Resumen y resultado del caso

El Tribunal Europeo de Justicia afirmó que los motores de búsqueda, como Google, son responsables del tratamiento de datos o información personal, y se les puede requerir para remover información personal publicada por terceros, siempre que se busque un equilibrio entre el derecho a la privacidad y el interés público en acceder a la información.

En marzo del año 2010, Costeja González, de nacionalidad española, instó un pleito contra el periódico La Vanguardia, Google Spain y Google, Inc. ante la Agencia Española de Protección de Datos. Costeja le solicitó al periódico que eliminara o modificara las noticias sobre una subasta de inmuebles relacionada con un embargo por deudas a la Seguridad Social. En estas noticias figuraba el nombre de Costeja González. Asimismo, con su demanda, Costeja pretendía que la información publicada por el periódico cesara de estar disponible por medio de motores de búsqueda. Costeja también le solicitó a Google Inc. y a Google Spain que eliminaran u ocultaran la publicación que contenía datos personales. El señor Costeja González argumentó que el procedimiento de embargo había sido resuelto hace varios años y por lo tanto su presencia en el Internet carecía de relevancia. La Agencia desestimó la reclamación en contra de La Vanguardia en virtud de que la publicación realizada por el periódico estaba legalmente justificada mediante orden de varias agencias gubernamentales. Sin embargo, la Agencia sostuvo la reclamación contra Google Inc. y Google Spain. La Agencia entendió que los motores de búsqueda están sujetos a las leyes de protección de datos y deben tomar las medidas necesarias para proteger información personal.

Ambos Google, Inc. y Google Spain interpusieron recursos de apelación ante la Audiencia Nacional contra la determinación de la Agencia. Sin embargo, la Audiencia Nacional detuvo los procedimientos y le plantearon al Tribunal Europeo de Justicia varias cuestiones entre ellas las siguientes: la aplicabilidad de la Directiva 95/46 (sobre protección de datos personales) de la Unión Europea a los motores de búsqueda en el Internet. La Corte determinó que un motor de búsqueda se considera «responsable del tratamiento» de información personal mediante la localización, indexación, almacenamiento y diseminación de dicha información. Además, la Corte determinó que en aras de garantizar los derechos a la privacidad y la protección de información personal de los usuarios, se le puede requerir a los gestores de motores de búsqueda a remover información personal publicada por terceros. Sin embargo, debe haber un justo equilibrio entre el sujeto que solicita la privacidad y el interés del público en acceder a esta información.

---

Hechos

El periódico español La Vanguardia, en el año 1998, publicó dos noticias sobre una subasta de un inmueble relacionada a un embargo por deudas a la Seguridad Social. Ambas noticias señalan al señor Costeja González como el demandado en dicha acción. En el año 2009, el señor Costeja se comunicó con el periódico e indicó que cuando introducía su nombre en el motor de búsqueda de Google obtenía como resultado ambas noticias. Costeja González argumentó que la información debía ser removida debido a que el procedimiento de embargo en su contra había concluido y fue totalmente solucionado. Sin embargo, La Vanguardia rechazó su solicitud. A su vez, el periódico estimó que la publicación de la acción legal obedeció a una orden del Ministerio de Trabajo y Asuntos Sociales. Posteriormente, en el 2010, Costeja pidió a Google Spain que los resultados que se obtenían luego de poner su nombre dejaran de estar ligados a los enlaces de La Vanguardia.

Costeja González radicó una acción contra el periódico, Google Spain y Google Inc. ante la Agencia Española de Protección de Datos luego de que Google no accediera a remover la información del buscador. La Agencia desestimó la acción en contra del periódico La Vanguardia en virtud de que la publicación realizada obedeció a una orden gubernamental. No obstante, la Agencia sostuvo la reclamación contra Google y su subsidiaria, Google Spain. La Agencia estimó que Google y su subsidiaria, al ser gestores de motores de búsqueda que tratan datos personales, están sujetos a normativa en materia de protección de datos. A su vez, se les puede ordenar a estos gestores de motores de búsqueda a que retiren información que pudiera lesionar el derecho fundamental a la protección de datos.

Luego del resultado adverso, Google y Google Spain apelaron por separado la decisión de la Agencia. La Audiencia Nacional de España decidió suspender los procedimientos para dilucidar cuáles son las obligaciones que tiene, en este caso Google, en la protección de datos personales publicados en páginas web de terceros.

---

Análisis de la Decisión

El Tribunal Europeo de Justicia resolvió los interrogantes que le fueron planteados por parte de la Audiencia Nacional de España.

Esta última autoridad judicialplanteó las siguientes cuestiones prejudiciales al Tribunal de Justicia:

(1) Si la Directiva 95/46 implementada en la normativa española puede ser aplicada a un gestor de motor de búsqueda radicado fuera de la Unión Europea que tiene una filial destinada a la promoción y venta de los espacios publicitarios dirigido a los habitantes del Estado miembro.

(2) Si debe considerarse dentro de la definición del concepto de «tratamiento de datos» personales en virtud de la Directiva que un gestor de motor de búsqueda localice información publicada por páginas web de terceros, luego la indexe y finalmente ponerla a disposición de los internautas.

(3) Si el gestor de un motor de búsqueda debe ser considerado como «responsable del tratamiento» de datos personales al amparo del artículo 2(d) de la Directiva.

(4) Si en el ámbito de la protección de datos y otros derechos fundamentales cobijados por la Directiva, los gestores de motores de búsqueda están obligados a retirar o eliminar información personal publicada por páginas web de terceros aun cuando se trate de información publicada lícitamente.

El artículo 1 de la Directiva «tiene por objeto la protección de las libertades y de los derechos fundamentales de las personas físicas, y, en particular, del derecho a la intimidad, en lo que respecta al tratamiento de los datos personales y la eliminación de los obstáculos a la libre circulación de estos datos».

A su vez, la Directiva define «datos personales» como: «toda información sobre una persona física identificada o identificable (el ‘interesado’); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social». Asimismo, el concepto de «tratamiento de datos personales» consiste en cualquier operación o conjunto de operaciones, efectuadas o no mediante procedimientos automatizados, y aplicadas a datos personales, como la recogida, registro, organización, conservación, elaboración o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma que facilite el acceso a los mismos, cotejo o interconexión, así como su bloqueo, supresión o destrucción». Por otra parte, el artículo 2 (d) establece que un «‘responsable del tratamiento’ de datos personales consiste en la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que sólo o conjuntamente con otros determine los fines y los medios del tratamiento de datos personales».

El Tribunal Europeo de Justicia discutió si la actividad de un motor de búsqueda puede ser considerada como «tratamiento» de información personal de acuerdo a la definición establecida en el artículo 2(c) de la Directiva. Si la respuesta resulta ser  afirmativa, habría que determinar si el gestor del motor de búsqueda puede ser considerado un responsable de dicho tratamiento de datos personales.

El Tribunal estimó que resultó incontrovertible el hecho de que entre los «datos hallados, indexados, almacenados por los motores de búsqueda y puestos a disposición de sus usuarios figura también información relativa a personas físicas identificadas o identificables». Dicha información constituye «datos personales» conforme con la definición del artículo 2(a) de la Directiva. A su vez, el Tribunal declaró que «al explorar Internet de manera automatizada, constante y sistemática en busca de la información que allí se publica» [pár. 28], el gestor de motor de búsqueda recoge los datos personales que luego son indexados, almacenados y colocados a disposición de los internautas. Es por ello, que el Tribunal determinó que las acciones de Google, que incluyen recoger, indexar, almacenar y divulgación de información personal es considerada «tratamiento» de dicha información para propósitos de la Directiva.

Subsiguientemente, el Tribunal discutió si Google, como motor de búsqueda, puede ser considerado «responsable» del tratamiento de datos personales. El Tribunal sostuvo que el concepto de «responsable» debe ser interpretado ampliamente para poder garantizar «una protección eficaz y completa de los interesados» [par. 34]. A su vez, el Tribunal estimó que sería contrario a los objetivos señalados en la Directiva, excluir a los gestores de motores de búsqueda de la web debido a que «desempeña un papel decisivo en la difusión global de datos personales» [par. 36].

El Tribunal pasó a discutir si la Directiva, tal y como es implementada en el Estado de Derecho español, puede ser aplicada a Google como un «responsable» del tratamiento de datos personales. El Tribunal indicó que Google Spain fue establecida en el año 2003 por Google, Inc. para que actuara como su agente comercial en España y «destinada a garantizar la promoción y la venta de espacios publicitarios propuestos por el mencionado motor y cuya actividad se dirige a los habitantes de este Estado miembro». En virtud del artículo 4(1)(a), las disposiciones de la Directiva son aplicables cuando: «el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro. Cuando el mismo responsable del tratamiento esté establecido en el territorio de varios Estados miembros deberá adoptar las medidas necesarias para garantizar que cada uno de dichos establecimientos cumple las obligaciones previstas por el Derecho nacional aplicable».

Luego de evaluar en su totalidad los objetivos señalados por la Directiva y el artículo 4(1)(a), el Tribunal determinó que Google está sujeto a estas disposiciones debido a que su subsidiaria Google Spain está establecida en España y «está destinado a la promoción y venta en dicho Estado miembro de los espacios publicitarios del motor de búsqueda, que sirven para rentabilizar el servicio propuesto por el motor». [para. 55].

Finalmente, el Tribunal evaluó el alcance de la responsabilidad de Google como un motor de búsqueda en la web con relación a información personal publicada por páginas web de terceros, así como cuando un sujeto afectado por los datos manejados solicita que se retiren o se alteren los datos personales. Las disposiciones aplicables aquí son el artículo 12(b) y el 14(a) de la Directiva. Según el artículo 12(b), todos los interesados tienen el derecho de obtener del responsable del tratamiento, «en su caso, la rectificación, la supresión o el bloqueo de los datos cuyo tratamiento no se ajuste a las disposiciones de la presente Directiva, en particular a causa del carácter incompleto o inexacto de los datos». Asimismo, el artículo 14(a) concede a los interesados el derecho a oponerse «en cualquier momento y por razones legítimas propias de su situación particular, a que los datos que le conciernan sean objeto de tratamiento, salvo cuando la legislación nacional disponga otra cosa». La disposición también indica de que en «caso de oposición justificada, el tratamiento que efectúe el responsable no podrá referirse ya a esos datos».

Google Spain y Google, Inc. argumentaron que, basado en el principio de proporcionalidad, la remoción de información personal debe ser solicitada a la página web que inicialmente publicó dicha información. Ambos, a su vez, establecieron que es el sitio de Internet el que está en mejor posición de examinar la licitud de la información que publicó.

Ante este argumento, el Tribunal para poder contestar dicha pregunta señaló la importancia de los derechos fundamentales a la privacidad y protección de datos personales. El artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea establece que «toda persona tiene derecho a la protección de los datos de carácter personal que la conciernan». Asimismo, el artículo estima que «estos datos se tratarán de modo leal, para fines concretos y sobre la base del consentimiento de la persona afectada o en virtud de otro fundamento legítimo previsto por la ley, que toda persona tiene derecho a acceder a los datos recogidos que le conciernan y a obtener su rectificación». En cuanto a los artículos 6, 7, 12, 14 y 28 de la Directiva 95/46, el Tribunal recalcó la importancia de un equilibrio entre el derecho de privacidad y el derecho de acceso a información.

De acuerdo con lo anteriormente expuesto, el Tribunal sostuvo que, en el tratamiento de datos personales, los motores de búsqueda pueden «afectar significativamente a los derechos fundamentales de respeto de la vida privada y de protección de datos personales cuando la búsqueda realizada sirviéndose de ese motor de búsqueda se lleva a cabo a partir del nombre de una persona física». [par. 80]. Sin embargo, el derecho de los internautas a acceder a la información en cuestión mediante motores de búsqueda debe ser igualmente respetado, pero va a depender, «en supuestos específicos, de la naturaleza de la información de que se trate y del carácter sensible para la vida privada de la persona afectada y del interés del público en disponer de esta información, que puede variar, en particular, en función del papel que esta persona desempeñe en la vida pública». [par. 81].

El Tribunal determinó que «el gestor de un motor de búsqueda está obligado a eliminar de la lista de resultados obtenida tras una búsqueda efectuada a partir del nombre de una persona vínculos a páginas web, publicadas por terceros y que contienen información relativa a esta persona, también en el supuesto de que este nombre o esta información no se borren previa o simultáneamente de estas páginas web, y, en su caso, aunque la publicación en dichas páginas sea en sí misma lícita». [par. 88]. El Tribunal también determinó que los individuos cuyos datos personales se encuentren disponibles en motores de búsqueda en Internet pueden «solicitar que la información de que se trate ya no se ponga a disposición del público en general mediante su inclusión en tal lista de resultados». Esto debido a que sus derechos a la privacidad y a la protección de sus datos personales «prevalecen, en principio, no sólo sobre el interés económico del gestor del motor de búsqueda, sino también sobre el interés de dicho público en encontrar la mencionada información en una búsqueda que verse sobre el nombre de esa persona» [par. 81, 97]. No obstante, el Tribunal enfatizó que el derecho a tal solicitud puede dejar de existir cuando el acceso a información personal se justifique «por el interés preponderante de dicho público en tener, a raíz de esta inclusión, acceso a la información de que se trate» [par. 99].

---