«Cómo ejercer el derecho al olvido», tribuna de Sonia Vázquez y Diego de la Vega, abogados de ECIJA, para Economist & Jourist.

La sentencia del 13 de mayo de 2014 de la Gran Sala del Tribunal de Justicia de la Unión Europea introdujo un nuevo e importantísimo concepto en materia de protección de datos, al reconocer e instituir formalmente el denominado como “derecho al olvido”. El reconocimiento oficial le ha llegado por medio del nuevo reglamento europeo de protección de datos (en adelante, “RGPD”, Reglamento UE 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016), que lo prevé expresamente en su artículo 17, y que será plenamente aplicable en mayo de 2018, cuatro años después, como “derecho de supresión”. Así pues, el derecho al olvido se ha ido abriendo paso, primero entre la jurisprudencia, y ahora también desde un punto de vista legislativo, en tanto al estar previsto en un reglamento europeo, será directamente aplicable sin necesidad de norma de transposición, sin perjuicio de que las normativas internas de los Estados miembros se acomoden al nuevo escenario que prevé el RGPD.

En todo caso, el derecho al olvido todavía está siendo objeto de definición más precisa por parte de los tribunales. La última decisión es reciente: el pasado jueves 9 de marzo, el Tribunal de Justicia de la Unión Europea dictaminó, en base a la reclamación interpuesta por Salvatore Manni, administrador único de una sociedad a la que se asignó por concurso la construcción de un complejo turístico (parece que estos inmuebles no se vendían en base a la información que figuraba en el registro de la sociedad y que lo vinculaba con otra sociedad declarada en concurso de acreedores en el año 1992 y liquidada en 2005) que no existe derecho al olvido para los datos personales recogidos en el registro de sociedades, si bien se admite la posibilidad de que por parte de los Estados Miembros se establezca un acceso “restringido” por parte de terceros a esta información tras un plazo “suficientemente largo” una vez que se haya producido la liquidación de la empresa que ejercita su derecho al olvido. Sin entrar en la vaguedad de la determinación de un plazo “suficientemente largo” y a pesar de la argumentación del TJUE, según la cual resulta imposible identificar un plazo único a partir de la cual la conservación de los datos deje de ser necesaria teniendo en cuenta los derechos y relaciones jurídicas que pueden vincular una sociedad con terceros a nivel nacional e internacional y los diversos plazos de prescripción de cada uno de los Estados miembros, este dictamen vuelve a sacar a la luz este derecho que está cobrando cada vez más importancia y fuerza.

Pero, ¿a qué nos referimos cuando hablamos del derecho al olvido? Muy relacionado con la protección de los datos de carácter personal y los derechos al honor, a la propia imagen y a la intimidad, nos retrotraemos al año 2014, concretamente al referido 13 de mayo, cuando la demanda de Mario Costeja González contra Google, vía Audiencia Nacional española, llega al TJUE fallando éste a favor del demandante y obligando a Google a retirar un enlace que remitía a una noticia que contenía información personal del sujeto. El fondo del problema radicaba en la existencia en el buscador de contenidos de una referencia (indexación) a una noticia de “La Vanguardia” que vinculaba al demandante a un embargo de la Seguridad Social que ya había sido resulto y liquidado, y que justamente por ello, estaba causando graves daños a su reputación. EL TJUE consideró entonces que el gestor de un motor de búsqueda en internet es responsable del tratamiento que aplica a los datos de carácter personal que aparecen en las páginas web publicadas por terceros y en base a esto, declaró una necesidad de respeto a lo dispuesto en la Directiva 95/46/CE relativa al tratamiento de los datos personales y a la protección y a la libre circulación de estos datos. De esta forma, y a pesar de que la información contenida en el buscador era verídica y legítima, el derecho a la intimidad primó ante la libertad de expresión, una vez realizada una ponderación entre ambos derechos.

Resumiendo, podemos considerar el derecho al olvido como el derecho que poseen los titulares de un dato personal para solicitar el borrado, supresión o bloqueo de los enlaces (links) que contengan información de carácter personal que afecte a alguno de los derechos fundamentales recogidos en la Constitución cuando éstos figuren en los resultados de una búsqueda realizada en internet por su nombre. La Agencia Española de Protección de Datos (AEPD) matiza subrayando que se trata de un derecho que tienen todos los ciudadanos a impedir la difusión de información de carácter personal a través de Internet cuando dicha publicación no cumpla con los requisitos de adecuación y pertinencia que recoge la normativa.

Es decir, que es importante recalcar el hecho de que no estamos ante un derecho absoluto, sino que deberá analizarse minuciosamente si dicha difusión universal e ilimitada de la información de carácter personal, causa efectivamente, una lesión a los derechos de las personas. Por su parte, el pronunciamiento del TJUE delimita quiénes son aquéllos que pueden solicitar la supresión de los enlaces que contengan los datos personales, excluyendo los medios de comunicación o las publicaciones literarias periodísticas y artísticas. Además, la sentencia precisa que los motores de búsqueda deben permitir la presentación de las solicitudes de eliminación de enlaces directamente por parte de los interesados. En tal caso, los motores de búsqueda procederán a examinar el fundamento de la petición realizando una ponderación caso por caso para alcanzar un equilibrio entre los diferentes derechos e intereses, y valorando si la información objeto de la controversia es obsoleta y/o ya no tiene relevancia ni interés público. En el caso de que el motor de búsqueda no conteste al particular o su respuesta no sea adecuada a consideración del ciudadano que ejercita su derecho, el particular podrá acudir a la AEPD para que sea esta la que tutele su derecho.

Es importante recordar que la eliminación del enlace que contiene la publicación de la información de carácter personal no implica la desaparición de la misma de internet, sólo afecta a las búsquedas realizadas sobre el nombre de los individuos en el motor de búsqueda determinado, sin que de ningún modo la consecuencia sea que la página web que contiene la información sea eliminada ni del buscador ni de la fuente original.

Si bien el derecho al olvido, como tal, no está referenciado en la normativa española de protección de datos, quedaría asimilado al ejercicio de los derechos de cancelación y oposición regulados en los artículos 16 y 17, respectivamente, de la Ley 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal a través de los cuales se reconoce a los particulares un derecho a defender su privacidad controlando por si mismos el uso que se hace de sus datos personales, y en particular, el derecho a que estos sean suprimidos cuando resulten inadecuados o excesivos y a que no sean tratados o se cese en dicho tratamiento cuando no sea necesario su consentimiento para el tratamiento por la concurrencia de un motivo legítimo y fundado, siempre y cuando que una Ley no disponga lo contrario.

Como es lógico, los buscadores no han visto con buenos ojos la obligación que la sentencia del Tribunal de Justicia de la Unión Europea les impone de facilitar el derecho al olvido a aquellos sujetos que estén legalmente capacitados para su ejercicio. Como la sentencia considera que los motores de búsqueda son responsables del tratamiento, incluso cuando se trata de datos publicados previamente, les obliga a garantizar al afectado que su indexación sea conforme con la Directiva de protección de datos (que, como se ha dicho, será sustituida en 2018 por el RGPD, que ya reconoce expresamente el derecho al olvido). En otras palabras, cuando se cumplen los requisitos, el motor de búsqueda debe posibilitar al afectado el ejercicio de su derecho al olvido, incluso si el tratamiento de origen estaba plenamente justificado.

Sin embargo, cabe señalar que el derecho al olvido no afecta a la fuente original, sino que recae exclusivamente sobre los motores de búsqueda, que son los verdaderos protagonistas de este nuevo concepto, y por otra parte, los responsables últimos de garantizar su cumplimiento, en tanto son quienes tienen la llave técnica para su verdadero ejercicio, facilitando los derechos de cancelación y oposición. Es por esa razón que aunque pueda haber unos criterios generales para la aplicación del derecho al olvido, lo cierto es que cada caso requiere un análisis individualizado en aras de un “justo equilibrio” de los derechos de los ciudadanos frente a los intereses de los buscadores. Además, en el derecho al olvido la fuente original apenas resulta afectada, ya que la web de origen no tiene, a día de hoy, obligación de retirar los datos de carácter personal en cuestión, por lo que seguirá estando disponible en Internet, sólo que la vía de acceso a través de los buscadores, sean europeos o no, puede quedar bloqueada. Y es importante señalar también que el derecho al olvido no aplica a los buscadores internos de las páginas web de origen, sino sólo a los motores de búsqueda, lo que resulta fácil de comprobar aún hoy en día con el caso que dio lugar al nacimiento del derecho al olvido. La diferencia, tal y como se concibe el derecho, es que el tratamiento de datos que hacen los motores de búsqueda permite trazar un perfil del afectado, cosa que no necesariamente sucede con los buscadores internos, que lógicamente sólo reflejan la información concreta contenida en cada web.

Los buscadores se han visto obligados a establecer mecanismos internos para facilitar claramente al usuario el ejercicio de su derecho al olvido, generalmente con formularios que van acompañados de notas informativas sobre su razón de ser, algunos en tono de descargo y de amargo lamento por la obligación impuesta. El formulario sirve para informar a la compañía de la reclamación, y a continuación el caso es valorado internamente, si bien los buscadores suelen avisar, de entrada, de que la concurrencia de “interés público”, valorada por ellos mismos, en los datos en cuestión, conducirá irremediablemente a rechazar la solicitud. La falta de concreción de lo que debe entenderse por “interés público” es la causa de que las solicitudes sean rechazadas por los buscadores, que tienen una acentuada tendencia a apreciar “interés público” donde quizás no lo haya. Y es lógico, puesto que en su interés está mostrar el máximo número de resultados posibles.

El Grupo de Trabajo del Artículo 29, que agrupa a las autoridades de protección de datos de los Estados miembros de la Unión Europea, en sus criterios adoptados por la AEPD ya advierte de la dificultad de concretar qué es “interés público”, pero aconseja, con bastante ambigüedad, fijarse en cómo el acceso a los datos a través de los buscadores puede poner de relieve conductas profesionales o públicas “inapropiadas”. En la línea de la Resolución 1.165 (1998) de la Asamblea Parlamentaria del Consejo de Europa sobre el derecho a la intimidad, la AEPD indica que las “figuras públicas” son personas que desempeñan “cargos públicos o que usan recursos públicos”, pero también “todas aquellas que desempeñan algún papel en la vida pública”, en cualquier ámbito, definición que si se toma en negativo, puede dar una idea, a contrario sensu, de lo que es una persona “privada”, al menos en lo que pueda afectar al derecho al olvido.

En todo caso, a la recepción de la solicitud, el buscador envía una confirmación de la recepción, y posteriormente, la estimación o desestimación de la solicitud, acompañada de la información necesaria para recurrir ante la autoridad de protección de datos correspondiente. A partir de ese momento es cuando se puede hablar de un derecho al olvido con totales garantías, puesto que la toma de decisiones se desplaza del buscador, que es parte, a un tercero a quien le queda atribuida la responsabilidad de entrar a valorar el fondo del asunto. Evidentemente, como el ejercicio del derecho no puede quedar al arbitrio del buscador, cuando la solicitud es rechazada, el afectado puede recurrir a la autoridad nacional de protección de datos (en España, la AEPD). Una vez descartada la aplicación directa del derecho por parte del buscador, el recurso que queda es la presentación de una reclamación de tutela de derechos ante la autoridad de protección de datos, tal como está reconocido – con independencia del derecho al olvido- en el artículo 18 de la Ley Orgánica de Protección de datos, y en los artículos 117 y siguientes de su reglamento de desarrollo, en el caso español; no hay que olvidar que se trata de una cuestión que trae causa de un derecho fundamental consagrado en el artículo 18 de la Constitución Española. A cambio, si el motor de búsqueda da la razón al solicitante, hará aparecer un aviso al efecto al listar el nombre del afectado entre los resultados.

El procedimiento administrativo que se inicia ante la AEPD por la negativa del buscador es sencillo y no carga al ciudadano con un trámite excesivamente gravoso, por lo que la negativa del buscador no tiene por qué dejar el ejercicio del derecho inconcluso. Al contrario, es recomendable acudir a la autoridad, la cual lo único que requiere, más allá de ciertas formalidades, es una fundamentación adecuada para poder tramitar el derecho al olvido como una cancelación. La solicitud de Reclamación de Tutela de Derechos la ha de hacer el propio interesado o su representante, quien previamente ha debido ejercer su derecho de cancelación ante el motor de búsqueda, y al iniciar el procedimiento ante la autoridad, debe estar en condiciones de poder acreditarlo. La solicitud se podrá presentar telemáticamente con certificado, o bien en formato físico en ventanilla, como cualquier escrito administrativo.

Es aconsejable, en este punto, presentar un escrito con un relato fáctico y una fundamentación bien elaborada (cuya base legal, en el fondo, no reviste gran complejidad), para que el examen por parte de la AEPD tenga mayores posibilidades de prosperar. La fundamentación, que en su día podrá invocar directamente el RGPD, a día de hoy debe pivotar sobre el derecho de cancelación previsto en el artículo 16 de la LOPD y desarrollado en el reglamento de la ley, y evidentemente deberá atacar la negativa del buscador a cancelar los datos. No debe olvidarse la aportación de la prueba de la indexación por parte del buscador, así como la propia web enlazada, a efectos de su análisis, y las pruebas del procedimiento seguido ante el buscador. Si la valoración de la AEPD no es favorable, el afectado todavía tiene la opción de interponer un recurso de reposición ante el Director de la Agencia (a quien originalmente tiene que haber dirigido el escrito), o bien interponer un recurso contencioso-administrativo contra la resolución de la AEPD, ante la Sala de lo Contencioso-Administrativo de la Audiencia Nacional.

Como novedad, el RGPD, por el que se deroga la Directiva 95/46/CE, ha dado un paso muy importante al considerar de forma explícita el derecho al olvido (derecho de supresión) en su artículo 17, determinando las circunstancias concretas de su ejercicio y las obligaciones que tienen los responsables del tratamiento de tal forma que, en todo caso garanticen la posibilidad de ejercitar este derecho por parte de los interesados. También prevé los casos concretos en los que no aplicará.

En concreto, el RGPD obliga al responsable del tratamiento a suprimir los datos personales que conciernan al afectado sin dilación indebida cuando los datos ya no sean necesarios en relación con los fines para los que fueron recogidos, cuando el afectado retire el consentimiento en que se basaba el consentimiento, cuando se oponga al tratamiento sin que prevalezcan otros motivos legítimos para el tratamiento, cuando los datos personales hayan sido tratados ilícitamente, cuando deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión, y cuando los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información. Así pues, si existe la obligación de “suprimir”, el responsable deberá adoptar medidas razonables para informar a otros responsables de la solicitud cursada por el afectado. Como es lógico, estas obligaciones están delimitadas por una serie de excepciones, como son el ejercicio del derecho a la libertad de expresión e información, el cumplimiento de obligaciones impuestas por el Derecho de la Unión, razones de interés público en el ámbito de la sanidad pública, fines de archivo en interés público, fines de investigación científica, histórica o estadístico, así como para la formulación, el ejercicio o la defensa de reclamaciones.

Pero mientras llega el RGPD, su ejercicio ya es realidad para una cantidad creciente de ciudadanos, incluso a través de webs que ya se ofrecen como intermediarias entre buscadores y ciudadanos (aunque sus labores a veces exceden el propio derecho al olvido). Lógicamente, su ejercicio es más difícil cuanta mayor relevancia pública tienen los afectados, que a veces lo invocan de manera equivocada, incluso a través de sus defensas legales, como estamos viendo en algunos de los mayores casos de corrupción de los que se ha conocido sentencia recientemente. Sólo en el primer año de vigencia del derecho al olvido, aunque no son cifras oficiales, Google tramitó cerca de 220.000 solicitudes, de las cuales aproximadamente la mitad fueron estimadas. En todo caso, el aspecto más importante y que debe ser recordado en todo momento, es que el derecho al olvido no implica que la información conflictiva sea borrada de la fuente origen ni mucho menos de internet de forma que ya no pueda accederse a la misma. Sencillamente permite a los afectados solicitar la eliminación de los enlaces que dirijan de forma directa a la información objeto de controversia.  Internet no olvida.