Derecho al olvido: ¿el buscador puede informar a la fuente de la eliminación de un enlace?

[Miquel Peguera. 4 marzo 2017] @MiquelP

El pasado mes de septiembre, la Agencia Española de Protección de Datos (AEPD) impuso a Goo
gle Inc. una sanción de 150.000 Euros, en una resolución que pasó relativamente desapercibida y que sin embargo afecta a un aspecto muy sensible del llamado derecho al olvido: la cuestión de si el buscador puede informar a los editores de los sitios webs afectados que, en respuesta a una petición de derecho al olvido, ha decidido eliminar enlaces a su contenido para ciertas búsquedas.

Comunicar la eliminación de enlaces a los webmasters parece ser una práctica habitual de los buscadores. Por lo menos así es en el caso de Google, que proporciona dicha información a los que se han dado de alta en la herramienta “Search Console” (anteriormente llamada “Webmasters Tools”). A raíz de tres algunas denuncias, la AEPD decidió examinar de qué modo Google realiza esta comunicación y si resulta conforme con la LOPD. La Agencia concluyó que dicha práctica constituye una vulneración del deber de secreto del art. 10 de la LOPD, tipificada como infracción grave.

El hecho de que el buscador informe a los editores es visto con desconfianza, como una argucia del motor de búsqueda para impedir que el afectado se salga con la suya. En efecto, existe el temor de que el editor del sitio web afectado –por ejemplo un periódico digital–, reaccione dando mayor publicidad y visibilidad a la información que se quiere ocultar, de modo que se frustre en la práctica el derecho del interesado que solicitó la eliminación del enlace. Un caso paradigmático fue el del sitio web de la BBC, que publicó la lista de las URL eliminadas de las búsquedas. Aunque se limitaba a listar las URL, sin ni siquiera incluir el título de la información, permitía fácilmente descubrir quien había solicitado la remoción de los enlaces.

En todo caso, un medio que recibe esa información puede en cierto modo “boicotear” la eliminación del enlace simplemente adjudicando una nueva URL al mismo contenido, lo que exigiría al interesado instar de nuevo el derecho al olvido ante el buscador respecto de esa nueva dirección.

No tengo constancia de reacciones de este tipo en medios o webs españoles. Google esgrime que en algunos casos, cuando el medio ha sabido de la eliminación de un enlace ha decidido anonimizar los datos que aparecían en la información publicada, fortaleciendo así el objetivo perseguido por el afectado. La AEPD no hace mucho caso a esta alegación, que entiende no probada y sugiere que podría haberse debido a que el interesado quizá ejercitó también su derecho de cancelación ante el medio. Sostiene que “son numerosos y conocidos los casos en que los editores, a partir de la comunicación recibida del motor de búsqueda, han actuado en formas que han vaciado de eficacia la decisión de bloquear: publicación de noticias relativas al bloqueo, con indicación de las personas afectadas, cambio de las URL, elaboración de listas con todas las URL bloqueadas en relación con un mismo editor, comunicación a terceros de las URL bloqueadas”.

Para corroborar esta afirmación la AEPD señala que ha conocido casos de este tipo en tres procedimientos de tutela de derechos. Sin embargo ninguno de los casos que cita permite concluir que el webmaster hubiera tomado medidas para obstaculizar la eficacia del derecho al olvido. Se trata simplemente de casos en los que la información es accesible en una URL distinta de la señalada inicialmente a Google.

En el caso TD/00583/2016, la reclamante afirmaba ante la AEPD que Google no había procedido a eliminar un enlace. Google señaló que sí se había eliminado la URL pedida por el interesado. La URL que el interesado indicó a la AEPD era otra distinta. Se desestimó la tutela, porque “la interesada no ha acreditado el ejercicio del derecho ante Google en el que especificara la url concreta sobre la que ha reclamado ante esta Agencia”. De hecho no hay nada en este procedimiento que permita afirmar que hubo una reacción del titular del medio, en este caso un blog, para frustrar el derecho al olvido.

El segundo caso (TD/00642/2016) es similar: una persona pide a Google la remoción un enlace, y luego acude a la Agencia quejándose de una URL distinta. La AEPD desestima la tutela. Pero viendo los detalles del caso es aún más sorprendente que se cite como un supuesto en el que el webmaster hubiera tratado de obstaculizar el derecho al olvido. En efecto, se trataba de un enlace al Boletín Oficial de la Junta de Andalucía, que quedó fuera de los resultados de búsqueda porque el propio Boletín incluyó la URL en el fichero robots.txt. Nada más lejos de una reacción para frustrar el derecho al olvido. De hecho, la URL dejó de aparecer en los resultados de búsqueda precisamente por las medidas adoptadas por el webmaster. La segunda URL ofrece la misma información, pero no fue reclamada ante el buscador y es difícil pensar que el webmaster haya querido asignar otra dirección para evitar la localización de la información después de haberse asegurado de aplicar el protocolo robots.txt para la primera URL. El último caso que cita la resolución, el procedimiento TD/00700/2016, se refiere a una treintena de URLs, sin ningún elemento que permita concluir que hubo obstrucción por parte de los webmasters afectados.

Parece claro, en todo caso, que si el editor adoptara alguna acción dirigida a frustrar el derecho al olvido, la responsabilidad de ese tratamiento seria imputable al editor, y el buscador debería atender la nueva petición de derecho al olvido.

Se trata de cualquier modo de un tema sensible. El Grupo de Trabajo del Artículo 29 (GT29) –que reúne a las Autoridades de Protección de datos de los Estados Miembros– se refirió a esta cuestión en un dictamen de 2014, en el que establecía criterios interpretativos comunes para la aplicación práctica del derecho al olvido. Sostuvo que los motores de búsqueda no deben, como práctica general, informar a los webmasters de que se han eliminado enlaces a sus páginas para determinadas búsquedas. El argumento principal era que dicha comunicación constituirá a menudo un tratamiento de datos personales y por tanto requerirá una base de legitimación. Para el GT29, el artículo 7 de la Directiva 95/46 no proporciona base legal para realizar de modo sistemático tales comunicaciones. El mismo dictamen admitía sin embargo que “puede ser legítimo para los motores de búsqueda contactar con los editores originales antes de tomar cualquier decisión sobre una solicitud de retirada, en casos especialmente difíciles, cuando sea necesario lograr una comprensión más completa sobre de las circunstancias del caso. En tales casos, los motores de búsqueda deben tomar todas las medidas necesarias para salvaguardar adecuadamente los derechos del titular de los datos afectado”.

Así pues, aunque no especifica cual sería la base de legitimación para llevar a cabo esa comunicación previa, el GT29 considera que puede ser legítima cuando resulte necesaria para una comprensión adecuada de las circunstancias que permita llevar a cabo el juicio de ponderación. En cambio, rechaza que el buscador pueda informar a posteriori, cuando ya se ha tomado la decisión de eliminar el enlace. O, más precisamente, rechaza que esta comunicación a posteriori pueda hacerse de modo sistemático como práctica general. Una vez decidida la eliminación ya no cabría ninguna justificación para esa comunicación, que es vista por tanto con especial recelo. De todos modos, desde el punto de vista de la valoración del riesgo que supone para el interesado, si el peligro es que el medio boicotee el derecho al olvido republicando la información, el problema se planteará igualmente si la comunicación es previa. Así que si la comunicación previa se considera legítima quizá quepa encontrar también argumentos que justifiquen la ulterior. Google ofrece unos cuantos, que son rechazados por la AEPD. Igual suerte corren las alegaciones de que en realidad la comunicación está ya autorizada o consentida por el interesado, o que es un tratamiento compatible con el solicitado por el mismo, o incluso que la comunicación no constituye en realidad un tratamiento de datos personales.

Este último argumento se basa en que Google se limita a indicar al editor las direcciones de las páginas (las URL) que se han visto afectadas, y esto no supondría la comunicación de ningún dato personal. Creo que la resolución de la AEPD es consistente con las nociones omnicomprensivas de “dato personal” y “tratamiento de datos” al concluir que a pesar de que en la propia URL no aparezca ningún nombre, se trata en todo caso de un tratamiento de datos personales, porque lo que se comunica es una información asociada a una persona identificable. La información es el dato de que se ha solicitado –y  concedido– la supresión del enlace. Y esa información está vinculada a una persona (el solicitante), que puede ser fácilmente identificada por el editor aunque en la página aparezcan nombres de diversas personas. Es cierto que el editor ya disponía de los datos personales que aparecen en el contenido que se desenlaza, pero no disponía del nuevo dato personal que se le comunica: la información de que esa persona ha ejercitado el derecho al olvido. Por lo demás, alegar que la persona no es identificable para el editor no se compadece bien con argumentar que la comunicación se hace para que el editor pueda proporcionar más información para la ponderación de intereses, puesto que dicha ponderación incluye la valoración de las circunstancias del interesado, como su papel en la vida pública.

Por otra parte, parece difícil concluir que el solicitante ya consintió en la comunicación al editor de esa información. Ciertamente en el formulario de derecho al olvido advierte al solicitante que “Google puede proporcionar información a los webmasters de las URL que se hayan retirado de nuestros resultados de búsqueda.” No es una opción que pueda elegir o rechazar, es una mera información. Haber leído esta información y a pesar de todo enviar el formulario no equivale a prestar el consentimiento que exige la LOPD.

Mayor justificación podría encontrarse quizás en que precisamente para llevar a cabo lo solicitado por usuario, el buscador debe necesita recabar información de la fuente que publicó el contenido. Así, se trataría no sólo de un tratamiento compatible con el consentido, sino necesario para llevar a cabo lo solicitado. De todos modos, lo cierto es que la comunicación que realiza Google a través de la herramienta de webmasters no consiste en solicitar información sobre la circunstancias del caso, sino que se limita a informar sobre la eliminación del enlace. Y si el enlace ya se había eliminado, entonces la comunicación no seria estrictamente necesaria (pues su ausencia no impidió tomar una decisión, por lo menos una decisión provisional, de eliminación), aunque podría seguir siendo conveniente y en todo caso compatible con la cancelación.

Por lo demás, el hecho de la comunicación sea a posteriori no priva de la posibilidad de que el editor aporte de modo eficaz información sobre las circunstancias que permitan valorar la petición. Así lo argumenta Google, destacando que el editor puede también aportar información a posteriori, y que esos datos pueden hacer reconsiderar la retirada del enlace, mientras que podría ser perjudicial para el interesado demorar el juicio de ponderación hasta disponer de todos los datos. La AEPD niega que el buscador disponga de esta posibilidad de reconsiderar la remoción del enlace: “Es obvio que Google no tiene esa facultad de revisión para negar a posteriori un derecho que ya hubiese sido reconocido, y que esa revisión, de llevarse a efecto, llevaría a la entidad a tratar nuevamente los datos del afectado en contra de su expreso deseo, en clara vulneración de la LOPD.” A mi juicio, el argumento de la Agencia aquí es poco convincente. Del mismo modo que el buscador puede negarse a retirar un enlace si considera que el contenido es de interés público, y mantenerlo por tanto contra el expreso deseo del interesado, puede revisar una decisión inicial de retirada a la vista de una más completa información sobre las circunstancias del caso.

Otro de los argumentos de la discusión es que la comunicación de que se ha recibido y estimado una solicitud de cancelación, no es extraña a la Directiva, ni a la LOPD, ni al nuevo Reglamento General de Protección de datos.

En efecto, el art. 12 c) de la todavía vigente Directiva 95/46 dispone que los Estados miembros deben garantizar a los interesados el “derecho de obtener del responsable del tratamiento: (…) c) la notificación a los terceros a quienes se hayan comunicado los datos de toda rectificación, supresión o bloqueo efectuado de conformidad con la letra b), si no resulta imposible o supone un esfuerzo desproporcionado”, previsión que recoge la LOPD en su art. 16.4, al tratar sobre la rectificación o cancelación: “4. Si los datos rectificados o cancelados hubieran sido comunicados previamente, el responsable del tratamiento deberá notificar la rectificación o cancelación efectuada a quien se hayan comunicado, en el caso de que se mantenga el tratamiento por este último, que deberá también proceder a la cancelación.” Ambos preceptos establecen la obligación de informar sobre la rectificación o cancelación a los terceros a quienes se hayan comunicado los datos. Es oportuno notar la forma impersonal (“se hayan”) en ambos textos. El responsable deberá notificar por tanto, no sólo a los terceros a quienes el propio responsable hubiera comunicado los datos, sino a todos los que están tratando los datos, sin que necesariamente los hayan recibido por comunicación directa de ese responsable. La referencia a que los datos hayan sido comunicados puede dar a entender que el perímetro de sujetos a los que obligatoriamente debe notificarse la cancelación no incluye a quienes ya los estaban tratando antes. Sin embargo no parece que el objetivo del precepto sea excluir de la obligación la notificación ascendente, esto es, a la fuente de la que el responsable obtuvo los datos. En una cadena de múltiples responsables, la solicitud dirigida a uno que se halle a medio camino, y que quizás sea el más notorio, no tiene porqué implicar que la notificación no deba llegar a los que se hallan río arriba. El precepto busca en último término que todos los que tratan los datos sepan de la solicitud de cancelación y a su vez cancelen el tratamiento -salvo, claro está, que dispongan de una base de legitimación que les permita continuar con el mismo-.

En sentido similar, al tratar sobre el “derecho al olvido”, el art. 17.2 del Reglamento General de Protección de Datos (RGPD), que será de aplicación a partir de mayo de 2018, dispone: “Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos.” De modo aún más amplio que en la Directiva y en la LOPD, se trata de notificar a todos los responsables que estén tratando los datos. Ya no se hace referencia a que se les hayan comunicado los datos. ¿Se incluirían entre los destinatarios de la obligada notificación los webmasters, que en todo caso son responsables que están tratando los datos objeto de la solicitud de derecho al olvido? La AEPD cree que no, porque el precepto se refiere al caso en que el responsable “hecho públicos los datos”, lo que no ocurriría con el buscador. Sin embargo, al margen de que puede entenderse que también el buscador hace públicos los datos, esta lectura supondría liberar al buscador de toda obligación de notificar la cancelación a otros responsables del tratamiento, lo que probablemente no responda al propósito de la norma.

Con independencia de la interpretación última que quiera darse a este precepto y a los anteriores (Directiva y LOPD), es de notar que estas normas imponen pacíficamente una comunicación que podría despertar los mismos recelos que la que es objeto de examen, ya que los responsables a quienes se notifique podrían también potencialmente reaccionar dando mayor publicidad a su propio tratamiento, obstaculizando así el derecho ejercitado.

 

Volviendo a la cuestión general, se trata en último término de saber si existe una legitimación para llevar a cabo el tratamiento de datos consistente en realizar esa comunicación al webmaster. La AEPD, siguiendo la posición fuerte del TJUE concede poca relevancia al posible interés legítimo del buscador. Y por otra parte niega que el editor pueda tener interés legítimo en recibir tal información, con el argumento de que el buscador no le reconoce un derecho a que sus contenidos sean indexados o aparezcan en un determinado orden de relevancia. Sin embargo, lo que el buscador reconozca o no al editor no debería ser un argumento concluyente para limitar los posibles derechos o intereses que le correspondan.

Por último, desde un punto de vista más técnico-jurídico, cabe notar que la Agencia concluyó que con esta comunicación al webmaster, Google vulnera el deber de secreto establecido en el art. 10 de la LOPD ([e]l responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos), lo que constituye una infracción grave de acuerdo con el art. 43.3.d). Descarta en cambio la AEPD que constituya un supuesto de comunicación ilícita de datos del art. 11. En efecto, en tal caso, la misma conducta daría lugar a dos infracciones distintas, esta última por el art. 43.3.k). Por ello la AEPD interpreta que la comunicación de datos del art. 11 se refiere sólo a los casos en que existe la voluntad de ceder los datos para que sean tratados de forma automatizada por el cesionario, lo que no se verificaría en este caso, que por tanto debe considerarse en el ámbito del deber de secreto. En realidad es difícil escapar al solapamiento de las conductas tipificadas como infracción, un problema que deriva del carácter omnicomprensivo de la noción de “tratamiento”. En efecto, la misma conducta aquí considerada –si se entiende que no está justificada– entraría también en la infracción tipificada en el art. 43.3.b), aunque parece obvio que una misma actividad no puede ser sancionada tres veces.

El caso es interesante y habrá que estar atentos a lo que en su momento dictamine la Audiencia Nacional en el previsible recurso de Google contra la resolución de la AEPD.