CONCLUSIONES DEL ABOGADO GENERAL
SR. MACIEJ SZPUNAR
presentadas el 10 de enero de 2019 (1)
Asunto C‑136/17
G. C.,
A. F.,
B. H.,
E. D.
contra
Commission nationale de l’informatique et des libertés (CNIL)
con intervención de:
Premier ministre,
Google Inc.
[Petición de decisión prejudicial planteada por el Conseil d’État (Consejo de Estado actuando como Tribunal Supremo de lo Contencioso‑Administrativo, Francia)]
«Procedimiento prejudicial — Datos de carácter personal — Tratamiento de los datos — Gestor de un motor de búsqueda en Internet — Solicitud de retirada de enlaces — Alcance de la obligación — Tratamiento de datos personales con fines exclusivamente periodísticos o de expresión artística o literaria»
I. Introducción
1. Conciliar el derecho al respeto de la vida privada y a la protección de datos de carácter personal con el derecho a la información y a la libertad de expresión en la era de Internet es uno de los principales retos de nuestro tiempo. Por consiguiente, no es sorprendente que, en los últimos años, se hayan planteado ante el Tribunal de Justicia varios asuntos que suscitan cuestiones jurídicas referidas a esta problemática.
2. Una vez abordada y resuelta una cuestión, surgen nuevas dudas. Este fenómeno es más acusado por cuanto que, a menudo, el marco jurídico no se adoptó desde la perspectiva de la era de Internet. Al igual que el asunto C‑507/17, Google (Alcance territorial del derecho a la retirada de enlaces), sobre el que he presentado mis conclusiones en el mismo día que en el presente asunto, el litigio principal, constituye un buen ejemplo de ello: ¿Cómo y en qué medida las obligaciones que impone una directiva en materia de protección de datos de 1995, es decir, la Directiva 95/46/CE, (2) pueden aplicarse a un motor de búsqueda como Google, que es una sociedad que se constituyó en 1998?
3. En su sentencia de 13 de mayo de 2014, Google Spain y Google, (3) destinada a sentar jurisprudencia, el Tribunal de Justicia declaró que, en virtud del artículo 12, letra b), y del artículo 14, párrafo primero, letra a), de la Directiva 95/46, las personas tienen un «derecho al olvido» (4), en virtud del cual se puede imponer al gestor de un motor de búsqueda la obligación de eliminar vínculos que dirijan a información que les concierna. (5) El presente asunto es la continuación de dicha sentencia. En efecto, después de dictarse esa sentencia se plantearon numerosas cuestiones nuevas referidas, en particular, al tratamiento de datos denominados «sensibles», relativos al origen racial o étnico, a las opiniones políticas y a las convicciones religiosas o filosóficas.
4. Por esa razón, cuando interprete el Derecho en su situación actual, me referiré tanto a la legislación en vigor como a la interpretación que de ella se realiza en la sentencia Google Spain y Google. (6)
5. En resumen, sugiero dos cosas al Tribunal de Justicia: por un lado, con carácter general, que el gestor de un motor de búsqueda debe eliminar sistemáticamente, previa solicitud, los enlaces de Internet hacia datos sensibles y, por otro lado, que debe respetarse la libertad de expresión. A este respecto, propongo al Tribunal de Justicia que interprete su sentencia Google Spain y Google (7) de forma que tenga debidamente en cuenta la libertad de expresión.
II. Marco jurídico
A. Derecho de la Unión
1. Directiva 95/46
6. Según su artículo 1, la Directiva 95/46 tiene por objeto la protección de las libertades y de los derechos fundamentales de las personas físicas, y, en particular, del derecho a la intimidad, en lo que respecta al tratamiento de los datos personales y la eliminación de los obstáculos a la libre circulación de estos datos.
7. El artículo 2 de la Directiva 95/46 establece que «a efectos de [esta], se entenderá por:
a) “datos personales”: toda información sobre una persona física identificada o identificable (el “interesado”); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social;
b) “tratamiento de datos personales” (“tratamiento”): cualquier operación o conjunto de operaciones, efectuadas o no mediante procedimientos automatizados, y aplicadas a datos personales, como la recogida, registro, organización, conservación, elaboración o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma que facilite el acceso a los mismos, cotejo o interconexión, así como su bloqueo, supresión o destrucción;
[…]
d) “responsable del tratamiento”: la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que solo o conjuntamente con otros determine los fines y los medios del tratamiento de datos personales; en caso de que los fines y los medios del tratamiento estén determinados por disposiciones legislativas o reglamentarias nacionales o comunitarias, el responsable del tratamiento o los criterios específicos para su nombramiento podrán ser fijados por el Derecho nacional o comunitario;
[…]
h) “consentimiento del interesado”: toda manifestación de voluntad, libre, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernan».
8. El artículo 3, apartado 1, de dicha Directiva, que lleva por título, «Ámbito de aplicación», dispone lo siguiente:
«Las disposiciones de la presente Directiva se aplicarán al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero.»
9. El artículo 4 de la citada Directiva, titulado «Derecho nacional aplicable», dispone:
«1. Los Estados miembros aplicarán las disposiciones nacionales que hayan aprobado para la aplicación de la presente Directiva a todo tratamiento de datos personales cuando:
a) el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro. Cuando el mismo responsable del tratamiento esté establecido en el territorio de varios Estados miembros deberá adoptar las medidas necesarias para garantizar que cada uno de dichos establecimientos cumple las obligaciones previstas por el Derecho nacional aplicable;
[…]».
10. Recogido en el capítulo II, sección I, titulada «Principios relativos a la calidad de los datos», de la Directiva 95/46, el artículo 6 establece lo siguiente:
«1. Los Estados miembros dispondrán que los datos personales sean:
a) tratados de manera leal y lícita;
b) recogidos con fines determinados, explícitos y legítimos, y no sean tratados posteriormente de manera incompatible con dichos fines; no se considerará incompatible el tratamiento posterior de datos con fines históricos, estadísticos o científicos, siempre y cuando los Estados miembros establezcan las garantías oportunas;
c) adecuados, pertinentes y no excesivos con relación a los fines para los que se recaben y para los que se traten posteriormente;
d) exactos y, cuando sea necesario, actualizados; deberán tomarse todas las medidas razonables para que los datos inexactos o incompletos, con respecto a los fines para los que fueron recogidos o para los que fueron tratados posteriormente, sean suprimidos o rectificados;
e) conservados en una forma que permita la identificación de los interesados durante un período no superior al necesario para los fines para los que fueron recogidos o para los que se traten ulteriormente. Los Estados miembros establecerán las garantías apropiadas para los datos personales archivados por un período más largo del mencionado, con fines históricos, estadísticos o científicos.
2. Corresponderá a los responsables del tratamiento garantizar el cumplimiento de lo dispuesto en el apartado 1.»
11. Incluido en el capítulo II, sección II, que lleva por título «Principios relativos a la legitimación del tratamiento de datos», de la Directiva 95/46, el artículo 7 dispone:
«Los Estados miembros dispondrán que el tratamiento de datos personales solo pueda efectuarse si:
[…]
f) es necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, siempre que no prevalezca el interés o los derechos y libertades fundamentales del interesado que requieran protección con arreglo al apartado 1 del artículo 1 de la presente Directiva.»
12. En el capítulo II, sección III, titulada «Categorías especiales de tratamientos», de la Directiva 95/46, se incluyen los artículos 8 y 9. El artículo 8 de dicha Directiva, que lleva por título «Tratamiento de categorías especiales de datos», prevé lo siguiente:
«1. Los Estados miembros prohibirán el tratamiento de datos personales que revelen el origen racial o étnico, las opiniones políticas, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, así como el tratamiento de los datos relativos a la salud o a la sexualidad.
2. Lo dispuesto en el apartado 1 no se aplicará cuando:
a) el interesado haya dado su consentimiento explícito a dicho tratamiento, salvo en los casos en los que la legislación del Estado miembro disponga que la prohibición establecida en el apartado 1 no pueda levantarse con el consentimiento del interesado, o
b) el tratamiento sea necesario para respetar las obligaciones y derechos específicos del responsable del tratamiento en materia de Derecho laboral en la medida en que esté autorizado por la legislación y ésta prevea garantías adecuadas, o
c) el tratamiento sea necesario para salvaguardar el interés vital del interesado o de otra persona, en el supuesto de que el interesado esté física o jurídicamente incapacitado para dar su consentimiento, o
d) el tratamiento sea efectuado en el curso de sus actividades legítimas y con las debidas garantías por una fundación, una asociación o cualquier otro organismo sin fin de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que se refiera exclusivamente a sus miembros o a las personas que mantengan contactos regulares con la fundación, la asociación o el organismo por razón de su finalidad y con tal de que los datos no se comuniquen a terceros sin el consentimiento de los interesados, o
e) el tratamiento se refiera a datos que el interesado haya hecho manifiestamente públicos o sea necesario para el reconocimiento, ejercicio o defensa de un derecho en un procedimiento judicial.
[…]
4. Siempre que dispongan las garantías adecuadas, los Estados miembros podrán, por motivos de interés público importantes, establecer otras excepciones, además de las previstas en el apartado 2, bien mediante su legislación nacional, bien por decisión de la autoridad de control.
5. El tratamiento de datos relativos a infracciones, condenas penales o medidas de seguridad, solo podrá efectuarse bajo el control de la autoridad pública o si hay previstas garantías específicas en el Derecho nacional, sin perjuicio de las excepciones que podrá establecer el Estado miembro basándose en disposiciones nacionales que prevean garantías apropiadas y específicas. Sin embargo, solo podrá llevarse un registro completo de condenas penales bajo el control de los poderes públicos.
Los Estados miembros podrán establecer que el tratamiento de datos relativos a sanciones administrativas o procesos civiles se realicen asimismo bajo el control de los poderes públicos.
6. Las excepciones a las disposiciones del apartado 1 que establecen los apartados 4 y 5 se notificarán a la Comisión.
[…]»
13. El artículo 9 de la Directiva 95/46, titulado «Tratamiento de datos personales y libertad de expresión», dispone:
«En lo referente al tratamiento de datos personales con fines exclusivamente periodísticos o de expresión artística o literaria, los Estados miembros establecerán, respecto de las disposiciones del presente capítulo, del capítulo IV y del capítulo VI, exenciones y excepciones solo en la medida en que resulten necesarias para conciliar el derecho a la intimidad con las normas que rigen la libertad de expresión.»
14. De conformidad con el artículo 12 de la citada Directiva, titulado «Derecho de acceso»:
«Los Estados miembros garantizarán a todos los interesados el derecho de obtener del responsable del tratamiento:
[…]
b) en su caso, la rectificación, la supresión o el bloqueo de los datos cuyo tratamiento no se ajuste a las disposiciones de la presente Directiva, en particular a causa del carácter incompleto o inexacto de los datos;
[…]».
15. A tenor del artículo 14 de esa misma Directiva, que lleva por título «Derecho de oposición del interesado»:
«Los Estados miembros reconocerán al interesado el derecho a:
a) oponerse, al menos en los casos contemplados en las letras e) y f) del artículo 7, en cualquier momento y por razones legítimas propias de su situación particular, a que los datos que le conciernan sean objeto de tratamiento, salvo cuando la legislación nacional disponga otra cosa. En caso de oposición justificada, el tratamiento que efectúe el responsable no podrá referirse ya a esos datos;
[…]».
16. El artículo 28 de la citada Directiva, titulado «Autoridad de control», tiene el siguiente tenor:
«1. Los Estados miembros dispondrán que una o más autoridades públicas se encarguen de vigilar la aplicación en su territorio de las disposiciones adoptadas por ellos en aplicación de la presente Directiva.
[…]
3. La autoridad de control dispondrá, en particular, de:
– poderes de investigación, como el derecho de acceder a los datos que sean objeto de un tratamiento y el de recabar toda la información necesaria para el cumplimiento de su misión de control;
– poderes efectivos de intervención, como, por ejemplo, el de […] ordenar el bloqueo, la supresión o la destrucción de datos, o incluso prohibir provisional o definitivamente un tratamiento […],
[…]
Las decisiones de la autoridad de control lesivas de derechos podrán ser objeto de recurso jurisdiccional.
4. Toda autoridad de control entenderá de las solicitudes que cualquier persona, o cualquier asociación que la represente, le presente en relación con la protección de sus derechos y libertades respecto del tratamiento de datos personales. Esa persona será informada del curso dado a su solicitud.
[…]
6. Toda autoridad de control será competente, sean cuales sean las disposiciones de Derecho nacional aplicables al tratamiento de que se trate, para ejercer en el territorio de su propio Estado miembro los poderes que se le atribuyen en virtud del apartado 3 del presente artículo. Dicha autoridad podrá ser instada a ejercer sus poderes por una autoridad de otro Estado miembro.
Las autoridades de control cooperarán entre sí en la medida necesaria para el cumplimiento de sus funciones, en particular mediante el intercambio de información que estimen útil.
[…]»
2. Reglamento n.o 2016/679
17. De conformidad con su artículo 99, apartado 2, el Reglamento n.o 2016/679 es aplicable a partir del 25 de mayo de 2018. El artículo 94, apartado 1, de dicho Reglamento deroga la Directiva 95/46 con efectos a partir de esa misma fecha.
18. El artículo 9 del citado Reglamento, titulado «Tratamiento de categorías especiales de datos personales», dispone lo siguiente:
«1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientaciones sexuales de una persona física.
2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
a) el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
[…]
e) el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
[…]
g) el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
[…]».
19. De conformidad con el artículo 10 del mencionado Reglamento, que lleva por título «Tratamiento de datos personales relativos a condenas e infracciones penales»:
«El tratamiento de datos personales relativos a condenas e infracciones penales o medidas de seguridad conexas sobre la base del artículo 6, apartado 1, solo podrá llevarse a cabo bajo la supervisión de las autoridades públicas o cuando lo autorice el Derecho de la Unión o de los Estados miembros que establezca garantías adecuadas para los derechos y libertades de los interesados. Solo podrá llevarse un registro completo de condenas penales bajo el control de las autoridades públicas.»
20. El artículo 17 de ese mismo Reglamento, titulado «Derecho de supresión (“el derecho al olvido”)», tiene el siguiente tenor:
«1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
a) los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
b) el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
c) el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
d) los datos personales hayan sido tratados ilícitamente;
e) los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
f) los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1.
2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos.
3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
a) para ejercer el derecho a la libertad de expresión e información;
b) para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
c) por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras h) e i), y apartado 3;
d) con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
e) para la formulación, el ejercicio o la defensa de reclamaciones.»
21. El artículo 18 del Reglamento n.o 2016/679, titulado «Derecho a la limitación del tratamiento», prevé:
«1. El interesado tendrá derecho a obtener del responsable del tratamiento la limitación del tratamiento de los datos cuando se cumpla alguna de las condiciones siguientes:
a) el interesado impugne la exactitud de los datos personales, durante un plazo que permita al responsable verificar la exactitud de los mismos;
b) el tratamiento sea ilícito y el interesado se oponga a la supresión de los datos personales y solicite en su lugar la limitación de su uso;
[…]
d) el interesado se haya opuesto al tratamiento en virtud del artículo 21, apartado 1, mientras se verifica si los motivos legítimos del responsable prevalecen sobre los del interesado.
2. Cuando el tratamiento de datos personales se haya limitado en virtud del apartado 1, dichos datos solo podrán ser objeto de tratamiento, con excepción de su conservación, con el consentimiento del interesado o para la formulación, el ejercicio o la defensa de reclamaciones, o con miras a la protección de los derechos de otra persona física o jurídica o por razones de interés público importante de la Unión o de un determinado Estado miembro.
3. Todo interesado que haya obtenido la limitación del tratamiento con arreglo al apartado 1 será informado por el responsable antes del levantamiento de dicha limitación.»
22. El artículo 21, apartado 1, de ese Reglamento, titulado «Derecho de oposición», establece lo siguiente:
«El interesado tendrá derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular, a que datos personales que le conciernan sean objeto de un tratamiento basado en lo dispuesto en el artículo 6, apartado 1, letras e) o f), incluida la elaboración de perfiles sobre la base de dichas disposiciones. El responsable del tratamiento dejará de tratar los datos personales, salvo que acredite motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los intereses, los derechos y las libertades del interesado, o para la formulación, el ejercicio o la defensa de reclamaciones.»
23. Según el artículo 85 del citado Reglamento, titulado «Tratamiento y libertad de expresión y de información»:
«1. Los Estados miembros conciliarán por ley el derecho a la protección de los datos personales en virtud del presente Reglamento con el derecho a la libertad de expresión y de información, incluido el tratamiento con fines periodísticos y fines de expresión académica, artística o literaria.
2. Para el tratamiento realizado con fines periodísticos o con fines de expresión académica, artística o literaria, los Estados miembros establecerán exenciones o excepciones de lo dispuesto en los capítulos II (principios), III (derechos del interesado), IV (responsable y encargado del tratamiento), V (transferencia de datos personales a terceros países u organizaciones internacionales), VI (autoridades de control independientes), VII (cooperación y coherencia) y IX (disposiciones relativas a situaciones específicas de tratamiento de datos), si son necesarias para conciliar el derecho a la protección de los datos personales con la libertad de expresión e información.
3. Cada Estado miembro notificará a la Comisión las disposiciones legislativas que adopte de conformidad con el apartado 2 y, sin dilación, cualquier modificación posterior, legislativa u otra, de las mismas.»
B. Derecho francés
24. La Directiva 95/46 ha sido transpuesta al Derecho francés mediante la loi no 78‑17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (Ley n.o 78‑17, de 6 de enero de 1978, sobre Informática, Ficheros y Libertades).
III. Hechos y procedimiento principal
25. G. C., A. F., B. H. y E. D. solicitaron todos ellos a la sociedad Google LLC que retirara diversos enlaces a páginas web publicadas por terceros de la lista de resultados mostrada por el motor de búsqueda gestionado por dicha sociedad en respuesta a una búsqueda efectuada a partir de su nombre respectivo, a lo que dicha sociedad se negó.
26. En particular, G. C. solicitó la retirada de un enlace que remite a un fotomontaje satírico publicado, bajo seudónimo, el 18 de febrero de 2011 en el canal YouTube, en el que se la representaba junto al alcalde del municipio del que era jefa de gabinete y se comentaba de forma explícita la relación íntima que supuestamente mantenía con él y el efecto que esa relación había tenido en su propia proyección política. El referido fotomontaje fue publicado en Internet con ocasión de la campaña electoral para las elecciones locales en las que la G. C. se había presentado como candidata. Cuando se denegó su solicitud de retirada, la interesada no había sido elegida ni era candidata a ningún cargo político local y ya no ejercía las funciones de jefa de gabinete del alcalde del municipio.
27. A. F. solicitó la retirada de enlaces que remitían a un artículo del diario Libération de 9 de septiembre de 2008, reproducido en el sitio de Internet del Centre contre les manipulations mentales (CCMM), relativo al suicidio de una adepta de la Iglesia de la Cienciología en diciembre de 2006. En dicho artículo se menciona a A. F. como responsable de relaciones públicas de la Iglesia de la Cienciología, función que ya no ejerce. Además, el autor del artículo controvertido afirma que se puso en contacto con A. F. para obtener su versión de los hechos y relata las declaraciones recabadas en ese contexto.
28. B. H. solicitó la retirada de enlaces que remitían a artículos, fundamentalmente periodísticos, sobre la investigación judicial iniciada en el mes de junio de 1995 en relación con la financiación del Partido Republicano (PR) en el marco de la cual fue investigado junto con otros empresarios y políticos. El procedimiento iniciado en su contra se concluyó mediante auto de sobreseimiento de 26 de febrero de 2010. La mayor parte de los vínculos controvertidos llevan a artículos que se publicaron en el momento en que se inició la fase de instrucción por lo que no informan del resultado del procedimiento.
29. E. D. solicitó la retirada de enlaces que remiten a dos artículos publicados por Nice Matin y Le Figaro en los que se informa de un juicio penal en el que fue condenado a una pena de siete años de prisión y a una pena accesoria de diez años de seguimiento socio judicial por agresión sexual a menores de quince años. Una de estas crónicas judiciales menciona, además, varios detalles íntimos relativos a E. D. que salieron a la luz durante el proceso.
30. Tras las negativas de Google, los demandantes presentaron ante la Commission nationale de l’informatique et des libertés (Comisión Nacional de Informática y Libertades, Francia; en lo sucesivo, «CNIL») una serie de denuncias para que se instara a dicha sociedad a retirar los enlaces en cuestión. Mediante escritos de 24 de abril de 2015, 28 de agosto de 2015, 21 de marzo de 2016 y 9 de mayo de 2016, la presidenta de la CNIL informó a los denunciantes de que sus denuncias habían sido archivadas.
31. Las demandantes interpusieron entonces recursos contra la negativa de la CNIL a requerir a Google para que procediera a la retirada de enlaces solicitada. Tales recursos fueron acumulados por el órgano jurisdiccional remitente.
IV. Cuestiones prejudiciales y procedimiento ante el Tribunal de Justicia
32. Al entender que tales recursos plantean varias dificultades serias de interpretación de la Directiva 95/46, el Conseil d’État (Consejo de Estado actuando como Tribunal Supremo de lo Contencioso‑Administrativo, Francia) decidió, mediante resolución de 24 de febrero de 2017, recibida en el Tribunal de Justicia el 15 de marzo de 2017, suspender el procedimiento y plantear al Tribunal de Justicia las siguientes cuestiones prejudiciales:
«1) Habida cuenta de las responsabilidades, competencias y posibilidades específicas del gestor de un motor de búsqueda, ¿se aplica igualmente a ese gestor, en su condición de responsable del tratamiento que constituye dicho motor de búsqueda, la prohibición impuesta a los otros responsables del tratamiento de tratar los datos mencionados en los apartados 1 y 5 del artículo 8 de la Directiva 95/46, sin perjuicio de las excepciones previstas en ese mismo texto?
2) En caso de respuesta afirmativa a la primera cuestión prejudicial:
– ¿Debe interpretarse el artículo 8, apartados 1 y 5, de la Directiva 95/46 en el sentido de que la prohibición impuesta al gestor de un motor de búsqueda de tratar los datos mencionados en tales disposiciones, sin perjuicio de las excepciones previstas por dicha Directiva, le obliga a aceptar sistemáticamente las solicitudes de retirada relativas a enlaces que lleven a páginas web que traten tales datos?
– En tales circunstancias, ¿cómo han de interpretarse las excepciones previstas en el artículo 8, apartado 2, letras a) y e), de la Directiva 95/46, cuando se aplican al gestor de un motor de búsqueda, habida cuenta de sus responsabilidades, competencias y posibilidades específicas? En particular, ¿puede negarse dicho gestor a aceptar una solicitud de retirada cuando constate que los enlaces en cuestión dirigen a contenido que, al incluir datos comprendidos en las categorías mencionadas en el apartado 1 del artículo 8, están igualmente incluidos en el ámbito de aplicación de las excepciones previstas en el apartado 2 de este mismo artículo, en concreto, en las letras a) y e)?
– De la misma manera, ¿deben interpretarse las disposiciones de la Directiva 95/46 en el sentido de que, cuando los vínculos cuya retirada se solicita conducen a tratamientos de datos de carácter personal efectuados con fines exclusivamente periodísticos o de expresión artística o literaria, los cuales pueden, por ese motivo, en virtud del artículo 9 de la Directiva 95/46, recoger y tratar datos comprendidos en las categorías mencionadas en el artículo 8, apartados 1 y 5, de la misma Directiva, el gestor de un motor de búsqueda puede, por esta razón, negarse a aceptar una solicitud de retirada de enlaces?
3) En caso de respuesta negativa a la primera cuestión prejudicial:
– ¿Qué exigencias concretas de la Directiva 95/46 debe satisfacer el gestor de un motor de búsqueda, habida cuenta de sus responsabilidades, competencias y posibilidades?
– Cuando compruebe que las páginas web a las que conducen los vínculos cuya retirada se ha solicitado contienen datos cuya publicación en dichas páginas es ilegal, ¿deben interpretarse las disposiciones de la Directiva 95/46 en el sentido de que:
– obligan al gestor de un motor de búsqueda a eliminar dichos vínculos de la lista de resultados obtenida tras una búsqueda efectuada a partir del nombre del solicitante?
– ¿o de que implican solamente que tenga en cuenta dicha circunstancia para apreciar la pertinencia de la solicitud de retirada de enlaces?
– ¿o de que dicha circunstancia carece de importancia a efectos de la apreciación que ha de llevar a cabo?
Por otro lado, si esta circunstancia no es inoperante, ¿cómo ha de apreciarse la legalidad de la publicación de los datos controvertidos en páginas web que provienen de tratamientos que no entran dentro del ámbito de aplicación territorial de la Directiva 95/46 y, por lo tanto, de las legislaciones nacionales que la aplican?
4) Al margen de la respuesta que se dé a la primera cuestión prejudicial:
– Independientemente de la legalidad de la publicación de los datos de carácter personal en la página web a la que conduce el vínculo controvertido, ¿deben interpretarse las disposiciones de la Directiva 95/46 en el sentido de que:
– cuando el solicitante acredite que esos datos son incompletos o inexactos o que no están actualizados, el gestor de un motor de búsqueda está obligado a aceptar la correspondiente solicitud de retirada?
– En particular, cuando el solicitante demuestre que, habida cuenta del desarrollo del procedimiento judicial, la información relativa a una etapa anterior del procedimiento ya no se corresponde con la realidad de su situación, ¿está obligado el gestor de un motor de búsqueda a retirar los vínculos que dirijan a las páginas web que contienen tal información?
– ¿Debe interpretarse el artículo 8, apartado 5, de la Directiva 95/46 en el sentido de que la información sobre la imputación de una persona o sobre un proceso, y la condena que se deriva de este proceso, constituyen datos relativos a infracciones y a condenas penales? En general, cuando una página web contiene datos sobre la condena o los procedimientos judiciales que atañen a una persona física, ¿está comprendida esa página web en el ámbito de aplicación de dichas disposiciones?»
33. A. F., B. H., Google, los Gobiernos francés, irlandés, griego, italiano, austriaco, polaco y del Reino Unido, así como la Comisión Europea, presentaron observaciones escritas.
34. B. H., Google, los Gobiernos francés, irlandés, griego, austriaco y polaco y la Comisión formularon alegaciones orales durante la vista celebrada el 11 de septiembre de 2018.
V. Análisis
A. Observaciones preliminares
1. Acto legislativo pertinente: la Directiva 95/46
35. Las cuestiones planteadas por el órgano jurisdiccional remitente no versan sobre la interpretación de las disposiciones del Reglamento n.o 2016/679 sino de la Directiva 95/46. Pues bien, dicho Reglamento, que resulta aplicable desde el 25 de mayo de 2018, (8) derogó esa Directiva con efectos desde esa misma fecha. (9)
36. En la medida en la que resulta que, conforme al Derecho del procedimiento administrativo francés, la ley aplicable al litigio será la que esté vigente en la fecha de la resolución impugnada, no cabe duda de que la Directiva 95/46 resulta aplicable al litigio principal. Por consiguiente, el Tribunal de Justicia debe interpretar las disposiciones de dicha Directiva.
2. Telón de fondo: la sentencia Google Spain y Google
37. Las cuestiones que el órgano jurisdiccional remitente plantea en el presente asunto tienen como telón de fondo la decisiva sentencia Google Spain y Google, (10) en la que el Tribunal de Justicia declaró, en particular, por cuanto interesa al presente asunto:
– que la actividad de un motor de búsqueda debe calificarse de «tratamiento de datos personales», en el sentido del artículo 2, letra b), de la Directiva 95/46, cuando esa información contiene datos personales, y que el gestor de tal motor de búsqueda debe considerarse «responsable» de dicho tratamiento, en el sentido del mencionado artículo 2, letra d), de la citada Directiva; (11)
– que, para respetar los derechos que establecen el artículo 12, letra b), y el artículo 14, párrafo primero, letra a), de la Directiva 95/46, siempre que se cumplan realmente los requisitos establecidos en ellos, el gestor de un motor de búsqueda está obligado a eliminar de la lista de resultados obtenida tras una búsqueda efectuada a partir del nombre de una persona vínculos a páginas web, publicadas por terceros y que contienen información relativa a esta persona, también en el supuesto de que este nombre o esta información no se borren previa o simultáneamente de estas páginas web, y, en su caso, aunque la publicación en dichas páginas sea en sí misma lícita; (12)
– que, al analizar los requisitos de aplicación del artículo 12, letra b), y el artículo 14, párrafo primero, letra a), de la Directiva 95/46, se tendrá que examinar, en particular, si el interesado tiene derecho a que la información en cuestión relativa a su persona ya no esté, en la situación actual, vinculada a su nombre por una lista de resultados obtenida tras una búsqueda efectuada a partir de su nombre, sin que la apreciación de la existencia de tal derecho presuponga que la inclusión de la información en cuestión en la lista de resultados cause un perjuicio al interesado, (13) y
– que puesto que dicha persona puede, habida cuenta de los derechos que le reconocen los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «Carta»), solicitar que la información de que se trate ya no se ponga a disposición del público en general mediante su inclusión en tal lista de resultados, estos derechos prevalecen, en principio, no solo sobre el interés económico del gestor del motor de búsqueda, sino también sobre el interés de dicho público en acceder a la mencionada información en una búsqueda que verse sobre el nombre de esa persona. Sin embargo, tal no sería el caso si resultara, por razones concretas, como el papel desempeñado por el interesado en la vida pública, que la injerencia en sus derechos fundamentales está justificada por el interés preponderante de dicho público en tener, a raíz de esta inclusión, acceso a la información de que se trate. (14)
38. Los hechos que dieron lugar a la sentencia Google Spain y Google (15) versaban efectivamente sobre datos personales, pero no sobre datos «sensibles» en el sentido del artículo 8 de la Directiva 95/46. Eso nos lleva a la primera cuestión.
B. Sobre la primera cuestión prejudicial
39. Mediante su primera cuestión prejudicial, el órgano jurisdiccional remitente solicita que se dilucide si, habida cuenta de las responsabilidades, competencias y posibilidades específicas del gestor de un motor de búsqueda, también le resulta aplicable la prohibición impuesta a los otros responsables del tratamiento de tratar datos mencionados en los apartados 1 y 5 del artículo 8 de la Directiva 95/46.
40. De conformidad con el artículo 8, apartado 1, de la Directiva 95/46, los Estados miembros prohibirán el tratamiento de datos personales que revelen el origen racial o étnico, las opiniones políticas, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, así como el tratamiento de los datos relativos a la salud o a la sexualidad.
41. Según el apartado 5 del artículo 8 de la misma Directiva, el tratamiento de datos relativos a infracciones, condenas penales o medidas de seguridad, solo podrá efectuarse bajo el control de la autoridad pública o si hay previstas garantías específicas en el Derecho nacional, sin perjuicio de las excepciones que podrá establecer el Estado miembro basándose en disposiciones nacionales que prevean garantías apropiadas y específicas. Sin embargo, solo podrá llevarse un registro completo de condenas penales bajo el control de los poderes públicos. Los Estados miembros podrán establecer que el tratamiento de datos relativos a sanciones administrativas o procesos civiles se realicen asimismo bajo el control de los poderes públicos.
42. Ha de señalarse que el asunto que dio lugar a la sentencia Google Spain y Google (16) no versaba sobre el artículo 8 de la Directiva 95/46. Esta simple constatación me lleva a suponer que, en contra de lo que sostiene Google en sus observaciones, la respuesta a la primera cuestión prejudicial no puede derivarse de tal sentencia. La circunstancia de que ese asunto no tuviera por objeto datos sensibles, en el sentido del artículo 8, apartado 1, de la Directiva 95/46 no significa que un motor de búsqueda no esté sujeto a dicha disposición.
43. En sus conclusiones en el asunto Google Spain y Google, el Abogado General Jääskinen justificó del modo indicado a continuación su postura (que el Tribunal de Justicia no compartió) según la cual un proveedor de servicios de motor de búsqueda en Internet no es «responsable del tratamiento» de datos personales en páginas web fuente de terceros: «La opinión contraria entrañaría que los motores de búsqueda por Internet son incompatibles con el Derecho de la Unión Europea, una conclusión que a mi juicio es absurda. Más concretamente, si se considerara que los proveedores de servicios de motor de búsqueda en Internet son responsables del tratamiento de datos personales contenidos en páginas web fuente de terceros y si en alguna de estas páginas existiera alguna de las “categorías especiales de datos” a las que se refiere el artículo 8 de la Directiva [95/46] (por ejemplo, datos personales que revelen [el origen racial o étnico,] las opiniones políticas o las convicciones religiosas [o filosóficas, la pertenencia a sindicatos], o datos relativos a la salud o a la sexualidad de las personas), la actividad del proveedor de servicios de motor de búsqueda en Internet sería automáticamente ilegal si no se cumplen los estrictos requisitos establecidos en dicho artículo para el tratamiento de tales datos». (17)
44. Este pasaje pone claramente en evidencia la problemática y los retos que presenta este asunto. Dado que la Directiva 95/46, que data de 1995, y cuyas obligaciones tienen como destinatarios, en principio, a los Estados miembros, no se redactó teniendo en mente los motores de búsqueda, según existen en la actualidad, sus disposiciones no se prestan a una aplicación intuitiva y meramente literal a estos. Ese es precisamente el motivo por el que los órganos jurisdiccionales remitentes en el asunto que dio lugar a Google Spain y Google (18) tenían dudas, como en este caso, y acudieron ante el Tribunal de Justicia.
45. Por consiguiente, no procede adoptar un planteamiento de «todo o nada» en cuanto a la aplicabilidad de las disposiciones de la Directiva 95/46 a los motores de búsqueda. En mi opinión, conviene analizar cada disposición desde el punto de vista de la posibilidad de que pueda aplicarse a un motor de búsqueda.
46. Aplicar literalmente a un motor de búsqueda el artículo 8, apartado 1, de la Directiva 95/46 tendría como consecuencia prohibir todo tratamiento de los datos que enumera, sin perjuicio de las excepciones previstas en el artículo 8, apartado 2, de esa Directiva.
47. A este respecto, ha de observarse que ninguna de las partes que ha presentado observaciones propugna una interpretación tan estricta, lo cual es razonable.
48. Una aplicación literal del artículo 8, apartado 1, de la Directiva 95/46 obligaría al motor de búsqueda a comprobar que las listas de resultados obtenidas tras efectuar una búsqueda a partir del nombre de una persona física no contiene enlaces hacia páginas de Internet que revelen datos del tipo indicado en esa disposición, y ello ex ante y de oficio, es decir, aun cuando el interesado no haya formulado una solicitud de retirada.
49. Desde mi punto de vista, un control ex ante de oficio no es ni posible ni deseable.
50. En la sentencia Google Spain y Google, (19) el Tribunal de Justicia señaló que «en la medida en que la actividad de un motor de búsqueda puede afectar, significativamente y de modo adicional a la de los editores de sitios de Internet, a los derechos fundamentales de respeto de la vida privada y de protección de datos personales, el gestor de este motor, como persona que determina los fines y los medios de esta actividad, debe garantizar, en el marco de sus responsabilidades, de sus competencias y de sus posibilidades, que dicha actividad satisface las exigencias de la Directiva 95/46 para que las garantías establecidas en ella puedan tener pleno efecto y pueda llevarse a cabo una protección eficaz y completa de los interesados, en particular, de su derecho al respeto de la vida privada». (20)
51. Es posible extraer dos conclusiones del pasaje anterior. En primer lugar, como sostiene la Comisión en sus observaciones, la Directiva 95/46 parte de la premisa de que todo responsable del tratamiento debe cumplir todas las exigencias que establece, incluidas las recogidas en su artículo 8.
52. En segundo lugar, aunque ese pasaje esté redactado como una obligación que incumbe al gestor de un motor de búsqueda, (21) este solo puede actuar en el marco de sus responsabilidades, de sus competencias y de sus posibilidades. Dicho de otro modo, tal gestor puede no estar en condiciones de garantizar la plena eficacia de las disposiciones de la Directiva 95/46, precisamente porque sus responsabilidades, competencias y posibilidades son limitadas.
53. Por lo tanto, conviene interpretar el artículo 8 de la Directiva 95/46 de forma que se tengan en cuenta las responsabilidades, las competencias y las posibilidades de un gestor de un motor de búsqueda.
54. En tal sentido, procede excluir la aplicación ex ante del artículo 8, apartado 1, de la Directiva 95/46 a los gestores de un motor de búsqueda. El control ex ante de páginas de Internet incluidas en la lista de resultados de una búsqueda no forma parte de las responsabilidades ni de las posibilidades (22) de un motor de búsqueda. Como su propio nombre indica, la tarea del gestor de un motor de búsqueda consiste en buscar, encontrar, relacionar y poner a disposición, gracias a un algoritmo que permite encontrar información de la forma más eficaz. En cambio, no incumbe al gestor de un motor de búsqueda la función de controlar ni de censurar. El gestor de un motor de búsqueda actúa a efectos de la búsqueda y reacciona para proceder a la retirada de un resultado de una búsqueda. Al menos así interpreto yo la sentencia Google Spain y Google. (23)
55. En la misma línea, y como subraya asimismo la Comisión, las prohibiciones y restricciones previstas en el artículo 8, apartado 1, de la Directiva 95/46 no pueden aplicarse a un gestor de un motor de búsqueda como si fuera él quién hubiera publicado los datos sensibles en las páginas de Internet incluidas en los resultados. Lógicamente, un motor de búsqueda no despliega su actividad, que tiene carácter secundario, hasta después de que los datos (sensibles) han sido publicados en línea.
56. Por consiguiente, las prohibiciones y restricciones establecidas en el artículo 8, apartado 1, de la Directiva 95/46 solo pueden aplicarse a un motor de búsqueda en el marco de esa tarea de enumeración de resultados y, por tanto, a través de una comprobación ex post, sobre la base de una solicitud de retirada del interesado.
57. En consecuencia, propongo que se responda a la primera cuestión prejudicial que, habida cuenta de las responsabilidades, competencias y posibilidades de un gestor de un motor de búsqueda, el artículo 8, apartados 1 y 5, de la Directiva 95/46 se aplica, en principio, a las actividades de tal gestor de un motor de búsqueda.
58. Las modalidades de esa aplicación se abordan en la segunda cuestión prejudicial.
C. Sobre la segunda cuestión prejudicial
59. La segunda cuestión prejudicial, planteada para el caso en el que el Tribunal de Justicia declare que el artículo 8, apartados 1 y 5, de la Directiva 95/46 se aplica al tratamiento efectuado por el gestor de un motor de búsqueda, consta de tres partes.
60. En efecto, el órgano jurisdiccional remitente solicita, en esencia,
– que se dilucide si, sin perjuicio de las excepciones previstas por la Directiva 95/46, la prohibición de tratar datos de la categoría indicada en el artículo 8, apartados 1 y 5, de dicha Directiva que se impone al gestor de un motor de búsqueda le obliga a aceptar sistemáticamente las solicitudes de retirada relativas a enlaces que lleven a páginas web en las que figuren tales datos;
– que se establezca cómo se aplican las excepciones específicas, previstas en el artículo 8, apartado 2, letras a) y e), de la Directiva 95/46, al tratamiento llevado a cabo por un gestor de un motor de búsqueda y, en particular, que se dilucide si este puede negarse a aceptar una solicitud de retirada de enlaces sobre la base de dichas excepciones, y
– que se le proporcionen aclaraciones sobre las excepciones recogidas en el artículo 9 de la Directiva 95/46 para tratamientos con fines exclusivamente periodísticos o de expresión artística o literaria, en la medida en que tales excepciones resultan necesarias para conciliar el Derecho a la intimidad y las normas en materia de libertad de expresión. A este respecto, el órgano jurisdiccional remitente pregunta si el gestor de un motor de búsqueda pueda negarse a aceptar una solicitud de retirada de enlaces cuando comprueba que los datos que figuran en la página a la que dirige el enlace controvertido se muestran allí lícitamente, al estar cubierto por esa excepción el tratamiento realizado a ese respecto por el editor de la citada página web.
61. Examinaré esas subcuestiones en el orden en el que han sido planteadas.
1. Sobre la retirada de enlaces sistemática
62. La premisa de la que ha de partirse es que, a falta de un motivo que lo justifique, en el sentido de los artículos 8 y 9 de la Directiva 95/46, la negativa del gestor de un motor de búsqueda a retirar el enlace a una página de Internet es contraria al artículo 8, apartados 1 o 5, de dicha Directiva.
63. Google, así como los Gobiernos irlandés, austriaco y del Reino Unido, sostienen que se trata de un elemento importante, pero no decisivo, en el marco de la ponderación de los derechos y de los intereses que el gestor del motor de búsqueda debería realizar respecto de cada solicitud de retirada de enlaces, incluidas aquellas que versan sobre enlaces que remiten a sitios de Internet en los que se tratan categorías particulares de datos, en el sentido del artículo 8, apartados 1 o 5, de la Directiva 95/46.
64. En cambio, los Gobiernos francés, italiano y polaco y la Comisión, consideran que la prohibición de tratamiento que establece el artículo 8, apartados 1 y 5, de la Directiva 95/46 implica que el gestor de un motor de búsqueda que recibe una solicitud de retirada de enlaces debe aceptarla sistemáticamente, es decir, sin poder o deber comprobar más elementos que la falta de justificación.
65. Estoy de acuerdo con esta última postura.
66. En efecto, el tenor literal del artículo 8, apartados 1 y 5, de la Directiva 95/46 no permite dudar de que se trata de una obligación de prohibición de tratamiento de los datos sensibles que se enumeran en dicho precepto. En efecto, desde mi punto de vista, difícilmente podría considerarse en esa situación que dicha obligación constituye solo un elemento más que ha de tomarse en consideración en el marco del examen de una solicitud de retirada de enlaces.
67. Tal planteamiento constituye un desarrollo lógico del asunto en el que se dictó la sentencia Google Spain y Google. (24) Recordemos que ese asunto únicamente versaba sobre datos cuya publicación era, en sí, lícita. Por consiguiente, en un primer momento, el Tribunal de Justicia declaró que el gestor de un motor de búsqueda estaba obligado a eliminar, de la lista de resultados obtenida tras una búsqueda efectuada a partir del nombre de una persona, enlaces a páginas web publicadas por terceros y que contenían información relativa a esta persona —aunque la publicación en sí misma en dichas páginas fuera lícita (25)— antes de ponderar, en segundo momento, los derechos del interesado con el interés económico del gestor del motor de búsqueda y con el interés del público en acceder a la mencionada información. (26)
68. A este respecto, me permito abrir un paréntesis en relación con el asunto Google Spain y Google. En la medida en que está generalmente aceptado que, cuando una información es lícita, la persona que la divulga está amparada en cualquier caso por la libertad de expresión consagrada en el artículo 11 de la Carta, habría resultado útil que el Tribunal de Justicia se hubiera referido a dicho derecho fundamental de forma expresa. Ello habría puesto en mayor evidencia que no solo es preciso ponderar los artículos 7 y 8 de la Carta, por un lado, y la libertad de información, por otro, sino que la libertad de expresión también debe ser tenida en cuenta. Volveré sobre esta cuestión en mi análisis referido al artículo 9 de la Directiva 95/46.
69. En cambio, no creo que quepa efectuar esa ponderación en el marco del artículo 8 de la Directiva 95/46. Una vez que queda patente que se han tratado datos sensibles, es preciso aceptar la solicitud de retirada de enlaces.
70. Soy perfectamente consciente de la postura adoptada por el «Grupo de trabajo de protección de datos del artículo 29» (27) en sus «Directrices sobre la ejecución de la sentencia [Google Spain y Google (28)]» de 26 de noviembre de 2014 (29) (en lo sucesivo, «Directrices»), según la cual, en primer lugar, en la mayoría de los casos en los que se presenta una solicitud de retirada de enlaces, es preciso tener más de un criterio en cuenta antes de adoptar una decisión; en segundo lugar, ningún criterio es determinante por sí solo; (30) y, en tercer lugar, en lo concerniente, en particular, al artículo 8 de la Directiva 95/46, «es más probable que las [autoridades de protección de datos] intervengan cuando se deniegue la exclusión de la lista». (31)
71. A este respecto, considero evidente que, antes de tomar una decisión sobre una solicitud de retirada de enlaces, deben tenerse en cuenta varios criterios. En cambio, no creo que la afirmación según la cual una autoridad de protección de datos será más proclive a intervenir sea lo suficientemente clara y explicativa. Si resulta que ciertos datos están comprendidos en las categorías sensibles mencionadas en el artículo 8, apartados 1 y 5, de la Directiva 95/46, su tratamiento está entonces prohibido.
72. Por consiguiente, creo que la prevención de una eventual mayor difusión de esos datos a través de un motor de búsqueda también está cubierta por la ratio legis del artículo 8, apartados 1 y 5, de la Directiva 95/46. Dado que, en virtud de la mencionada disposición, el legislador considera ilícito el tratamiento de determinados datos, de ello se desprende, en mi opinión, que el tratamiento independiente que realiza el gestor de un motor de búsqueda también lo es, al menos desde el momento en el que ese mismo gestor rechaza una solicitud de retirada de enlaces.
73. Dicho de otro modo, con el artículo 8 de la Directiva 95/46, el legislador de la Unión ya ha zanjado la cuestión de los datos sensibles, de forma que no procede efectuar ponderación alguna. Esta interpretación queda corroborada por el hecho de que el Reglamento n.o 2016/679 no solo ha mantenido la prohibición (32) del tratamiento de datos sensibles, sino que ha ampliado dicha categoría. (33)
74. Por consiguiente, sin perjuicio de las excepciones previstas por la Directiva 95/46, la prohibición de tratar datos de la categoría indicada en el artículo 8, apartados 1 y 5, de dicha Directiva que se impone al gestor de un motor de búsqueda le obliga a aceptar sistemáticamente las solicitudes de retirada relativas a enlaces que lleven a páginas web en las que figuren tales datos.
2. Sobre las excepciones específicas previstas en el artículo 8, apartado 2, letras a) y e), de la Directiva 95/46
75. El órgano jurisdiccional remitente solicita aclaraciones exclusivamente sobre dos de las cinco excepciones previstas en el artículo 8, apartado 2, de la Directiva 95/46.
76. Según el artículo 8, apartado 2, letra a), de la Directiva 95/46, el apartado 1 no se aplica cuando el interesado haya dado su consentimiento explícito (34) a dicho tratamiento, salvo en los casos en los que la legislación del Estado miembro disponga que la prohibición establecida en el apartado 1 no pueda levantarse con el consentimiento del interesado. El artículo 8, apartado 2, letra e), de la Directiva 95/46 dispone que el apartado 1 de dicho artículo no se aplica cuando el tratamiento se refiera a datos que el interesado haya hecho manifiestamente públicos o sea necesario para el reconocimiento, ejercicio o defensa de un derecho en un procedimiento judicial.
77. En la medida en la que, conforme a la solución que propongo al Tribunal de Justicia, considero que las prohibiciones de tratamiento previstas en el artículo 8, apartados 1 y 5, de la Directiva 95/46 son aplicables, estimo que, en principio, las excepciones establecidas en ese mismo artículo 8 de la Directiva 95/46 también se aplican, aun cuando algunas de las excepciones recogidas en el artículo 8, apartado 2, de la Directiva 95/46 parecen ser más teóricas que prácticas en lo que respecta a su aplicabilidad a un motor de búsqueda. (35) El gestor de un motor de búsqueda puede, por tanto, negarse a aceptar una solicitud de retirada de enlaces cuando concurran las condiciones establecidas en el artículo 8, apartado 2, de la citada Directiva.
3. Sobre el tratamiento de datos de carácter personal y la libertad de expresión (artículo 9 de la Directiva 95/46)
78. A tenor del artículo 9 de la Directiva 95/46, en lo referente al tratamiento de datos personales con fines exclusivamente periodísticos o de expresión artística o literaria, los Estados miembros establecerán, exenciones y excepciones, en particular, al artículo 8 de la Directiva 95/46 en la medida en que resulten necesarias para conciliar el derecho a la intimidad con las normas que rigen la libertad de expresión.
79. La cuestión que se plantea es si el gestor de un motor de búsqueda puede negarse a aceptar una solicitud de retirada de enlaces cuando comprueba que los datos sensibles que figuran en la página a la que dirige el enlace controvertido se muestran allí lícitamente, al estar cubierto por el artículo 9 de la Directiva 95/46 el tratamiento realizado a ese respecto por el editor de la citada página de Internet.
80. Conviene señalar que, en virtud de la sentencia Google Spain y Google, (36) es perfectamente posible que una solicitud de retirada de enlaces llegue a buen fin cuando se presenta ante un gestor de un motor de búsqueda pero fracase cuando se dirige contra el editor de la página web a la que reenvía un enlace, en virtud del artículo 9 de la Directiva 95/46. En efecto, el Tribunal de Justicia ha considerado que «el tratamiento por parte del editor de una página web, que consiste en la publicación de información relativa a una persona física, puede, en su caso, efectuarse “con fines exclusivamente periodísticos” y beneficiarse, de este modo, en virtud del artículo 9 de la Directiva 95/46, de las excepciones a los requisitos que esta establece, mientras que ese no es el caso en el supuesto del tratamiento que lleva a cabo el gestor de un motor de búsqueda. De este modo, no puede excluirse que el interesado pueda en determinadas circunstancias ejercer los derechos recogidos en los artículos 12, letra b), y 14, párrafo primero, letra a), de la Directiva 95/46 contra el gestor, pero no contra el editor de dicha página web». (37)
81. Este pasaje clave de la sentencia Google Spain y Google (38) constituye el meollo del razonamiento por el que se justifica el reconocimiento de un «derecho al olvido»: para proteger la vida privada y el derecho a sus datos del interesado, se puede «disparar al mensajero» (incluso) cuando es imposible «rectificar en la fuente», debido al derecho a la libertad de expresión del editor de una página de Internet.
82. Resulta muy tentador interpretar este pasaje en el sentido de que el artículo 9 no se aplica al gestor de un motor de búsqueda.
83. Solicito al Tribunal de Justicia que se resista a caer en esa tentación.
84. En primer lugar, conforme a reiterada jurisprudencia del Tribunal Europeo de Derechos Humanos (en lo sucesivo, «Tribunal de Estrasburgo»), «gracias a su accesibilidad y a su capacidad para conservar y difundir grandes cantidades de datos, los sitios de Internet contribuyen en gran medida a mejorar el acceso del público a las noticias de actualidad y, con carácter general, facilitar la comunicación de la información». (39) Más concretamente, en un asunto que tenía por objeto un sitio de Internet que es uno de los principales servicios para compartir archivos en Internet del mundo, (40) el Tribunal de Estrasburgo señaló que «el artículo 10 del Convenio para la Protección de los Derechos Humanos y de las Libertades Fundamentales, firmado en Roma el 4 de noviembre de 1950, (41) no solo se refiere al contenido de la información sino también a los medios de transmisión o captación». (42)
85. El derecho de los usuarios de Internet a buscar o recibir información disponible en Internet está protegido por el artículo 11 de la Carta. (43) Afecta tanto a la información contenida en las páginas web fuente cuanto a la información proporcionada por los motores de búsqueda. (44)
86. En segundo lugar, la única conclusión que puede extraerse del pasaje antes citado de la sentencia Google Spain y Google (45) es que el artículo 9 de la Directiva 95/46 no se aplica en sí directamente a la actividad del gestor de un motor de búsqueda. Dado que la actividad del citado gestor es secundaria respecto de la actividad, primaria, del emisor de la información, es lógico que el artículo 9 de la Directiva 96/45 concierna a ese emisor en primer lugar. Sin embargo, el hecho de que los datos figuren en la página de Internet controvertida con fines periodísticos o de expresión artística o literaria, en el sentido del artículo 9 de la Directiva 95/46, no puede impedir al gestor de un motor de búsqueda que, como ya he señalado anteriormente, está sujeto a las obligaciones previstas en el artículo 8 de esa misma Directiva, invocar el artículo 9 de la citada Directiva 95/46.
87. La circunstancia de que los datos que figuran en una página de Internet estén comprendidos en el ámbito del artículo 9 de dicha Directiva debe constituir un elemento que permita denegar una solicitud de retirada de enlaces.
88. El artículo 9 de la Directiva 95/46 concreta, en el ámbito del Derecho derivado, la libertad de expresión y de información y la libertad de los medios de comunicación, consagradas en el artículo 11 de la Carta. Dicho de otro modo, en el marco de la ponderación que debe efectuarse entre el derecho al respeto de la vida privada y el derecho a la protección de datos en virtud de los artículos 7 y 8 de la Carta, por un lado, y el derecho del público a acceder a la información de que se trata, por otro lado, debe tenerse en cuenta la circunstancia de que esa información proceda de un periodista o constituya una expresión artística o literaria.
89. En resumen, aunque es cierto que el Tribunal de Justicia podría haber formulado con mayor claridad algunas de sus consideraciones en la sentencia Google Spain y Google, (46) no puede excluirse que la libertad de expresión no haya sido tenida en cuenta en el examen del respeto de los requisitos previstos en el artículo 12, letra b), y en el artículo 14, párrafo primero, letra a), de la Directiva 95/46 efectuado en esa sentencia. Desde mi punto de vista, al ponderar el interés de los internautas potencialmente interesados en acceder a una página de Internet a través de una búsqueda realizada a partir del nombre del interesado y los derechos fundamentales de esa persona con arreglo a los artículos 7 y 8 de la Carta, también es preciso tener en cuenta la libertad de expresión y de información de los editores y de los internautas, garantizada por el artículo 11 de la Carta.
90. Mi apreciación queda corroborada por las Directrices según las cuales «Las [autoridades de protección de datos] reconocen que, en función del contexto, puede ser relevante examinar si la información se publicó para fines periodísticos. El hecho de que la información fuera publicada por un periodista cuyo trabajo consista en informar al público es un factor de peso en el equilibrio. No obstante, este criterio por sí solo no constituye base suficiente para denegar una solicitud de exclusión, puesto que la sentencia distingue claramente entre la legitimación para la publicación de la información en los medios de comunicación y la legitimación del motor de búsqueda para organizar los resultados de la búsqueda realizada a partir del nombre de la persona». (47)
91. Por último, procede destacar que el artículo 17 del Reglamento n.o 2016/679, que codifica a partir de ahora el «derecho al olvido», prevé, en su apartado 3, letra a), una excepción a dicho derecho cuando el tratamiento sea necesario para ejercer el derecho a la libertad de expresión e información. Dicha excepción se aplica a todos los motivos en los que se puede fundamentar un derecho al olvido, enumerados en el artículo 17, apartado 1, de la Directiva 95/46, y, por tanto, incluso cuando los datos personales han sido objeto de un tratamiento ilícito [apartado 1, letra d)]. En consecuencia, el Reglamento n.o 2016/679 prevé pues una limitación del derecho a la retirada de enlaces basada en la libertad de expresión y de información, aun cuando el tratamiento tenga por objeto datos sensibles.
92. Por tanto, propongo al Tribunal de Justicia que responda a la segunda cuestión prejudicial que, en virtud del artículo 8, apartados 1 y 5, de la Directiva 95/46, el gestor de un motor de búsqueda está obligado a aceptar sistemáticamente las solicitudes de retirada relativas a enlaces que lleven a páginas web en las que figuren los datos sensibles a que alude dicha disposición, sin perjuicio de las excepciones previstas por la Directiva 95/46, como las recogidas en el artículo 8, apartado 2, letras a) y e), de la citada Directiva. En cambio, la circunstancia de que los datos que figuren en la página de Internet en cuestión estén comprendidos en el ámbito del artículo 9 de la Directiva 95/46 constituye un elemento que permite denegar una solicitud de retirada de enlaces. En ese contexto, el gestor de un motor de búsqueda debe ponderar, por un lado, el derecho al respeto de la vida privada y el derecho a la protección de datos, consagrados en los artículos 7 y 8 de la Carta, y, por otro lado, el derecho del público a acceder a la información de que se trate y el derecho a la libertad de expresión de la persona de la que emane la información, protegidos por el artículo 11 de la Carta.
D. Sobre la tercera cuestión prejudicial
93. Habida cuenta de que la tercera cuestión prejudicial se plantea «en caso de respuesta negativa» a la primera cuestión prejudicial y de que propongo que dicha cuestión prejudicial se responda en sentido afirmativo, no procede responder a la tercera cuestión prejudicial.
E. Sobre la cuarta cuestión prejudicial
94. La cuarta cuestión prejudicial consta de dos partes.
95. Mediante la primera parte de dicha cuestión prejudicial, el órgano jurisdiccional remitente solicita al Tribunal de Justicia que determine si cuando el solicitante acredita que sus datos personales, publicados en la página de Internet a la que dirige el enlace controvertido, han dejado de ser completos o exactos o de estar actualizados, el gestor de un motor de búsqueda está obligado a aceptar su solicitud de retirada de enlaces.
96. Así, el órgano jurisdiccional remitente solicita que se dilucide si existe esa obligación cuando el solicitante demuestra que, a la luz del desarrollo del procedimiento judicial, la información relativa a una fase anterior del mismo ya no refleja la realidad actual de su situación.
97. Mediante la segunda parte de la cuarta cuestión prejudicial, que hace referencia, en particular, a los procedimientos principales que conciernen a B. H. y E. D., el órgano jurisdiccional remitente solicita que se determine si la información referida a la imputación de un individuo o que relata el desarrollo de un proceso y la condena que se deriva de dicho proceso constituyen datos relativos a infracciones y a condenas penales, en el sentido del artículo 8, apartado 5 de la Directiva 95/46, y, en particular, si una página web que contiene datos sobre la condena o los procedimientos judiciales que atañen a una persona física, está comprendida en el ámbito de dicha disposición.
98. Conviene analizar la segunda parte antes que la primera.
99. De conformidad con el artículo 8, apartado 5, de la Directiva 95/46, el tratamiento de datos relativos a infracciones, condenas penales o medidas de seguridad, solo podrá efectuarse bajo el control de la autoridad pública o si hay previstas garantías específicas en el Derecho nacional, sin perjuicio de las excepciones que podrá establecer el Estado miembro basándose en disposiciones nacionales que prevean garantías apropiadas y específicas. Sin embargo, solo podrá llevarse un registro completo de condenas penales bajo el control de los poderes públicos. Los Estados miembros podrán establecer que el tratamiento de datos relativos a sanciones administrativas o procesos civiles se realicen asimismo bajo el control de los poderes públicos.
100. En mi opinión, la información relativa a procedimientos judiciales publicada en páginas de Internet, como las controvertidas en los asuntos concernientes a B. H. y E. D., constituyen datos en el sentido del artículo 8, apartado 5, de la Directiva 95/46. Aunque el procedimiento penal no haya dado lugar a una condena, se trata efectivamente de un dato relativo a una infracción.
101. Queda por responder la primera parte de la cuarta cuestión prejudicial, relativa a las conclusiones que han de extraerse de esa apreciación en lo que respecta a los artículos, en particular periodísticos, que relatan una fase anterior de un procedimiento judicial y que, por definición, ya no están actualizados.
102. A la luz de la respuesta que propongo que se dé a la tercera parte de la segunda cuestión prejudicial, considero que, al tratarse de un artículo periodístico, sería preciso adoptar un planteamiento matizado, por cuanto que se trata de datos de carácter personal reseñados con fines exclusivamente periodísticos.
103. A este respecto, según las Directrices, «en los Estados miembros puede haber diferentes criterios acerca de la disponibilidad de información sobre los delincuentes y sus delitos. Puede haber disposiciones legales específicas que influyan en la disponibilidad de tal información a lo largo del tiempo. Las [autoridades de protección de datos] abordarán estos casos aplicando los principios y criterios nacionales relevantes. Como regla, es más probable que consideren apropiada la exclusión de los resultados relativos a infracciones menores cometidas hace tiempo, y menos probable que la consideren cuando se trate de infracciones más graves cometidas más recientemente. En todo caso, estos casos han de ser examinados cuidadosamente y de forma individual». (48)
104. En la misma línea, estimo que conviene realizar un examen caso por caso, en el que el gestor del motor de búsqueda debe ponderar el derecho al respeto de la vida privada y el derecho a la protección de los datos, consagrados en los artículos 7 y 8 de la Carta, por un lado, y el derecho del público a acceder a la información de que se trate, por otro lado, teniendo en cuenta en cualquier caso que esa información se publica con fines periodísticos o constituye una expresión artística o literaria.
VI. Conclusión
105. Habida cuenta de las anteriores consideraciones, propongo al Tribunal de Justicia que responda a las cuestiones prejudiciales planteadas por el Conseil d’État (Consejo de Estado, Francia) del siguiente modo:
«1) Habida cuenta de las responsabilidades, competencias y posibilidades de un gestor de un motor de búsqueda, el artículo 8, apartados 1 y 5, de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, se aplica, en principio, a las actividades de dicho gestor.
2) La retirada del enlace a una página de Internet con datos que informan de la comisión de un delito y de una imputación penal está comprendida en el ámbito de aplicación del artículo 8, apartado 5, de la Directiva 95/46.
3) En virtud del artículo 8, apartados 1 y 5, de la Directiva 95/46, el gestor de un motor de búsqueda está obligado a aceptar sistemáticamente las solicitudes de retirada relativas a enlaces que lleven a páginas web en las que figuren los datos sensibles a que alude dicha disposición, sin perjuicio de las excepciones previstas por la Directiva 95/46, como las recogidas en el artículo 8, apartado 2, letras a) y e), de la citada Directiva.
4) En cambio, la circunstancia de que los datos que figuran en una página de Internet estén comprendidos en el ámbito del artículo 9 de la Directiva 45/46 constituye un elemento que permite denegar una solicitud de retirada de enlaces. En ese contexto, el gestor de un motor de búsqueda debe ponderar, por un lado, el derecho al respeto de la vida privada y el derecho a la protección de datos, consagrados en los artículos 7 y 8 de la Carta, y, por otro lado, el derecho del público a acceder a la información de que se trate y el derecho a la libertad de expresión de la persona de la que emane la información, protegidos por el artículo 11 de la Carta.»