello los formularios
específicos habilitados por distintos proveedores de servicios, entre los que figura la
entidad “Google”.
Con tal motivo, en dicha información se insertan enlaces que conducen a los
formularios habilitados por GOOGLE LLC. Entre estos enlaces cabe destacar, por su
especial interés para las actuaciones, los incluidos en el apartado “Eliminar fotos y
vídeos de internet” y en la “Guía para el ciudadano”, que dan acceso a la página
“Cómo retirar contenido de Google”, de “google.com”, a través de la cual se accede a
los formularios objeto del presente procedimiento.
Este hecho no representa un acto externo propio de la Administración que haya podido
influir en la conducta de GOOGLE LLC determinante de la infracción del artículo 17 del
RGPD, en la medida en que la inclusión de esos enlaces en la web de la AEPD no
puede llevar a confusión a dicha entidad ni le permite concluir que en aquellos
formularios no existe ningún elemento que contraviniera lo establecido en el RGPD y
LOPDGDD. Siendo así, no puede decirse que GOOGLE LLC se ha visto sorprendida
por la citada infracción al RGPD que se imputa en este acto.
Por tanto, GOOGLE LLC no dispone de hechos externos anteriores a esta resolución
(“signos innegables externos”) que puedan considerarse favorables a dicha entidad de
forma concluyente y suficientes para haber inducido a la misma a pensar que la AEPD
validó los repetidos formularios de retirada de contenido. No existen decisiones previas
de la AEPD, ni recomendaciones, ni acto alguno en el que se transmita un criterio que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
108/137
ahora se esté modificando.
Esa inclusión de enlaces a los formularios en documentos informativos insertados en
la web “aepd.es” no constituye ninguna actuación reglada ni un acto con contenido
jurídicamente vinculante, ni supone pronunciamiento alguno sobre las cuestiones a las
que se refieren las alegaciones. En definitiva, no representan unos actos externos
propios de la Administración de los que pudiera derivarse una futura vulneración del
principio de la "confianza legítima del administrado", ahora invocado.
La actuación de esta Agencia no ha influido en modo alguno en la conducta de
GOOGLE LLC determinante de la infracción analizada, ni influye en el diseño de
aquellos formularios o en su utilización para la gestión de derechos en materia de
protección de datos personales o de reclamaciones legales en general que den lugar a
la aplicación de sus propias políticas internas de eliminación de contenidos u otras
normativas distintas a la de protección de datos personales; ni esta Agencia ha
realizado ninguna otra actuación que haya permitido a dicha entidad concluir la
idoneidad de su actuación. GOOGLE LLC no puede aportar ningún pronunciamiento o
actuación de esta Agencia que le llevase a esa presunta confusión, simplemente
porque no existe actuación alguna en ese sentido.
La Agencia se ha limitado a informar a los ciudadanos de sus derechos y de cómo
pueden ejercitarlos, incluyendo un enlace a los formularios de los responsables del
tratamiento. La inclusión de dichos enlaces no implica una validación de aquellos
formularios, algo que, por otra parte, no corresponde a la AEPD, sino que es
responsabilidad de la entidad reclamada, que viene obligada a procurar el
cumplimiento de la normativa de protección de datos conforme al principio de
responsabilidad proactiva. Prueba de ello es que la reclamada puede en cualquier
momento variar el contenido de la información a la que conducen los repetidos enlaces
insertados en la web “aepd.es”, o el diseño de los propios formularios, sin ningún
pronunciamiento previo y sin el conocimiento de esta Agencia.
Con la inclusión de esos enlaces, como ya se ha dicho, la AEPD no está decidiendo ni
recomendando nada que vincule jurídicamente a esta Agencia, a la reclamada o a
terceros. Es ahora, en el ejercicio de los poderes correctivos que el RGPD otorga a la
Autoridad de control, cuando se detecta la infracción, de la que únicamente GOOGLE
LLC es responsable.
En definitiva, proyectando la doctrina del Tribunal Supremo al caso presente, y en los
términos de la STS de 18/12/2007, resulta que no concurren circunstancias que
permitan entender que GOOGLE LLC se ha visto sorprendida por la actuación de la
Administración.
Cabe insistir, en todo caso, sobre lo ya expresado anteriormente sobre la prevalencia
del principio de legalidad, que impide invocar la confianza legítima para salvar
situaciones contrarias a la norma.
Por todo ello, debe rechazarse la alegación de vulneración del principio de confianza
legítima y, de contrario, reafirmar la plena responsabilidad de GOOGLE LLC en
relación con los formularios de retirada de contenido en línea diseñados por la misma
y de la gestión que aplica con motivo de su utilización por los interesados.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
109/137
VIII
Para el caso de que concurra una infracción de los preceptos del RGPD, entre los
poderes correctivos de los que dispone la Agencia Española de Protección de Datos,
como autoridad de control, el artículo 58.2 de dicho Reglamento contempla los
siguientes:
“2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a
continuación:
(…)
b) sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las
operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;”
(...)
d) ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se
ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada
manera y dentro de un plazo especificado;
(…)
i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las
medidas mencionadas en el presente apartado, según las circunstancias de cada caso
particular;”.
Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en la letra d)
anterior es compatible con la sanción consistente en multa administrativa.
IX
Los hechos expuestos incumplen lo establecido en los artículos 6 y 17 del RGPD, con
el alcance expresado en los Fundamentos de Derecho anteriores.
En el acuerdo de apertura del procedimiento, la vulneración del artículo 17 se
consideró vinculada al incumplimiento de lo establecido en el artículo 6, ambos del
RGPD, en la medida en que la comunicación al “Proyecto Lumen” de los datos
personales incluidos en solicitudes de retirada de contenido en línea supone no
atender esta solicitud de supresión de datos personales.
Sin embargo, las actuaciones desarrolladas durante la instrucción del procedimiento
han permitido constatar graves deficiencias en el proceso diseñado para la
formulación, recepción y gestión de estas solicitudes de supresión de datos personales
que afecta directamente al ejercicio mismo de este derecho reconocido a los
interesados en el RGPD y a su resolución conforme a esta normativa, según queda
expuesto en el Fundamento de Derecho VII. Este hecho vulnera el artículo 17 del
RGPD y constituye una infracción diferenciada de la comunicación de datos
personales al “Proyecto Lumen”, en la medida en que resulta de una conducta
diferenciada. El incumplimiento del artículo 17 del RGPD, por las razones expuestas
en el citado Fundamento de Derechos, se produce con independencia de que los
datos personales incluidos en la solicitud que el interesado formule se comuniquen o
no al “Proyecto Lumen”.
En definitiva, se trata de conductas separadas que deben ser sancionadas por
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
110/137
separado.
El incumplimiento de lo establecido en los artículos 6 y 17 del RGPD supone la
comisión de sendas infracciones tipificadas en los apartados 5.a) y b) del artículo 83
del RGPD, respectivamente. Este artículo 83.5, bajo la rúbrica “Condiciones generales
para la imposición de multas administrativas”, dispone lo siguiente:
“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una
empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual
global del ejercicio financiero anterior, optándose por la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a
tenor de los artículos 5, 6, 7 y 9.
b) los derechos de los interesados a tenor de los artículos 12 a 22”.
A este respecto, la LOPDGDD, en su artículo 71 establece que “Constituyen
infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del
artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la
presente ley orgánica”.
A efectos del plazo de prescripción de las infracciones, las infracciones señaladas en
el párrafo anterior se consideran como muy graves y prescriben a los tres años,
conforme al artículo 72.1.b) y k) de la LOPDGDD, que establece:
“En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran
muy graves y prescribirán a los tres años las infracciones que supongan una vulneración
sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
b) El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del
tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.
k) El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos
establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679” .
A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:
“1. Cada autoridad de control garantizará que la imposición de las multas administrativas con
arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los
apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.
2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso
individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58,
apartado 2, letras a) a h) y j). Al decidir la imposición de una multa administrativa y su cuantía
en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza,
alcance o propósito de la operación de tratamiento de que se trate así como el número de
interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para paliar los
daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta
de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
111/137
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el
responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el mismo
asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación
aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los
beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de
la infracción”.
Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE)
2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el
apartado 2 del citado artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679 también
podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de datos
personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la
infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción,
que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan
controversias entre aquellos y cualquier interesado”.
En este caso, considerando la gravedad de las infracciones constatadas, procede la
imposición de multa administrativa y la adopción de medidas. A este respecto, la multa
que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y
disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD.
De acuerdo con los preceptos indicados, a efectos de fijar el importe de las sanciones
a imponer en el presente caso, se considera que procede graduar las multas de
acuerdo con los siguientes criterios:
1. Infracción del artículo 6 del RGPD, tipificada en el artículo 83.5.a) del RGPD y
calificada como muy grave a efectos de prescripción en el artículo 72.1.b) de la
LOPDGDD.
Se estiman concurrentes como agravantes los criterios de graduación siguientes:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
112/137
. Artículo 83.2.a) del RGPD: “a) la naturaleza, gravedad y duración de la
infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación
de tratamiento de que se trate así como el número de interesados afectados y el
nivel de los daños y perjuicios que hayan sufrido”.
. La naturaleza y gravedad de la infracción, considerando que la
comunicación de datos que se sanciona se realiza a una entidad tercera en
un país tercero, y se lleva a cabo sin que el interesado tenga oportunidad de
oponerse a la misma. Además, esta comunicación de datos tiene relación con
contenidos en línea en todos los productos y servicios de la entidad
reclamada y tiene origen en solicitudes formuladas por los interesados para
que dichos contenidos sean eliminados. Todo ello, incide en la capacidad de
los interesados de ejercer un verdadero control sobre sus datos personales.
. En relación con la duración de la infracción, consta en las actuaciones que la
comunicación de datos se venía produciendo desde antes de la entrada en
vigor del RGPD, el 25/08/2018, y se mantiene en la actualidad.
. La naturaleza, alcance o propósito de la operación de tratamiento de que se
trate: los datos personales incluidos en las solicitudes de retirada de
contenido en línea se comunican por GOOGLE LLC al “Proyecto Lumen” para
su publicación en una página web de acceso público y para su puesta a
disposición del público, junto con la explicación de las circunstancias y
motivos que a juicio del interesado justificarían la retirada del contenido en
cuestión y la documentación que soporta dicha solicitud, entre la que figuran
las relativas a procesos judiciales, como las sentencias.
. El número de interesados: la infracción afecta a solicitudes de todos los
productos y servicios de una entidad que tiene una implantación social global,
como lo prueba el hecho de que el “Proyecto Lumen” informa en su web que
GOOGLE LLC es la entidad que más información reporta al proyecto.
. Los perjuicios que hayan sufrido los interesados: teniendo en cuenta todas
las circunstancias expuestas anteriormente, es claro que los interesados han
visto limitados sus derechos e incrementados los riesgos en su privacidad.
. Artículo 83.2.b) del RGPD: “b) la intencionalidad o negligencia en la infracción".
La negligencia en la comisión de la infracción por parte del responsable, ya que
conoce las consecuencias de la comunicación de datos al tercero (artículo 83.2.b)
RGPD).
Esta negligencia se aprecia, teniendo en cuenta, por un lado, la “naturaleza y
gravedad de la infracción” y la “naturaleza y propósito de la operación de
tratamiento de datos”; y, por otro lado, el nivel de profesionalidad en el tratamiento
de los datos que debe exigirse a GOOGLE LLC.
Sobre esta última circunstancia, la Audiencia Nacional, en Sentencia de
17/10/2007 (rec. 63/2006), en relación con las entidades cuya actividad lleva
aparejado en continuo tratamiento de datos de clientes, indica que “…el Tribunal
Supremo viene entendiendo que existe imprudencia siempre que se desatiende
un deber legal de cuidado, es decir, cuando el infractor no se comporta con la
diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse
especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
113/137
caso ahora examinado, cuando la actividad de la recurrente es de constante y
abundante manejo de datos de carácter personal ha de insistirse en el rigor y el
exquisito cuidado por ajustarse a las prevenciones legales al respecto”.
Se trata de una empresa que realiza tratamientos de datos personales de los
usuarios de sus productos y servicios de manera sistemática y continua, como
como objeto central de su actividad, y que por ello debe extremar el cuidado en el
cumplimiento de sus obligaciones en materia de protección de datos.
. Artículo 83.2.d) del RGPD: “d) el grado de responsabilidad del responsable o del
encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas
que hayan aplicado en virtud de los artículos 25 y 32”.
La entidad imputada no tiene implantados procedimientos adecuados de
actuación tratamiento de los datos de carácter personal, en lo que se refiere a la
utilización de la información contenida en las solicitudes de retirada de contenido
en línea, de modo que la infracción no es consecuencia de una anomalía en el
funcionamiento de dichos procedimientos sino un defecto del sistema de gestión
de los datos personales diseñado por la responsable. Dicho procedimiento se
adoptó por la reclamada a iniciativa propia sin atender las previsiones normativas
aplicables.
. Artículo 83.2.g) del RGPD: “g) las categorías de los datos de carácter personal
afectados por la infracción”.
Los “Enlaces Lumendatabase” examinados en las actuaciones incluyen datos
personales de naturaleza sensible. Además, con carácter general, tratándose de
solicitudes de retirada de contenido en línea, no puede descartarse que puedan
verse afectadas también “Categorías especiales de datos personales”, según
define el RGPD en el artículo 9.
. Artículo 76.2.b) de la LOPDGDD: “b) La vinculación de la actividad del infractor
con la realización de tratamientos de datos personales”.
El tratamiento de datos personales es el objeto central de las actividades y
servicios desarrollados por GOOGLE LLC y su nivel de implantación en nuestro
territorio y población es global.
. Artículo 83.2.k) del RGPD: “k) cualquier otro factor agravante o atenuante
aplicable a las circunstancias del caso, como los beneficios financieros obtenidos
o las pérdidas evitadas, directa o indirectamente, a través de la infracción”.
. El volumen de datos y tratamientos que constituye el objeto del expediente.
. La condición de gran empresa y volumen de negocio de GOOGLE LLC.
Considerando los factores expuestos, la valoración que alcanza la multa, por la
Infracción del artículo 6 del RGPD, es de 5.000.000 euros (cinco millones de euros).
2. Infracción del artículo 17 del RGPD, tipificada en el artículo 83.5.b) del mismo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
114/137
Reglamento, calificada como muy grave a efectos de prescripción en el artículo 72.1.
k) de la LOPDGDD.
. Artículo 83.2.a) del RGPD: “a) la naturaleza, gravedad y duración de la
infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación
de tratamiento de que se trate así como el número de interesados afectados y el
nivel de los daños y perjuicios que hayan sufrido”.
. La naturaleza de la infracción, por cuanto la no atención del derecho de
supresión incide en la capacidad de Los interesados de ejercer un verdadero
control sobre sus datos personales.
. El número de interesados: la infracción afecta a todos los interesados que
hayan ejercitado el derecho de supresión o que tengan intención de hacerlo,
muy numerosos considerando el nivel de implantación de la reclamada.
. La naturaleza de los perjuicios causados a las personas interesadas, que
ven desatendido uno de sus derechos básicos en materia de protección de
datos personales e incrementado el riesgo en su privacidad.
. Artículo 83.2.b) del RGPD: “b) la intencionalidad o negligencia en la infracción".
Esta negligencia se aprecia, teniendo en cuenta, por un lado, la “naturaleza y
gravedad de la infracción” y de los perjuicios causados; y, por otro lado, el nivel de
profesionalidad en el tratamiento de los datos que debe exigirse a GOOGLE LLC.
. Artículo 83.2.d) del RGPD: “d) el grado de responsabilidad del responsable o del
encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas
que hayan aplicado en virtud de los artículos 25 y 32”.
La entidad imputada no tiene implantados procedimientos adecuados de
actuación en la recogida y tratamiento de los datos de carácter personal, en lo que
se refiere a la gestión de solicitudes de ejercicio de derechos, de modo que la
infracción no es consecuencia de una anomalía en el funcionamiento de dichos
procedimientos sino un defecto del sistema de gestión de los datos personales
diseñado por la responsable. Dicho procedimiento se adoptó por la reclamada a
iniciativa propia.
. Artículo 83.2.g) del RGPD: “g) las categorías de los datos de carácter personal
afectados por la infracción”.
Las solicitudes de supresión de datos personales a las que se refieren las
actuaciones incluyen datos personales de naturaleza sensible. Además, con
carácter general, tratándose de solicitudes de retirada de contenido en línea, no
puede descartarse que puedan verse afectadas también “Categorías especiales
de datos personales”, según define el RGPD en el artículo 9.
. Artículo 76.2.b) de la LOPDGDD: “b) La vinculación de la actividad del infractor
con la realización de tratamientos de datos personales”.
La alta vinculación de la actividad del infractor con la realización de tratamientos
de datos personales, atendiendo a los motivos ya expresados al exponer los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
115/137
factores de graduación de la infracción anterior.
. Artículo 83.2.k) del RGPD: “k) cualquier otro factor agravante o atenuante
aplicable a las circunstancias del caso, como los beneficios financieros obtenidos
o las pérdidas evitadas, directa o indirectamente, a través de la infracción”.
. El volumen de datos y tratamientos que constituye el objeto del expediente,
atendiendo al nivel de información que tiene la reclamada de las personas
que accede a sus servicios.
. La condición de gran empresa y volumen de negocio de GOOGLE LLC.
Considerando los factores expuestos, la valoración que alcanza la multa, por la
Infracción del artículo 17 del RGPD, es de 5.000.000 euros (cinco millones de euros).
Cabe destacar que GOOGLE LLC, en su escrito de alegaciones a la apertura del
procedimiento no ha efectuado manifestación alguna sobre los factores de graduación
indicados en el acuerdo de inicio, relacionados con el alcance de la operación de
tratamiento y el número de interesados afectados, la intencionalidad o negligencia en
la comisión de la infracción, y la vinculación de las actividades y servicios
desarrollados por GOOGLE LLC con los tratamientos de datos personales.
Y en sus alegaciones a la propuesta de resolución, en relación con los factores
valorados anteriormente, se limita a manifestar, sin más explicación, que los “rechaza
en su totalidad”.
Por otra parte, de acuerdo con los factores y circunstancias expuestas, no cabe admitir
la solicitud formulada subsidiariamente por GOOGLE LLC para que se sancione “por
la cuantía de la sanción correspondiente en su grado mínimo”, considerando que, a
petición de la propia reclamada, “Lumen” ha anonimizado las solicitudes de retirada de
contenido identificadas en las presentes actuaciones o retirado la publicación en
algunos casos; que GOOGLE LLC no obtiene beneficio comercial o ingreso alguno
como consecuencia de estas comunicaciones; y que se encuentra en la actualidad en
proceso de revisión de sus prácticas en lo relativo a la comunicación de solicitudes de
retirada de contenido a “Lumen”.
Este planteamiento ya fue rechazado en la propuesta de resolución por las razones
siguientes:
. La anonimización de la información publicada en “lumendatabase.org” de los
“Enlaces” incluidos en las reclamaciones no modifican el hecho base de la infracción,
como es la comunicación de los datos al “Proyecto Lumen” sin base legítima.
A este respecto, GOOGLE LLC ha alegado que las circunstancias atenuantes, por
definición, no modifican el hecho de que se haya producido una infracción, sino que
contribuyen a atenuar la responsabilidad del infractor por la infracción cometida.
A juicio de esta Agencia, en este caso, la circunstancia invocada como atenuante,
como es la petición de anonimización efectuada por la reclamada al “Proyecto Lumen”
no contribuye a atenuar la responsabilidad del infractor. Cabe insistir en que la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
116/137
infracción viene determinada por la comunicación de datos a “Lumen” y no por la
difusión de estos datos por la entidad tercera cesionaria. GOOGLE LLC no ha tomado
medida alguna para atenuar los efectos de esa comunicación de datos a Lumen que
pueda influir en la graduación de la sanción.
. La ausencia de beneficios no puede medirse exclusivamente en términos
comerciales o monetarios. Además, tratándose de una empresa que basa su actividad
en el tratamiento de datos personales, no puede decirse, sin más acreditación, que no
obtiene beneficios comerciales.
No comparte esta Agencia la posición defendida por GOOGLE LLC en sus
alegaciones a la propuesta, según la cual para no aplicar esta atenuante la Agencia
debe acreditar que la reclamada ha obtenido beneficios, sobre todo considerando que
es GOOGLE LLC quien ha solicitado la valoración de esta circunstancia como
atenuante. Entiende esta Agencia que los factores de graduación deben desprenderse
claramente de las actuaciones para que puedan ser considerados en la cuantificación
de la sanción.
En todo caso, el artículo 76.2 de la LOPDGDD, en su letra c), incluye entre los criterios
que deben sopesarse a la hora de fijar la cuantía de la sanción “los beneficios
obtenidos como consecuencia de la comisión de la infracción” y no la ausencia de
estos beneficios.
A este respecto, la Sentencia de la AN, de 05/05/2021, rec. 1437/2020, se refiere a la
necesidad de que concurra el “presupuesto” de hecho contemplado en la norma para
que pueda aplicarse un determinado criterio de graduación, y, como se ha dicho, la
ausencia de beneficios no está entre las circunstancias reguladas en el artículo citado.
En esta Sentencia se indica: “…el hecho de que no concurra el presupuesto para su
aplicación conlleva que no pueda ser tomada en consideración, pero no implica ni
permite, como pretende la actora, su aplicación como atenuante”.
Este criterio de graduación se establece en la LOPDGDD de acuerdo con lo previsto
en el artículo 83.2.k) del RGPD, según el cual las multas administrativas se impondrán
teniendo en cuenta cualquier “factor agravante o atenuante aplicable a las
circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas
evitadas, directa o indirectamente, a través de la infracción”, entendiéndose que evitar
una pérdida tiene la misma naturaleza a estos efectos que la obtención de beneficios.
Si a esto añadimos que las sanciones deberán ser “en cada caso individual” efectivas,
proporcionadas y disuasorias, conforme a lo previsto en el artículo 83.1 del RGPD,
admitir la ausencia de beneficios como una atenuante, no solo es contrario a los
presupuestos de hechos contemplados en el artículo 76.2.c), sino también contrario a
lo establecido en el artículo 83.2.k) del RGPD y a los principios señalados.
Así, valorar la ausencia de beneficios como una atenuante anularía el efecto
disuasorio de la multa, en la medida en que minora el efecto de las circunstancias que
inciden efectivamente en su cuantificación, reportando al responsable un beneficio al
que no se ha hecho merecedor. Sería una rebaja artificial de la sanción que puede
llevar a entender que infringir la norma sin obtener beneficios, financieros o del tipo
que fuere, no le producirá un efecto negativo proporcional a la gravedad del hecho
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
117/137
infractor.
En todo caso, las multas administrativas establecidas en el RGPD, conforme a lo
establecido en su artículo 83.2, se imponen en función de las circunstancias de cada
caso individual y, en el presente, no se estima que la ausencia de beneficios sea un
factor de graduación adecuado y determinante para valorar la gravedad de la conducta
infractora. Solo en el caso de que esta ausencia de beneficios sea relevante para
determinar el grado de antijuricidad y de culpabilidad presentes en la concreta
actuación infractora podrá considerarse como una atenuante, en aplicación del artículo
83.2.k) del RGPD, que se refiere a “cualquier otro factor agravante o atenuante
aplicable a las circunstancias del caso”.
. Las medidas “en proceso” o “complementarias” resultan insuficientes para “poner
remedio a la infracción y mitigar los posibles efectos adversos de la infracción”, según
los términos del artículo 83.2.f) del RGPD, o “para paliar los daños y perjuicios sufridos
por los interesados”, según el apartado 2.c) del mismo artículo.
Considera GOOGLE LLC que este razonamiento de la Agencia desincentiva la toma
de medidas dirigidas a reforzar la protección de los derechos de los interesados y
añade que, aunque no remedien la infracción, pueden configurarse como atenuantes.
Siendo como dice la reclamada, es decir, si las medidas no remedian la infracción, es
claro que tales medidas no cumplen la previsión normativa regulada en el citado
artículo 83.2, apartados c) y f), que exige ese remedio de la infracción, o bien mitigar
los efectos adversos o paliar los daños. En este caso, las medidas que GOOGLE LLC
dice tener previsto implantar no están dirigidas a mitigar los daños de las
comunicaciones de datos ya realizadas al “Proyecto Lumen”.
Además, la adopción de medidas, sin más, no puede tener los efectos atenuantes
pretendidos sin un análisis claro sobre su idoneidad.
Por otra parte, en las alegaciones a la propuesta de resolución, GOOGLE LLC ha
solicitado que se reduzca la sanción atendiendo a que las infracciones se reducen a
los tratamientos de datos personales atribuibles a dicha entidad en España y a los
productos y servicios proporcionados por GOOGLE IRELAND LTD y no por GOOGLE
LLC. Sin embargo, es obvio que estas circunstancias ya han sido consideradas al
definir el objeto del procedimiento, como bien quedó expuesto en los fundamentos de
derecho anteriores.
Por último, en relación con la sanción por el incumplimiento del artículo 17 del RGPD,
manifiesta la reclamada que la publicidad realizada por parte de la AEPD de los
formularios de “Google” debería considerarse una circunstancia atenuante bajo el art.
83.2 (k) RGPD, que atenúa directamente el comportamiento doloso o negligente de la
entidad.
Respecto de esta cuestión, cabe remitirse a lo expresado en el Fundamento de
Derecho VII para desestimar la confianza legítima alegada por GOOGLE LLC, en el
que se razona suficientemente que la responsabilidad por los repetidos formularios es
exclusiva de GOOGLE y que esa responsabilidad no se ve modificada por los enlaces
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
118/137
a los formularios de retirada de contenido en línea insertados en la información
ofrecida por esta Agencia en su web.
X
Las infracciones cometidas pueden conllevar la imposición al responsable de la
adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada
en este acto, de acuerdo con lo establecido en el citado artículo 58.2.d) del RGPD,
según el cual cada autoridad de control podrá “ordenar al responsable o encargado
del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”.
Así, procede requerir a la entidad responsable, GOOGLE LLC, para que cese en la
conducta infractora y adecúe a la normativa de protección de datos personales las
operaciones de tratamiento que realiza, en relación con la comunicación de datos al
“Proyecto Lumen”, y los procesos de ejercicio y atención del derecho de supresión, en
relación con las solicitudes de retirada de contenido en línea de sus productos y
servicios, así como la información que ofrece a sus usuarios respecto de ambas
cuestiones. Todo ello, con el alcance expresado en los Fundamentos de Derecho del
presente acuerdo y referido a usuarios de sus productos y servicios de “Google” en el
territorio español.
Asimismo, GOOGLE LLC deberá corregir los efectos de la infracción cometida, lo que
conlleva la supresión de todos los datos personales que hayan sido objeto de una
solicitud del derecho de supresión no atendida debidamente por razón de la
comunicación de datos al “Proyecto Lumen”, así como la obligación de instar a este
Proyecto la supresión y cese en la utilización de los datos personales que GOOGLE
LLC le haya comunicado con motivo de una solicitud de supresión de datos
personales.
GOOGLE LLC deberá aportar los medios acreditativos del cumplimiento de lo
requerido.
(…).
(…):
. (…)
. (…).
. (…).
Sobre estas excepciones no se dispone de información completa y suficiente para que
puedan ser debidamente valoradas. En todo caso, el presente procedimiento no es el
marco adecuado para su análisis.
Considera esta Agencia, por otra parte, que las acciones mencionadas, vistas las
evidencias obtenidas en el presente caso, son una exigencia del principio de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
119/137
responsabilidad proactiva y la diligencia en cuanto al cumplimiento de la normativa de
protección de datos que debe esperarse de una entidad como GOOGLE LLC y que el
propio RGPD impone expresamente, incluida la obligación de revisar y actualizar las
medidas organizativas que garantizan la adecuación de sus tratamientos de datos con
el RGPD.
GOOGLE LLC ha señalado que su responsabilidad en relación con las medidas
dispuestas se limita, en el territorio español, a las comunicaciones de solicitudes de
retirada a Lumen relacionadas con datos personales presentes en la información
indexada y mostrada en los servicios de “Búsqueda de Google” y “Google Maps”.
Sin embargo, esto no coincide con lo manifestado por la propia entidad GOOGLE LLC,
que se ha declarado responsable de la comunicación de datos relacionados con
solicitudes de retiradas de contenido en línea al “Proyecto Lumen”.
Se advierte que no atender los requerimientos de este organismo puede ser
considerado como una infracción administrativa grave al “no cooperar con la Autoridad
de control” ante los requerimientos efectuados, pudiendo ser valorada tal conducta a la
hora de la apertura de un procedimiento administrativo sancionador con multa
pecuniaria.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a la entidad GOOGLE LLC, con NIF 770493581, por una
infracción del artículo 6 del RGPD, tipificada en el artículo 83.5.a) y calificada como
muy grave a efectos de prescripción en el artículo 72.1.b) de la LOPDGDD, una multa
por importe de 5.000.000 euros (cinco millones de euros).
SEGUNDO: IMPONER a la entidad GOOGLE LLC, por una infracción del artículo 17
del RGPD, tipificada en el artículo 83.5.b) del mismo Reglamento y calificada como
muy grave a efectos de prescripción en el artículo 72.1.k) de la LOPDGDD, una multa
por importe de 5.000.000 euros (cinco millones de euros).
TERCERO: REQUERIR a la entidad GOOGLE LLC para que, en el plazo de seis
meses, contado desde la notificación de la presente resolución, adopte las medidas
necesarias para adecuar a la normativa de protección de datos personales las
operaciones de tratamiento y los procedimientos de ejercicio del derecho objeto de las
actuaciones, con el alcance expresado en el Fundamento de Derecho X. Asimismo, en
el texto de la resolución se establecen cuáles han sido las infracciones cometidas y los
hechos que han dado lugar a la vulneración de la normativa de protección de datos, de
lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el
tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas
corresponda a la parte sancionada, pues es el responsable del tratamiento quien
conoce plenamente su organización y ha de decidir, en base a la responsabilidad
proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD.
CUARTO: NOTIFICAR la presente resolución a la entidad GOOGLE LLC.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
120/137
QUINTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una
vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el
art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago
voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado
por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003,
de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número
de procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso
contrario, se procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 76.4 de la LOPDGDD y dado que el
importe de la sanción impuesta es superior a un millón de euros, será objeto de
publicación en el Boletín Oficial del Estado la información que identifique al infractor, la
infracción cometida y el importe de la sanción.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
121/137
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-150222
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
122/137
ANEXO 1
POLÍTICA DE PRIVACIDAD DE “GOOGLE”
a) POLÍTICA DE PRIVACIDAD, ACTUALIZACIÓN DE 25/05/2018:
“El objetivo de esta Política de Privacidad es informarte sobre qué datos recogemos, por qué
los recogemos y cómo puedes actualizarlos, gestionarlos, exportarlos y eliminarlos.
Google desarrolla una variedad de servicios que permiten que millones de usuarios exploren el
mundo e interactúen con él de forma diferente a diario. Estos servicios incluyen:
. Aplicaciones, sitios web y dispositivos de Google, como la Búsqueda de Google, YouTube
y Google Home.
. Plataformas, como el navegador Chrome y el sistema operativo Android.
. Productos que se integran en aplicaciones y sitios web de terceros, como anuncios y
mapas insertados de Google Maps.
Puedes utilizar nuestros servicios de diferentes formas para gestionar tu privacidad. Por
ejemplo, si quieres crear y gestionar contenido, como correos electrónicos y fotos, o consultar
resultados de búsqueda más relevantes, puedes registrarte para obtener una cuenta de
Google. Asimismo, puedes utilizar diversos servicios de Google una vez que hayas cerrado
sesión en tu cuenta o sin que hayas siquiera creado una como, por ejemplo, realizando una
búsqueda en Google o visualizando vídeos en YouTube. También puedes navegar por Internet
de forma privada en Chrome con el modo incógnito. Además, puedes ajustar la configuración
de privacidad en todos nuestros servicios para controlar la información que recogemos y cómo
la utilizamos”.
“Utilizamos la información que recogemos de todos nuestros servicios con las siguientes
finalidades:
. Prestar nuestros servicios…
. Mantener y mejorar nuestros servicios…
. Desarrollar nuevos servicios…
. Ofrecer servicios personalizados, incluido el contenido y los anuncios…
. Medir el rendimiento…
. Comunicarnos contigo…
. Proteger a Google, a nuestros usuarios y al público en general…
Te pediremos tu consentimiento antes de utilizar tu información con una finalidad que no se
incluya en esta Política de Privacidad”.
“Tus controles de privacidad
Puedes elegir qué información recogemos y cómo la utilizamos.
En esta sección, se describen los controles principales que te permiten gestionar la privacidad
en todos nuestros servicios. También puedes acceder a la “revisión de privacidad” para
comprobar y modificar las opciones de privacidad importantes. Además de estas herramientas,
ofrecemos funciones de privacidad específicas en nuestros productos. Puedes obtener más
información en la “guía sobre la privacidad en los productos de Google”.
Gestionar, revisar y actualizar tu información
Si has iniciado sesión, puedes revisar y actualizar la información siempre que quieras
accediendo a los servicios que utilizas. Por ejemplo, Fotos y Drive están diseñados para
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
123/137
ayudarte a gestionar tipos concretos de contenido que has guardado en Google.
También hemos creado un espacio donde revisar y controlar la información que has guardado
en tu Cuenta de Google. Tu “Cuenta de Google” incluye:
. Controles de privacidad
. Controles de actividad. Decide el tipo de actividad que quieres guardar en tu cuenta...
. Configuración de anuncios… Puedes modificar tus intereses, decidir si tu información
personal se utiliza para mostrarte anuncios más relevantes…
. Sobre ti. Controla la información que otros usuarios ven sobre ti en los servicios de
Google.
. Recomendaciones compartidas. Decide si quieres que tu nombre y tu foto aparezcan junto
a tu actividad, como las opiniones y las recomendaciones que se muestran en los anuncios.
. Datos compartidos por ti. Controla con quién compartes información a través de tu cuenta
en Google+.
. Formas de revisar y actualizar tu información
. Mi Actividad. Te permite revisar y controlar los datos que se crean cuando utilizas los
servicios de Google, como las búsquedas realizadas o las visitas a Google Play. Puedes
consultar por fecha o por tema y eliminar la actividad de forma parcial o por completo.
. Panel de Control de Google. Te permite gestionar la información asociada a productos
específicos.
. Tu información personal. Gestiona tu información de contacto, como el nombre, la
dirección de correo electrónico y el número de teléfono.
Al cerrar sesión, puedes gestionar la información asociada a tu navegador o tu dispositivo,
incluida la siguiente:
. Personalización de búsquedas sin iniciar sesión…
. Configuración de Youtube: pausa y elimina tu “historial de búsqueda” … y de
“reproducciones”…
. Configuración de anuncios…
Exportar, retirar y eliminar tu información…
También puedes “solicitar que se retire contenido” de determinados servicios de Google de
acuerdo con las leyes aplicables.
Para eliminar tu información, puedes:
. Eliminar tu contenido de “servicios específicos de Google”.
. Buscar elementos específicos y eliminarlos de tu cuenta mediante “Mi Actividad”.
. “Eliminar productos concretos de Google”, incluida tu información asociada a esos
productos.
. “Eliminar tu Cuenta de Google por completo”.
Por último, puedes utilizar “Administrador de cuentas inactivas” para permitir a otros usuarios
acceso a partes de tu cuenta de Google en caso de que no puedas utilizarla de forma
inesperada.
Puedes utilizar otros métodos para controlar la información que Google recoge tanto si has
iniciado sesión en una Cuenta de Google como si no, por ejemplo:
. Configuración del navegador…
. Configuración del dispositivo…”.
“Compartir tu información…
Cuando Google comparte tu información
No compartimos tu información personal con empresas, organizaciones o individuos ajenos a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
124/137
Google excepto en los siguientes casos:
. Consentimiento. Compartiremos información personal de forma externa a Google si contamos
con tu consentimiento...
. Tratamiento externo. Proporcionamos información personal a nuestros afiliados y a otras
empresas y personas de confianza para que la traten en nuestro nombre…
. Motivos legales. Compartiremos información personal de forma externa a Google si
consideramos de buena fe que es razonablemente necesario acceder a esos datos o
utilizarlos, conservarlos o revelarlos con los siguientes propósitos:
. Cumplir con cualquier requisito previsto en la ley o la normativa aplicables o para atender
un proceso legal o un requerimiento de una autoridad competente…
. Cumplir las condiciones de servicio aplicables, incluida la investigación de posibles
infracciones.
. Detectar, prevenir o solucionar de otra forma fraudes o problemas de seguridad o técnicos.
. Proteger a Google, a nuestros usuarios y al público en general de daños a sus derechos y
bienes o a su seguridad en la medida exigida o permitida por la ley.
Es posible que compartamos información personal no identificable públicamente y con
nuestros partners, como editores, anunciantes, desarrolladores o titulares de derechos. Por
ejemplo, compartimos información públicamente para mostrar las tendencias sobre el uso
general de nuestros servicios. También permitimos que determinados partners recojan
información de tu navegador o dispositivo para fines de medición y publicitarios mediante sus
propias cookies o tecnologías similares…”.
“Exportar y eliminar tu información…
En algunos casos, conservamos los datos durante periodos limitados para finalidades legales o
comerciales legítimas…”.
“Cuándo se aplica esta política
Esta Política de Privacidad se aplica a todos los servicios ofrecidos por Google LLC y sus
afiliados… Esta Política de Privacidad no se aplica a los servicios que estén sometidos a
políticas de privacidad independientes que no incorporen esta Política de Privacidad”.
“Otros recursos útiles
A continuación, se incluyen enlaces a recursos útiles que ofrecen más información sobre
nuestras prácticas y la configuración de privacidad.
. “Tu cuenta de Google” alberga muchas de las opciones que puedes utilizar para gestionar
tu cuenta.
. La “revisión de privacidad” te guía a través de las opciones de privacidad más importantes
para tu cuenta de Google.
. El “Centro de seguridad de Google” ofrece consejos sobre protección y seguridad.
. El “sitio web de privacidad de Google” te proporciona más información sobre cómo
mantenemos tu información privada y segura...”.
b) POLÍTICA DE PRIVACIDAD, ACTUALIZACIÓN DE 22/01/2019:
Incluye los mismos apartados transcritos anteriormente y expresados en los mismos
términos (salvo la referencia al “sitio web de privacidad de Google” que ha sido
suprimida en el apartado “Otros recursos útiles”), pero en esta actualización se añadió
el apartado siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
125/137
“Requisitos europeos
Si la normativa de protección de datos de la Unión Europea es de aplicación al tratamiento de
tu información, te proporcionaremos los controles que se describen en esta política para que
puedas ejercitar tu derecho a solicitar el acceso a tus datos, actualizarlos, retirarlos y restringir
su tratamiento. También tienes derecho a oponerte al tratamiento de tu información o a
exportarla a otro servicio.
El responsable del tratamiento de los datos de los usuarios con residencia habitual en el
Espacio Económico Europeo o Suiza es Google Ireland Limited, a menos que se indique lo
contrario en un aviso de privacidad específico de un servicio. En otras palabras, Google Ireland
Limited es la entidad asociada de Google responsable del tratamiento de tus datos y del
cumplimiento de las leyes sobre privacidad aplicables.
Tratamos tu información con la finalidad que se describe en esta política de acuerdo con los
siguientes fundamentos jurídicos:
Consentimiento
Solicitamos tu autorización para tratar tu información para finalidades determinados y tienes
derecho a revocar tu consentimiento en cualquier momento. Por ejemplo, pedimos tu
consentimiento para ofrecerte servicios personalizados, como anuncios. También pedimos tu
consentimiento cuando recogemos tu actividad de voz y audio para el reconocimiento de voz.
Puedes gestionar estas opciones en tu “cuenta de Google”.
En el ejercicio de intereses legítimos
Tratamos tu información para alcanzar nuestros intereses legítimos y los de terceros y, al
mismo tiempo, aplicamos medidas de protección adecuadas para garantizar tu privacidad.
Esto significa que tratamos tu información con los siguientes objetivos:
. Proporcionar, mantener y mejorar nuestros servicios para satisfacer las necesidades de
nuestros usuarios.
. Desarrollar productos y funciones nuevos que sean útiles para nuestros usuarios.
. Saber cómo utilizan los usuarios nuestros servicios para garantizar y mejorar su
rendimiento.
. Personalizar nuestros servicios para ofrecerte una mejor experiencia de usuario.
. Promocionar nuestros servicios entre los usuarios.
. Ofrecer publicidad para que los usuarios puedan acceder gratuitamente a muchos de
nuestros servicios.
. Detectar, prevenir o solucionar de otra forma fraudes, abusos y problemas de seguridad o
técnicos relacionados con nuestros servicios.
. Proteger a Google, a nuestros usuarios y al público en general de daños a sus derechos y
propiedades o a su seguridad en la medida exigida o permitida por la ley, lo que incluye la
revelación de información a autoridades gubernamentales.
. Llevar a cabo investigaciones que mejoren nuestros servicios para los usuarios y
beneficien al público en general.
. Cumplir las obligaciones con nuestros partners, como desarrolladores y titulares de
derechos.
. Responder a reclamaciones legales, incluida la investigación de posibles infracciones de
las condiciones de servicio aplicables.
Para prestar un servicio
Tratamos tus datos para prestar un servicio que has solicitado el amparo de un contrato. Por
ejemplo, tratamos tus datos de pago cuando compras más almacenamiento para Google Drive.
Para cumplir obligaciones legales
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
126/137
Trataremos tus datos para cumplir una obligación legal que así lo requiera, por ejemplo, para
responder a un proceso legal o un requerimiento de una autoridad competente.
Si tiene alguna pregunta, “puede ponerse en contacto con Google y nuestra oficina de
protección de datos”. También puedes ponerse en contacto con tu autoridad de protección de
datos local si tiene alguna duda sobre tus derechos según la legislación local”.
c) POLÍTICA DE PRIVACIDAD, ACTUALIZACIÓN DE 31/03/2020:
Los apartados incluidos en esta versión coinciden con los de la anterior y se expresan
en los mismos términos, salvo la referencia al ofrecimiento de publicidad en ejercicio
de intereses legítimos, que se expresa de la forma siguiente: “Google muestra
publicidad, lo que permite que muchos de sus servicios sean gratuitos (en el caso de
los anuncios personalizados, pedimos tu consentimiento)”; si bien esta actualización
ha incorporado un nuevo apartado relativo a la “Conservación de datos”.
“Conservar tus datos
Google conserva durante distintos periodos de tiempo los datos que recoge en función del tipo
de datos que son, cómo los usa Google y cómo configuras tus ajustes.
. Hay datos que puedes eliminar cuando quieras, como el contenido que creas o subes.
También puedes eliminar información sobre la actividad guardada en tu cuenta o hacer que
se elimine automáticamente tras un periodo determinado.
. Otros datos se eliminan o se anonimizan automáticamente al transcurrir un período
determinado, como los datos publicitarios en los registros de servidor.
. Hay datos que Google conserva hasta que elimines tu cuenta, como información sobre la
frecuencia con la que usas los servicios de Google.
. También hay datos que Google conserva durante periodos más prolongados para
finalidades legales o comerciales legítimas, como temas de seguridad, prevención de fraude
y abuso o conservación de registros financieros.
Cuando eliminas datos, Google sigue un proceso para asegurarse de que tus datos se borren
completamente y de manera segura de nuestros servidores o de que se conserven solo de
forma anónima. Google intenta asegurarse de que sus servicios eviten que la información se
elimine de forma accidental o maliciosa. Por este motivo, es posible que se produzcan retrasos
desde el momento en que eliminas contenido hasta que las copias desaparecen de los
sistemas activos y los sistemas de copia de seguridad.
Puedes obtener más información sobre los “periodos de conservación de datos” de Google,
incluido cuánto tiempo se tarda en eliminar tu información”.
d) POLÍTICA DE PRIVACIDAD, ACTUALIZACIÓN DE 01/07/2021 (VERSIÓN
ACTUAL):
Los apartados incluidos en esta versión coinciden con los de la anterior, de fecha
31/03/2020 y se expresan en los mismos términos, salvo en los aspectos siguientes:
. En el apartado “Controles de privacidad” se suprime la indicación “Datos compartidos
por ti. Controla con quién compartes información a través de tu cuenta en Google+”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
127/137
. En el apartado “Requisitos europeos”, la información sobre el responsable del
tratamiento y sobre el tratamiento de los datos en base al consentimiento del
interesado queda como sigue:
“Salvo que se indique lo contrario en un aviso de privacidad específico de un servicio, el
responsable del tratamiento de tu información depende del lugar en el que te encuentres:
. Google Ireland Limited para los usuarios de los servicios de Google que se encuentren en
el Espacio Económico Europeo o en Suiza.
. Google LLC para los usuarios de los servicios de Google que se encuentren en el Reino
Unido.
Google LLC es el responsable del tratamiento de la información indexada y mostrada en
servicios como la Búsqueda de Google y Google Maps, independientemente de tu ubicación” .
“Google solicita tu autorización para tratar tu información con unas finalidades determinadas, y
tienes derecho a revocar tu consentimiento en cualquier momento. Por ejemplo, se te pide tu
consentimiento para proporcionarte servicios personalizados, como anuncios basados en tus
intereses. También pedimos tu consentimiento cuando recogemos tu actividad de voz y audio
para el reconocimiento de voz. Puedes gestionar estos ajustes en tu cuenta de Google” .
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
128/137
ANEXO 2
FORMULARIO “RETIRADA EN VIRTUD DE LA LEY DE PRIVACIDAD DE LA UE”.
“Retirada en virtud de la ley de privacidad de la UE
Formulario para solicitar la retirada de información personal
Por motivos de privacidad, es posible que tengas derecho a solicitar que se retire determinada
información personal relacionada contigo.
Con este formulario, puedes solicitar que se retiren determinados resultados de la Búsqueda
de Google devueltos en consultas que incluyen tu nombre. Google LLC es el responsable del
tratamiento de los datos personales a la hora de determinar los resultados que se muestran en
la Búsqueda de Google y de gestionar las solicitudes de retirada enviadas mediante este
formulario.
Si quieres solicitar que se retire información personal de otro producto de Google, envía una
solicitud mediante el formulario de ese producto, que puedes encontrar en la página “Cómo
retirar contenido de Google”. Por ejemplo, si quieres solicitar la retirada de información
personal de Blogger, envía una solicitud a través del formulario de Blogger correspondiente…
Tu información…
(este apartado incluye campos habilitados para que el solicitante facilite sus datos relativos a
país de origen, nombre y apellidos, dirección de correo electrónico, así como para indicar si
actúa en nombre propio o de otra persona (cliente, familiar, amigo u otros). Para este caso, se
informa que el solicitante deberá tener autoridad legal para actuar en nombre del representado
y que Google puede solicitar documentación que confirme esa representación legal).
Identifica la información personal que quieras que se retire y su ubicación
Si esta notificación está relacionada con varios motivos que han sido objeto de una infracción,
envía únicamente el primero aquí abajo. A continuación, haz clic en el enlace "Añadir un nuevo
grupo" que aparece debajo de los cuadros de texto para añadir otro motivo.
Las URL del contenido que incluya la información personal que quieres retirar…
(espacio para indicar la URL)
Introduce una URL en cada línea (1000 líneas como máximo).
Motivo de la eliminación
Para cada una de las URL que facilites, debes indicar lo siguiente:
(1) cómo se relaciona la información personal identificada anteriormente con la persona en
cuyo nombre presentas esta solicitud; y
(2) por qué crees que esta información personal debe retirarse
Por ejemplo: "(1) Esta página está relacionada conmigo porque a, b y c. (2) Esta página
debería retirarse porque x, y y z”.
(espacio para indicar los motivos de la eliminación)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
129/137
Añadir un nuevo grupo (10 grupos como máximo)
Nombre utilizado para realizar búsquedas *
Este debería ser el nombre que, si se utiliza como consulta de búsqueda, produzca los
resultados que quieres eliminar del registro. Si quieres enviar varios nombres (por ejemplo, si
tu apellido de soltera es diferente al que utilizas ahora), utiliza una barra diagonal ("/") para
separarlos. Por ejemplo, "Ana García / Ana Díaz".
(espacio para indicar el nombre utilizado para realizar las búsquedas)
Declaraciones juradas
Lee las siguientes afirmaciones y marca sus casillas para confirmar que las has leído y las
aceptas.
( ) He leído y confirmo que he entendido la explicación del tratamiento de la información
personal que envío, como se describe a continuación:
Google LLC utilizará la información personal que facilites en este formulario (como tu dirección
de correo electrónico y todos los datos de identificación) y la información personal que envíes
en otros mensajes para procesar tu solicitud y cumplir con nuestras obligaciones legales.
Google puede compartir información de tu solicitud con las autoridades de protección de datos,
pero solo si la solicitan para investigar o revisar una decisión que Google haya tomado. Esto
suele ocurrir si te has puesto en contacto con la autoridad de protección de datos nacional en
relación con nuestra decisión. Si, debido a tu solicitud, se han retirado URLs de nuestros
resultados de búsqueda, Google puede facilitar información a los webmasters de dichas URL.
Ten en cuenta que si has iniciado sesión en tu cuenta de Google, podemos asociar tu solicitud
a esa cuenta.
( ) Declaro que la información de esta solicitud es precisa y que estoy autorizado para enviarla.
( ) Comprendo que Google LLC no podrá procesar mi solicitud si el formulario no se ha
rellenado correctamente o si la solicitud está incompleta.
Firma…
Enviar (botón)”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
130/137
ANEXO 3
1. INFORMACIÓN DISPONIBLE EN EL SITIO WEB “LUMENDATABASE.ORG”,
APARTADO “ACERCA DE”.
“Lumen es un proyecto del Berkman Klein Center for Internet & Society de la Universidad de
Harvard.
Lumen es un proyecto de investigación independiente que estudia las cartas de cese y
desistimiento relacionadas con el contenido en línea. Recopilamos y analizamos solicitudes
para eliminar material de la web. Nuestros objetivos son facilitar la investigación sobre los
diferentes tipos de quejas y solicitudes de eliminación, tanto legítimas como cuestionables, que
se envían a los editores de Internet, los motores de búsqueda y los proveedores de servicios, y
brindar la mayor transparencia posible sobre… dichos avisos, en términos de quién los envía y
por qué, y con qué efecto…
Lumen no es el remitente ni el destinatario original de las solicitudes y avisos dentro de su
base de datos… Lumen documenta el proceso de notificación y eliminación… al informar que
se envió y recibió una notificación o solicitud, por quién y para quién, y con respecto a qué
contenido en línea. Lumen no tiene más información sobre un aviso en particular que la que
está presente en un aviso y no puede proporcionar información de contacto para los remitentes
o destinatarios del aviso. Tampoco podemos proporcionar asesoramiento legal.
… la base de datos ahora incluye quejas de todas las variedades, incluidas marcas
registradas, difamación y privacidad, nacionales e internacionales, y órdenes judiciales. La
base de datos de Lumen crece en más de 40 000 avisos por semana, con presentaciones
voluntarias proporcionadas por compañías como Google… A finales de 2021, el proyecto
alberga más de dieciocho millones de avisos, referenciando cerca de cuatro mil quinientos
millones de URL. En 2021, el sitio web del proyecto fue visitado más de diecinueve millones de
veces por más de un millón de usuarios únicos de prácticamente todos los países del mundo…
Contáctenos…
También puede enviar avisos por correo:
Lumen
El Centro Berkman Klein para Internet y Sociedad
23 Everett Street
Cambridge, MA 02138”.
2. INFORMACIÓN DISPONIBLE EN EL SITIO WEB “LUMENDATABASE.ORG”,
APARTADO “AVISO LEGAL”.
“Avisos legales
Ni el sitio web de Lumen ni el equipo de Lumen pueden proporcionar asesoramiento legal
individual: no podemos analizar su sitio web o actividad en particular, o un aviso de eliminación
que haya recibido… Lo que podemos hacer es ayudar a presentar los problemas tal como los
abogados los piensan, y responder preguntas generales… Esperamos que la base de datos en
su conjunto sea un recurso útil…
Tenga en cuenta que la presencia de un aviso en la base de datos de Lumen no significa que
Lumen haya emitido ningún juicio sobre la validez de las afirmaciones que hace, o que las haya
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
131/137
autenticado…Todos los avisos y solicitudes en la base de datos de Lumen han sido
compartidos con nosotros voluntariamente por las empresas o personas responsables de
enviar o recibir los avisos originalmente. Por lo tanto, generalmente presentamos los avisos en
la forma en que se han compartido con nosotros.
…En algunos casos, a pedido de la entidad que compartió un aviso con Lumen… podemos
eliminar un aviso de nuestra base de datos pública...”.
3. INFORMACIÓN DISPONIBLE EN EL SITIO WEB “LUMENDATABASE.ORG”,
APARTADO “INVESTIGADORES”.
“Herramientas Lumen para investigadores
Una introducción al Proyecto Lumen
¿Qué es Lumen?
Lumen es un proyecto de investigación independiente que estudia las cartas de cese y
desistimiento relacionadas con el contenido en línea. Recopilamos y analizamos solicitudes
para eliminar material de la web. Nuestros objetivos son educar al público, facilitar la
investigación sobre los diferentes tipos de quejas y solicitudes de eliminación, tanto legítimas
como cuestionables, que se envían a los proveedores de servicios y editores de Internet, y
brindar la mayor transparencia posible sobre la “ecología” de dichos avisos, en términos de
quién los envía y por qué, y con qué efecto…
…se centró inicialmente en las solicitudes presentadas en virtud de la Ley de derechos de
autor del milenio digital de los Estados Unidos. A medida que Internet y su uso han
evolucionado, también lo ha hecho Lumen, y la base de datos ahora incluye quejas de todas
las variedades, incluidas marcas registradas, difamación y privacidad, nacionales e
internacionales, y órdenes judiciales. La base de datos de Lumen crece en más de 40 000
avisos por semana, con presentaciones voluntarias proporcionadas por compañías como
Google... A partir del verano de 2019, el proyecto alberga aproximadamente doce millones de
avisos, referenciando cerca de cuatro mil millones de URL. En 2018, el sitio web del proyecto
fue visitado más de diez millones de veces por usuarios de prácticamente todos los países del
mundo…
Un aviso o trabajo contiene "[redactado]": ¿qué falta?
El personal de Lumen hace un esfuerzo de buena fe para revisar y redactar cualquier aviso
potencialmente confidencial que reciba el proyecto a fin de eliminar información confidencial o
personal del texto de los avisos. Dicha información puede incluir números de teléfono,
direcciones de correo electrónico o contenido presuntamente difamatorio. Además, una
persona o empresa que envía un aviso directamente a la base de datos de Lumen puede haber
decidido no compartir con Lumen, o mantener en privado, cierta información en el aviso.
Finalmente, Lumen ejecuta procesos automatizados para eliminar cierta información
confidencial de los avisos y descripciones de sus trabajos asociados cuando sea posible.
Tenga en cuenta que para los avisos de DMCA, Lumen normalmente no elimina el nombre del
titular de los derechos que realiza la solicitud o la(s) URL(s) del material reclamado. Sin la
ubicación del material denunciado y del denunciante, los avisos no tienen sentido desde una
perspectiva de transparencia o investigación, por no hablar de que no ofrecen información
sobre el posible uso indebido de los avisos de eliminación como vehículo para la censura.
Cuando una empresa comparte copias de órdenes judiciales que ha recibido con nosotros,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
132/137
Lumen generalmente muestra esas órdenes en la forma en que se han compartido con Lumen
y, además, hace un esfuerzo de buena fe para hacerlo de acuerdo con la ley aplicable de la
jurisdicción de donde surgió la orden. Las órdenes judiciales de los Estados Unidos, a menos
que estén selladas, son documentos públicos...
¿Para quién es Lumen?
Lumen está diseñado para un uso casual tanto por parte de usuarios de Internet legos curiosos
acerca de un aviso que pueden haber encontrado, tal vez en las noticias, o por interés
personal… así como por periodistas, ONG, legisladores, académicos y otros investigadores
legales que realizan investigaciones más profundas y enfocadas o estudian tendencias más
amplias sobre la eliminación de contenido en línea…
Si usted o su organización están interesados en realizar su propia investigación periodística,
académica, legal o centrada en políticas, o si tienen más ideas sobre cómo podemos mejorar la
base de datos y sus interfaces, envíenos un correo electrónico a [email protected].
Ver un aviso
Para los no investigadores, Lumen actualmente ofrece acceso a un aviso completo por
dirección de correo electrónico cada veinticuatro (24) horas. Enviar una dirección de correo
electrónico a través del formulario de solicitud proporcionará una URL de uso único para ese
aviso en particular que mostrará el contenido completo del aviso. El acceso a través de esta
URL tendrá una duración de 24 horas. Vea aquí para más detalles.
¿Como funciona?
La mayoría de los usuarios encontrarán que la interfaz web será suficiente para navegar y
descubrir dentro de la base de datos. Sin embargo, para aquellos que necesitan acceder a
grandes cantidades de datos para su investigación, o para aquellos interesados en enviar
copias de avisos de eliminación a Lumen, ofrecemos nuestra API. Siga leyendo para obtener
más información.
Datos básicos sobre la API y la base de datos
Documentación API
La documentación de la API de Lumen se puede encontrar aquí…
Búsqueda en la base de datos
La mayoría de los usuarios encontrarán que la interfaz web será suficiente para navegar y
descubrir dentro de la base de datos. Sin embargo, para aquellos que necesitan acceder a
grandes cantidades de datos o crear procesos automatizados para digerir las tendencias de
datos, ofrecemos nuestra nueva API.
La búsqueda en la base de datos, ya sea a través de la interfaz web o con la API, se realiza
mediante una búsqueda de texto completo. La búsqueda predeterminada es buscar todos los
campos y facetas de aviso posibles. Las búsquedas también se pueden refinar en función de
segmentos específicos de la base de datos o de facetas específicas de los datos. Consulte la
documentación para conocer los parámetros y metadatos de notificación aplicables.
Consultar la base de datos con la API
Obtener una clave API
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
133/137
Se necesita una clave de autenticación para consultar la base de datos a voluntad a través de
la API. Póngase en contacto con el personal de Lumen en [email protected] para que
le proporcionen uno. Las consultas de API a la base de datos enviadas sin un token se
limitarán a los primeros 25 resultados y a 5 solicitudes por día…
Ejecutar estas consultas de búsqueda a través de la API le permitirá buscar durante un período
de tiempo, así como descargar los resultados de la búsqueda para usarlos y reutilizarlos en las
aplicaciones. Puede encontrar una lista completa de parámetros de búsqueda aquí.
Solicitud de una lista de temas
La base de datos clasifica los avisos en uno o más temas, de los cuales se pueden agregar
más con el tiempo. Ciertos temas se clasifican como subtemas de un tema raíz más amplio y
completo. Por ejemplo, como "DMCA", "uso justo" y "anti-elusión" todos caen bajo "Copyright".
Cada tema tiene una identificación numérica única en la base de datos…
Buscando los avisos
En la interfaz web, por encima de un cierto número de resultados, se paginarán los resultados
de su búsqueda. De forma predeterminada, los resultados se ordenan por relevancia
descendente. Los resultados de búsqueda de texto completo contienen los mismos datos que
los avisos solicitados individualmente, con la adición de un campo de puntuación que articula la
relevancia del resultado para el término de consulta; los números más altos son más
relevantes. Los términos se unen con un 'O' de forma predeterminada.
Descarga de resultados de forma masiva
Para administrar mejor sus recursos, Lumen limita las solicitudes a su API, así como el uso de
la interfaz de usuario basada en la web. Para aquellos interesados en un acceso menos
restringido a la base de datos a través de la API, consulte "Obtención de una clave de API"…”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
134/137
ANEXO 4
1. INFORMACIÓN DISPONIBLE EN EL SITIO WEB “LUMENDATABASE.ORG”,
DOCUMENTO “CONCEPTOS BÁSICOS DE LA INFORMACIÓN DEL AVISO DE
LUMEN”.
“Cada notificación de eliminación y solicitud de eliminación en la base de datos de Lumen está
allí porque una de las partes involucradas en el envío o la recepción de la notificación (por lo
general, pero no siempre, su recepción) ha optado por compartir una copia de esa notificación
con Lumen. Siendo ese el caso, Lumen solo tiene la información que la entidad que comparte
ha elegido compartir con Lumen con respecto a ese aviso…
Nuestros procesos de redacción automática buscan identificar y eliminar lo siguiente: Correos
electrónicos
Números de teléfono
Otras formas de número de identificación (por ejemplo, números de Seguro Social, números de
identificación nacional)
Lumen también hace un esfuerzo de buena fe para no mostrar las direcciones postales de las
personas que son los remitentes o destinatarios de los avisos si esa información se ha incluido
en un aviso…
Por lo general, Lumen NO elimina los nombres de la persona o entidad que posee los
derechos en cuestión que el aviso busca ejercer.
Avisos de la DMCA
En general, cuando Lumen recibe un aviso de DMCA, muestra el aviso tal como lo recibió
Lumen, sujeto únicamente a las redacciones automáticas descritas anteriormente. Esto
significa que Lumen muestra el nombre del titular de los derechos que realiza la solicitud en la
forma en que apareció originalmente en el aviso enviado. Lumen generalmente también
muestra la(s) ubicación(es) de la URL del material denunciado, aunque truncado al dominio de
nivel superior del texto de la URL. Incluimos las URL reclamadas solo como texto sin procesar
y usamos robots.txt para solicitar que las URL, así como todo el contenido de las páginas de
notificación, no sean indexadas por los motores de búsqueda. Sin la ubicación del material
denunciado y la identidad del denunciante, los avisos no tienen sentido desde la perspectiva de
la investigación o la transparencia pública, por no hablar de que no ofrecen información sobre
el posible uso indebido de los avisos de eliminación como vehículo para la censura u otros
fines.
Avisos de difamación
Lumen muestra los avisos de difamación que recibe en la forma en que los recibe, pero hace
un esfuerzo de buena fe para eliminar cualquier lenguaje supuestamente difamatorio que
pueda haber sido incluido…
Órdenes judiciales
Las órdenes de los tribunales de los Estados Unidos son documentos disponibles públicamente
y, por lo tanto, Lumen generalmente los comparte en la forma en que fueron recibidos, sin
censura. Para órdenes judiciales emitidas desde jurisdicciones que no sean los Estados
Unidos, Lumen hace un esfuerzo de buena fe para redactarlas de manera que coincidan con
las restricciones legales relevantes de la jurisdicción en cuestión…
Google
Google es el remitente más grande de Lumen tanto por el volumen total de avisos como por la
cantidad de posibles tipos de avisos. A continuación se incluye una lista actualizada de los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
135/137
tipos de avisos que Google ha elegido compartir con Lumen, ordenados por tipo de aviso
(DMCA, difamación, elusión, etc.) y una lista de los diversos productos de Google (búsqueda,
Blogger, imágenes, etc.) respecto de los cuales Google puede recibir avisos que luego
comparte con Lumen.
Tipos de Avisos que Google comparte con Lumen
DMCA
Elusión
Falsificación
Órdenes judiciales
Difamación
Avisos basados en leyes fuera de los EE. UU. - "Legislación local"
Una lista de productos de Google con respecto a los cuales Lumen puede tener avisos
relacionados
Blogger
Drive y Documentos
Google URL Shortener
Grupos
Búsqueda de imágenes
Búsqueda
Sitios
Tipos de avisos de Google relevantes
AVISOS DE LA DMCA
Como se describió anteriormente, los avisos de DMCA de Google, como todos los avisos de
DMCA en Lumen, se publican en la forma en que se enviaron originalmente. Lumen hace un
esfuerzo de buena fe para eliminar la información de identificación personal que no sea el
nombre del Remitente, que se mostrará en la forma en que se compartió con Lumen.
ELUSION
Los avisos de elusión que Lumen recibe de Google se publican en la forma en que se enviaron
originalmente. Lumen hace un esfuerzo de buena fe para eliminar la información de
identificación personal que no sea el nombre del Remitente, que se mostrará en la forma en
que se compartió con Lumen.
FALSIFICACIÓN (a partir de junio de 2020)
La página de ayuda de Google sobre este tema describe estos avisos de la siguiente manera:
“Al recibir un aviso, Google eliminará las páginas web que venden productos falsificados de
nuestros resultados de búsqueda. Los productos falsificados contienen una marca comercial o
logotipo que es idéntico o sustancialmente indistinguible de la marca comercial de otro. Imitan
las características de la marca del producto en un intento de hacerse pasar por un producto
genuino del propietario de la marca. Esta política solo se aplica a páginas web específicas que
venden productos falsificados y no se aplica a problemas de marcas comerciales no
falsificadas. Si no se limitan las quejas conforme a esta política a las páginas web que venden
productos falsificados, es posible que se restrinjan el envío de futuras quejas".
ORDENES JUDICIALES
Google comparte con Lumen copias de órdenes judiciales de eliminación que recibe, tanto de
tribunales nacionales como extranjeros de EE. UU. Como se describió anteriormente, las
órdenes judiciales de EE. UU., a menos que estén selladas, son registros públicos, y esas
órdenes judiciales se presentan en Lumen en la forma en que Lumen las recibe de Google. Si
Google tiene prohibido compartir el contenido de una orden judicial que ha recibido, eso se
indicará explícitamente en el texto del aviso.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
136/137
Lumen hace un esfuerzo de buena fe para redactar órdenes judiciales extranjeras que se
comparten con Lumen de acuerdo con cualquier ley local aplicable en la jurisdicción de origen
de la orden. Estas redacciones generalmente incluirán nombres, direcciones y otras formas de
PII, y pueden incluir aspectos de las URL en cuestión. Las otras redacciones que están
presentes en un documento pueden variar de un país a otro.
AVISOS DE DIFAMACIÓN
Como cuestión de políticas internas de Google, Google no comparte con Lumen los nombres
de los remitentes de los avisos de difamación. Además, si el nombre de un Remitente/Principal
aparece de alguna forma dentro de una de las URL reclamadas que son el tema del aviso, o
dentro de cualquier texto dentro del aviso, ese texto también se eliminará.
Por ejemplo, una URL original de https://www.blogger.com/JohnQPublicistheworst.com sería
compartido por Google con Lumen como https://www.blogger.com/[eliminado]es lo peor.com
Además, Google no comparte con Lumen el texto ingresado por un reclamante en el “Para
garantizar la especificidad, cite el texto exacto…”
campo en el formulario web de Google.
Texto introducido por un denunciante en el
"Explique en detalle por qué cree que el contenido de las URL anteriores es ilegal, citando
disposiciones legales específicas siempre que sea posible".
Google comparte el campo del formulario web con Lumen y se muestra como parte del aviso
en Lumen tal cual, sujeto únicamente a los procesos de redacción automática de Lumen.
Tenga en cuenta que si el sujeto de la supuesta difamación no es el remitente del aviso, el
nombre de ese sujeto no se eliminará automáticamente del aviso. Notifique a Lumen si el
nombre de la persona presuntamente difamada todavía está presente en un aviso.
NOTIFICACIONES Y ORDENES JUDICIALES ENVIADAS A GOOGLE SOBRE LEYES
FUERA DE LOS ESTADOS UNIDOS - "Legislación local"
Los avisos enviados a Google por parte de Remitentes en países que no sean los Estados
Unidos generalmente se rigen por la ley local del país de origen. En tales casos, además de las
redacciones estándar de esfuerzo de buena fe de Lumen, las redacciones se realizan de
acuerdo con la ley local aplicable en la jurisdicción de origen de la orden. Estas redacciones
incluirán nombres, direcciones y otras formas de PII, y pueden incluir aspectos de las URL en
cuestión. Las otras redacciones que están presentes en un documento pueden variar de un
país a otro, así como de acuerdo con las decisiones de política interna de Google, de las que
Lumen no tiene conocimiento.
OTROS TIPOS DE AVISOS
Tenga en cuenta que, en este momento, Google NO comparte con Lumen los avisos que
recibe de los ciudadanos de la UE como parte del llamado "Derecho al olvido ("RTBF") o los
avisos enviados a través del formulario de Google para informar sexualmente. imágenes
explícitas, que se pueden encontrar aquí.***
https://support.google.com/websearch/troubleshooter/3111061#ts=2889054%2C2889099
Google a veces indica, mediante una referencia a un aviso de "marcador de posición" en
Lumen, cuando ha recibido solicitudes para eliminar material sobre el cual no puede compartir
más información.
1. https://lumendatabase.org/notices/18516
2. https://www.lumendatabase.org/notices/9415 [Alemania]
3. https://lumendatabase.org/notices/10929 [Reino Unido]
4. https://lumendatabase.org/notices/11062657 [Francia]
5. https://www.lumendatabase.org/notices/15710816 [para avisos aún no disponibles en
Lumen]
6. https://www.lumendatabase.org/notices/17158812 [Canadá]
7. https://www.lumendatabase.org/notices/13678481 [Agravios de privacidad]
8. https://www.lumendatabase.org/notices/18639436 [AU]
9. https://www.lumendatabase.org/notices/18639403 [Nueva Zelanda]
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
137/137
10. https://lumendatabase.org/notices/20174812”.
2. Información disponible en la dirección de Internet
“https://support.google.com/websearch/troubleshooter/3111061#ts=2889054%2C2889
099”, incluida en el documento anterior, en el apartado “OTROS TIPOS DE AVISOS”.
Conduce a un documento informativo sobre retirada de información de “Google”:
“Retirar información de Google
Somos conscientes de que, en ocasiones, puede que quieras que se retire contenido sobre ti
que hayas encontrado en la Búsqueda de Google. En algunos casos, es posible que Google
retire enlaces a la información de la Búsqueda de Google.
Importante: La Búsqueda de Google muestra información que se ha recogido de sitios web.
Aunque retiremos contenido de la Búsqueda de Google, puede que siga existiendo en la Web.
Esto significa que seguirá siendo posible encontrar el contenido en la página que lo aloja, las
redes sociales, con otros buscadores o de otras maneras. Por este motivo, te recomendamos
que te pongas en contacto con el webmaster del sitio y le pidas que retire el contenido.
Consulta cómo ponerte en contacto con un webmaster.
Si el propietario del sitio web retira la información, esta acabará eliminándose de la Búsqueda
de Google como parte de nuestro proceso de actualización habitual. No obstante, también
puedes informarnos de la existencia de contenido obsoleto mediante la herramienta de retirada
de contenido obsoleto.
Información personal que retirará Google
Si no consigues que el propietario de un sitio web retire material del sitio, Google puede retirar
información personal que suponga un riesgo importante de robo de identidad, fraude financiero
u otro tipo de daños específicos. En los siguientes artículos se proporciona información sobre
los tipos de retiradas disponibles:
. Retirar de Google imágenes personales explícitas o íntimas no consentidas
. Retirar de Google pornografía falsa publicada sin consentimiento
. Retirar de Google contenido sobre mí de sitios en los que se llevan a cabo prácticas
abusivas de retirada de contenido
. Retirar de Google información financiera, médica y de documentos de identificación
nacional . Retirar contenido de "doxxing"; es decir, contenido que expone información de
contacto con intención de perjudicar a alguien
. Retirar imágenes de menores de edad de los resultados de búsqueda de Google
Te recomendamos que consultes el artículo correspondiente al tipo de contenido del que
quieres solicitar la retirada. Si crees que tu solicitud cumple los requisitos que se describen en
ese artículo, puedes enviar una solicitud de retirada de contenido tal y como se indica en él.
Otra información que retirará Google
Google también retira contenido por motivos legales específicos, como las infracciones de
derechos de autor de la DMCA y las imágenes de abuso sexual infantil. Para solicitar una
retirada de contenido por un motivo legal, utiliza el formulario de solución de problemas
legales”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es