Resolución de la Agencia ...yo de 2022

Última revisión
09/02/2023

Texto

Resolución de la Agencia Española de Protección de Datos PS-00140-2020 de 18 de mayo de 2022

Resolución

Relacionados:

Voces

Jurisprudencia

Prácticos

Formularios

Resoluciones

Temas

Legislación

Tiempo de lectura: 326 min

Órgano: Agencia Española de Protección de Datos

Fecha: 18/05/2022

Num. Resolución: PS-00140-2020

Cuestión

Sector:

1 / 137

Expediente Nº: PS/00140/2020

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base

a los siguientes

ANTECEDENTES

PRIMERO : A.A.A. (en adelante, el denunciante ) con fechas 13 y 29 de septiembre de

2018 y 15 de...

Contestacion

1/137

? Expediente Nº: PS/00140/2020

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base

a los siguientes

ANTECEDENTES

PRIMERO: A.A.A. (en adelante, el denunciante) con fechas 13 y 29 de septiembre de

2018 y 15 de octubre de 2018, interpuso sendas denuncias ante la Agencia Española

de Protección de Datos. Las denuncias se dirigen contra GOOGLE LLC (en adelante,

GOOGLE LLC, la entidad reclamada o la reclamada) por la comunicación de datos

personales al ?Proyecto Lumen? (en adelante, ?Proyecto Lumen?, ?Organización

Lumen? o ?Lumen?), al sitio web ?lumendatabase.org?. Los motivos en que basa las

denuncias son los siguientes:

Denuncia de 13 de septiembre de 2018:

?[?] Cualquier usuario de internet, puede encontrar en Google o en sus

productos/herramientas (Google +, YouTube, Google Drive, Blogs de Blogspot, etc.),

circunstancias como las siguientes:

. Datos personales (que no sólo están en el buscador, sino en sus productos como los blogs de

Google, Google +, etc.).

. Difamación (publicándose, además, datos de carácter personal).

. Contenidos ilícitos declarados en una orden judicial.

. Infracción de marcas comerciales o de derechos de autor.

. Problemas relacionados con las funciones Autocompletar o Búsqueda relacionada.

. Otras incidencias legales.

[?] Google ha puesto a disposición de los afectados canales de comunicación específicos (on

line, y distribuidos por distintas materias), para que los mismos puedan trasladar a Google

reclamaciones (identificando el sitio o URL conflictiva, su nombre y apellidos, email, documento

identificativo, etc.), y pueda tomarse una decisión al respecto. Los llamados ?formularios de

contacto? son los siguientes:

https://support.google.com/legal/contact/lr_dmca?product=news&uraw=&hl=es [Formulario

Google 1]

https://support.google.com/legal/troubleshooter/1114905?

rd=2#ts=1115655%2C1282900%2C1115974 [Formulario Google 2]

https://support.google.com/legal/troubleshooter/1114905#ts=1115645 [Formulario Google 3]

https://support.google.com/legal/troubleshooter/1114905#ts=1115658%2C1115662 [Formulario

Google 4]

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

2/137

https://support.google.com/legal/troubleshooter/1114905#ts=1115658%2C7565832 [Formulario

Google 5]

https://support.google.com/legal/troubleshooter/1114905#ts=1115658%2C1115673 [Formulario

Google 6]

https://support.google.com/legal/troubleshooter/1114905#ts=1115658%2C6387768

[Formulario Google 7]

https://support.google.com/legal/troubleshooter/1114905#ts=1115658%2C7308762 [Formulario

Google 8]

https://support.google.com/legal/troubleshooter/1114905#ts=1115658%2C1115676 [Formulario

Google 9]

https://support.google.com/legal/troubleshooter/1114905#ts=1115658%2C1115686 [Formulario

Google 10]

https://support.google.com/legal/contact/lr_dmca?product=news&uraw=&hl=es [Formulario

Google 11]

https://support.google.com/legal/troubleshooter/1114905#ts=1115658%2C7494925 [Formulario

Google 12]

https://support.google.com/legal/troubleshooter/1114905#ts=1115658%2C7529574 [Formulario

Google 13]

https://support.google.com/legal/troubleshooter/1114905#ts=1115658%2C7282135 [Formulario

Google 14]

https://support.google.com/legal/troubleshooter/1114905#ts=1115658%2C7367058 [Formulario

Google 15]

https://support.google.com/legal/troubleshooter/1114905#ts=1115658%2C7546357 [Formulario

Google 16]

https://support.google.com/legal/troubleshooter/1114905#ts=1115658%2C9053853 [Formulario

Google 17]

https://support.google.com/legal/troubleshooter/1114905#ts=1115648 [Formulario Google 18]

https://support.google.com/legal/troubleshooter/1114905#ts=1115652 [Formulario Google 19]

https://support.google.com/legal/troubleshooter/1114905#ts=1115681 [Formulario Google 20]

https://support.google.com/legal/troubleshooter/1114905#ts=1349036 [Formulario Google 21]

https://support.google.com/legal/troubleshooter/1114905#ts=1115681%2C7689505 [Formulario

Google 22]

https://support.google.com/legal/troubleshooter/1114905#ts=1115655%2C1282900 [Formulario

Google 23]

[?] El problema de los anteriores ?formularios de contacto? es simple: Google impone al

usuario que los utilice la cesión de sus datos personales y de su reclamación a una

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

[Link]

https://www.lumendatabase.org/

[Link]

https://www.google.com/transparencyreport/removals/copyright/

[Link]

https://www.lumendatabase.org/notices/5838

3/137

organización llamada Lumendatabase.org. Google anuncia lo expuesto en los ?formularios? de

la siguiente forma:

?Ten en cuenta que es posible que enviemos una copia de cada una de las notificaciones

legales que recibamos al proyecto Lumendatabase (https://www.lumendatabase.org) para

su publicación y anotación. Lumendatabase retirará la información de contacto personal

del remitente (es decir, el número de teléfono, la dirección de correo electrónico y el

domicilio).

Para consultar un ejemplo de este tipo de publicaciones, accede a la

página https://www.lumendatabase.org/notices/5838.

También podemos enviar la notificación original al presunto infractor o al titular de los

derechos si tenemos motivos para sospechar de la validez de tu reclamación.

Asimismo, podemos publicar información similar procedente de tu notificación en nuestro

informe de transparencia. Para obtener más información sobre este informe, haz

clic aquí?.

[?] De acuerdo con los criterios del GTA29, Google no puede comunicar la censura a las

páginas web afectadas por esta, ni informar de la censura a los usuarios de su buscador.

Con el razonamiento expuesto, no tiene sentido que Google se reserve la facultad de

comunicar datos de carácter personal a Lumendatabase.org. Las comunicaciones de Google a

Lumendatabase.org revelan quién ha solicitado el ejercicio de censura (de cualquier clase) en

internet, su situación personal concreta previa, y sus datos personales, siendo del todo

innecesaria la comunicación.

[?] A la luz del RGPD, no existe justificación alguna para que Google transmita a

Lumendatabase.org datos de carácter personal.

Es muy posible que Google argumente que, si no hay datos de carácter personal en las

publicaciones de Lumendatabase.org (por haberlos anonimizado Lumendatabase.org antes de

publicitarlos), no hay infracción, pero lo cierto es que la infracción se produce desde el mismo

momento en el que se realiza una cesión de datos personales, antes de que estos se

anonimicen. Por otra parte, no siempre los anonimiza Lumendatabse.org. En algunos

supuestos las publicaciones que se realizan en Lumendatabase.org no han eliminado el

nombre y apellidos de los solicitantes y en otros casos no eliminan las URL objeto de

reclamaciones, por lo que, cualquier persona que acceda a Lumendatabase.org puede conocer

la identidad de los solicitantes.

El sistema de cesión ideado por Google no responde a los principios del RGPD: se elevan los

riesgos de los tratamientos innecesariamente, y no cabe basarse en el interés legítimo (el

formulario no permite la oposición, y es incuestionable que no pasa una mínima ponderación).

Tampoco cabe fundamentar las cesiones en el consentimiento del usuario, pues ?en el caso de

advertir la cesión, cuyo consentimiento no se solicita de forma separada y a modo de casilla

destinada al efecto- se ve obligado a facilitarlo, de querer completar el formulario (si no quiere

completarlo debido a la mención de Lumendatabase estaríamos ante una infracción más,

consistente en la obstaculización del ejercicio de derechos).

No resulta adecuado a derecho que:

. Un afectado esté obligado a consentir en la citada cesión al usar el formulario.

. Google LLC. transmita datos de carácter personal a una organización absolutamente ajena a

la decisión que se adopte sobre la reclamación del interesado. La cesión es innecesaria, y

perjudicial, máxime en aquellos casos en los que se revelan situaciones intimas o privadas que

han merecido la censura de Google. ¿Qué base legitimadora real existe? Ninguna.

. Se transgredan todos los principios del RGPD señalados.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

4/137

. Un usuario se vea imposibilitado a usar el formulario de Google ante el temor de la cesión

efectuada, lo que le obstaculiza el ejercicio de sus derechos.

[?] Casos que afectan a España, publicados en Lumendatabase.org desde agosto de 2018.

(?) [Enlace Lumendatabase 1]

(?) [Enlace Lumendatabase 2]

(?) [Enlace Lumendatabase 3]

(?) [Enlace Lumendatabase 4]

(?) [Enlace Lumendatabase 5]

(?) [Enlace Lumendatabase 6]

(?) [Enlace Lumendatabase 7]

[?]?.

Denuncia de 28 de septiembre de 2018.

Refiere cuatro nuevos casos ?que afectan a España, publicados en

Lumendatabase.org desde agosto de 2018?.

Sobre el primer caso, indica que se identifica a la persona con su nombre y apellidos,

entendiendo por ello que no siempre se anonimizan los datos para su publicación en

?lumendatabase.org?. Reseña los siguientes enlaces:

(?) [Enlace Lumendatabase 8]

(?) [Enlace Lumendatabase 9]

(?) [Enlace Lumendatabase 10]

(?) [Enlace Lumendatabase 11]

(?) [Enlace Lumendatabase 12]

En relación con los tres casos siguientes, señala que en la publicación de

?lumendatabase.org? aparece la palabra ?Redacted? en el peticionario y destaca que si

GOOGLE LLC hubiera facilitada este dato para su anonimización y fuera personal se

habría infringido la normativa de protección de datos. Los enlaces correspondientes a

estos casos son los siguientes:

(?) [Enlace Lumendatabase 13]

(?) [Enlace Lumendatabase 14]

(?) [Enlace Lumendatabase 15]?.

Aporta capturas de pantalla correspondientes a los enlaces 8 a 14. La descripción de

estas capturas de pantalla es la siguiente:

. Enlace Lumendatabase 8

. Encabezado: Dirigida a GOOGLE LLC por un usuario español anonimizado por

motivos de difamación.

. Reclamación: (...).

. Enlace: (?).

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

5/137

. Enlaces Lumendatabase 9 a 12

Se trata del mismo supuesto que el del enlace anterior, pero en estos enlaces 9 a 12,

en el párrafo que muestra parte de la reclamación presentada ante GOOGLE LLC, el

nombre aparece como sigue: ?B.B.B.? (enlace 9), ?B.B.B.? (enlace 10), ?B.B.B.?

(enlaces 11) y ?B.B.B.? (enlace 12).

La dirección del enlace muestra ?B.B.B.? (enlace 9), ?B.B.B.? (enlaces 10 y 11) o

?B.B.B.? (enlace 12).

. Enlace Lumendatabase 13

. Encabezado: Dirigida a GOOGLE LLC por un usuario español anonimizado por

motivos de difamación.

. Reclamación: (?).

. Enlace: (?).

. Enlace Lumendatabase 14

. Encabezado: Dirigida a GOOGLE LLC por un usuario español anonimizado por

motivos de difamación.

. Reclamación: (?).

. Enlace: (?).

Denuncia de 15 de octubre de 2018.

?Una persona mandó a Google LLC una Sentencia, que ha sido remitida por Google a

Lumendatabase.org en septiembre de 2018 para su publicación junto a su nombre y

apellidos, sin que la comunicación a Lumendatabase esté amparada por los principios

del RGPD?.

Los enlaces a los que se refiere esta reclamación son los siguientes:

(?) [Enlace Lumendatabase 16]

(?) [Enlace Lumendatabase 17]

Aporta captura de pantalla correspondiente a estos enlaces, con los detalles

siguientes:

. Enlace Lumendatabase 16:

. Encabezado: Dirigida a GOOGLE LLC por C.C.C. el ***FECHA.1 como

consecuencia de un fallo judicial.

. Reclamación: (?).

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

6/137

. Enlace: (?)

. Documentos: Icono que señalaría a un documento adjunto en formato .pdf

que supondría el soporte para la retirada de contenido.

. Enlace Lumendatabase 17: la captura de pantalla aportada corresponde a un

fragmento de la primera página de la (?) presuntamente accesible a través del

anterior enlace.

Aporta, asimismo, copia completa de esta Sentencia, en la que constan los nombres y

apellidos de todas las personas que intervienen en el proceso (juez que la dicta, parte

demandante (C.C.C.), demandada, sus representantes, Ministerio Fiscal y (?)

(D.D.D.), así como todas las circunstancias del proceso, que está motivado por un

artículo publicado en un blog (se indica la dirección URL que condice a dicho artículo).

El fallo condena al demandado a suprimir el contenido del artículo publicado en su

blog.

SEGUNDO: Con carácter previo a la admisión a trámite, estas denuncias se

trasladaron a GOOGLE LLC, de conformidad con lo establecido en el artículo 9.4 del

Real Decreto-Ley 5/2018, de 27 de julio, de medidas urgentes para la adaptación del

derecho español a la normativa de la Unión Europea en materia de protección de

datos.

El día 28/12/2018, tuvo entrada en esta Agencia escrito de contestación de la

mercantil referida en el párrafo anterior, en el que señala lo siguiente:

?[?] Que, mediante el presente escrito, Google aporta la información y documentación

solicitadas en el Traslado de Reclamación y Solicitud de Información y, en concreto:

1. Copia de las comunicaciones, de la decisión adoptada que haya remitido al

reclamante a propósito del traslado de esta reclamación, y acreditación de que el

reclamante ha recibido la comunicación de esa decisión.

Se incorpora al presente escrito como DOCUMENTO N.º 2 la comunicación enviada

por Google el 28 de diciembre de 2018 en relación con las reclamaciones presentadas

por? (nombre y apellidos del denunciante), así como justificante de envío por burofax.

2. Informe sobre las causas que han motivado la incidencia que ha originado la

reclamación.

Google desconoce la relación existente entre el reclamante y las dos páginas web a

las que se hace referencia en sus reclamaciones. El reclamante no ha facilitado

ninguna explicación a este respecto y tampoco se nos ha facilitado información acerca

de si el reclamante ha probado a la AEPD tener relación o capacidad alguna para

representar al interesado en cuestión.

3. Informe sobre las medidas adoptadas para evitar que se produzcan incidencias

similares.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

7/137

A pesar de la falta de claridad de las reclamaciones y de que no se haya identificado

al interesado supuestamente afectado, Google LLC ha contactado con la organización

Lumendatabase, y, tras ello, ha advertido que las dos URLs mencionadas en las

reclamaciones (ver 2 más arriba) ya no son accesibles, tal como se desprende de las

impresiones que se proporcionan como DOCUMENTO N.º 3.

[?] Que resulta procedente inadmitir las reclamaciones presentadas por? (nombre y

apellidos del denunciante), en virtud de lo dispuesto por el artículo 9.3 del Real

Decreto-ley 5/2018, de 27 de julio, de medidas urgentes para la adaptación del

Derecho español a la normativa de la Unión Europea en materia de protección de

datos, o el artículo 65.3 de la vigente Ley Orgánica 3/2018, de 5 de diciembre, de

Protección de Datos Personales y Garantía de los Derechos Digitales a la vista de

que, con independencia de que en este momento no nos es posible conocer cuál es la

relación existente entre el reclamante y las páginas web a las que se hace referencia

en sus reclamaciones, las páginas web ya no son accesibles, por lo que entendemos

que no sería siquiera necesaria la adopción de medidas correctivas adicionales por

carencia de objeto. [?]?

Los enlaces a que hace referencia el escrito de contestación de GOOGLE LLC son los

contenidos en la denuncia de 15/10/2018 (?Enlaces Lumendatabase 16 y 17?).

TERCERO: En fechas 02, 03, 05, 07 y 09/01/2019, el denunciante presenta nuevas

denuncias ante la Agencia Española de Protección de Datos acerca de nuevos casos

que incurrirían en la misma infracción denunciada en el Antecedentes Primero.

Denuncia de 2 de enero de 2019:

?Advierto que al buscar el nombre de C.C.C. en Google, aparece vinculado, al pie de

los resultados de búsqueda, un aviso concreto de eliminación de contenidos.

Al buscar el nombre de su padre, ya fallecido, D.D.D., aparece otro aviso concreto de

eliminación de contenidos, que hipervincula a lumendatabase.org, donde podremos

encontrar una solicitud de eliminación de contenidos y una sentencia, en la que se

declara la vulneración del derecho al honor de ambos. [?]?

Adjunta sendas capturas de pantalla de la búsqueda, en fecha 2 de enero de 2019 y

en el ?Buscador Google?, de los términos ?C.C.C.? y ?D.D.D.?, en la que aparece una

nota al pie indicando que se han eliminado varios resultados y se resalta un

hipervínculo a ?LumenDatabase.org? [Búsqueda Google 1 y 2].

Asimismo, adjunta una impresión de pantalla correspondiente a la URL (?) [Enlace

Lumendatabase 18]

Descripción de la impresión aportada:

. Encabezado: Dirigida a GOOGLE LLC por C.C.C., en fecha ***FECHA.2,

como consecuencia de un fallo judicial.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

8/137

. Reclamación: ?(?)?.

. Enlaces:

(?)

. Documentos: Posibilidad de descarga de un documento en formato .pdf

Vuelve a remitir la sentencia aludida dictada por el (?). Esta sentencia se corresponde

con el contenido del Enlace Lumendatabase 17 referido anteriormente.

Denuncia de 3 de enero de 2019:

Denuncia que a través de la URL (?) [Enlace Lumendatabase 19], puede accederse a

información facilitada por GOOGLE LLC que, identifica a los solicitantes de censura.

Adjunta copia de la información disponible en dicha dirección de internet y del

documento accesible a través de la misma. En el encabezado de la información consta

que corresponde a una solicitud dirigida a GOOGLE LLC por (?), anterior a la

vigencia del RGPD.

Denuncia de 5 de enero de 2019:

Denuncia referida a la URL (?) [Enlace Lumendatabase 20], en el que aparece

publicado el nombre de una persona y ofrece la posibilidad de descargar de dos

documentos en formato .pdf. Se comprueba que la información disponible en este

enlace corresponde a una solicitud dirigida a GOOGLE LLC por la persona citada, en

fecha ***FECHA.3, anterior a la vigencia del RGPD.

Denuncia de 7 de enero de 2019:

Denuncia referida a la URL (?) [Enlace Lumendatabase 21], en la que aparece

publicado el nombre de una persona. En el encabezado de la información consta que

corresponde a una solicitud dirigida a GOOGLE LLC por (?), anterior a la vigencia del

RGPD.

Denuncia de 9 de enero de 2019:

?Informo y denuncio ante la AEPD hechos relativos al siguiente enlace:

(?) [Enlace Lumendatabase 22]

En el citado enlace se está publicitando (de forma anexa) una notificación judicial en el

que está incluido el nombre de la (?): E.E.E.. Por lo que parece, GOOGLE LLC ha

remitido a lumendatabase.org el documento judicial sin anonimización alguna?.

Descripción de la impresión aportada:

. Encabezado: Dirigida a GOOGLE LLC por F.F.F., en fecha 03/01/2019, como

consecuencia de un fallo judicial.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

9/137

. Reclamación: (?).

. Enlaces: (?)

. Documentos: Posibilidad de descarga de un documento en formato .pdf

Con la denuncia se acompaña copia del (?). No obstante, no se acredita que el

documento fuese obtenido a través de la publicación en ?lumendatabase.org?.

CUARTO: El 1 de febrero de 2019, la Agencia Española de Protección de Datos dio

traslado de las denuncias descritas en los puntos anteriores a Data Protection

Commision de Irlanda (en adelante DPC Irlanda) para que dicha autoridad de control

valorase si ostenta la condición de autoridad de control principal en base al artículo 56

del RGPD, al encontrarse radicada, en ese país, la entidad GOOGLE IRELAND LTD.,

el establecimiento del responsable que decide, para Europa, los fines y los medios en

el tratamiento de datos personales.

En una primera comunicación, de fecha 10 de abril de 2019, DPC Irlanda comunica

que no se considera competente en este caso debido a que las denuncias se

interpusieron con anterioridad a que DPC Irlanda se convirtiera en la autoridad de

control principal para asuntos relacionados con la protección de datos personales, en

el ámbito territorial del RGPD, en que se vea involucrada GOOGLE.

Posteriormente, el 20 de agosto de 2019, DPC Irlanda dirige una comunicación a esta

Agencia solicitando se dé traslado al denunciante de una serie de cuestiones

relacionadas con las denuncias presentadas. Así, solicita al denunciante que confirme

si ha contactado con GOOGLE en relación con la denuncia y facilite copia de la

correspondencia mantenida que considere pertinente. De la misma manera le solicita

confirme su consentimiento a efectos de un posible traslado de la denuncia por parte

de DPC Irlanda a GOOGLE. En otro orden de cosas, DPC Irlanda manifiesta sus

reservas en relación con la condición de interesado del denunciante

El 4 de noviembre de 2019 tiene entrada en esta Agencia escrito de contestación del

denunciante, en el que defiende su condición de afectado e interesado; que es la

entidad reclamada la que debe acreditar ante la autoridad de control los motivos por

los que obliga a los usuarios que utilizan sus formularios a aceptar la cesión de datos

personales a ?lumendatabase.org?, sobre la que ha aportado pruebas, incluso relativas

a nacionales de otros países; y que la gravedad de este hecho no se ve minorada por

las modificaciones realizadas por ?lumendatabase.org? para anonimizar las

publicaciones. Con su escrito, el denunciante aporta la comunicación que le fue

remitida por GOOGLE en fecha 28/12/2018, con ocasión del trámite de traslado y una

captura de pantalla con una serie de indicadores estadísticos sobre las publicaciones

que, según el denunciante, ?lumendatabase.org? ha publicado desde mayo de 2019

hasta la fecha del 04/11/2019.

La Agencia Española de Protección de Datos acordó el archivo provisional del

expediente el día 16 de enero de 2020.

Mediante comunicación de 22 de enero de 2020, DPC Irlanda rechaza la competencia

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

10/137

en la tramitación de las denuncias al considerar que el responsable del tratamiento no

sería GOOGLE IRELAND LTD., sino GOOGLE LLC, toda vez que el tratamiento

consiste en la comunicación, a una base de datos estadounidense, de datos

relacionados con solicitudes de retirada de contenido gestionadas por GOOGLE LLC.

QUINTO: El 1 de diciembre de 2020, el denunciante presenta nuevo escrito ante

Agencia Española de Protección de Datos, en el que hace referencia a sus denuncias

y al archivo acordado por la AEPD en enero de 2020, por la remisión de su denuncia a

la Autoridad Irlandesa de Protección de Datos, señalando que en el mismo únicamente

se menciona su denuncia de 13/09/2018; que la Autoridad Irlandesa le comunicó, en

fecha 30/04/2020, que la autoridad competente es la AEPD.

Por otra parte, pone en conocimiento ?la existencia de las siguientes publicaciones en

Lumendatabase.org, a efectos de que se incorporen al PROCEDIMIENTO que se

sigue en la AEPD

Publicaciones judiciales en Lumendatabase, remitidas inicialmente a Google LLC,

desde el 27.11.2029:

(?) [Enlace Lumen 23]

(?) [Enlace Lumen 24]

(?) [Enlace Lumen 25

(?) [Enlace Lumen 26]

(?) [Enlace Lumen 27]

Es sumamente significativo que actualmente sigan publicadas todas estas peticiones.

Google es responsable de comunicar a Lumen la retirada de las mismas.

(?) [ Enlace Lumen 28]

VIII.- Cabe indicar que al buscar en Google el nombre y apellidos, entrecomillados, de

?C.C.C.?, y "D.D.D." aparece al pie del buscador un enlace que muestra la censura en

Google. ¿Ambos han sido advertidos por Google de que se llevaría a cabo esta

práctica, que es un tratamiento de datos diferenciado? ¿la han consentido

claramente? ¿se ha comprobado por la AEPD y se han investigado al respecto?

IX.- En el siguiente enlace se publican datos personales referidos a C.C.C. e G.G.G.

(ha consentido este último en este tratamiento de datos???). (?) [Enlace Lumen 29]?.

SEXTO: Por la Subdirección General de Inspección se Datos se llevan a cabo

impresiones de pantalla de los enlaces que constan en las denuncias reseñadas, para

verificar que se corresponden con los aportados por el denunciante, así como para

realizar una descripción de lo figurado en los mismos en aquellos supuestos en que no

se hubiera aportado captura o impresión en las denuncias presentadas.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

11/137

Formularios de Google

a) Formularios Google 1 y 11: se trata del formulario habilitado por GOOGLE LLC para

denunciar presuntas infracciones de derechos de autor. Las referencias textuales a

?lumendatabase.org? en este formulario son las siguientes:

?Independientemente de si Google puede ser responsable de dicha infracción en virtud de la

legislación específica de un país o de la ley de Estados Unidos, nuestra respuesta puede incluir

la retirada de cualquier material contra el que se haya presentado una reclamación por incurrir

en una actividad infractora, la inhabilitación del acceso a dicho material o la cancelación de

cuentas de suscriptores. Si retiramos material o inhabilitamos el acceso a él en respuesta a

este tipo de notificaciones, nos pondremos en contacto con el propietario o el administrador del

contenido o del sitio web en cuestión para que pueda presentar una contranotificación.

Asimismo, según nuestra política, documentamos todas las notificaciones de presuntas

infracciones que recibimos, lo que incluye el envío de una copia de la notificación a uno o

varios terceros, o bien su publicación. Puede ver un ejemplo de este tipo de publicaciones en la

página https://www.lumendatabase.org/notices/2069?.

?Tenga en cuenta que se envía una copia de cada notificación legal que recibimos a un tercero,

que podría publicarla y anotarla (sin su información personal). Así pues, el contenido de este

formulario se reenviará a Lumen (http://www.lumendatabase.org) para que pueda publicarse.

Para ver un ejemplo de este tipo de publicaciones, acceda a la página

http://www.lumendatabase.org/dmca512/notice.cgi?NoticeID=861. En el caso de productos

como la Búsqueda web de Google, aparecerá un enlace al aviso publicado en los resultados de

búsqueda de Google en lugar del contenido retirado?.

Este formulario incluye campos de cumplimentación obligatoria para que el solicitante

facilite los datos siguientes: país de residencia, nombre completo del solicitante,

nombre completo del titular de los derechos de autor, dirección de correo electrónico

de contacto, obra protegida, ¿dónde se puede ver un ejemplo autorizado de la obra?,

URL presuntamente infractora y firma.

b) Formularios Google 2, 4, 5, 7, 9, 17, 21 y 23: son páginas de entrada para la

solicitud de retirada de contenido en la que se listan diversos productos de la

compañía y donde el solicitante elegiría a cuál de dichos productos se refiere su

solicitud de retirada de contenido. Incluye el texto siguiente:

?Cómo retirar contenido de Google

Esta página te permitirá acceder al sitio adecuado para informar del contenido que quieras

retirar de los servicios de Google de acuerdo con las leyes aplicables. Proporciónanos

información completa para que podamos investigar tu consulta.

Si tienes problemas que no son de tipo legal relacionados con las ?Condiciones de servicio? o

con las Políticas de productos de Google, accede a la página http://support.google.com.

Debes enviar una notificación para cada servicio de Google en el que aparezca el contenido.

¿A qué producto de Google hace referencia su solicitud?

( ) Búsqueda de Google

( ) Blogger/Blogspot

( ) Google Maps y productos relacionados

( ) Google Play: Aplicaciones

( ) YouTube

( ) Google Imágenes

( ) Un anuncio de Google

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

12/137

( ) Drive y Documentos

( ) Google Photos y Picasa Web Albums

( ) Google Shopping

( ) Ver más productos?.

Al pulsar la opción ?Ver más productos? se despliega una nueva lista:

?Selecciona una opción de la siguiente lista.

( ) Google+

( ) Caché de Google AMP

( ) Google Arts & Culture

( ) Asistente de Google

( ) Chrome Web Store/galería de extensiones

( ) Google Classroom

( ) Cloud Firestore

( ) Google Cloud Platform

( ) Data Studio

( ) Dominios de Google

( ) Feedburner

( ) Firebase

( ) Gmail

( ) Google URL Shortener (goo.gl)

( ) Grupos de Google

( ) Google Help Communities

( ) Google Lens

( ) Navlekha

( ) Google News

( ) Google Play Libros y Google Libros

( ) Poly

( ) Google Sites (herramienta de creación de páginas web y wikis de Google)

( ) Stadia?.

c) Formularios Google 3, 6, 8, 10, 12, 13, 14, 15, 16, 19, 20 y 22. Se trata de las

páginas de entrada a los formularios de retirada de contenido relativos a distintos

productos de GOOGLE LLC:

Formulario Google 3: producto Blogger/Blogspot.

Formulario Google 6: producto Chrome Web Store/galería de extensiones.

Formulario Google 8: producto Google Classroom.

Formulario Google 10: producto Grupos de Google.

Formulario Google producto 12: Google Help Communities.

Formulario Google 13: producto Poly.

Formulario Google 14: producto Feedburner.

Formulario Google 15: producto Data Studio.

Formulario Google 16: producto Cloud Firestore.

Formulario Google 19: producto Google Photos y Picasa Web Album.

Formulario Google 20: producto Drive y Documentos.

Formulario Google 22: página similar al número 20, diferenciándose en que ya se

encuentra seleccionada la opción ?Información personal: la información incluye

mis datos personales? como motivo para solicitar la retirada de contenido.

Todos ellos incluyen la misma información reseñada en el apartado b) anterior (?Como

retirar contenido de Google??).

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

13/137

Las referencias textuales a ?lumendatabase.org? en estos formularios son las

siguientes:

?Ten en cuenta que es posible que enviemos una copia de cada una de las notificaciones

legales que recibamos al proyecto Lumen (https://www.lumendatabase.org) para su publicación

y anotación. Lumen retirará la información de contacto personal del remitente (es decir, el

número de teléfono, la dirección de correo electrónico y el domicilio).

Para consultar un ejemplo de este tipo de publicaciones, accede a la página

https://www.lumendatabase.org/notices/5838?.

Y se añade:

?Asimismo, podemos publicar información similar procedente de tu notificación en nuestro

informe de transparencia. Para obtener más información sobre este informe, haz clic aquí?.

Se ofrecen las opciones siguientes:

. Formularios Google 3

?¿En qué podemos ayudarte?

( ) Me gustaría informar sobre software malintencionado, suplantación de identidad,

divulgación de datos privados u otras incidencias similares.

( ) Quiero informar de un blog que suplanta mi identidad.

( ) Quiero informar sobre la divulgación de información o imágenes de desnudos privadas

( ) Quiero informar de contenido intimidatorio y acosador.

( ) Problema de propiedad intelectual: denunciar una infracción de derechos de autor,

elusión, etc.

( ) Otro problema legal: denunciar contenido por otro motivo legal no incluido en la lista?.

. Formulario Google 6

?¿En qué podemos ayudarte?

( ) Infracción de derechos de autor: mi obra protegida por derechos de autor se está

utilizando ilegalmente sin autorización

( ) Contranotificación: apelación destinada a restaurar contenido que se retiró debido a una

reclamación por infracción de derechos de autor

( ) Marca: mi marca se está utilizando de un modo que puede causar confusión

( ) Orden judicial: una sentencia judicial ha determinado que un contenido concreto es

ilegal

( ) Elusión: una herramienta elude las medidas tecnológicas de protección de los derechos

de autor

( ) Material con imágenes de abuso sexual infantil: representación visual de prácticas

sexuales explícitas con menores?.

Formularios Google 8, 12, 13, 14 (salvo la primera opción, en los 3 últimos casos),

15 (salvo la primera opción y la relativa a ?Problema legal?) y 16 (salvo la primera

opción y las relativas a ?Elusión? y ?Problema legal?)

?¿En qué podemos ayudarte?

( ) Tengo una pregunta sobre las políticas del programa Classroom

( ) Infracción de derechos de autor: mi obra protegida por derechos de autor se está

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

14/137

utilizando ilegalmente sin autorización

( ) Contranotificación: apelación destinada a restaurar contenido que se retiró debido a una

reclamación por infracción de derechos de autor

( ) Elusión: una herramienta elude las medidas tecnológicas de protección de los derechos

de autor

( ) Orden judicial: una sentencia judicial ha determinado que un contenido concreto es

ilegal

( ) Problema legal: problema legal que no aparece en la lista

( ) Material con imágenes de abuso sexual infantil: representación visual de prácticas

sexuales explícitas con menores?.

Formularios Google 10, 19 (salvo la primera opción)

?¿En qué podemos ayudarte?

( ) Denunciar contenido violento o que incite al odio, la divulgación de datos personales o

la promoción de bienes y servicios

( ) Infracción de derechos de autor: mi obra protegida por derechos de autor se está

utilizando ilegalmente sin autorización

( ) Contranotificación: apelación destinada a restaurar contenido que se retiró debido a una

reclamación por infracción de derechos de autor

( ) Información personal: el contenido incluye mis datos personales

( ) Orden judicial: una sentencia judicial ha determinado que un contenido concreto es

ilegal

( ) Problema legal: problema legal que no aparece en la lista

( ) Material con imágenes de abuso sexual infantil: representación visual de prácticas

sexuales explícitas con menores?.

Formulario Google 20

?¿En qué podemos ayudarte?

( ) Deseo denunciar un caso de suplantación de identidad, spam software malicioso u

otros usos inadecuados en un archivo de Google Docs o Google Drive

( ) Infracción de derechos de autor: mi obra protegida por derechos de autor se está

utilizando ilegalmente sin autorización

( ) Contranotificación: apelación destinada a restaurar contenido que se retiró debido a una

reclamación por infracción de derechos de autor

( ) Elusión: una herramienta elude las medidas tecnológicas de protección de los derechos

de autor

( ) Información personal: el contenido incluye mis datos personales

( ) Otro problema legal: denunciar contenido por otros motivo legal no incluido en la lista?.

d) Formulario Google 18: corresponde a la página de entrada a los formularios de

retirada de contenido relativo al producto ?Google Imágenes?, que no contiene

referencias a ?lumendatabase.org?. La información que se facilita es la siguiente:

?Cómo retirar contenido de Google? (la misma información reseñada en el apartado b)

anterior)?.

?Aunque Google retire una página web o una imagen de nuestros resultados de búsqueda, no

podemos retirar contenido de los sitios web que lo alojan. Es posible que la página siga

existiendo en el sitio web, lo que significa que se puede encontrar a través de la URL del sitio

web, en redes sociales donde se haya compartido o en otros buscadores. Le recomendamos

que se ponga en contacto con el propietario del sitio web para pedirle que retire el contenido en

cuestión.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

15/137

Visite ?esta página? para obtener más información sobre cómo ponerse en contacto con el

propietario de un sitio web?.

En esta página se ofrecen las opciones siguientes:

?¿En qué podemos ayudarte?

( ) Quiero informar de software malicioso, phishing o problemas similares.

( ) Un contenido que solicité que se retirara sigue apareciendo en los resultados de búsqueda,

a pesar de que el webmaster ya lo ha eliminado.

( ) Derecho al olvido: solicitud de retirada de información de acuerdo con la legislación europea

en materia de protección de datos

( ) Difamación: el contenido me difama a mí o a mi empresa u organización

( ) Problema de propiedad intelectual: denunciar una infracción de derechos de autor, elusión,

etc.

( ) Otro problema legal: denunciar contenido por otro motivo legal no incluido en la lista?.

Enlaces de Lumendatabase

. Enlace Lumendatabase 1

. Encabezado: Requerimiento de retirada por difamación. Dirigida a GOOGLE

LLC el ***FECHA.4 por un usuario español anonimizado.

. Reclamación: (?).

. Enlace: (?)

. Enlace Lumendatabase 2

. Encabezado: Requerimiento de retirada por difamación. Dirigida a GOOGLE

LLC el ***FECHA.5 por un usuario español anonimizado.

. Reclamación: (?).

. Enlace: (?)

. Enlace Lumendatabase 3

. Encabezado: Requerimiento de retirada por difamación. Dirigida a GOOGLE

LLC el ***FECHA.6 por un usuario español anonimizado.

. Reclamación: ?(?)?.

. Enlace: (?)

. Enlace Lumendatabase 4

. Encabezado: Requerimiento de retirada por difamación. Dirigida a GOOGLE

LLC por un usuario español anonimizado.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

16/137

. Reclamación: ?(?)?.

. Enlace:

(?)

. Enlace Lumendatabase 5

. Encabezado: Requerimiento de retirada por difamación. Dirigida a GOOGLE

LLC el ***FECHA.7 por un usuario español anonimizado.

. Reclamación: ?(?)?.

. Enlace: (?)

. Enlace Lumendatabase 6

. Encabezado: Requerimiento de retirada por difamación. Dirigida a GOOGLE

LLC el ***FECHA.8 por un usuario español anonimizado.

. Reclamación: ?(?)?.

. Enlace: (?)

. Enlace Lumendatabase 7

Esta impresión se corresponde con el buscador de ?lumendatabase.org? compuesto

por una serie de cajetines de búsqueda simple y avanzada. El cajetín de búsqueda

simple aparece relleno con el término ?Google?, supuestamente utilizado por el

denunciante para realizar las búsquedas que presenta como indicios ante esta

Agencia.

. Enlace Lumendatabase 8

Se verifica que la información de este enlace coincide sustancialmente con la captura

de pantalla adjuntada en el escrito de denuncia de 28 de septiembre de 2018 (Ver

Hechos Primero), presentando las siguientes diferencias:

. Consta la fecha de la solicitud, siendo esta el ***FECHA.9.

. Se ha eliminado de la dirección del enlace objeto de la solicitud de retirada

cualquier referencia al nombre personal, subsistiendo este en el resumen de la

solicitud de contenido.

. Enlace Lumendatabase 9 a 12

Se verifica que la información de este enlace coincide sustancialmente con la captura

de pantalla adjuntada en el escrito de denuncia de 28 de septiembre de 2018 (Ver

Hechos Primero), presentando las siguientes diferencias:

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

17/137

. Consta la fecha de la solicitud, siendo esta el ***FECHA.9.

. En la dirección del enlace se indica únicamente ?(?)?.

. Enlace Lumendatabase 13

Se verifica que la información de este enlace coincide sustancialmente con la captura

de pantalla adjuntada en el escrito de denuncia de 28 de septiembre de 2018 (Ver

Hechos Primero), presentando las siguientes diferencias:

. Consta la fecha de la solicitud, siendo esta de ***FECHA.10.

. Se ha simplificado la dirección del enlace.

. Enlace Lumendatabase 14

Se verifica que la información de este enlace coincide sustancialmente con la captura

de pantalla adjuntada en el escrito de denuncia de 28 de septiembre de 2018 (Ver

Hechos Primero), presentando las siguientes diferencias:

. Consta la fecha de la solicitud, siendo esta de ***FECHA.11.

. Se ha simplificado la dirección del enlace.

. Enlace Lumendatabase 15

. Encabezado: Requerimiento de retirada por aplicación de normativa local.

Dirigida a GOOGLE LLC el ***FECHA.10 por un usuario español anonimizado.

. Enlace: (?).

. Enlace Lumendatabase 16

La página presenta un error 404, lo que concuerda con lo manifestado por GOOGLE

SPAIN S.L. en su escrito de 28 de diciembre de 2018

. Enlace Lumendatabase 17

Este enlace no permite la descarga del documento, lo que concuerda con lo

manifestado por GOOGLE SPAIN S.L. en su escrito de 28 de diciembre de 2018.

. Enlace Lumendatabase 18

Se verifica que la información de este enlace coincide sustancialmente con la

impresión de la página web adjuntada en el escrito de denuncia de 2 de enero de 2019

(Ver hechos Primero), presentando las siguientes diferencias:

. Solo subsiste el enlace (?).

. Enlace Lumendatabase 19

Se verifica que la información de este enlace corresponde a una solicitud dirigida a

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

18/137

GOOGLE LLC con anterioridad a la vigencia del RGPD. Asimismo, se comprueba que

ha desaparecido la posibilidad de descarga del documento judicial.

. Enlace Lumendatabase 20

Se verifica que la información de este enlace corresponde a una solicitud dirigida a

GOOGLE LLC con anterioridad a la vigencia del RGPD. Asimismo, se comprueba que

la posibilidad de descarga de documentos se ha limitado a uno.

. Enlace Lumendatabase 21

Se verifica que la información de este enlace corresponde a una solicitud dirigida a

GOOGLE LLC en fecha ***FECHA.12, anterior a la vigencia del RGPD.

. Enlace Lumendatabase 22

Se verifica que la información de este enlace coincide sustancialmente con la

impresión de la página web adjuntada en el escrito de denuncia de 9 de enero de 2019

(Ver Hechos Primero).

. Enlace Lumendatabase 23

Descripción del enlace: Se trata de una página que ofrece los resultados de búsqueda

de requerimientos de retirada de contenido. Se incorpora a las actuaciones la primera

de las páginas, que reseña solicitudes de diciembre de 2019, enero y febrero de 2020,

dirigidas a GOOGLE LLC en base a resoluciones judiciales.

. Enlace Lumendatabase 24

Descripción del enlace: Página que ofrece los resultados de búsqueda de

requerimientos de retirada de contenido dirigidas a GOOGLE LLC en base a

resoluciones judiciales, en idioma español.

. Enlace Lumendatabase 25

Descripción del enlace:

. Encabezado: Requerimiento de retirada por difamación. Dirigida a GOOGLE

LLC el ***FECHA.13 por un usuario español anonimizado.

. Reclamación: ?(?)?.

. Enlace: (?)

(?)

. Enlace Lumendatabase 26

Descripción del enlace:

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

19/137

. Encabezado: Requerimiento de retirada como consecuencia de un fallo

judicial. Dirigida a GOOGLE LLC el ***FECHA.14 por H.H.H.

. Explicación: ?(?)?

. Enlace: (?)

(?)

. Enlace Lumendatabase 27

Descripción del enlace: Hace referencia a una retirada de contenido solicitada por un

usuario de Italia.

. Enlace Lumendatabase 28

Descripción del enlace: Página que ofrece los resultados de búsqueda de

publicaciones en la página de web de Lumen en base a los términos ?EU-Derecho al

Olvido? y ?Google?. Corresponde a solicitudes de 2014, 2015 y 2016.

. Enlace Lumendatabase 29

Se trata del mismo enlace que el número 18 ya remitido en la denuncia presentada el

2 de enero de 2019.

Debajo de los enlaces indicados en las publicaciones reseñadas con los números 1, 2,

3, 4, 5, 6, 8, 9, 10, 11, 12, 13, 14, 15, 18, 19, 20, 21, 22, 25, 26 y 29 se muestra la

frase ?Click here to request access and see full URLs? (cuya traducción sería ?Pinche

aquí para solicitar acceso ver dirección URL completa?) en formato hipervínculo.

Búsquedas Google

1. Se introducen los términos ?C.C.C.? en el ?Buscador Google?, resultando que se ha

eliminado la referencia a ?lumendatabase.org?.

2. Se introducen los términos ?D.D.D.? en el ?Buscador Google?, verificándose que

hace referencia concreta a resultados eliminados y dirige, para más información, a un

hipervínculo de ?lumendatabase.org?.

SÉPTIMO: Con fecha 09/06/2021, la Directora de la Agencia Española de Protección

de Datos acordó iniciar procedimiento sancionador a la entidad GOOGLE LLC, con

arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del

Procedimiento Administrativo Común de las Administraciones Públicas (en adelante,

LPACAP), por la presunta infracción del artículo 17 del RGPD en concurso ideal con

una infracción del artículo 6.1 del RGPD, que se tipifican en el artículo 83.5 de la

misma norma.

En el acuerdo de apertura se determinó que las sanciones que pudieran corresponder,

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

20/137

atendidas las evidencias existentes en el momento de la apertura y sin perjuicio de lo

que resulte de la instrucción, serían de 5.000.000,00 de euros por la infracción relativa

al artículo 17 del RGPD y de 5.000.000,00 de euros por la infracción relativa al artículo

6.1 del RGPD. No obstante, al considerarse que ambas infracciones concurren en

régimen de concurso ideal, el total resultante de la sanción a imponer ascendería a

5.000.000,00 de euros.

En el mismo acuerdo de apertura del procedimiento se advertía que las infracciones

imputadas, de confirmarse, podrán conllevar la imposición de medidas, de acuerdo

con lo establecido en el citado artículo 58.2 d) del RGPD.

OCTAVO: Notificado el citado acuerdo de inicio y ampliado el plazo concedido para

formular alegaciones, la entidad reclamada, habiendo recibido copia de las

actuaciones, presentó escrito de fecha 21/07/2021, en el que solicita:

?1. La nulidad del Procedimiento Sancionador por infracción de normas reguladoras del

procedimiento sancionador de carácter fundamental y esencial que provoca la indefensión de

Google.

2. Subsidiariamente a lo anterior, la inexistencia de las supuestas infracciones de los artículos

6.1 y 17 del RGPD, y el archivo de las actuaciones.

3. Subsidiariamente a lo anterior, y en el improbable caso de que se considere a Google

responsable de la infracción de los artículos 6.1 y/o 17 RGPD, la imposición de la cuantía de la

sanción correspondiente en su grado mínimo?.

Con carácter previo a la exposición de las alegaciones en las que basa dicha petición,

GOOGLE LLC indica que no discute la aplicación del RGPD a las actividades de

tratamiento en cuestión, si bien no está de acuerdo con el análisis de la Agencia sobre

los supuestos alternativos (y no cumulativos) previstos en los artículos 3.1 y 3.2.(a)

RGPD. Entiende que el artículo 3.2.(a) RGPD no es de aplicación, dado que cuenta

con diversos establecimientos en países de la Unión Europea, además de España.

(?).

(?)

Esto ocurre en un contexto legal y normativo complejo, que requiere de una evaluación

cuidadosa y una ponderación de todos los derechos en liza en el funcionamiento de un

programa de moderación de contenidos exitoso, especialmente la libertad de

expresión e información, el derecho a la protección de datos, la protección del honor,

intimidad y otros derechos de la personalidad, derechos de propiedad intelectual, la

libertad de las artes y las ciencias, la protección de los consumidores y los principios

de transparencia y responsabilidad. Entre otros requisitos, llama la atención de la

Agencia sobre los marcos legales que derivan del Reglamento (UE) 2019/1150 del

Parlamento Europeo y del Consejo, de 20 de junio de 2019, sobre el fomento de la

equidad y la transparencia para los usuarios profesionales de servicios de

intermediación en línea (el ?Reglamento P2B?) y la Propuesta de la Comisión Europea

de Reglamento Relativo a un Mercado Único de Servicios Digitales (Digital Services

Act, ?DSA?). Ambos instrumentos normativos imponen altos estándares de

transparencia y rendición de cuentas sobre la forma en la que los prestadores de

servicios de intermediación moderan el contenido, incluyendo el requisito de publicar

todas las decisiones de retirada de contenidos en una base de datos de acceso

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

21/137

público, ya que ?contribuiría a mitigar posibles abusos? (véase el art. 15.4 de la DSA y

el Considerando 26 del Reglamento P2B).

Es en este contexto donde debe analizarse la relación de GOOGLE LLC con

?lumendatabase.org? (?Lumen?). En concreto:

?Lumen? es un proyecto del Berkman Klein Center for Internet & Society en la

Universidad de Harvard, cuyo objetivo principal es estudiar las ?cartas de cese y

desistimiento? (cease and desist letters) relativas a contenidos en línea. Lumen recaba

y analiza solicitudes de retirada de materiales de la web con el objetivo de educar al

público, facilitar la investigación sobre los diferentes tipos de reclamaciones y

solicitudes de retirada que se están enviando a los editores y prestadores de servicios

de Internet, y proporcionar la mayor transparencia posible sobre la "ecología" de tales

comunicaciones, en términos de quién las envía y por qué, y con qué fin. Aunque en

un principio ?Lumen? se centraba en solicitudes enviadas voluntariamente por

empresas en virtud de la Ley de Derechos de Autor del Milenio Digital de Estados

Unidos (United States' Digital Millennium Copyright Act, ?DMCA?), ahora también

incluye reclamaciones relativas a otros temas, incluyendo marcas, difamación,

resoluciones judiciales, etc.

En el contexto anterior, GOOGLE LLC, junto con otros actores importantes en la

sociedad digital (Véase: https://lumendatabase.org/pages/about para más información

al respecto), contribuye con el ?Proyecto Lumen? con fines de transparencia y

rendición de cuentas, así como para evitar abusos y fraudes y comparte con Lumen

solicitudes de retirada de contenido en relación con derechos de propiedad intelectual

(DMCA), elusión/evasión, falsificación, resoluciones judiciales no confidenciales,

difamación y notificaciones de retirada basadas en normativa local.

La contribución positiva del ?Proyecto Lumen? a la sociedad es evidente. Por ejemplo,

fue gracias a Lumen que se identificó un muy reciente uso fraudulento de las

herramientas de retirada de contenidos por parte de una entidad española (que llegó

hasta el punto de fingir ser la Comisión Europea) y cita los enlaces: (?).

(?):

a) (?).

b) (?).

c) (?).

La citada entidad basa su petición en las consideraciones siguientes:

1. Infracción de la LOPDGDD, que prevé un procedimiento sancionador de una

duración máxima de 21 meses, teniendo en cuenta la duración de las actuaciones

previas de investigación (art. 67.2) y la del propio procedimiento sancionador (art.

64.2), por cuanto mantiene a GOOGLE LLC bajo investigación durante más de dos

años, ignorando la caducidad de las actuaciones previas de investigación.

Además, el art. 65.5 LOPDGDD establece que ?La decisión sobre la admisión o

inadmisión a trámite, así como la que determine, en su caso, la remisión de la

reclamación a la autoridad de control principal que se estime competente, deberá

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

22/137

notificarse al reclamante en el plazo de tres meses?.

En este caso, la primera reclamación presentada es de 13/09/2018, por lo que puede

entenderse admitida el 13/12/2018, aunque a Agencia no dictó ninguna resolución en

esta fecha. Más de un año después, el 16/01/2020, la AEPD decidió archivar

provisionalmente el expediente y dirigirlo a la autoridad de protección de datos de

Irlanda (Irish Data Protection Commission); y más de un año y medio después, el

23/06/2021, se notificó el Acuerdo de Inicio (la Agencia ha tardado casi 3 años desde

la primera reclamación en iniciar el Procedimiento Sancionador).

De acuerdo con lo expuesto, las actuaciones previas de investigación caducaron el

13/12/2019, por lo que la información recabada en el marco de dichas actuaciones

previas de investigación no puede utilizarse en el Procedimiento Sancionador, entre

otras cosas, porque son investigaciones que han caducado y que ya no son correctas

desde un punto de vista fáctico, ni están actualizadas. Utilizarlas vulneraría lo

dispuesto en el art. 95.3 de la Ley 39/2015, de 1 de octubre, del Procedimiento

Administrativo Común de las Administraciones Públicas (?LPAC?), así como las leyes y

principios que regulan el procedimiento administrativo sancionador.

Estos hechos, que obstaculizan el derecho de defensa de GOOGLE LLC, implican la

nulidad del Acuerdo de Inicio y del Procedimiento Sancionador, procediendo el archivo

de las actuaciones.

2. No se ha producido ninguna vulneración del art. 6 RGPD: aplicación de la base

legitimadora del interés legítimo

Aclara que la base legitimadora en la que se ampara para compartir datos personales

con Lumen no es el consentimiento, sino el interés legítimo, interpretado de

conformidad con el Dictamen 06/2014, sobre el concepto de interés legítimo del

responsable del tratamiento de los datos en virtud del artículo 7 de la Directiva

95/46/CE, que resulta aplicable al caso que nos ocupa. Considera GOOGLE LLC que

(A) hay varios intereses legítimos prevalentes en la cesión de datos con Lumen, y (B)

que dichos intereses legítimos prevalecen sobre los derechos y libertades de los

interesados.

A. Existe un interés legítimo, tanto de GOOGLE LLC como de ?Lumen? (en este caso,

un tercero), en la cesión de las solicitudes relativas a la retirada de contenidos (que

pueden, o no, incluir datos personales, dependiendo del tipo de solicitud de retirada y

el solicitante):

a) El interés legítimo de ?Lumen? consiste en el fomento de la educación, la

investigación y la transparencia, que, en última instancia, entran dentro del interés de

toda la sociedad en su conjunto y encuentran apoyo en muchas leyes distintas

(incluida la propia Constitución Española (arts. 27 y 44.2 de la Constitución Española,

relativos a la educación e investigación, respectivamente) y Leyes Orgánicas (Ley

Orgánica 2/2006, de 3 de mayo, de Educación; LOPDGDD; Ley Orgánica 1/1982, de 5

de mayo, sobre protección civil del derecho al honor, a la intimidad personal y familiar

y a la propia imagen, etc.), e incluso en el Dictamen del Interés Legítimo, que

establece que:

?La naturaleza del interés puede variar. Algunos intereses pueden ser apremiantes y

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

23/137

beneficiosos para la sociedad en general, tales como el interés de la prensa en

publicar información sobre la corrupción gubernamental o el interés en llevar a cabo

investigación científica (sujetos a las garantías adecuadas)?.

b) GOOGLE LLC también cuenta con un interés legítimo claro en compartir con

?Lumen? solicitudes de retirada de contenido. Concretamente, estas cesiones

constituyen un mecanismo importante para que el grupo Google se asegure de que

sus prácticas de retirada de contenidos sean transparentes y responsables, y no están

relacionadas con el ejercicio de derechos de protección de datos, sino con otros

derechos (por ejemplo, derechos de propiedad intelectual, derecho al honor, marcas,

etc.). ?Lumen? proporciona transparencia y sirve para rendir cuentas sobre los

procesos de moderación de contenidos implementados por el grupo Google (que no es

una entidad o autoridad pública), para demostrar la existencia de procedimientos de

retirada reactivos, para fomentar una comprensión clara de los tipos de contenidos en

línea que son objeto de solicitudes de retirada, la equidad entre asuntos similares en

diferentes países y regiones, así como para mitigar el riesgo de uso indebido o

fraudulento de las herramientas de retirada de contenidos. Además de la comunidad

de investigadores, el público en general y las autoridades públicas se benefician de

esta transparencia.

La importancia de estos objetivos de transparencia se refleja en el propio marco

jurídico aplicable (como el Reglamento P2B), e incluso en disposiciones legales que

están por venir (como, por ejemplo, la DSA).

Estos intereses legítimos también se reconocen en el Dictamen del Interés Legítimo,

que establece los siguientes ejemplos de intereses legítimos: ?el ejercicio del derecho

de libertad de expresión o información, incluidas las situaciones en las que se ejerza

dicho derecho en los medios de comunicación?, ?la prevención del fraude, el uso

indebido de servicios o el blanqueo de dinero?, ?el tratamiento con fines históricos,

científicos o estadísticos? y la ?publicación de datos con fines de transparencia y

responsabilidad?.

La propia AEPD también reconoce en el Acuerdo de Inicio que cumplir con los

estándares de transparencia puede constituir un interés legítimo.

B. Estos intereses legítimos no se ven superados por los intereses o derechos y

libertades de los interesados.

En opinión de GOOGLE LLC, la afirmación de la AEPD en el Acuerdo de Inicio -sin

apoyo probatorio alguno- de que la comunicación de GOOGLE LLC a Lumen de

solicitudes de retirada de contenido ?ejerce un impacto elevado en los intereses y

derechos del interesado? carece de soporte alguno por los siguientes motivos:

a) Los interesados que completan los formularios de retirada de contenido de ?Google?

son suficientemente informados acerca de la comunicación de las solicitudes a

?Lumen?: En concreto, los interesados son informados de forma clara sobre la

comunicación de sus datos personales a Lumen en el momento en el que facilitan sus

datos a GOOGLE LLC, incluso mediante una nota informativa prominente que se

muestra en la herramienta de solución de problemas legales de ?Google? (reproduce la

información sobre la posibilidad de enviar una copia de las notificaciones al Proyecto

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

[Link]

https://www.lumendatabase.org/pages/lumen-notice-basics

24/137

Lumen? y de publicarlas en el ?Informe de Transparencia de Google?, ya reseñada en

el Antecedente Sexto).

b) GOOGLE LLC limita los datos personales que se comparten con ?Lumen? y ?Lumen?

procede a anonimizar las solicitudes que GOOGLE LLC comparte.

(?).

Por último, es práctica de ?Lumen? anonimizar ciertos datos personales de las

solicitudes antes de su publicación, incluidas las categorías de solicitudes compartidas

por GOOGLE LLC en el caso objeto de análisis en el Acuerdo de Inicio (estas son,

aquellas relativas a difamación, decisiones judiciales no confidenciales y aquellas

relacionadas con normativa local distinta a la de protección de datos), con el objeto de

minimizar los datos personales incluidos en las publicaciones. El protocolo de

anonimización de Lumen está a disposición del público de forma clara en su página

web (https://www.lumendatabase.org/pages/lumen-notice-basics).

Sobre esta cuestión, aporta una captura de pantalla en la que puede verse la

información relativa solicitudes por motivos de difamación o por un fallo judicial

(coincide con la información facilitada en el sitio web ?lumendatabase.org?, en el

documento ?Conceptos básicos de la información del aviso de Lumen?, que consta

reseñado en Anexo 4.

Lo anterior no impide que, de forma ocasional, se cometan errores y que algunas

publicaciones de Lumen no se anonimicen del todo. En estos casos, los afectados

pueden dirigirse tanto a GOOGLE LLC (para que avise a Lumen de dichos errores)

como a Lumen directamente pidiendo la corrección de la anonimización.

c) El acceso a URL completas y las decisiones judiciales se limita a investigadores de

buena fe: ?Lumen? opera un acceso a datos gradual, de forma que el acceso a URL

completas y documentos adjuntos relacionados con una publicación (como una

decisión judicial) no permanece a disposición del público en general y sólo se puede

acceder a los mismos a petición individual por correo electrónico. ?Lumen? sólo da

acceso a esta información a investigadores de buena fe, lo que limita el acceso a dicha

información y pondera de forma adecuada los intereses de la comunidad de

investigadores con aquellos de los sujetos que presentan solicitudes de retirada de

contenido a GOOGLE LLC.

d) El interés legítimo en juego es importante y apremiante: la comunicación de

solicitudes de retirada de contenido a ?Lumen? por motivos de transparencia e

investigación beneficia al público en general, lo cual, de acuerdo con el Dictamen del

Interés Legítimo, es un elemento clave a considerar al realizar el test de ponderación:

?En general, el hecho de que el responsable del tratamiento actúe no solo en su

interés legítimo propio (por ejemplo, su empresa), sino también en el interés de la

comunidad en general puede dar más «peso» a su interés. Cuanto más apremiante

sea el interés público o el interés de la comunidad en general, y cuanto más

claramente la comunidad y los interesados reconozcan y esperen que el responsable

del tratamiento pueda actuar y tratar los datos para perseguir estos intereses, más

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

25/137

peso tendrá en la balanza dicho interés legítimo?.

e) (?):

i. (?)

ii. (?)

iii. (?)

3. No se ha vulnerado el art. 17 RGPD: GOOGLE LLC respeta el derecho al

olvido/derecho de supresión de los individuos

A. (?).

Respecto a las solicitudes del Derecho al Olvido, la web de ?Lumen?

(https://www.lumendatabase.org/pages/lumen-notice-basics) indica expresamente que

GOOGLE LLC ?no comparte con Lumen, en estos momentos, solicitudes que recibe

de ciudadanos de la UE relativas al llamado ?Derecho al Olvido (?RTBF?)(?)?

(Traducción no oficial).

(?)

El elemento esencial que determina la aplicación del artículo 17 RGPD es la finalidad

de la solicitud y, en consecuencia, el derecho invocado y ejercido por el individuo.

Además, se producirían consecuencias no deseadas e inesperadas si todas las

solicitudes que impliquen la retirada de datos personales se tratasen de forma

automática como ejercicios del derecho de supresión al amparo del art. 17 RGPD, con

independencia del régimen legal en el cual el sujeto fundamenta la solicitud de retirada

de contenido.

Las solicitudes de retirada de contenido se valoran realizando análisis legales y test en

función del motivo por el que presenta su solicitud. Por ejemplo, las solicitudes de

desindexación por motivos de difamación, a falta de una decisión judicial, se analizan

según la normativa local que regula la difamación y el marco legal de la Directiva de

Comercio Electrónico, y no sobre la base del RGPD, de tal modo que se tienen en

cuenta los hechos y, en función de la normativa local, las opiniones contenidas en ese

contenido y otros factores relevantes (incluida doctrina legal). En el caso español, esto

implicaría analizar, entre otros, el artículo 7 de la Ley Orgánica 1/1982, de 5 de mayo,

de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia

imagen, o los artículos 205 y siguientes del Código Penal en relación con los delitos

contra el honor; así como la Ley 34/2002, de 11 de julio, de servicios de la sociedad de

la información y de comercio electrónico.

B. El formulario para el ejercicio del Derecho al Olvido puesto a disposición por

GOOGLE LLC, accesible en la dirección

?https://www.google.com/webmasters/tools/legal-removal-request?

complaint_type=rtbf?, no incluye referencia alguna a la comunicación de información a

Lumen porque tales solicitudes no se comparten con Lumen. De este modo, no cabe

interpretar que el Formulario del Derecho al Olvido obstaculice de ninguna forma los

derechos de los interesados bajo el artículo 17 del RGPD por una supuesta imposición

de la comunicación de información a Lumen.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

26/137

La documentación e información incluidas en el expediente del Procedimiento

Sancionador son incompatibles con esa afirmación. Ninguno de los formularios

mencionados por el denunciante en sus denuncias (y luego confirmados por la

Subdirección General de Inspección, los ?Formularios Investigados?) se refieren al

Formulario del Derecho al Olvido. Los Formularios Investigados tienen por objeto la

presentación de solicitudes de retirada de contenido por diversos motivos legales no

relacionados con la protección de datos (e.g. infracciones de derechos de autor), y no

el Derecho al Olvido.

(?)

4. En relación con la graduación de las sanciones, considera que deben tenerse en

cuenta las circunstancias atenuantes siguientes:

a) Cualquier medida tomada por el responsable o encargado del tratamiento para

paliar los daños y perjuicios sufridos por los interesados (artículo 83.2.c RGPD):

GOOGLE LLC se ha puesto en contacto con ?Lumen? para hacerle saber que debe

llevar a cabo anonimizaciones adicionales de algunas de sus publicaciones relativas a

las solicitudes de retirada de contenido identificadas por la AEPD en el Fundamento de

Derecho II del Acuerdo de Inicio. A partir de ello, ?Lumen? ha llevado a cabo nuevas

actuaciones dirigidas bien a anonimizar información o retirar publicaciones (aporta

impresión de pantallas correspondientes a los Enlaces Lumendatabase 3, 5, 8, 9, 10,

11, 18, 22 y 26).

b) Los beneficios obtenidos como consecuencia de la comisión de la infracción (art.

76.2.c LOPDGDD): la comunicación de información a ?Lumen? se lleva a cabo con las

finalidades de incrementar la transparencia y rendición de cuentas, educar al público y

facilitar la investigación, todo lo cual beneficia a la sociedad en su conjunto (siendo

estas finalidades además impulsadas a lo largo del RGPD). GOOGLE LLC no obtiene

beneficio comercial o ingreso alguno como consecuencia de estas comunicaciones.

5. Sin perjuicio de las alegaciones anteriores, GOOGLE LLC se encuentra en la

actualidad en proceso de revisión de sus prácticas en lo relativo a la comunicación de

solicitudes de retirada de contenido a ?Lumen?. GOOGLE LLC considera la protección

de los datos personales como una cuestión extremadamente relevante y toma atenta

nota de los comentarios realizados por la AEPD en el Acuerdo de Inicio. GOOGLE

LLC revisa sus prácticas de forma continuada para asegurar que alcanza un correcto

equilibrio entre la transparencia y los derechos de protección de datos de los

individuos. GOOGLE LLC espera tener la oportunidad de presentar y comentar sus

nuevas prácticas con la AEPD pronto.

NOVENO: Con fecha 05/10/2021, tuvo entrada en esta Agencia un escrito de

alegaciones complementarias presentado por GOOGLE LLC.

(?).

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

27/137

(?).

(?):

a) (?).

b) (?).

c) (?).

d) (?).

(?)

(?).

DÉCIMO: Con fecha 30/12/2021, el instructor del procedimiento acordó la apertura de

un período de práctica de pruebas, teniéndose por reproducidos a efectos probatorios

las denuncias interpuestas y su documentación, los documentos obtenidos y

generados durante la fase de admisión a trámite de las denuncias y las

comprobaciones realizadas por la Subdirección General de Inspección de Datos para

verificar que los enlaces mencionados en las denuncias y su contenido se

corresponden con las impresiones de pantalla aportadas por el denunciante o para

acceder a dicho contenido en los casos en que éste no hubiera aportado la captura de

pantalla correspondiente; y por presentadas las alegaciones formuladas por GOOGLE

LLC y la documentación que a ellas acompaña.

Asimismo, se acordó incorporar a las actuaciones la información y/o documentación

?a) Información financiera relativa a la entidad GOOGLE LLC, obtenida de los sitios web

?es.investing.com? y ?es.tradingview.com?.

b) Copia de los ?formularios? que se mencionan en los Antecedentes del acuerdo de inicio del

procedimiento sancionador de referencia, habilitados por GOOGLE LLC para que los

interesados puedan solicitar la retirada de contenidos, accesibles a través de las direcciones

de internet que también se mencionan en dicho acuerdo (Formularios Google 1 a 23).

c) Copia de la información accesible a través de los enlaces a ?lumendatabase.org? que se

mencionan en los Antecedentes del acuerdo de inicio del procedimiento sancionador de

referencia (Enlaces Lumendatabase 1 a 29).

d) Copia de la primera página de resultados de búsqueda en el buscador Google con los

términos ?D.D.D.?.

e) Copia del formulario ?Retirada en virtud de la ley de privacidad de la UE?, accesible a través

del sitio web ?google.com? (?https://www.google.com/webmasters/tools/legal-removal-request?

complaint_type=rtbf&visit_id=637759350971490255-235171692&hl=es&rd=1?).

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

28/137

f) Copia de la Política de Privacidad accesible a través del sitio web ?google.com? en su versión

actual, vigente desde el 01/07/2021, y de algunas versiones de la misma vigentes a partir de

25/05/2018.

g) Copia de la información accesible a través de la URL citada por GOOGLE LLC en el punto

3.3 de su escrito de alegaciones de fecha 21/07/2021

(?https://www.lumendatabase.org/pages/lumen-notice-basics?).

h) Información disponible en el sitio web ?lumendatabase.org? relativa al ?Proyecto Lumen?.

Dicha práctica de prueba fue notificada a GOOGLE LLC, advirtiéndole que el resultado

de las mismas podría dar lugar a la realización de otras y que contra dicho acto de

trámite no cabe la interposición de recurso administrativo, sin perjuicio de que el

interesado pueda interponer los recursos que procedan contra la resolución que ponga

fin al procedimiento, en virtud de lo establecido en el artículo 112.1 de la LPACAP. Por

otra parte, se advirtió sobre el derecho a conocer, en cualquier momento, el estado de

la tramitación del procedimiento y a formular alegaciones, utilizar los medios de

defensa admitidos por el Ordenamiento Jurídico, y a aportar documentos en cualquier

fase del procedimiento anterior al trámite de audiencia.

A) Resultado de la prueba señalada con la letra a):

( ?).

(?).

B. Resultado de la prueba señalada con la letra b):

Se comprueba que el contenido y estructura de los formularios comprobados coincide

con el detalle reseñado en el Antecedente Sexto.

Por otra parte, se realizan las constataciones siguientes:

a) ?Formularios Google 1 y 11?: formulario habilitado por GOOGLE LLC para denunciar

presuntas infracciones de derechos de autor.

Se accede al enlace ?https://www.lumendatabase.org/notices/2069?, que corresponde

a un aviso de infracción de derechos de autor de una empresa radicada en Estados

Unidos, fechado en septiembre de 2003. Se pulsa el enlace que conduce a uno de los

documentos de soporte de la solicitud y se accede a un formulario de Lumen que

permite solicitar ?el acceso completo a las quejas? de la empresa en cuestión ante

Google, el cual tiene la siguiente estructura:

?Para acceder a este aviso ingrese su dirección de correo electrónico y resuelva el captcha.

Después de enviar el formulario, le enviaremos un correo electrónico con un enlace de un solo

uso al aviso.

Dirección de correo electrónico

(espacio para registrar la dirección de correo)

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

29/137

( ) Seleccione para recibir una notificación cuando se agreguen nuevos documentos de

notificación (o cuando se actualicen los documentos de notificación existentes).

Entregar (botón)?.

Este formulario incluye un enlace para acceder a las ?instrucciones para presentar una

notificación según la DMCA para cada producto?, el cual conduce a un documento con

el rótulo ?Ley estadounidense de los derechos de autor (DBCA)?.

b) ?Formularios Google 2, 4, 5, 7, 9, 17, 21 y 23?: páginas de entrada para la solicitud

de retirada de contenido en la que se listan diversos productos de la compañía y

donde el solicitante elegiría a cuál de dichos productos se refiere su solicitud de

retirada de contenido.

Respecto de la lista de productos que consta reseñada en el Antecedente Sexto, se

comprueba que desaparece el producto ?Navlekha? y se añade ?Google Workspace

Marketplace?.

1. Se accede a la página a la que conduce el enlace al producto ?Búsqueda de

Google? (?Formulario Google 24?), comprobándose que no incluye ninguna referencia

a la comunicación de información a Lumen. En esta página se ofrecen las opciones

siguientes:

?¿En qué podemos ayudarte?

( ) Quiero informar de software malicioso, phishing o problemas similares.

( ) Un contenido que solicité que se retirara sigue apareciendo en los resultados de búsqueda,

a pesar de que el webmaster ya lo ha eliminado.

( ) Retirar información personal de Google de acuerdo con las políticas de nuestros productos

(información personal identificable, doxxing, imágenes explícitas no consentidas, etc.).

( ) Información personal: solicitar que se retire información personal mía de los resultados de

búsqueda de Google.

( ) Problema de propiedad intelectual: denunciar una infracción de derechos de autor, elusión,

etc.

( ) Otro problema legal: denunciar contenido por otro motivo legal no incluido en la lista?.

Con la opción ?Información personal: solicitar que se retire información personal mía

de los resultados de búsqueda de Google? se accede a una nueva página para

retirada de contenidos, en la que GOOGLE LLC informa que ?es posible que los

resultados de búsqueda incluyan un aviso para indicar que se han eliminado algunos

resultados?; y se ofrecen nuevas opciones al interesado:

?Elige una de las siguientes opciones:

( ) Retirar información personal de Google de acuerdo con las políticas de nuestros productos

(información personal identificable, doxxing, imágenes explícitas no consentidas, etc.)

( ) Derecho al olvido: solicitud de retirada de información de acuerdo con la legislación europea

en materia de protección de datos

( ) Difamación: el contenido me difama a mí o a mi empresa u organización?.

Al seleccionar una de estas opciones, se permite crear una solicitud (?Haga clic en

Crear solicitud para enviar una solicitud a nuestro equipo?).

La opción ?Derecho al olvido? conduce al formulario ?Retirada en virtud de la ley de

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

30/137

privacidad de la UE?.

Para la opción ?Difamación? se muestra un formulario de recogida de datos con la

información siguiente:

?Solicitar la retirada de contenido por motivos legales

Si cree que ha encontrado contenido que es ilegal en su país, puede utilizar este formulario

para enviar una reclamación.

Identifique las URL exactas del contenido en cuestión y explique detalladamente por qué cree

que ese contenido es ilegal. Evaluaremos su solicitud teniendo en cuenta nuestras políticas de

retirada de contenido, la revisaremos y adoptaremos las medidas oportunas?.

?Para las reclamaciones de Búsqueda de Google, debe identificar la URL de cada página web

que contenga material presuntamente infractor. Consulte este artículo si necesita ayuda para

buscar las URL?.

?Para que sea lo más preciso posible, cite exactamente el texto de las URLs indicadas arriba

que considera que infringe sus derechos. Si el contenido presuntamente infractor es una

imagen o un vídeo, proporcione una descripción detallada de ese contenido para que podamos

localizarlo en la URL en cuestión?.

?Si la infracción afecta a varios productos de Google, debe enviar una notificación por cada

producto afectado?.

Este formulario incluye campos para que el solicitante facilite los datos siguientes: país

de residencia, nombre completo del solicitante, nombre de la empresa, nombre de la

empresa o de la organización cuyos derechos legales representa, dirección de correo

electrónico de contacto, URL presuntamente infractoras y firma. Se pide, asimismo, al

solicitante que ?Explique detalladamente por qué cree que el contenido de las URLs

indicadas arriba es ilegal y cite las disposiciones legales específicas si es posible?.

2. Se accede a la página a la que conduce el enlace al producto ?Google Maps y

productos relacionados? (?Formulario Google 25?), comprobándose que incluye la

siguiente información:

?Cómo retirar contenido de Google

Esta página le permitirá acceder al sitio adecuado para informar del contenido que quiera que

se retire de los servicios de Google de acuerdo con las leyes aplicables. Proporciónenos

información completa para que podamos investigar su consulta.

Si tiene problemas que no sean de tipo legal con los Términos del Servicio o las Políticas de

Productos de Google, visite http://support.google.com.

Debe enviar una notificación individual para cada servicio de Google en el que aparezca el

contenido?.

En esta página se ofrecen nuevas opciones de ?producto? (Fichas locales, Google

Maps, Street View y sitio web de My Business). Al seleccionar la opción ?Fichas

locales (incluidas las fichas de empresa, reseñas, publicaciones y fotos)?, se muestra

un texto informativo que hace referencia a la comunicación de datos al ?Proyecto

Lumen? (la misma referencia a ?lumendatabase.org? que consta en los ?Formularios de

Google 3, 6, 8, 10, 12, 13, 14, 15, 16, 19, 20 y 22?, reproducida en el Antecedente

Sexto), así como a la publicación de información en el informe de transparencia de

?Google (?Asimismo, podemos publicar información similar procedente de tu

notificación en nuestro informe de transparencia. Para obtener más información sobre

este informe, haz clic aquí?).

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

31/137

Se muestran, asimismo, las siguientes opciones sobre el motivo de la solicitud:

?¿En qué podemos ayudarte?

( ) Quiero cambiar la información incorrecta de mi ficha local

( ) Quiero saber por qué se ha cambiado la información de mi ficha local

( ) Información personal: el contenido incluye mis datos personales

( ) Problema de propiedad intelectual: denunciar una infracción de derechos de autor, elusión,

etc.

( ) Orden judicial: una sentencia judicial ha determinado que un contenido concreto es ilegal

( ) Problema legal: problema legal que no aparece en la lista

( ) Material con imágenes de abuso sexual infantil: representación visual de prácticas sexuales

explícitas con menores?.

Al seleccionar una de estas opciones, se permite crear una solicitud (?Haga clic en

Crear solicitud para enviar una solicitud a nuestro equipo?). Para la opción

?Información personal: el contenido incluye mis datos personales? se muestra un

formulario de recogida de datos con la información siguiente:

?Formulario para solicitar la retirada de información personal

Por motivos de privacidad, es posible que tenga derecho a solicitar que se retire determinada

información personal relacionada con usted.

Este formulario se utiliza para solicitar la retirada de determinado contenido del producto de

Google que ha seleccionado. Si desea solicitar la retirada de información personal de otro

producto de Google, envíe una solicitud a través del formulario del producto correspondiente,

disponible en nuestra página ?Cómo retirar contenido de Google?.

Por ejemplo, si desea solicitar que se retiren determinados resultados de la Búsqueda de

Google correspondientes a consultas que incluyan su nombre, envíe una solicitud a través del

formulario de la Búsqueda de Google correspondiente.

Al recibir una solicitud, Google busca un equilibrio entre el derecho a la privacidad del individuo

afectado y el derecho del público general a tener acceso a la información, así como el derecho

de otros usuarios a distribuirla. Por ejemplo, Google puede negarse a retirar determinada

información sobre estafas financieras, negligencia profesional, condenas penales o

comportamiento público de funcionarios del gobierno?.

?Acepto que se procese la información personal que envío, como se describe a continuación:

Google LLC o Google Irlanda, para los usuarios del Espacio Económico Europeo o Suiza,

utilizará la información personal que proporcione en este formulario (como su dirección de

correo electrónico y todos los datos de identidad) y la información personal que envíe en otros

mensajes para procesar su solicitud y cumplir con nuestras obligaciones legales. Google puede

compartir información de su solicitud con las autoridades de protección de datos, pero solo si la

solicitan para investigar o revisar una decisión que Google haya tomado. Esto suele ocurrir si

se ha puesto en contacto con la autoridad de protección de datos nacional en relación con

nuestra decisión. Una vez que se haya retirado el contenido de nuestros productos,

informaremos a los propietarios correspondientes.

Tenga en cuenta que si ha iniciado sesión en su cuenta de Google, podemos asociar su

solicitud a esa cuenta.

( ) Marque la casilla para confirmarlo?.

Este formulario incluye campos para que el solicitante facilite sus datos relativos a país

de residencia, nombre completo y dirección de correo electrónico de contacto; así

como el nombre y apellidos de la persona a la que representa, URL del contenido que

incluya la información personal que desea que se retire, la información personal que

desea que se retire y los motivos de la retirada.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

32/137

3. Se accede a la página que conduce el enlace al producto ?Google +? (?Formulario

Google 26?), comprobándose que incluye la misma información reseñada en el caso

anterior (?Google Maps?), incluida la referencia a la comunicación de datos a Lumen y

al ?Informe de transparencia de Google?. En cuanto a las opciones, se ofrecen las

siguientes:

?¿En qué podemos ayudarte?

( ) Quiero que se elimine mi perfil de los resultados de búsqueda.

( ) Quiero presentar una reclamación de suplantación de identidad.

( ) Otro problema legal: denunciar contenido por otro motivo legal no incluido en la lista?.

Al seleccionar una de estas opciones, se permite crear una solicitud (?Haga clic en

Crear solicitud para enviar una solicitud a nuestro equipo?).

Para la opción ?Quiero que se elimine mi perfil de los resultados de búsqueda? se

muestra un enlace a la siguiente información:

?Permitir o impedir que los motores de búsqueda web rastreen tu perfil de Google+

En la configuración de Google+ puedes permitir o impedir que los motores de búsqueda web

rastreen tu perfil.

1. En el ordenador, abre Google+.

2. Haz clic en Menú Configuración.

3. Ve a "Perfil".

4. Activa o desactiva la opción "Permitir que otros usuarios encuentren mi perfil en los

resultados de búsqueda".

?¿Utilizas Google Currents en el trabajo o en un centro educativo?

La persona de tu organización que gestiona tu cuenta de Google Workspace, denominado

"administrador del sistema", elegirá si los buscadores web pueden rastrear tu página de perfil o

no. Si no te gusta la opción que haya elegido, puedes cambiarla?.

4. Se accede a la página a la que conduce el enlace al producto ?Google News?

(?Formulario Google 27?), comprobándose que incluye la misma información reseñada

en el apartado 2 anterior, salvo la referencia a la comunicación de datos al ?Proyecto

Lumen? y al ?Informe de transparencia de Google?.

En esta página se ofrecen las opciones siguientes:

?¿En qué podemos ayudarte?

( ) Infracción de derechos de autor: mi obra protegida por derechos de autor se está utilizando

ilegalmente sin autorización

( ) Contranotificación: apelación destinada a restaurar contenido que se retiró debido a una

reclamación por infracción de derechos de autor

( ) Elusión: una herramienta elude las medidas tecnológicas de protección de los derechos de

autor

( ) Información personal: el contenido incluye mis datos personales

( ) Orden judicial: una sentencia judicial ha determinado que un contenido concreto es ilegal

( ) Problema legal: problema legal que no aparece en la lista

( ) Material con imágenes de abuso sexual infantil: representación visual de prácticas sexuales

explícitas con menores?.

Al seleccionar una de estas opciones, se permite crear una solicitud (?Haga clic en

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

33/137

Crear solicitud para enviar una solicitud a nuestro equipo?). Para la opción

?Información personal: el contenido incluye mis datos personales? se muestra un

formulario de recogida de datos con la misma información que consta en el apartado 2

anterior, correspondiente al formulario de solicitud disponible para esta misma opción,

en el producto ?Google Maps?.

Este formulario incluye campos para que el solicitante facilite sus datos relativos a país

de residencia, nombre completo y dirección de correo electrónico de contacto; así

como el nombre y apellidos de la persona a la que representa, URL del contenido que

incluya la información personal que desea que se retire, la información personal que

desea que se retire y los motivos de la retirada.

c) Formularios Google 3, 6, 8, 10, 12, 13, 14, 15, 16, 19, 20 y 22. Se trata de las

páginas de entrada a los formularios de retirada de contenido relativos a distintos

productos de GOOGLE LLC, que constan detallados en el Antecedente Sexto.

Se accede al enlace que se facilita en estos formularios para poder examinar un

ejemplo de publicación en ?lumendatabase.org?

(https://www.lumendatabase.org/notices/5838). Corresponde a una retirada de

contenido por difamación solicitada en abril de 2005 por una empresa del Reino Unido

que no se identifica. Tampoco consta ninguna información personal del cliente de la

entidad solicitante, y no se incluye ninguna URL ni documentación de soporte.

Se pulsa el enlace incluido en esta publicación ?para solicitar el acceso y ver las URL

completas? y se accede al formulario habitual de ?Lumen?, en que se solicita la

dirección de correo electrónico de la persona que desea acceder a la información, a la

que posteriormente dicha entidad envía un correo con un enlace a la información de

un solo uso.

Estos formularios incluyen un enlace para obtener información sobre el informe de

transparencia de GOOGLE LLC (?Asimismo, podemos publicar información similar

procedente de tu notificación en nuestro informe de transparencia. Para obtener más

información sobre este informe, haz clic aquí?).

Por otra parte, en el formulario de retirada de contenidos correspondiente al producto

?Drive y documentos?, se selecciona la opción ?Información personal: el contenido

incluye mis datos personales?, que conduce a la página en la que se posibilita la

creación de la solicitud (Formulario Google 22). Para esta opción se muestra un

formulario de recogida de datos con la misma información que consta el apartado 2

anterior, correspondiente al formulario de solicitud disponible para esta misma opción,

en el producto ?Google Maps?.

Este formulario incluye campos para que el solicitante facilite sus datos relativos a país

de residencia, nombre completo y dirección de correo electrónico de contacto; así

como el nombre y apellidos de la persona a la que representa, URL del contenido que

incluya la información personal que desea que se retire, la información personal que

desea que se retire y los motivos de la retirada.

d) Formulario Google 18: página de entrada a los formularios de retirada de contenido

relativo al producto ?Google Imágenes?.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

34/137

Se accede al enlace ?Visite esta página?, mediante el que se accede a la información

facilitada sobre la manera de ponerse en contacto con el webmaster de un sitio web.

Al final del documento, se indica:

?Si el webmaster ya ha hecho los cambios que has solicitado en un sitio web que aparece en

los resultados de búsqueda, puedes pedirnos que quitemos la información obsoleta mediante

una ?solicitud de retirada de página web?.

Mediante este enlace ?solicitud de retirada de página web? se accede a una

herramienta para retirada de ?contenido obsoleto de la Búsqueda de Google?. En la

misma se indica lo siguiente:

?Directrices

. Esta herramienta solo funciona con páginas o imágenes que ya se hayan modificado o

quitado de la Web.

. Para retirar información personal o contenido con problemas legales que aún esté presente

en una página, ?envía una solicitud legal?.

. Consulta más información en ?este documento?.

Nueva solicitud?

Mediante la ?consulta del documento? insertada en esa información permite acceder a

una página con el rótulo ?Herramienta retirar contenido obsoleto?, que permite

?actualizar los resultados de búsqueda de Google de páginas o imágenes eliminadas o

de páginas con contenido retirado?.

Mediante el enlace ?envía una solicitud legal?, también insertado en la información

reseñada, se accede a la página en la que se incluye el botón ?Crear solicitud?. Esta

página informa lo siguiente:

?Denunciar contenido por motivos legales

Nos tomamos muy en serio el contenido inapropiado

Si ve contenido en un producto de Google que cree que infringe la ley o sus derechos, póngase

en contacto con nosotros. Revisaremos el material y estudiaremos la posibilidad de bloquearlo,

limitarlo o retirar el acceso a dicho material. Comportamientos como la suplantación de

identidad (phishing) o la presencia de contenido violento o explícito pueden suponer la

infracción de las ?políticas de nuestros productos? y dar lugar a una posible retirada de los

contenidos de los productos de Google. Le recomendamos que informe sobre la posible

infracción de contenido en la página del producto correspondiente antes de crear una solicitud.

Crear una solicitud (botón).

Proteger su información

Nuestro objetivo es proporcionarle las herramientas de seguridad y privacidad más potentes

del mundo. La seguridad y la privacidad son muy importantes para nosotros, por lo que nos

esforzamos para ofrecerle la máxima protección.

Lea nuestra ?Política de Privacidad? para saber cómo utiliza Google la información y qué puede

hacer usted para protegerse.

Nuestro ?Centro de seguridad? puede ayudarles a usted y a su familia a estar seguros en

Internet. Consúltelo para obtener más información sobre el tema y saber cómo protege Google

a los usuarios, sus ordenadores y toda la Web frente a los delitos informáticos.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

35/137

La transparencia es fundamental para nosotros

La transparencia es uno de los valores primordiales de Google.

En nuestro afán de ser transparentes, podemos enviar una copia de cada aviso legal que

recibamos al ?proyecto Lumen? (enlace a la web ?lumendatabase.org?) para que se publique.

Lumen es un proyecto de investigación independiente dirigido por el Berkman Klein Center for

Internet & Society de la Facultad de Derecho de Harvard. La base de datos de Lumen contiene

millones de solicitudes de retirada de contenido que varias empresas han compartido de forma

voluntaria, incluida Google. Su objetivo es facilitar la investigación académica y sectorial sobre

la disponibilidad de contenidos online. Lumen ocultará la información de contacto personal del

remitente, como su número de teléfono, dirección de correo electrónico y dirección postal.

Puede ver un ejemplo de publicación de Lumen ?en esta página?.

Asimismo, podríamos publicar información similar procedente de su aviso en nuestro ?Informe

de transparencia?, que proporciona datos sobre las solicitudes que nos envían tanto titulares de

derechos de autor como gobiernos para que retiremos información de nuestros productos.

Información sobre los derechos de autor

De acuerdo con la política de Google, debemos cumplir con los avisos de infracción de

derechos de autor de conformidad con la ley estadounidense de protección de los derechos de

autor (DMCA). Consulte más información sobre nuestras políticas de derechos de autor y todos

los requisitos que debe cumplir un aviso en el ?Centro de Ayuda sobre derechos de autor?.

C. Resultado de la prueba señalada con la letra c):

La información publicada en los Enlaces Lumendatabase 6, 7, 13, 15, 16, 17, 19, 27,

28 y 29 coincide con la reseñada en los Antecedentes Primero y Sexto.

En el resto de los casos, se realizan las constataciones siguientes:

. Enlace Lumendatabase 1

En la indicación del enlace figura: ?(?)?.

(?)

Asimismo, se accede al enlace ?Click here to request access and see full URLs??,

que da acceso a la página ?(?)?. Esta página aparece con el rótulo ?Solicitar

acceso completo a la denuncia por difamación a Google?, con el texto siguiente:

?Para acceder a este aviso ingresa tu dirección de correo electrónico y resuelve el

captcha. Después de enviar el formulario, le enviaremos un correo electrónico con un

enlace de un solo uso al aviso.

Dirección de correo electrónico

(espacio para añadir la dirección de correo electrónico)

( ) Seleccione para recibir una notificación cuando se agreguen nuevos documentos de

notificación (o cuando se actualicen los documentos de notificación existentes).

Entregar (Botón)?.

. Enlace Lumendatabase 2

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

36/137

El contenido publicado coincide con el reseñado en los Antecedentes anteriores.

Se accede al enlace ?Click here to request access and see full URLs??, que da

acceso a la página ?(?)?, con la misma estructura que la reseñada en el Enlace

Lumendatabase 1.

. Enlace Lumendatabase 3

En el texto de la reclamación se han suprimido los datos ?(?)?, y la URL ?(?)?.

Se accede al enlace ?Click here to request access and see full URLs??, que da

acceso a la página ?(?)?, con la misma estructura que la reseñada en el Enlace

Lumendatabase 1.

. Enlace Lumendatabase 4

Se indica la fecha de la solicitud dirigida a GOOGLE LLC ***FECHA.12 y los

enlaces aparecen como sigue:

(?)

(?).

. Enlace Lumendatabase 5

En el texto de la reclamación se han suprimido los datos ?I.I.I.? y

?***EMPRESA.1?.

. Enlace Lumendatabase 8

En el texto de la reclamación se han suprimido los datos ?B.B.B.? y (?) ; y el

enlace figura con la reseña ?(?)?.

. Enlaces Lumendatabase 9 a 12

En el texto de la reclamación se han suprimido los datos ?B.B.B.? (enlace 9),

?B.B.B.? (enlace 10), ?B.B.B.? (enlaces 11) y ?B.B.B.? (enlace 12).

. Enlace Lumendatabase 13

El contenido publicado coincide con el reseñado en los Antecedentes anteriores.

. Enlace Lumendatabase 14

En el enlace se indica ?(?)?.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

37/137

. Enlace Lumendatabase 18

En el encabezado se han suprimido los datos ?C.C.C.?, y en el texto de la

reclamación se ha suprimido la información ?(?)?.

. Enlace Lumendatabase 19

La información coincide con la reseñada en los Antecedentes anteriores (solicitud

anterior a la vigencia del RGPD).

. Enlace Lumendatabase 20

El contenido publicado coincide con el reseñado en los Antecedentes anteriores

(solicitud anterior a la vigencia del RGPD).

. Enlace Lumendatabase 21

El contenido publicado coincide con el reseñado en los Antecedentes anteriores

(solicitud anterior a la vigencia del RGPD).

Se accede al blog ?(?)? y se comprueba que ha sido eliminado.

. Enlace Lumendatabase 22

Se ha suprimido el nombre de la solicitante en el encabezado.

Se accede al blog ?(?)? y se comprueba que ha sido eliminado.

. Enlace Lumendatabase 23

Página similar a la anterior, con solicitudes dirigidas a GOOGLE LLC en base a

resoluciones judiciales.

. Enlace Lumendatabase 24

Página similar a la anterior, con solicitudes dirigidas a GOOGLE LLC en base a

resoluciones judiciales.

Se accede a algunos de los enlaces que figuran en la página de los resultados de

la búsqueda correspondientes a usuarios españoles, comprobándose lo siguiente:

. (?) (Enlace Lumendatabase 30)

. Encabezado: Dirigida a GOOGLE LLC por J.J.J., en fecha 06/07/2020,

como consecuencia de un fallo judicial.

. Reclamación: ?(?)?.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

38/137

. Enlace: (?)

. Documentos: Posibilidad de descarga de dos documentos de soporte en

formato pdf.

Por otra parte, se accede al enlace ?Documentos de respaldo. PDF de apoyo.

Haga clic aquí para obt??, que da acceso a la página ?(?)?. Esta página, que

aparece con el rótulo ?Solicitar acceso completo a la demanda de orden judicial

a Google?, ofrece la opción de solicitar la información relativa a esta

notificación:

?Para acceder a este aviso ingresa tu dirección de correo electrónico y resuelve el

captcha. Después de enviar el formulario, le enviaremos un correo electrónico con un

enlace de un solo uso al aviso.

Dirección de correo electrónico

(espacio para añadir la dirección de correo electrónico)

( ) Seleccione para recibir una notificación cuando se agreguen nuevos documentos de

notificación (o cuando se actualicen los documentos de notificación existentes).

. (?) (Enlace Lumendatabase 31)

. Encabezado: Dirigida a GOOGLE LLC por K.K.K., en fecha ***FECHA.16,

como consecuencia de un fallo judicial.

. Reclamación: ?(?)?.

. Enlace: (?)

. (?) (Enlace Lumendatabase 32)

. Encabezado: Dirigida a GOOGLE LLC por L.L.L., en fecha ***FECHA.17,

como consecuencia de un fallo judicial.

. Reclamación: ?(?)?

. Enlaces: (?)

. Documentos: Posibilidad de descarga de dos documentos de soporte en

formato pdf.

. (?) (Enlace Lumendatabase 33)

. Encabezado: Dirigida a GOOGLE LLC por M.M.M., en fecha ***FECHA.18,

como consecuencia de un fallo judicial.

. Enlaces: (?) (?)

. Enlace Lumendatabase 25

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

39/137

Pagina no encontrada

. Enlace Lumendatabase 26

Se han suprimido del encabezado los datos ?H.H.H.?.

D) Resultado de la prueba señalada con la letra d):

Se incorpora a las actuaciones la primera página de resultados de búsqueda en el

buscador Google con los términos ?D.D.D.?. Se comprueba que en el pie de la página

se incluye la siguiente reseña: ?Es posible que algunos resultados se hayan eliminado

de acuerdo con la ley de protección de datos europea. Más información?.

E) Resultado de la prueba señalada con la letra e):

a) Se accede al sitio web ?Google.com? y se incorpora a las actuaciones copia del

formulario ?Retirada en virtud de la ley de privacidad de la UE?

(?https://www.google.com/webmasters/tools/legal-removal-request?

complaint_type=rtbf&visit_id=637759350971490255-235171692&hl=es&rd=1?), el cual

consta reproducido íntegramente en Anexo 2.

b) Se pulsa el enlace ?Cómo retirar contenido de Google? insertado en el formulario

anterior y se comprueba que da acceso a la página de entrada de Google para la

solicitud de retirada de contenido en la que se listan diversos productos de la

compañía, en la que el solicitante puede elegir a cuál de dichos productos se refiere su

solicitud de retirada de contenido (Formularios Google 2, 4, 5, 7, 9, 17, 21 y 23).

F) Resultado de la prueba señalada con la letra f):

Se incorpora a las actuaciones copia de la Política de Privacidad accesible a través del

sitio web ?google.com? en su versión actual, vigente desde el 01/07/2021, y copia de

las versiones de dicha Política de Privacidad de fechas 25/05/2018, 22/01/2019 y

31/03/2020.

Del contenido de la actualización de la Política de Privacidad de fecha 25/05/2018 se

destacan los apartados que constan reseñados en Anexo 1.

La actualización de 22/01/2019 incluye los mismos apartados que la anterior y

expresados en los mismos términos, salvo los cambios señalados en Anexo 1 (se

introduce un nuevo apartado con el rótulo ?Requisitos europeos?).

De la misma forma, la actualización de 31/03/2020 tiene la misma estructura que la

anterior y se expresa en los mismos términos, con los cambios que se indican en

Anexo 1, entre los que destaca la incorporación de un nuevo apartado relativo a la

?Conservación de datos?.

La actualización de esta Política de Privacidad de 01/07/2021, que corresponde a la

versión vigente en la actualidad incluye los mismos apartados que la versión anterior

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

40/137

y se expresan en los mismos términos, con los cambios señalados en Anexo 1.

Todas las versiones de la Política de Privacidad examinadas incluyen el enlace

?solicitar que se retire contenido?. Se pulsa dicho enlace y se comprueba, en todos los

casos, que da acceso a la página de entrada a la solicitud de retirada de contenido en

la que se listan diversos productos de la compañía, en la que el solicitante puede

elegir a cuál de dichos productos se refiere su solicitud de retirada de contenido

(Formularios Google 2, 4, 5, 7, 9, 17, 21 y 23).

G) Resultado de la prueba señalada con la letra g):

a) Se accede a la dirección de internet ?https://www.lumendatabase.org/pages/lumennotice-basics? y se incorpora a las actuaciones la información contenida en la misma.

De la información contenida en este documento, que aparece con el rótulo ?Conceptos

básicos de la información del aviso de Lumen?, se destacan los fragmentos que se

reproducen en Anexo 4.

b) Se accede a la dirección de Internet

?https://support.google.com/websearch/troubleshooter/3111061#ts=2889054%2C2889

099?, incluida en el documento anterior, en el apartado ?OTROS TIPOS DE AVISOS?.

Conduce a un documento informativo de ?Google? sobre retirada de información, el

cual consta igualmente reproducido en Anexo 4.

H) Resultado de la prueba señalada con la letra h):

a) Se accede al sitio web ?lumendatabase.org?, al apartado denominado ?Acerca de? y

se incorpora a las actuaciones la información disponible en dicho apartado, la cual

consta reproducida en Anexo 3.

b) Se accede al ?Aviso Legal? insertado en ?lumendatabase.org? y se incorpora a las

actuaciones la información disponible en dicho apartado, la cual consta reproducida en

Anexo 3.

c) Se accede al sitio web ?lumendatabase.org?, al apartado denominado

?Investigadores?, y se incorpora a las actuaciones la información disponible en dicho

apartado, la cual consta reproducida en Anexo 3.

DECIMOPRIMERO: Con fecha 31/01/2022, se emitió propuesta de resolución en el

sentido siguiente:

1. Que por la Directora de la AEPD se sancione a la entidad GOOGLE LLC, por una

infracción del artículo 6 del RGPD, tipificada en el artículo 83.5.a) y calificada como

muy grave a efectos de prescripción en el artículo 72.1.b) de la LOPDGDD, con una

multa por importe de 5.000.000 euros (cinco millones de euros).

2. Que por la Directora de la AEPD se sancione a la entidad GOOGLE LLC, por una

infracción del artículo 17 del RGPD, tipificada en el artículo 83.5.b) y calificada como

muy grave a efectos de prescripción en el artículo 72.1.k) de la LOPDGDD, con una

multa por importe de 5.000.000 euros (cinco millones de euros).

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

41/137

3. Que por la Directora de la AEPD se imponga a la entidad GOOGLE LLC, en el plazo

que se determine, la adopción de las medidas necesarias para adecuar a la normativa

de protección de datos personales las operaciones de tratamiento y los procedimientos

de ejercicio del derecho objeto de las actuaciones, con el alcance expresado en el

Fundamento de Derecho X de la propuesta de resolución.

DECIMOSEGUNDO: Notificada la propuesta de resolución, ampliado el plazo

concedido para la formulación de alegaciones y remitida copia de las actuaciones

incorporadas al procedimiento, se recibió escrito de GOOGLE LLC en el que solicita lo

1. Que se declare la nulidad de pleno derecho del procedimiento por no tener en

consideración las normas del mecanismo de cooperación, e infringir las normas

reguladoras del procedimiento sancionador de carácter fundamental y del principio de

confianza legítima (letra e) del artículo 47.1 de la LPACAP).

2. Subsidiariamente a lo anterior, la anulabilidad del Procedimiento en los términos

contemplados en el artículo 48 LPACAP, por existir una actuación por parte de la

Agencia que supone una infracción del ordenamiento jurídico y que provoca la

indefensión de la reclamada.

3. Subsidiariamente a lo anterior, la inexistencia de las supuestas infracciones de los

arts. 6.1 y 17 del RGPD, y el archivo de las actuaciones.

4. Subsidiariamente a lo anterior, la imposición de la cuantía de la sanción

correspondiente en su grado mínimo y la limitación del ámbito de las órdenes o

medidas correctoras únicamente a los tratamientos de datos atribuibles a GOOGLE

LLC, otorgando un plazo razonable para cumplirlas.

Después de declarar reproducidos sus escritos e informaciones anteriores, formula las

consideraciones siguientes, en las que basa su petición:

1. El objeto inicial del procedimiento, referido a la ?comunicación de datos

relacionados con solicitudes o requerimientos de retirada de contenido que efectúa

GOOGLE LLC. al proyecto Lumendatabase?, ha sido ampliado por la AEPD en la

propuesta de resolución a tratamientos de los que GOOGLE LLC no es responsable,

infringiendo con ello la normativa.

Indica GOOGLE LLC que la Agencia inició el procedimiento con un objeto definido,

como es el análisis de la comunicación de datos relacionados con solicitudes de

retiradas de contenido al ?Proyecto Lumen?, y se cuestionaba el cumplimiento del

artículo 17 del RGPD en relación con esas comunicaciones. Sobre esta cuestión,

GOOGLE LLC declara expresamente lo siguiente:

?En efecto? Google LLC, es la entidad responsable del tratamiento de los datos personales

que ha tenido lugar en el contexto de las comunicaciones de solicitudes de retirada a Lumen.

Precisamente por este motivo el presente procedimiento fue correctamente iniciado frente a

Google LLC?.

Añade que, no obstante lo anterior, en la citada propuesta se imputa una nueva

supuesta infracción del artículo 17 RGPD en base a las deficiencias (quod non)

encontradas en los formularios y procedimientos para la retirada de contenidos

accesibles a través de los productos y servicios de Google, que son ofrecidos a los

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

42/137

usuarios ubicados en el Espacio Económico Europeo (?EEE?) y Suiza (incluidos

Blogger/Blogspot, Drive, Google Fotos, Google Play, YouTube, etc.) por Google

Ireland Limited, por lo que es esta entidad la responsable del tratamiento de los datos

personales asociados al uso de estos servicios y la Irish Data Protection Commission

(o ?IDPC?) la autoridad de control principal para cualquier tratamiento transfronterizo

relacionado con dichos datos personales.

Tampoco GOOGLE LLC es responsable de los procedimientos y formularios para la

retirada de contenidos ni de los datos personales tratados en este contexto.

Al no considerar si el mecanismo de cooperación del artículo 60 del RGPD debía

activarse con la ampliación del procedimiento, la AEPD ha infringido la normativa

aplicable, lo que conlleva irremediablemente la nulidad del presente procedimiento

conforme lo establecido en el artículo 47.1.e) de la LPACAP o, en todo caso, la

anulabilidad del procedimiento en los términos contemplados en el artículo 48

LPACAP.

2. Los hechos ponen de manifiesto que la tramitación de las reclamaciones, la

involucración de la IDPC y las actuaciones de investigación y comprobación realizadas

por la Agencia se han dilatado durante más de lo permitido en la normativa aplicable,

no sujetándose tampoco a los trámites previstos en dicha normativa.

Las actuaciones previas de investigación han excedido ampliamente el plazo de 12

meses establecido en el artículo 67.2 de la LOPDGDD, toda vez que la IDPC rechazó

su competencia (entendiéndose, entonces, que la competencia correspondía a la

AEPD) el 22/01/2020.

Frente a ello no puede oponerse el archivo provisional del expediente declarado el

16/01/2020 de conformidad con el artículo 66.2 de la misma Ley Orgánica, que solo

puede extenderse hasta el momento en que la AEPD confirme su competencia. En

este momento el archivo provisional se levanta y el expediente vuelve a recuperar todo

su vigor. Procede aplicar en este caso por analogía un criterio en línea con lo que

establece el artículo 64.4 de la LOPDGDD, según el cual la suspensión de los plazos

de los trámites finaliza en el momento en que la autoridad de control del otro Estado

Miembro procede a la ?notificación del pronunciamiento a la Agencia Española de

Protección de Datos?.

Así, aunque la Agencia declarase en su momento el archivo provisional del

procedimiento, dicho archivo debe entenderse alzado el 22/01/2020, una vez que la

AEPD ?recuperó? su competencia sobre el conocimiento de las reclamaciones. En

consecuencia, el archivo provisional del procedimiento resulta ineficaz para evitar la

caducidad de las actuaciones. Asimismo, la falta de declaración por parte de la AEPD

del levantamiento formal del archivo provisional no puede tener efecto alguno a este

respecto, dado que es evidente que el procedimiento continuó.

Ante esta situación, las actuaciones previas de investigación habrían caducado, por lo

que la información recabada en el marco de las mismas no podría utilizarse en este

Procedimiento.

Esta circunstancia fue puesta de manifiesto por esta parte en sus Alegaciones al

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

43/137

Acuerdo de Inicio. Ante ello, en la propuesta de resolución, la Agencia señala que

acordó la apertura del procedimiento sin haber desarrollado actuaciones previas de

investigación y, que siendo así, no puede invocarse la caducidad de unas actuaciones

que no han tenido lugar.

Aunque la Agencia niega estas actuaciones previas, resulta palmario que sí llevó a

cabo una serie de actuaciones destinadas a la ?mejor determinación de los hechos y

las circunstancias que justifican la tramitación del procedimiento? y que sólo pueden

calificarse de investigaciones o comprobaciones y que han quedado reflejadas en el

Expediente Original (pág. 194 y ss. y pág. 275 y ss. del Anexo 1), así como en los

antecedentes indicados en la propuesta de resolución. La existencia de estas labores

de investigación es un hecho incontestable.

La AEPD no facilita ninguna explicación acerca de cómo calificar entonces las labores

de investigación que efectivamente realizó con carácter previo al acuerdo de inicio, ni

tampoco el marco jurídico en el que las habría realizado. Simplemente se limita a

negar haber practicado investigación alguna, lo cual es evidente que no se ajusta a la

realidad.

A la vista de ello, sólo caben dos posibilidades, abocando ambas a la infracción del

ordenamiento jurídico por parte de la AEPD:

a) Que aunque no se declarase formalmente la apertura de actuaciones previas al no

existir acuerdo por el que se decidiese su iniciación, tales actuaciones previas

debieran entenderse abiertas de todas formas, dadas las labores de investigación que,

de forma efectiva, sí llevó a cabo la Agencia. Si tal fuera el caso, dichas actuaciones

previas habrían excedido el plazo de tiempo legalmente permitido y deberían

entenderse caducadas por las razones expuestas anteriormente.

b) Que, al no existir formalmente acuerdo de iniciación de las actuaciones previas, la

Agencia hubiese realizado actuaciones de indagación, investigación y comprobación,

fuera del marco legalmente establecido para las actuaciones previas, (i) ejercitando

potestades e invirtiendo recursos y medios humanos y materiales, sin amparo legal ni

un marco jurídico legalmente establecido (lo que de por sí conlleva el reproche legal) y

(ii) burlando así además de forma reprochable el límite temporal establecido por la

LOPDGDD para las actuaciones previas.

En relación con la posibilidad de realizar labores de investigación sin apertura formal

de diligencias previas, GOOGLE LLC señala que no comparte la interpretación que la

Agencia hace respecto del artículo 67 de la LOPDGDD y del carácter potestativo de

las mismas.

En virtud de este artículo la Agencia puede llevar a cabo o no actuaciones previas de

investigación antes de adoptar el acuerdo de inicio, pero en caso de realizar alguna

investigación o comprobación, el cauce legal previsto para ello deben ser las citadas

actuaciones previas de investigación.

Por otro lado, el plazo de 12 meses establecido para las actuaciones previas obedece

a la voluntad del legislador de asegurar la eficiencia de la labor de la AEPD y proteger

a los administrados frente a la dilatación excesiva de los procedimientos. No puede

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

44/137

aceptarse que la AEPD pueda llevar a cabo actuaciones destinadas a la ?mejor

determinación de los hechos y las circunstancias que justifican la tramitación del

procedimiento? indefinidamente, sin considerarlas formalmente ?actuaciones previas

de investigación?, más aún cuando, como ocurre en nuestro caso, ello es invocado

precisamente para eludir las restricciones de plazo impuestas imperativamente por el

artículo 67.2 de la LOPDGDD.

Por tanto, la Agencia ha vulnerado las disposiciones de la LOPDGDD relativas al

procedimiento administrativo sancionador y su tramitación, viciando de nulidad el

acuerdo de inicio y el procedimiento conforme lo establecido en el artículo. 47.1.e) de

la LPACAP por haber prescindido total y absolutamente del procedimiento legalmente

establecido.

3. Considera GOOGLE LLC que no ha vulnerado el artículo 6 del RGPD, que procede

aplicar la base legitimadora del interés legítimo a las comunicaciones de datos hechas

a Lumen.

La Agencia rechaza la aplicación del interés legítimo y niega la posibilidad de acudir al

consentimiento. Respecto de esta última alternativa indica que nunca ha sido

defendida por GOOGLE LLC, por lo que no alude a la misma en sus alegaciones,

aunque advierte que discrepa de los razonamientos recogidos en la propuesta, si bien

no ofrece explicación alguna al respecto.

Entiende la reclamada que, según el Dictamen 06/2014 sobre el concepto de interés

legítimo del responsable del tratamiento de los datos, (a) existen varios intereses

legítimos en la cesión de datos con Lumen, y (b) dichos intereses legítimos prevalecen

sobre los derechos y libertades de los interesados; en línea con lo indicado en las

alegaciones al acuerdo de inicio, que reproduce casi literalmente en este nuevo escrito

de alegaciones a la propuesta.

Reitera lo expresado en el escrito de alegaciones a la apertura del procedimiento

sobre los intereses legítimos de GOOGLE LLC, Lumen y la sociedad en general en la

cesión de información sobre solicitudes relativas a la retirada de contenidos, y señala,

en respuesta a lo indicado en la propuesta de resolución, que tales intereses legítimos

no tienen un carácter sobrevenido, sino que existían antes de que se realizasen las

cesiones a Lumen y cumplían los requisitos necesarios para constituir la base

legitimadora de tales cesiones; y que no cabe defender que dicha comunicación de

datos defraude la expectativa de privacidad de los usuarios, dado que estos son

informados en los formularios.

Por otra parte, GOOGLE LLC aclara que no es cierto que comparta con Lumen la

dirección de correo electrónico de los reclamantes, y que ello solo podría ocurrir en el

caso de que sea el propio reclamante el que incluya su dirección de correo en el

campo libre del formulario destinado a motivar o explicar su solicitud de retirada.

Finalmente, alega la reclamada que ninguna de las circunstancias señaladas por la

Agencia para cuestionar la aplicación de esta base legal puede negar su propio interés

legítimo, el de Lumen o de la sociedad en general, ni tampoco puede entenderse que

inclinen el test de ponderación en favor de los derechos y libertades de los

interesados.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

45/137

4. La AEPD imputa a GOOGLE LLC una infracción del art. 17 del RGPD, referido al

derecho de supresión, si bien desde una perspectiva muy distinta a la analizada en el

acuerdo de inicio, y reprocha la ?no atención y obstaculización del derecho de

supresión de datos personales? a partir del análisis de procedimientos y diversos

formularios que las entidades del grupo Google ponen a disposición de sus usuarios

para la solicitud de la retirada de contenidos ilícitos o de aquellos contenidos contrarios

a los términos del servicio o a las políticas de contenido de cada respectivo servicio o

producto de Google.

GOOGLE LLC no es el responsable del tratamiento de los datos personales tratados

en el contexto de muchos de esos formularios y de los procesos de retirada asociados,

lo que conlleva la imposibilidad de que la Agencia pueda imputarle la infracción del

artículo 17 del RGPD respecto de esos tratamientos.

Además, la AEPD no aporta prueba alguna de la existencia de un solo derecho de

supresión ?no atendido? ni ?obstaculizado? por la reclamada y fundamenta la infracción

en una opinión sobre la falta de sencillez y claridad de los formularios de retirada de

Contenidos. La citada imputación está desprovista de prueba o criterio objetivo alguno

y desconectada absolutamente de las denuncias que originaron el procedimiento.

La AEPD ignora que GOOGLE LLC tiene más canales abiertos para la comunicación

con sus usuarios e interesados en ejercitar un derecho al amparo de la normativa de

protección de datos, siendo posible contactar con la Oficina de Protección de Datos de

Google por los cauces habilitados para ello, se ofrecen formularios genéricos para

formular cualquier tipo de reclamación legal y, del mismo modo, la entidad recibe

regularmente todo tipo de correos postales relacionados con retiradas de contenido o

con el ejercicio de derechos.

La AEPD ?especula? que la falta de atención y obstaculización existe porque los

formularios de retirada de contenidos no son claros, pero ello no resulta suficiente para

acreditar la infracción, que se sitúa ante un supuesto de ejercicio efectivo de un

derecho de supresión, que se infringe sólo cuando se frustra realmente, bien por

impedirse su ejercicio, bien por no suprimirse los datos personales cuando procedía.

Pero la comisión del tipo infractor exige como ?conditio sine qua non? la existencia de

un derecho de supresión que, bien se intentó ejercitar y no se logró al impedirse

ilícitamente su ejercicio, o se ejercitó y no se suprimieron los datos cuando así

procedía.

Corresponde a la AEPD la carga de probar la existencia real de ese ejercicio del

derecho de supresión que no llegó a buen término por ?no haber sido atendido o haber

sido obstaculizado?. Sin embargo, la Agencia no prueba tal cosa.

Frente a ello, aunque no es exigible a nadie que pruebe su inocencia, GOOGLE LLC

puede aportar numerosas evidencias de que el derecho de supresión se atiende

correctamente y en ningún caso se obstaculiza.

(?)

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

46/137

Por otro lado, la AEPD ignora el conjunto de páginas de ayuda y recursos

específicamente destinados a informar y asistir a los solicitantes del derecho de

supresión ante GOOGLE LLC. Es el caso, entre otras, de la página de ayuda

?Descripción general del derecho al olvido? (aporta el detalle de esta página), que

incluye, según dicha entidad, información muy detallada, en lenguaje sencillo, claro y

conciso sobre el derecho, tal y como ha sido reconocido por el TJUE y lo vienen

aplicando e interpretando los tribunales y las autoridades de protección de datos en

sus decisiones y guías.

También pone a disposición de los reclamantes videotutoriales para explicar los

cauces y procedimientos para ejercitar su derecho de supresión (?derecho al olvido?)

eficazmente (aporta impresión de pantalla disponible en Youtube).

Considera inaudito que la AEPD entienda que GOOGLE LLC obstaculiza el ejercicio

de derechos, cuando invierte tantos recursos y medios para explicar a los reclamantes

como pueden ejercitarlo.

La AEPD también parece haber pasado por alto que la Sala Tercera del Tribunal

Supremo ha tenido ocasión de evaluar formularios para la retirada de contenidos

ofrecido por Google LLC en diversas sentencias, y lo ha hecho en los siguientes

términos:

?ofrece a los interesados información completa sobre el ejercicio de su derecho, facilita los

correspondientes formularios y proporciona instrucciones precisas para cumplimentarlos?.

Véanse, por todas, la Sentencia núm. 1917/2016, de 21 de julio de 2016 (Recurso

núm. 2866/2015), la Sentencia núm. 3713/2016 de 21 de julio de 2016 (Recurso núm.

3279/2015) o la Sentencia núm. 1912/2016 de 21 de julio de 2016 (Recurso núm.

1867/2015).

A la vista de la ausencia de prueba, a juicio de la reclamada, resulta que la AEPD está

tratando de reorientar la finalidad del artículo 17 RGPD y de crear una nueva

construcción sobre cómo se deben canalizar las solicitudes de los interesados. Una

nueva interpretación que no tiene ninguna conexión con las pruebas recabadas por la

AEPD, sus conclusiones y las denuncias presentadas. Como en ocasiones anteriores,

parece que la AEPD está utilizando un procedimiento sancionador de manera impropia

para establecer criterios interpretativos (cuando dicho procedimiento es claramente

inadecuado para ello) y, como la Agencia bien sabe, dicho comportamiento no está

permitido por la ley. Así lo estableció la Sala de lo Contencioso Administrativo de la

Audiencia Nacional en su sentencia de 23 de abril de 2019 (recurso núm. 88/2017),

precisamente como resultado de un recurso de GOOGLE LLC:

?En definitiva, considera la Sala que la AEPD, en este caso, no ha procedido a incoar un

procedimiento sancionador, a partir de la denuncia de unos hechos concretos, y en el que,

respetando los principios que rigen tal procedimiento, haya llegado a una resolución

sancionadora después de hacer una valoración razonable de las pruebas, sino que, como ella

misma viene a reconocer, ha hecho uso de un procedimiento sancionador, para establecer un

criterio interpretativo respecto a las cuestiones planteadas por los denunciantes ?el desacuerdo

con los criterios ya establecidos por la propia AEPD en un comunicado de prensa- conforme a

las directrices del Grupo de Autoridades de protección de datos de la Unión Europea. (F. V,

pág 41 de la resolución), criterio que en absoluto puede ser compartido por la Sala, de acuerdo

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

47/137

con lo anteriormente expuesto?.

Tampoco consta en el expediente queja o denuncia de algún ciudadano sobre este

particular.

Así, las conclusiones de la propuesta de resolución son manifiestamente contrarias al

principio de confianza legítima recogido en el art. 3.1(e) de la Ley 40/2015, de 1 de

octubre, de Régimen Jurídico del Sector Público, teniendo en cuenta que la AEPD

lleva años enlazando e invitando a los ciudadanos a usar el conjunto de formularios de

retirada de contenidos, como puede verse en su web: Derecho de supresión ("al

olvido"): buscadores de internet, Eliminar fotos y vídeos de internet, Guía para el

ciudadano (página núm. 23) o su reciente Canal Prioritario (reseña los enlaces que

conducen a esta información insertada en la web de la AEPD).

GOOGLE LLC manifiesta que está abierta a perfeccionar los procedimientos y

mecanismos habilitados para la retirada de contenido y el ejercicio de derechos al

amparo de la normativa de protección de datos, conforme a las consideraciones que le

traslade la AEPD, pero no considera que esté obstaculizando su ejercicio.

Lo expuesto en esta alegación conlleva, según la reclamada, la inexistencia de la

infracción del artículo 17 del RGPD, así como la nulidad del acuerdo de inicio y del

procedimiento conforme a lo establecido en el art. 47.1(e) LPACAP y,

subsidiariamente, la anulabilidad del mismo en los términos contemplados en el art. 48

LPACAP.

5. En relación con la graduación de las sanciones, GOOGLE LLC formula de forma

subsidiaria las alegaciones siguientes:

a) La AEPD ha tenido en consideración formularios de retirada de contenidos

relacionados con productos y servicios proporcionados por GOOGLE IRELAND LTD y

tratamientos de los que GOOGLE LLC no es responsable. Entiende que, dado que se

han reducido los productos y servicios objeto de análisis, las sanciones deben ser

objeto de una reducción igualmente proporcional.

b) Deben considerarse las circunstancias atenuantes que se especifican a

continuación:

. Artículo 83.2.c del RGPD:

GOOGLE LLC ha instado a Lumen la realización de anonimizaciones adicionales de

las solicitudes de retirada de contenido identificadas por la AEPD, según consta en las

actuaciones.

Rechaza la apreciación realizada por la Agencia respecto de estas medidas cuando

indica que no modifican el hecho base de la infracción para no tenerlas en cuenta

como atenuantes. Las circunstancias atenuantes, por definición, no modifican el hecho

de que se haya producido una infracción, sino que contribuyen a atenuar la

responsabilidad del infractor por la infracción cometida. Si tales medidas no son

válidas a estos efectos, la reclamada plantea qué es lo que la Agencia considera que

sería una circunstancia atenuante adecuada al precepto indicado.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

48/137

Tampoco se puede aceptar que las medidas complementarias (descritas en las

Alegaciones Complementarias), dirigidas a reforzar la protección de los derechos de

los interesados, no se deban tomar en consideración por ser insuficientes, según el

criterio de la AEPD, que parece querer desincentivar la toma de medidas por parte de

los responsables ante un procedimiento. Añade que el hecho de que no ?llegaran a

remediar a la infracción? no implica que no se puedan configurar como atenuantes

(especialmente, teniendo en cuenta el art. 83.2.k del RGPD no limita el tipo de

atenuantes a los que recurrir).

. Artículo 76.2.c de la LOPDGDD:

GOOGLE LLC no obtiene beneficio comercial o ingreso alguno como consecuencia de

las comunicaciones a Lumen.

La Agencia ha indicado que la ausencia de beneficios no puede medirse

exclusivamente en términos comerciales o monetarios y, además, tratándose de una

empresa que basa su actividad en el tratamiento de datos personales, no puede

decirse, sin más acreditación, que GOOLGE LLC no obtiene beneficios comerciales. Si

la Agencia considera que la entidad reclamada ha obtenido beneficios, ya sean

comerciales o de cualquier otro tipo, debe acreditarlo, no correspondiendo a GOOGLE

LLC demostrar un hecho negativo (y constitutivo de ?prueba diabólica?), como es la

ausencia de beneficios obtenidos en este aspecto.

c) El objeto de las infracciones imputadas se reduce únicamente a los tratamientos de

datos atribuibles a GOOGLE LLC en España, lo cual implica un claro y directo impacto

en las circunstancias agravantes (que esa entidad rechaza en su totalidad) bajo los

artículos 83.2(a), (g) y (k) del RGPD señalados por la AEPD.

d) En atención al principio de confianza legítima, es manifiestamente incoherente que

la propia Agencia lleve años enlazando y promocionando los Formularios de Retirada

de Contenidos de Google en sus sitios webs, guías y publicaciones, si realmente

consideraba que eran un obstáculo o barrera al ejercicio de derechos. Resulta cuanto

menos chocante que no sea hasta ahora, y nada menos que en sede de una

Propuesta de Resolución sancionadora, la primera vez que se plantea esta cuestión.

Según la reclamada, la publicidad realizada por parte de la AEPD de los formularios de

Google debería considerarse una circunstancia atenuante bajo el art. 83.2 (k) RGPD,

que atenúa directamente el potencial comportamiento doloso o negligente de Google

LLC (quod non).

e) Tampoco cabe aceptar la recriminación que la AEPD hace sobre la falta de

manifestación por parte de GOOGLE LLC, en sus alegaciones al acuerdo de inicio,

acerca de los factores de graduación indicados en dicho acuerdo de Inicio. GOOGLE

LLC rechaza en su totalidad las circunstancias agravantes señaladas por la AEPD y su

falta de manifestación al respecto en las alegaciones al acuerdo de inicio no produce

efecto alguno a este respecto.

6. En relación con las medidas que GOOGLE LLC debe adoptar para ajustar su

actuación a la normativa de protección de datos personales, reitera que en el territorio

español sólo puede ser considerada responsable del tratamiento derivado de la

comunicación de solicitudes de retirada a Lumen y en relación con determinados datos

personales presentes en la información indexada y mostrada en los servicios de

?Búsqueda de Google? y ?Google Maps?. Cualquier medida que la AEPD establezca

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

49/137

deberá circunscribirse a esos concretos tratamientos.

A este respecto, advierte que cualquier tipo de medida que afecte a sus procesos

internos exige importantes recursos de ingeniería e implica la necesidad de acometer

varias tareas de planificación, coordinación, gestión, prueba de errores y supervisión,

con la dificultad añadida de que la reclamada es una compañía extranjera que tendrá

que coordinar a distintos equipos a nivel internacional. En base a ello, solicita que se

conceda un plazo suficiente para garantizar una correcta implementación de las

medidas de que se trate y que permita salvaguardar los derechos de los interesados y

no poner en riesgo la calidad y estabilidad de los sistemas de la entidad.

De las actuaciones practicadas en el presente procedimiento y de la documentación

obrante en el expediente, han quedado acreditados los siguientes:

HECHOS PROBADOS

1. GOOGLE LLC es una empresa con domicilio social en California (Estados Unidos),

que cuenta con una filial en España que actúa bajo la forma jurídica de sociedad de

responsabilidad limitada, con la denominación GOOGLE SPAIN, S.L. y que tiene como

objeto social ?Promover, promocionar y comercializar servicios de publicidad online,

mediante internet?.

GOOGLE LLC desarrolla una actividad de carácter económico que tiene como objeto

la oferta de productos y la prestación de servicios on-line, los cuales comprenden,

entre otros, sistemas operativos, aplicaciones para dispositivos móviles, correo

electrónico, redes sociales, mapas, video, blogs, servicios de Cloud y aplicaciones

específicas para empresas.

Esta entidad ofrece sus productos y servicios a personas residentes en España, ya

sean personas físicas (como ?Búsqueda?, ?Maps?, ?Gmail?, ?YouTube?, ?Drive?,

?Blogger?) o jurídicas. En unos casos, la utilización de los productos o servicios se

ofrece a usuarios que previamente se hayan registrado como tales (ej., Gmail), pero

también se ofrecen productos y servicios (Búsqueda, Maps, Youtube, etc.) que pueden

utilizarse sin iniciar una sesión como usuario registrado.

GOOGLE LLC cuenta con una filial en Irlanda, con la denominación GOOGLE

IRELAND LIMITED. Esta filial, desde el 22/01/2019 (fecha de la actualización de la

Política de Privacidad en la que se informa sobre oferta de productos y servicios de

?Google? por parte de esta entidad en el Espacio Económico Europeo), actúa como

responsable del tratamiento de datos personales de los usuarios de los servicios de

?Google? que se encuentren en el Espacio Económico Europeo, ?salvo que se indique

lo contrario en un aviso de privacidad específico de un servicio? (Política de

Privacidad).

A partir de esa fecha, ?Google LLC es el responsable del tratamiento de la

información indexada y mostrada en servicios como la Búsqueda de Google y Google

Maps? (Política de Privacidad), con independencia de la ubicación del usuario.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

50/137

2. La Política de Privacidad de GOOGLE LLC se encuentra accesible en el sitio web

?google.com?. Desde la fecha 25/05/2018, constan ocho actualizaciones de esta

Política de Privacidad, cuatro de las cuales han sido incorporadas a las actuaciones

(las fechadas el 25/05/2018, 22/01/2019, 31/03/2020 y 01/07/2021, que corresponde a

la versión vigente en la actualidad).

Según se indica en esta información, la Política de Privacidad se aplica a todos los

servicios ofrecidos por GOOGLE LLC y sus afiliados, salvo ?a los servicios que estén

sometidos a políticas de privacidad independientes?.

El contenido íntegro de esta Política de Privacidad, en sus distintas versiones, se

declara reproducido en este acto a efectos probatorios. Parte de este contenido se

incorpora a este acto como Anexo 1.

3. GOOGLE LLC ha dispuesto un procedimiento específico para que los interesados

puedan solicitar, ?por motivos de privacidad?, la retirada de resultados obtenidos en

búsquedas con el nombre de la persona como criterio y habilitado un formulario

específico denominado ?Retirada en virtud de la ley de privacidad de la UE?. Este

formulario se encuentra accesible a través del sitio web ?google.com?, en la URL

?https://www.google.com/webmasters/tools/legal-removal-request?

complaint_type=rtbf&visit_id=637759350971490255-235171692&hl=es&rd=1?.

En este formulario, GOOGLE LLC se declara responsable del tratamiento de datos

personales al ofrecer resultados de la ?Búsqueda de Google? y de gestionar las

solicitudes de retirada enviadas mediante dicho formulario.

Incorpora un enlace ?Cómo retirar contenido de Google? que conduce a la página en la

que se listan diversos productos de ?Google?, a través de la cual se accede a los

formularios de retirada de contenidos habilitados para cada uno de estos productos

(en el Antecedente Sexto se detalla la lista completa de los productos y servicios

incluidos en la misma). Esta página coincide con la reseñada como ?Formularios

Google 2, 4, 5, 7, 9, 17, 21 y 23?.

El contenido íntegro de este formulario, que se incorpora a este acto como Anexo 2, se

declara reproducido a efectos probatorios.

4. A través del sitio web ?google.com? puede accederse a la página ?Cómo retirar

contenido de Google?, que coincide con la reseñada como ?Formularios Google 2, 4, 5,

7, 9, 17, 21 y 23?.

Esta página da entrada a los formularios habilitados por GOOGLE LLC para que los

usuarios puedan solicitar la retirada de contenidos en línea para cada uno de los

productos que se listan en la misma (según la información ofrecida, ?Esta página le

permitirá acceder al sitio adecuado para informar del contenido que quieras retirar de

los servicios de Google de acuerdo con las leyes aplicables?).

En el Antecedente Sexto se detalla la lista completa de los productos y servicios

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

51/137

incluidos en esta página.

En las actuaciones se han realizado comprobaciones (constan detalladas en los

Antecedentes Sexto y Décimo) en relación con los productos Blogger/Blogspot,

Chrome Web Store/galería de extensiones, Google Classroom, Grupos de Google,

Google Help Communities, Poly, Feedburner, Data Studio, Cloud Firestore, Google

Imágenes, Google Photos y Picasa Web Album, Drive y Documentos, Búsqueda de

Google, Google Maps y productos relacionados, Google + y Google News

(?Formularios Google 3, 6, 8, 10, 12, 13, 14, 15, 16, 18, 19, 20, 22, 24, 25, 26 y 27,

respectivamente).

Con carácter general, al pulsar un producto en la página ?Cómo retirar contenido de

Google? se accede a una nueva página que permite crear una solicitud de retirada de

contenidos en línea.

La solicitud incluye campos para que el solicitante facilite sus datos relativos al país de

residencia, nombre completo y dirección de correo electrónico de contacto; así como el

nombre y apellidos de la persona a la que representa, URL del contenido que incluya

la información personal que desea que se retire, la información personal que desea

que se retire y los motivos de la retirada.

Los ?Formularios Google 3, 6, 8, 10, 12, 13, 14, 15, 16, 19, 20 y 22? incluyen el

siguiente texto informativo:

?Asimismo, podemos publicar información similar procedente de tu notificación en nuestro

informe de transparencia. Para obtener más información sobre este informe, haz clic aquí?.

El contenido de estos formularios, que consta reseñado en los Antecedentes Sexto y

Décimo, se declara reproducido a efectos probatorios.

5. GOOGLE LLC ha dispuesto un formulario específico para denunciar presuntas

infracciones de derechos de autor (?Formularios Google 1 y 11?), accesible a través del

sitio web ?Google.com?. Esta denuncia puede conllevar ?la retirada de cualquier

material contra el que se haya presentado una reclamación por incurrir en una

actividad infractora, la inhabilitación del acceso a dicho material o la cancelación de

cuentas de suscriptores?.

Estos formularios incluyen el siguiente texto informativo:

?Asimismo, según nuestra política, documentamos todas las notificaciones de presuntas

infracciones que recibimos, lo que incluye el envío de una copia de la notificación a uno o

varios terceros, o bien su publicación?.

El contenido de estos formularios, que consta reseñado en los Antecedentes Sexto y

Décimo, se declara reproducido a efectos probatorios.

6. Los ?Formularios Google 3, 6, 8, 10, 12, 13, 14, 15, 16, 19, 20, 22, 25 y 26?

muestran el siguiente texto informativo, que hace referencia a la comunicación de

datos al ?Proyecto Lumen? por parte de GOOGLE LLC:

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

52/137

?Ten en cuenta que es posible que enviemos una copia de cada una de las notificaciones

legales que recibamos al proyecto Lumen (https://www.lumendatabase.org) para su publicación

y anotación. Lumen retirará la información de contacto personal del remitente (es decir, el

número de teléfono, la dirección de correo electrónico y el domicilio).

Para consultar un ejemplo de este tipo de publicaciones, accede a la página

https://www.lumendatabase.org/notices/5838?.

A través del ?Formulario Google 18?, correspondiente al producto Google Imágenes, se

accede a una herramienta para retirada de ?contenido obsoleto de la Búsqueda de

Google?. En esta herramienta se ofrece la opción de enviar una ?solicitud legal? para

?retirar información personal o contenido con problemas legales que aún esté presente

en una página?. En relación con esta solicitud se indica lo siguiente:

La transparencia es fundamental para nosotros

La transparencia es uno de los valores primordiales de Google.

En nuestro afán de ser transparentes, podemos enviar una copia de cada aviso legal que

recibamos al ?proyecto Lumen? (enlace a la web lumendatabase.org) para que se publique.

Lumen es un proyecto de investigación independiente dirigido por el Berkman Klein Center for

Internet & Society de la Facultad de Derecho de Harvard. La base de datos de Lumen contiene

millones de solicitudes de retirada de contenido que varias empresas han compartido de forma

voluntaria, incluida Google. Su objetivo es facilitar la investigación académica y sectorial sobre

la disponibilidad de contenidos online. Lumen ocultará la información de contacto personal del

remitente, como su número de teléfono, dirección de correo electrónico y dirección postal.

Puede ver un ejemplo de publicación de Lumen ?en esta página?.

Los ?Formularios Google 1 y 11?, dispuestos para solicitar retiradas de contenido en

línea por infracción de derechos de autor, incluyen las siguientes referencias al

?Proyecto Lumen?:

?Asimismo, según nuestra política, documentamos todas las notificaciones de presuntas

infracciones que recibimos, lo que incluye el envío de una copia de la notificación a uno o

varios terceros, o bien su publicación. Puede ver un ejemplo de este tipo de publicaciones en la

página https://www.lumendatabase.org/notices/2069?.

?Tenga en cuenta que se envía una copia de cada notificación legal que recibimos a un tercero,

que podría publicarla y anotarla (sin su información personal). Así pues, el contenido de este

formulario se reenviará a Lumen (http://www.lumendatabase.org) para que pueda publicarse.

Para ver un ejemplo de este tipo de publicaciones, acceda a la página

http://www.lumendatabase.org/dmca512/notice.cgi?NoticeID=861. En el caso de productos

como la Búsqueda web de Google, aparecerá un enlace al aviso publicado en los resultados de

búsqueda de Google en lugar del contenido retirado?.

7. GOOGLE LLC comunica al ?Proyecto Lumen?, creado por la entidad Berkman Klein

Center for Internet & Society de la Universidad de Harvard, ambas con sede en

Estados Unidos, las solicitudes de retirada o eliminación de contenidos en línea que

gestiona, motivadas por infracción de derechos de autor, difamación, fallos judiciales,

marcas, solicitudes basadas en la legislación local (problema legal).

La información incluida en los ?Formularios de Google? muestran otros motivos para

que sean seleccionados por los interesados, que también pueden dar lugar al envío de

la notificación de retirada de contenido al ?Proyecto Lumen?.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

53/137

Esta comunicación se produce en relación con solicitudes de retirada de contenido en

línea que se formulen respecto de los productos que se mencionan en los Hechos

Probados 4 y 5.

GOOGLE LLC comunica al ?Proyecto Lumen? toda la información correspondiente a

estas solicitudes, incluida la identificación del solicitante y el afectado, en su caso, su

dirección de correo electrónico, los motivos que se alegan (el texto de la reclamación)

y la URL reclamada, así como la documentación que sirve de soporte, si existe.

8. La entidad responsable del ?Proyecto Lumen? publica los avisos de retirada de

contenidos en línea que recibe de GOOGLE LLC en la web de su titularidad,

?lumendatabase.org?.

El aviso se publica con la información que es transmitida al ?Proyecto Lumen?, si bien,

esta entidad informa en su web que ejecuta procesos automáticos para anonimizar

algunos datos personales (direcciones de correo electrónico, números de teléfono o

números de identificación nacional o de Seguro Social, nombres incluidos dentro de

una URL o en el texto del aviso), en la forma indicada en los Hechos Probados

siguientes.

La publicación de estas notificaciones o avisos tiene la estructura siguiente:

. Encabezado: motivo de la solicitud, persona física o entidad que formula la solicitud,

fecha de la solicitud, país de origen, entidad a la que se dirige la solicitud y entidad que

ha remitido el aviso al ?Proyecto Lumen?.

. Reseña de la solicitud de retirada de contenido: incluye un cuadro de texto en el que

se reproducen las circunstancias de hecho de la solicitud y su motivación y la URL

correspondiente que da acceso al contenido eliminado.

. Enlace a la documentación de soporte en formato ?pdf?.

Al pie de estas publicaciones se incluyen un enlace, ?Click here to request access and

see full URLs? (cuya traducción sería ?Pinche aquí para solicitar acceso ver dirección

URL completa?) conduce a una página

(?https://lumendatabase.org/notices/.../request_access?) en la que puede solicitarse al

?Proyecto Lumen? el acceso a la información completa del correspondiente aviso de

retirada de contenido. Al pulsar dicho enlace se accede a una página con el rótulo

?Solicitar acceso completo a la denuncia?, que incluye un formulario el que se solicita

la dirección de correo electrónico de la persona que desea acceder a la información, a

la que posteriormente el ?Proyecto Lumen? envía un correo con un enlace a la

información de un solo uso. La estructura de este formulario es la siguiente:

Se pulsa el enlace incluido en esta publicación ?para solicitar el acceso y ver las URL

completas? y se accede a un formulario disponible en ?lumendatabase.org?, en

?Para acceder a este aviso ingrese su dirección de correo electrónico y resuelva el captcha.

Después de enviar el formulario, le enviaremos un correo electrónico con un enlace de un solo

uso al aviso.

Dirección de correo electrónico

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

54/137

(espacio para registrar la dirección de correo)

( ) Seleccione para recibir una notificación cuando se agreguen nuevos documentos de

notificación (o cuando se actualicen los documentos de notificación existentes).

Entregar (botón)?.

9. Se declara reproducida en este acto, a efectos probatorios, la información disponible

en la web ?lumendatabae.org?, en los apartados ?Acerca de?, ?Aviso Legal? e

?Investigadores?, y en el documento denominado ?Conceptos básicos de la

información del aviso de Lumen?, cuyo contenido consta íntegramente reseñado en

Anexos 3 y 4.

10. Consta incorporado a las actuaciones el detalle de diversas publicaciones

realizadas en el sitio web ?lumendatabase.org? correspondientes a notificaciones de

eliminación de contenidos en línea remitidas por GOOGLE LLC, relacionadas con

solicitudes dirigidas a esta entidad por usuarios españoles bajo la vigencia del RGPD.

El contenido de estas publicaciones, que consta reseñado en los Antecedentes de

este acto, se declara reproducido a efectos probatorios.

Dicho contenido puede ser accedido públicamente, sin restricciones, a través de las

URL que se mencionan en los Antecedentes de este acto, reseñadas como ?Enlace

Lumendatabase? y señaladas con los números 1, 2, 3, 4, 5, 6, 8, 9, 10, 11, 12, 13, 14,

15, 16, 17, 18, 22, 25, 26, 29, 30, 31, 32 y 33.

Las notificaciones de eliminación de contenidos accesibles a través de los ?Enlace

Lumentadabase? señalados con los números 1, 2, 3, 4, 5, 6, 8, 9, 10, 11, 12, 13, 14, y

25 fueron remitidas por GOOGLE LLC como avisos relativos a solicitudes por motivos

de difamación. Sobre los motivos de la solicitud, en relación con los ?Enlaces

Lumendatabase 3, 14 y 25?, consta lo siguiente:

. ?Enlace Lumendatabase 3?: se remite como solicitud por motivos de difamación,

pero hace referencia a la eliminación de resultados de búsqueda del ?Buscador de

Google? ?(?)?.

. ?Enlace Lumendatabase 14?: se remite como solicitud por motivos de difamación,

pero hace referencia a la eliminación de datos personales (?Se dan datos sobre mí,

dirección de email??).

. ?Enlace Lumendatabase 25?: se remite por GOOGLE LLC como una solicitud por

motivos de difamación, pero el texto de la misma hace referencia a la eliminación

de resultados de búsqueda del ?Buscador de Google? ?(?)?.

Las notificaciones de eliminación de contenidos accesibles a través de los ?Enlace

Lumentadabase? señalados con los números 16, 17, 18, 22, 26, 29, 30, 31, 32 y 33

fueron remitidas por GOOGLE LLC como avisos relativos a solicitudes basadas en un

fallo judicial.

La notificación de eliminación de contenidos accesible a través del ?Enlace

Lumentadabase 15? fue remitida por GOOGLE LLC como un aviso relativos a

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

55/137

solicitudes de retirada por aplicación de normativa local.

Las publicaciones accesibles a través de los ?Enlace Lumentadabase? señalados con

los números 16, 18, 22, 26, 29, 30, 31, 32 y 33 incluyen en el encabezado los datos

personales de los solicitantes relativos a nombre y dos apellidos (salvo el número 32,

que solo menciona nombre y un apellido).

Las publicaciones accesibles a través de los ?Enlace Lumentadabase? señalados con

los números 3, 5, 8 a 12, 18, 25, 29 y 30 incluyen en el cuadro de texto que reproduce

la solicitud de eliminación de contenidos, en el que se detallan, además de las

circunstancias de hecho que motivan dicha solicitud, la identificación de una o varias

personas (ya sean las interesadas a las que se refiere el contenido retirado u otras

afectadas o implicadas en los hechos); direcciones postales; reseña de alguna URL

que incluye la mención del nombre y apellidos de una persona o una dirección postal;

el nombre mercantil de un establecimiento; la referencia de una sentencia (número,

fecha) y el nombre de las personas que intervienen como partes en el proceso

(demandante y demandado); o la profesión de un afectado:

?Enlace Lumentadabase 3?: dirección postal y URL con dirección postal.

?Enlace Lumentadabase 5?: nombre y dos apellidos de una persona y nombre

mercantil de un establecimiento.

?Enlaces Lumentadabase 8 a 12?: nombre y dos apellidos del afectado (8), nombre y

un apellido de la misma persona (9 y 10), solo nombre de la misma persona (11 y 12).

?Enlace Lumentadabase 18 y 29?: referencia de una sentencia (número, fecha) y el

nombre de las personas que intervienen como partes en el proceso (demandante y

demandado).

?Enlace Lumentadabase 25?. nombre y un apellido de una persona y su profesión.

?Enlace Lumentadabase 30?: nombre y un apellido de dos personas intervinientes en

un proceso judicial.

Las publicaciones accesibles a través de los ?Enlace Lumentadabase? señalados con

los números 4, 8, 9 a 12, 13, 16, 18 y 32 incluyen la URL que da acceso al contenido

eliminado, en la que aparecen datos personales integrados en la propia dirección de

internet. Estas URL aparecen en la publicación como sigue:

?Enlace Lumentadabase 4?:

?(?)?.

?Enlace Lumentadabase 8?:

?(?)?.

?Enlace Lumentadabase 9 a 12?: Estos enlaces corresponden a la misma solicitud de

retirada de contenido del ?Enlace Lumendatabase 8?. En estos casos, la dirección del

enlace muestra ?B.B.B.? (enlace 9), ?B.B.B.? (enlaces 10 y 11) o ?B.B.B.? (enlace

12).

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

56/137

?Enlace Lumentadabase 13?:

?(?)?.

?Enlace Lumentadabase 16?:

?(?)?.

?Enlace Lumentadabase 18?:

?(?)?.

?Enlace Lumentadabase 32?:

?(?)?.

En relación con el ?Enlace Lumentadabase 16?, el denunciante aportó una captura de

pantalla del sitio web web ?lumendatabase.org? (?Enlace Lumendatabase 17?), en la

que se muestra un fragmento de la primera página de la (?), accesible a través del

?Enlace Lumendatabase 16?. Aportó, asimismo, copia completa de esta Sentencia, en

la que constan los nombres y apellidos de todas las personas que intervienen en el

proceso (juez que la dicta, parte demandante ?C.C.C.?, demandada, sus

representantes, Ministerio Fiscal y (?) ?D.D.D.?, así como todas las circunstancias del

proceso, (?).

Esta sentencia es soporte también de la publicación señalada como ?Enlace

Lumendatabase 18?.

Las comprobaciones realizadas en la fase de prueba del procedimiento han permitido

constatar que los datos personales y la información accesible mediante los enlaces

reseñados ha variado en el sentido siguiente:

?Enlace Lumentadabase 3?: En el texto de la reclamación se ha suprimido la dirección

postal y la URL que se mencionaba.

?Enlace Lumentadabase 4?: Se han anonimizado tres de URL, permaneciendo las

otras dos como sigue:

?(?)?.

?Enlace Lumentadabase 5?: En el texto de la reclamación se han suprimido los datos

de nombre y apellidos y el nombre mercantil del establecimiento.

?Enlaces Lumentadabase 8 a 12?: En el texto de la reclamación y en la dirección del

enlace se han suprimido los datos personales relativos a nombre y apellidos.

?Enlace Lumentadabase 13?: La URL objeto de la solicitud de retirada de contenido

aparece anonimizada.

?Enlaces Lumentadabase 18 y 29?: En el encabezado se han suprimido los datos del

solicitante; en el texto de la reclamación se ha suprimido el nombre de las personas

que intervienen como partes en el proceso y las URL han sido suprimidas.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

57/137

?Enlace Lumentadabase 22 y 26?: El nombre del solicitante ha sido eliminado del

encabezado.

?Enlaces Lumentadabase 16, 17 y 25?: La página no se encuentra accesible.

Durante la fase de prueba del procedimiento, se accedió a las URL siguientes,

mencionadas en los ?Enlace Lumentadabase? que se indican, las cuales corresponden

a las respectivas direcciones de internet que fueron objeto de la solicitud de retirada de

contenidos en línea. Este acceso mostró la información siguiente:

?Enlace Lumentadabase 1?:

Se accede al blog disponible en la dirección ?(?)?, en el que figura la fecha

***FECHA.19. Se comprueba que corresponde a un blog creado, según se indica, (?).

En el encabezamiento se indica ?(?)?.

?Enlace Lumentadabase 4?:

Se accede a la dirección de internet ?(?)? y se comprueba que da acceso a un

documento fechado el ***FECHA.20, con el rótulo (?). (?).

11. En una búsqueda realizada por el denunciante con el ?Buscador de Google?, con el

nombre y apellidos del solicitante al que corresponden los ?Enlaces Lumendatabase

16, 17 y 18? como criterio de la consulta, se obtiene una página de resultados que

incluye al pie una nota indicando que se han eliminado varios resultados y se resalta

un hipervínculo a ?lumendatabase.org?:

?En respuesta a un requisito legal enviado a Google, hemos eliminado 3 resultado(s) de esta

página. Si lo deseas, puedes leer más información sobre este requisito en

LumenDatabase.org?.

En una búsqueda realizada por el denunciante con el ?Buscador de Google?, con el

nombre y apellidos del afectado al que corresponden los ?Enlaces Lumendatabase 16,

17 y 18? como criterio de la consulta, se obtiene una página de resultados que incluye

al pie dos notas indicando que se han eliminado varios resultados y se resalta un

hipervínculo a ?lumendatabase.org?:

?En respuesta a un requisito legal enviado a Google, hemos eliminado 3 resultado(s) de esta

página. Si lo deseas, puedes leer más información sobre este requisito en

LumenDatabase.org?.

?En respuesta a un requisito legal enviado a Google, hemos eliminado 1 resultado(s) de esta

página. Si lo deseas, puedes leer más información sobre este requisito en

LumenDatabase.org?.

12. Se tienen en cuenta, a efectos probatorios, las manifestaciones realizadas por

GOOGLE LLC en su escrito de alegaciones complementarias, de fecha 05/10/2021, el

cual se declara reproducido a tales efectos.

(?).

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

58/137

(?):

. (?).

. (?)

. (?).

FUNDAMENTOS DE DERECHO

En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada Autoridad de

Control y, según lo establecido en los artículos 47, 64.2 y 68.1 de la LOPDGDD, la

Directora de la Agencia Española de Protección de Datos es competente para iniciar

este procedimiento.

El artículo 63.2 de la LOPDGDD determina que: ?Los procedimientos tramitados por la

Agencia Española de Protección de Datos se regirán por lo dispuesto en el

Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones

reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter

subsidiario, por las normas generales sobre los procedimientos administrativos?.

Con carácter previo, se estima oportuno analizar las excepciones alegadas por

GOOGLE LLC, en base a las cuales solicita la declaración de nulidad de las

actuaciones, por infracción de normas reguladoras del procedimiento sancionador

causante de indefensión.

1. Considera que la AEPD ha ignorado la caducidad de las actuaciones previas de

investigación y ha mantenido a la entidad reclamada bajo investigación durante más

de dos años, a pesar de que la LOPDGDD prevé un procedimiento sancionador de

una duración máxima de 21 meses, teniendo en cuenta la duración de doce meses de

las actuaciones previas de investigación (artículo 67.2) y los nueve meses del propio

procedimiento sancionador (artículo 64.2).

Advierte que las actuaciones previas caducaron el 13/12/2019, considerando que la

primera denuncia es de 13/09/2018 y que el art. 65.5 LOPDGDD establece que la

admisión o inadmisión a trámite, deberá notificarse al reclamante en el plazo de tres

meses.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

59/137

Y añade que la AEPD no dictó ningún acuerdo sobre la admisión a trámite y no fue

hasta el 16/01/2020 cuando decidió archivar provisionalmente el expediente y dirigirlo

a la autoridad de protección de datos de Irlanda (Irish Data Protection Commission). El

acuerdo de inicio se notificó el 23/06/2021, casi tres años después de la primera

denuncia.

Considerando esta caducidad de las actuaciones previas, alega que la información

recabada durante las mismas no puede utilizarse en el procedimiento, de conformidad

con lo establecido en el artículo 95.3 de la LPACAP.

A este respecto, debe señalarse que los hechos puestos de manifiesto por GOOGLE

LLC para mantener esta alegación resultan incompletos y no se ajustan en su totalidad

a los antecedentes que deben valorarse para apreciar o no la nulidad invocada.

En este caso, se recibieron ocho denuncias (8) entre las fechas 13/09/2018 y el

09/01/2019, y una más de fecha 01/12/2020.

Las primeras denuncias recibidas fueron trasladadas, el 01/02/2019, a la autoridad de

protección de datos de Irlanda (DPC Irlanda), de conformidad con el artículo 56 del

RGPD, para que valorase si ostentaba o no la condición de autoridad de control

principal, al encontrarse radicada en ese país la entidad GOOGLE IRELAND LTD., en

tanto que establecimiento del responsable que decide, para Europa, los fines y los

medios en el tratamiento de datos personales.

En una primera comunicación, de 10/04/2019, DPC Irlanda comunicó que no se

consideraba competente para resolver este caso. Sin embargo, posteriormente,

siguiendo el mecanismo de asistencia mutua regulado en el artículo 61 del RGPD,

solicitó la colaboración de esta Agencia para que se trasladaran al denunciante

diversas cuestiones relacionadas con las denuncias formuladas.

Cumplido este trámite y conocidas las respuestas del denunciante, DPC Irlanda

rechazó la competencia en la tramitación de las denuncias mediante comunicación de

22/01/2020, al considerar que es GOOGLE LLC la responsable del tratamiento,

consistente en la comunicación de datos personales relacionados con solicitudes de

retirada de contenido gestionadas por GOOGLE LLC, llevada a cabo por esta entidad

en Estados Unidos a una base de datos también estadounidense.

Finalizada esta tramitación, que determinó la competencia de esta AEPD para resolver

las cuestiones suscitadas en aquellas denuncias, en fecha 09/06/2021 se acordó la

apertura del presente procedimiento sancionador, sin haber desarrollado actuaciones

previas de investigación.

Siendo así, no puede invocarse la caducidad de unas actuaciones que no han tenido

lugar.

La decisión de llevar a cabo estas actuaciones previas de investigación es una

potestad de la AEPD, que podrá acordar su iniciación o no (artículo 67 de la

LOPDGDD). En este caso, dichas actuaciones no fueron acordadas y, por tanto, no se

practicó investigación alguna.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

60/137

Ninguna consecuencia jurídica puede atribuirse al hecho de no haber acordado la

apertura de actuaciones previas de investigación, ni tampoco al tiempo transcurrido

desde el rechazo de las denuncias por parte de DPC Irlanda y la apertura del

procedimiento, al no existir ninguna norma que acote el tiempo de que dispone la

Administración para iniciar este tipo de procedimientos, más allá de la regla de la

prescripción y los efectos que se le atribuyen.

Por otra parte, debe señalarse que el planteamiento que GOOGLE LLC realiza sobre

la duración máxima del procedimiento sancionador, que fija en 21 meses, teniendo en

cuenta la duración de doce meses de las actuaciones previas de investigación (artículo

67.2) y los nueve meses del propio procedimiento sancionador (artículo 64.2), no se

ajusta a Derecho. Por un lado, como se ha indicado, no existe ninguna norma

aplicable al procedimiento sancionador en materia de protección de datos personales

que establezca un plazo preclusivo para acordar su apertura; y, por otro lado, el plazo

de caducidad del procedimiento sancionador está establecido en nueve meses y se

computa desde la fecha en que se acuerda su inicio, resultando improcedente añadir a

ese cómputo, a efectos de medir la duración del expediente administrativo, ningún otro

período, tal como el tiempo de las actuaciones previas de investigación, en caso de

que se hubiese acordado su realización.

Las normas procesales españolas (LPACAP), establece que los procedimientos de

naturaleza sancionadora se iniciarán siempre de oficio por acuerdo del órgano

competente.

GOOGLE LLC responde a los razonamientos anteriores en sus alegaciones a la

propuesta de resolución, señalando que las actuaciones previas de investigación se

han dilatado más de lo permitido en la norma, sin que pueda oponerse el archivo

provisional del expediente declarado por razón de los trámites seguidas ante DPC

Irlanda, dado que esta entidad rechazó el caso en fecha 22/01/2020. En este momento

aquel archivo provisional debe entenderse alzado y el expediente recupera su ?vigor?.

La consecuencia de ello, según GOOGLE LLC, es la caducidad de las actuaciones

previas, cuya existencia es un hecho incontestable a juicio de dicha entidad, por

cuanto la Agencia, antes de la apertura del procedimiento, realizó una serie de

actuaciones destinadas a la ?mejor determinación de los hechos y las circunstancias

que justifican la tramitación del procedimiento? (artículo 67 de la LOPDGDD) que solo

pueden calificarse como investigaciones, las cuales constan reflejadas en este acto.

Esto supone, a juicio de la reclamada, una infracción del ordenamiento jurídico por

parte de la Agencia, tanto si las actuaciones previas se consideran abiertas por las

labores de investigación realizadas, en cuyo caso estas actuaciones estarían

caducadas; como por el ejercicio de estas potestades de investigación sin haber

acordado formalmente su iniciación, burlando el límite temporal establecido.

Según GOOGLE LLC, la única posibilidad de realizar labores de investigación es a

través de estas actuaciones previas, cuya duración se fija en 12 meses para proteger

a los administrados de investigaciones indefinidas y de dilataciones excesivas en los

procedimientos.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

61/137

Sin embargo, como ha quedado expresado anteriormente, esta Agencia no opone el

citado archivo provisional para justificar el tiempo transcurrido hasta la apertura del

procedimiento sancionador. Como puede comprobarse, en los párrafos precedentes

esta Agencia detalla la tramitación seguida de acuerdo con los artículos 56 y 61 del

RGPD y se indica claramente que DPC Irlanda rechazó la competencia en la

tramitación de las denuncias con fecha 22/01/2020, para añadir seguidamente que no

puede atribuirse ninguna consecuencia al tiempo transcurrido hasta la apertura del

procedimiento, salvo que se hubiese producido la prescripción de las infracciones.

Ello es así considerando, tal como entiende esta Agencia, que no se han realizado

actuaciones previas de investigación con anterioridad a la apertura del presente

procedimiento.

Únicamente se obtuvieron impresiones de pantalla de los enlaces que constan en las

denuncias, para verificar que se corresponden con lo manifestado por el denunciante.

Conviene aclarar a este respecto que en algunos casos se indican los enlaces que

motivan la denuncia, pero sin acompañar su contenido. Y esto se realiza así por parte

del denunciante conociendo que el acceso a la información es público y la reseña de la

URL que conduce a esa información es suficiente para que esta Agencia pudiera

comprobar los motivos o las manifestaciones de la denuncia.

Es lo mismo que hace GOOGLE LLC en sus alegaciones a la propuesta de resolución

en relación con la infracción del artículo 17 del RGPD que se analiza en el

Fundamento de Derecho VII. En estas alegaciones invoca el principio de confianza

legítima teniendo en cuenta que la web de la AEPD invitando a los ciudadanos a usar

el conjunto de formularios de retirada de contenidos en línea habilitados por dicha

entidad e incluye enlaces para acceder a los mismos. GOOGLE LLC detalla las URL

que conducen a esta información insertada en la web de esta Agencia (?aepd.es?),

pero sin aportar la información ofrecida. Para dar respuesta a estas alegaciones en

esta Resolución, esta Agencia ha accedido a la información alegada por la reclamada

y verificado los enlaces a los formularios en cuestión, y no puede decirse que esta

verificación tenga naturaleza investigadora.

Por tanto, ninguna actuación se desarrolló para la ?mejor determinación de los hechos

y las circunstancias que justifican la tramitación del procedimiento?, como dice GOOGLE

LLC.

2. Por otra parte, en su escrito de alegaciones a la propuesta de resolución, GOOGLE

LLC cuestiona la ampliación del objeto del procedimiento llevada a cabo en la

propuesta de resolución, que ha añadido una nueva supuesta infracción del artículo 17

del RGPD.

A este respecto, argumenta que dicha infracción tiene base en formularios y

procedimientos para la retirada de contenidos accesibles a través de los productos y

servicios de Google ofrecidos por GOOGLE IRELAND LTD. Entiende, por ello, que es

esta entidad y no GOOGLE LLC, la responsable de esos procedimientos y formularios

y del tratamiento de los datos personales asociados al uso de estos servicios; y que es

la Irish Data Protection Commission (o ?IDPC?) la autoridad de control principal para

cualquier tratamiento transfronterizo relacionado con dichos datos personales.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

62/137

Por tanto, considera que aquella ampliación del objeto del procedimiento se ha

realizado sin acudir al mecanismo de cooperación regulado en el artículo 60 del

RGPD, viciando de nulidad o anulabilidad el presente procedimiento.

Esta Agencia no comparte con GOOGLE LLC que para declarar la infracción del

artículo 17 fuese necesario acudir al mecanismo de cooperación regulado en el

artículo 60 citado.

En este expediente se analiza exclusivamente la responsabilidad de GOOGLE LLC en

las cuestiones suscitadas, considerando las denuncias formuladas y la documentación

examinada en el expediente.

De ello resulta que desde el momento en que el RGPD tuvo plena aplicabilidad, en

mayo de 2018, y en el momento en que se formulan las denuncias, GOOGLE LLC era

responsable de los tratamientos de datos asociados al uso de todos los productos y

servicios de Google, así como de todos los procedimientos y formularios de retirada de

contenidos en línea y de los tratamientos de los datos personales que conlleva su

utilización.

Esta situación se mantuvo hasta el 22/01/2019, fecha en la que, según se informa a

los usuarios en la Política de Privacidad disponible en el sitio web ?google.com?, la filial

de GOOGLE LLC en Irlanda, con la denominación GOOGLE IRELAND LTD, se hizo

cargo de proveer algunos productos y prestar servicios de ?Google? para el Espacio

Económico Europeo y Suiza.

Y no solo eso. Consta acreditado que GOOGLE LLC ha sido la entidad responsable en

nuestro territorio de determinados productos y servicios durante todo este período y lo

sigue siendo en la actualidad. Según informa la mencionada Política de Privacidad,

?Google LLC es el responsable del tratamiento de la información indexada y mostrada

en servicios como la Búsqueda de Google y Google Maps?, con independencia de la

ubicación del usuario. Incluso, puede decirse, tal y como se expresa la Política de

Privacidad, que los productos ?Búsqueda de Google? y ?Google Maps? se mencionan

como ejemplo, dando a entender que puede haber otros productos o servicios de los

que GOOGLE LLC sea la entidad responsable, distintos a los dos que se mencionan

en la Política de Privacidad.

Esta es la responsabilidad específica de GOOGLE LLC que se valora en las

actuaciones, en las que nada se resuelve respecto de GOOGLE IRELAND LTD, de

modo que no resulta de aplicación al presente supuesto lo establecido en el artículo 60

el RGPD.

También en relación con esta vulneración de lo establecido en el artículo 17 del

RGPD, GOOGLE LLC, además de cuestionar lo que dicha entidad califica como una

ampliación del objeto del procedimiento, señala que esta imputación está

desconectada de las denuncias que han dado lugar al procedimiento y que en el

mismo se establecen criterios interpretativos de manera impropia, en contra de lo

declarado por la Audiencia Nacional en su sentencia de 23/04/2019 (recurso núm.

88/2017), dictada por razón de un recurso de la propia entidad reclamada.

No comparte esta Agencia la conclusión manifestada por GOOGLE LLC. Como puede

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

63/137

comprobarse en este acto, los acuerdos que se adoptan encuentran fundamento en lo

expresado en la normativa aplicable y en consolidadas interpretaciones de la misma.

Además, la doctrina sentada en la sentencia citada es aplicable a hechos anteriores al

RGPD, el cual establece un régimen jurídico nuevo y distinto que ha de tenerse en

cuenta en el procedimiento y que, a diferencia de lo relatado en la sentencia, en la

presente resolución se hace referencia a las concretas denuncias, se hace una

valoración de las pruebas practicadas en torno a las mismas, que están relacionadas

con conductas concretas e individualizadas en relación a unas determinadas personas

físicas, pero que además trascienden dichas denuncias.

Por otra parte, entiende esta Agencia que las decisiones adoptadas en la presente

resolución están directamente vinculadas con las denuncias reseñadas en los

Antecedentes, que hacen referencia a numerosos casos de solicitudes de retirada de

contenido en línea y a los concretos formularios objeto de análisis.

En todo caso, la intervención de esta Agencia no está restringida por las denuncias

formuladas.

El RGPD ha establecido un régimen propio y específico respecto de los

procedimientos ante las autoridades de control en materia de protección de datos. En

el Capítulo VIII del RGPD, que lleva por título ?Recursos, responsabilidad y sanciones?,

se establece el derecho a presentar una reclamación ante una autoridad de control si

se considera que un tratamiento de datos infringe el Reglamento (artículo 77) y el

derecho a la tutela judicial efectiva en caso de violación de los derechos establecidos

en dicho Reglamento (artículo 79).

La LOPDGDD ha plasmado también esta distinción, de modo que la reclamación de

un particular puede dar lugar a dos tipos de procedimientos, uno de ellos relativo a

infracciones del RGPD, con carácter general, y otro por vulneración de sus derechos

(artículo 63.1).

No prevé la LOPDGDD ningún tipo adicional de procedimiento en caso de posible

vulneración de la normativa de protección de datos, de manera que todas las

funciones y poderes que el RGPD otorga a las autoridades de control en los artículos

57 y 58 RGPD habrán de ejercitarse a través de dichos procedimientos en caso de

posible vulneración de la normativa de protección de datos. No existen otros.

Teniendo en cuenta igualmente el artículo 64 LOPDGDD, cuando el procedimiento se

dirija exclusivamente a la falta de atención de una solicitud de los derechos los

artículos 15 a 22 RGPD será necesaria una reclamación, pero (art. 64.2 LOPDGDD)

[c]uando el procedimiento tenga por objeto la determinación de la posible existencia

de una infracción de lo dispuesto en el Reglamento (UE) 2016/679 y en la presente ley

orgánica, se iniciará mediante acuerdo de inicio adoptado por propia iniciativa o como

consecuencia de reclamación. Es decir, tanto el RGPD como la LOPDGDD consideran

que una reclamación de un afectado puede ser la vía o el medio de llevar a

conocimiento de la autoridad de control una posible infracción de la normativa de

protección de datos, pero en ningún caso restringe la actuación de la autoridad de

control a la específica y concreta queja de los afectados. La Autoridad de control

puede actuar cuando de la confluencia de varias reclamaciones de personas

individuales afectadas se ponga de manifiesto una actuación del responsable de

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

64/137

carácter general (esto es, no sólo en los casos concretos presentados por los

reclamantes) de la que resulte que dichos casos concretos son el reflejo de una pauta

o política común aplicada a todas aquellas personas afectadas que estén en el mismo

caso que los interesados.

Cuando una actuación que se considera incorrecta deriva de una política general

adoptada por el responsable del tratamiento, de manera que no se trata de casos

puntuales, sino que dichos casos son tan sólo la muestra de una política general

adoptada que se considera en infracción del RGPD, la infracción no reside

exclusivamente en los casos examinados sino en la actuación general seguida por el

responsable. Será dicha actuación general la que constituya una infracción del RGPD,

y no solamente las infracciones concretas basadas en la misma.

Lo contrario sería inconsistente con la finalidad y la voluntad del legislador comunitario,

plasmada expresamente en el RGPD, según la cual las autoridades de control han de

controlar y hacer aplicar el RGPD; y con la posibilidad de que las ?infracciones? de la

normativa de protección de datos puedan transcender de las reclamaciones

individuales formuladas a través de las que se pongan de manifiesto.

En cualquier caso, ninguna norma impide que el órgano que ejerce la potestad

sancionadora, cuando determina la apertura de un procedimiento sancionador,

siempre de oficio (artículo 63.1 ley 39/2015, de 1 de octubre), determine su alcance

conforme a las circunstancias puestas de manifiesto, aunque las mismas no se ajusten

estrictamente a las manifestaciones y pretensiones del denunciante. Es decir, el

acuerdo de inicio del procedimiento sancionador no está constreñido por la denuncia

(lo mismo sucede con la reclamación en el ámbito del RGPD) presentada por el

particular. No ocurre así en el caso de procedimientos tramitados a solicitud del

interesado, en los que el artículo 88.2 de la LPACAP exige que la resolución sea

congruente con las peticiones formuladas por éste. Incluso, en este caso, queda a

salvo la potestad de la Administración de incoar de oficio un nuevo procedimiento.

Este mismo artículo 88 de la LPACAP, referido al contenido de la resolución, en su

apartado 1 establece la obligación de decidir todas las cuestiones planteadas por los

interesados y aquellas otras que deriven del procedimiento, incluidas cuestiones

conexas no planteadas por los interesados.

En el procedimiento sancionador, incluso, se tendrán en cuenta los hechos que se

pongan de manifiesto durante su instrucción, los cuales se determinarán en la

propuesta de resolución, y podrán motivar la modificación de las imputaciones

contenidas en el acuerdo de inicio del procedimiento o su calificación jurídica. En este

sentido, al referirse a las especialidades de la resolución en los procedimientos

sancionadores, el artículo 90 de la LPACAP establece que ?En la resolución no se

podrán aceptar hechos distintos de los determinados en el curso del procedimiento,

con independencia de su diferente valoración jurídica??.

Por todo ello, las alegaciones de nulidad reseñadas deben ser rechazadas.

III

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

65/137

El presente procedimiento tiene como objeto analizar la presunta ilicitud de la

comunicación de datos personales relacionados con las retiradas de contenidos en

línea que lleva a cabo GOOGLE LLC, bien a solicitud del afectado o a requerimiento

de alguna instancia, al ?Proyecto Lumen?; así como una posible infracción del derecho

de supresión de datos personales regulado en el artículo 17 del RGPD.

Para analizar estas cuestiones se tiene en cuenta la información facilitada por la

entidad reclamada a los usuarios, principalmente la facilitada en los propios

formularios de solicitud habilitados por dicha entidad y en la ?Política de Privacidad de

Google?. Se tiene en cuenta, asimismo, el sistema de gestión de datos personales que

se pone a disposición de los usuarios y los mecanismos para el ejercicio de los

derechos reconocidos a los interesados en materia de protección de datos.

No obstante, el presente acto no contiene ningún pronunciamiento sobre la licitud de

esta información y de los procesos de gestión de datos personales diseñados e

implementados por GOOGLE LLC, distintos al analizado de forma específica en el

presente procedimiento.

De la misma forma, aunque se tiene en cuenta la información obtenida de los ?Enlaces

Lumendatabase? incorporados a las actuaciones, no forma parte del objeto del

procedimiento el análisis del tratamiento de datos personales que conlleva la

recepción y el procesado de los avisos de retirada de contenidos en línea que el

?Proyecto Lumen? recibe de la reclamada, la publicación de estos avisos que esta

entidad realiza a través de su web ?lumendatabase.org?, ni la comunicación de datos

que dicha entidad realiza a terceros, a los que da acceso a la información completa

relativa a estas solicitudes.

Por otra parte, en relación con las publicaciones realizadas en ?lumendatabase.org?

(?Enlaces Lumendatabase?) de los documentos aportados por el denunciante y de la

verificación de estos enlaces por parte de la Subdirección General de Inspección de

Datos, se obtienen indicios de una efectiva comunicación de datos por parte de

GOOGLE LLC al ?Proyecto Lumen? bajo la vigencia del RGPD en los supuestos

correspondientes a solicitudes de retirada de contenidos posteriores a la entrada en

vigor de este Reglamento, en fecha 25/05/2018.

Se excluyen, por tanto, del objeto del procedimiento las solicitudes anteriores a esta

fecha. También aquellas que correspondan a solicitudes formuladas por usuarios de

otros países.

De acuerdo con lo expuesto, las conclusiones que pudieran derivarse del presente

procedimiento no supondrán ningún pronunciamiento respecto de los aspectos

anteriores descartados.

GOOGLE LLC es una empresa con domicilio social en California (Estados Unidos) que

desarrolla su actividad como proveedor de productos y servicios on-line, los cuales se

ofertan en el territorio Unión Europea.

Esta entidad cuenta con una filial en Irlanda, con la denominación GOOGLE IRELAND

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

66/137

LTD, que, desde el 22/01/2019, es el proveedor de productos y servicios de ?Google?

para el Espacio Económico Europeo y Suiza. Así, desde esa fecha, GOOGLE

IRELAND LTD actúa como responsable del tratamiento de datos personales de los

usuarios de los servicios de ?Google? que se encuentren en el Espacio Económico

Europeo, ?salvo que se indique lo contrario en un aviso de privacidad específico de un

servicio? (Política de Privacidad).

Hasta esa fecha de enero de 2019, GOOGLE LLC era la entidad encargada de esta

provisión de productos y prestación de servicios en su totalidad. Después de esa

fecha, lo sigue siendo de determinados productos, como la ?Búsqueda de Google? y

?Google Maps? (según informa la Política de Privacidad, ?Google LLC es el

responsable del tratamiento de la información indexada y mostrada en servicios como

la Búsqueda de Google y Google Maps?, con independencia de la ubicación del

usuario).

El presente procedimiento se dirige contra GOOGLE LLC por considerar a esta

empresa como responsable del tratamiento de datos consistente en la cesión a un

tercero (?Proyecto Lumen?) de los datos relacionados con las solicitudes de retirada de

contenido de sus productos y/o servicios de internet.

En este caso, como se ha dicho, el tratamiento de datos objeto del procedimiento

consiste en una comunicación de datos relacionados con solicitudes o requerimientos

de retirada de contenido que GOOGLE LLC efectúa al ?Proyecto Lumen?.

Por tanto, el presente procedimiento se dirige contra GOOGLE LLC, como entidad

responsable de esa comunicación de datos personales a un tercero (la posición de

tercero que se otorga al ?Proyecto Lumen? se realiza de acuerdo con la definición

reflejada en el artículo 4.10) del RGPD: ?tercero: persona física o jurídica, autoridad

pública, servicio u organismo distinto del interesado, del responsable del tratamiento,

del encargado del tratamiento y de las personas autorizadas para tratar los datos

personales bajo la autoridad directa del responsable o del encargado?).

Así, tratándose de una empresa con sede social en un país tercero, procede analizar

el ámbito de aplicación territorial del RGPD.

El artículo 3 del RGPD establece los supuestos relativos al ámbito territorial en que el

propio Reglamento y la normativa europea resultan de aplicación a los tratamientos de

datos personales. Concretamente, el artículo en cuestión, fundamentado a su vez en

los Considerandos 22 a 25 del mismo texto legal, establece:

"1. El presente Reglamento se aplica al tratamiento de datos personales en el contexto de las

actividades de un establecimiento del responsable o del encargado en la Unión,

independientemente de que el tratamiento tenga lugar en la Unión o no.

2. El presente Reglamento se aplica al tratamiento de datos personales de interesados que se

encuentren en la Unión por parte de un responsable o encargado no establecido en la Unión,

cuando las actividades de tratamiento estén relacionadas con:

a) la oferta de bienes o servicios a dichos interesados en la Unión, independientemente de si a

estos se les requiere su pago, o

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

67/137

b) el control de su comportamiento, en la medida en que este tenga lugar en la Unión.

3. El presente Reglamento se aplica al tratamiento de datos personales por parte de un

responsable que no esté establecido en la Unión sino en un lugar en que el Derecho de los

Estados miembros sea de aplicación en virtud del Derecho internacional público?.

Estos criterios de aplicación del RGPD, a la luz del artículo transcrito son susceptibles

de agruparse en dos grandes grupos: por un lado, el que hace referencia al lugar de

establecimiento del responsable (o encargado, en su caso) y por otro, el lugar de

ubicación del público objetivo de las actividades del responsable (o encargado, en su

caso), aun cuando éste no se pueda considerar establecido en la Unión Europea.

Finalmente, el artículo señala que también entra dentro del ámbito del RGPD aquellos

supuestos en los que, en virtud de la aplicación de las normas de derecho

internacional público, se considere que el derecho aplicable al lugar de establecimiento

del responsable es el de un Estado miembro.

Por lo que se refiere al presente procedimiento sancionador, y toda vez que se

considera responsable del tratamiento de datos personales a GOOGLE LLC., es

necesario examinar si el RGPD es de aplicación a la entidad estadounidense y en

virtud de qué criterio.

Comenzando el examen por el primero de los dos grandes criterios, el que hace

referencia al lugar de establecimiento del responsable, es necesario que concurran

dos elementos: la existencia de un establecimiento en el territorio de la Unión Europea

y que el tratamiento de datos se lleve a cabo en el ?contexto de las actividades del

establecimiento del responsable o encargado?, independientemente de que el

tratamiento tenga lugar en la Unión Europea o no.

Respecto al primero de los mencionados elementos, el Considerando 22 nos ofrece

una interpretación de lo que debe considerarse como establecimiento:

?[?]Un establecimiento implica el ejercicio de manera efectiva y real de una actividad a través

de modalidades estables. La forma jurídica que revistan tales modalidades, ya sea una

sucursal o una filial con personalidad jurídica, no es el factor determinante al respecto?.

En este sentido, nos encontramos con que, con independencia de la designación, por

parte de la empresa matriz, de GOOGLE IRLELAND LTD. como proveedor de

servicios en el ámbito del Espacio Económico Europeo y Suiza, GOOGLE LLC. sigue

manteniendo filiales en diversos territorios miembros que pueden ser considerados

establecimientos ?estables? a efectos de lo dispuesto en el RGPD. Así, cabe recordar lo

dictaminado por el Tribunal de Justicia de la Unión Europea (en adelante TJUE) en la

Sentencia dictada el 13 de mayo de 2014 en el asunto C-131/12 (GOOGLE SPAIN

S.L. y Google Inc. vs. Agencia Española de Protección de Datos y N.N.N.) cuando

señala que ?[?] no se discute que Google Spain se dedica al ejercicio efectivo y real

de una actividad mediante una instalación estable en España. Además, al estar

dotada de personalidad jurídica propia, es de este modo una filial de Google Inc. en

territorio español, y, por lo tanto, un ?establecimiento?, en el sentido del artículo 4,

apartado 1, letra a), de la Directiva 95/46. [?]?, cuyo tenor literal era ?[?] el

tratamiento sea efectuado en el marco de las actividades de un establecimiento del

responsable del tratamiento en el territorio del Estado miembro [?]?.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

68/137

Respecto al segundo de los elementos que entran en juego, lo determinante no sería

tanto que el tratamiento de datos se lleve a cabo por el propio establecimiento

radicado en la Unión Europea, sino que las actividades que desempeña este último

estén indisolublemente ligadas a las actividades de tratamiento de datos realizadas

por el responsable. En este punto, el TJUE, en la misma sentencia citada en el párrafo

anterior consideró lo siguiente:

?[?] procede considerar que el tratamiento de datos personales realizado en orden al

funcionamiento de un motor de búsqueda como Google Search, gestionado por una empresa

que tiene su domicilio social en un Estado tercero pero que dispone de un establecimiento en

un Estado miembro, se efectúa «en el marco de las actividades» de dicho establecimiento si

éste está destinado a la promoción y venta en dicho Estado miembro de los espacios

publicitarios del motor de búsqueda, que sirven para rentabilizar el servicio propuesto por el

motor.

En efecto, en tales circunstancias, las actividades del gestor del motor de búsqueda y las de su

establecimiento situado en el Estado miembro de que se trate están indisociablemente ligadas,

dado que las actividades relativas a los espacios publicitarios constituyen el medio para que el

motor de búsqueda en cuestión sea económicamente rentable y dado que este motor es, al

mismo tiempo, el medio que permite realizar las mencionadas actividades?.

A mayor abundamiento, por lo que se refiere a la aplicación del RGPD al tratamiento

de datos objeto del presente procedimiento sancionador, es de hacer notar que, no

obstante, la concurrencia del elemento territorial en virtud del artículo 3.1 examinado,

también cabe concluir que el tratamiento de datos objeto del presente procedimiento

quedaría recogido bajo el paraguas del citado artículo 3.2.a), hallándose la

fundamentación para determinar la concurrencia del mencionado precepto, en el

Considerando 23 del mismo texto legal:

?Con el fin de garantizar que las personas físicas no se vean privadas de la protección a la que

tienen derecho en virtud del presente Reglamento, el tratamiento de datos personales de

interesados que se encuentran en la Unión por un responsable o un encargado no establecido

en la Unión debe regirse por el presente Reglamento si las actividades de tratamiento se

refieren a la oferta de bienes o servicios a dichos interesados, independientemente de que

medie pago. Para determinar si dicho responsable o encargado ofrece bienes o servicios a

interesados que se encuentran en la Unión, debe determinarse si es evidente que el

responsable o el encargado proyecta ofrecer servicios a interesados en uno o varios de los

Estados miembros de la Unión. Si bien la mera accesibilidad del sitio web del responsable o

encargado o de un intermediario en la Unión, de una dirección de correo electrónico u otros

datos de contacto, o el uso de una lengua generalmente utilizada en el tercer país donde resida

el responsable del tratamiento, no basta para determinar dicha intención, hay factores, como el

uso de una lengua o una moneda utilizada generalmente en uno o varios Estados miembros

con la posibilidad de encargar bienes y servicios en esa otra lengua, o la mención de clientes o

usuarios que residen en la Unión, que pueden revelar que el responsable del tratamiento

proyecta ofrecer bienes o servicios a interesados en la Unión?.

Examinando el supuesto de hecho, se observa su encaje con el mencionado artículo

3.2.a) del RGPD y con los criterios del Considerando 23, a saber, existencia de un

tratamiento de datos personales de interesados que se encuentren en la Unión

Europea; por parte de un responsable no estableció en la Unión; y que esté

relacionado con la oferta de bienes y servicios a dichos interesados en la Unión:

. GOOGLE LLC, en el desarrollo de su actividad como proveedor de servicios de

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

69/137

internet, oferta productos y servicios on-line en el territorio de la Unión Europea, los

cuales comprenden, entre otros, sistemas operativos, aplicaciones para dispositivos

móviles, correo electrónico, redes sociales, mapas, video, blogs, servicios de Cloud y

aplicaciones específicas para empresas. Estos productos y servicios se ofrecen a

personas residentes en dicho territorio, ya sean personas físicas (como ?Búsqueda?,

?Maps?, ?Gmail?, ?YouTube?, ?Drive?, ?Blogger?) o jurídicas.

Como se ha indicado, hasta el 22/01/2019, GOOGLE LLC era la entidad encargada de

esta provisión de productos y prestación de servicios en su totalidad. Después de esa

fecha, lo sigue siendo de determinados productos, como la ?Búsqueda de Google? y

?Google Maps?.

Esa actividad convierte a la entidad reclamada en responsable de los tratamientos de

datos personales que conlleva el desarrollo de la misma. Como tal, gestiona las

solicitudes que formulen los usuarios para la retirada de contenido de los productos y

servicios que ofrece en el territorio de la Unión Europea, de conformidad con la

normativa aplicable, y es responsable del tratamiento de datos que motiva las

actuaciones, consistente en comunicar a una entidad tercera los datos personales

contenidos en esas solicitudes de interesados que se encuentran en el repetido

territorio.

GOOGLE LLC, en su escrito de alegaciones a la apertura del procedimiento, indica

que no discute la aplicación del RGPD a las actividades de tratamiento en cuestión, si

bien considera que los supuestos previstos en los artículos 3.1 y 3.2.a) del RGPD son

alternativos y que este último no es de aplicación, dado que cuenta con diversos

establecimientos en países de la Unión Europea, además de España.

Esta Agencia no comparte dicha consideración, sobre la que GOOGLE LLC no aporta

argumento alguno.

El artículo 5.1 del RGPD enumera los principios a los que se deben someter los

tratamientos de datos personales:

?a) tratados de manera lícita, leal y transparente en relación con el interesado (?licitud, lealtad y

transparencia?);

b) recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente

de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el

tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de

investigación científica e histórica o fines estadísticos no se considerará incompatible con los

fines iniciales (?limitación de la finalidad?);

c) adecuados, pertinentes y limitados a los necesario en relación con los fines para los que son

tratados (?minimización de datos?);

d) exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para

que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con

respecto a los fines para los que se tratan (?exactitud?);

e) mantenidos de forma que se permita la identificación de los interesados durante no más

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

[Link]

https://www.google.com/search?rlz=1C1CHBF_esES950ES951&q=Cambridge+(Massachusetts)&stick=H4sIAAAAAAAAAOPgE-LQz9U3MM4urlQCswwLM8y1VLOTrfTzi9IT8zKrEksy8_NQOFZp-aV5Kakpi1glnRNzk4oyU9JTFTR8E4uLE5MzSotTS0qKNXewMgIAYLMp0FwAAAA&sa=X&sqi=2&ved=2ahUKEwia7-_y0Mf1AhXTJEQIHZ_PC2wQmxMoAXoECDIQAw

70/137

tiempo del necesario para los fines del tratamiento de los datos personales; los datos

personales podrán conservarse durante períodos más largos siempre que se traten

exclusivamente con fines de archivo en interés público, fines de investigación científica o

histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la

aplicación de las medidas técnicas y organizativas apropiadas que impone el presente

Reglamento a fin de proteger los derechos y libertades del interesado (?limitación del plazo de

conservación?);

f) tratados de tal manera que se garantice una seguridad adecuada de los datos personales,

incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida,

destrucción o daño accidental, mediante la aplicación de medidas técnicas y organizativas

apropiadas (?integridad y confidencialidad?)?.

El Considerando 39 incide, asimismo, en estos principios aplicables a todo tratamiento

de datos.

- Sobre el ?Proyecto Lumen?

Antes de analizar el tratamiento de datos personales que supone la comunicación de

datos que GOOGLE LLC realiza al ?Proyecto Lumen? y si dicho tratamiento vulnera el

RGPD, se estima conveniente reseñar algunas consideraciones relativas al ?Proyecto

Lumen?.

Según la información disponible en la web ?lumendatabae.org?, en los apartados

?Acerca de?, ?Aviso Legal? e ?Investigadores?, o en el documento denominado

?Conceptos básicos de la información del aviso de Lumen?, cuyos contenidos constan

incorporados a este acto en Anexos 3 y 4, ?Lumen? es un proyecto de la entidad

Berkman Klein Center for Internet & Society de la Universidad de Harvard, con sede en

la ciudad de Cambridge (Massachusetts, Estados Unidos), nacido en el año 2002,

cuya principal misión radica en la recogida y puesta a disposición, tanto de

investigadores como de personas interesadas, de solicitudes de retirada de contenido

de páginas web de dentro y fuera de Estados Unidos.

Su finalidad estribaría en contribuir a realizar un estudio lo más ecológico posible de

los tipos de solicitudes, sus solicitantes y sus receptores, potenciando la transparencia

acerca de internet. Así, se dice que tiene por objeto, como proyecto de investigación

independiente, (i) el estudio de las solicitudes de retirada o eliminación de contenidos

en línea que se formulan a editores de Internet, motores de búsqueda y proveedores

de servicios; (ii) facilitar la investigación de sus diferentes tipos; (iii) y brindar la mayor

transparencia posible sobre quién los envía y por qué y con respecto a qué contenido

en línea; (iv) y educar al público.

La base de datos de Lumen crece en más de 40 000 avisos por semana, con

presentaciones voluntarias proporcionadas por compañías, como ?Google?, o por las

personas responsables de enviar o recibir los avisos originariamente. A finales de

2021, el proyecto alberga más de dieciocho millones de avisos, referenciando cerca de

cuatro mil quinientos millones de URL. En 2021, el sitio web del proyecto fue visitado

más de diecinueve millones de veces por más de un millón de usuarios únicos de

prácticamente todos los países del mundo.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

[Link]

mailto:team@lumendatabase.org

71/137

Sobre estas solicitudes de retirada de contenido, en dicha web se aclara que la base

de datos de Lumen solo incluye los avisos que le son notificados y únicamente con la

información incluida en los estas notificaciones; de todas las variedades, como

solicitudes presentadas en virtud de la normativa de derechos de autor, marcas

registradas, difamación y privacidad, nacionales e internacionales, y órdenes

judiciales; y que, generalmente, los avisos son presentados por el ?Proyecto Lumen?

en la forma en que le son compartidos.

De dicha información, se retiraría el contenido que a juicio del proyecto pudiera

resultar sensible o personal, así como la información de contacto del solicitante original

de la retirada de contenido. Sobre el contenido confidencial que puede incluir el aviso,

informa que ?una persona o empresa que envía un aviso directamente a la base de

datos de Lumen puede haber decidido no compartir con Lumen, o mantener en

privado, cierta información en el aviso?; que el personal de Lumen realiza un esfuerzo

para eliminar información confidencial o personal del texto del aviso, como números de

teléfono, direcciones de correo electrónico u otras formas de número de identificación

(con números de Seguro Social o de identificación nacional), direcciones postales o

contenido presuntamente difamatorio (se dice: ?Nuestros procesos de redacción

automática buscan identificar y eliminar? esa información). En relación con las copias

de órdenes judiciales, en concreto, señala que generalmente las muestra en la forma

en que se han compartido con ?Lumen? y ?además, hace un esfuerzo de buena fe para

hacerlo de acuerdo con la ley aplicable de la jurisdicción de donde surgió la orden?.

La base de datos de ?Lumen?, que incluye los avisos de retirada de contenidos en

línea, puede ser consultada por el público en general. En el documento denominado

?Investigadores?, insertado en la web ?lumendatbase.org?, se incluye la información

?¿Para quién es Lumen?

Lumen está diseñado para un uso casual tanto por parte de usuarios de Internet legos curiosos

acerca de un aviso que pueden haber encontrado, tal vez en las noticias, o por interés

personal? así como por periodistas, ONG, legisladores, académicos y otros investigadores

legales que realizan investigaciones más profundas y enfocadas o estudian tendencias más

amplias sobre la eliminación de contenido en línea?

Si usted o su organización están interesados en realizar su propia investigación periodística,

académica, legal o centrada en políticas, o si tienen más ideas sobre cómo podemos mejorar la

base de datos y sus interfaces, envíenos un correo electrónico a team@lumendatabase.org.

Ver un aviso

Para los no investigadores, Lumen actualmente ofrece acceso a un aviso completo por

dirección de correo electrónico cada veinticuatro (24) horas. Enviar una dirección de correo

electrónico a través del formulario de solicitud proporcionará una URL de uso único para ese

aviso en particular que mostrará el contenido completo del aviso. El acceso a través de esta

URL tendrá una duración de 24 horas. Vea aquí para más detalles.

¿Como funciona?

La mayoría de los usuarios encontrarán que la interfaz web será suficiente para navegar y

descubrir dentro de la base de datos. Sin embargo, para aquellos que necesitan acceder a

grandes cantidades de datos para su investigación, o para aquellos interesados en enviar

copias de avisos de eliminación a Lumen, ofrecemos nuestra API. Siga leyendo para obtener

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

72/137

más información?.

Los avisos de contenidos eliminados son publicados en el sitio web

?lumendatabase.org?, que incluye una herramienta de búsqueda.

También son ofrecidos a través de la API del ?Proyecto Lumen?, que está prevista

?para aquellos que necesitan acceder a grandes cantidades de datos o crear procesos

automatizados? y requiere obtener una ?clave API? para consular la base de datos.

También se informa que ?Las consultas de API a la base de datos enviadas sin un

token se limitarán a los primeros 25 resultados y a 5 solicitudes por día?.

Sobre la ?Descarga de resultados de forma masiva? se indica: ?Para administrar mejor

sus recursos, Lumen limita las solicitudes a su API, así como el uso de la interfaz de

usuario basada en la web. Para aquellos interesados en un acceso menos restringido

a la base de datos a través de la API, consulte "Obtención de una clave de API"??.

Siendo esto como se ha dicho, y siendo conocido por GOOGLE LLC, no se entiende la

alegación que esta entidad plantea cuando señala en su defensa que la información

completa se limita a ?investigadores de buena fe?.

La publicación de estas notificaciones o avisos en ?lumendatabase.org? tiene la

estructura siguiente:

. Encabezado: motivo de la solicitud, persona física o entidad que formula la solicitud,

fecha de la solicitud, país de origen, entidad a la que se dirige la solicitud y entidad que

ha remitido el aviso a la organización.

. Reseña de la solicitud de retirada de contenido: incluye un cuadro de texto en el que

se reproducen las circunstancias de hecho de la solicitud y su motivación y la URL

correspondiente que da acceso al contenido eliminado.

. Enlace a la documentación de soporte en formato ?pdf?.

Al pie de estas publicaciones se incluyen un enlace (?Click here to request access and

see full URLs?) que conduce a una página

(?https://lumendatabase.org/notices/.../request_access?) en la que puede solicitarse a

la ?Organización Lumen? el acceso a la información completa del correspondiente

aviso de retirada de contenido. Esta página aparece con el rótulo ?Solicitar acceso

completo a la denuncia por difamación a Google? e incluye el texto siguiente:

?Para acceder a este aviso ingresa tu dirección de correo electrónico y resuelve el captcha.

Después de enviar el formulario, le enviaremos un correo electrónico con un enlace de un solo

uso al aviso.

Dirección de correo electrónico

(espacio para añadir la dirección de correo electrónico)

( ) Seleccione para recibir una notificación cuando se agreguen nuevos documentos de

notificación (o cuando se actualicen los documentos de notificación existentes).

Entregar (Botón)?.

Este mismo formulario se utiliza también para acceder a la documentación de soporte

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

[Link]

https://www.blogger.com/JohnQPublicistheworst.com

73/137

del aviso en cuestión.

En relación con ?Google?, el documento ?Conceptos básicos de la información del

aviso de Lumen? disponible en ?lumendatabase.org?, informa lo que sigue:

En la misma web ?lumendatabase.org? se indica que ?Google? es el remitente más

grande del ?Proyecto Lumen?, tanto por el volumen total de avisos como por la

cantidad de posibles tipos de avisos que dicha entidad ha elegido compartir con el

?Proyecto Lumen? (DMCA, difamación, elusión, órdenes judiciales, avisos basados en

legislación local, etc.), los cuales pueden ser recibidos por ?Google? respecto de sus

diversos productos (búsqueda, Blogger, Drive y Documentos, Grupos, búsqueda de

imágenes, etc.).

Sobre los avisos basados en órdenes judiciales recibidos de ?Google?, el ?Proyecto

Lumen? indica que se presentan en la forma en que se reciben de ?Google? y aclara

que si esta entidad tiene prohibido compartir el contenido de una orden judicial que ha

recibido, deberá indicarlo explícitamente en el texto del aviso. No obstante, añade que

el ?Proyecto Lumen? realiza un esfuerzo para eliminar órdenes judiciales extranjeras

de acuerdo con cualquier ley local, incluidos los nombres, direcciones o aspectos de

las URL en cuestión.

Sobre los avisos relacionados con solicitudes por motivos de difamación se dice:

?Como cuestión de políticas internas de Google, Google no comparte con Lumen los nombres

de los remitentes de los avisos de difamación. Además, si el nombre de un Remitente/Principal

aparece de alguna forma dentro de una de las URL reclamadas que son el tema del aviso, o

dentro de cualquier texto dentro del aviso, ese texto también se eliminará.

Por ejemplo, una URL original de

https://www.blogger.com/JohnQPublicistheworst.com

sería compartida por Google con Lumen como

https://www.blogger.com/[eliminado]es lo peor.com

Además, Google no comparte con Lumen el texto ingresado por un reclamante en el

?Para garantizar la especificidad, cite el texto exacto??

campo en el formulario web de Google.

Texto introducido por un denunciante en el

"Explique en detalle por qué cree que el contenido de las URL anteriores es ilegal, citando

disposiciones legales específicas siempre que sea posible".

Google comparte el campo del formulario web con Lumen y se muestra como parte del aviso

en Lumen tal cual, sujeto únicamente a los procesos de redacción automática de Lumen.

Tenga en cuenta que si el sujeto de la supuesta difamación no es el remitente del aviso, el

nombre de ese sujeto no se eliminará automáticamente del aviso. Notifique a Lumen si el

nombre de la persona presuntamente difamada todavía está presente en un aviso?.

Y sobre ?Otro tipo de avisos? se indica:

??en este momento, Google NO comparte con Lumen los avisos que recibe de los ciudadanos

de la UE como parte del llamado "Derecho al olvido ("RTBF") o los avisos enviados a través del

formulario de Google para informar sobre imágenes sexuales explícitas?.

En este apartado ?Otro tipo de avisos? del documento ?Conceptos básicos de la

información del aviso de Lumen?, se incluye una dirección de Internet que conduce a

un documento informativo sobre retirada de información de ?Google?, que se incorpora

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

74/137

en Anexo 4.

- Información compartida por GOOGLE LLC con el ?Proyecto Lumen?.

GOOGLE LLC comunica al ?Proyecto Lumen? (?enviar una copia?) las solicitudes de

retirada o eliminación de contenidos en línea de usuarios españoles que gestiona. Se

trata de solicitudes que se formulen respecto de sus productos y servicios (los

mencionados en los Hechos Probados 4 y 5).

Las solicitudes remitidas al ?Proyecto Lumen? están motivadas por infracción de

derechos de autor, difamación, fallos judiciales, marcas, solicitudes basadas en la

legislación local (problema legal), si bien en los ?Formularios de Google? se muestran

otros motivos para que sean seleccionados por los interesados, que también pueden

ser remitidos al ?Proyecto Lumen?, según la información que se incluye en los propios

formularios.

Aunque GOOGLE LLC señala en sus alegaciones que únicamente comparte estas

solicitudes relacionadas con derechos de propiedad intelectual (DMCA),

elusión/evasión, falsificación, resoluciones judiciales, difamación y notificaciones de

eliminación de contenido basadas en normativa local (lo que coincide con la

información facilitada en la web ?lumendatabase.org?), y que no remite en ningún caso

solicitudes de ejercicios de derechos reconocidos en la normativa de protección de

datos personales, existen circunstancias que introducen dudas sobre la efectividad de

esta decisión o que pueden generar confusión en los usuarios a la hora de señalar el

motivo de sus solicitudes.

Un ejemplo de esto lo encontramos en los ?Enlaces Lumendatabase 3, 14 y 25?, que

constan reseñados en el Hecho Probado 10, en los que la solicitud del interesado

estaba relacionada con la supresión de datos personales o con la retirada de

resultados de búsqueda en el ?Buscador de Google?, aunque todas ellas se remitieron

por GOOGLE LLC como notificaciones basadas en motivos de difamación.

En otros casos, como el correspondiente a los ?Enlaces Lumendatabase 16, 17 y 18?,

se remiten al ?Proyecto Lumen? como avisos basados en un fallo judicial, pero este

fallo está relacionado con la eliminación de contenido en un blog, en el que se incluían

datos personales.

Los propios formularios de solicitud no contribuyen a tener certeza sobre esta

cuestión, tal y como se explica en el Fundamento de Derecho siguiente. Sirven a estos

efectos todas las circunstancias que se ponen de manifiesto en dicho Fundamento. Se

citan a continuación algunos ejemplos de las dudas que suscitan estos formularios:

. Los ?Formularios de Google 18 y 24?, correspondientes a ?Google Imágenes? y al

?Buscador de Google?, no informan sobre la comunicación de datos a ?Lumen?, pero

sí incluyen entre los motivos de la solicitud la difamación, infracciones de derechos

de autor o la eliminación de información personal.

. Otros ?Formularios de Google?, como los señalados con los números 3, 6, 10, 18

(formulario de ?Google Imágenes? para la retirada de contenido obsoleto), 19, 20,

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

75/137

22, 25 y 27, que sí advierten sobre el envío de la solicitud al ?Proyecto Lumen?,

están referidos al ejercicio del derecho de supresión de datos personales. Entre los

motivos que se muestran para la utilización de estos formularios de eliminación de

contenidos figura la ?divulgación de datos privados?, ?divulgación de datos

personales? e ?Información personal: el contenido incluye mis datos personales?.

. El formulario señalado con el número 25, correspondiente a ?Google Maps?, se

ofrece la opción de cambiar la ?ficha local? del usuario por los motivos siguientes:

?Quiero cambiar la información incorrecta de mi ficha local?, ?Quiero saber por qué

se ha cambiado la información de mi ficha local?, ?Información personal: el

contenido incluye mis datos personales?.

. Los resultados de búsqueda del ?Buscador de Google? reportan enlaces a

contenidos de otros productos de GOOGLE LLC (Blogger/Blogspot, etc.). Esto hace

difícil diferenciar cuándo un usuario solicita la retirada de información del buscador

o del producto específico. En el primer caso no se remite copia al ?Proyecto

Lumen?, según la reclamada, y en el segundo sí se enviaría, según la información

contenida en los formularios.

GOOGLE LLC comunica al ?Proyecto Lumen? toda la información correspondiente a

estas solicitudes, incluida la identificación del solicitante y el afectado, en su caso, su

dirección de correo electrónico, los motivos que se alegan (el texto de la reclamación)

y la URL reclamada, así como la documentación que sirve de soporte, si existe.

GOOGLE LLC no ha negado esta comunicación de datos personales. Se ha limitado a

manifestar que ninguna de las solicitudes de retirada que traslada o notifica al

?Proyecto Lumen? está relacionada con el ejercicio de derechos en materia de

protección de datos personales. Sin embargo, esta cuestión, que será analizada en el

Fundamento de Derecho siguiente, no modifica el hecho de que la comunicación de

datos personales a una organización tercera tiene lugar, con independencia de la

solicitud de retirada de contenidos en línea que le sirve de base.

En los Antecedentes consta el detalle de las comprobaciones realizadas en

?lumendatabase.org?, sobre publicaciones de avisos de eliminación de contenido en

línea que tienen origen en solicitudes dirigidas a GOOGLE LLC por usuarios

españoles, notificadas posteriormente por esta entidad a la organización Lumen.

Asimismo, en el Hecho Probado 10 consta un resumen de estos detalles.

Estas comprobaciones han permitido constatar que las notificaciones de eliminación

de contenidos comprobadas fueron remitidas por GOOGLE LLC como avisos relativos

a solicitudes por motivos de difamación, basadas en un fallo judicial o por aplicación

de normativa local.

Según el estado en el que fueron publicadas inicialmente, consta que nueve de ellas

incluían en el encabezado los datos personales de los solicitantes relativos a nombre y

dos apellidos (salvo un caso, que solo menciona nombre y un apellido).

En once casos comprobados, el cuadro de texto de la solicitud, en el que se expresan

los motivos que aduce el solicitante para justificar la eliminación, consta reproducido

en la publicación y detalla las circunstancias de hecho que motivan dicha solicitud, la

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

76/137

identificación de una o varias personas (ya sean las interesadas a las que se refiere el

contenido retirado u otras afectadas o implicadas en los hechos); direcciones postales;

reseña de alguna URL que incluye la mención del nombre y apellidos de una persona

o una dirección postal; el nombre mercantil de un establecimiento; la referencia de una

sentencia (número, fecha) y el nombre de las personas que intervienen como partes

en el proceso (demandante y demandado); o la profesión de un afectado:

Y en diez avisos, la URL que da acceso al contenido eliminado, que también se

incluye en la publicación, contiene datos personales integrados en la propia dirección

de internet. También se verificaron dos de estas URL, comprobando que posibilitaban

el acceso a información personal, con datos personales de nombres y apellidos de

varias personas.

Además, uno de los avisos publicados permitía el acceso a una Sentencia en la que

constan los nombres y apellidos de todas las personas que intervienen en el proceso,

así como todas las circunstancias del mismo.

Obviamente, estas publicaciones de avisos de eliminación de contenidos en

?lumendatabase.org? evidencian que GOOGLE LLC notificó las respectivas solicitudes

de usuarios españoles sin suprimir los datos personales que se han referido.

(?).

(?).Se trata de medidas poco efectivas si consideramos que se incluyen datos

personales en otros apartados de la notificación de eliminación remitida al ?Proyecto

Lumen?, como ocurre en los casos de los ?Enlace Lumentadabase? señalados con los

números 3, 4, 5, 8, 9 a 12 y 13, que incluyen datos personales en el texto de la

reclamación o integrados en la propia dirección de internet que da acceso al contenido

eliminado.

En todo caso, el interés de las presentes actuaciones está dirigido a la propia

comunicación de datos personales que GOOGE LLC realiza al ?Proyecto Lumen? y no

a la publicación que esta última entidad realiza en ?lumendatabase.org?.

Durante la fase de prueba, pudo comprobarse que casi todos los datos personales que

aparecían inicialmente en la publicación de estas notificaciones de retirada en

?lumendatabase.org? han sido suprimidas, tanto en el encabezado del aviso, como en

el texto de la reclamación y en las URL. Debe entenderse que esta supresión no

afecta a los fines pretendidos por GOOGLE LLC y por el ?Proyecto Lumen? con las

actuaciones que llevan a cabo.

Por otra parte, la entidad reclamada ha manifestado en su escrito de alegaciones que

el marco jurídico aplicable a esta comunicación de datos personales viene

determinado por el Reglamento (UE) 2019/1150 del Parlamento Europeo y del

Consejo, de 20 de junio de 2019, sobre el fomento de la equidad y la transparencia

para los usuarios profesionales de servicios de intermediación en línea, y la Propuesta

de la Comisión Europea de Reglamento Relativo a un Mercado Único de Servicios

Digitales, que reflejan la importancia de los objetivos de transparencia sobre la forma

en la que los prestadores de servicios de intermediación moderan el contenido,

incluyendo el requisito de publicar todas las decisiones de retirada de contenidos en

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

77/137

una base de datos de acceso público. Y cita el artículo 15.4 de la DSA y el

Considerando 26 del Reglamento P2B.

No comparte esta Agencia esa posición.

El Reglamento 2019/1150 se aplica ?a los servicios de intermediación en línea y a los

motores de búsqueda en línea que se faciliten o cuyo uso se proponga a los usuarios

profesionales y los usuarios de sitios web corporativos, respectivamente?; y regula

aspectos tales como las decisiones que estos proveedores puedan adoptar en orden a

restringir, suspender o terminar la prestación de sus servicios para un usuario

profesional; o la diferencia de trato que estos proveedores puedan dar a unos usuarios

profesionales en relación con otros.

El mismo Reglamento ordena a estos proveedores establecer un sistema interno de

reclamaciones que debe ponerse a disposición de los usuarios profesionales y que se

basará en los principios de transparencia e igualdad de trato. Es en relación con estas

reclamaciones que se establece la obligación de dichos proveedores de servicios de

intermediación en línea de presentar información sobre el funcionamiento del sistema

interno de tramitación de reclamaciones y poner esos datos a disposición del público.

Nada que ver, por tanto, con el asunto que nos ocupa; y tampoco este Reglamento

contiene ninguna disposición por la que se habilite la puesta a disposición del público

de datos personales.

Sobre la Propuesta de Reglamento de la Comisión Europea que se invoca por

GOOGLE LLC, solo indicar que el mismo artículo que esta entidad cita señala que los

prestadores de servicios de alojamiento de datos publicarán en una base de datos de

acceso público gestionada por la Comisión las decisiones sobre retirar elementos de

información concretos proporcionados por destinatarios del servicio, o inhabilitar el

acceso a los mismos; y dispone expresamente que dicha información no contendrá

datos personales.

- Información ofrecida por GOOGLE LLC a los usuarios sobre la comunicación

de datos personales al ?Proyecto Lumen?

La única información ofrecida por GOOGLE LLC a los usuarios sobre la comunicación

al ?Proyecto Lumen? de los datos personales que puedan incluir en sus solicitudes de

retirada de contenidos de los productos de la entidad consiste en un aviso insertado en

los propios formularios de solicitud (?Formularios de Google?).

El detalle de estos avisos y los formularios en los que se inserta consta reseñado en el

Hecho Probado 6. La información ofrecida en los mismos se limita a advertir sobre la

posibilidad de ?enviar una copia de cada una de las notificaciones legales que

recibamos al proyecto Lumen para su publicación y anotación?, señalando que ?Lumen

retirará la información de contacto personal del remitente (es decir, el número de

teléfono, la dirección de correo electrónico y el domicilio)?.

Según esta información, GOOGLE LLC no suprime ninguna información contenida en

las solicitudes que recibe y admite que sea el ?Proyecto Lumen? quien anonimice los

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

[Link]

https://policies.google.com/privacy/archive/20180525?hl=es&fg=1#footnote-legal

78/137

datos de contacto del solicitante para que no sean publicados. Se concluye, asimismo,

que la publicación de la notificación en ?lumendatabase.org? se realizará sin suprimir la

identidad del solicitante.

De los formularios comprobados, únicamente en el ?Formulario de Google 18?,

correspondiente al producto ?Google Imágenes?, en la herramienta dispuesta para

retirada de ?contenido obsoleto de la Búsqueda de Google?, en la opción ?retirar

información personal o contenido con problemas legales que aún esté presente en

una página?, se incluye un texto informativo en el que se menciona la ?transparencia?

como motivo para que GOOGLE LLC traslade la información al ?Proyecto Lumen? y se

cita a la entidad responsable de este proyecto y su objetivo (?facilitar la investigación

académica y sectorial sobre la disponibilidad de contenidos online?).

Por otra parte, la Política de Privacidad de GOOGLE LLC, que se encuentra accesible

en el sitio web ?google.com? y se aplica a todos los servicios ofrecidos por esta entidad

y sus afiliados (salvo ?a los servicios que estén sometidos a políticas de privacidad

independientes?) no hace mención a este tratamiento de datos personales de los

usuarios, ni entre las finalidades para las que serán tratados dichos datos personales

figura la comunicación de datos personales al ?Proyecto Lumen?, ni los fines

manifestados por GOOGLE LLC para los que esta comunicación de datos personales

se lleva a cabo.

Esta Política de Privacidad incluye un apartado específico relativo a la ?información

personal? que dicha entidad comparte de forma externa, señalando que ?No

compartimos tu información personal con empresas, organizaciones o individuos

ajenos a Google?, salvo que el interesado preste su consentimiento o por motivos

legales (cuando Google considere, ?de buena fe?, que es necesario revelarlos para

cumplir con cualquier requisito previsto en la ley o la normativa aplicables o

para atender un proceso legal o un requerimiento de una autoridad competente;

cumplir las condiciones de servicio aplicables, incluida la investigación de posibles

infracciones; detectar, prevenir o solucionar de otra forma fraudes o problemas de

seguridad o técnicos; o proteger a Google, a los usuarios y al público en general de

daños a sus derechos y bienes o a su seguridad en la medida exigida o permitida por

la ley).

En cuanto a la eliminación de los datos personales, se informa que existe la posibilidad

de eliminar productos concretos de ?Google?, incluida la información asociada al

producto, o ?Eliminar tu Cuenta de Google por completo?. De manera específica, se

informa que es posible ?solicitar que se retire contenido? de determinados servicios de

?Google? de acuerdo con las leyes aplicables. Esta información incluye un enlace que

da acceso a la página en la que se listan diversos productos de la compañía para que

el usuario selecciones el producto al que corresponde el contenido que pretende

eliminar (?Formularios Google 2, 4, 5, 7, 9, 17, 21 y 23?), pero tampoco en esta ocasión

se informa sobre la comunicación de estas eliminaciones de contenido a terceros.

- Base jurídica del tratamiento

Dentro de los principios relativos al tratamiento de datos personales enunciados en el

artículo 5.1 del RGPD, merece traer a colación en el caso que nos ocupa los

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

79/137

relacionados con la ?licitud, lealtad y transparencia? y con la ?limitación de la finalidad?.

Y esto sucede ya que los ?Formularios de Google? objeto de estudio tienen como

objetivo la recogida de una serie de datos y documentos en orden a una finalidad

clara, tal y como es solicitar la retirada de contenido de algún producto o la denuncia

de infracciones de derechos de autor, pero a la que se une otra diferente (ya que ni

media ni es imprescindible para la gestión de la referida retirada de contenido) tal cual

es la comunicación de datos a un tercero, como el ?Proyecto Lumen?.

Será, por lo tanto, prioritario analizar si puede inferirse una base legitimadora que

confiera licitud a la citada comunicación de datos por parte de GOOGLE LLC al

?Proyecto Lumen?. A este respecto, el artículo 6.1 del RGPD, establece los supuestos

que permiten considerar lícito el tratamiento de datos personales.

?El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:

a) El interesado dio su consentimiento para el tratamiento de sus datos personales para uno o

varios fines específicos;

b) El tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte

o para la aplicación a petición de este de medidas precontractuales;

c) El tratamiento es necesario para el cumplimiento de una obligación legal aplicable al

responsable del tratamiento;

d) El tratamiento es necesario para proteger interese vitales del interesado o de otra persona

física;

e) El tratamiento es necesario para el cumplimiento de una misión realizada en interés público

o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;

f) El tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el

responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no

prevalezcan los intereses o los derechos y libertades fundamentales del interesado que

requieran la protección de datos personales, en particular cuando el interesado sea un niño.

Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por

las autoridades pública en el ejercicio de sus funciones?.

En relación con lo anterior, en el caso del tratamiento de datos consistente en la

cesión de la información relativa a la solicitud de retirada de contenido al ?Proyecto

Lumen? por parte de GOOGLE LLC nos encontraríamos con que la licitud del

tratamiento debería basarse, bien en la existencia de consentimiento, bien en la

existencia de un interés legítimo, ya que un somero análisis del resto de supuestos

nos hacen ver que no podrían ser aplicables (por la propia naturaleza de los hechos y

de las partes intervinientes).

Interés legítimo

La entidad reclamada, en sus escritos de alegaciones a la apertura del procedimiento

y a la propuesta de resolución, acude a esta base jurídica para fundamentar la

comunicación de datos personales que nos ocupa, entendiendo que existen intereses

legítimos, tanto propios como del ?Proyecto Lumen?.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

80/137

Después de destacar los objetivos pretendidos por el ?Proyecto Lumen?, ya

mencionados (educar al público, facilitar la investigación, proporcionar transparencia,

etc.), alega que contribuye con este proyecto con fines de transparencia y rendición de

cuentas, así como para evitar abusos y fraudes.

Según GOOGLE LLC, el interés legítimo del ?Proyecto Lumen? consiste precisamente

en eso, en el fomento de la educación, la investigación y la transparencia, que, en

última instancia, entran dentro del interés de toda la sociedad en su conjunto.

Sobre el interés legítimo propio, también se refiere a la importancia que tienen estas

comunicaciones de datos para asegurar que sus prácticas de retirada de contenidos

sean transparentes y responsables; añadiendo que sirven para rendir cuentas sobre

los procesos de moderación de contenidos implementados, para demostrar la

existencia de procedimientos de retirada reactivos, para fomentar una comprensión

clara de los tipos de contenidos en línea que son objeto de solicitudes de retirada, la

equidad entre asuntos similares en diferentes países y regiones, así como para mitigar

el riesgo de uso indebido o fraudulento de las herramientas de retirada de contenidos.

Además del beneficio que esta transparencia representa para la comunidad de

investigadores, el público en general y las autoridades públicas.

Y señala al respecto que el Dictamen 06/2014, sobre el concepto de interés legítimo,

admite estos intereses legítimos, incluidos los intereses ?apremiantes y beneficiosos

para la sociedad en general, tales como? el interés en llevar a cabo investigación

científica (sujetos a las garantías adecuadas?; y que la propia AEPD también reconoce

en el Acuerdo de Inicio que cumplir con los estándares de transparencia puede

constituir un interés legítimo.

Un aspecto importante que interesa destacar en primer término tiene que ver con la

información que se facilita a los usuarios. Según ha quedado expuesto, esta

información está contenida en un aviso de texto insertado en los propios formularios

de solicitud de retirada de contenidos y se limita a advertir sobre la posibilidad de

enviar al ?Proyecto Lumen? una copia de las notificaciones, sin ninguna mención a la

base jurídica que legitima el tratamiento de datos personales ni a los intereses

legítimos indicados en el escrito de alegaciones.

En la Política de Privacidad de GOOGLE LLC, la única información sobre la base

jurídica que fundamenta el tratamiento de datos en general se refiere a la prestación

de un servicio, el cumplimiento de obligaciones legales, consentimiento del interesado

(?Solicitamos tu autorización para tratar tu información para finalidades determinados y

tienes derecho a revocar tu consentimiento en cualquier momento?) y el ejercicio de

intereses legítimos, propios y de terceros.

Entre los ?objetivos? que se pretenden con el tratamiento de datos personales en base

al interés legítimo, en la Política de Privacidad se mencionan con carácter general los

siguientes:

. Detectar, prevenir o solucionar de otra forma fraudes, abusos y problemas de seguridad o

técnicos relacionados con nuestros servicios.

. Proteger a Google, a nuestros usuarios y al público en general de daños a sus derechos y

propiedades o a su seguridad en la medida exigida o permitida por la ley, lo que incluye la

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

81/137

revelación de información a autoridades gubernamentales.

. Llevar a cabo investigaciones que mejoren nuestros servicios para los usuarios y

beneficien al público en general.

Con esta información, no puede entenderse que el usuario haya sido debidamente

informado sobre la base jurídica que justificaría la comunicación de sus datos

personales al ?Proyecto Lumen?, ni tampoco sobre los intereses legítimos propios o de

terceros que se invocan, de ser el interés legítimo la base jurídica.

Al contrario, teniendo en cuenta la información que en la Política de Privacidad se

ofrece sobre la información personal que se comparte de forma externa, reseñada en

el apartado anterior (?No compartimos tu información personal con empresas,

organizaciones o individuos ajenos a Google?, salvo que el interesado preste su

consentimiento o por motivos legales), más parece que la conclusión que puede

obtener el usuario sobre la base jurídica que ampara la comunicación de datos a una

entidad externa como el ?Proyecto Lumen? sea la prestación del consentimiento.

En relación con la base jurídica del interés legítimo, el artículo 6 citado establece:

?1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:

f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el

responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no

prevalezcan los intereses o los derechos y libertades fundamentales del interesado que

requieran la protección de datos personales, en particular cuando el interesado sea un niño...?.

Respecto del interés legítimo, deben concurrir los dos requisitos cumulativos de su

enunciado: la existencia de un interés legítimo perseguido por el responsable del

tratamiento o del tercero al que se comunican los datos y la no prevalencia de los

derechos y libertades del interesado.

El Considerando 47 del RGPD precisa el contenido y alcance de esta base

legitimadora del tratamiento:

?(47) El interés legítimo de un responsable del tratamiento, incluso el de un responsable al que

se puedan comunicar datos personales, o de un tercero, puede constituir una base jurídica

para el tratamiento, siempre que no prevalezcan los intereses o los derechos y libertades del

interesado, teniendo en cuenta las expectativas razonables de los interesados basadas en su

relación con el responsable. Tal interés legítimo podría darse, por ejemplo, cuando existe una

relación pertinente y apropiada entre el interesado y el responsable, como en situaciones en

las que el interesado es cliente o está al servicio del responsable. En cualquier caso, la

existencia de un interés legítimo requeriría una evaluación meticulosa, inclusive si un

interesado puede prever de forma razonable, en el momento y en el contexto de la recogida de

datos personales, que pueda producirse el tratamiento con tal fin. En particular, los intereses y

los derechos fundamentales del interesado podrían prevalecer sobre los intereses del

responsable del tratamiento cuando se proceda al tratamiento de los datos personales en

circunstancias en las que el interesado no espere razonablemente que se realice un

tratamiento ulterior. Dado que corresponde al legislador establecer por ley la base jurídica para

el tratamiento de datos personales por parte de las autoridades públicas, esta base jurídica no

debe aplicarse al tratamiento efectuado por las autoridades públicas en el ejercicio de sus

funciones. El tratamiento de datos de carácter personal estrictamente necesario para la

prevención del fraude constituye también un interés legítimo del responsable del tratamiento de

que se trate. El tratamiento de datos personales con fines de mercadotecnia directa puede

considerarse realizado por interés legítimo?.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

82/137

Los criterios interpretativos que se extraen de este Considerando son, entre otros, (i)

que el interés legítimo del responsable prevalezca sobre los intereses o derechos y

libertades fundamentales del titular de los datos, a la vista de las expectativas

razonables que éste tenga, fundadas en la relación que mantiene con el responsable

del tratamiento; (ii) será imprescindible que se efectúe una ?evaluación meticulosa? de

los derechos e interés en juego, también en aquellos supuestos en los que el

interesado pueda prever de forma razonable, en el momento y en el contexto de la

recogida de datos, que pueda producirse el tratamiento con tal fin; (iii) los intereses y

derechos fundamentales del titular de los datos personales podrían prevalecer frente a

los intereses legítimos del responsable cuando el tratamiento de los datos se efectúe

en circunstancias tales en las que el interesado ?no espere razonablemente? que se

lleve a cabo un tratamiento ulterior de sus datos personales.

La entidad reclamada no ha justificado haber realizado este análisis previo y consta

que no ha informado debidamente a los interesados sobre esta base legitimadora,

como se ha dicho.

En el caso concreto que nos ocupa, es pertinente partir de la base de que el

reclamado no ofrece la suficiente información acerca de la comunicación de datos al

?Proyecto Lumen? para poder colegir qué interés legítimo estaría en la base de la

citada comunicación de datos.

Realizando una inferencia a partir de la mención que se hace en los formularios de

solicitud de retirada de contenido a un informe de transparencia y de la misión del

?Proyecto Lumen?, se podría llegar a la conclusión de que el interés legítimo

subyacente podría ser cumplir con unos ciertos estándares de transparencia. Una vez

supuesto lo anterior, sin embargo, es necesario que el responsable del tratamiento de

los datos demuestre que, una vez aplicada la prueba de ponderación, su interés

legítimo real y actual prevalece sobre los intereses o derechos de los particulares.

Teniendo en cuenta la deficiente información ofrecida acerca de la finalidad y base

legitimadora de la comunicación de datos, no es posible evaluar la ponderación de

intereses y concluir la prevalencia del interés legítimo del responsable o de terceros.

El interesado, por su parte, al faltar la información relativa a la prueba de ponderación,

se ve privado de su derecho a conocer la base jurídica del tratamiento alegada por el

responsable, y en concreto, al referirse al interés legítimo, se ve privado de su derecho

a conocer cuáles son dichos intereses legítimos alegados por el responsable o de un

tercero que justificarían el tratamiento.

Del mismo modo, el interesado se ve privado de su derecho a alegar por qué causas

dicho interés legítimo del responsable del tratamiento podría ser contrarrestado por los

derechos o intereses del interesado. No habiéndosele dado oportunidad al interesado

de alegarlos frente al responsable, cualquier sopesamiento que realice el responsable

sin tener en cuenta las circunstancias que pudiera alegar el interesado a quien no se la

ha permitido hacerlo estaría viciado, por ser un acto contrario a una norma imperativa.

No cabe, por tanto, invocar esta base jurídica del interés legítimo con ocasión de un

trámite administrativo, como el de alegaciones a la apertura de un procedimiento

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

83/137

sancionador. Aceptarlo sería tanto como admitir un interés legítimo sobrevenido, o a

posteriori, respecto del cual no se han respetado las exigencias previstas en la

normativa de protección de datos personales y sobre el que no se informa a los

interesados.

Aunque el interés legítimo no es aplicable, interesa analizar los términos en que debe

llevarse a cabo la ponderación que prevé el artículo 6.1.f) del RGPD entre el legítimo

interés del responsable de los datos o un tercero y la protección de datos de carácter

personal del interesado, es decir, cómo juega dicho interés legítimo, si fuera aplicable.

El TJUE, en su sentencia de 04/05/2017, C-13/16, Rigas Satskime, apartado 28 a 34,

determinó cuáles son los requisitos para que un tratamiento pueda resultar lícito sobre

la base del interés legítimo. La sentencia TJUE de 29/07/2019, C-40/17, Fashion ID,

haciéndose eco de la sentencia citada, recoge dichos requisitos.

28. A tal respecto, el artículo 7, letra f), de la Directiva 95/46 -(actual artículo 6.1.f) del RGPD)-

fija tres requisitos acumulativos para que el tratamiento de datos personales resulte lícito:

primero, que el responsable del tratamiento o el tercero o terceros a quienes se comuniquen

los datos persigan un interés legítimo; segundo, que el tratamiento sea necesario para la

satisfacción de ese interés legítimo y, tercero, que no prevalezcan los derechos y libertades

fundamentales del interesado en la protección de los datos.

Esta base jurídica requiere la existencia de intereses reales, no especulativos y que,

además, sean legítimos. Y no solo la existencia de ese interés legítimo significa que

puedan realizarse aquellas operaciones de tratamiento. Es preciso también que estos

tratamientos sean necesarios para satisfacer ese interés y considerar la repercusión

para el interesado, el nivel de intrusismo en su privacidad y los efectos que pueden

repercutirle negativamente.

Aunque el responsable tenga dicho interés legítimo, ello no significa, en sí mismo

considerado, que pueda simplemente invocarse esta base jurídica como fundamento

del tratamiento. La legitimidad de este interés es solo un punto de partida, uno solo de

los elementos que deben ponderarse.

En este caso, se considera que el tratamiento de datos personales que realiza

GOOGLE LLC no es necesario o estrictamente necesario para la satisfacción del

interés legítimo alegado (la sentencia citada de 04/05/2017, C-13/16, Rigas Satskime,

en su apartado 30, declara ?Por lo que atañe al requisito de que el tratamiento de

datos sea necesario, procede recordar que las excepciones y restricciones al principio

de protección de los datos de carácter personal deben establecerse sin sobrepasar los

límites de lo estrictamente necesario?).

Este principio, según el cual el tratamiento debe ser estrictamente necesario para la

satisfacción del interés legítimo, hay que interpretarlo de conformidad con lo

establecido en el artículo 5.1.c) RGPD, que hace referencia al principio de

minimización de datos, señalando que los datos personales serán ?adecuados,

pertinentes y limitados a lo necesario en relación con los fines para los que son

tratados?.

De esta forma, deberán preferirse siempre medios menos invasivos para servir a un

mismo fin. Necesidad supone aquí que el tratamiento resulte imprescindible para la

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

84/137

satisfacción del referido interés, de modo que, si dicho objetivo se puede alcanzar de

forma razonable de otra manera que produzca menos impacto o menos intrusiva, el

interés legítimo no puede ser invocado.

El término ?necesidad? que utiliza el artículo 6.1 f) del RGPD tiene a juicio del TJUE un

significado propio e independiente en la legislación comunitaria. Se trata de un

?concepto autónomo del Derecho Comunitario? (STJUE de 16/12/2008, asunto C-

524/2006, apartado 52). De otra parte, el Tribunal Europeo de Derechos Humanos

(TEDH) ha ofrecido también directrices para interpretar el concepto de necesidad. En

su Sentencia de 25/03/1983 precisó que, sin perjuicio de que el tratamiento de los

datos de los reclamantes sea ?útil?, ?deseable? o ?razonable?, como precisó el TEDH en

su Sentencia de 25/3/1983, el término ?necesario? no tiene la flexibilidad que está

implícita en esas expresiones.

Cuanto más ?negativo? o ?incierto? pueda ser el impacto del tratamiento, más

improbable es que el tratamiento en su conjunto pueda considerarse legítimo.

Como puede apreciarse, lo expresado anteriormente se ajusta a la doctrina del

Tribunal Constitucional sobre el juicio de proporcionalidad que debe realizarse sobre

una medida restrictiva de un derecho fundamental. Según esta doctrina, deberán

constatarse tres requisitos: idoneidad (si la medida permite conseguir el objetivo

propuesto); necesidad (que no exista otra medida más moderada); proporcionalidad en

sentido estricto (más beneficios o ventajas que perjuicios).

Además, en el supuesto de que la debida ponderación atribuyera una preferencia al

interés legítimo del responsable o del tercero, se deberá garantizar que queda a salvo

el derecho de oposición al tratamiento del artículo 21.1 del RGPD por parte del

particular:

?El interesado tendrá derecho a oponerse en cualquier momento, por motivos relacionados con

su situación particular, a que datos personales que le conciernan sean objeto de un tratamiento

basado en lo dispuesto en el artículo 6, apartado 1, letras e) o f), incluida la elaboración de

perfiles sobre la base de dichas disposiciones. El responsable del tratamiento dejará de tratar

los datos personales, salvo que acredite motivos legítimos imperiosos para el tratamiento que

prevalezcan sobre los intereses, los derechos y las libertades del intestado, o para la

formulación, el ejercicio o la defensa de reclamaciones?.

En definitiva, se entiende que la comunicación de datos personales al ?Proyecto

Lumen? que la entidad reclamada realiza es excesiva, considerando que existen otras

formas menos intrusivas para satisfacer los intereses legítimos alegados.

Ello significa que, en este caso, no se cumple el requisito de necesidad, por cuanto la

comunicación de los datos personales incluidos en las solicitudes de retirada de

contenido en línea que formulan los usuarios no es estrictamente necesaria, en los

términos señalados. GOOGLE LLC no ha aportado ni una sola razón que justifique

incluir los datos personales en los avisos de eliminación de contenidos que traslada al

?Proyecto Lumen? para satisfacer sus propios intereses legítimos o los del tercero. Así,

no resulta si quiera necesario analizar si tales intereses existen, es decir, si son reales

y no especulativos, ni tampoco si dichos intereses son o no legítimos.

(?)

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

85/137

Sobre la utilización de datos personales con las finalidades pretendidas por GOOGLE

LLC y el ?Proyecto Lumen? es oportuno considerar lo establecido en el artículo 89.1 del

RGPD, referido a las garantías y excepciones aplicables al tratamiento con fines, entre

otros, de investigación científica o histórica o fines estadísticos, según el cual estos

tratamientos estarán sujetos ?a las garantías adecuadas, con arreglo al presente

Reglamento, para los derechos y las libertades de los interesados?, y obliga a disponer

de medidas técnicas y organizativas, en particular para garantizar el respeto del

principio de minimización de los datos personales. Se añade que ?Tales medidas

podrán incluir la seudonimización, siempre que de esa forma puedan alcanzarse

dichos fines. Siempre que esos fines pueden alcanzarse mediante un tratamiento

ulterior que no permita o ya no permita la identificación de los interesados, esos fines

se alcanzarán de ese modo?.

Y lo establecido en el artículo 21.6 del mismo Reglamento, referido al derecho de

oposición, sobre el que nada se indica en este caso a los interesados en relación con

la comunicación de datos a ?Lumen?:

?6. Cuando los datos personales se traten con fines de investigación científica o histórica o

fines estadísticos de conformidad con el artículo 89, apartado 1, el interesado tendrá derecho,

por motivos relacionados con su situación particular, a oponerse al tratamiento de datos

personales que le conciernan, salvo que sea necesario para el cumplimiento de una misión

realizada por razones de interés público?.

Es preciso también considerar la repercusión que para el interesado tiene la

comunicación de datos a un tercero, el nivel de intrusismo en su privacidad y los

efectos que pueden repercutirle negativamente, especialmente considerando la

utilización que se realiza con ellos, que incluye su divulgación en la web del tercero,

?lumendatabase.org?. No es posible obviar que la referida comunicación de datos al

?Proyecto Lumen? por parte de la entidad reclamada para su publicación por este

proyecto ejerce un impacto elevado en los intereses y derechos del interesado debido

a los siguientes motivos:

1º Difícilmente puede considerarse como una expectativa del interesado que la

información respecto a la que ha solicitado su retirada del producto de Google quede

nuevamente accesible a través de otra página. Así, tal y como se desprende de la

?Búsqueda Google 2?, al introducir los términos de la búsqueda en el ?Buscador de

Google? (nombre y apellido del afectado), aparece una nota informativa que remite, a

través de un hipervínculo, a una página de ?lumendatabase.org?, en orden a obtener

más información acerca del contenido retirado, lo que significaría en la práctica vaciar

de contenido la solicitud o requerimiento de retirada de información efectuados.

En los ?Formularios de Google 1 y 11?, habilitados para denunciar infracciones de

derechos de autor, también hacen referencia en la información que contienen a la

comunicación del ?contenido de este formulario? al ?Proyecto Lumen? para que pueda

publicarse, y se advierte expresamente que ?En el caso de productos como la

Búsqueda web de Google, aparecerá un enlace al aviso publicado en los resultados

de búsqueda de Google en lugar del contenido retirado?.

2º GOOGLE LLC comunica los datos relativos a las solicitudes de retirada de

contenido sin anonimizar los datos personales de solicitantes y terceros, y delega en el

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

86/137

?Proyecto Lumen? esta función. Sin embargo, esta anonimización a veces es

deficiente, como muestran los casos de los enlaces siguientes:

1. ?Enlace Lumendatabase 3?: En el texto que muestra el parte del contenido de la

solicitud de retirada de contenido aparece una dirección completa,

***DIRECCIÓN.1, que permitiría identificar a la persona solicitante de la retirada

de contenido y que, además, según manifiesta éste, se encontraría vinculada a su

número de teléfono móvil.

3. ?Enlace Lumendatabase 5?: En la sección reclamación del enlace, aparece el

nombre ?I.I.I.?. Este nombre no corresponde a la persona que ha solicitado la

retirada del contenido, sino de un tercero respecto al que aquella atribuye una

conducta que considera ilícita. En este caso, por tanto, incluso se está exponiendo

el nombre identificativo de una persona respecto de la que se vierten unas

manifestaciones con implicaciones legales.

4. ?Enlaces Lumendatabase 8 y 9 a 12?: Estos enlaces versan sobre la misma

solicitud de retirada de contenido. La presencia de datos personales en la sección

reclamación del enlace abarca desde la constancia del nombre completo y los dos

apellidos (?B.B.B.?) en el enlace nº 8 hasta la aparición de únicamente el nombre

?(?)? en el enlace nº 11. El resto de los enlaces publican diversas combinaciones

del nombre y de alguno de los apellidos, tal y como se ha puesto de manifiesto en

los Antecedentes.

5. ?Enlace Lumendatabase 18?. En este enlace subsiste sin anonimizar el nombre

del remitente de la solicitud de retirada de contenido (?C.C.C.?) y en el que,

además, son legibles otros dos nombres propios ?G.G.G.? -en la sección

reclamación del enlace- y ?D.D.D.? -en la dirección del enlace.

6. ?Enlace Lumendatabase 22?: Al igual que en el supuesto anterior, en este caso

subsiste asimismo el nombre del remitente de la notificación de retirada de

contenido ?F.F.F.?.

7. ?Enlace Lumendatabase 25?. En la sección resumen de la solicitud de retirada,

aparece el nombre ?P.P.P.?, que se correspondería, con la persona afectada por la

presunta difamación.

8. ?Enlace Lumendatabase 26?: Al igual que en otros casos relacionados

anteriormente, subsiste el nombre del remitente de la notificación de retirada de

contenido, ?H.H.H.?.

3º GOOGLE LLC comunica documentos judiciales íntegros al ?Proyecto Lumen? sin

anonimizar ningún dato personal. No puede desconocerse que el ?Proyecto Lumen?,

aun cuando manifiesta que intentará respetar la normativa aplicable en función del

ámbito territorial en que el órgano judicial radique, se ubica en un país que no ejerce

censura sobre los mismos debido a la consideración de documentos públicos de que

gozan los documentos judiciales en Estados Unidos y por lo tanto no aplica

correctamente las medidas adecuadas para asegurar que la publicación de

documentos judiciales es acorde con la normativa del país en que se han dictado.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

87/137

En el caso concreto de España, las sentencias judiciales no son fuente de acceso

público con carácter general y su publicación por parte de los órganos encargados de

ello (con excepciones atinentes a sentencias del Tribunal Constitucional) se realiza

anonimizando y disociando los datos de personas físicas. La divulgación de datos de

carácter personal provenientes de sentencias únicamente podrá realizarse en los

supuestos que determina la Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial y en

aquellos supuestos en que, de acuerdo con la doctrina emanada del Tribunal

Constitucional, pueda considerarse que en que, realizada la preceptiva ponderación

entre los derechos garantizados por los artículos 18 y 20 de la Constitución Española,

pueda afirmarse que prima la libertad de expresión sobre el derecho a la protección de

datos personales.

Por otra parte, se recuerda que el acceso a las sentencias judiciales habrá de

realizarse de conformidad con el Real Decreto 937/2003, de 18 de julio, de

modernización de los archivos judiciales.

Un supuesto que haría referencia a lo referido en los párrafos anteriores lo conforma el

documento judicial que pudo ser descargado a través del ?Enlace Lumendatabase 18?

en el que, de acuerdo con la documentación aportada por el denunciante, constan

nombres de varias personas físicas que han tomado parte en el procedimiento judicial.

4º Independientemente de lo señalado en los ordinales anteriores, es posible, además,

acceder al enlace original retirado o desindexado, ya que el ?Proyecto Lumen? facilita

un mecanismo de solicitud de acceso al enlace completo.

5º Por último, se señala que una misma información puede ser accesible a través de

diferentes enlaces de ?lumendatabase.org?, lo que evidenciaría la ausencia de un

protocolo o de implementación de medidas técnicas para verificar la información que

se publica en la base de datos de ?lumendatabase.org?. Es posible encontrar estos

casos en:

1. El supuesto anteriormente citado relativo a los ?Enlaces Lumendatabase 8 y 9 a

12?, que al referirse a la misma solicitud de contenido suponen la puesta a

disposición de estos datos de manera quintuplicada.

2. Por otra parte, en escrito de contestación al traslado, la reclamada puso de

manifiesto la retirada del contenido del ?Enlace Lumendatabase 16?. Sin embargo,

la información contenida en ese enlace ha persistido, con posterioridad, a través

del ?Enlace Lumendatabase 18?.

En consecuencia, de conformidad con todo lo expuesto anteriormente, el interés

legítimo invocado por GOOGLE LLC no prevalece frente los derechos y libertades

fundamentales de los interesados en la protección de sus datos personales, por lo que

no cabe considerar que el tratamiento de datos personales que lleva a cabo esté

amparado por el interés legítimo que prevé el artículo 6.1.f) del RGPD.

Consentimiento

En otro orden, no puede decirse que la firma del formulario de solicitud de retirada de

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

88/137

contenido en los productos de GOOGLE LLC, en los que se informa sobre el traslado

de la notificación de eliminación al ?Proyecto Lumen?, incluidos los datos personales

que se reflejan en la misma, pueda considerarse una prestación de consentimiento

válido para que dicha comunicación de datos se lleve a efecto.

Para que concurra el supuesto del consentimiento del interesado, es necesario que el

mismo esté vinculado a los fines concretos del tratamiento de sus datos. Respecto de

su forma, de acuerdo con el artículo 4 del RGPD deberá ser una ?manifestación de

voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya

sea mediante una declaración, o una clara acción afirmativa, el tratamiento de los

datos persones que le conciernen?.

Asimismo, según el Considerando 32:

?El consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación

de voluntad libre, específica, informada e inequívoca del interesado de aceptar el tratamiento

de datos de carácter personal que le concierten, como una declaración por escrito, inclusive

por medios electrónicos, o una declaración verbal. Esto podría incluir marcar una casilla de un

sitio web en internet, escoger parámetros técnicos para la utilización de servicios de la

sociedad de la información, o cualquier otra declaración o conducta que indique claramente en

este contexto que el interesado acepta la propuesta de tratamiento de sus datos personales

[?]El consentimiento debe darse para todas las actividades de tratamiento realizadas con el

mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el

consentimiento para todos ellos [?]?.

Abundando en esta necesidad de declaración clara e inequívoca, el Considerando 42

establece que:

?Cuando el tratamiento se lleva a cabo con el consentimiento del interesado, el responsable del

tratamiento debe ser capaz de demostrar que aquel ha dado su consentimiento a la operación

de tratamiento. En particular en el contexto de una declaración por escrito efectuada sobre otro

asunto, debe haber garantías de que el interesado es consciente del hecho de que da su

consentimiento y de la medida en que lo hace. De acuerdo con la Directiva 93/13/CEE del

Consejo [de 5 de abril de 1993, sobre las cláusulas abusivas en los contratos celebrados con

consumidores], debe proporcionarse un modelo de declaración de consentimiento elaborado

previamente por el responsable del tratamiento con una formulación inteligible y de fácil acceso

que emplee un lenguaje claro y sencillo, y que no contenga cláusulas abusivas. Para que el

consentimiento sea informado, el interesado debe conocer como mínimo la identidad del

responsable del tratamiento y los fines del tratamiento a los cuales están destinados los datos

personales. El consentimiento no debe considerarse libremente prestado cuando el interesado

no goza de verdadera o libre elección o no puede denegar o retirar su consentimiento sin sufrir

perjuicio alguno?.

Asimismo, el artículo 7 del RGPD enumera las condiciones que deben concurrir para

el otorgamiento del consentimiento:

?1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá

ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales.

2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que

también se refiera a otros asuntos, la solicitud del consentimiento se presentará de tal forma

que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y

utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

89/137

constituya infracción del presente Reglamento.

3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada

del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a

su retirada. Antes de dar su consentimiento, el interesado será informado de ello Será tan fácil

retirar el consentimiento como darlo.

4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor

medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la

prestación de un servicio, se supedita al consentimiento de datos personales que no son

necesarios para la ejecución de dicho contrato?.

En consecuencia, y de acuerdo con los preceptos transcritos, para considerar válido el

consentimiento otorgado este deberá ser informado, referirse de manera específica a

finalidades concretas, prestarse de manera libre y ser inequívoco.

En primer lugar, en relación con la necesidad de que el consentimiento sea informado,

habrá que acudir al artículo 13 el RGPD, que se convierte en el vector del principio de

transparencia consagrado en el artículo 5.1 del RGPD.

Sobre la deficiente información facilitada, sirven los argumentos expresados

anteriormente.

Analizando los formularios que GOOGLE LLC pone a disposición de los usuarios

para solicitar la retirada de información, se observa que en los enlaces relacionados

con la denuncia de infracciones relacionadas con derechos de autor (?Formularios de

Google 1 y 11?) se informa de que ?se enviará? una copia de las notificaciones a uno o

varios terceros (poniendo como ejemplo al ?Proyecto Lumen?), mientras que en los

relativos a solicitudes de retirada de contenido ?Formularios Google 3, 6, 8, 10, 12, 13,

14, 15, 16, 19, 20, 22, 25 y 26?) se señala que ?es posible que se envíe? una copia de

las notificaciones al ?Proyecto Lumen? para su publicación. En el último caso se deja

claro que el ?Proyecto Lumen? será quien se encargue de retirar la información de

contacto personal, lo que se une a que es el propio proyecto el que anonimiza la

información que considera sensible.

La comparación entre el artículo 13 del RGPD con la información proporcionada en los

formularios, pone de relieve la falta de información imprescindible, como es la relativa

a todos los fines del tratamiento (en los supuestos de retirada de contenido no queda

claro si la información aportada, además de ser utilizada para analizar y gestionar la

retirada va a ser o no comunicada y en qué casos), los terceros a los que se

comunican los datos (en las denuncias por infracción de los derechos de autor se

habla de uno o varios terceros), así como algo fundamental, como es la información

referente acerca de la base jurídica que sirve de base a dicha comunicación de datos

o si la misma responde a algún interés legítimo del responsable o del tercero.

En segundo lugar, el requisito de especificidad se vincula íntimamente con el requisito

de consentimiento ?informado?, por lo que al no cumplirse esto último, tal y como se ha

expuesto, difícilmente el interesado podrá obtener una información precisa acerca de

una finalidad diferente en el tratamiento de sus datos a la de gestión de la retirada de

contenido. En este punto es necesario recordar, tal y como se ha señalado

anteriormente, que la comunicación de datos al ?Proyecto Lumen? (o a cualquier otro

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

90/137

tercero) no es requisito imprescindible para la efectiva gestión de retirada de contenido

por parte de GOOGLE LLC. Para poder cumplir con el requisito de un consentimiento

específico, GOOGLE LLC debería posibilitar que el mismo fuera otorgado de manera

independiente a la solicitud de retirada de contenido, a través de la modalidad que se

ha venido denominando granular o por capas.

En tercer lugar, un consentimiento prestado libremente significa que el interesado que

rellena el formulario ha de tener una opción real para no otorgar el consentimiento de

comunicación de sus datos al ?Proyecto Lumen?, sin que ello implique ninguna

penalización en el uso del servicio de retirada de contenido o reclamación. Sin

embargo, en los formularios estudiados esto no ocurre, ya que la cesión de datos al

?Proyecto Lumen? viene incluida incondicionalmente con la propia solicitud de retirada

de contenido o denuncia, sin que quepa la posibilidad de elegir esta cesión o no y con

el agravante de que no otorgar el consentimiento global implica no poder interponer la

denuncia o solicitar el contenido, algo que podría conculcar el derecho supresión

enunciado en el artículo 17 del RGPD. Al igual que ocurría con el cumplimiento del

requisito de especificidad, para poder configurarse como requisito libre, es necesario

garantizar que el consentimiento de comunicación de datos al ?Proyecto Lumen? se

presta de manera independiente y desvinculado de la solicitud de retirada de

contenido o denuncia de infracción.

Por último, en cuarto lugar y respecto a la no equivocidad, este requisito se

manifestaría en que, del uso del servicio de retirada de contenidos que hace el

interesado, debería extraerse la conclusión indubitada de que la citada persona acepta

que sus datos se comuniquen al ?Proyecto Lumen?. Sin embargo, habida cuenta, tal y

como se ha expuesto en los párrafos anteriores, de que no se ofrece una información

clara y precisa acerca de la finalidad y su base jurídica, y de que no puede

considerarse libre el presunto consentimiento otorgado ya que ostenta una naturaleza

condicional (si no desea ceder sus datos no puede solicitar la retirada de contenido),

no es posible concluir de una manera racional que nos encontremos ante una

declaración clara y no ambigua de que el interesado desea comunicar los datos de su

solicitud a un tercero como el ?Proyecto Lumen?.

Frente a todo lo expuesto en este Fundamento de Derecho VI, en su escrito de

alegaciones a la propuesta de resolución GOOGLE LLC se limita a señalar que los

intereses legítimos alegados, de la propia entidad reclamada, del ?Proyecto Lumen? y

de la sociedad en general, no son sobrevenidos, sino que son previos a las cesiones a

Lumen; y que no se defrauda la expectativa de privacidad de los usuarios, dado que

son informados en los formularios.

En respuesta a esta alegación basta con remitirnos a lo ya expuesto anteriormente

sobre los defectos apreciados en la información que la reclamada ofrece a los

interesados en relación con las comunicaciones que realiza al ?Proyecto Lumen?, en la

que ni siquiera se menciona la base jurídica que legitima la comunicación de datos. El

interés legítimo solo se menciona en los escritos de respuesta aportados a esta

Agencia por GOOGLE LLC, pero en forma alguna en la información facilitada a los

usuarios.

(?).

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

91/137

Termina GOOGLE LLC manifestando en su escrito de alegaciones que ?Ninguna de

las circunstancias señaladas por la Agencia para cuestionar la aplicación de dicha

base legal puede negar el interés legítimo de Google LLC, Lumen y la sociedad en

general, ni tampoco puede entenderse que inclinen el test de ponderación en favor de

los derechos y libertades de los interesados?, pero no expone ningún razonamiento

para defender esta afirmación.

Por último, interesa destacar que en el escrito de alegaciones a la propuesta de

resolución presentado por GOOGLE LLC, esta entidad se declara responsable de la

comunicación de datos relacionados con solicitudes de retiradas de contenido al

?Proyecto Lumen?. Sobre esta cuestión, GOOGLE LLC manifiesta expresamente lo

?En efecto? Google LLC, es la entidad responsable del tratamiento de los datos personales

que ha tenido lugar en el contexto de las comunicaciones de solicitudes de retirada a Lumen.

Precisamente por este motivo el presente procedimiento fue correctamente iniciado frente a

Google LLC?.

En consecuencia, de conformidad con las evidencias expuestas, los citados hechos

suponen una vulneración de lo dispuesto en el artículo 6 del RGPD, que da lugar a la

aplicación de los poderes correctivos que el artículo 58 del citado Reglamento otorga a

la Agencia Española de Protección de datos.

VII

El derecho de supresión (?Derecho al olvido?) se regula en el artículo 17 del RGPD,

que dispone lo siguiente:

?1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento

la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin

dilación indebida los datos personales cuando concurra alguna de las circunstancias

siguientes:

a) los datos personales ya no sean necesarios en relación con los fines para los que fueron

recogidos o tratados de otro modo;

b) el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el

artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro

fundamento jurídico;

c) el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no

prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al

tratamiento con arreglo al artículo 21, apartado 2;

d) los datos personales hayan sido tratados ilícitamente;

e) los datos personales deban suprimirse para el cumplimiento de una obligación legal

establecida en el Derecho de la Unión o de los Estados miembros que se aplique al

responsable del tratamiento;

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

92/137

f) los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad

de la información mencionados en el artículo 8, apartado 1.

2.Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto

en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la

tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas

medidas técnicas, con miras a informar a los responsables que estén tratando los datos

personales de la solicitud del interesado de supresión de cualquier enlace a esos datos

personales, o cualquier copia o réplica de los mismos.

3.Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:

a) para ejercer el derecho a la libertad de expresión e información;

b) para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta

por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del

tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio

de poderes públicos conferidos al responsable;

c) por razones de interés público en el ámbito de la salud pública de conformidad con el

artículo 9, apartado 2, letras h) e i), y apartado 3;

d) con fines de archivo en interés público, fines de investigación científica o histórica o fines

estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho

indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los

objetivos de dicho tratamiento, o

e) para la formulación, el ejercicio o la defensa de reclamaciones?.

Sobre el derecho al olvido se pronuncia asimismo el Considerando 65, cuando declara

que:

?Los interesados deben tener derecho a que se rectifiquen los datos personales que le

conciernen y un «derecho al olvido» si la retención de tales datos infringe el presente

Reglamento o el Derecho de la Unión o de los Estados miembros aplicable al responsable del

tratamiento. En particular, los interesados deben tener derecho a que sus datos personales se

supriman y dejen de tratarse si ya no son necesarios para los fines para los que fueron

recogidos o tratados de otro modo, si los interesados han retirado su consentimiento para el

tratamiento o se oponen al tratamiento de datos personales que les conciernen, o si el

tratamiento de sus datos personales incumple de otro modo el presente Reglamento. Este

derecho es pertinente en particular si el interesado dio su consentimiento siendo niño y no se

es plenamente consciente de los riesgos que implica el tratamiento, y más tarde quiere suprimir

tales datos personales, especialmente en internet. El interesado debe poder ejercer este

derecho aunque ya no sea un niño. Sin embargo, la retención ulterior de los datos personales

debe ser lícita cuando sea necesaria para el ejercicio de la libertad de expresión e información,

para el cumplimiento de una obligación legal, para el cumplimiento de una misión realizada en

interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento,

por razones de interés público en el ámbito de la salud pública, con fines de archivo en interés

público, fines de investigación científica o histórica o fines estadísticos, o para la formulación, el

ejercicio o la defensa de reclamaciones?.

En el presente caso, interesa destacar algunos aspectos sobre los sistemas diseñados

y mecanismos habilitados por GOOGLE LLC para que los interesados puedan

gestionar o requerir la supresión de sus datos personales tratados por esta entidad.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

93/137

En relación con el ejercicio de los derechos que el RGPD reconoce a los interesados

titulares de los datos personales, la Política de Privacidad disponible en el sitio web

?google.com? contiene la única referencia siguiente:

?Si la normativa de protección de datos de la Unión Europea es de aplicación al tratamiento de

tu información, te proporcionaremos los controles que se describen en esta política para que

puedas ejercitar tu derecho a solicitar el acceso a tus datos, actualizarlos, retirarlos y restringir

su tratamiento. También tienes derecho a oponerte al tratamiento de tu información o a

exportarla a otro servicio? (párrafo introducido por primera vez en la actualización de fecha

22/01/2019, en la que se añadió un nuevo apartado con el rótulo ?Requisitos europeos?).

Asimismo, además de señalar que existen funciones de privacidad específicas en los

productos de Google, se ofrecen diversas opciones para la gestión y control de los

datos personales (se puede revisar y actualizar la información personal en cualquier

momento iniciando sesión de la ?cuenta de Google?, se dispone de un espacio para

establecer controles de actividad, configurar anuncios o controlar la información que se

compartirá con otros usuarios?).

También se insertan enlaces a distintas herramientas habilitadas para ello, como las

siguientes:

. ?Revisión de Privacidad?, para ajustar el historial de búsqueda, reproducciones e

historial de Youtube o configuración de anuncios;

. ?Mi actividad?, para consultar y eliminar la actividad en sitios web de Google y en

aplicaciones, o el historial de ubicación y de Youtube;

. ?Panel de control?, que permite ?gestionar la información asociada a productos

específicos?, como Youtube, Gmail, Google Play, Calendario y otros;

. El espacio ?Tu información personal?, a través del cual puede gestionarse la

información de contacto, como el nombre, la dirección de correo electrónico, el número

de teléfono o los perfiles que se muestran al usar los productos de Google.

En cuanto a la eliminación de los datos personales, se añade que existe la posibilidad

de eliminar contenido personal de ?servicios específicos de Google?; buscar elementos

específicos y eliminarlos de la cuenta de usuario mediante ?Mi Actividad?; ?eliminar

productos concretos de Google?, incluida la información asociada al producto; o

?eliminar tu Cuenta de Google por completo?.

De manera específica, se informa en la Política de Privacidad que es posible ?solicitar

que se retire contenido? de determinados servicios de Google de acuerdo con las leyes

aplicables. Esta información incluye un enlace que da acceso a la página de entrada

de Google para la solicitud de retirada de contenido en la que se listan diversos

productos de la compañía. En esta página, el solicitante puede elegir a cuál de dichos

productos se refiere su solicitud de retirada de contenido y, una vez seleccionado el

producto de que se trate, el sistema pone a disposición del usuario el formulario

específico habilitado por GOOGLE LLC para formular la solicitud, según los detalles

que se exponen más adelante (Formularios Google 2, 4, 5, 7, 9, 17, 21 y 23).

A pesar de la complejidad de este sistema implementado por GOOGLE LLC, la

Política de Privacidad no hace referencia ni contiene ningún enlace que conduzca a un

formulario específico de ejercicio de derechos en materia de protección de datos

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

94/137

personales.

Sí ha dispuesto un procedimiento específico para que los interesados puedan solicitar,

?por motivos de privacidad?, la retirada de resultados obtenidos en búsquedas con el

nombre de la persona como criterio y habilitado un formulario específico denominado

?Retirada en virtud de la ley de privacidad de la UE?, que no se menciona en la Política

de Privacidad. Este formulario, el único disponible que contiene una referencia expresa

a la normativa de protección de datos personales, se encuentra accesible a través del

sitio web ?google.com?, en la URL ?https://www.google.com/webmasters/tools/legalremoval-request

?complaint_type=rtbf&visit_id=637759350971490255-

235171692&hl=es&rd=1?.

En este formulario, GOOGLE LLC se declara responsable del tratamiento de datos

personales al ofrecer resultados de la ?Búsqueda de Google? y de gestionar las

solicitudes de retirada enviadas mediante dicho formulario.

El solicitante debe indicar la información personal que desea retirar y su ubicación

(?las URL del contenido que incluya la información personal que quieres retirar?), el

nombre que, si se utiliza como consulta de búsqueda, produce los resultados a los que

se refiere la solicitud de eliminación y el motivo de la eliminación para cada URL (?(1)

cómo se relaciona la información personal identificada anteriormente con la persona

en cuyo nombre presentas esta solicitud; y (2) por qué crees que esta información

personal debe retirarse?).

En el mismo formulario se informa expresamente:

?Con este formulario, puedes solicitar que se retiren determinados resultados de la Búsqueda

de Google devueltos en consultas que incluyen tu nombre?.

?Si quieres solicitar que se retire información personal de otro producto de Google, envía una

solicitud mediante el formulario de ese producto, que puedes encontrar en la página ?Cómo

retirar contenido de Google?. Por ejemplo, si quieres solicitar la retirada de información

personal de Blogger, envía una solicitud a través del formulario de Blogger correspondiente??.

El enlace ?Cómo retirar contenido de Google? insertado en esta información conduce a

la página en la que se listan diversos productos de ?Google?, a través de la cual se

accede a los formularios de retirada de contenidos habilitados para cada uno de estos

productos. Esta página es la misma a la que se accede mediante el enlace ?solicitar

que se retire contenido? incluido en la Política de Privacidad, antes señalado.

A través del sitio web ?google.com? puede también accederse a la página ?Cómo

retirar contenido de Google?, que coincide con la reseñada como ?Formularios Google

2, 4, 5, 7, 9, 17, 21 y 23?.

Esta página da entrada a los formularios habilitados por GOOGLE LLC para que los

usuarios puedan solicitar la retirada de contenidos en línea para cada uno de los

productos que se listan en la misma (según la información ofrecida, ?Esta página le

permitirá acceder al sitio adecuado para informar del contenido que quieras retirar de

los servicios de Google de acuerdo con las leyes aplicables?).

En el Antecedente Sexto se detalla la lista completa de los productos y servicios

incluidos en esta página.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

95/137

En las actuaciones se han realizado comprobaciones (constan detalladas en los

Antecedentes Sexto y Décimo) en relación con los productos Blogger/Blogspot,

Chrome Web Store/galería de extensiones, Google Classroom, Grupos de Google,

Google Help Communities, Poly, Feedburner, Data Studio, Cloud Firestore, Google

Imágenes, Google Photos y Picasa Web Album, Drive y Documentos, Búsqueda de

Google, Google Maps y productos relacionados, Google + y Google News

(?Formularios Google 3, 6, 8, 10, 12, 13, 14, 15, 16, 18, 19, 20, 22, 24, 25, 26 y 27,

respectivamente).

Con carácter general, al pulsar un producto en la página ?Cómo retirar contenido de

Google? se accede a una nueva página que permite crear una solicitud de retirada de

contenidos en línea.

Previamente, se ofrecen distintas opciones sobre el motivo de la solicitud. A

continuación, se enumeran los distintos motivos que se muestran en estos formularios,

en el apartado ?¿En qué podemos ayudarte??, para que el interesado seleccione aquel

que sirve de base a su solicitud (en el Antecedente sexto se indican cuáles de estos

motivos se incluyen en cada uno de los formularios incorporados a las actuaciones):

( ) Quiero cambiar la información incorrecta de mi ficha local

( ) Quiero saber por qué se ha cambiado la información de mi ficha local

( ) Información personal: el contenido incluye mis datos personales

( ) Problema de propiedad intelectual: denunciar una infracción de derechos de autor, elusión,

etc.

( ) Orden judicial: una sentencia judicial ha determinado que un contenido concreto es ilegal

( ) Problema legal: problema legal que no aparece en la lista

( ) Material con imágenes de abuso sexual infantil: representación visual de prácticas sexuales

explícitas con menores?.

( ) Infracción de derechos de autor: mi obra protegida por derechos de autor se está utilizando

ilegalmente sin autorización

( ) Contranotificación: apelación destinada a restaurar contenido que se retiró debido a una

reclamación por infracción de derechos de autor

( ) Elusión: una herramienta elude las medidas tecnológicas de protección de los derechos de

autor

( ) Me gustaría informar sobre software malintencionado, suplantación de identidad, divulgación

de datos privados u otras incidencias similares.

( ) Quiero informar de un blog que suplanta mi identidad.

( ) Quiero informar sobre la divulgación de información o imágenes de desnudos privadas

( ) Quiero informar de contenido intimidatorio y acosador.

( ) Marca: mi marca se está utilizando de un modo que puede causar confusión

( ) Denunciar contenido violento o que incite al odio, la divulgación de datos personales o la

promoción de bienes y servicios

( ) Deseo denunciar un caso de suplantación de identidad, spam, software malicioso u otros

usos inadecuados en un archivo de Google Docs o Google Drive

( ) Derecho al olvido: solicitud de retirada de información de acuerdo con la legislación europea

en materia de protección de datos

( ) Difamación: el contenido me difama a mí o a mi empresa u organización

Al seleccionar una de estas opciones se accede a una nueva página, en la que se

permite crear la solicitud (?Haga clic en Crear solicitud para enviar una solicitud a

nuestro equipo?).

En relación con los productos ?Google Maps?, ?Google News? y ?Drive y documentos?,

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

96/137

se ha verificado el proceso seleccionando entre los motivos de la solicitud la opción

?Información personal: el contenido incluye mis datos personales?. En todos los casos

se mostró un formulario de recogida de datos con la información siguiente:

?Formulario para solicitar la retirada de información personal

Por motivos de privacidad, es posible que tenga derecho a solicitar que se retire determinada

información personal relacionada con usted.

Este formulario se utiliza para solicitar la retirada de determinado contenido del producto de

Google que ha seleccionado. Si desea solicitar la retirada de información personal de otro

producto de Google, envíe una solicitud a través del formulario del producto correspondiente,

disponible en nuestra página ?Cómo retirar contenido de Google?.

Por ejemplo, si desea solicitar que se retiren determinados resultados de la Búsqueda de

Google correspondientes a consultas que incluyan su nombre, envíe una solicitud a través del

formulario de la Búsqueda de Google correspondiente

Al recibir una solicitud, Google busca un equilibrio entre el derecho a la privacidad del individuo

afectado y el derecho del público general a tener acceso a la información, así como el derecho

de otros usuarios a distribuirla. Por ejemplo, Google puede negarse a retirar determinada

información sobre estafas financieras, negligencia profesional, condenas penales o

comportamiento público de funcionarios del gobierno?.

Se ha comprobado que el enlace ?formulario de la Búsqueda de Google? insertado en

ese texto informativo conduce al formulario de solicitud de ?Retirada en virtud de la ley

de privacidad de la UE?.

La solicitud que se genera con el proceso descrito, que el interesado debe

cumplimentar y enviar, incluye campos para que el solicitante facilite sus datos

relativos a país de residencia, nombre completo y dirección de correo electrónico de

contacto; así como el nombre y apellidos de la persona a la que representa, ?URL del

contenido que incluya la información personal que desea que se retire?, ?la información

personal que desea que se retire? y ?los motivos de la retirada?.

Es importante reseñar, por otra parte, que la página ?Cómo retirar contenido de

Google? en la que se listan diversos productos de ?Google?, a través de la cual se

accede a los formularios de retirada de contenidos habilitados para cada uno de ellos,

se incluye también el producto ?Búsqueda de Google?.

Al pulsar este producto se accede a una nueva página que permite crear una solicitud

de retirada de contenidos en línea. En esta página se ofrecen las opciones siguientes:

?¿En qué podemos ayudarte?

( ) Quiero informar de software malicioso, phishing o problemas similares.

( ) Un contenido que solicité que se retirara sigue apareciendo en los resultados de búsqueda,

a pesar de que el webmaster ya lo ha eliminado.

( ) Retirar información personal de Google de acuerdo con las políticas de nuestros productos

(información personal identificable, doxxing, imágenes explícitas no consentidas, etc.).

( ) Información personal: solicitar que se retire información personal mía de los resultados de

búsqueda de Google.

( ) Problema de propiedad intelectual: denunciar una infracción de derechos de autor, elusión,

etc.

( ) Otro problema legal: denunciar contenido por otro motivo legal no incluido en la lista?.

Con la opción ?Información personal: solicitar que se retire información personal mía

de los resultados de búsqueda de Google? se accede a una nueva página para

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

97/137

retirada de contenidos, en la que se ofrecen nuevas opciones al interesado:

?Elige una de las siguientes opciones:

( ) Retirar información personal de Google de acuerdo con las políticas de nuestros productos

(información personal identificable, doxxing, imágenes explícitas no consentidas, etc.)

( ) Derecho al olvido: solicitud de retirada de información de acuerdo con la legislación europea

en materia de protección de datos

( ) Difamación: el contenido me difama a mí o a mi empresa u organización?.

Al seleccionar una de estas opciones, se permite crear la solicitud (?Haga clic en Crear

solicitud para enviar una solicitud a nuestro equipo?).

La opción ?Derecho al olvido? conduce al formulario ?Retirada en virtud de la ley de

privacidad de la UE?.

Para la opción ?Difamación? se muestra un formulario de recogida de datos con la

información siguiente:

?Solicitar la retirada de contenido por motivos legales.

Si cree que ha encontrado contenido que es ilegal en su país, puede utilizar este formulario

para enviar una reclamación.

Identifique las URL exactas del contenido en cuestión y explique detalladamente por qué cree

que ese contenido es ilegal. Evaluaremos su solicitud teniendo en cuenta nuestras políticas de

retirada de contenido, la revisaremos y adoptaremos las medidas oportunas?.

?Para que sea lo más preciso posible, cite exactamente el texto de las URLs indicadas arriba

que considera que infringe sus derechos. Si el contenido presuntamente infractor es una

imagen o un vídeo, proporcione una descripción detallada de ese contenido para que podamos

localizarlo en la URL en cuestión?.

?Si la infracción afecta a varios productos de Google, debe enviar una notificación por cada

producto afectado?.

Este formulario incluye campos para que el solicitante facilite los datos siguientes: país

de residencia, nombre completo del solicitante, nombre de la empresa, nombre de la

empresa o de la organización cuyos derechos legales representa, dirección de correo

electrónico de contacto y la URL presuntamente infractoras. Se pide, asimismo, al

solicitante que ?Explique detalladamente por qué cree que el contenido de las URLs

indicadas arriba es ilegal y cite las disposiciones legales específicas si es posible?.

Estos formularios, que aparecen en las actuaciones señalados como ?Formularios de

Google 3, 6, 8, 10, 12, 13, 14, 15, 16, 19, 20, 22, 25, 26 y 27?, como ya se ha indicado,

informan a los usuarios que GOOGLE LLC puede enviar (?es posible que enviemos?)

una copia de las notificaciones legales que reciba al ?Proyecto Lumen? para su

publicación y anotación. La información que se comunica a ?Lumen? y la publicación

que esta entidad realiza en su web ?lumendatabase.org? ha quedado expuesta en el

Fundamento de Derecho anterior.

Se indica, además, que la propia entidad GOOGLE LLC puede publicar en su ?Informe

de Transparencia? información de la notificación de retirada ?similar? a la publicada en

?lumendatabase.org?.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

98/137

(?)

Añade a este respecto que el elemento esencial que determina la aplicación del

artículo 17 RGPD es la finalidad de la solicitud y, en consecuencia, el derecho

invocado y ejercido por el individuo, el régimen legal en el cual el sujeto fundamenta la

solicitud de retirada de contenido.

Y aclara que estas solicitudes de retirada de contenido se valoran realizando análisis

legales y test en función del motivo por el que presenta su solicitud. Por ejemplo, las

solicitudes de desindexación por motivos de difamación, a falta de una decisión

judicial, se analizan según la normativa local que regula la difamación y no sobre la

base del RGPD.

Sin embargo, en los casos de retiradas de contenidos de productos y servicios

analizados es difícil deducir si la solicitud se formula invocando la normativa de

protección de datos personales, sencillamente porque esta normativa no se menciona

en ninguno de los formularios, con independencia del motivo que el interesado

seleccione de entre las opciones propuestas, salvo en el formulario denominado

?Retirada en virtud de la ley de privacidad de la UE?, el único disponible que contiene

una referencia expresa a esta normativa, como se ha dicho.

Si atendemos a lo manifestado por GOOGLE LLC, esto supone que dicha entidad

considera que las solicitudes de retirada de contenido en línea para los productos de

?Google? que se formulen sirviéndose de los mecanismos a los que da acceso la

página ?Cómo retirar contenido de Google?, en ningún caso se considera un ejercicio

de derecho de supresión regulado en el artículo 17 del RGPD y en ningún caso se

analiza y resuelve por la entidad responsable conforme a la normativa de protección

de datos personales.

Ello es así a pesar de que muchos de los motivos que se muestran en los formularios

en cuestión para que sean marcados por los usuarios interesados están directamente

relacionados con el tratamiento de datos personales, o pueden estarlo en la intención

de éste al efectuar su selección. Véanse como ejemplo las siguientes opciones,

teniendo presente en todo momento que la cuestión analizada tiene que ver con

solicitudes de retirada de contenido en línea:

( ) Quiero cambiar la información incorrecta de mi ficha local

( ) Información personal: el contenido incluye mis datos personales

( ) Me gustaría informar sobre software malintencionado, suplantación de identidad, divulgación

de datos privados u otras incidencias similares.

( ) Quiero informar de un blog que suplanta mi identidad.

( ) Quiero informar sobre la divulgación de información o imágenes de desnudos privadas

( ) Denunciar contenido violento o que incite al odio, la divulgación de datos personales o la

promoción de bienes y servicios

Con la opción ?Información personal: el contenido incluye mis datos personales?,

incluso, se accede a un formulario que se presenta como ?Formulario para solicitar la

retirada de información personal. Por motivos de privacidad??, que tampoco invoca la

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

99/137

normativa de protección de datos personales.

Y no solo eso. Estos formularios ni siquiera emplean los términos ?datos personales?.

Además, el sistema diseñado por GOOGLE LLC, que conduce al interesado a través

de diversas páginas para llegar a cumplimentar su solicitud, obligándole previamente a

marcar las opciones que se ofrecen, puede provocar que éste termine marcando una

opción que se adapte a los motivos que considera apropiados a su interés, pero que le

aparta de su intención originaria, que puede estar claramente vinculada a la protección

de sus datos personales, desconociendo que estas opciones le sitúan en un régimen

normativo distinto porque así lo ha querido GOOGLE LLC o que su solicitud se

resolverá según las políticas internas establecidas por esta misma entidad.

Tampoco nada asegura que un usuario no haya advertido la existencia del contenido

que pretende retirar a través del ?Buscador de Google?, que también ofrece entre los

resultados de búsqueda contenidos ubicados en otros productos de ?Google?, y que su

intención fuera la desindexación de dicho contenido y sus datos personales.

En los casos analizados, solo GOOGLE LLC sabe qué solicitudes responden a un

criterio u otro, lo que equivale a decir que solo GOOGLE LLC sabe qué solicitudes se

resolverán de conformidad con unas reglas u otras. Es tanto como dejar a criterio de

GOOGLE LLC la decisión sobre cuándo aplica y cuándo no el RGPD, y esto supondría

aceptar que esta entidad pueda eludir la aplicación de la normativa de protección de

datos personales y, más concretamente para este caso, aceptar que el derecho de

supresión de datos personales quede condicionado por el sistema de eliminación de

contenidos diseñado por la entidad responsable.

El efecto puede ser que no se supriman datos personales que el interesado desee

eliminar en casos en que la normativa de protección de datos personales ampare esta

supresión.

No hay otro formulario sobre ejercicios de derechos de protección de datos personales

que el denominado ?Retirada en virtud de la ley de privacidad de la UE?, y GOOGLE

LLC lo trata, correctamente, como un ejercicio del derecho al olvido porque está

previsto para solicitudes de eliminación de resultados del ?Buscador de Google? en

búsquedas con el nombre de una persona como criterio. Pero no hay ningún otro

formulario para el derecho de supresión de datos regulado por el RGPD.

Ya sabemos que el ejercicio de estos derechos no está sujeto a forma y que un

interesado puede formular la solicitud con un simple escrito elaborado por él mismo.

Pero lo que se analiza aquí es la idoneidad y legalidad de los mecanismos habilitados

por GOOGLE LLC para que un usuario pueda solicitar la supresión de sus datos

personales cuando esta supresión implique la eliminación de contenidos en línea de

los productos y servicios que la entidad presta, considerando que la existencia de

estos medios puede llevar al interesado a utilizarlos, desconociendo el verdadero

alcance y efectos que tendrá en relación con sus propósitos el hecho de servirse de

ellos.

Es importante destacar que la información que la Política de Privacidad ofrece sobre el

derecho de supresión, la forma de ejercerlo y los medios a disposición del interesado,

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

100/137

en el apartado ?Exportar, retirar y eliminar tu información?, informa expresamente que

se puede ?solicitar que se retire contenido de determinados servicios de Google de

acuerdo con las leyes aplicables?. Esta información incluye un enlace que da acceso a

la página ?Cómo retirar contenido de Google? en la que se listan los productos y

servicios y que conduce a los formularios que se analizan. Se entiende que si la

Política de Privacidad se refiere a ?eliminación de información? y a ?retirar contenidos?

se está refiriendo al derecho de supresión de datos personales.

No puede aceptarse, por tanto, que la Política de Privacidad conduzca a este sitio

web, en el que se ponen a disposición del usuario medios para el ejercicio del derecho

de supresión, con el que se persigue la eliminación de contenidos (debe entenderse

que se refiere a datos personales) y, posteriormente, las solicitudes que se formulan

no se traten como tales, a criterio de la entidad responsable.

Para la correcta valoración de lo aquí tratado, es preciso considerar el nivel de

implantación social de los productos y servicios de GOOGLE LLC, casi global respecto

de la población de los territorios en los que se ofertan esos productos y se prestan

esos servicios. Y considerar, asimismo, que este sistema de retirada de contenidos en

línea y sus efectos, exige para su correcta comprensión un nivel de formación en la

materia que no se da en el perfil del ciudadano medio.

Este sistema no solo provoca aquellas dificultades y efectos en el interesado. A juicio

de esta Agencia, también la gestión de las solicitudes que debe realizar la propia

entidad reclamada puede verse afectada.

Prueba de ello son los casos a los que corresponden los ?Enlaces Lumendatabase 3,

14 y 25?, que constan reseñados en el Hecho Probado 10. Estas publicaciones de

?lumendatabase.org? corresponden a solicitudes de supresión de datos personales

(retirada de resultados de búsqueda en el ?Buscador de Google?), pero se remitieron

por GOOGLE LLC como notificaciones basadas en motivos de difamación.

Llama la atención, por otra parte, la existencia de dos formularios para la eliminación

de contenidos en el ?Buscador de Google?, antes reseñados, lo que no contribuye a

aclarar la cuestión.

Uno de ellos, el de ?Retirada en virtud de la ley de privacidad de la UE?; y otro, el

disponible a través de la página ?Cómo retirar contenido de Google?, que también

incluye este producto en la lista que contiene.

En primero de esos formularios, de acuerdo con la información que se facilita, se

utiliza únicamente para la eliminación de ?información personal? en los resultados de

búsqueda cuando se utiliza un nombre como consulta de la búsqueda (?Con este

formulario, puedes solicitar que se retiren determinados resultados de la Búsqueda de

Google devueltos en consultas que incluyen tu nombre?).

En el segundo caso, el formulario presenta la misma mecánica que los señalados

anteriormente. El interesado debe marcar uno de los motivos de la reclamación que se

muestran en el apartado ?¿En qué podemos ayudarte??, similares a los ya expresados

(tales como ?Un contenido que solicité que se retirara sigue apareciendo en los

resultados de búsqueda, a pesar de que el webmaster ya lo ha eliminado?, ?Retirar

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

101/137

información personal de Google de acuerdo con las políticas de nuestros productos

(información personal identificable, doxxing, imágenes explícitas no consentidas,

etc.)?, ?Información personal: solicitar que se retire información personal mía de los

resultados de búsqueda de Google?, o ?Otro problema legal: denunciar contenido por

otro motivo legal no incluido en la lista?).

Con la opción ?Información personal: solicitar que se retire información personal mía

de los resultados de búsqueda de Google? se accede a una nueva página para

retirada de contenidos, en la que se ofrecen nuevas opciones al interesado:

?Elige una de las siguientes opciones:

( ) Retirar información personal de Google de acuerdo con las políticas de nuestros productos

(información personal identificable, doxxing, imágenes explícitas no consentidas, etc.)

( ) Derecho al olvido: solicitud de retirada de información de acuerdo con la legislación europea

en materia de protección de datos

( ) Difamación: el contenido me difama a mí o a mi empresa u organización?.

Al seleccionar una de estas opciones, se permite crear la solicitud (?Haga clic en Crear

solicitud para enviar una solicitud a nuestro equipo?).

La opción ?Derecho al olvido? conduce al formulario ?Retirada en virtud de la ley de

privacidad de la UE?.

Para la opción ?Difamación? se muestra un formulario de recogida de datos en el que

se informa que la solicitud se evaluará y resolverá teniendo en cuenta las ?políticas de

retirada de contenido? de GOOGLE LLC.

Por tanto, las solicitudes que se formulen utilizando este formulario nunca se

resolverán de conformidad con la normativa de protección de datos:

. Si la eliminación de contenidos se refiere a resultados de búsqueda con el nombre de

una persona como criterio, se resuelve conforme a la normativa de protección de

datos, pero utilizando el formulario habilitado para la ?Retirada en virtud de la ley de

privacidad de la UE?, al que conduce la segunda opción de las tres anteriores.

. La opción primera y tercera anteriores se resuelven conforme a las ?políticas de

retirada de contenido? de GOOGLE LLC. De este modo, la eliminación de contenidos

en el producto ?Buscador de Google? en otros casos distintos al anterior (ej.,

búsquedas con el número de teléfono como consulta) se resuelve conforme a criterios

propios de la entidad responsable, establecidos por ella misma, aunque ese contenido

incluya datos personales (la opción primera incluye retirada de ?información personal

identificable?; y la segunda habla de contenido que difame a una persona).

Debe añadirse, además, que el resultado que el interesado obtiene de la utilización del

formulario ?Retirada en virtud de la ley de privacidad de la UE? no alcanza a la

supresión de contenidos en línea, sino que da lugar únicamente a la desindexación de

esos contenidos, y solo en las búsquedas por nombre como criterio de la consulta,

evitando que en estos casos el contenido se muestre en los resultados del ?Buscador

de Google?.

En los demás casos de ejercicio del derecho mediante los formularios de solicitud de

retirada de contenido en línea el resultado acorde con las exigencias del RGPD es la

eliminación efectiva de la información.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

102/137

Por ello, aunque esté operativo el formulario ?Retirada en virtud de la ley de privacidad

de la UE?, el único que hace mención a la normativa de protección de datos

personales, no puede ser este el único formulario que sirva a GOOGLE LLC para

entender ejercitado el derecho de supresión.

Presentada la solicitud de retirada de contenido en línea y atendido el derecho, es

decir, acordada la supresión de los datos personales, no cabe un tratamiento posterior

de los mismos, como es la comunicación que GOOGLE LLC realiza al ?Proyecto

Lumen?.

La comunicación de datos de solicitudes de retirada de contenido de GOOGLE LLC al

?Proyecto Lumen?, analizada en el Fundamento de Derecho anterior, considerando

que se remite toda la información contenida en la solicitud para que se incluya en otra

base de datos accesible al público y para que se divulgue a través de una web,

supone en la práctica frustrar la finalidad del ejercicio del derecho de supresión.

Además, esta comunicación de datos por parte de GOOGLE LLC al ?Proyecto Lumen?

se impone al usuario que pretenda utilizar los repetidos formularios, que no tiene si

quiera la opción de oponerse a la misma. Esta condicionalidad en el ejercicio de un

derecho reconocido a los interesados, cual es del de supresión, no encuentra

acomodo en el RGPD en la medida en que se genere un tratamiento adicional de los

datos sobre los que versa la solicitud de supresión al comunicarlos a un tercero.

Más aún, si consideramos que en la página de resultados del ?Buscador de Google?,

en búsquedas realizadas con el nombre de los interesados como criterio de la

consulta, se incluye una nota al pie señalando que se ha eliminado un resultado ?en

respuesta a un requisito legal? y se incluye un hipervínculo a ?lumendatabase.org? para

que el usuario pueda acceder a la información (?Si lo deseas, puedes leer más

información sobre este requisito en LumenDatabase.org?). Sobre esta nota en los

resultados de búsqueda se informa expresamente a los interesados en los

?Formularios Google 1 y 11?, dispuestos para solicitar retiradas de contenido en línea

por infracción de derechos de autor (?En el caso de productos como la Búsqueda web

de Google, aparecerá un enlace al aviso publicado en los resultados de búsqueda de

Google en lugar del contenido retirado?).

A esto hay que añadir que la propia entidad GOOGLE LLC informa en los formularios

en cuestión sobre la posibilidad de publicar información similar a la comunicada al

?Proyecto Lumen? en su ?Informe de Transparencia?.

Sobre este incumplimiento del artículo 17 del RGPD, señala GOOGLE LLC que la

AEPD no aporta prueba alguna de la existencia de un solo derecho de supresión ?no

atendido? ni ?obstaculizado? por la reclamada, necesario para que se entienda

incumplido el artículo 17 del RGPD, ya sea por impedirse el ejercicio o por no

suprimirse los datos cuando así procede. Destaca el número de solicitudes de derecho

de supresión (?derecho al olvido?) que recibe y atiende cada año en España y el de

procedimientos de tutela de derecho tramitados por la Agencia sin comentario crítico

alguno.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

[Link]

https://support.google.com/legal/contact/lr_eudpa?product=websearch&hl=es

[Link]

https://www.aepd.es/es/areas-de-actuacion/internet-y-redes-sociales/derecho-al-olvido

[Link]

https://www.aepd.es/es/areas-de-actuacion/internet-y-redes-sociales/derecho-al-olvido

103/137

Como bien indica GOOGLE LLC, se ha tenido en cuenta el impedimento del ejercicio

del derecho de supresión que supone la utilización de los repetidos formularios por los

interesados y el procedimiento de gestión de estas solicitudes que aplica la reclamada,

así como los numerosos casos individuales analizados en las actuaciones, que

constan reseñados en los Hechos Probados con todo detalle, algunos de los cuales

corresponden a ejercicios de ?derecho al olvido?, en los que GOOGLE LLC no suprimió

los datos personales de los interesados. En nada modifica estas conclusiones el

número de solicitudes de derecho de supresión que atienda dicha entidad ni los

procedimientos de ejercicios de derecho promovidos por los interesados ante esta

Agencia, todos ellos referidos a ?derecho al olvido?.

Añade también la entidad reclamada que la AEPD ignora otros canales y recursos

dispuestos por la misma para la comunicación con sus usuarios e interesados en

relación con el ejercicio de derechos. Pero esto no contrarresta el hecho de que los

formularios objeto de las presentes actuaciones se hayan habilitado por GOOGLE LLC

para el ejercicio del derecho de supresión, tal y como se explica en su Política de

Privacidad, a través de la cual puede accederse a los mismos. Aunque pueda existir

otras vías, dada la libertad de forma para el ejercicio de derechos que dispone la

normativa aplicable, el interesado puede optar por la utilización de los dispuestos por

la entidad a la que se dirige. Puede decirse, incluso, que se ve conducido a la

utilización de estos formularios. Tampoco puede asegurar la reclamada que cuando un

interesado opta por estos formularios lo hace conociendo y habiendo accedido antes a

esos otros canales y recursos a los que se refiere en sus alegaciones.

Por otra parte, entiende GOOGLE LLC que las conclusiones de la propuesta de

resolución, que coinciden con las expresadas anteriormente, son manifiestamente

contrarias al principio de confianza legítima recogido en el art. 3.1.e) de la Ley

40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, teniendo en cuenta

que la AEPD lleva años enlazando e invitando a los ciudadanos a usar el conjunto de

formularios de retirada de contenidos, como puede verse en su web.

En dichas alegaciones ha detallado las URL que conducen a esta información

insertada en la web de esta Agencia (?aepd.es?):

1. El primero de estos enlaces (?https://www.aepd.es/es/areas-de-actuacion/internet-yredes-sociales

/derecho-al-olvido?), dentro de la pestaña ?Áreas de actuación. Internet

y Redes Sociales?, conduce al apartado ?Derecho de supresión (?al olvido?):

buscadores de internet?, en el que se ofrecen a los interesados varios ?puntos clave?

para ejercer dicho derecho. En el punto 4 ?¿Cómo ejercerlo?? se informa lo siguiente:

?La normativa de protección de datos establece que para ejercer el derecho de supresión (y,

por tanto, el 'derecho al olvido') es imprescindible que el ciudadano se dirija en primer lugar a la

entidad que está tratando sus datos, en este caso al buscador. Los buscadores mayoritarios

han habilitado sus propios formularios (Google?) para recibir las peticiones de ejercicio de

este derecho en este ámbito?.

El enlace ?Google? que figura en este texto permite acceder al formulario de GOOGLE

LLC denominado ?Retirada en virtud de la ley de privacidad de la UE?, que no figura

entre los formularios denunciados.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

[Link]

https://www.youtube.com/intl/es/yt/about/policies/#community-guidelines

[Link]

https://support.google.com/youtube/answer/2802008?hl=es&ref_topic=2803176

[Link]

https://support.google.com/youtube/answer/2802002?hl=es&ref_topic=2803176

[Link]

https://support.google.com/youtube/answer/2802002?hl=es&ref_topic=2803176

[Link]

https://support.google.com/youtube/answer/142443?hl=es

[Link]

https://support.google.com/youtube/answer/2802268?hl=es

[Link]

https://support.google.com/legal/troubleshooter/1114905?hl=es

[Link]

https://www.aepd.es/es/areas-de-actuacion/internet-y-redes-sociales/eliminar-fotos-y-videos-de-internet

[Link]

https://www.aepd.es/es/areas-de-actuacion/internet-y-redes-sociales/eliminar-fotos-y-videos-de-internet

104/137

2. La segunda URL (?https://www.aepd.es/es/areas-de-actuacion/internet-y-redessociales

/eliminar-fotos-y-videos-de-internet?), dentro de la misma pestaña indicada en

el apartado anterior, conduce al apartado ?Eliminar fotos y vídeos de internet?, en el

que se informa como sigue:

?¿Sabes cómo solicitar la eliminación de fotos o de vídeos publicados en internet? Tu imagen

es un dato personal, tanto si apareces en una foto como en un vídeo.

Tu imagen, tanto una foto como un vídeo en el que apareces, es un dato personal. La difusión

de imágenes o vídeos publicados en diferentes servicios de internet sin que exista legitimación

para tratar este dato tuyo, sobre todo en redes sociales, es un tema que se plantea con

frecuencia ante la Agencia. El Reglamento General de Protección de Datos reconoce a las

personas el ejercicio del derecho de supresión?

¿Qué debes hacer?

El ejercicio del derecho de supresión sólo puede solicitarlo la persona afectada o, en caso de

tratarse de menores de 14 años, sus progenitores o tutores legales.

Siempre que las circunstancias lo permitan, es recomendable contactar con quien subió el

contenido solicitándole su eliminación.

Si no consiguieras tu objetivo, deberías necesariamente solicitar el borrado a la plataforma que

ha proporcionado los medios para la publicación, esto es, la red social o el portal de video en

que se han publicado esas imágenes o vídeos, acreditando tu identidad e indicando qué

enlaces son los que contienen los datos que quieres cancelar?

Las redes sociales más populares, por su parte, disponen de mecanismos establecidos para

comunicarles vulneraciones de la privacidad o contenidos inapropiados mediante sus propios

formularios.

A continuación, detallamos algunos de los métodos que ofrecen?

Google

La compañía dispone de una página desde la que se puede solicitar la retirada de contenido

de sus diferentes servicios. En el caso del servicio de vídeos YouTube, se te ofrecerán

diferentes opciones en caso de abuso o acoso, vulneraciones de la privacidad, denuncia de

contenidos sexuales, contenidos violentos u otros problemas. Por otro lado, si consideras que

un vídeo colgado en YouTube incluye un contenido inapropiado puedes utilizar el icono con

forma de bandera (Denunciar) para avisar del contenido y que la empresa lo revise?.

El enlace ?La retirada de contenido? que figura en este texto permite acceder a la

página ?Cómo retirar contenido de Google?, de ?google.com?, que es la página de

entrada de Google para la solicitud de retirada de contenido en la que se listan

diversos productos de la compañía, a través de la cual se accede a los formularios

habilitados para cada producto. Esta página coincide con la reseñada en las

actuaciones como ?Formularios Google 2, 4, 5, 7, 9, 17, 21 y 23?.

El resto de los enlaces (?abuso o acoso?, ?vulneraciones de la privacidad?, denuncia de

contenidos sexuales?, ?contenidos violentos? y ?otros problemas?), básicamente,

permite acceder a la información ofrecida por la reclamada sobre retiradas de

contenido en Youtube según las políticas de la propia entidad (?Normas de la

Comunidad de Youtube?): ?La seguridad de nuestros creadores, espectadores y

partners es nuestra máxima prioridad, y esperamos que cada uno de vosotros nos

ayudéis a proteger esta comunidad única y llena de vida. Es importante que te

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

[Link]

https://www.aepd.es/sites/default/files/2020-02/infografia-canal-prioritario.pdf

[Link]

https://www.aepd.es/sites/default/files/2020-02/infografia-canal-prioritario.pdf

[Link]

https://www.aepd.es/sites/default/files/2020-05/guia-ciudadano.pdf

[Link]

https://www.aepd.es/sites/default/files/2020-05/guia-ciudadano.pdf

105/137

familiarices con nuestras Normas de la Comunidad y entiendas el papel que

desempeñan en nuestra responsabilidad compartida para mantener la seguridad en

YouTube. También puedes consultar la lista completa de nuestras políticas?.

3. Mediante la tercera URL (?https://www.aepd.es/sites/default/files/2020-05/guiaciudadano.pdf?) se accede a la ?Guía para el ciudadano? elaborada por esta Agencia,

que se encuentra disponible en la web de esta entidad, en la pestaña ?Guías y

herramientas?. En el apartado 5.4 de esta Guía se informa sobre el ?Derecho de

supresión (?Derecho al olvido?)?, con el texto siguiente:

?Por otra parte, las redes sociales más populares ofrecen servicios de ayuda que permiten

poner en su conocimiento, a través de sus propios formularios, cuándo se ha producido una

vulneración de la privacidad o contenidos inapropiados.

Algunos de estos servicios son los siguientes:

Google:

Retirada de contenido

Denunciar abuso o acoso (Youtube)

Vulneración de la privacidad (Youtube)

Denuncia contenidos sexuales (Youtube)

Denuncia contenidos violentos (Youtube)?.

Son los mismos enlaces del apartado 2 anterior.

4. La cuarta URL (?https://www.aepd.es/sites/default/files/2020-02/infografia-canalprioritario.pdf?) accede a información relativa al ?Canal prioritario? habilitado por la

AEPD para comunicar la difusión de contenido sensible y solicitar su retirada. Este

documento incluye la información siguiente:

?¿Qué puedo hacer si se difunden imágenes en las que aparezco? Con carácter general, los

afectados por estas conductas deben dirigirse al prestador de servicios en Internet solicitándole

la retirada de imágenes que están siendo difundidas sin su consentimiento. A continuación se

detallan los enlaces a algunos de los prestadores de servicios mayoritarios:

Google??.

Al pulsar sobre el enlace ?Google? que figura en esta información se accede a la

página ?Retirar información de Google?, de ?google.com?. En esta página se informa

cómo ponerse en contacto con el webmaster de un sitio web para solicitar la

eliminación de contenidos y se incluyen enlaces para acceder a la herramienta de

retirada de contenido obsoleto, retirada de imágenes, pornografía falsa, prácticas

abusivas, información financiera, médica o documentos de identificación personal,

contenidos de ?doxxing? o imágenes de menores de edad.

Se incluye, asimismo, un enlace a los formularios objeto de las actuaciones

(?Formulario de solución de problemas legales?).

El mencionado principio de confianza legítima se encuentra recogido en el artículo 3

de la LRJSP:

?Artículo 3. Principios generales.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

106/137

1. Las Administraciones Públicas sirven con objetividad los intereses generales y actúan de

acuerdo con los principios de eficacia, jerarquía, descentralización, desconcentración y

coordinación, con sometimiento pleno a la Constitución, a la Ley y al Derecho.

Deberán respetar en su actuación y relaciones los siguientes principios:

(?)

e) Buena fe, confianza legítima y lealtad institucional?.

Es una manifestación de la doctrina de los ?actos propios? y tiene relación con el

principio de seguridad jurídica. El principio de confianza legítima puede entenderse

como la confianza de los ciudadanos en la actuación futura de las Administraciones

Públicas atendiendo a sus actuaciones pasadas, considerando las expectativas que

generan, aunque salvaguardando siempre el principio de legalidad, por lo que aquel

principio no podrá invocarse para salvar situaciones contrarias a la norma.

Así se desprende de la STS de 18/12/2007, que se refiere al principio de protección de

confianza legítima citando los términos de una Sentencia anterior de 10/05/1999:

?Así, la STS de 10-5-99 ( RJ 1999, 3979) , recuerda "la doctrina sobre el principio de protección

de la confianza legítima, relacionado con los más tradicionales en nuestro ordenamiento de la

seguridad jurídica y la buena fe en las relaciones entre la Administración y los particulares, y

que comporta, según la doctrina del Tribunal de Justicia de las Comunidades Europeas y la

jurisprudencia de esta Sala, el que la autoridad pública no pueda adoptar medidas que resulten

contrarias a la esperanza inducida por la razonable estabilidad en las decisiones de aquélla, y

en función de las cuales los particulares han adoptado determinadas decisiones. [?] Por otra

parte, en la STS de 1-2-99 (RJ 1999, 1633), se recuerda que "este principio no puede

invocarse para crear, mantener o extender, en el ámbito del Derecho público, situaciones

contrarias al ordenamiento jurídico, o cuando del acto precedente resulta una contradicción con

el fin o interés tutelado por una norma jurídica que, por su naturaleza, no es susceptible de

amparar una. conducta discrecional por la Administración que suponga el reconocimiento de

unos derechos y/u obligaciones que dimanen de actos propios de la misma. [?] Una cosa es la

irrevocabilidad de los propios actos declarativos de derechos fuera de los cauces de revisión

establecidos en la Ley (arts. 109 y 110 de la Ley de Procedimiento Administrativo de 1958

[ RCL 1958, 1258, 1469, 1504 y RCL 1959, 585] , 102 y 103 de la Ley de Régimen Jurídico de

las Administraciones Públicas y Procedimiento Administrativo Común, Ley 30/1992 [ RCL 1992,

2512, 2775 y RCL 1993, 246] , modificada por Ley 4/1999 [ RCL 1999, 114, 329] ), y otra el

respeto a la confianza legítima generada por actuación propia que necesariamente ha de

proyectarse al ámbito de la discrecionalidad o de la autonomía, no al de los aspectos reglados

o exigencias normativas frente a las que, en el Derecho Administrativo, no puede prevalecer lo

resuelto en acto o en precedente que fuera contrario a aquéllos. O, en otros términos, no

puede decirse que sea legítima la confianza que se deposite en un acto o precedente que sea

contrario a norma imperativa".

La STS de 22/02/2016 (rec.1354/2014), por su parte, se refiere a los requisitos que

deben concurrir para apreciar la confianza legítima:

?Conviene tener en cuenta que confianza legítima requiere, en definitiva, de la concurrencia de

tres requisitos esenciales. A saber, que se base en signos innegables y externos (1); que las

esperanzas generadas en el administrado han de ser legítimas (2); y que la conducta final de la

Administración resulte contradictoria con los actos anteriores, sea sorprendente e incoherente

(3). Exactamente lo que acontece en el caso examinado, a tenor de los hechos antes

relatados, que no hace al caso insistir.

Recordemos que, respecto de la confianza legítima, venimos declarando de modo reiterado,

por todas, Sentencia de 22 de diciembre de 2010 (recurso contencioso administrativo nº

257/2009), que «el principio de la buena fe protege la confianza legítima que fundadamente se

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

107/137

puede haber depositado en el comportamiento ajeno e impone el deber de coherencia en el

comportamiento propio. Lo que es tanto como decir que el principio implica la exigencia de un

deber de comportamiento que consiste en la necesidad de observar de cara al futuro la conducta

que los actos anteriores hacían prever y aceptar las consecuencias vinculantes que se

desprenden de los propios actos constituyendo un supuesto de lesión a la confianza legítima

de las partes "venire contra factum propium".

Esta misma Sentencia se refiere a la confianza en la estabilidad de criterio de la

Administración, evidenciado en actos anteriores en un mismo sentido.

Por otra parte, la STS de 21 de septiembre de 2015 (rec.721/2013), en su Fundamento

de Derecho Cuarto, declara lo siguiente:

?En la mencionada sentencia de esta Sala jurisdiccional de 23 de febrero de 2000, la aplicación

del principio de protección de confianza legítima se condiciona no tanto al hecho de que se

produzca cualquier tipo de convicción psicológica en el particular beneficiado, sino más bien a

que se acredite la existencia de signos externos producidos por la Administración ?lo

suficientemente concluyentes? para que le induzcan razonablemente a confiar en la legalidad

de la actuación administrativa?.

Por tanto, esa esperanza o confianza generada ha de ser ?legítima? y estar basada en

actos externos anteriores, cuyo sentido sea indudablemente contrario a lo acordado

posteriormente, sin que deba incluirse en este principio de confianza legítima una

mera convicción psicológica del particular.

En este caso, consta que la web de esta Agencia incluye información general dirigida a

los usuarios de internet sobre el ejercicio del derecho de supresión y advierte a los

mismos, en diversos apartados, sobre la posibilidad de utilizar para ello los formularios

específicos habilitados por distintos proveedores de servicios, entre los que figura la

entidad ?Google?.

Con tal motivo, en dicha información se insertan enlaces que conducen a los

formularios habilitados por GOOGLE LLC. Entre estos enlaces cabe destacar, por su

especial interés para las actuaciones, los incluidos en el apartado ?Eliminar fotos y

vídeos de internet? y en la ?Guía para el ciudadano?, que dan acceso a la página

?Cómo retirar contenido de Google?, de ?google.com?, a través de la cual se accede a

los formularios objeto del presente procedimiento.

Este hecho no representa un acto externo propio de la Administración que haya podido

influir en la conducta de GOOGLE LLC determinante de la infracción del artículo 17 del

RGPD, en la medida en que la inclusión de esos enlaces en la web de la AEPD no

puede llevar a confusión a dicha entidad ni le permite concluir que en aquellos

formularios no existe ningún elemento que contraviniera lo establecido en el RGPD y

LOPDGDD. Siendo así, no puede decirse que GOOGLE LLC se ha visto sorprendida

por la citada infracción al RGPD que se imputa en este acto.

Por tanto, GOOGLE LLC no dispone de hechos externos anteriores a esta resolución

(?signos innegables externos?) que puedan considerarse favorables a dicha entidad de

forma concluyente y suficientes para haber inducido a la misma a pensar que la AEPD

validó los repetidos formularios de retirada de contenido. No existen decisiones previas

de la AEPD, ni recomendaciones, ni acto alguno en el que se transmita un criterio que

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

108/137

ahora se esté modificando.

Esa inclusión de enlaces a los formularios en documentos informativos insertados en

la web ?aepd.es? no constituye ninguna actuación reglada ni un acto con contenido

jurídicamente vinculante, ni supone pronunciamiento alguno sobre las cuestiones a las

que se refieren las alegaciones. En definitiva, no representan unos actos externos

propios de la Administración de los que pudiera derivarse una futura vulneración del

principio de la "confianza legítima del administrado", ahora invocado.

La actuación de esta Agencia no ha influido en modo alguno en la conducta de

GOOGLE LLC determinante de la infracción analizada, ni influye en el diseño de

aquellos formularios o en su utilización para la gestión de derechos en materia de

protección de datos personales o de reclamaciones legales en general que den lugar a

la aplicación de sus propias políticas internas de eliminación de contenidos u otras

normativas distintas a la de protección de datos personales; ni esta Agencia ha

realizado ninguna otra actuación que haya permitido a dicha entidad concluir la

idoneidad de su actuación. GOOGLE LLC no puede aportar ningún pronunciamiento o

actuación de esta Agencia que le llevase a esa presunta confusión, simplemente

porque no existe actuación alguna en ese sentido.

La Agencia se ha limitado a informar a los ciudadanos de sus derechos y de cómo

pueden ejercitarlos, incluyendo un enlace a los formularios de los responsables del

tratamiento. La inclusión de dichos enlaces no implica una validación de aquellos

formularios, algo que, por otra parte, no corresponde a la AEPD, sino que es

responsabilidad de la entidad reclamada, que viene obligada a procurar el

cumplimiento de la normativa de protección de datos conforme al principio de

responsabilidad proactiva. Prueba de ello es que la reclamada puede en cualquier

momento variar el contenido de la información a la que conducen los repetidos enlaces

insertados en la web ?aepd.es?, o el diseño de los propios formularios, sin ningún

pronunciamiento previo y sin el conocimiento de esta Agencia.

Con la inclusión de esos enlaces, como ya se ha dicho, la AEPD no está decidiendo ni

recomendando nada que vincule jurídicamente a esta Agencia, a la reclamada o a

terceros. Es ahora, en el ejercicio de los poderes correctivos que el RGPD otorga a la

Autoridad de control, cuando se detecta la infracción, de la que únicamente GOOGLE

LLC es responsable.

En definitiva, proyectando la doctrina del Tribunal Supremo al caso presente, y en los

términos de la STS de 18/12/2007, resulta que no concurren circunstancias que

permitan entender que GOOGLE LLC se ha visto sorprendida por la actuación de la

Administración.

Cabe insistir, en todo caso, sobre lo ya expresado anteriormente sobre la prevalencia

del principio de legalidad, que impide invocar la confianza legítima para salvar

situaciones contrarias a la norma.

Por todo ello, debe rechazarse la alegación de vulneración del principio de confianza

legítima y, de contrario, reafirmar la plena responsabilidad de GOOGLE LLC en

relación con los formularios de retirada de contenido en línea diseñados por la misma

y de la gestión que aplica con motivo de su utilización por los interesados.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

109/137

VIII

Para el caso de que concurra una infracción de los preceptos del RGPD, entre los

poderes correctivos de los que dispone la Agencia Española de Protección de Datos,

como autoridad de control, el artículo 58.2 de dicho Reglamento contempla los

siguientes:

?2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a

continuación:

(?)

b) sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las

operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;?

(...)

d) ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se

ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada

manera y dentro de un plazo especificado;

(?)

i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las

medidas mencionadas en el presente apartado, según las circunstancias de cada caso

particular;?.

Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en la letra d)

anterior es compatible con la sanción consistente en multa administrativa.

Los hechos expuestos incumplen lo establecido en los artículos 6 y 17 del RGPD, con

el alcance expresado en los Fundamentos de Derecho anteriores.

En el acuerdo de apertura del procedimiento, la vulneración del artículo 17 se

consideró vinculada al incumplimiento de lo establecido en el artículo 6, ambos del

RGPD, en la medida en que la comunicación al ?Proyecto Lumen? de los datos

personales incluidos en solicitudes de retirada de contenido en línea supone no

atender esta solicitud de supresión de datos personales.

Sin embargo, las actuaciones desarrolladas durante la instrucción del procedimiento

han permitido constatar graves deficiencias en el proceso diseñado para la

formulación, recepción y gestión de estas solicitudes de supresión de datos personales

que afecta directamente al ejercicio mismo de este derecho reconocido a los

interesados en el RGPD y a su resolución conforme a esta normativa, según queda

expuesto en el Fundamento de Derecho VII. Este hecho vulnera el artículo 17 del

RGPD y constituye una infracción diferenciada de la comunicación de datos

personales al ?Proyecto Lumen?, en la medida en que resulta de una conducta

diferenciada. El incumplimiento del artículo 17 del RGPD, por las razones expuestas

en el citado Fundamento de Derechos, se produce con independencia de que los

datos personales incluidos en la solicitud que el interesado formule se comuniquen o

no al ?Proyecto Lumen?.

En definitiva, se trata de conductas separadas que deben ser sancionadas por

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

110/137

separado.

El incumplimiento de lo establecido en los artículos 6 y 17 del RGPD supone la

comisión de sendas infracciones tipificadas en los apartados 5.a) y b) del artículo 83

del RGPD, respectivamente. Este artículo 83.5, bajo la rúbrica ?Condiciones generales

para la imposición de multas administrativas?, dispone lo siguiente:

?5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el

apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una

empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual

global del ejercicio financiero anterior, optándose por la de mayor cuantía:

a) los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a

tenor de los artículos 5, 6, 7 y 9.

b) los derechos de los interesados a tenor de los artículos 12 a 22?.

A este respecto, la LOPDGDD, en su artículo 71 establece que ?Constituyen

infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del

artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la

presente ley orgánica?.

A efectos del plazo de prescripción de las infracciones, las infracciones señaladas en

el párrafo anterior se consideran como muy graves y prescriben a los tres años,

conforme al artículo 72.1.b) y k) de la LOPDGDD, que establece:

?En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran

muy graves y prescribirán a los tres años las infracciones que supongan una vulneración

sustancial de los artículos mencionados en aquel y, en particular, las siguientes:

b) El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del

tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.

k) El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos

establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679?.

A fin de determinar la multa administrativa a imponer se han de observar las

previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:

?1. Cada autoridad de control garantizará que la imposición de las multas administrativas con

arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los

apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.

2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso

individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58,

apartado 2, letras a) a h) y j). Al decidir la imposición de una multa administrativa y su cuantía

en cada caso individual se tendrá debidamente en cuenta:

a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza,

alcance o propósito de la operación de tratamiento de que se trate así como el número de

interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;

b) la intencionalidad o negligencia en la infracción;

c) cualquier medida tomada por el responsable o encargado del tratamiento para paliar los

daños y perjuicios sufridos por los interesados;

d) el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta

de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

111/137

e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;

f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la

infracción y mitigar los posibles efectos adversos de la infracción;

g) las categorías de los datos de carácter personal afectados por la infracción;

h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el

responsable o el encargado notificó la infracción y, en tal caso, en qué medida;

i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas

previamente contra el responsable o el encargado de que se trate en relación con el mismo

asunto, el cumplimiento de dichas medidas;

j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación

aprobados con arreglo al artículo 42, y

k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los

beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de

la infracción?.

Por su parte, el artículo 76 ?Sanciones y medidas correctivas? de la LOPDGDD

dispone:

?1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE)

2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el

apartado 2 del citado artículo.

2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679 también

podrán tenerse en cuenta:

a) El carácter continuado de la infracción.

b) La vinculación de la actividad del infractor con la realización de tratamientos de datos

personales.

c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.

d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la

infracción.

e) La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción,

que no puede imputarse a la entidad absorbente.

f) La afectación a los derechos de los menores.

g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.

h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a

mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan

controversias entre aquellos y cualquier interesado?.

En este caso, considerando la gravedad de las infracciones constatadas, procede la

imposición de multa administrativa y la adopción de medidas. A este respecto, la multa

que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y

disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD.

De acuerdo con los preceptos indicados, a efectos de fijar el importe de las sanciones

a imponer en el presente caso, se considera que procede graduar las multas de

acuerdo con los siguientes criterios:

1. Infracción del artículo 6 del RGPD, tipificada en el artículo 83.5.a) del RGPD y

calificada como muy grave a efectos de prescripción en el artículo 72.1.b) de la

LOPDGDD.

Se estiman concurrentes como agravantes los criterios de graduación siguientes:

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

112/137

. Artículo 83.2.a) del RGPD: ?a) la naturaleza, gravedad y duración de la

infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación

de tratamiento de que se trate así como el número de interesados afectados y el

nivel de los daños y perjuicios que hayan sufrido?.

. La naturaleza y gravedad de la infracción, considerando que la

comunicación de datos que se sanciona se realiza a una entidad tercera en

un país tercero, y se lleva a cabo sin que el interesado tenga oportunidad de

oponerse a la misma. Además, esta comunicación de datos tiene relación con

contenidos en línea en todos los productos y servicios de la entidad

reclamada y tiene origen en solicitudes formuladas por los interesados para

que dichos contenidos sean eliminados. Todo ello, incide en la capacidad de

los interesados de ejercer un verdadero control sobre sus datos personales.

. En relación con la duración de la infracción, consta en las actuaciones que la

comunicación de datos se venía produciendo desde antes de la entrada en

vigor del RGPD, el 25/08/2018, y se mantiene en la actualidad.

. La naturaleza, alcance o propósito de la operación de tratamiento de que se

trate: los datos personales incluidos en las solicitudes de retirada de

contenido en línea se comunican por GOOGLE LLC al ?Proyecto Lumen? para

su publicación en una página web de acceso público y para su puesta a

disposición del público, junto con la explicación de las circunstancias y

motivos que a juicio del interesado justificarían la retirada del contenido en

cuestión y la documentación que soporta dicha solicitud, entre la que figuran

las relativas a procesos judiciales, como las sentencias.

. El número de interesados: la infracción afecta a solicitudes de todos los

productos y servicios de una entidad que tiene una implantación social global,

como lo prueba el hecho de que el ?Proyecto Lumen? informa en su web que

GOOGLE LLC es la entidad que más información reporta al proyecto.

. Los perjuicios que hayan sufrido los interesados: teniendo en cuenta todas

las circunstancias expuestas anteriormente, es claro que los interesados han

visto limitados sus derechos e incrementados los riesgos en su privacidad.

. Artículo 83.2.b) del RGPD: ?b) la intencionalidad o negligencia en la infracción".

La negligencia en la comisión de la infracción por parte del responsable, ya que

conoce las consecuencias de la comunicación de datos al tercero (artículo 83.2.b)

RGPD).

Esta negligencia se aprecia, teniendo en cuenta, por un lado, la ?naturaleza y

gravedad de la infracción? y la ?naturaleza y propósito de la operación de

tratamiento de datos?; y, por otro lado, el nivel de profesionalidad en el tratamiento

de los datos que debe exigirse a GOOGLE LLC.

Sobre esta última circunstancia, la Audiencia Nacional, en Sentencia de

17/10/2007 (rec. 63/2006), en relación con las entidades cuya actividad lleva

aparejado en continuo tratamiento de datos de clientes, indica que ??el Tribunal

Supremo viene entendiendo que existe imprudencia siempre que se desatiende

un deber legal de cuidado, es decir, cuando el infractor no se comporta con la

diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse

especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

113/137

caso ahora examinado, cuando la actividad de la recurrente es de constante y

abundante manejo de datos de carácter personal ha de insistirse en el rigor y el

exquisito cuidado por ajustarse a las prevenciones legales al respecto?.

Se trata de una empresa que realiza tratamientos de datos personales de los

usuarios de sus productos y servicios de manera sistemática y continua, como

como objeto central de su actividad, y que por ello debe extremar el cuidado en el

cumplimiento de sus obligaciones en materia de protección de datos.

. Artículo 83.2.d) del RGPD: ?d) el grado de responsabilidad del responsable o del

encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas

que hayan aplicado en virtud de los artículos 25 y 32?.

La entidad imputada no tiene implantados procedimientos adecuados de

actuación tratamiento de los datos de carácter personal, en lo que se refiere a la

utilización de la información contenida en las solicitudes de retirada de contenido

en línea, de modo que la infracción no es consecuencia de una anomalía en el

funcionamiento de dichos procedimientos sino un defecto del sistema de gestión

de los datos personales diseñado por la responsable. Dicho procedimiento se

adoptó por la reclamada a iniciativa propia sin atender las previsiones normativas

aplicables.

. Artículo 83.2.g) del RGPD: ?g) las categorías de los datos de carácter personal

afectados por la infracción?.

Los ?Enlaces Lumendatabase? examinados en las actuaciones incluyen datos

personales de naturaleza sensible. Además, con carácter general, tratándose de

solicitudes de retirada de contenido en línea, no puede descartarse que puedan

verse afectadas también ?Categorías especiales de datos personales?, según

define el RGPD en el artículo 9.

. Artículo 76.2.b) de la LOPDGDD: ?b) La vinculación de la actividad del infractor

con la realización de tratamientos de datos personales?.

El tratamiento de datos personales es el objeto central de las actividades y

servicios desarrollados por GOOGLE LLC y su nivel de implantación en nuestro

territorio y población es global.

. Artículo 83.2.k) del RGPD: ?k) cualquier otro factor agravante o atenuante

aplicable a las circunstancias del caso, como los beneficios financieros obtenidos

o las pérdidas evitadas, directa o indirectamente, a través de la infracción?.

. El volumen de datos y tratamientos que constituye el objeto del expediente.

. La condición de gran empresa y volumen de negocio de GOOGLE LLC.

Considerando los factores expuestos, la valoración que alcanza la multa, por la

Infracción del artículo 6 del RGPD, es de 5.000.000 euros (cinco millones de euros).

2. Infracción del artículo 17 del RGPD, tipificada en el artículo 83.5.b) del mismo

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

114/137

Reglamento, calificada como muy grave a efectos de prescripción en el artículo 72.1.

k) de la LOPDGDD.

. Artículo 83.2.a) del RGPD: ?a) la naturaleza, gravedad y duración de la

infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación

de tratamiento de que se trate así como el número de interesados afectados y el

nivel de los daños y perjuicios que hayan sufrido?.

. La naturaleza de la infracción, por cuanto la no atención del derecho de

supresión incide en la capacidad de Los interesados de ejercer un verdadero

control sobre sus datos personales.

. El número de interesados: la infracción afecta a todos los interesados que

hayan ejercitado el derecho de supresión o que tengan intención de hacerlo,

muy numerosos considerando el nivel de implantación de la reclamada.

. La naturaleza de los perjuicios causados a las personas interesadas, que

ven desatendido uno de sus derechos básicos en materia de protección de

datos personales e incrementado el riesgo en su privacidad.

. Artículo 83.2.b) del RGPD: ?b) la intencionalidad o negligencia en la infracción".

Esta negligencia se aprecia, teniendo en cuenta, por un lado, la ?naturaleza y

gravedad de la infracción? y de los perjuicios causados; y, por otro lado, el nivel de

profesionalidad en el tratamiento de los datos que debe exigirse a GOOGLE LLC.

. Artículo 83.2.d) del RGPD: ?d) el grado de responsabilidad del responsable o del

encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas

que hayan aplicado en virtud de los artículos 25 y 32?.

La entidad imputada no tiene implantados procedimientos adecuados de

actuación en la recogida y tratamiento de los datos de carácter personal, en lo que

se refiere a la gestión de solicitudes de ejercicio de derechos, de modo que la

infracción no es consecuencia de una anomalía en el funcionamiento de dichos

procedimientos sino un defecto del sistema de gestión de los datos personales

diseñado por la responsable. Dicho procedimiento se adoptó por la reclamada a

iniciativa propia.

. Artículo 83.2.g) del RGPD: ?g) las categorías de los datos de carácter personal

afectados por la infracción?.

Las solicitudes de supresión de datos personales a las que se refieren las

actuaciones incluyen datos personales de naturaleza sensible. Además, con

carácter general, tratándose de solicitudes de retirada de contenido en línea, no

puede descartarse que puedan verse afectadas también ?Categorías especiales

de datos personales?, según define el RGPD en el artículo 9.

. Artículo 76.2.b) de la LOPDGDD: ?b) La vinculación de la actividad del infractor

con la realización de tratamientos de datos personales?.

La alta vinculación de la actividad del infractor con la realización de tratamientos

de datos personales, atendiendo a los motivos ya expresados al exponer los

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

115/137

factores de graduación de la infracción anterior.

. Artículo 83.2.k) del RGPD: ?k) cualquier otro factor agravante o atenuante

aplicable a las circunstancias del caso, como los beneficios financieros obtenidos

o las pérdidas evitadas, directa o indirectamente, a través de la infracción?.

. El volumen de datos y tratamientos que constituye el objeto del expediente,

atendiendo al nivel de información que tiene la reclamada de las personas

que accede a sus servicios.

. La condición de gran empresa y volumen de negocio de GOOGLE LLC.

Considerando los factores expuestos, la valoración que alcanza la multa, por la

Infracción del artículo 17 del RGPD, es de 5.000.000 euros (cinco millones de euros).

Cabe destacar que GOOGLE LLC, en su escrito de alegaciones a la apertura del

procedimiento no ha efectuado manifestación alguna sobre los factores de graduación

indicados en el acuerdo de inicio, relacionados con el alcance de la operación de

tratamiento y el número de interesados afectados, la intencionalidad o negligencia en

la comisión de la infracción, y la vinculación de las actividades y servicios

desarrollados por GOOGLE LLC con los tratamientos de datos personales.

Y en sus alegaciones a la propuesta de resolución, en relación con los factores

valorados anteriormente, se limita a manifestar, sin más explicación, que los ?rechaza

en su totalidad?.

Por otra parte, de acuerdo con los factores y circunstancias expuestas, no cabe admitir

la solicitud formulada subsidiariamente por GOOGLE LLC para que se sancione ?por

la cuantía de la sanción correspondiente en su grado mínimo?, considerando que, a

petición de la propia reclamada, ?Lumen? ha anonimizado las solicitudes de retirada de

contenido identificadas en las presentes actuaciones o retirado la publicación en

algunos casos; que GOOGLE LLC no obtiene beneficio comercial o ingreso alguno

como consecuencia de estas comunicaciones; y que se encuentra en la actualidad en

proceso de revisión de sus prácticas en lo relativo a la comunicación de solicitudes de

retirada de contenido a ?Lumen?.

Este planteamiento ya fue rechazado en la propuesta de resolución por las razones

siguientes:

. La anonimización de la información publicada en ?lumendatabase.org? de los

?Enlaces? incluidos en las reclamaciones no modifican el hecho base de la infracción,

como es la comunicación de los datos al ?Proyecto Lumen? sin base legítima.

A este respecto, GOOGLE LLC ha alegado que las circunstancias atenuantes, por

definición, no modifican el hecho de que se haya producido una infracción, sino que

contribuyen a atenuar la responsabilidad del infractor por la infracción cometida.

A juicio de esta Agencia, en este caso, la circunstancia invocada como atenuante,

como es la petición de anonimización efectuada por la reclamada al ?Proyecto Lumen?

no contribuye a atenuar la responsabilidad del infractor. Cabe insistir en que la

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

116/137

infracción viene determinada por la comunicación de datos a ?Lumen? y no por la

difusión de estos datos por la entidad tercera cesionaria. GOOGLE LLC no ha tomado

medida alguna para atenuar los efectos de esa comunicación de datos a Lumen que

pueda influir en la graduación de la sanción.

. La ausencia de beneficios no puede medirse exclusivamente en términos

comerciales o monetarios. Además, tratándose de una empresa que basa su actividad

en el tratamiento de datos personales, no puede decirse, sin más acreditación, que no

obtiene beneficios comerciales.

No comparte esta Agencia la posición defendida por GOOGLE LLC en sus

alegaciones a la propuesta, según la cual para no aplicar esta atenuante la Agencia

debe acreditar que la reclamada ha obtenido beneficios, sobre todo considerando que

es GOOGLE LLC quien ha solicitado la valoración de esta circunstancia como

atenuante. Entiende esta Agencia que los factores de graduación deben desprenderse

claramente de las actuaciones para que puedan ser considerados en la cuantificación

de la sanción.

En todo caso, el artículo 76.2 de la LOPDGDD, en su letra c), incluye entre los criterios

que deben sopesarse a la hora de fijar la cuantía de la sanción ?los beneficios

obtenidos como consecuencia de la comisión de la infracción? y no la ausencia de

estos beneficios.

A este respecto, la Sentencia de la AN, de 05/05/2021, rec. 1437/2020, se refiere a la

necesidad de que concurra el ?presupuesto? de hecho contemplado en la norma para

que pueda aplicarse un determinado criterio de graduación, y, como se ha dicho, la

ausencia de beneficios no está entre las circunstancias reguladas en el artículo citado.

En esta Sentencia se indica: ??el hecho de que no concurra el presupuesto para su

aplicación conlleva que no pueda ser tomada en consideración, pero no implica ni

permite, como pretende la actora, su aplicación como atenuante?.

Este criterio de graduación se establece en la LOPDGDD de acuerdo con lo previsto

en el artículo 83.2.k) del RGPD, según el cual las multas administrativas se impondrán

teniendo en cuenta cualquier ?factor agravante o atenuante aplicable a las

circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas

evitadas, directa o indirectamente, a través de la infracción?, entendiéndose que evitar

una pérdida tiene la misma naturaleza a estos efectos que la obtención de beneficios.

Si a esto añadimos que las sanciones deberán ser ?en cada caso individual? efectivas,

proporcionadas y disuasorias, conforme a lo previsto en el artículo 83.1 del RGPD,

admitir la ausencia de beneficios como una atenuante, no solo es contrario a los

presupuestos de hechos contemplados en el artículo 76.2.c), sino también contrario a

lo establecido en el artículo 83.2.k) del RGPD y a los principios señalados.

Así, valorar la ausencia de beneficios como una atenuante anularía el efecto

disuasorio de la multa, en la medida en que minora el efecto de las circunstancias que

inciden efectivamente en su cuantificación, reportando al responsable un beneficio al

que no se ha hecho merecedor. Sería una rebaja artificial de la sanción que puede

llevar a entender que infringir la norma sin obtener beneficios, financieros o del tipo

que fuere, no le producirá un efecto negativo proporcional a la gravedad del hecho

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

117/137

infractor.

En todo caso, las multas administrativas establecidas en el RGPD, conforme a lo

establecido en su artículo 83.2, se imponen en función de las circunstancias de cada

caso individual y, en el presente, no se estima que la ausencia de beneficios sea un

factor de graduación adecuado y determinante para valorar la gravedad de la conducta

infractora. Solo en el caso de que esta ausencia de beneficios sea relevante para

determinar el grado de antijuricidad y de culpabilidad presentes en la concreta

actuación infractora podrá considerarse como una atenuante, en aplicación del artículo

83.2.k) del RGPD, que se refiere a ?cualquier otro factor agravante o atenuante

aplicable a las circunstancias del caso?.

. Las medidas ?en proceso? o ?complementarias? resultan insuficientes para ?poner

remedio a la infracción y mitigar los posibles efectos adversos de la infracción?, según

los términos del artículo 83.2.f) del RGPD, o ?para paliar los daños y perjuicios sufridos

por los interesados?, según el apartado 2.c) del mismo artículo.

Considera GOOGLE LLC que este razonamiento de la Agencia desincentiva la toma

de medidas dirigidas a reforzar la protección de los derechos de los interesados y

añade que, aunque no remedien la infracción, pueden configurarse como atenuantes.

Siendo como dice la reclamada, es decir, si las medidas no remedian la infracción, es

claro que tales medidas no cumplen la previsión normativa regulada en el citado

artículo 83.2, apartados c) y f), que exige ese remedio de la infracción, o bien mitigar

los efectos adversos o paliar los daños. En este caso, las medidas que GOOGLE LLC

dice tener previsto implantar no están dirigidas a mitigar los daños de las

comunicaciones de datos ya realizadas al ?Proyecto Lumen?.

Además, la adopción de medidas, sin más, no puede tener los efectos atenuantes

pretendidos sin un análisis claro sobre su idoneidad.

Por otra parte, en las alegaciones a la propuesta de resolución, GOOGLE LLC ha

solicitado que se reduzca la sanción atendiendo a que las infracciones se reducen a

los tratamientos de datos personales atribuibles a dicha entidad en España y a los

productos y servicios proporcionados por GOOGLE IRELAND LTD y no por GOOGLE

LLC. Sin embargo, es obvio que estas circunstancias ya han sido consideradas al

definir el objeto del procedimiento, como bien quedó expuesto en los fundamentos de

derecho anteriores.

Por último, en relación con la sanción por el incumplimiento del artículo 17 del RGPD,

manifiesta la reclamada que la publicidad realizada por parte de la AEPD de los

formularios de ?Google? debería considerarse una circunstancia atenuante bajo el art.

83.2 (k) RGPD, que atenúa directamente el comportamiento doloso o negligente de la

entidad.

Respecto de esta cuestión, cabe remitirse a lo expresado en el Fundamento de

Derecho VII para desestimar la confianza legítima alegada por GOOGLE LLC, en el

que se razona suficientemente que la responsabilidad por los repetidos formularios es

exclusiva de GOOGLE y que esa responsabilidad no se ve modificada por los enlaces

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

118/137

a los formularios de retirada de contenido en línea insertados en la información

ofrecida por esta Agencia en su web.

Las infracciones cometidas pueden conllevar la imposición al responsable de la

adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada

en este acto, de acuerdo con lo establecido en el citado artículo 58.2.d) del RGPD,

según el cual cada autoridad de control podrá ?ordenar al responsable o encargado

del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del

presente Reglamento, cuando proceda, de una determinada manera y dentro de un

plazo especificado??.

Así, procede requerir a la entidad responsable, GOOGLE LLC, para que cese en la

conducta infractora y adecúe a la normativa de protección de datos personales las

operaciones de tratamiento que realiza, en relación con la comunicación de datos al

?Proyecto Lumen?, y los procesos de ejercicio y atención del derecho de supresión, en

relación con las solicitudes de retirada de contenido en línea de sus productos y

servicios, así como la información que ofrece a sus usuarios respecto de ambas

cuestiones. Todo ello, con el alcance expresado en los Fundamentos de Derecho del

presente acuerdo y referido a usuarios de sus productos y servicios de ?Google? en el

territorio español.

Asimismo, GOOGLE LLC deberá corregir los efectos de la infracción cometida, lo que

conlleva la supresión de todos los datos personales que hayan sido objeto de una

solicitud del derecho de supresión no atendida debidamente por razón de la

comunicación de datos al ?Proyecto Lumen?, así como la obligación de instar a este

Proyecto la supresión y cese en la utilización de los datos personales que GOOGLE

LLC le haya comunicado con motivo de una solicitud de supresión de datos

personales.

GOOGLE LLC deberá aportar los medios acreditativos del cumplimiento de lo

requerido.

(?).

(?):

. (?)

. (?).

Sobre estas excepciones no se dispone de información completa y suficiente para que

puedan ser debidamente valoradas. En todo caso, el presente procedimiento no es el

marco adecuado para su análisis.

Considera esta Agencia, por otra parte, que las acciones mencionadas, vistas las

evidencias obtenidas en el presente caso, son una exigencia del principio de

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

119/137

responsabilidad proactiva y la diligencia en cuanto al cumplimiento de la normativa de

protección de datos que debe esperarse de una entidad como GOOGLE LLC y que el

propio RGPD impone expresamente, incluida la obligación de revisar y actualizar las

medidas organizativas que garantizan la adecuación de sus tratamientos de datos con

el RGPD.

GOOGLE LLC ha señalado que su responsabilidad en relación con las medidas

dispuestas se limita, en el territorio español, a las comunicaciones de solicitudes de

retirada a Lumen relacionadas con datos personales presentes en la información

indexada y mostrada en los servicios de ?Búsqueda de Google? y ?Google Maps?.

Sin embargo, esto no coincide con lo manifestado por la propia entidad GOOGLE LLC,

que se ha declarado responsable de la comunicación de datos relacionados con

solicitudes de retiradas de contenido en línea al ?Proyecto Lumen?.

Se advierte que no atender los requerimientos de este organismo puede ser

considerado como una infracción administrativa grave al ?no cooperar con la Autoridad

de control? ante los requerimientos efectuados, pudiendo ser valorada tal conducta a la

hora de la apertura de un procedimiento administrativo sancionador con multa

pecuniaria.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de

graduación de las sanciones cuya existencia ha quedado acreditada,

la Directora de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a la entidad GOOGLE LLC, con NIF 770493581, por una

infracción del artículo 6 del RGPD, tipificada en el artículo 83.5.a) y calificada como

muy grave a efectos de prescripción en el artículo 72.1.b) de la LOPDGDD, una multa

por importe de 5.000.000 euros (cinco millones de euros).

SEGUNDO: IMPONER a la entidad GOOGLE LLC, por una infracción del artículo 17

del RGPD, tipificada en el artículo 83.5.b) del mismo Reglamento y calificada como

muy grave a efectos de prescripción en el artículo 72.1.k) de la LOPDGDD, una multa

por importe de 5.000.000 euros (cinco millones de euros).

TERCERO: REQUERIR a la entidad GOOGLE LLC para que, en el plazo de seis

meses, contado desde la notificación de la presente resolución, adopte las medidas

necesarias para adecuar a la normativa de protección de datos personales las

operaciones de tratamiento y los procedimientos de ejercicio del derecho objeto de las

actuaciones, con el alcance expresado en el Fundamento de Derecho X. Asimismo, en

el texto de la resolución se establecen cuáles han sido las infracciones cometidas y los

hechos que han dado lugar a la vulneración de la normativa de protección de datos, de

lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el

tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas

corresponda a la parte sancionada, pues es el responsable del tratamiento quien

conoce plenamente su organización y ha de decidir, en base a la responsabilidad

proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD.

CUARTO: NOTIFICAR la presente resolución a la entidad GOOGLE LLC.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

120/137

QUINTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una

vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el

art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo

Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago

voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado

por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003,

de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número

de procedimiento que figura en el encabezamiento de este documento, en la cuenta

restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia

Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso

contrario, se procederá a su recaudación en período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra

entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago

voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se

encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago

será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 76.4 de la LOPDGDD y dado que el

importe de la sanción impuesta es superior a un millón de euros, será objeto de

publicación en el Boletín Oficial del Estado la información que identifique al infractor, la

infracción cometida y el importe de la sanción.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente

Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la

LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los

interesados podrán interponer, potestativamente, recurso de reposición ante la

Directora de la Agencia Española de Protección de Datos en el plazo de un mes a

contar desde el día siguiente a la notificación de esta resolución o directamente

recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la

Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de

la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la

Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el

día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la

referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se

podrá suspender cautelarmente la resolución firme en vía administrativa si el

interesado manifiesta su intención de interponer recurso contencioso-administrativo.

De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante

escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través

del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb

/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la

citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la

documentación que acredite la interposición efectiva del recurso contenciosoadministrativo.

Si la Agencia no tuviese conocimiento de la interposición del recurso

contencioso-administrativo en el plazo de dos meses desde el día siguiente a la

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

121/137

notificación de la presente resolución, daría por finalizada la suspensión cautelar.

938-150222

Mar España Martí

Directora de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

122/137

ANEXO 1

POLÍTICA DE PRIVACIDAD DE ?GOOGLE?

a) POLÍTICA DE PRIVACIDAD, ACTUALIZACIÓN DE 25/05/2018:

?El objetivo de esta Política de Privacidad es informarte sobre qué datos recogemos, por qué

los recogemos y cómo puedes actualizarlos, gestionarlos, exportarlos y eliminarlos.

Google desarrolla una variedad de servicios que permiten que millones de usuarios exploren el

mundo e interactúen con él de forma diferente a diario. Estos servicios incluyen:

. Aplicaciones, sitios web y dispositivos de Google, como la Búsqueda de Google, YouTube

y Google Home.

. Plataformas, como el navegador Chrome y el sistema operativo Android.

. Productos que se integran en aplicaciones y sitios web de terceros, como anuncios y

mapas insertados de Google Maps.

Puedes utilizar nuestros servicios de diferentes formas para gestionar tu privacidad. Por

ejemplo, si quieres crear y gestionar contenido, como correos electrónicos y fotos, o consultar

resultados de búsqueda más relevantes, puedes registrarte para obtener una cuenta de

Google. Asimismo, puedes utilizar diversos servicios de Google una vez que hayas cerrado

sesión en tu cuenta o sin que hayas siquiera creado una como, por ejemplo, realizando una

búsqueda en Google o visualizando vídeos en YouTube. También puedes navegar por Internet

de forma privada en Chrome con el modo incógnito. Además, puedes ajustar la configuración

de privacidad en todos nuestros servicios para controlar la información que recogemos y cómo

la utilizamos?.

?Utilizamos la información que recogemos de todos nuestros servicios con las siguientes

finalidades:

. Prestar nuestros servicios?

. Mantener y mejorar nuestros servicios?

. Desarrollar nuevos servicios?

. Ofrecer servicios personalizados, incluido el contenido y los anuncios?

. Medir el rendimiento?

. Comunicarnos contigo?

. Proteger a Google, a nuestros usuarios y al público en general?

Te pediremos tu consentimiento antes de utilizar tu información con una finalidad que no se

incluya en esta Política de Privacidad?.

?Tus controles de privacidad

Puedes elegir qué información recogemos y cómo la utilizamos.

En esta sección, se describen los controles principales que te permiten gestionar la privacidad

en todos nuestros servicios. También puedes acceder a la ?revisión de privacidad? para

comprobar y modificar las opciones de privacidad importantes. Además de estas herramientas,

ofrecemos funciones de privacidad específicas en nuestros productos. Puedes obtener más

información en la ?guía sobre la privacidad en los productos de Google?.

Gestionar, revisar y actualizar tu información

Si has iniciado sesión, puedes revisar y actualizar la información siempre que quieras

accediendo a los servicios que utilizas. Por ejemplo, Fotos y Drive están diseñados para

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

123/137

ayudarte a gestionar tipos concretos de contenido que has guardado en Google.

También hemos creado un espacio donde revisar y controlar la información que has guardado

en tu Cuenta de Google. Tu ?Cuenta de Google? incluye:

. Controles de privacidad

. Controles de actividad. Decide el tipo de actividad que quieres guardar en tu cuenta...

. Configuración de anuncios? Puedes modificar tus intereses, decidir si tu información

personal se utiliza para mostrarte anuncios más relevantes?

. Sobre ti. Controla la información que otros usuarios ven sobre ti en los servicios de

Google.

. Recomendaciones compartidas. Decide si quieres que tu nombre y tu foto aparezcan junto

a tu actividad, como las opiniones y las recomendaciones que se muestran en los anuncios.

. Datos compartidos por ti. Controla con quién compartes información a través de tu cuenta

en Google+.

. Formas de revisar y actualizar tu información

. Mi Actividad. Te permite revisar y controlar los datos que se crean cuando utilizas los

servicios de Google, como las búsquedas realizadas o las visitas a Google Play. Puedes

consultar por fecha o por tema y eliminar la actividad de forma parcial o por completo.

. Panel de Control de Google. Te permite gestionar la información asociada a productos

específicos.

. Tu información personal. Gestiona tu información de contacto, como el nombre, la

dirección de correo electrónico y el número de teléfono.

Al cerrar sesión, puedes gestionar la información asociada a tu navegador o tu dispositivo,

incluida la siguiente:

. Personalización de búsquedas sin iniciar sesión?

. Configuración de Youtube: pausa y elimina tu ?historial de búsqueda? ? y de

?reproducciones??

. Configuración de anuncios?

Exportar, retirar y eliminar tu información?

También puedes ?solicitar que se retire contenido? de determinados servicios de Google de

acuerdo con las leyes aplicables.

Para eliminar tu información, puedes:

. Eliminar tu contenido de ?servicios específicos de Google?.

. Buscar elementos específicos y eliminarlos de tu cuenta mediante ?Mi Actividad?.

. ?Eliminar productos concretos de Google?, incluida tu información asociada a esos

productos.

. ?Eliminar tu Cuenta de Google por completo?.

Por último, puedes utilizar ?Administrador de cuentas inactivas? para permitir a otros usuarios

acceso a partes de tu cuenta de Google en caso de que no puedas utilizarla de forma

inesperada.

Puedes utilizar otros métodos para controlar la información que Google recoge tanto si has

iniciado sesión en una Cuenta de Google como si no, por ejemplo:

. Configuración del navegador?

. Configuración del dispositivo??.

?Compartir tu información?

Cuando Google comparte tu información

No compartimos tu información personal con empresas, organizaciones o individuos ajenos a

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

[Link]

https://policies.google.com/privacy/archive/20180525?hl=es&fg=1#footnote-specific-partners

[Link]

https://policies.google.com/privacy/archive/20180525?hl=es&fg=1#footnote-trends

[Link]

https://policies.google.com/privacy/archive/20180525?hl=es&fg=1#footnote-info

[Link]

https://policies.google.com/privacy/archive/20180525?hl=es&fg=1#footnote-legal

[Link]

https://policies.google.com/privacy/archive/20180525?hl=es&fg=1#footnote-legal

[Link]

https://policies.google.com/privacy/archive/20180525?hl=es&fg=1#footnote-affiliates

124/137

Google excepto en los siguientes casos:

. Consentimiento. Compartiremos información personal de forma externa a Google si contamos

con tu consentimiento...

. Tratamiento externo. Proporcionamos información personal a nuestros afiliados y a otras

empresas y personas de confianza para que la traten en nuestro nombre?

. Motivos legales. Compartiremos información personal de forma externa a Google si

consideramos de buena fe que es razonablemente necesario acceder a esos datos o

utilizarlos, conservarlos o revelarlos con los siguientes propósitos:

. Cumplir con cualquier requisito previsto en la ley o la normativa aplicables o para atender

un proceso legal o un requerimiento de una autoridad competente?

. Cumplir las condiciones de servicio aplicables, incluida la investigación de posibles

infracciones.

. Detectar, prevenir o solucionar de otra forma fraudes o problemas de seguridad o técnicos.

. Proteger a Google, a nuestros usuarios y al público en general de daños a sus derechos y

bienes o a su seguridad en la medida exigida o permitida por la ley.

Es posible que compartamos información personal no identificable públicamente y con

nuestros partners, como editores, anunciantes, desarrolladores o titulares de derechos. Por

ejemplo, compartimos información públicamente para mostrar las tendencias sobre el uso

general de nuestros servicios. También permitimos que determinados partners recojan

información de tu navegador o dispositivo para fines de medición y publicitarios mediante sus

propias cookies o tecnologías similares??.

?Exportar y eliminar tu información?

En algunos casos, conservamos los datos durante periodos limitados para finalidades legales o

comerciales legítimas??.

?Cuándo se aplica esta política

Esta Política de Privacidad se aplica a todos los servicios ofrecidos por Google LLC y sus

afiliados? Esta Política de Privacidad no se aplica a los servicios que estén sometidos a

políticas de privacidad independientes que no incorporen esta Política de Privacidad?.

?Otros recursos útiles

A continuación, se incluyen enlaces a recursos útiles que ofrecen más información sobre

nuestras prácticas y la configuración de privacidad.

. ?Tu cuenta de Google? alberga muchas de las opciones que puedes utilizar para gestionar

tu cuenta.

. La ?revisión de privacidad? te guía a través de las opciones de privacidad más importantes

para tu cuenta de Google.

. El ?Centro de seguridad de Google? ofrece consejos sobre protección y seguridad.

. El ?sitio web de privacidad de Google? te proporciona más información sobre cómo

mantenemos tu información privada y segura...?.

b) POLÍTICA DE PRIVACIDAD, ACTUALIZACIÓN DE 22/01/2019:

Incluye los mismos apartados transcritos anteriormente y expresados en los mismos

términos (salvo la referencia al ?sitio web de privacidad de Google? que ha sido

suprimida en el apartado ?Otros recursos útiles?), pero en esta actualización se añadió

el apartado siguiente:

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

[Link]

https://policies.google.com/privacy/archive/20190122?hl=es&fg=1#footnote-customizing

[Link]

https://policies.google.com/privacy/archive/20190122?hl=es&fg=1#footnote-improve

[Link]

https://policies.google.com/privacy/archive/20190122?hl=es&fg=1#footnote-safeguards

[Link]

https://policies.google.com/privacy/archive/20190122?hl=es&fg=1#footnote-third-parties

[Link]

https://myaccount.google.com/

125/137

?Requisitos europeos

Si la normativa de protección de datos de la Unión Europea es de aplicación al tratamiento de

tu información, te proporcionaremos los controles que se describen en esta política para que

puedas ejercitar tu derecho a solicitar el acceso a tus datos, actualizarlos, retirarlos y restringir

su tratamiento. También tienes derecho a oponerte al tratamiento de tu información o a

exportarla a otro servicio.

El responsable del tratamiento de los datos de los usuarios con residencia habitual en el

Espacio Económico Europeo o Suiza es Google Ireland Limited, a menos que se indique lo

contrario en un aviso de privacidad específico de un servicio. En otras palabras, Google Ireland

Limited es la entidad asociada de Google responsable del tratamiento de tus datos y del

cumplimiento de las leyes sobre privacidad aplicables.

Tratamos tu información con la finalidad que se describe en esta política de acuerdo con los

siguientes fundamentos jurídicos:

Consentimiento

Solicitamos tu autorización para tratar tu información para finalidades determinados y tienes

derecho a revocar tu consentimiento en cualquier momento. Por ejemplo, pedimos tu

consentimiento para ofrecerte servicios personalizados, como anuncios. También pedimos tu

consentimiento cuando recogemos tu actividad de voz y audio para el reconocimiento de voz.

Puedes gestionar estas opciones en tu ?cuenta de Google?.

En el ejercicio de intereses legítimos

Tratamos tu información para alcanzar nuestros intereses legítimos y los de terceros y, al

mismo tiempo, aplicamos medidas de protección adecuadas para garantizar tu privacidad.

Esto significa que tratamos tu información con los siguientes objetivos:

. Proporcionar, mantener y mejorar nuestros servicios para satisfacer las necesidades de

nuestros usuarios.

. Desarrollar productos y funciones nuevos que sean útiles para nuestros usuarios.

. Saber cómo utilizan los usuarios nuestros servicios para garantizar y mejorar su

rendimiento.

. Personalizar nuestros servicios para ofrecerte una mejor experiencia de usuario.

. Promocionar nuestros servicios entre los usuarios.

. Ofrecer publicidad para que los usuarios puedan acceder gratuitamente a muchos de

nuestros servicios.

. Detectar, prevenir o solucionar de otra forma fraudes, abusos y problemas de seguridad o

técnicos relacionados con nuestros servicios.

. Proteger a Google, a nuestros usuarios y al público en general de daños a sus derechos y

propiedades o a su seguridad en la medida exigida o permitida por la ley, lo que incluye la

revelación de información a autoridades gubernamentales.

. Llevar a cabo investigaciones que mejoren nuestros servicios para los usuarios y

beneficien al público en general.

. Cumplir las obligaciones con nuestros partners, como desarrolladores y titulares de

derechos.

. Responder a reclamaciones legales, incluida la investigación de posibles infracciones de

las condiciones de servicio aplicables.

Para prestar un servicio

Tratamos tus datos para prestar un servicio que has solicitado el amparo de un contrato. Por

ejemplo, tratamos tus datos de pago cuando compras más almacenamiento para Google Drive.

Para cumplir obligaciones legales

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

[Link]

https://support.google.com/policies/troubleshooter/7575787

[Link]

https://support.google.com/policies/troubleshooter/7575787

[Link]

https://policies.google.com/privacy/archive/20190122?hl=es&fg=1#footnote-legal

126/137

Trataremos tus datos para cumplir una obligación legal que así lo requiera, por ejemplo, para

responder a un proceso legal o un requerimiento de una autoridad competente.

Si tiene alguna pregunta, ?puede ponerse en contacto con Google y nuestra oficina de

protección de datos?. También puedes ponerse en contacto con tu autoridad de protección de

datos local si tiene alguna duda sobre tus derechos según la legislación local?.

c) POLÍTICA DE PRIVACIDAD, ACTUALIZACIÓN DE 31/03/2020:

Los apartados incluidos en esta versión coinciden con los de la anterior y se expresan

en los mismos términos, salvo la referencia al ofrecimiento de publicidad en ejercicio

de intereses legítimos, que se expresa de la forma siguiente: ?Google muestra

publicidad, lo que permite que muchos de sus servicios sean gratuitos (en el caso de

los anuncios personalizados, pedimos tu consentimiento)?; si bien esta actualización

ha incorporado un nuevo apartado relativo a la ?Conservación de datos?.

?Conservar tus datos

Google conserva durante distintos periodos de tiempo los datos que recoge en función del tipo

de datos que son, cómo los usa Google y cómo configuras tus ajustes.

. Hay datos que puedes eliminar cuando quieras, como el contenido que creas o subes.

También puedes eliminar información sobre la actividad guardada en tu cuenta o hacer que

se elimine automáticamente tras un periodo determinado.

. Otros datos se eliminan o se anonimizan automáticamente al transcurrir un período

determinado, como los datos publicitarios en los registros de servidor.

. Hay datos que Google conserva hasta que elimines tu cuenta, como información sobre la

frecuencia con la que usas los servicios de Google.

. También hay datos que Google conserva durante periodos más prolongados para

finalidades legales o comerciales legítimas, como temas de seguridad, prevención de fraude

y abuso o conservación de registros financieros.

Cuando eliminas datos, Google sigue un proceso para asegurarse de que tus datos se borren

completamente y de manera segura de nuestros servidores o de que se conserven solo de

forma anónima. Google intenta asegurarse de que sus servicios eviten que la información se

elimine de forma accidental o maliciosa. Por este motivo, es posible que se produzcan retrasos

desde el momento en que eliminas contenido hasta que las copias desaparecen de los

sistemas activos y los sistemas de copia de seguridad.

Puedes obtener más información sobre los ?periodos de conservación de datos? de Google,

incluido cuánto tiempo se tarda en eliminar tu información?.

d) POLÍTICA DE PRIVACIDAD, ACTUALIZACIÓN DE 01/07/2021 (VERSIÓN

ACTUAL):

Los apartados incluidos en esta versión coinciden con los de la anterior, de fecha

31/03/2020 y se expresan en los mismos términos, salvo en los aspectos siguientes:

. En el apartado ?Controles de privacidad? se suprime la indicación ?Datos compartidos

por ti. Controla con quién compartes información a través de tu cuenta en Google+?.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

127/137

. En el apartado ?Requisitos europeos?, la información sobre el responsable del

tratamiento y sobre el tratamiento de los datos en base al consentimiento del

interesado queda como sigue:

?Salvo que se indique lo contrario en un aviso de privacidad específico de un servicio, el

responsable del tratamiento de tu información depende del lugar en el que te encuentres:

. Google Ireland Limited para los usuarios de los servicios de Google que se encuentren en

el Espacio Económico Europeo o en Suiza.

. Google LLC para los usuarios de los servicios de Google que se encuentren en el Reino

Unido.

Google LLC es el responsable del tratamiento de la información indexada y mostrada en

servicios como la Búsqueda de Google y Google Maps, independientemente de tu ubicación?.

?Google solicita tu autorización para tratar tu información con unas finalidades determinadas, y

tienes derecho a revocar tu consentimiento en cualquier momento. Por ejemplo, se te pide tu

consentimiento para proporcionarte servicios personalizados, como anuncios basados en tus

intereses. También pedimos tu consentimiento cuando recogemos tu actividad de voz y audio

para el reconocimiento de voz. Puedes gestionar estos ajustes en tu cuenta de Google?.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

128/137

ANEXO 2

FORMULARIO ?RETIRADA EN VIRTUD DE LA LEY DE PRIVACIDAD DE LA UE?.

?Retirada en virtud de la ley de privacidad de la UE

Formulario para solicitar la retirada de información personal

Por motivos de privacidad, es posible que tengas derecho a solicitar que se retire determinada

información personal relacionada contigo.

Con este formulario, puedes solicitar que se retiren determinados resultados de la Búsqueda

de Google devueltos en consultas que incluyen tu nombre. Google LLC es el responsable del

tratamiento de los datos personales a la hora de determinar los resultados que se muestran en

la Búsqueda de Google y de gestionar las solicitudes de retirada enviadas mediante este

formulario.

Si quieres solicitar que se retire información personal de otro producto de Google, envía una

solicitud mediante el formulario de ese producto, que puedes encontrar en la página ?Cómo

retirar contenido de Google?. Por ejemplo, si quieres solicitar la retirada de información

personal de Blogger, envía una solicitud a través del formulario de Blogger correspondiente?

Tu información?

(este apartado incluye campos habilitados para que el solicitante facilite sus datos relativos a

país de origen, nombre y apellidos, dirección de correo electrónico, así como para indicar si

actúa en nombre propio o de otra persona (cliente, familiar, amigo u otros). Para este caso, se

informa que el solicitante deberá tener autoridad legal para actuar en nombre del representado

y que Google puede solicitar documentación que confirme esa representación legal).

Identifica la información personal que quieras que se retire y su ubicación

Si esta notificación está relacionada con varios motivos que han sido objeto de una infracción,

envía únicamente el primero aquí abajo. A continuación, haz clic en el enlace "Añadir un nuevo

grupo" que aparece debajo de los cuadros de texto para añadir otro motivo.

Las URL del contenido que incluya la información personal que quieres retirar?

(espacio para indicar la URL)

Introduce una URL en cada línea (1000 líneas como máximo).

Motivo de la eliminación

Para cada una de las URL que facilites, debes indicar lo siguiente:

(1) cómo se relaciona la información personal identificada anteriormente con la persona en

cuyo nombre presentas esta solicitud; y

(2) por qué crees que esta información personal debe retirarse

Por ejemplo: "(1) Esta página está relacionada conmigo porque a, b y c. (2) Esta página

debería retirarse porque x, y y z?.

(espacio para indicar los motivos de la eliminación)

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

129/137

Añadir un nuevo grupo (10 grupos como máximo)

Nombre utilizado para realizar búsquedas *

Este debería ser el nombre que, si se utiliza como consulta de búsqueda, produzca los

resultados que quieres eliminar del registro. Si quieres enviar varios nombres (por ejemplo, si

tu apellido de soltera es diferente al que utilizas ahora), utiliza una barra diagonal ("/") para

separarlos. Por ejemplo, "Ana García / Ana Díaz".

(espacio para indicar el nombre utilizado para realizar las búsquedas)

Declaraciones juradas

Lee las siguientes afirmaciones y marca sus casillas para confirmar que las has leído y las

aceptas.

( ) He leído y confirmo que he entendido la explicación del tratamiento de la información

personal que envío, como se describe a continuación:

Google LLC utilizará la información personal que facilites en este formulario (como tu dirección

de correo electrónico y todos los datos de identificación) y la información personal que envíes

en otros mensajes para procesar tu solicitud y cumplir con nuestras obligaciones legales.

Google puede compartir información de tu solicitud con las autoridades de protección de datos,

pero solo si la solicitan para investigar o revisar una decisión que Google haya tomado. Esto

suele ocurrir si te has puesto en contacto con la autoridad de protección de datos nacional en

relación con nuestra decisión. Si, debido a tu solicitud, se han retirado URLs de nuestros

resultados de búsqueda, Google puede facilitar información a los webmasters de dichas URL.

Ten en cuenta que si has iniciado sesión en tu cuenta de Google, podemos asociar tu solicitud

a esa cuenta.

( ) Declaro que la información de esta solicitud es precisa y que estoy autorizado para enviarla.

( ) Comprendo que Google LLC no podrá procesar mi solicitud si el formulario no se ha

rellenado correctamente o si la solicitud está incompleta.

Firma?

Enviar (botón)?.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

130/137

ANEXO 3

1. INFORMACIÓN DISPONIBLE EN EL SITIO WEB ?LUMENDATABASE.ORG?,

APARTADO ?ACERCA DE?.

?Lumen es un proyecto del Berkman Klein Center for Internet & Society de la Universidad de

Harvard.

Lumen es un proyecto de investigación independiente que estudia las cartas de cese y

desistimiento relacionadas con el contenido en línea. Recopilamos y analizamos solicitudes

para eliminar material de la web. Nuestros objetivos son facilitar la investigación sobre los

diferentes tipos de quejas y solicitudes de eliminación, tanto legítimas como cuestionables, que

se envían a los editores de Internet, los motores de búsqueda y los proveedores de servicios, y

brindar la mayor transparencia posible sobre? dichos avisos, en términos de quién los envía y

por qué, y con qué efecto?

Lumen no es el remitente ni el destinatario original de las solicitudes y avisos dentro de su

base de datos? Lumen documenta el proceso de notificación y eliminación? al informar que

se envió y recibió una notificación o solicitud, por quién y para quién, y con respecto a qué

contenido en línea. Lumen no tiene más información sobre un aviso en particular que la que

está presente en un aviso y no puede proporcionar información de contacto para los remitentes

o destinatarios del aviso. Tampoco podemos proporcionar asesoramiento legal.

? la base de datos ahora incluye quejas de todas las variedades, incluidas marcas

registradas, difamación y privacidad, nacionales e internacionales, y órdenes judiciales. La

base de datos de Lumen crece en más de 40 000 avisos por semana, con presentaciones

voluntarias proporcionadas por compañías como Google? A finales de 2021, el proyecto

alberga más de dieciocho millones de avisos, referenciando cerca de cuatro mil quinientos

millones de URL. En 2021, el sitio web del proyecto fue visitado más de diecinueve millones de

veces por más de un millón de usuarios únicos de prácticamente todos los países del mundo?

Contáctenos?

También puede enviar avisos por correo:

Lumen

El Centro Berkman Klein para Internet y Sociedad

23 Everett Street

Cambridge, MA 02138?.

2. INFORMACIÓN DISPONIBLE EN EL SITIO WEB ?LUMENDATABASE.ORG?,

APARTADO ?AVISO LEGAL?.

?Avisos legales

Ni el sitio web de Lumen ni el equipo de Lumen pueden proporcionar asesoramiento legal

individual: no podemos analizar su sitio web o actividad en particular, o un aviso de eliminación

que haya recibido? Lo que podemos hacer es ayudar a presentar los problemas tal como los

abogados los piensan, y responder preguntas generales? Esperamos que la base de datos en

su conjunto sea un recurso útil?

Tenga en cuenta que la presencia de un aviso en la base de datos de Lumen no significa que

Lumen haya emitido ningún juicio sobre la validez de las afirmaciones que hace, o que las haya

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

131/137

autenticado?Todos los avisos y solicitudes en la base de datos de Lumen han sido

compartidos con nosotros voluntariamente por las empresas o personas responsables de

enviar o recibir los avisos originalmente. Por lo tanto, generalmente presentamos los avisos en

la forma en que se han compartido con nosotros.

?En algunos casos, a pedido de la entidad que compartió un aviso con Lumen? podemos

eliminar un aviso de nuestra base de datos pública...?.

3. INFORMACIÓN DISPONIBLE EN EL SITIO WEB ?LUMENDATABASE.ORG?,

APARTADO ?INVESTIGADORES?.

?Herramientas Lumen para investigadores

Una introducción al Proyecto Lumen

¿Qué es Lumen?

Lumen es un proyecto de investigación independiente que estudia las cartas de cese y

desistimiento relacionadas con el contenido en línea. Recopilamos y analizamos solicitudes

para eliminar material de la web. Nuestros objetivos son educar al público, facilitar la

investigación sobre los diferentes tipos de quejas y solicitudes de eliminación, tanto legítimas

como cuestionables, que se envían a los proveedores de servicios y editores de Internet, y

brindar la mayor transparencia posible sobre la ?ecología? de dichos avisos, en términos de

quién los envía y por qué, y con qué efecto?

?se centró inicialmente en las solicitudes presentadas en virtud de la Ley de derechos de

autor del milenio digital de los Estados Unidos. A medida que Internet y su uso han

evolucionado, también lo ha hecho Lumen, y la base de datos ahora incluye quejas de todas

las variedades, incluidas marcas registradas, difamación y privacidad, nacionales e

internacionales, y órdenes judiciales. La base de datos de Lumen crece en más de 40 000

avisos por semana, con presentaciones voluntarias proporcionadas por compañías como

Google... A partir del verano de 2019, el proyecto alberga aproximadamente doce millones de

avisos, referenciando cerca de cuatro mil millones de URL. En 2018, el sitio web del proyecto

fue visitado más de diez millones de veces por usuarios de prácticamente todos los países del

mundo?

Un aviso o trabajo contiene "[redactado]": ¿qué falta?

El personal de Lumen hace un esfuerzo de buena fe para revisar y redactar cualquier aviso

potencialmente confidencial que reciba el proyecto a fin de eliminar información confidencial o

personal del texto de los avisos. Dicha información puede incluir números de teléfono,

direcciones de correo electrónico o contenido presuntamente difamatorio. Además, una

persona o empresa que envía un aviso directamente a la base de datos de Lumen puede haber

decidido no compartir con Lumen, o mantener en privado, cierta información en el aviso.

Finalmente, Lumen ejecuta procesos automatizados para eliminar cierta información

confidencial de los avisos y descripciones de sus trabajos asociados cuando sea posible.

Tenga en cuenta que para los avisos de DMCA, Lumen normalmente no elimina el nombre del

titular de los derechos que realiza la solicitud o la(s) URL(s) del material reclamado. Sin la

ubicación del material denunciado y del denunciante, los avisos no tienen sentido desde una

perspectiva de transparencia o investigación, por no hablar de que no ofrecen información

sobre el posible uso indebido de los avisos de eliminación como vehículo para la censura.

Cuando una empresa comparte copias de órdenes judiciales que ha recibido con nosotros,

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

132/137

Lumen generalmente muestra esas órdenes en la forma en que se han compartido con Lumen

y, además, hace un esfuerzo de buena fe para hacerlo de acuerdo con la ley aplicable de la

jurisdicción de donde surgió la orden. Las órdenes judiciales de los Estados Unidos, a menos

que estén selladas, son documentos públicos...

¿Para quién es Lumen?

Lumen está diseñado para un uso casual tanto por parte de usuarios de Internet legos curiosos

acerca de un aviso que pueden haber encontrado, tal vez en las noticias, o por interés

personal? así como por periodistas, ONG, legisladores, académicos y otros investigadores

legales que realizan investigaciones más profundas y enfocadas o estudian tendencias más

amplias sobre la eliminación de contenido en línea?

Si usted o su organización están interesados en realizar su propia investigación periodística,

académica, legal o centrada en políticas, o si tienen más ideas sobre cómo podemos mejorar la

base de datos y sus interfaces, envíenos un correo electrónico a team@lumendatabase.org.

Ver un aviso

Para los no investigadores, Lumen actualmente ofrece acceso a un aviso completo por

dirección de correo electrónico cada veinticuatro (24) horas. Enviar una dirección de correo

electrónico a través del formulario de solicitud proporcionará una URL de uso único para ese

aviso en particular que mostrará el contenido completo del aviso. El acceso a través de esta

URL tendrá una duración de 24 horas. Vea aquí para más detalles.

¿Como funciona?

La mayoría de los usuarios encontrarán que la interfaz web será suficiente para navegar y

descubrir dentro de la base de datos. Sin embargo, para aquellos que necesitan acceder a

grandes cantidades de datos para su investigación, o para aquellos interesados en enviar

copias de avisos de eliminación a Lumen, ofrecemos nuestra API. Siga leyendo para obtener

más información.

Datos básicos sobre la API y la base de datos

Documentación API

La documentación de la API de Lumen se puede encontrar aquí?

Búsqueda en la base de datos

La mayoría de los usuarios encontrarán que la interfaz web será suficiente para navegar y

descubrir dentro de la base de datos. Sin embargo, para aquellos que necesitan acceder a

grandes cantidades de datos o crear procesos automatizados para digerir las tendencias de

datos, ofrecemos nuestra nueva API.

La búsqueda en la base de datos, ya sea a través de la interfaz web o con la API, se realiza

mediante una búsqueda de texto completo. La búsqueda predeterminada es buscar todos los

campos y facetas de aviso posibles. Las búsquedas también se pueden refinar en función de

segmentos específicos de la base de datos o de facetas específicas de los datos. Consulte la

documentación para conocer los parámetros y metadatos de notificación aplicables.

Consultar la base de datos con la API

Obtener una clave API

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

133/137

Se necesita una clave de autenticación para consultar la base de datos a voluntad a través de

la API. Póngase en contacto con el personal de Lumen en team@lumendatabase.org para que

le proporcionen uno. Las consultas de API a la base de datos enviadas sin un token se

limitarán a los primeros 25 resultados y a 5 solicitudes por día?

Ejecutar estas consultas de búsqueda a través de la API le permitirá buscar durante un período

de tiempo, así como descargar los resultados de la búsqueda para usarlos y reutilizarlos en las

aplicaciones. Puede encontrar una lista completa de parámetros de búsqueda aquí.

Solicitud de una lista de temas

La base de datos clasifica los avisos en uno o más temas, de los cuales se pueden agregar

más con el tiempo. Ciertos temas se clasifican como subtemas de un tema raíz más amplio y

completo. Por ejemplo, como "DMCA", "uso justo" y "anti-elusión" todos caen bajo "Copyright".

Cada tema tiene una identificación numérica única en la base de datos?

Buscando los avisos

En la interfaz web, por encima de un cierto número de resultados, se paginarán los resultados

de su búsqueda. De forma predeterminada, los resultados se ordenan por relevancia

descendente. Los resultados de búsqueda de texto completo contienen los mismos datos que

los avisos solicitados individualmente, con la adición de un campo de puntuación que articula la

relevancia del resultado para el término de consulta; los números más altos son más

relevantes. Los términos se unen con un 'O' de forma predeterminada.

Descarga de resultados de forma masiva

Para administrar mejor sus recursos, Lumen limita las solicitudes a su API, así como el uso de

la interfaz de usuario basada en la web. Para aquellos interesados en un acceso menos

restringido a la base de datos a través de la API, consulte "Obtención de una clave de API"??.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

134/137

ANEXO 4

1. INFORMACIÓN DISPONIBLE EN EL SITIO WEB ?LUMENDATABASE.ORG?,

DOCUMENTO ?CONCEPTOS BÁSICOS DE LA INFORMACIÓN DEL AVISO DE

LUMEN?.

?Cada notificación de eliminación y solicitud de eliminación en la base de datos de Lumen está

allí porque una de las partes involucradas en el envío o la recepción de la notificación (por lo

general, pero no siempre, su recepción) ha optado por compartir una copia de esa notificación

con Lumen. Siendo ese el caso, Lumen solo tiene la información que la entidad que comparte

ha elegido compartir con Lumen con respecto a ese aviso?

Nuestros procesos de redacción automática buscan identificar y eliminar lo siguiente: Correos

electrónicos

Números de teléfono

Otras formas de número de identificación (por ejemplo, números de Seguro Social, números de

identificación nacional)

Lumen también hace un esfuerzo de buena fe para no mostrar las direcciones postales de las

personas que son los remitentes o destinatarios de los avisos si esa información se ha incluido

en un aviso?

Por lo general, Lumen NO elimina los nombres de la persona o entidad que posee los

derechos en cuestión que el aviso busca ejercer.

Avisos de la DMCA

En general, cuando Lumen recibe un aviso de DMCA, muestra el aviso tal como lo recibió

Lumen, sujeto únicamente a las redacciones automáticas descritas anteriormente. Esto

significa que Lumen muestra el nombre del titular de los derechos que realiza la solicitud en la

forma en que apareció originalmente en el aviso enviado. Lumen generalmente también

muestra la(s) ubicación(es) de la URL del material denunciado, aunque truncado al dominio de

nivel superior del texto de la URL. Incluimos las URL reclamadas solo como texto sin procesar

y usamos robots.txt para solicitar que las URL, así como todo el contenido de las páginas de

notificación, no sean indexadas por los motores de búsqueda. Sin la ubicación del material

denunciado y la identidad del denunciante, los avisos no tienen sentido desde la perspectiva de

la investigación o la transparencia pública, por no hablar de que no ofrecen información sobre

el posible uso indebido de los avisos de eliminación como vehículo para la censura u otros

fines.

Avisos de difamación

Lumen muestra los avisos de difamación que recibe en la forma en que los recibe, pero hace

un esfuerzo de buena fe para eliminar cualquier lenguaje supuestamente difamatorio que

pueda haber sido incluido?

Órdenes judiciales

Las órdenes de los tribunales de los Estados Unidos son documentos disponibles públicamente

y, por lo tanto, Lumen generalmente los comparte en la forma en que fueron recibidos, sin

censura. Para órdenes judiciales emitidas desde jurisdicciones que no sean los Estados

Unidos, Lumen hace un esfuerzo de buena fe para redactarlas de manera que coincidan con

las restricciones legales relevantes de la jurisdicción en cuestión?

Google

Google es el remitente más grande de Lumen tanto por el volumen total de avisos como por la

cantidad de posibles tipos de avisos. A continuación se incluye una lista actualizada de los

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

135/137

tipos de avisos que Google ha elegido compartir con Lumen, ordenados por tipo de aviso

(DMCA, difamación, elusión, etc.) y una lista de los diversos productos de Google (búsqueda,

Blogger, imágenes, etc.) respecto de los cuales Google puede recibir avisos que luego

comparte con Lumen.

Tipos de Avisos que Google comparte con Lumen

DMCA

Elusión

Falsificación

Órdenes judiciales

Difamación

Avisos basados en leyes fuera de los EE. UU. - "Legislación local"

Una lista de productos de Google con respecto a los cuales Lumen puede tener avisos

relacionados

Blogger

Drive y Documentos

Google URL Shortener

Grupos

Búsqueda de imágenes

Búsqueda

Sitios

Tipos de avisos de Google relevantes

AVISOS DE LA DMCA

Como se describió anteriormente, los avisos de DMCA de Google, como todos los avisos de

DMCA en Lumen, se publican en la forma en que se enviaron originalmente. Lumen hace un

esfuerzo de buena fe para eliminar la información de identificación personal que no sea el

nombre del Remitente, que se mostrará en la forma en que se compartió con Lumen.

ELUSION

Los avisos de elusión que Lumen recibe de Google se publican en la forma en que se enviaron

originalmente. Lumen hace un esfuerzo de buena fe para eliminar la información de

identificación personal que no sea el nombre del Remitente, que se mostrará en la forma en

que se compartió con Lumen.

FALSIFICACIÓN (a partir de junio de 2020)

La página de ayuda de Google sobre este tema describe estos avisos de la siguiente manera:

?Al recibir un aviso, Google eliminará las páginas web que venden productos falsificados de

nuestros resultados de búsqueda. Los productos falsificados contienen una marca comercial o

logotipo que es idéntico o sustancialmente indistinguible de la marca comercial de otro. Imitan

las características de la marca del producto en un intento de hacerse pasar por un producto

genuino del propietario de la marca. Esta política solo se aplica a páginas web específicas que

venden productos falsificados y no se aplica a problemas de marcas comerciales no

falsificadas. Si no se limitan las quejas conforme a esta política a las páginas web que venden

productos falsificados, es posible que se restrinjan el envío de futuras quejas".

ORDENES JUDICIALES

Google comparte con Lumen copias de órdenes judiciales de eliminación que recibe, tanto de

tribunales nacionales como extranjeros de EE. UU. Como se describió anteriormente, las

órdenes judiciales de EE. UU., a menos que estén selladas, son registros públicos, y esas

órdenes judiciales se presentan en Lumen en la forma en que Lumen las recibe de Google. Si

Google tiene prohibido compartir el contenido de una orden judicial que ha recibido, eso se

indicará explícitamente en el texto del aviso.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

136/137

Lumen hace un esfuerzo de buena fe para redactar órdenes judiciales extranjeras que se

comparten con Lumen de acuerdo con cualquier ley local aplicable en la jurisdicción de origen

de la orden. Estas redacciones generalmente incluirán nombres, direcciones y otras formas de

PII, y pueden incluir aspectos de las URL en cuestión. Las otras redacciones que están

presentes en un documento pueden variar de un país a otro.

AVISOS DE DIFAMACIÓN

Como cuestión de políticas internas de Google, Google no comparte con Lumen los nombres

de los remitentes de los avisos de difamación. Además, si el nombre de un Remitente/Principal

aparece de alguna forma dentro de una de las URL reclamadas que son el tema del aviso, o

dentro de cualquier texto dentro del aviso, ese texto también se eliminará.

Por ejemplo, una URL original de https://www.blogger.com/JohnQPublicistheworst.com sería

compartido por Google con Lumen como https://www.blogger.com/[eliminado]es lo peor.com

Además, Google no comparte con Lumen el texto ingresado por un reclamante en el ?Para

garantizar la especificidad, cite el texto exacto??

campo en el formulario web de Google.

Texto introducido por un denunciante en el

"Explique en detalle por qué cree que el contenido de las URL anteriores es ilegal, citando

disposiciones legales específicas siempre que sea posible".

Google comparte el campo del formulario web con Lumen y se muestra como parte del aviso

en Lumen tal cual, sujeto únicamente a los procesos de redacción automática de Lumen.

Tenga en cuenta que si el sujeto de la supuesta difamación no es el remitente del aviso, el

nombre de ese sujeto no se eliminará automáticamente del aviso. Notifique a Lumen si el

nombre de la persona presuntamente difamada todavía está presente en un aviso.

NOTIFICACIONES Y ORDENES JUDICIALES ENVIADAS A GOOGLE SOBRE LEYES

FUERA DE LOS ESTADOS UNIDOS - "Legislación local"

Los avisos enviados a Google por parte de Remitentes en países que no sean los Estados

Unidos generalmente se rigen por la ley local del país de origen. En tales casos, además de las

redacciones estándar de esfuerzo de buena fe de Lumen, las redacciones se realizan de

acuerdo con la ley local aplicable en la jurisdicción de origen de la orden. Estas redacciones

incluirán nombres, direcciones y otras formas de PII, y pueden incluir aspectos de las URL en

cuestión. Las otras redacciones que están presentes en un documento pueden variar de un

país a otro, así como de acuerdo con las decisiones de política interna de Google, de las que

Lumen no tiene conocimiento.

OTROS TIPOS DE AVISOS

Tenga en cuenta que, en este momento, Google NO comparte con Lumen los avisos que

recibe de los ciudadanos de la UE como parte del llamado "Derecho al olvido ("RTBF") o los

avisos enviados a través del formulario de Google para informar sexualmente. imágenes

explícitas, que se pueden encontrar aquí.***

https://support.google.com/websearch/troubleshooter/3111061#ts=2889054%2C2889099

Google a veces indica, mediante una referencia a un aviso de "marcador de posición" en

Lumen, cuando ha recibido solicitudes para eliminar material sobre el cual no puede compartir

más información.

1. https://lumendatabase.org/notices/18516

2. https://www.lumendatabase.org/notices/9415 [Alemania]

3. https://lumendatabase.org/notices/10929 [Reino Unido]

4. https://lumendatabase.org/notices/11062657 [Francia]

5. https://www.lumendatabase.org/notices/15710816 [para avisos aún no disponibles en

Lumen]

6. https://www.lumendatabase.org/notices/17158812 [Canadá]

7. https://www.lumendatabase.org/notices/13678481 [Agravios de privacidad]

8. https://www.lumendatabase.org/notices/18639436 [AU]

9. https://www.lumendatabase.org/notices/18639403 [Nueva Zelanda]

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

137/137

10. https://lumendatabase.org/notices/20174812?.

2. Información disponible en la dirección de Internet

?https://support.google.com/websearch/troubleshooter/3111061#ts=2889054%2C2889

099?, incluida en el documento anterior, en el apartado ?OTROS TIPOS DE AVISOS?.

Conduce a un documento informativo sobre retirada de información de ?Google?:

?Retirar información de Google

Somos conscientes de que, en ocasiones, puede que quieras que se retire contenido sobre ti

que hayas encontrado en la Búsqueda de Google. En algunos casos, es posible que Google

retire enlaces a la información de la Búsqueda de Google.

Importante: La Búsqueda de Google muestra información que se ha recogido de sitios web.

Aunque retiremos contenido de la Búsqueda de Google, puede que siga existiendo en la Web.

Esto significa que seguirá siendo posible encontrar el contenido en la página que lo aloja, las

redes sociales, con otros buscadores o de otras maneras. Por este motivo, te recomendamos

que te pongas en contacto con el webmaster del sitio y le pidas que retire el contenido.

Consulta cómo ponerte en contacto con un webmaster.

Si el propietario del sitio web retira la información, esta acabará eliminándose de la Búsqueda

de Google como parte de nuestro proceso de actualización habitual. No obstante, también

puedes informarnos de la existencia de contenido obsoleto mediante la herramienta de retirada

de contenido obsoleto.

Información personal que retirará Google

Si no consigues que el propietario de un sitio web retire material del sitio, Google puede retirar

información personal que suponga un riesgo importante de robo de identidad, fraude financiero

u otro tipo de daños específicos. En los siguientes artículos se proporciona información sobre

los tipos de retiradas disponibles:

. Retirar de Google imágenes personales explícitas o íntimas no consentidas

. Retirar de Google pornografía falsa publicada sin consentimiento

. Retirar de Google contenido sobre mí de sitios en los que se llevan a cabo prácticas

abusivas de retirada de contenido

. Retirar de Google información financiera, médica y de documentos de identificación

nacional . Retirar contenido de "doxxing"; es decir, contenido que expone información de

contacto con intención de perjudicar a alguien

. Retirar imágenes de menores de edad de los resultados de búsqueda de Google

Te recomendamos que consultes el artículo correspondiente al tipo de contenido del que

quieres solicitar la retirada. Si crees que tu solicitud cumple los requisitos que se describen en

ese artículo, puedes enviar una solicitud de retirada de contenido tal y como se indica en él.

Otra información que retirará Google

Google también retira contenido por motivos legales específicos, como las infracciones de

derechos de autor de la DMCA y las imágenes de abuso sexual infantil. Para solicitar una

retirada de contenido por un motivo legal, utiliza el formulario de solución de problemas

legales?.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

Resolución de la Agencia Española de Protección de Datos PS-00140-2020 de 18 de mayo de 2022

Cuestión

Contestacion

Fórmate con Colex en esta materia. Ver libros relacionados.