Análisis comparativo de las resoluciones emitidas por el tribunal de justicia de la unión europea y el instituto federal de acceso y protección de datos respecto del motor de búsqueda gestionado por Google y la protección de datos personales

Resumen

En enero de 2015, el Instituto Federal de Acceso a la Información y Protección de Datos resolvió una solicitud de cancelación y oposición de datos en contra de Google México. Para ello, esta institución utilizó como criterio orientador la sentencia emitida el 13 de mayo de 2014 por el Tribunal de Justicia de la Unión Europea en el caso Google Spain vs. AEPD y Mario Costeja. Dado el contenido controversial de esta sentencia en relación con la libertad de expresión y el derecho a la información, es válido cuestionar si el sentido de ambas resoluciones debe de ser el mismo. Para tales efectos, este artículo comprende un análisis comparativo a fin de determinar sus similitudes y disparidades tanto contextuales como jurídicas, para evitar una posible reversión del criterio de impulso a la sociedad de la información cuando hay cuestiones de interés público involucradas.

Abstract

In January 2015, the Mexican agency in charge of assuring the correct use and exercise of the data protection rights, known as Instituto Federal de Acceso a la Información y Protección de Datos, answered a request from a citizen to protect his right of erasure and his right to object personal data processing, in this case against Google Mexico. To solve this case, the agency used as a reference the decision by the Court of Justice of the European Union of 13 May 2014 (Google Spain v AEPD and Mario Costeja). Due to the controversial content of such case, concerning freedom of speech and the right to information, it is highly relevant to ask whether its use as a guideline was pertinent. For this matter, this article makes a comparative analysis between both cases in order to establish their legal and contextual similarities and differences.

I

Consideraciones preliminares

El supuesto en el que un motor de búsqueda en Internet proporciona resultados que dirigen al usuario de la red a una página web fuente que contiene información relativa a una persona,³ cobra especial relevancia tras la inédita resolución de 2014 del Tribunal de Justicia de la Unión Europea (TJUE). Concretamente la resolución, que atiende una cuestión prejudicial planteada por la Audiencia Nacional de España en relación con el derecho a la protección de datos personales, aborda cuestiones relacionadas con la aplicación de la normativa europea a una filial (Google Spain) cuya matriz reside en un tercer país; la categorización de los motores de búsqueda como responsables de datos personales y, finalmente, el alcance y aplicación de los derechos de cancelación y oposición.

Tras el análisis de estas cuestiones, el Tribunal llega a la conclusión, en términos generales, de que efectivamente la normativa europea (tanto de la Unión Europea como la española que la extrapola) resulta aplicable a Google Spain; de que los proveedores de servicios de motor de búsqueda se consideran responsables del tratamiento de datos personales y, en consecuencia, reconoce la posibilidad de que el interesado (titular de los datos) solicite que sus datos personales como criterios de búsqueda y, específicamente su nombre, dejen de estar vinculados a determinadas páginas web fuente. A todo lo cual cabe añadir el énfasis del Tribunal para considerar que la información estructurada que arroja un motor de búsqueda sobre una persona física genera una afectación significativa de la vida privada y de la protección de datos personales.

De tal forma que la resolución del TJUE en comento sienta un importante precedente para abordar las pretensiones de los particulares en el ejercicio de su derecho a la autodeterminación informativa,⁴ es decir, en el control que ejercen sobre sus datos personales,⁵ no frente a quien sube a Internet o determina el contenido de la página web fuente, sino respecto de quienes gestionan los servicios de motores de búsqueda.

Por su parte, de manera reciente, y probablemente como consecuencia del histórico precedente sentado por el TJUE, al Instituto Federal de Acceso a la Información y Protección de Datos (IFAI) se le presentó un caso similar, relativo también a Google como motor de búsqueda en Internet. Para efectos de emitir su resolución, el IFAI tomó como punto de referencia la decisión del TJUE,⁶ llegando, en consecuencia, a conclusiones equivalentes que reconocen tanto el carácter de responsable del tratamiento de datos a los proveedores de motor de búsqueda; el derecho del titular de los datos a solicitar la supresión de su nombre como criterio de búsqueda que lleve a determinados links, así como la afectación “significativa” que supone a los derechos fundamentales de respeto a la vida privada y de protección de datos personales, la posibilidad de acceder a información estructurada sobre una persona física a partir de la búsqueda en Internet por su nombre.

Cabe decir que estas resoluciones no están exentas de presentar un contenido controversial derivado precisamente del involucramiento de otros derechos humanos; por ejemplo, el derecho a la libertad de expresión e información vis à vis el derecho a la vida privada y a la protección de datos personales, así como por el reconocimiento implícito que esto podría suponer para el llamado derecho al olvido. Incluso, como se observa en el propio proceso de elaboración de la resolución del Tribunal de Luxemburgo, los jueces actuando en Gran Sala se distancian de las opiniones vertidas por el abogado general respecto de la responsabilidad que le concede a Google Spain y sobre el alcance de un supuesto derecho general al olvido.⁷

Entonces, si partimos de la idea de que los usuarios de Internet hacen uso de su derecho a la información a través de la búsqueda de información en la red, los editores de las páginas web ejercen su derecho a la libertad de expresión al subir contenidos y comunicarse por esta vía y que, finalmente, los motores de búsqueda también ejercen una dimensión de la libertad de expresión al poner a disposición de los usuarios herramientas de localización de información; cabe observar un posible trade off entre estos derechos y los derechos de privacidad y protección de datos personales.

De ahí que, el derecho de un interesado a la protección de sus datos personales y de su vida privada deba ponerse en equilibrio con otros derechos fundamentales, especialmente la libertad de expresión y la libertad de información. Así, en palabras de Jääskinen, referidas específicamente al caso, “es necesario establecer un equilibrio correcto, razonable y proporcionado entre la protección de datos personales, la interpretación congruente de los objetivos de la sociedad de la información y los intereses legítimos de los operadores económicos y de los usuarios de Internet en general”.⁸ Esto significa que, por una parte, es necesario el análisis casuístico; esto es, un análisis case by case, en el que se atiendan las circunstancias particulares del caso concreto y, por la otra, la necesaria ponderación de los derechos en juego.

Así pues, dada la naturaleza casuística de las resoluciones sobre protección de datos personales y privacidad que pudieran interferir con el derecho a la libertad de expresión y el derecho a la información, cabe cuestionarse si el contexto jurídico y fáctico de cada uno de los casos planteados ante el TJUE y el IFAI, sobre los motores de búsqueda gestionados por Google, permiten efectivamente adoptar resoluciones en un mismo sentido. De tal forma que en el presente artículo no pretendemos abordar el contenido del derecho al olvido ni definir cuál es la relación entre los derechos a la privacidad y la protección de datos personales frente a la libertad de expresión y la información. Nuestro objetivo es mucho más modesto, y consiste en puntualizar aquellas diferencias contextuales y jurídicas entre ambos casos, a fin de establecer ciertos parámetros que permitan evitar a futuro la generalización de supuestos y resultados en las decisiones de nuestros órganos garantes del derecho a la protección de datos personales.

II

Caso costeja

1

Hechos

En marzo de 2010, el señor Costeja González presentó ante la Agencia Española de Protección de Datos (AEPD) una reclamación en contra del diario La Vanguardia Ediciones S. L., Google Spain y Google Inc., por no haber atendido sus derechos de oposición al tratamiento de sus datos y de cancelación respecto de dos enlaces que aparecían al introducir su nombre y apellido en el motor de búsqueda de dicha empresa. Los enlaces de referencia conducían hacia dos páginas del periódico La Vanguardia, publicadas en 1998, en las que aparecía un anuncio de una subasta de inmuebles relacionada con un embargo por deudas de la seguridad social.⁹ Los inmuebles se encontraban especificados no sólo por su ubicación, sino también por el nombre de los propietarios a quienes se les habían embargado, entre los que se encontraban el señor Costeja y su esposa.¹⁰

Ante la AEPD, el señor Costeja argumentó que la negativa de La Vanguardia y de Google lesionaba su derecho a la protección de datos personales, toda vez que “el embargo al que se vio sometido en su día estaba totalmente solucionado y resuelto desde hace años y carecía de relevancia actualmente”.¹¹

Al respecto, la AEPD inadmitió la reclamación en contra de La Vanguardia, por considerar que su negativa a la oposición y a la cancelación estaba debidamente fundada y motivada, dado que la publicación del anuncio había sido solicitada por parte de la autoridad (el Ministerio del Trabajo y Asuntos Sociales), con objeto de dar la máxima publicidad a la subasta, a efecto de conseguir el mayor número de licitadores posibles.¹²

No obstante, la AEPD estimó la solicitud del señor Costeja en contra de Google, pues consideró que quienes gestionan los motores de búsqueda son “responsables” por el “tratamiento de datos personales” y, en consecuencia, le solicitó que adoptara las medidas necesarias para retirar los datos de su índice y que, a su vez, imposibilitara el acceso futuro a los mismos. ¹³ Ante esta decisión, Google Spain y Google Inc. interpusieron sendos recursos ante la Audiencia Nacional española, la cual decidió suspender el procedimiento y plantear diversas cuestiones prejudiciales ante el TJUE.

2

Resolución del TJUE

En términos generales, las cuestiones prejudiciales que plantea la Audiencia Nacional al TJUE comprenden los siguientes aspectos:¹⁴

• a)

  el ámbito de aplicación territorial de la Directiva 95/46/CE¹⁵ en materia de datos personales (y, con ello, de las disposiciones que la han traspuesto en el territorio español);

• b)

  el ámbito de aplicación material de las disposiciones jurídicas antes indicadas, y

• c)

  el alcance de los derechos de supresión y bloqueo de los datos y de oposición reconocidos por la citada Directiva 95/46, de los cuales se deriva el llamado “derecho al olvido”.¹⁶

A

Sobre el ámbito de aplicación territorial de la Directiva 95/46/CE

Al respecto, la Audiencia Nacional pide la interpretación del artículo 4 (sobre el “Derecho nacional aplicable”) de la Directiva 95/46/CE para determinar si es factible aplicar la normatividad española en materia de protección de datos personales al caso concreto, dado que la empresa matriz del grupo Google (Google Inc.), quien gestiona el motor de búsqueda, se encuentra radicada en los Estados Unidos de América. Por su parte, Google Spain (filial de Google Inc.) acredita que se dedica específicamente a la promoción y venta de los espacios publicitarios del buscador y si bien mantiene dos ficheros que incluyen datos personales, éstos están referidos a los clientes que hayan contratado publicidad en dicho Estado miembro de la Unión.¹⁷

Cabe decir que el artículo 4.1, inciso c, de la Directiva 95/46, establece que aunque el responsable no esté establecido en territorio de la Unión, las disposiciones nacionales que se deriven de la misma le resultarán aplicables si ha recurrido a la utilización de ciertos medios (automatizados o no) situados en el territorio de un Estado miembro, para el tratamiento de datos personales.

En consecuencia, el TJUE procede a determinar si existen puntos de conexión entre Google Spain y Google Inc. que permitan determinar si efectivamente existe un “recurso a medios” que permita extrapolar la aplicabilidad de la Directiva.

Sobre el particular, el TJUE toma en consideración que Google Spain se constituye en una filial a través de la cual la empresa matriz Google Inc. lleva a cabo la promoción y venta en España de los espacios publicitarios del motor de búsqueda, lo cual permite que el servicio del motor de búsqueda resulte rentable y, al mismo tiempo, se constituya en el medio que permite realizar esas actividades.¹⁸ Así, el Tribunal de Luxemburgo concluye que las actividades del gestor del motor de búsqueda y las de su establecimiento situado en un Estado miembro “están indisociablemente ligadas”.¹⁹ En consecuencia, la gestión del motor de búsqueda es imputable al establecimiento que se encuentra ubicado en el territorio de un Estado miembro. ²⁰

B

Sobre el ámbito de aplicación material de la Directiva 95/46/CE

Por lo que se refiere al ámbito de aplicación material de la Directiva 95/46/CE, una primera cuestión consistió en determinar si la actividad de los motores de búsqueda, como proveedores de contenidos (mas no generadores), que localizan, indexan, almacenan temporalmente y ponen a disposición de los internautas de forma indefinida y con cierto orden de preferencia, información que contiene datos personales, puede ser considerada “tratamiento de datos personales”. Con base en ello, la Audiencia Nacional también solicita que se le indique si el gestor del motor de búsqueda puede ser considerado entonces responsable. ²¹ Sobre el particular, el TJUE recuerda que la Directiva 95/46/CE, en su artículo 2, inciso b, establece que se entenderá por “tratamiento de datos personales”:

…cualquier operación o conjunto de operaciones, efectuadas o no mediante procedimientos automatizados, y aplicadas a datos personales, como la recogida, registro, organización, conservación, elaboración o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma que facilite el acceso a los mismos, cotejo o interconexión, así como su bloqueo, supresión o destrucción…

De igual forma, en atención a la Directiva, en el inciso d del mismo artículo 2, se anota que se entenderá por “responsable del tratamiento… la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que sólo o conjuntamente con otros determine los fines y medios del tratamiento de datos personales…”.

De acuerdo con dichas disposiciones, el Tribunal considera que efectivamente las actividades que se realizan en el marco de los motores de búsqueda constituyen un tratamiento de datos personales, toda vez que “el gestor de un motor de búsqueda «recoge» tales datos que «extrae», «registra» y «organiza» posteriormente en el marco de sus programas de indexación, «conserva» en sus servidores y, en su caso, «comunica» y «facilita el acceso» a sus usuarios en forma de listas de resultados de sus búsquedas”.²² En ese sentido, se apega a lo dispuesto por el citado artículo 2, inciso b, de la Directiva 95/46/CE.

Google Inc., véase Crowther, Hannah, “Google v Spain: is there now a ‘right to be forgotten’?”, Journal of Intellectual Property Law and Practice, vol. 9, núm. 11, 2014, p. 893.

Ahora bien, por lo que se refiere a si el gestor del motor de búsqueda puede considerarse responsable del tratamiento, el propio TJUE considera que sí se ajusta a la definición prevista por el artículo 2o. de la Directiva, en el sentido de que el gestor es quien determina los fines y los medios del tratamiento.²³ De tal forma que reconoce el carácter de responsable aun cuando el gestor de un motor de búsqueda no ejerza el control sobre los datos publicados en las páginas web de terceros.²⁴ A lo cual debe sumarse la irrelevancia que se le concede al hecho de que los motores de búsqueda no distingan entre la información general proporcionada por terceros y lo que propiamente se considera dato personal.

C

Sobre el alcance de los derechos de supresión y bloqueo de los datos y de oposición

Bajo el supuesto de que efectivamente se considere a Google como responsable del tratamiento de datos personales, la Audiencia Nacional le pregunta al TJUE si la AEPD puede exigirle a Google de manera directa la “retirada de sus índices de una información publicada por terceros, sin dirigirse de manera previa o simultáneamente al titular de la página web en la que se ubica dicha información”.²⁵ En concreto, la cuestión que se debate corresponde, por una parte, a la aplicación del derecho del interesado para solicitar la supresión o bloqueo de sus datos, así como el derecho de oposición, a pesar de que la información sea verdadera, pública y legítima y, por otra parte, a la procedencia de estos derechos de manera directa hacia el gestor de un motor de búsqueda, aun cuando el interesado no haya ejercido previamente y con éxito su derecho de oposición frente al editor de la página de Internet de donde proviene la información.

Sin duda esta cuestión prejudicial generó un amplio debate y posiciones encontradas entre los distintos participantes en el proceso,²⁶ no obstante, el TJUE opta por reafirmar el criterio adoptado por la AEPD tras un cuidadoso análisis normativo que relaciona la Directiva con los artículos 7o. y 8o. de la Carta de los Derechos Fundamentales de la Unión Europea,²⁷ que establecen el respeto a la vida privada y el derecho a la protección de datos personales, respectivamente, así como un ejercicio de ponderación entre el interés legítimo del responsable del tratamiento de los datos, por una parte, y los intereses, derechos y libertades del titular de los datos, por la otra, entre los que se comprenden el derecho a la vida privada, la protección de datos personales y, con ello, el derecho de supresión y bloqueo de los datos.²⁸ A todo lo cual cabe añadir, por supuesto, el derecho o el interés potencial de terceros (internautas) sobre acceso a la información.²⁹

Por lo que hace a la ponderación, el TJUE comienza por reconocer la gravedad potencial que implica el tratamiento de datos personales en este caso cuando la búsqueda se realiza a partir del nombre de una persona física,

…una visión estructurada de la información relativa a esta persona… que afecta potencialmente a una multitud de aspectos de su vida privada, que, sin dicho motor, no se habrían interconectado o sólo podrían haberlo sido muy difícilmente y que le permite de este modo establecer un perfil más o menos detallado de la persona de que se trate.

Además, como observa el propio Tribunal de Luxemburgo, “el efecto de la injerencia en los derechos del interesado se multiplica debido al importante papel que desempeña Internet y los motores de búsqueda en la sociedad moderna, que confieren a la información contenida en tal lista de resultados de carácter ubicuo”.³⁰

Así, el TJUE antepone los derechos de privacidad y datos personales del interesado sobre el interés económico del gestor del motor de búsqueda (al cual no le concede valor alguno) y, en términos generales, sobre el interés legítimo de los internautas potencialmente interesados en tener acceso a la información en cuestión. ³¹ No obstante, este órgano jurisdiccional establece que este equilibrio “puede depender, en supuestos específicos, de la naturaleza de la información de que se trate y del carácter sensible para la vida privada de la persona afectada y del interés público en disponer de esta información, que puede variar, en particular, en función del papel que esta persona desempeñe en la vida pública”.³² En otras palabras, el Tribunal reconoce la necesidad de analizar el caso concreto para determinar si efectivamente debe prevalecer el interés de los titulares de datos personales sobre el interés de los internautas y de la sociedad en general para acceder de manera ágil y sencilla a cierta información.

Finalmente, por lo que hace a esta cuestión prejudicial, el TJUE analiza si efectivamente se actualiza lo dispuesto por el artículo 12, inciso b, de la Directiva 95/46/CE, en el cual se establece el derecho a la supresión o el bloqueo de datos “cuyo tratamiento no se ajuste a las disposiciones de la… Directiva, en particular a causa del carácter incompleto o inexacto de los datos”. Al respecto, el Tribunal enfatiza que esta incompatibilidad no se refiere exclusivamente a situaciones en las que los datos sean inexactos, “sino en particular, de que sean inadecuados, no pertinentes y excesivos en relación con los fines del tratamiento, de que no estén actualizados o de que se conserven durante un periodo superior al necesario, a menos que se imponga su conservación por fines históricos, estadísticos o científicos”.³³

Por tanto, si bien la información indexada puede tener un origen lícito, con el tiempo puede devenir incompatible con la Directiva.³⁴ En ese sentido, el Tribunal considera que la información relativa al señor Costeja “es inadecuada, no es pertinente, o ya no lo es, o es excesiva en relación con los fines del tratamiento en cuestión realizado por el motor de búsqueda, la información y los vínculos de dicha lista de que se trate”,³⁵ por tanto deben eliminarse.

III

Caso sánchez de la peña

1

Hechos

En julio de 2014, el señor Carlos Sánchez de la Peña pidió a Google México, S. de R. L. de C. V. la cancelación, bloqueo y supresión de sus datos respecto de tres vínculos electrónicos a los que conducía la búsqueda por su nombre: una investigación periodística que lo relacionaba a él y a su familia con un fraude vinculado con la Fundación Vamos México de la entonces primera dama, Martha Sahagún; un Foro de Yahoo Respuestas que lo mencionaba como beneficiario del Fondo Bancario de Protección al Ahorro (Fobraproa), y un foro en el que los internautas lanzaban fuertes críticas en relación con la muerte de su padre, Salvador Sánchez Alcántara.³⁶

Ante la ausencia de respuesta, el particular se inconforma y presenta una solicitud de protección de derechos ante el IFAI. Para ello argumenta que Google México trata indebidamente datos personales sensibles sin el consentimiento de su titular, además de que dicha información no cumple con los requisitos de la ley ni con los principios que rigen el derecho a la protección de datos personales. Asimismo, argumenta que los vínculos contienen su nombre, el de su padre ya fallecido y de sus hermanos, así como información retaceada y descontextualizada de sus actividades como empresario y comerciante, sobre lo cual argumenta que no sólo afecta su esfera más íntima (honor y vida privada), sino también sus relaciones comerciales y financieras actuales.³⁷

Ya a instancias del IFAI, Google México rechaza la solicitud del particular argumentando, al igual que en el caso de España, que “no es la persona moral propietaria que presta, ni administra la operación del servicio de motor de búsqueda ‘Google’, toda vez que dicho servicio de motor de búsqueda es prestado directamente por Google Inc., empresa de nacionalidad estadounidense…”.³⁸

2

Resolución del IFAI

La resolución del IFAI del 26 de enero del presente año establece un orden muy distinto a la citada sentencia del TJUE dado que, como se verá más adelante, adopta una posición muy formalista para dar trámite al procedimiento de protección de derechos. Además, en algunas cuestiones específicas, el enfoque o perspectiva adoptado por el IFAI difiere considerablemente del que corresponde al TJUE. No obstante lo anterior, a continuación veremos aquellos aspectos relevantes de la resolución del IFAI que nos permitirán posteriormente elaborar el análisis comparativo entre ambas.

A

Sobre el carácter de responsable de Google México

Una primera cuestión que aborda el IFAI consiste en determinar el carácter de responsable del tratamiento de datos personales de Google México, con objeto de verificar que no se actualice como causal de improcedencia para el procedimiento de protección de derechos el hecho de que el encausado no sea el responsable de datos. Para tales efectos, analiza el acta constitutiva de la empresa, en la cual observa que su objeto social no sólo comprende los servicios de comercialización y venta de publicidad (que coinciden con la filial en España), sino también la prestación de servicios de motor de búsqueda. De tal forma que el IFAI desestima el argumento esgrimido por Google México, consistente en señalar que el motor de búsqueda es gestionado exclusivamente por Google Inc.³⁹

Así, y tras el análisis de las páginas de Internet relacionadas con el caso, en las que se comprueba la localización de información de una persona a partir de la búsqueda por su nombre, el IFAI concluye que “Google México, S. de R. L. de C. V., sí presta dicho servicio [de motor de búsqueda] mediante el cual lleva a cabo el tratamiento de datos personales”.⁴⁰ Lo anterior, en atención a la definición del artículo 3o., fracción XVIII, de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), que establece en términos muy amplios que el tratamiento comprende la simple obtención, uso, divulgación o almacenamiento de datos personales, por cualquier medio; además de que el uso comprende, a su vez, cualquier acción de acceso, manejo, aprovechamiento, transferencia o disposición de datos personales.⁴¹

B

Sobre la responsabilidad de Google México en la atención del ejercicio de los derechos ARCO

Una segunda cuestión que analiza el IFAI consiste en determinar si Google México atendió en tiempo la solicitud de cancelación y oposición de datos personales del titular. Además, examina si las razones objetadas por el responsable respecto de negar los derechos de cancelación y oposición se justifican.⁴²

Sobre si Google México atendió en tiempo la solicitud de cancelación y oposición de datos personales del titular, el IFAI señala que de acuerdo con lo dispuesto por el artículo 32 de la LFPDPPP, que establece un plazo de 20 días para dar respuesta, hubo incumplimiento por parte de la empresa, pues no dio ningún tipo de respuesta a la solicitud inicial del titular.⁴³ La respuesta de Google México en el sentido de que no podía atender la solicitud del titular dado que ello correspondía a Google Inc., sólo se produjo ya a instancias del IFAI en el procedimiento de protección de derechos.

Sobre las razones objetadas por Google México para no haber procedido a la cancelación y oposición de los datos personales —consistente precisamente en su incapacidad para atender un asunto propio de Google Inc.—, el IFAI reitera que dado su objeto social (y como se desprende de la visita a las páginas de Internet relacionadas), esta empresa sí presta el servicio de motor de búsqueda, y también trata los datos personales.⁴⁴ En consecuencia, el IFAI considera que la negativa para atender la solicitud de cancelación y oposición por parte del responsable no puede tenerse como válida.

Ahora bien, una consideración más por parte del IFAI para determinar el incumplimiento de la empresa a lo dispuesto por la LFPDPPP y su Reglamento, fue que Google México “no argumentó ninguno de los supuestos de excepción para proceder a la cancelación y otorgar la oposición al tratamiento de los datos personales”.⁴⁵ Sobre el particular, cabe decir que los artículos 26 y 34 de la LFPDPPP establecen aquellos supuestos de excepción que permiten que el responsable pueda negarse a la cancelaciónu oposición del tratamiento de datos personales, entre los que cabe mencionar que se trate de información necesaria para realizar una acción en función del interés público o que la cancelación u oposición lesione los derechos de un tercero.⁴⁶

En consecuencia, el IFAI concluye que Google México:

…negó el ejercicio de [los] derechos de oposición y cancelación y se abstuvo de cancelar y dejar de tratar los datos personales sobre los cuales el Titular ejerció su derecho, todo ello sin causa justificada, en virtud de que lo hizo sin haber acreditado encontrarse en alguno de los supuestos de excepción previstos en la ley de la materia y no acreditó que el servicio de motor de búsqueda lo presta una empresa diversa. ⁴⁷

Lo anterior significa que el IFAI no se adentró oficiosamente a analizar si se actualizaba algún supuesto de interés público o si se lesionaban derechos de terceros que impidieran la procedencia de la cancelación u oposición del tratamiento de los datos del señor Sánchez de la Peña en el motor de búsqueda, bajo el criterio consistente en que la parte responsable no alega ningún supuesto de excepción. Entonces, bajo este mismo criterio, el IFAI elude adentrarse a la ponderación del derecho a la protección de datos personales frente a los derechos de libertad de expresión y de información que configurarían los posibles derechos de terceros en pugna.

C

Sobre el alcance y la procedencia de los derechos de cancelación y oposición

Es precisamente en este aspecto, relativo al alcance y la procedencia de los derechos de cancelación y oposición, en el que el IFAI hace referencia de manera expresa a la resolución del TJUE del 13 de mayo de 2014. Al respecto, transcribe de la misma tres aspectos en particular:⁴⁸

El primero de ellos se refiere al reconocimiento de que un tratamiento de datos personales efectuado por un motor de búsqueda “puede afectar significativamente a los derechos fundamentales de respeto a la vida privada y de protección de datos personales”, toda vez que dicho tratamiento “permite a cualquier internauta obtener mediante la lista de resultados una visión estructurada de la información relativa a esta persona que puede hallarse en Internet”. El segundo, retoma las actividades que desempeña un motor de búsqueda, consistentes en encontrar la información, indexarla de manera automática, almacenarla temporalmente y ponerla a disposición de los internautas en un orden de preferencia determinado, por lo cual “debe calificarse de tratamiento de datos personales”. Finalmente, el tercero, retoma la afirmación de que el gestor de un motor de búsqueda está obligado, de manera directa, a eliminar de la lista de resultados obtenida tras una búsqueda efectuada a partir del nombre de una persona vínculos a páginas web, publicadas por terceros y que contienen información relativa a esta persona.

En consecuencia, el IFAI concluye lo siguiente:

…el prestador de un servicio de un motor de búsqueda en Internet es responsable del tratamiento que aplique a los datos de carácter personal que aparecen en las páginas web publicadas por terceros, por lo que bajo determinadas condiciones, cuando, a raíz de una búsqueda efectuada a partir del nombre de una persona, la lista de resultados ofrezca enlaces a páginas web que contienen información sobre esa persona, ésta puede dirigirse directamente al gestor del motor de búsqueda para que se eliminen esos enlaces de la lista de resultados.⁴⁹

Dado todo lo anterior, el IFAI revoca la respuesta del responsable del tratamiento de datos y ordena que lleve a cabo las acciones necesarias para hacer efectivos los derechos de oposición y cancelación. Asimismo, establece que se dará inicio al procedimiento de imposición de sanciones.

IV

Análisis comparativo

Antes de iniciar con el análisis, es conveniente advertir sobre la dificultad metodológica que representa comparar resoluciones de muy distinto origen y naturaleza. En primer lugar, se trata de órganos resolutores de muy diversa índole: uno, el TJUE, de naturaleza propiamente jurisdiccional y, otro, el IFAI, de naturaleza materialmente administrativa, con funciones cuasijurisdiccionales, aunque con plena autonomía por disposición constitucional. En segundo lugar, cabe añadir que la sentencia del TJUE en el caso que nos ocupa atiende a una cuestión prejudicial; esto es, a una cuestión entre jueces y no propiamente a un recurso interpuesto por la parte agraviada; mientras que en el caso del IFAI la resolución sí responde a la solicitud planteada por quien efectivamente ostenta de manera directa un interés jurídico. Finalmente, en tercer lugar, se observa que la decisión del IFAI, a diferencia de lo que ocurre con la resolución del TJUE, no tiene un carácter definitivo o inatacable, lo cual implica que aún existe la posibilidad de revertir el criterio que sobre este caso ha emitido.

No obstante, en ambos supuestos, tanto el TJUE como el IFAI se constituyen en órganos garantes del derecho a la protección de datos personales y, en tal sentido, su labor no difiere esencialmente cuando se trata de interpretar el alcance y contenido de este derecho y, en su caso, ponderarlo frente a otros derechos fundamentales, como es el caso de la libertad de expresión y de información. Bajo estas consideraciones, entonces, es factible llevar a cabo el análisis comparativo, sin que ello implique un desconocimiento o desatención de sus propias características.

1

Diferencias en el contexto

Por lo que hace a las circunstancias que rodean cada uno de los casos tratados por el TJUE y el IFAI, respectivamente, es necesario señalar que presentan diferencias sustanciales; mientras que el caso del señor Costeja atiende a hechos consumados y publicados en 1998, el caso del señor Sánchez de la Peña aborda hechos publicados en 2007, aunque datan de 1997. Este último tiene un carácter continuado.

Por otra parte, en el caso del señor Costeja se trata de una publicación sobre una subasta de inmuebles embargados a petición de una autoridad, a diferencia del caso del señor Sánchez de la Peña, cuya publicación y difusión por Internet hace referencia a posibles actos de corrupción (entre los que cabe señalar los delitos de fraude, abuso de autoridad, entre otros), que involucran tanto a figuras públicas, relevantes en el contexto político del país, como en su relación con personas privadas.

Finalmente, cabe decir que en el caso del señor Costeja la información de la página web fuente proviene de la publicación de un anuncio publicitario en un periódico; mientras que en el caso del señor Sánchez de la Peña uno de los vínculos electrónicos (o links) cuya supresión se pide obedece a información proveniente de un artículo periodístico en una revista. Al respecto, es importante destacar que en el fallo del IFAI se le otorga un tratamiento indiferenciado a cada uno de los tres links a que se refiere el titular de los datos, a pesar de que tienen un origen y finalidad muy distinta, pues si bien uno de ellos es, como hemos dicho, un artículo periodístico, los otros dos parten de comentarios en dos foros de opinión. Ello implica que las consecuencias derivadas en el fallo del IFAI son las mismas, a pesar de que la finalidad perseguida, la licitud y la trascendencia de la información publicada es diversa.

Esto cobra especial relevancia si consideramos que en la sentencia del TJUE se especifica que en estos casos en los que existen diversos intereses en juego es necesario analizar cada supuesto en particular, en atención a la naturaleza de la información, así como que se trata de datos sensibles y de la vida pública de los sujetos involucrados.

Ahora bien, por lo que hace a los argumentos vertidos por el solicitante, también se observan importantes diferencias, a pesar de que en ambos casos se solicita la supresión de los vínculos electrónicos que aparecen tras la búsqueda por nombre. El señor Costeja alega que el embargo al que se vio sometido carece de relevancia actual, puesto que el asunto fue resuelto desde hacía varios años. El señor Sánchez de la Peña, por su parte, argumentó entre otras cosas que la información publicada no sólo afecta su esfera más íntima (honor y vida privada), sino también sus relaciones comerciales y financieras actuales.

Esta diferencia de agravios no es una cuestión menor, pues denota la dificultad que afrontamos todavía en México para distinguir entre el derecho a la protección de datos personales, el derecho a la vida privada y el derecho al honor y la propia imagen. Se trata de derechos humanos distintos, cuyos estándares de ponderación y vías de jurisdicción son diversos. Sin embargo, el IFAI se concentra en la solicitud por lo que hace a la parte relativa a los derechos de cancelación y oposición, sin adentrarse a cuestiones que escaparían de su competencia.

2

Diferencias y similitudes en la resolución

A

Sobre el ámbito de aplicación territorial de la normatividad en materia de datos personales

La perspectiva de análisis que adopta el IFAI frente a lo resuelto por el TJUE es muy distinta. De hecho, el Instituto no hace ninguna referencia a la aplicación (extra) territorial de la LFPDPPP, puesto que no acepta el argumento presentado por Google México, en el sentido de que el motor de búsqueda es administrado exclusivamente por Google Inc. (situado en territorio de los Estados Unidos de América). Esta conclusión tiene como sustento el acta constitutiva de Google México, en la que se observa que dentro de su objeto social se encuentra la posibilidad de prestar los servicios de motor de búsqueda, aunado al hecho de que en su sitio (http://www.google.mx) se localizan los vínculos objeto de la controversia.

Si bien desde esta perspectiva el IFAI no incurre en el debate que propicia la aplicación extraterritorial de la normatividad de protección de datos personales, cuyos efectos alcanzarían a Google Inc.,⁵⁰ introduce el problema de considerar directamente responsable de los datos a Google México por el mero hecho de que tiene la potestad, aunque no se compruebe que ésta se actualiza, de fungir como motor de búsqueda. Además, bajo este enfoque del IFAI, que evita el análisis de la relación entre Google México y Google Inc., queda injustificado cómo podría efectuarse la supresión de los vínculos tanto en la página http://www.google.mx como en http://www.google.com. Al respecto, la resolución del IFAI sólo especifica que Google México deberá “llevar a cabo las acciones necesarias a efecto de hacer efectivos de manera indubitable los derechos de oposición y cancelación objeto de protección…”.⁵¹

B

Sobre la categorización de Google buscador como responsable del tratamiento de datos personales

Al respecto, tanto la resolución del TJUE como del IFAI abordan los elementos necesarios para efectuar dicha categorización, consistentes en que existan datos personales y que los mismos sean tratados (de acuerdo con la definición de tratamiento que establecen la Directiva 95/46CE y la LFPDPPP, respectivamente). De igual forma, en ambos casos se establece cómo funciona un motor de búsqueda,⁵² aunque en el caso del IFAI simplemente se remite a citar de manera textual la sentencia del TJUE.

De ahí que en las dos resoluciones se llegue a una conclusión similar que consiste en que quienes gestionan motores de búsqueda son responsables del tratamiento de datos personales. A contrario sensu, este criterio implica un rechazo al argumento de Google, que consiste en el hecho de que en el buscador no puede haber propiamente un tratamiento de datos personales, puesto que “los motores operan con la información disponible en la red sin distinguir entre lo que constituyen datos personales y las informaciones que no lo son”.⁵³

Sin embargo, la aproximación del IFAI para llegar a esta conclusión difiere fundamentalmente de la resolución del TJUE, precisamente en cómo imputa el carácter de responsable concretamente a Google México. Para ello, adopta el argumento antes citado, consistente en el hecho de que efectivamente presta (de manera directa) los servicios de motor de búsqueda, como se desprende tanto de su objeto social como de la visita de las páginas de Internet en las que aparecen los vínculos cuya supresión se solicita.

C

Sobre la procedencia y alcance de los derechos de cancelación y oposición

En este punto es donde se encuentra la principal diferencia entre la sentencia del TJUE y la resolución del IFAI. La primera precisa que el derecho de cancelación está justificado cuando la información resulte imprecisa, inadecuada, irrelevante o excesiva. Si bien en principio la información publicada en el diario La Vanguardia era legítima y verdadera, el TJUE considera que por el mero transcurso del tiempo dicha información carece de relevancia actual y, por ende, ya no es compatible con los términos de la Directiva 95/46/CE.⁵⁴ Esto no es de extrañar si tomamos en consideración que la publicación hace referencia a un hecho consumado que data de 1998.⁵⁵

Ahora bien, por lo que se refiere al derecho de oposición,⁵⁶ el TJUE deja entrever que la regla general es la aplicación de este derecho,⁵⁷ a menos que se determine lo contrario en atención a las circunstancias de cada caso concreto, ya sea por la naturaleza de la información, por su carácter sensible para la vida privada del afectado, por la necesidad de los datos en relación con los fines para los que se recogieron o por el tiempo transcurrido, entre otras cosas. ⁵⁸ A esta conclusión llega después de realizar una ponderación, en la que no le concede ningún valor al interés económico de Google, y en la que considera que prevalece el derecho del titular de los datos personales; esto es, del señor Costeja, sobre el interés legítimo de los internautas. Lo anterior, bajo el argumento de que la visión estructurada de la información de una persona que ofrecen los resultados del motor de búsqueda presenta una gravedad potencial.

En contraste, la resolución del IFAI establece que Google no argumentó ninguno de los supuestos de excepción para proceder a la cancelación y oposición al tratamiento de los datos (entre los que se encuentran que los datos sean necesarios para realizar una acción en función del interés público o cuando la cancelación u oposición lesionan derechos de un tercero), motivo por el cual este órgano considera que debió entonces haber procedido a la cancelación y oposición en términos de lo solicitado por el señor Sánchez de la Peña. De esta forma, el IFAI no analiza propiamente cuál es el alcance de los derechos de cancelación y oposición y los supuestos de procedencia. Por el contrario, traslada esta tarea al responsable del tratamiento de los datos personales. A todo lo cual cabe añadir una importante omisión por parte del IFAI, que consiste en la diferenciación que hubiera requerido el análisis de cada uno de los vínculos cuya supresión se solicita, pues no es lo mismo un chat o foro de opinión que un artículo periodístico.

Sin embargo, a pesar de que el IFAI no realizó ponderación alguna frente al derecho de libertad de expresión y de información, ni determinó si efectivamente la información publicada presentaba una trascendencia de interés público (lo cual, dado los hechos del caso era factible, por lo menos en uno de los vínculos electrónicos), adoptó de manera expresa e idéntica el argumento presentado por el TJUE, en el sentido de que la información que se despliega en un motor de búsqueda tras utilizar como criterio el nombre de una persona presenta una “gravedad potencial” considerable, por lo que considera que las pretensiones del titular de los datos son procedentes.

Aquí el problema es que el IFAI, sin haber realizado ninguna ponderación ni adoptado criterios que, como en el caso del TJUE, permitieran acotar la aplicación de los derechos de cancelación y oposición o, por lo menos, dirigir el análisis de cada caso, establece un precedente muy importante, que se identifica con el llamado “derecho al olvido”.⁵⁹

V

Conclusión

A pesar de que las resoluciones del TJUE y del IFAI coinciden en la parte sustantiva, relativa al reconocimiento de los derechos de cancelación y oposición de los titulares de datos personales frente a Google search, lo cierto es que ambos casos presentan importantes diferencias en los hechos o circunstancias que redefinen la finalidad del tratamiento y los intereses a los que sirven en cada caso.

A todo lo anterior se añade la diversa perspectiva que adopta cada uno de los órganos resolutores en cuanto a la argumentación e interpretación de cada caso. Sin duda una de las carencias más visibles en la resolución del IFAI es la falta de ponderación, que le hubiera permitido concluir, al menos de manera más solvente, que el derecho a la protección de datos personales del señor Sánchez de la Peña prevalece sobre el interés económico de Google para gestionar información proveída por un medio de difusión y, más importante aún, sobre el derecho de los internautas, no sólo para obtener información, sino que la misma sea asequible de manera fácil y ordenada.

Asimismo, hubiera sido deseable que la resolución del IFAI se distanciara de un acercamiento excesivamente formalista e incorporara cuáles son los límites o parámetros para determinar en qué casos procede solicitar la supresión de los vínculos electrónicos relacionados con el nombre de una persona utilizado como criterio de búsqueda. Si bien el criterio sentado por el TJUE en cuanto a la configuración y alcance de los derechos de oposición y cancelación ha generado importantes cuestionamientos, especialmente en su relación vis à vis el derecho a la libertad de expresión y de información, ⁶⁰ el fallo del IFAI, dado el contexto del caso y su contenido, genera incertidumbre en el tema, especialmente por lo que se refiere al reconocimiento en nuestro sistema jurídico del llamado “derecho al olvido”, cuyos contornos y límites todavía están en proceso de construcción.⁶¹

No obstante lo anterior, cabe reconocer la trascendencia de la resolución del IFAI que posiciona y fortalece el derecho a la protección de datos personales y, con ello, el derecho a la autodeterminación informativa en nuestro sistema jurídico. Si bien la forma de abordar las pretensiones de las partes en esta materia es perfectible, los cimientos ya están dados.