La Agencia Española de Protección de Datos (AEPD) ha comunicado la resolución del procedimiento incoado contra la empresa Google LLC en el que declara la existencia de infracciones graves contra la normativa de protección de datos y le impone una sanción de 10 millones de euros a la cesión de datos a terceros sin legitimación para ello y obstaculizar el derecho de supresión de los ciudadanos (artículos 6 y 17 del Reglamento General de Protección de Datos).
Google LLC es el responsable de los análisis y tratamientos realizados en cabo en EEUU. En el caso de la comunicación de datos a terceros, la Agencia ha constatado que Google LLC envió a Proyecto Lumen información de solicitudes que realizan los ciudadanos, incluida su identificación, dirección de correo electrónico, los alegados motivos y la demande URL. La misión de ese proyecto es la recogida y puesta a disposición de solicitudes de retirada de contenido, por lo que la Agencia considera que, dado que se remite toda la información contenida en la solicitud del ciudadano para que incluya en otra base datos accesibles al público y para que se divulgue a través de una web, “supone en la práctica frustrar la finalidad del ejercicio del derecho de supresión”.
La resolución reconoce que esta comunicación de datos por parte de Google LLC al Proyecto Lumen se impone al usuario que pretende utilizar este formulario, sin optar por ello y, por tanto, si existe un consentimiento válido para que se plantee esta comunicación. en cabo. Establecer esta condición en el ejercicio de un derecho reconocido a los interesados no está amparado por el Reglamento General de Protección de Datos al generarse “un tratamiento adicional de los datos sobre los que versa la solicitud de supresión al comunicarlos a un tercero”. Asimismo, en la política de privacidad de Google LLC, no se hace mención a este tratamiento de datos personales de los usuarios, y tampoco aparece entre las finalidades de la comunicación al Proyecto Lumen.
La AEPD también recoge en su resolución que, presentó la solicitud de retirada de contenido y atendió el derecho, es decir, acordada la supresión de los datos personales, “no cabe un tratamiento posterior de los mismos, como es la comunicación que Google LLC realiza al Proyecto Lumen”.
En cuanto al ejercicio de derechos de los ciudadanos, la AEPD detalló en su resolución que “es difícil deducir si la solicitud se formula invocando la normativa de protección de datos personales, sencillamente porque esta normativa no se menciona en ninguno de los formularios, con independencia del motivo que el interesado seleccione de entre las opciones propuestas, salvo en el formulario denominado ‘Retirada en virtud de la ley de privacidad de la UE’, el único disponible que contiene una referencia expresa a esta normativa”.
El sistema diseñado por Google LLC, que conduce al interés a través de varias páginas a conocer cómo completar su solicitud, obliga a marcar previamente las opciones que ofrece, “puede provocar que este finer marcando una opción que se adapte a los motivos que considera apropiados ha conocido interés, pero que le aparta de su intención originaria, que puede estar claramente vinculada a la protección de sus datos personales, desconociendo que estas opciones le sitúan en un régimen normativo distinto porque así lo ha querido Google LLC ou que su solicitud se resolverá según las políticas internas establecidas por esta entidad”. La resolución de la Agencia reconoce que este sistema equivale a “ya un criterio de Google LLC la decisión sobria al aplicar y cuando no el RGPD, y esto supondría aceptar que esta entidad pueda eludir la aplicación de la normativa de protección de datos personales y , más concretamente para este caso, acepte que el derecho de supresión de datos personales quede condicionado por el sistema de eliminación de contenidos diseñados por la entidad responsable”.
Adicionalmente a la sanción económica impuesta en la resolución, la Agencia también ha requerido à Google LLC par que adecúe à la normativa de protección de datos personales la comunicación de datos al Proyecto Lumen, y los procesos de ejercicio y atención del derecho de supresión, en relación con las solicitudes de retirada de contenido de sus productos y servicios, así como la información que ofrecen a sus usuarios. Asimismo, Google LLC deberá eliminar todos los datos personales que hayan sido objeto de una solicitud de derecho de supresión comunicada al Proyecto Lumen, y tiene la obligación de como a este último para que suprima y cese en la utilización de los datos personales que le haya comunicado
