El pasado 11 de marzo, la Autoridad de Protección de Datos Sueca (“DPA”) impuso una multa a Google LLC (“Google”) de aproximadamente 6.800.000 euros (75 millones de Coronas Suecas) por infringir varios artículos del RGPD.

Hechos:

En mayo de 2015, la DPA inició una investigación en Google para comprobar cómo procesaba las solicitudes de personas físicas para desindexar ciertos resultados de búsqueda en Google al buscar su nombre. Lo que se conoce como el derecho de supresión o derecho al olvido (art. 17 del RGPD).

Es importante aclarar que las solicitudes del derecho de supresión no buscan eliminar la información, sino únicamente que esta información no aparezca indexada en el buscador de Google al buscar el nombre de los reclamantes.

Tras la investigación, la DPA dictó una resolución en mayo de 2017 (la “Primera Resolución”) en la que ordenaba a Google a cumplir con cinco solicitudes concretas del derecho de supresión, con el fin de que los resultados de búsqueda especificados no se mostraran durante las búsquedas al utilizar el nombre de los reclamantes.

Sin embargo, en el 2018 la DPA recibió nuevas quejas sobre el incumplimiento por parte de Google de la Primera Resolución, lo que motivó que la DPA iniciara una nueva investigación el 8 de junio de 2018.

En dicha investigación se comprobó que dos de las cinco solicitudes de supresión cuyo cumplimiento ordenaba la Primera Resolución, no se habían cumplido. Los resultados de búsqueda todavía aparecían en el buscador de Google.

Las dos solicitudes de derecho de supresión que Google incumplió tenían relación con la desindexación de datos relativos a condenas e infracciones penales de los solicitantes, y en uno de los casos, con la desindexación de datos de carácter sensible.

Además de incumplir las dos solicitudes, la DPA comprobó que cuando Google eliminaba los links de su indexación, posteriormente notificaba al dueño de la página web lo sucedido, así como la identidad de quien estaba detrás de dicha solicitud.

Este tipo de notificaciones permitía al dueño de la página web volver a publicar el contenido del link suprimido de la indexación en un link distinto para volver a ser indexado por Google. Lo cual evidentemente incumple el espíritu de lo que representa el derecho de supresión.

Asimismo, Olle Pettersson, asesor legal de la DPA, dice: “En su formulario de solicitud del derecho de supresión, Google declara que el propietario del sitio será notificado de la solicitud, lo cual podría causar que las personas se abstengan de ejercer su derecho de supresión, socavando la efectividad del mismo”.

Infracciones:

La DPA concluye que tuvieron lugar las siguientes infracciones:

En relación con el incumplimiento de dos de las solicitudes de supresión de la Primera Resolución, la DPA estima que Google infringió los siguientes artículos:

• Artículo 9.1 del RGPD por tratar datos personales sensibles sin tener una razón valida para ello.
• Artículo 10 del RGPD por tratar datos personales relativos a condenas e infracciones penales sin estar autorizado para ello.
• Artículo 17 del RGPD por el retraso innecesario en responder a la solicitud de supresión del reclamante.

En relación con la comunicación de Google a los dueños de las páginas web cuando sus links dejan de estar indexados como resultado de una solicitud de derecho de supresión. La DPA estima que el tratamiento de datos por parte de Google para esta finalidad infringió los siguientes artículos:

• Artículo 5.1.b), del RGPD, por tratarse de un procesamiento de datos personales incompatible con el propósito original para el cual se recopilaron los datos, que era el de solicitar la desindexación de un link.
• Artículo 6 del RGPD, por carecer Google de una base legal para este tratamiento.

En relación a que Google exija en su formulario a las personas que soliciten ejercer su derecho de supresión que autoricen que Google pueda informar a los dueños de las paginas web cuyos links se desindexan. La DPA concluye que se infringió el siguiente artículo:

Artículo 5.1.a) del RGPD, en la medida en que esta exigencia puede disuadir a las personas de ejercer su derecho de supresión.

Decisión de la DPA:

La DPA conmina a Google a:

• Ejecutar las dos solicitudes restantes del derecho de supresión recogidas en la Primera Resolución.
• Dejar de informar a los dueños de los links cuando Google ejecuta el derecho de supresión del interesado, excepto en los casos en los que el propio interesado lo solicite.
• Dejar de mostrar el texto «Si los links se eliminan de nuestros resultados de búsqueda como resultado de su solicitud, podemos proporcionar información a los dueños de los links eliminados» en su formulario web para la solicitud de del derecho de supresión.

Conclusión:

La presente multa sería la sexta multa más elevada impuesta hasta la fecha, solo por detrás de la otra multa a Google en Francia (50 millones de euros), la multa en Italia a TIM SpA (27,8 millones de euros), la multa en Austria al Post AG (18 millones de euros), y las multas en Alemania a Deutsche Wohnen (14,5 millones de euros) y a 1 & 1 Telecommunication (9,55 millones de euros).

No hemos incluido en este cómputo a las empresas British Airways y Marriot International, ya que la agencia británica Information Commissioner Office (ICO) aún no las ha multado formalmente, sino únicamente declarado su intención de multarlas

Si deseas estar informado de las sanciones más relevantes por infracción del RGPD, tanto en España como en Europa, por favor no dudes en suscribirte a nuestro blog.

______

Gonzalo Sanchez-Jara Garralda, autor de este post, es socio fundador de Anti-Bribery and Corruption Compliance S.L. (“abc Compliance”), empresa que facilita una plataforma digital que permite a las empresas gestionar, analizar y acreditar sus procesos de formación. Para más información sobre abc Compliance, pulse aquí.