Google ha sido sancionada por la Agencia Española de Protección de Datos (AEPD) con 10 millones de euros; lo cual constituye un récord en nuestro país. La entidad ha incumplido el artículo 6 (base de legitimación para el tratamiento) y artículo 17 (derecho al olvido) del Reglamento General de Protección de Datos (RGPD). Cada una de las infracciones han sido sancionadas con 5 millones de euros.

Proyecto Lumen

La razón es la cesión de las reclamaciones al proyecto Lumen. Tal y como recogen en su página web, este proyecto está destinado a ayudar a los usuarios de Internet a conocer y ejercer su derechos; por medio del análisis y estudio de las reclamaciones y solicitudes de supresión de publicaciones en medios electrónicos. Especialmente, sus principales áreas de actuación es posible mencionar:

  1. El estudio de las solicitudes de retirada o eliminación de contenidos en línea que se formulan a editores de Internet, motores de búsqueda y proveedores de servicios;
  2. Facilitar la investigación de sus diferentes tipos;
  3. Brindar la mayor transparencia posible sobre quién los envía y por qué y con respecto a qué contenido en línea;
  4. Educar al público

Primeras reclamaciones

Entre las primeras denuncias presentadas ante la AEPD, se recogía que:

  • Los interesados estaban obligados a aceptar la cesión de los datos.
  • La transmisión de datos a una organización ajena a Google, siendo perjudicial e innecesaria.

De hecho, se han llegado a revelar situaciones íntimas o privadas que las cuales fueron incluso censuradas por el gigante de las telecomunicaciones. En palabras de los denunciantes, esto podría llegar a provocar una situación en la que:

Un usuario se vea imposibilitado a usar el formulario de Google ante el temor de la cesión efectuada, lo que le obstaculiza el ejercicio de sus derechos.

Derecho al olvido

Asimismo, Google también infringió el derecho al olvido, reconocido por el artículo 17 RGPD. De esta forma, en la mencionada base de datos era posible encontrar una solicitud de eliminación de contenidos; junto con una sentencia en la que se declaraba la vulneración del derecho al honor del interesado y su padre.

Es decir, por medio de Lumenbase era posible acceder e identificar a los solicitantes del mencionado derecho.

Los argumentos de Google

Antes las infracciones que se le atribuían, Google argumentó lo siguiente:

  • Que la base legitimadora en la que se ampara para compartir datos personales con Lumen no es el consentimiento, sino el interés legítimo. Esto se debe a que las cesiones constituyen un mecanismo importante para asegurar que las prácticas de retirada de contenidos sean transparentes y responsables. Adicionalmente, el proyecto Lumen también tenía un interés legítimo en el fomento de la educación, la investigación y la transparencia.
  • Que los interesados que completan los formularios de retirada de contenido de Google son suficientemente informados acerca de la comunicación de las solicitudes.
  • Que no se ha vulnerado el artículo 17 RGPD, al no compartir con Lumen las solicitudes que recibe en relación al derecho al olvido; y que así se refleja en las cláusulas informativas.

Resolución de la AEPD

En virtud de sus investigaciones, la AEPD ha podido comprobar que hasta en once ocasiones es posible identificar en la base de datos de Lumen el motivo de la reclamación; la identificación de las personas interesadas; direcciones postales; referencias a sentencia y el nombre de los intervienes en las mismas; entre otras.

Además, en diez casos la URL que da acceso al contenido también incluía datos personales. Y en otro, se llegaba a proporcionar una sentencia.

De esta forma, y a pesar de que se apreció que la mayoría de datos personales contenidos en las reclamaciones han sido retiradas, la AEPD ha apreciado las mencionadas infracciones:

Base jurídica del tratamiento

Google alegaba el interés legítimo como base jurídica que habilitaba la cesión. Sin embargo, destaca la AEPD que el cumplimiento de esta base jurídica esta ampliamente relacionado con el deber de información. A este respecto, las cláusulas informativas tan solo indican que “es posible” la realización de esta cesión; mientras que en la Política de Privacidad no llega siquiera a mencionarse.

Por otro lado, tampoco se cumple con la obligación recogida en el Considerando 47 de realizar un informe de ponderación. Es decir, Google no justifica la prevalencia de sus derechos respecto a los de los interesados. Adicionalmente, la AEPD considera que el tratamiento de datos personales que efectúa Google no es necesario o estrictamente necesario para la satisfacción del interés alegado.

Adicionalmente, tampoco es posible considerar que el consentimiento constituya la base jurídica que legitima este tratamiento. Esto se produce al no ser informado, referirse de manera específica a finalidades concretas, prestarse de manera libre y ser inequívoco.

Derecho al olvido

Google cuenta con diversos formularios a fin de ejercer los derechos reconocidos por el RGPD y otro tipo de reclamaciones, aunque no se hace mención directa al derecho al olvido. Tales solicitudes de retirada de contenido se valoran realizando análisis legales y test en función del motivo por el que presenta su solicitud.

Sin embargo, tal y como ha alegado Google, la entidad no considera que las solicitudes de retirada de contenido conforme el ejercicio del artículo 17 RGPD.  Además, el sistema utilizado por Google puede conllevar a ejercer una reclamación que no esté relacionada con la protección de datos; a pesar de que en un principio ésta fuera su intención. Esto puede provocar que los datos sean suprimidos aunque la intención sea esa.

De hecho, se ofrecen dos formularios diferentes, los cuales en la práctica son tratados de la misma forma:

  • Retirada en virtud de la ley de privacidad de la UE.
  • Cómo retirar contenido de Google.

Esto tampoco ayuda al ejercicio de los derechos de los interesados, y conlleva que las solicitudes nunca serán ejercitadas en función de la normativa de protección de datos. De esta forma, no se procede a la supresión de los datos personales, sino a la desintoxicación del contenido. Con todo, la cesión de los datos a Lumen se impone a los usuarios, los cuales no tienen la opción a oponerse a ello.

Así, concluye la AEPD, que se han identificado graves deficiencias en el proceso diseñado para la formulación, recepción y gestión de estas solicitudes de supresión de datos personales; lo que afecta directamente al ejercicio mismo de este derecho reconocido a los interesados en el RGPD y a su resolución conforme a esta normativa.

UBT Legal & Compliance

AGENDAR LLAMADA