Resumen y resultado del caso

El Instituto Federal de Acceso a la Información y Protección de Datos – IFAI (actual INAI), resolvió una solicitud de un ciudadano para que Google México S. De R.L. de C.V. (en adelante Google México), eliminara de los resultados de su motor de búsqueda sus datos personales (nombre y apellido). La empresa consideró que no debía atender la solicitud ya que no era la persona moral responsable por el manejo del motor de búsqueda de Google en México. Sin embargo, el IFAI concedió la solicitud del ciudadano y ordenó a Google México realizar las acciones necesarias para respetar los derechos de cancelación y oposición del interesado.

Hechos

Un ciudadano mexicano ejerció sus derechos de cancelación y oposición frente a Google México solicitando que este cancelara, suprimiera y bloqueara su nombre del motor de búsqueda Google, al considerar que la información que aparecía al introducir su nombre en el buscador fue publicada sin su consentimiento, afectando su intimidad y sus relaciones comerciales y financieras. El ciudadano consideró, además, que la divulgación de la información ponía en riesgo su seguridad personal y su integridad física al tratarse de datos de carácter patrimonial, financiero y judicial.

Google México hizo caso omiso de la mencionada solicitud, por lo cual el titular de los datos inició un procedimiento administrativo ante el IFAI. En el marco de este procedimiento, Google México presentó un escrito de respuesta en el cual manifestó no ser quien presta el servicio de motor de búsqueda Google, ya que este es prestado por Google Inc., empresa estadounidense. Por lo anterior, el titular debía contactarse directamente con dicha empresa para tramitar su solicitud.

Por su parte, el titular manifestó su inconformidad con la respuesta de Google México ante el IFAI, y consideró que esta empresa debía estar sujeta a la Ley de Protección de Datos, especialmente cuando los resultados de su motor de búsqueda afectaran los derechos fundamentales a la dignidad y la protección de datos. Al respecto, señaló el criterio orientador del Tribunal de Justicia de la Unión Europea en el caso AEPD y Mario Costeja v Google Spain y Google Inc., según el cual, “un motor de búsqueda puede afectar significativamente […] los derechos fundamentales de respeto de la vida privada y de protección de datos personales” [p. 6].

Luego de una conciliación fallida entre las partes, el IFAI procedió a conceder la solicitud del titular y a ordenar a Google México que hiciera efectivos los derechos del interesado. Igualmente inició un proceso sancionatorio en contra de la empresa.

Análisis de la Decisión

La autoridad administrativa tuvo que resolver en este caso si Google México era responsable por el tratamiento de los datos personales de un titular en los términos de la Ley Federal de Protección de Datos Personales. A su vez, al responder a esta pregunta afirmativamente, se preguntó si Google México atendió a tiempo y de forma correcta la solicitud de cancelación y oposición de datos personales del interesado.

Luego de revisar el acta constitutiva de Google México que determinó su calidad de persona jurídica legalmente constituida, la autoridad encontró que dentro de su objeto social efectivamente se contempló “la prestación de todo tipo de servicios a través de medios electrónicos, incluyendo entre otros, servicios de motor de búsqueda” [p. 15]. A su vez, en el marco de una inspección ocular se introdujo el nombre y apellidos del titular en el motor de búsqueda, con lo cual se confirmó que, al teclear estos datos, “sin necesidad de ejecutar alguna otra acción”, surgía información de varias páginas electrónicas que incluían los datos personales del actor. En este sentido, la autoridad concluyó que Google México sí presta el servicio motor de búsqueda en México, y sí es responsable del tratamiento de los datos personales del titular, específicamente de su nombre y apellidos. Frente a la importancia de responsabilizar al motor de búsqueda por el tratamiento de datos personales, la autoridad aseveró que esta responsabilidad debe endilgarse “[m]áxime si se considera que dicho tratamiento permite que cualquier internauta que utilice el motor de búsqueda para localizar información de una persona, a través de su nombre, tenga acceso a información sobre la vida de ésta de forma estructurada, de tal suerte que dicha circunstancia puede afectar los derechos humanos a la vida privada y a la protección de los datos personales” [p. 35].

Establecido lo anterior, el IFAI procedió a exponer por qué el motor de búsqueda no atendió a tiempo ni en forma correcta la solicitud del titular de datos. En primer lugar, constató que la empresa nunca respondió la solicitud directa del interesado. A su vez, la respuesta que sí hizo llegar dentro del proceso ante el IFAI no fue correcta puesto que al haberse establecido que Google México sí es quien presta el servicio de motor de búsqueda y trata los datos personales del recurrente, el argumento de la imposibilidad de atender la solicitud de cancelación y oposición por no ser la persona moral que administra la operación del motor de búsqueda Google no pudo tenerse como válido.

En este sentido, el IFAI estableció que la empresa negó el ejercicio de derechos de oposición y cancelación del titular al no atender su solicitud, y que además lo hizo sin causa justificada puesto que no acreditó encontrarse en alguno de los supuestos de excepción previstos en los artículos 26 y 34 de la Ley Federal de Protección de Datos Personales [1]. Acerca de las mencionadas excepciones vale la pena destacar que el numeral 5to del artículo 26, contempla que el responsable no estará obligado a cancelar los datos personales cuando “sean necesarios para realizar una acción en función del interés público”. Sin embargo, el IFAI no ahondó en la posibilidad de que esta excepción fuera aplicable al caso.

Para argumentar las razones por las cuales se deben proteger los derechos del titular el IFAI retomó el argumento del caso AEPD y Mario Costeja v Google Spain y Google Inc., según el cual efectivamente un motor de búsqueda es responsable por el tratamiento de datos personales. Para el IFAI, en el mismo sentido de la sentencia citada, dicho tratamiento puede afectar significativamente los derechos de respeto a la vida privada y la protección de los datos cuando una búsqueda en Internet se realiza a partir del nombre de una persona física, pues implica un acceso excesivamente fácil a la información personal que pueda hallarse sobre tal persona.

En este sentido, la entidad procedió a imponer al responsable la obligación de hacer efectivo el ejercicio de los derechos del titular. Lo anterior incluyó abstenerse de tratar los datos personales del interesado para que cuando estos sean tecleados no aparezcan los links que dicho titular refirió en su solicitud, y eliminar los datos de modo que no obren en las bases de datos del responsable.

Finalmente, el IFAI argumentó que, al haberse constatado la responsabilidad de Google México en el tratamiento de datos y su negativa a atender los derechos del titular, era procedente una sanción en los términos de la Ley Federal de Protección de Datos Personales.

[1] “Artículo 26.- El responsable no estará obligado a cancelar los datos personales cuando:

1. Se refiera a las partes de un contrato privado, social o administrativo y sean necesarios para su desarrollo y cumplimiento; 
II. Deban ser tratados por disposición legal; III. Obstaculice actuaciones judiciales o administrativas vinculadas a obligaciones fiscales, la investigación y persecución de delitos o la actualización de sanciones administrativas; IV. Sean necesarios para proteger los intereses jurídicamente tutelados del titular; 
V. Sean necesarios para realizar una acción en función del interés público; VI. Sean necesarios para cumplir con una obligación legalmente adquirida por el titular, y VIl. Sean objeto de tratamiento para la prevención o para el diagnóstico médico o la gestión de servicios de salud, siempre que dicho tratamiento se realice por un profesional de la salud sujeto a un deber de secreto».

«Artículo 34.- El responsable podrá negar el acceso a los datos personales, o a realizar la rectificación o cancelación o conceder la oposición al tratamiento de los mismos, en los siguientes supuestos: l. Cuando el solicitante no sea el titular de los datos personales, o el representante legal no esté debidamente acreditado para ello; II. Cuando en su base de datos, no se encuentren los datos personales del solicitante; III. Cuando se lesionen los derechos de un tercero; IV. Cuando exista un impedimento legal, o la resolución de una autoridad competente, que restrinja el acceso a los datos personales, o no permita la rectificación, cancelación u oposición de los mismos, y V. Cuando la rectificación, cancelación u oposición haya sido previamente realizada”.