L'Agence espagnole de protection des données (AEPD) a communiqué la résolution de la procédure engagée contre la société Google LLC dans laquelle elle déclare l'existence d'infractions graves à la réglementation sur la protection des données et impose une amende de 10 millions d'euros à la société de transfert de données. à des tiers sans légitimité pour le faire et entraver le droit de suppression des citoyens (articles 6 et 17 du règlement général sur la protection des données).
Google LLC est responsable des analyses et des traitements effectués aux USA. Dans le cas de la communication de données à des tiers, l'Agence a vérifié que Google LLC a envoyé à Proyecto Lumen des informations sur les demandes faites par les citoyens, y compris leur identification, leur adresse e-mail, les raisons alléguées et l'URL demandée. Ce projet a pour mission de collecter et de mettre à disposition des demandes de suppression de contenu, pour lesquelles l'Agence considère que, étant donné que toutes les informations contenues dans la demande du citoyen sont transmises de manière à ce qu'elles incluent des données accessibles au public dans une autre base de données et qu'elles être divulguée par le biais d'un site Internet, "signifie en pratique de contrecarrer l'objectif de l'exercice du droit de suppression".
La résolution reconnaît que cette communication de données par Google LLC à Lumen Project s'impose à l'utilisateur qui a l'intention d'utiliser ce formulaire, sans l'opter et, par conséquent, s'il existe un consentement valable pour que cette communication soit soulevée. au cap L'établissement de cette condition dans l'exercice d'un droit reconnu aux intéressés n'est pas couvert par le règlement général sur la protection des données car il génère "un traitement supplémentaire des données sur lesquelles se fonde la demande de suppression lors de leur communication à un tiers". De même, dans la politique de confidentialité de Google LLC, il n'y a aucune mention de ce traitement des données personnelles des utilisateurs, ni parmi les finalités de la communication au projet Lumen.
L'AEPD inclut également dans sa résolution qu'elle a présenté la demande de suppression de contenu et s'est conformée au droit, c'est-à-dire qu'une fois la suppression des données personnelles convenue, "il n'y a plus de traitement de la même chose, tout comme la communication que Google LLC fait pour le projet Lumen.
Concernant l'exercice des droits des citoyens, l'AEPD a détaillé dans sa résolution qu'"il est difficile de déduire si la demande est formulée en invoquant la réglementation sur la protection des données personnelles, simplement parce que cette réglementation n'est mentionnée dans aucun des formulaires, quelle qu'en soit la raison que l'intéressé choisit parmi les options proposées, à l'exception du formulaire intitulé "Retrait en vertu de la législation de l'UE sur la protection de la vie privée", le seul disponible contenant une référence expresse à ce règlement ».
Le système conçu par Google LLC, qui amène à s'intéresser à travers plusieurs pages pour savoir comment compléter votre demande, vous oblige à cocher au préalable les options qu'il propose, "vous pouvez affiner cela en marquant une option qui convient aux raisons que vous jugez appropriées a intérêt connu, mais qui vous éloigne de votre intention initiale, qui peut être clairement liée à la protection de vos données personnelles, ignorant que ces options vous placent dans un régime réglementaire différent parce que Google LLC l'a voulu ou que votre demande sera résolu selon les politiques internes établies par cette entité ». La résolution de l'Agence reconnaît que ce système équivaut à "et à la discrétion de Google LLC la décision sobre d'appliquer et quand pas le RGPD, et cela reviendrait à accepter que cette entité puisse éviter l'application de la réglementation sur la protection des données personnelles et, plus spécifiquement pour ce cas, accepter que le droit de supprimer les données personnelles soit conditionné par le système d'élimination de contenu conçu par l'entité responsable ».
Outre la sanction économique imposée dans la résolution, l'Agence a également demandé à Google LLC d'adapter à la réglementation sur la protection des données personnelles la communication de données au projet Lumen, ainsi que les processus d'exercice et d'attention au droit de suppression, en concernant les demandes de suppression de contenu de leurs produits et services, ainsi que les informations qu'ils proposent à leurs utilisateurs. De même, Google LLC doit éliminer toutes les données personnelles ayant fait l'objet d'une demande de droit de suppression communiquée à Lumen Project, et a l'obligation ainsi que cette dernière de supprimer et de cesser l'utilisation des données personnelles qu'elle a la libération
