Dificultar el 'derecho al olvido' cuesta 10 millones de euros

Tanto los buscadores como los usuarios tendrían una mayor seguridad jurídica, si los criterios y las decisiones de qué se debe ‘olvidar’ y qué no fueran fijados y revisadas por un organismo sectorial de corregulación

Esta semana nos enteramos, por la publicación en el BOE, de una sanción de 10 millones de euros de la Agencia Española de Protección de Datos a Google por dos infracciones muy graves del Reglamento General de Protección de Datos (artículos 6 y 17): ceder datos a terceros sin legitimación para ello y obstaculizar el derecho de supresión de los ciudadanos; en particular, el derecho al olvido.

En la página web de la AEPD se puede leer la Nota de Prensa y también está la resolución completa (137 páginas), que requiere un análisis más pormenorizado. Pero, en resumen, ambas tienen que ver con el “Proyecto Lumen” (“luz”, en latín), que, como bien se explica en su página web: “recopila y analiza quejas legales y solicitudes de eliminación de materiales en línea”.

Lumen es un proyecto de la Universidad de Harvard (EEUU) y Google realiza a esta institución transferencias de los datos personales (identidad, dirección de correo electrónico, motivos alegados y URL reclamada) de aquellos ciudadanos que quieren ejercer el ‘derecho al olvido’ sin darles la debida información ni la opción de oponerse a la misma; por lo que no existe un consentimiento válido.

La sanción no es firme y aún puede ser recurrida por Google en vía contencioso-administrativa; pero sus representantes en España ya han manifestado, según cuenta Manuel García Pascual en elpais.com, que están “revisando la decisión” y “ya hemos empezado a reevaluar y rediseñar nuestras prácticas de intercambio de datos con Lumen a la luz de las consideraciones de la AEPD”.

En todo caso, creo que esta noticia es una buena oportunidad para volver a hacer pedagogía sobre el ‘derecho al olvido’; porque existe una gran confusión sobre el mismo entre los ciudadanos, en general (e, incluso, entre los profesionales), debido, en gran parte, a la redacción, poco clara, del RGPD y de la Ley Orgánica de Protección de Datos Personales y Garantía de los Derechos Digitales.

El Reglamento europeo de Protección de Datos

El derecho de supresión se regula en el artículo 17 del RGPD, dentro del Capítulo III. Derechos del interesado (titular de los datos): “El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales”…

Pero el rótulo del artículo 17 dice: Derecho de supresión («el derecho al olvido») y podría pensarse que son sinónimos o dos formas de llamar al mismo derecho, y no es así. En todo caso, el derecho al olvido es un tipo de derecho de supresión, que se refiere, no tanto a la supresión de los datos en las fuentes originarias, sino a la supresión de determinados resultados y enlaces en los buscadores.

Así lo aclara el Considerando (66). “A fin de reforzar el «derecho al olvido» en el entorno en línea, el derecho de supresión debe ampliarse de tal forma que el responsable del tratamiento que haya hecho públicos datos personales esté obligado a indicar a (otros) responsables del tratamiento (…) que supriman todo enlace a ellos, o las copias o réplicas de tales datos”.

La Ley española de Protección de Datos

A su vez, en la Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales, dentro del Título III. sobre los Derechos de las personas (titulares de los derechos), el ‘derecho de supresión’ se ‘regula’ (por decir algo) en el artículo 15, que, en realidad, se limita prácticamente a hacer una remisión al artículo 17 del RGPD.

El ‘derecho al olvido’, por su parte, se regula de forma más amplia y separada, dentro del Título X. Garantía de los derechos digitales, en los artículos 93 y 94: Derecho al olvido en búsquedas de Internet y Derecho al olvido en servicios de redes sociales y servicios equivalentes; siendo este último una ampliación de lo que se entendía por ahora como derecho al olvido, limitado a los buscadores.

No es éste el sitio ni el momento para explicar por qué esta ampliación me parece que va más allá de la regulación europea (en una materia que está armonizada) y su ejercicio plantea problemas cuando los datos son publicados por terceros (personas físicas en el ejercicio de actividades personales) y la supresión puede afectar a sus derechos fundamentales a libertad de expresión y de información.

¿Quién determina qué datos se deben suprimir u olvidar?

Para acabar, hay una referencia en la Nota de Prensa de la AEPD que vuelve a poner sobre el tapete un tema que surgió desde el origen mismo del derecho al olvido (sentencia del Tribunal Europeo de Justicia, en el caso de Mario Costeja): ¿quién determina qué datos personales deben suprimirse (u olvidarse) y cuáles deben conservarse, porque tienen interés público informativo o histórico?

“Este sistema es un equivalente a dejar al criterio de Google la decisión sobre cuándo aplica y cuándo no el RGPD, y esto supondría aceptar que esta entidad pueda eludir la aplicación de la normativa de protección de datos personales y (…) que el derecho de supresión de datos personales quede condicionado por el sistema de eliminación de contenidos diseñado por la entidad responsable”.

Está claro que Google no puede eludir la aplicación del RGPD, en general, y del derecho al olvido, en particular, pero a Google se le ha obligado (por sentencia, que no por una regulación) a asumir la responsabilidad de diseñar un sistema de eliminación de contenidos y de tomar la decisión de qué contenidos debe eliminar y cuáles no, cuando es una responsabilidad de moderación que no había pedido.

Por eso Google España dice que: “Siempre tratamos de encontrar un equilibrio entre el derecho a la privacidad y nuestra necesidad de ser transparentes y rendir cuentas sobre nuestro papel en la moderación de contenidos en línea”. Pero, quizá, tanto Google como los usuarios tendrían mayor seguridad jurídica, si esas decisiones fueran revisadas por un organismo sectorial de corregulación.

Aparte de la AEPD y los Tribunales, podría haber un Jurado de profesionales (como el Jurado de la Publicidad de Autocontrol), compuesto por periodistas, historiadores y juristas (expertos en protección de datos, pero también en libertad de expresión e información), para fijar y revisar qué debe ser suprimido y qué no. Se aumentaría la seguridad jurídica para todos y se evitarían estas multas.