Source: http://www.habeasdatafinanciero.com/2014/06/
Timestamp: 2020-01-17 15:56:19
Document Index: 127841521

Matched Legal Cases: ['artículo 267', 'artículo 8', 'artículo 1', 'artículo 8', 'artículo 7', 'artículo 7', 'artículo 2', 'artículo 2', 'artículo 2', 'artículo 2']

HÁBEAS DATA FINANCIERO - PROTECCIÓN DE DATOS - PRIVACIDAD : junio 2014
Sentencia del TJUE. Derecho al olvido
El derecho al olvido, configuración y retos
Los afectados ya pueden solicitar “directamente al gestor de un motor de búsqueda que retire de sus índices y de su memoria intermedia información que contiene datos personales publicados por terceros”, y “el gestor de un motor de búsqueda está obligado a eliminar de la lista de resultados obtenida tras una búsqueda efectuada a partir del nombre de una persona, vinculados a páginas web publicadas por terceros, y que contienen información relativa a esta persona”, pero también está obligado a examinar “caso por caso”, pues existen supuestos en los que dicho derecho de oposición no será ejercitable (por ejemplo, datos estadísticos, históricos o científicos, o datos de interés público o periodístico). La Sentencia explica que habrá que analizar “si el interesado tiene derecho a que la información en cuestión relativa a su persona ya no esté, en la situación actual, vinculada a su nombre”, y advierte expresamente “que la apreciación de la existencia de tal derecho” no presupone sin más que exista un perjuicio al interesado.El pasado 13 de mayo de 2014 conocíamos la Sentencia del TJUE del asunto Google / AEPD y M. Costeja, y no cabe duda de que la decisión del TJUE ajustó la definición de “derecho al olvido” como parte del derecho a la protección de datos de carácter personal, como derecho de oposición al tratamiento de datos, ejercitado frente a proveedores de servicios en Internet, reconociéndole además detalles esenciales para su efectividad.
Aunque no tenemos aún definición “legal” de esta parte del derecho a la protección de datos, puede entenderse como el derecho de todo individuo a evitar que su información personal quede accesible indefinidamente, y para un público indeterminado, con un simple clic. Y si, una forma de hacerlo efectivo es eliminar la información del escaparate principal, es decir, de los resultados de los buscadores. Sin embargo, hay que tener claro que así no se elimina el contenido cuestionado, pues continuará colgado, digámoslo así, en la tienda.
Casi nadie discute ya la necesidad de que en un Estado de Derecho se nos reconozca la posibilidad o el derecho de cancelar, “limpiar, pulir o adecuar” nuestra reputación on-line, y que no tenemos por qué soportar una “condena de por vida” a que terceras personas interpreten lo que somos en base a resultados automáticos que arroja un motor de búsqueda, y la asociación de contenidos que hagan sus algoritmos.
El TJUE ha considerado que “el efecto de la injerencia en dichos derechos del interesado se multiplica debido al importante papel que desempeñan en Internet” estos sistemas de búsqueda, y en función de la “gravedad de la injerencia” viene a decir que habrá que encontrar un “justo equilibrio” entre los derechos fundamentales del afectado (según el carácter sensible de la información “para la vida privada de la persona afectada”), el “interés económico” de la empresa responsable, y el “interés legítimo de los internautas potencialmente interesados en tener acceso a la información en cuestión”.
Pero esta Sentencia trae igualmente grandes incógnitas e inseguridad jurídica.
Se cuestiona si una empresa privada como Google tiene capacidad para tomar este tipo de decisiones “legales”, por los derechos fundamentales que hay en juego; su capacidad para asumir correctamente una avalancha de peticiones sin lesionar injustamente el derecho al acceso a la información ¿Es su sistema suficiente para autenticar al solicitante? ¿No será contraproducente tener que dar al buscador más datos personales de los que se está intentando desindexar? ¿Podrá con ello provocar “muertes virtuales” arbitrarias o no solicitadas?
Por eso, surge la duda de si no habría otro sistema mejor para lograr idéntico resultado, otro que no obligase a los responsables de buscadores de contenidos a asumir la posición de “responsable del tratamiento” en el sentido de la Directiva 95/46/CE, es decir, “la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que sólo o conjuntamente con otros determine los fines y los medios del tratamiento de datos personales”, que tiene obligaciones legales como por ejemplo la que se señala en su art. 17.1: “Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ílícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ílícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse”. Y esto, teniendo en cuenta, que por ejemplo, Google no controla en exclusiva el orden de los resultados que arroja su buscador.
Es decir, cabe preguntarse si no hubiera sido mejor establecer cualquier precisión que garantizase que el sencillo sistema de ejercicio de derechos estuviese desde el principio supervisado por una autoridad de control, y que ésta coordinase la petición del ciudadano con algún mecanismo de comunicación con el prestador de servicios (similar al “apercibimiento”), bastando con ello que el TJUE hubiese señalado expresamente la obligación del buscador de colaborar acatándolo y desindexar los contenidos del caso concreto que estuviese en cuestión. Con ello se habría evitado esa “ficción jurídica” que el TJUE ha creado ex profeso, pues Google no es un “responsable de tratamiento” al uso.
Finalmente, otro detalle reseñable son las referencias al ámbito territorial del derecho de la Unión Europea y su aplicación a Google España, como sucursal o filial de Google Inc. “destinada a garantizar la promoción y la venta de espacios publicitarios propuestos por el mencionado motor y cuya actividad se dirige a los habitantes de este Estado miembro”.
Como conclusión, tan sólo añadir que, en mi opinión, la Sentencia insta con carácter de urgencia una respuesta de las Instituciones dedicadas a la supervisión de la protección de datos, así como de la Comisión y Parlamento europeos, para que delimiten el escenario en que los Estados miembros deben ordenar el ejercicio de un derecho al que ya se le reconoce jurídicamente nombre y apellidos, como una parte más del derecho a la protección de datos de carácter personal.
Ofelia Tejerina Rodríguez
Doctora UCM. Abogada www.internautas.org. Vocal Junta @ENATIC.
Publicado por Matilde S. Martínez en 13:30:00 No hay comentarios: Enlaces a esta entrada
SENTENCIA DEL TRIBUNAL DE JUSTICIA DE LA UNIÓN EUROPEA SOBRE EL “DERECHO AL OLVIDO” EN INTERNET
de 13 de mayo de 2014
En el asunto C‑131/12, que tiene por objeto una petición de decisión prejudicial planteada, con arreglo al artículo 267 TFUE, por la Audiencia Nacional, mediante auto de 27 de febrero de 2012, recibido en el Tribunal de Justicia el 9 de marzo de 2012, en el procedimiento entre
Google Spain, S.L., Google Inc.
habiendo considerado los escritos obrantes en autos y celebrada la vista el 26 de febrero de 2013; consideradas las observaciones presentadas:
oídas las conclusiones del Abogado General, presentadas en audiencia pública el 25 de junio de 2013; dicta la siguiente
1 La petición de decisión prejudicial versa sobre la interpretación de los artículos 2, letras b) y d), 4,
apartado 1, letras a) y c), 12, letra b), y 14, párrafo primero, letra a), de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (DO L 281, p. 31), y del artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «Carta»).
3 La Directiva 95/46, que, según su artículo 1, tiene por objeto la protección de las libertades y de los derechos fundamentales de las personas físicas, y, en particular, del derecho a la intimidad, en lo que respecta al tratamiento de los datos personales y la eliminación de los obstáculos a la libre circulación de estos datos, enuncia lo siguiente en sus considerandos 2, 10, 18 a 20 y 25: «(2) Considerando que los sistemas de tratamiento de datos están al servicio del hombre; que deben, cualquiera que sea la nacionalidad o la residencia de las personas físicas, respetar las libertades y derechos fundamentales de las personas físicas y, en particular, la intimidad, y contribuir [...] al bienestar de los individuos; [...]
(10) Considerando que las legislaciones nacionales relativas al tratamiento de datos personales tienen por objeto garantizar el respeto de los derechos y libertades fundamentales, particularmente del derecho al respeto de la vida privada reconocido en el artículo 8 del Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales[,firmado en Roma el 4 de noviembre de 1950], así como en los principios generales del Derecho comunitario; que, por lo tanto, la aproximación de dichas legislaciones no debe conducir a una disminución de la protección que garantizan sino que, por el contrario, debe tener por objeto asegurar un alto nivel de protección dentro de la Comunidad; [...]
(20) Considerando que el hecho de que el responsable del tratamiento de datos esté establecido en un país tercero no debe obstaculizar la protección de las personas contemplada en la presente Directiva; que en estos casos el tratamiento de datos debe regirse por la legislación del Estado miembro en el que se ubiquen los medios utilizados y deben adoptarse garantías para que se respeten en la práctica los derechos y obligaciones contempladas en la presente Directiva; [...]
b) “tratamiento de datos personales” (“tratamiento”): cualquier operación o conjunto de operaciones, efectuadas o no mediante procedimientos automatizados, y aplicadas a datos personales, como la recogida, registro, organización, conservación, elaboración o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma que facilite el acceso a los mismos, cotejo o interconexión, así como su bloqueo, supresión o destrucción; [...]
d) “responsable del tratamiento”: la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que sólo o conjuntamente con otros determine los fines y los medios del tratamiento de datos personales; en caso de que los fines y los medios del tratamiento estén determinados por disposiciones legislativas o reglamentarias nacionales o comunitarias, el responsable del tratamiento o los criterios específicos para su nombramiento podrán ser fijados por el Derecho nacional o comunitario; [...]»
8 El artículo 7 de la Directiva 95/46, titulado «Principios relativos a la legitimación del tratamiento de datos», incluido en el capítulo I, sección II, de esta Directiva, establece: «Los Estados miembros dispondrán que el tratamiento de datos personales sólo pueda efectuarse si: [...]
«Los Estados miembros garantizarán a todos los interesados el derecho de obtener del responsable del tratamiento: [...]
b) en su caso, la rectificación, la supresión o el bloqueo de los datos cuyo tratamiento no se ajuste a las disposiciones de la presente Directiva, en particular a causa del carácter incompleto o inexacto de los datos; [...]»
a) oponerse, al menos en los casos contemplados en las letras e) y f) del artículo 7, en cualquier momento y por razones legítimas propias de su situación particular, a que los datos que le conciernan sean objeto de tratamiento, salvo cuando la legislación nacional disponga otra cosa. En caso de oposición justificada, el tratamiento que efectúe el responsable no podrá referirse ya a esos datos; [...]»
«1. Los Estados miembros dispondrán que una o más autoridades públicas se encarguen de vigilar la aplicación en su territorio de las disposiciones adoptadas por ellos en aplicación de la presente Directiva. [...]
3. La autoridad de control dispondrá, en particular, de: — poderes de investigación, como el derecho de acceder a los datos que sean objeto de un tratamiento y el de recabar toda la información necesaria para el cumplimiento de su misión de control; — poderes efectivos de intervención, como, por ejemplo, el de [...] ordenar el bloqueo, la supresión o la destrucción de datos, o incluso prohibir provisional o definitivamente un tratamiento [...] — [...]
4. Toda autoridad de control entenderá de las solicitudes que cualquier persona, o cualquier asociación que la represente, le presente en relación con la protección de sus derechos y libertades respecto del tratamiento de datos personales. Esa persona será informada del curso dado a su solicitud. [...]
Las autoridades de control cooperarán entre sí en la medida necesaria para el cumplimiento de sus funciones, en particular mediante el intercambio de información que estimen útil. [...]»
20 En estas circunstancias, la Audiencia Nacional decidió suspender el procedimiento y plantear al Tribunal de Justicia las cuestiones prejudiciales siguientes: «1) ¿Por lo que respecta a la aplicación territorial de la Directiva [95/46] y, consiguientemente de la normativa española de protección de datos:
a) Debe interpretarse que existe un “establecimiento”, en los términos descritos en el art. 4.1.a) de la [Directiva 95/46], cuando concurra alguno o algunos de los siguientes supuestos: — cuando la empresa proveedora del motor de búsqueda crea en un Estado miembro una oficina o filial destinada a la promoción y venta de los espacios publicitarios del buscador, que dirige su actividad a los habitantes del Estado, o — cuando la empresa matriz designa a una filial ubicada en ese Estado miembro como su representante y responsable del tratamiento de dos ficheros concretos que guardan relación con los datos de los clientes que contrataron publicidad con dicha empresa, o — cuando la oficina o filial establecida en un Estado miembro traslada a la empresa matriz, radicada fuera de la Unión Europea, las solicitudes y requerimientos que le dirigen tanto los afectados como las autoridades competentes en relación con el respeto al derecho de protección de datos, aun cuando dicha colaboración se realice de forma voluntaria?
b) ¿Debe interpretarse el art. 4.1.c de la [Directiva 95/46] en el sentido de que existe un “recurso a medios situados en el territorio de dicho Estado miembro”: — cuando un buscador utilice arañas o robots para localizar e indexar la información contenida en páginas web ubicadas en servidores de ese Estado miembro o — cuando utilice un nombre de dominio propio de un Estado miembro y dirija las búsquedas y los resultados en función del idioma de ese Estado miembro?
b) En caso de que la respuesta anterior fuera afirmativa y siempre en relación con una actividad como la ya descrita: ¿Debe interpretarse el artículo 2.d) de la [Directiva 95/46], en el sentido de considerar que la empresa que gestiona [Google Search] es “responsable del tratamiento” de los datos personales contenidos en las páginas web que indexa?
c) En el caso de que la respuesta anterior fuera afirmativa: ¿Puede la [AEPD], tutelando los derechos contenidos en el art. 12.b) y 14.a) de la [Directiva 95/46], requerir directamente [a Google Search] para exigirle la retirada de sus índices de una información publicada por terceros, sin dirigirse previa o simultáneamente al titular de la página web en la que se ubica dicha información?
d) En el caso de que la respuesta a esta última pregunta fuera afirmativa: ¿Se excluiría la obligación de los buscadores de tutelar estos derechos cuando la información que contiene esos datos se haya publicado lícitamente por terceros y se mantenga en la página web de origen?
3) Respecto al alcance del derecho de cancelación y/oposición en relación con el derecho al olvido se plantea la siguiente pregunta: ¿Debe interpretarse que los derechos de supresión y bloqueo de los datos, regulados en el art. 12.b) y el de oposición, regulado en el art. 14.a) de la [Directiva 95/46] comprenden que el interesado pueda dirigirse frente a los buscadores para impedir la indexación de la información referida a su persona, publicada en páginas web de terceros, amparándose en su voluntad de que la misma no sea conocida por los internautas cuando considere que puede perjudicarle o desea que sea olvidada, aunque se trate de una información publicada lícitamente por terceros?»
— Google Search se presta a nivel mundial a través del sitio de Internet «www.google.com». En muchos países existen versiones locales adaptadas al idioma nacional. La versión española de Google Search se presta a través del sitio www.google.es, dominio que tiene registrado desde el 16 de septiembre de 2003. Google Search es uno de los motores de búsqueda más utilizados en España. — Google Inc. (empresa matriz del grupo Google), con domicilio en los Estados Unidos, gestiona Google Search. — Google Search indexa páginas web de todo el mundo, incluyendo páginas web ubicadas en España. La información indexada por sus «arañas» o robots de indexación, es decir, programas informáticos utilizados para rastrear y realizar un barrido del contenido de páginas web de manera metódica y automatizada, se almacena temporalmente en servidores cuyo Estado de ubicación se desconoce, ya que este dato es secreto por razones competitivas.
— Google Search no sólo facilita el acceso a los contenidos alojados en las páginas web indexadas, sino que también aprovecha esta actividad para incluir publicidad asociada a los patrones de búsqueda introducidos por los internautas, contratada, a cambio de un precio, por las empresas que desean utilizar esta herramienta para ofrecer sus bienes o servicios a éstos.
— El grupo Google utiliza una empresa filial, Google Spain, como agente promotor de venta de los espacios publicitarios que se generan en el sitio de Internet «www.google.com». Google Spain tiene personalidad jurídica propia y domicilio social en Madrid, y fue creada el 3 de septiembre de 2003.
Dicha empresa dirige su actividad fundamentalmente a las empresas radicadas en España, actuando como agente comercial del grupo en dicho Estado miembro. Tiene como objeto social promocionar, facilitar y procurar la venta de productos y servicios de publicidad «on line» a través de Internet para terceros, así como la comercialización de esta publicidad.
— Google Inc. designó a Google Spain como responsable del tratamiento en España de dos ficheros inscritos por Google Inc. ante la AEPD; el objeto de tales ficheros era almacenar los datos de las personas relacionadas con los clientes de servicios publicitarios que en su día contrataron con Google Inc.
— cuando la empresa proveedora del motor de búsqueda crea en un Estado miembro una oficina o filial destinada a la promoción y venta de los espacios publicitarios del motor, que dirige su actividad a los habitantes de ese Estado, o — cuando la empresa matriz designa a una filial ubicada en ese Estado miembro como su representante y responsable del tratamiento de dos ficheros concretos que guardan relación con los datos de los clientes que contrataron publicidad con dicha empresa, o — cuando la oficina o filial establecida en un Estado miembro traslada a la empresa matriz, radicada fuera de la Unión, las solicitudes y requerimientos que le dirigen tanto los afectados como las autoridades competentes en relación con el respeto al derecho de protección de datos personales, aun cuando dicha colaboración se realice de forma voluntaria.
65 El Sr. Costeja González, los Gobiernos español, italiano y polaco y la Comisión consideran que la autoridad nacional puede ordenar directamente al gestor de un motor de búsqueda que retire de sus índices y de su memoria intermedia información que contiene datos personales publicada por terceros, sin dirigirse previa o simultáneamente al editor de la página web en la que se ubica dicha información.
Además, a juicio del Sr. Costeja González, de los Gobiernos español e italiano y de la Comisión, el que dicha información se publicara de forma lícita y que siga figurando en la página web de origen carece de relevancia sobre las obligaciones de dicho gestor con arreglo a la Directiva 95/46. En cambio, para el Gobierno polaco, este hecho le libera de sus obligaciones.
98 En relación con una situación como la del litigio principal, que se refiere a la presentación, en la lista de resultados que el internauta obtiene al efectuar una búsqueda a partir del nombre del interesado con ayuda de Google Search, de vínculos a dos páginas de archivos en línea de un periódico que contienen anuncios
que mencionan el nombre de esta persona y relativos a una subasta inmobiliaria vinculada a un embargo por deudas a la Seguridad Social, es preciso considerar que, teniendo en cuenta el carácter sensible de la información contenida en dichos anuncios para la vida privada de esta persona y de que su publicación inicial se remonta a 16 años atrás, el interesado justifica que tiene derecho a que esta información ya no se vincule a su nombre mediante esa lista. Por tanto, en la medida en que en el caso de autos no parece existir razones concretas que justifiquen un interés preponderante del público en tener acceso a esta información en el marco de tal búsqueda, lo que no obstante incumbe comprobar al órgano jurisdiccional remitente, el interesado puede, en virtud de los artículos 12, letra b), y 14, párrafo primero, letra a), de la Directiva 95/46, exigir que se eliminen estos vínculos de la lista de resultados.
1) El artículo 2, letras b) y d), de la Directiva 95/46/CE del Parlamento Europeo y del
Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, debe interpretarse en el sentido de que, por un lado, la actividad de un motor de búsqueda, que consiste en hallar información publicada o puesta en Internet por terceros, indexarla de manera automática, almacenarla temporalmente y, por último, ponerla a disposición de los internautas según un orden de preferencia determinado, debe calificarse de «tratamiento de datos personales», en el sentido de dicho artículo 2, letra b), cuando esa información contiene datos personales, y, por otro, el gestor de un motor de búsqueda debe considerarse «responsable» de dicho tratamiento, en el sentido del mencionado artículo 2, letra d).
Publicado por Matilde S. Martínez en 21:13:00 No hay comentarios: Enlaces a esta entrada
Etiquetas: e. Sentencia del TJUE. Costeja Gonzáles. derecho al olvido
Millones de imágenes y videos de bebés vendidos en deep web
ICCSI: Urge prohibir que organismos de inteligencia intervengan en investigación criminal
Propiedades horizontales: sanciones por vulneración a la normativa de protección de datos personales