Thread by @manuelabat

Queridos amigos, hoy no es sábado, sabadete, pero toca hilo de #privacidad y #eticadelosdatos. Hoy, hablaremos de la segunda (tercera) sentencia del Derecho al Olvido. Esta vez, el tema es: ¿Podemos pedir a Google que nos olvide en nuestro país, en Europa, Y EN TODO EL MUNDO?

¿Derecho al Olvido, global, o no?. Pues, como siempre, la primera respuesta a esta pregunta no es la que nos va a dar las pistas, sino los matices a esta respuesta. Vamos allá con el hilo.

Antes de entrar de lleno en esta nueva sentencia, vamos a recordar qué se consiguió en las dos sentencias de Derecho al Olvido anteriores explicadas en el hilo de la semana pasada, que lo podéis leer aquí en formato artículo: linkedin.com/pulse/tenemos-…

La primera sentencia del Derecho al Olvido, o la sentencia Google Spain, como se le conoce, nos dejó claras TRES cosas FUNDAMENTALES:

1. Se aplica la ley de protección de datos europea. Google tiene personalidad jurídica propia y domicilio social en Madrid, “una oficina o filial destinada A LA PROMOCIÓN Y VENTA DE LOS ESPACIOS PUBLICITARIOS DEL MOTOR, que dirige su actividad a los habitantes de ese Estado.”

2. Google, es ENCARGADO del tratamiento de los datos, precisamente por haber creado el establecimiento en España (Asunto C-131/12 párrafo 60).

3. Tenemos derecho a que se eliminen los enlaces que contengan información personal sea inexacta, inadecuada, irrelevante o excesiva para los fines del procesamiento de datos.

Pero, OJO! la sentencia nos recuerda que el Derecho al Olvido NO ES UN DERECHO ABSOLUTO, y que SIEMPRE debe equilibrarse con otros derechos apremiantes, como el Derecho a la Libertad de Expresión. (Asunto C-131/12 párrafo 94).

Teniendo claras estas tres cuestiones importantísimas, vamos a la segunda sentencia del Derecho al Olvido publicada la semana pasada, la sentencia C-136/17 GC et al./CNIL.

En esta sentencia se resuelve si Google debe eliminar de manera automática (bajo solicitud) aquella información que responda a datos personales de CATEGORÍAS ESPECIALES, que son los más protegidos en el RGPD.

Y, ¿Cuáles fueron las 3 conclusiones a las que la sentencia C-136/17 GC et al./CNIL llegó?

1. Google debe respetar las normas que el RGPD impone a cualquier organismo que vaya a tratar datos personales de categoría especial regulados en el artículo 9 RGPD privacy-regulation.eu/es/9.htm, y esto se deduce directamente de la sentencia (Asunto 136/17 párrafos 42 y 43):

2. Google, a la hora de tratar este tipo de datos, NO ESTÁ OBLIGADO A ACEPTAR SISTEMÁTICAMENTE LA RETIRADA DE LOS ENLACES. Pero sí debe respetar las 3 excepciones del artículo 9.2 RGPD a la hora de tratarlos. ¿Cuáles son estas 3 excepciones?

Sólo los puede tratar estos datos:
1. Si el usuario le ha dado consentimiento explícito. Muy difícil de conseguir.
2. Cuando el interesado ha hecho públicos esos datos personales. Si Google cumple con los principios relativos al tratamiento de los datos personales, es “conforme”.

3. Cuando el tratamiento de esos datos sea necesario por razones de interés público sustancial. En este caso, si se pide la retirada de estos datos, Google debe determinar si en ese caso tiene cabida esta excepción.

3. Y la última cuestión, hace alusión a los datos personales relativos a condenas e infracciones penales contemplado en el artículo 10 RGPD. Pues el tratamiento de estos datos personales es lícito si la información en cuestión es divulgada al público por las autoridades públicas.

Y el tratamiento DEJA DE SER LÍCITO cuando estos datos ya no sean necesarios en relación con los fines para los que se recogieron o trataron.

Pues como pueden ver, se le ha puesto a Google ciertas condiciones a la hora de tratar sus datos en un Estado Miembro. Recopilando:

1. Se le aplica el RGPD porque Google tiene establecimiento en nuestro país, y tiene personalidad jurídica propia y domicilio social en Madrid, creado en 2003.
2. Google es ENCARGADO del tratamiento de los datos.

3. Debe eliminar “sin dilación” los enlaces que contengan información personal sea inexacta, inadecuada, irrelevante o excesiva para los fines del procesamiento de datos.

4. Google debe respetar las normas que el RGPD impone a cualquier organismo que vaya a tratar datos personales de categoría especial regulados en el artículo 9 RGPD.

5. Google no debe retirar sistemáticamente los enlaces que contengan datos personales de categoría especial, pero SÓLO puede tratarlos cuando el interesado hizo públicos estos datos, y cuando esta información es necesaria por razones de interés público sustancial.

6. Sólo puede tratar datos personales relativos a condenas e infracciones penales si la información es divulgada por las autoridades públicas. Y deja de ser lícito cuando estos datos ya no sean necesarios en relación con los fines para los que se recogieron o trataron.

Aclarados los antecedentes, vamos a hablar de la sentencia C-507/17 de petición de retirada global de enlaces en Google. curia.europa.eu/juris/document…

En 2015, CNIL (Autoridad de Protección de Datos francesa) entregó un aviso formal a Google que, como resultado de una solicitud de eliminación de enlaces en Francia debía aplicar la eliminación del enlace en todas las extensiones de dominio de su motor de búsqueda a nivel mundial

Google se negó a aplicar el derecho al olvido globalmente en el plazo establecido, y la CNIL, mediante resolución de 10 de marzo de 2016, le impuso a Google una sanción, de 100.000€.

Google impugnó esta decisión de la CNIL ante el Conseil d’État (Tribunal Supremo de lo Contencioso-Administrativo en Francia), solicitando la anulación de esta resolución.

Google se defiende diciendo que el Derecho al Olvido no implica necesariamente que los enlaces controvertidos deban suprimirse, sin limitación geográfica, de todos los nombres de dominio de su motor de búsqueda.

Además, considera que la CNIL menoscabó de forma desproporcionada los derechos de libertad de expresión, de información, de comunicación y de prensa, garantizados, en particular, por el artículo 11 de la Carta de los Derechos Fundamentales.

El Conseil d’État, ante la dificultad de la interpretación de la ley, suspende el procedimiento, y plantea al TJUE tres cuestiones prejudiciales:

1. ¿Debe interpretarse el Derecho al Olvido como que Google está obligado a retirar los enlaces controvertidos GLOBALMENTE? Es decir, ¿que dichos enlaces dejen de mostrarse incluso si la búsqueda se hace fuera de la Unión Europea?

2. Si la respuesta anterior es negativa, ¿debe interpretarse el Derecho al Olvido en el sentido de que Google solamente está obligado a suprimir los enlaces de los resultados obtenidos en Google Francia (google.fr)?...

¿O significa que esos resultados también deben ser eliminados en todos los nombres de dominios de Google en los Estados Miembros? Es decir, de Google.es, google.it, google.dk…

3. Complementando la segunda pregunta, ¿debe interpretarse el “Derecho al Olvido en el sentido de que Google está obligado a suprimir los enlaces de los resultados obtenidos en las DIRECCIONES IP UBICADAS EN FRANCIA (“bloqueo geográfico”)?...

¿O significa que esos resultados de búsquedas deben ser eliminados también de las direcciones IP situadas en uno de los Estados Miembros y ello INDEPENDIENTEMENTE del DOMINIO utilizado por el usuario que hace la búsqueda?

¿Cuál es la interpretación del TJUE ?
Pues que internet es global y que cualquiera, fuera de la UE, podría acceder a información ubicada en los enlaces controvertidos, y eso, le podría conferir competencia suficiente como para aplicar el Derecho al Olvido globalmente.

PERO, también tiene en cuenta que hay Estados fuera de la UE que no contemplan el Derecho al Olvido, o que su interpretación es muy distinta a la que se hace en Europa, amparados por el artículo 17.1 RGPD privacy-regulation.eu/es/17.htm

Es más, que el derecho a la protección de datos NO ES UN DERECHO ABSOLUTO y se deben tener en cuenta otros Derechos Fundamentales.
El equilibrio entre privacidad, protección de datos y libertad de información "es probable que varíe significativamente en todo el mundo".

De nuevo, el balance entre el derecho a la privacidad y protección de datos y el derecho a la libertad de información.

Es decir, que el TJUE ha interpretado el ámbito territorial del Derecho al Olvido (artículo 17 RGPD), diciendo que no se desprende de este artículo que, en aras de garantizar el Derecho al Olvido, su alcance vaya más allá del territorio de los Estados Miembros.

El Tribunal determinó que ACTUALMENTE (¿puede que sí en un futuro?) no existe obligación, según la legislación de la UE, de eliminar de la lista los resultados de Google a nivel mundial después de una solicitud de exclusión de la lista.

Sin embargo, existe la obligación de eliminarlos de la lista en toda la UE y no solo en el Estado miembro donde se realizó la solicitud, en aras de garantizar la protección en toda la Unión y eliminar los obstáculos a la circulación de datos personales dentro de ésta.

Pues parece que lo tenemos claro, ¿no?. El Derecho al Olvido se aplica en territorio de la UE porque fuera hay países que interpretan la proporcionalidad entre el derecho a la privacidad y protección de datos, y el derecho a la libertad de información, de manera muy distinta.

Spoiler. Prometo bomba final.

Como algunas conclusiones MUY IMPORTANTES de esta sentencia, podemos destacar:

El TJUE destacó la falta actual de una disposición legal específica que amplíe el alcance de los derechos de GDPR fuera de la UE.

En el siguiente párrafo, el TJUE declara que la legislación de la UE no prevé actualmente instrumentos y mecanismos de cooperación en lo que respecta al alcance de una retirada de enlaces fuera de los Estados Miembros.

Esto significa que, si una de las Autoridades de Protección de Datos de algún País Miembro otorga una solicitud de eliminación de la lista global, entonces esa Autoridad de Protección de Datos no tiene que coordinarse con las demás Autoridades, y puede actuar por sí misma.

Pues resulta que el TJUE, en el párrafo 72 de la sentencia, va y lanza una bomba diciendo que, aunque el Derecho de la Unión no exige, EN LA SITUACIÓN ACTUAL, que el Derecho al Olvido sea global, TAMPOCO LO PROHÍBE.

Los Tribunales y las Autoridades de Protección de Datos de cada Estado pueden imponer el Derecho al Olvido globalmente, siempre que haga una ponderación entre el derecho a la privacidad y protección de datos, por un lado, y, por otro lado, el derecho a la libertad de información.

Por lo que, podemos concluir diciendo que aún tenemos Derecho al Olvido PARA RATO.

Como siempre, gracias por leerme.