1/7
1035-150719
Expediente Nº: TD/00185/2019
RESOLUCIÓN Nº: R/00498/2019
Vista la reclamación formulada el ante esta Agencia por D. A.A.A., contra
GOOGLE LLC (GOOGLE SPAIN, S.L.), por no haber sido debidamente atendido su
derecho de supresión.
Realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de
los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes
HECHOS
PRIMERO: Con fecha 18 de junio de 2018, D. A.A.A. (en adelante, la parte
reclamante) ejerció derecho de supresión en relación con una URL frente a GOOGLE
LLC (GOOGLE SPAIN, S.L. en adelante, la parte reclamante).
Concretamente solicita la retirada de una reseña publicada en Google My
Business accesible en la URL:
***URL.1
SEGUNDO: Con fecha 20 de mayo de 2019, de conformidad con el artículo 65.4 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales y a los efectos previstos en su artículo 64.2, la
Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la
reclamación presentada por la parte reclamante contra reclamado y se acuerda dar
traslado de la reclamación, para que en el plazo de quince días hábiles presente las
alegaciones que considere convenientes y se informa a las partes que el máximo para
resolver el procedimiento será de seis meses, por lo que se realizaron, en síntesis, las
siguientes alegaciones:
GOOGLE manifiesta en las alegaciones formuladas durante la tramitación del
presente procedimiento que, la solicitud de retirada de una reseña publicada en
Google My Business, se denegó motivadamente.
Con motivo de este procedimiento Google Ireland Ltd. ha examinado
nuevamente la solicitud y ha decidido retirar la reseña en cuestión por una
infracción de las políticas de contenido de Google My Business.
Se ha informado de tal extremo el 17/06/2019 a la parte reclamante.
Con fecha 27 de junio de 2019, ésta Agencia a través del Soporte del
Servicio de Notificaciones Electrónicas y Dirección Habilitada (plataforma
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es
2/7
Notific@), puso a disposición de la parte reclamante las alegaciones
presentadas por el reclamado, para que en el plazo de quince días se remita a
esta Agencia las alegaciones que consideren convenientes.
Y con fecha 5 de julio de 2019 el sistema Notifica@ procede al rechazo
automático de la notificación por haber transcurrido diez días naturales desde
la puesta a disposición de la notificación sin que se acceda a su contenido.
Dado que no se accedió a la citada notificación, de forma excepcional, se
procedió a su remisión por correo postal, que fue recibida el 11 de julio de
2019, sin haber recibido en esta Agencia escrito de alegaciones.
FUNDAMENTOS DE DERECHO
PRIMERO: Es competente para resolver la Directora de la Agencia Española de
Protección de Datos, conforme a lo establecido en el apartado 2 del artículo 56 en
relación con el apartado 1 f) del artículo 57, ambos del Reglamento (UE) 2016/679 del
Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de
las personas físicas en lo que respecta al tratamiento de datos personales y a la libre
circulación de estos datos (en lo sucesivo, RGPD); y en el artículo 47 de la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de
los derechos digitales (en lo sucesivo LOPDGDD).
SEGUNDO: El artículo 64.1 de la LOPDGDD, dispone que:
“1. Cuando el procedimiento se refiera exclusivamente a la falta de atención de
una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del
Reglamento (UE) 2016/679, se iniciará por acuerdo de admisión a trámite, que se
adoptará conforme a lo establecido en el artículo siguiente.
En este caso el plazo para resolver el procedimiento será de seis meses a contar
desde la fecha en que hubiera sido notificado al reclamante el acuerdo de
admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar
estimada su reclamación.”
TERCERO: El artículo 17 del RGPD dispone lo siguiente:
“1. El interesado tendrá derecho a obtener sin dilación indebida del responsable
del tratamiento la supresión de los datos personales que le conciernan, el cual
estará obligado a suprimir sin dilación indebida los datos personales cuando
concurra alguna de las circunstancias siguientes:
a) los datos personales ya no sean necesarios en relación con los fines para los
que fueron recogidos o tratados de otro modo;
b) el interesado retire el consentimiento en que se basa el tratamiento de
conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra
a), y este no se base en otro fundamento jurídico;
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es
3/7
c) el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y
no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se
oponga al tratamiento con arreglo al artículo 21, apartado 2;
d) los datos personales hayan sido tratados ilícitamente;
e) los datos personales deban suprimirse para el cumplimiento de una obligación
legal establecida en el Derecho de la Unión o de los Estados miembros que se
aplique al responsable del tratamiento;
f) los datos personales se hayan obtenido en relación con la oferta de servicios de
la sociedad de la información mencionados en el artículo 8, apartado 1.
2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de
lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del
tratamiento, teniendo en cuenta la tecnología disponible y el coste de su
aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a
informar a los responsables que estén tratando los datos personales de la
solicitud del interesado de supresión de cualquier enlace a esos datos personales,
o cualquier copia o réplica de los mismos.
3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
a) para ejercer el derecho a la libertad de expresión e información;
b) para el cumplimiento de una obligación legal que requiera el tratamiento de
datos impuesta por el Derecho de la Unión o de los Estados miembros que se
aplique al responsable del tratamiento, o para el cumplimiento de una misión
realizada en interés público o en el ejercicio de poderes públicos conferidos al
responsable;
c) por razones de interés público en el ámbito de la salud pública de conformidad
con el artículo 9, apartado 2, letras h) e i), y apartado 3;
d) con fines de archivo en interés público, fines de investigación científica o
histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la
medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u
obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
e) para la formulación, el ejercicio o la defensa de reclamaciones.”
CUARTO: Por lo que se refiere a la naturaleza del buscador como responsable de
tratamiento, cabe señalar que un buscador es una herramienta que facilita al usuario
de internet el acceso a determinadas páginas web. Para ello, la herramienta accede a
una lista de enlaces previamente indexados y ofrece al usuario una relación de
direcciones web que remiten a páginas en las que figuran las palabras seleccionadas
por el usuario.
La Sentencia del Tribunal de la Unión Europea de 13 de mayo de 2014, en su
apartado 28, declara que “al explorar Internet de manera automatizada, constante y
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es
4/7
sistemática en busca de la información que allí se publica, el gestor de un motor de
búsqueda recoge tales datos que extrae, registra y organiza posteriormente en el
marco de sus programas de indexación, conserva en sus servidores y, en su caso,
comunica y facilita el acceso a sus usuarios en forma de listas de resultados de sus
búsquedas. Ya que estas operaciones están recogidas de forma explícita e
incondicional en el artículo 2, letra b), de la Directiva 95/46, deben calificarse de
tratamiento en el sentido de dicha disposición, sin que sea relevante que el gestor del
motor de búsqueda también realice las mismas operaciones con otros tipos de
información y no distinga entre estos y los datos personales.
(…)
Apartado 33:
Ahora bien, el gestor del motor de búsqueda es quien determina los fines y los medios
de esta actividad y, así, del tratamiento de datos personales que efectúa el mismo en
el marco de esta y, por consiguiente, debe considerarse responsable de dicho
tratamiento en virtud del mencionado artículo 2, letra d.
(…)
Apartado 35:
Sobre este particular, procede poner de manifiesto que el tratamiento de datos
personales llevado a cabo en el marco de la actividad de un motor de búsqueda se
distingue del efectuado por los editores de sitios de Internet, que consiste en hacer
figurar esos datos en una página en Internet, y se añade a él.
Apartado 41:
(…) la actividad de un motor de búsqueda, que consiste en hallar información
publicada o puesta en Internet por terceros, indexarla de manera automática,
almacenarla temporalmente y, por último, ponerla a disposición de los internautas
según un orden de preferencia determinado, debe calificarse de tratamiento de datos
personales, en el sentido de dicho artículo 2, letra b), cuando esa información contiene
datos personales y, por otro, el gestor de un motor de búsqueda debe considerarse
responsable de dicho tratamiento, en el sentido del mencionado artículo 2, letra d).”
Consecuentemente, el Tribunal de Justicia considera que el gestor del motor de
búsqueda es el responsable del tratamiento de los datos al determinar los fines y los
medios de su actividad.
QUINTO: En cuanto a la normativa aplicable cabe señalar lo siguiente:
La Sentencia de la Gran Sala del Tribunal de Justicia de la Unión Europea, de
fecha 13 de mayo de 2014, considera a tenor del artículo 4.1.a) de la Directiva 95/46,
en sus apartados 55, 56, 57 y 60, lo siguiente:
“procede considerar que el tratamiento de datos personales realizado en orden al
funcionamiento de un motor de búsqueda como Google Search, gestionado por una
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es
5/7
empresa que tiene su domicilio social en un Estado tercero pero que dispone de un
establecimiento en un Estado miembro, se efectúa en el marco de las actividades de
dicho establecimiento si este está destinado a la promoción y venta en dicho Estado
miembro de los espacios publicitarios del motor de búsqueda, que sirven para
rentabilizar el servicio propuesto por el motor.
En efecto, en tales circunstancias, las actividades del gestor del motor de búsqueda y
las de su establecimiento situado en el Estado miembro de que se trate están
indisociablemente ligadas, dado que las actividades relativas a los espacios
publicitarios constituyen el medio para que el motor de búsqueda en cuestión sea
económicamente rentable y dado que este motor es, al mismo tiempo, el medio que
permite realizar las mencionadas actividades.
(…) la propia presentación de datos personales en una página de resultados de una
página de resultados de una búsqueda constituye un tratamiento de tales datos. Pues
bien, toda vez que dicha presentación de resultados está acompañada, en la misma
página, de la presentación de publicidad vinculada a los términos de búsqueda, es
obligado declarar que el tratamiento de datos personales controvertido se lleva a cabo
en el marco de la actividad publicitaria y comercial del establecimiento del responsable
del tratamiento en territorio de un Estado miembro, en el caso de autos el territorio
español.
(…) debe interpretarse en el sentido de que se lleva a cabo un tratamiento de datos
personales en el marco de las actividades de un establecimiento del responsable de
dicho tratamiento en territorio de un Estado miembro, en el sentido de dicha
disposición, cuando el gestor de un motor de búsqueda crea en el Estado miembro
una sucursal o una filial destinada a garantizar la promoción y la venta de espacios
publicitarios propuestos por el mencionado motor y cuya actividad se dirige a los
habitantes de este Estado miembro.”
SEXTO: En relación a la posibilidad de ejercer el derecho de supresión ante el
buscador de Internet sin acudir al responsable del sitio web, la referida Sentencia del
Tribunal de Justicia de la Unión Europea, en sus apartados 80 y 88, señala que “ un
tratamiento de datos (…) efectuado por el gestor de un motor de búsqueda, puede
afectar significativamente a los derechos fundamentales de respeto de la vida privada
y de protección de datos personales cuando la búsqueda realizada sirviéndose de ese
motor de búsqueda se lleva a cabo a partir del nombre de una persona física, toda vez
que dicho tratamiento permite a cualquier internauta obtener mediante la lista de
resultados una visión estructurada de la información relativa a esta persona que puede
hallarse en Internet, que afecta potencialmente a una multitud de aspectos de su vida
privada, que, sin dicho motor, no se habrían interconectado o sólo podrían haberlo
sido muy difícilmente y que le permite de este modo establecer un perfil más o menos
detallado de la persona de que se trate. Además, el efecto de la injerencia en dichos
derechos del interesado se multiplica debido al importante papel que desempeñan
Internet y los motores de búsqueda en la sociedad moderna, que confieren a la
información contenida en tal lista de resultados carácter ubicuo (véase, en este
sentido, la sentencia eDate Advertisin y otros, C-509/09 y C-161/10, EU:C2011:685,
apartado 45).
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es
6/7
(…) para respetar los derechos que establecen estas disposiciones, siempre que se
cumplan realmente los requisitos establecidos en ellos, el gestor de un motor de
búsqueda está obligado a eliminar de la lista de resultados obtenida tras una
búsqueda efectuada a partir del nombre de una persona vínculos a páginas web,
publicadas por terceros y que contienen información relativa a esta persona, también
en el supuesto de que este nombre o esta información no se borren previa o
simultáneamente de esta páginas web, y, en su caso, aunque la publicación en dichas
páginas sea en sí misma lícita.”
Consecuentemente, el tratamiento de datos de carácter personal que realiza el
gestor de un motor de búsqueda permite que de un “nombre” se obtenga una lista de
resultados que ofrezcan información sobre una persona que pueda afectar a su ámbito
privado. Una vez que el interesado ha presentado su solicitud de supresión de sus
datos personales ante el motor de búsqueda, deberá examinarla y proceder, en su
caso, a la supresión de los enlaces concretos de la lista de resultados, sin que previa o
simultáneamente se tenga que acudir al responsable del sitio web.
SÉPTIMO: En el presente caso, una vez examinada la documentación presentada por
las partes, se observa que, la parte reclamante ejercitó el derecho ante GOOGLE, en
concreto solicita que se retire una reseña publicada en “Google My Business”
accesible en la URL ya referenciada y Google dentro del plazo contesta que, ha
decidido no llevar a cabo ninguna acción en relación con dicha URL.
Por lo tanto, en el supuesto aquí analizado, queda acreditado que la parte
reclamante ejercitó su derecho de supresión de una reseña accesible a través de la
URL disputa ante Google y su solicitud no obtuvo la respuesta legalmente exigible.
No obstante, durante la tramitación del presente procedimiento, Google ha
decidido retirar la reseña en cuestión por una infracción de las políticas de contenido,
siendo dicha alegación objeto de traslado a la parte reclamante, sin que la misma haya
presentado alegación alguna frente al mismo, por consiguiente, procede estimar por
motivos formales la presente reclamación al haberse emitido la respuesta
extemporáneamente sin que se requiera la realización de actuaciones adicionales por
parte del reclamado.
En consecuencia, con la resolución de la presente reclamación, ha quedado
restaurado el derecho de la parte reclamante.
Vistos los preceptos citados y demás de general aplicación,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: ESTIMAR por motivos formales, la reclamación formulada por D. A.A.A.,
contra la entidad GOOGLE LLC (GOOGLE SPAIN, S.L.). No obstante, no procede la
emisión de nueva certificación por parte de dicha entidad, por haber llevado a cabo la
supresión solicitada, sin que se requiera la realización de actuaciones adicionales por
parte del reclamado.
SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a GOOGLE LLC (GOOGLE
SPAIN, S.L.).
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es
7/7
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la
presente Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa (artículo 18.4 de la
LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1
de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas,
se podrá interponer, potestativamente, recurso de reposición ante la Directora de la
Agencia Española de Protección de Datos, en el plazo de un mes a contar desde el
día siguiente a la notificación de esta resolución, o directamente recurso contencioso
administrativo ante la Sala de lo Contencioso-Administrativo de la Audiencia Nacional,
con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la Disposición
Adicional Cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción
Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente
a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto
legal.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan 6 www.aepd.es
28001 - Madrid sedeagpd.gob.es