El poder de autodeterminación de los datos personales en internet

De acuerdo con la Directiva 95/46 CE, la Ley orgánica de protección de datos exige que el consentimiento para el

Page 65

tratamiento de los datos referentes a una persona ha de ser libre, inequívoco, específico e informado.¹⁰Por tanto, no es necesario que tenga carácter expreso en el sentido de que deba haber una declaración al efecto, verbal o escrita,¹¹ sin perjuicio de que en el caso de consentimiento tácito la actuación de la que se deduzca el consentimiento resulte indubitada en este sentido. Por su parte, la Propuesta de reglamento comunitario define el consentimiento como manifestación de voluntad libre, específica, voluntaria, informada y explícita, por la que el interesado acepta por una declaración o un acto positivo inequívoco que los datos de carácter personal que le conciernen sean objeto de tratamiento. Pese a esa exigencia literal del carácter expreso del consentimiento, realmente no se produce ningún cambio sustancial respecto de la regulación hoy vigente, pues al preverse la posibilidad de que se deduzca de un acto positivo inequívoco, todo se reduce a una cuestión lingüística.¹²

Por lo que se refiere a las actuaciones dirigidas a utilizar publicidad comportamental en el marco de internet, que se realiza mediante la actuación de los proveedores de redes de publicidad, los anunciantes y los editores, y a las que les es aplicable la Directiva 95/46 en lo no regulado por la Directiva 2002/58/CE, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas, el artículo 5.3 de la Directiva 2002/58/CE, modificado por la Directiva 2009/136/CE, y traspuesta en nuestro ordenamiento por el Real decreto ley 13/2012 de 30 de marzo, exige que previamente se haya obtenido el consentimiento informado de los usuarios.¹³

La información deberá ser clara y precisa, y abarcar la identidad del responsable de instalar las cookies y recoger la información correspondiente, el funcionamiento de las cookies, el tipo de información que se recaba y la finalidad del tratamiento. Dicho consentimiento puede obtenerse a través de los parámetros adecuados del navegador, siempre que el usuario del ordenador reciba la información previa adecuada y suficiente, y que realice una acción expresa para modificar la configuración predeterminada que por defecto rechace la recogida y el tratamiento de la información para permitir así el uso de las cookies.¹⁴

Hay casos en que los que la Ley de protección de datos no considera necesario el consentimiento del interesado para el tratamiento de su datos: cuando los datos se recojan para el ejercicio de las funciones propias de las administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado; o cuando sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado (art. 6.2 LOPD). En relación con esta última excepción, a la necesidad del interés legítimo añade el precepto «que los datos figuren en fuentes accesibles al público», pero esta exigencia ha de entenderse suprimida tras la sentencia de la Sala Tercera del Tribunal Supremo de 8 de febrero de 2012.¹⁵El hecho de que, por tanto, haya de entenderse que es suficiente el interés legítimo de quien realiza el tratamiento

Page 66

para que sea posible sin consentimiento del interesado, sin necesidad de que los datos provengan de fuentes accesibles al público, no debería llevar a pensar que se ha producido cambio alguno respecto de la necesidad del consentimiento como principio o regla general. Por una parte, se exige que el tratamiento sea necesario para satisfacer el interés legítimo y, por otra, la no vulneración de los derechos fundamentales del titular de los datos como límite, lo que sin duda posee una trascendencia especial teniendo en cuenta que el derecho al control de los propios datos es en sí mismo un derecho fundamental derivado de la propia dignidad de la persona. En definitiva, como señala el propio Tribunal de Luxemburgo en la sentencia de 24 de noviembre de 2011, para que los datos personales puedan efectivamente tratarse sin consentimiento del interesado será necesario, además de la existencia de un interés legítimo del responsable del tratamiento, la «ponderación de los derechos e intereses en conflicto, que dependerá, en principio, de las circunstancias concretas del caso particular de que se trate y cuyo marco la persona o institución que efectúe la ponderación deberá tener en cuenta la importancia de los derechos que los artículos 7 y 8 de la Carta de los derechos fundamentales de la Unión Europea confieren al interesado» (apartado 40).¹⁶Por lo que se refiere a las libertades de expresión y/o información, y pese a que legislador español no se refiere expresamente a la licitud de hacer públicos datos personales en el ejercicio de estas ni regula directamente su ponderación con el derecho de protección de datos,¹⁷la posibilidad de hacer públicos datos personales ajenos en legítimo ejercicio de aquellas, sin necesidad de consentimiento, se ha fundamentado tanto directamente en el artículo 20 de la Constitución¹⁸como en el inciso primero del artículo 6 de la LOPD cuando señala que el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado «salvo que la ley disponga otra cosa».¹⁹

Conforme al apartado 3 del artículo 6 de la LOPD, el consentimiento puede ser revocado siempre que exista «causa justificada». En principio parece que en cualquier caso sería necesario alegar y probar una justificación, pero esta conclusión es excesiva. Teniendo en cuenta la trascendencia del consentimiento, que la disponibilidad de los datos que, en su caso, lo fundamenta afecta a derechos fundamentales de la persona y que la directiva no dice nada en relación con la revocación, solo cabe concluir que, en principio, la revocación del consentimiento ha de ser tan libre como la emisión. De hecho, el artículo 17 del Reglamento de desarrollo de la ley, de acuerdo con esta posibilidad, establece que la revocación ha de permitirse a través de un medio sencillo y gratuito, sin ninguna condición. A su vez, la Propuesta de reglamento comunitario prevé que el consentimiento del interesado podrá ser retirado en cualquier momento sin ningún condicionamiento adicional.²⁰

Page 67

Cosa distinta es que la posibilidad de revocación sin justificación haya de ponderarse en relación con otros derechos o intereses legítimos de terceros, del propio responsable del tratamiento o, incluso, con cuestiones de interés general (derecho a recibir información, interés histórico, de enseñanza, etc.). En este sentido y concretamente en relación con los derechos adquiridos en el marco de una relación contractual, lo razonable será que la revocación del consentimiento del contratante cedente quede supeditada a la indemnización de los perjuicios que se hayan podido causar al contratante cesionario.

Por su parte, la oposición al tratamiento es la facultad que la ley reconoce al titular de los datos en los casos en que no es necesario su consentimiento para el tratamiento y siempre que no haya ley que se oponga a ello. También en este supuesto la LOPD exige con carácter general, en su artículo 6.4, motivos fundados y legítimos, en este caso relativos a una situación personal.

El Real decreto 1720/2007 desarrolla el ejercicio de esta facultad, de acuerdo con los presupuestos de la Directiva 46/95/CE, en el artículo 34. Se prevé, además de en los casos en que no es necesario el consentimiento, cuando se trate de ficheros que tengan por finalidad la realización de actividades de publicidad y prospección comercial, en cuyo caso bastará la simple solicitud,²¹y cuando el tratamiento tenga por finalidad la adopción de una decisión referida al afectado y basada únicamente en un tratamiento automatizado de sus datos de carácter personal.

La Propuesta de reglamento comunitario mantiene una configuración del derecho de oposición similar a la de la Directiva del 95, y prevé que ha de admitirse por razones propias de la situación del interesado al menos en los casos en que el tratamiento sea necesario para atender intereses vitales del interesado, sean recabados para el ejercicio de una misión efectuada en interés general o relevante para el ejercicio de la autoridad pública de que esté investido el responsable o en atención a intereses legítimos perseguidos por el responsable del tratamiento. También se recoge el derecho a oponerse al tratamiento de datos con fines de publicidad.²²

En cuanto a la cancelación, es el derecho que la ley reconoce al afectado para retirar datos, en principio mediante su bloqueo, cuando el tratamiento no se ajuste a lo dispuesto en la ley.²³Una posibilidad es la recogida en el apartado 5 del artículo 4 de la LOPD cuando establece que los datos personales serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados, y no serán conservados en forma que permita la identificación del interesado durante un periodo superior al necesario para los fines en función de los cuales hubiesen sido recabados o registrados.

Las tres facultades pueden ejercitarse frente al responsable del fichero o tratamiento, y en el caso de los datos que son objeto de este, en internet será responsable quien decida o permita tanto la «subida» de los mismos como su difusión en la red, pues en todos estos casos se están determinando efectivamente los fines y medios del tratamiento.

Se trata de tres facultades o derechos distintos, aunque ni en la práctica ni en el propio tratamiento legislativo se aprecien claramente las diferencias. Sus condiciones de ejercicio son distintas. Mientras que la revocación y la oposición no presuponen irregularidad alguna en el tratamiento de los datos, la cancelación está prevista, precisamente, para esta última eventualidad, aunque si el interesado revoca el consentimiento y el responsable lo mantiene se producirá una vulneración de la LOPD que posibilita la cancelación. En definitiva, el ejercicio de los derechos de oposición y cancelación ha de estar justificado, de manera que no existe un derecho libre y absoluto a exigir la eliminación de los datos personales recogidos en cualquier fichero. Si se ejercita el derecho de oposición tienen que existir motivos fundados en una situación personal, salvo en relación con los datos obtenidos con fines publicitarios o de prospección comercial. El presupuesto de la cancelación es, precisamente, el incumplimiento de la norma por parte del responsable del tratamiento. Por último, en el caso de revocación, si el ejercicio de esta genera perjuicios que la otra parte no tenga obligación de soportar, como, por ejemplo, cuando se produce en el marco de una relación contractual, hemos defendido que la revocación puede conllevar una indemnización.

Precisamente uno de los fines de la Propuesta de reglamento comunitario es recoger lo que se ha dado en llamar derecho al olvido digital, cuyo significado a día de hoy es equívoco. Al

Page 68

no ser «todavía» un concepto legal no se sabe si cuando se alude a ello se quiere hacer referencia al derecho de eliminar los datos personales con motivo o justificación cuando se requiera, de manera que en realidad se trataría de ejercitar las facultades de revocación, oposición o cancelación, o al derecho absoluto al que antes me he referido. En muchos casos, a lo que realmente se alude es a un pretendido derecho a la desindexación de los datos en la red, de tal manera que los buscadores y motores de búsqueda, salvo consentimiento, no permitan acceder a estos aun cuando aparezcan en la página web original, ya que realmente lo que propicia la difusión no querida es la indexación.

En relación con esta cuestión, el artículo 17 de la Propuesta de reglamento establece que el interesado tiene derecho a obtener del responsable del tratamiento la eliminación de los datos que le conciernan, así como su difusión, en especial cuando se trate de datos proporcionados por el interesado si es menor, por alguno de los motivos que relaciona: que los datos ya no sean necesarios para los fines para los que han sido recogidos o tratados; que el consentimiento haya sido retirado o haya expirado el tiempo autorizado para la conservación y no exista otro motivo legal para esta; la oposición al tratamiento o que este no sea conforme al reglamento por otros motivos. En definitiva, no parece que el «nuevo» derecho al olvido y a la eliminación de los datos se configure como facultad distinta de la revocación del consentimiento, la oposición y la cancelación, de tal manera que puede concluirse que no es más que la manera de hacer referencia generalizada al ejercicio de aquellas facultades, con el contenido que cada una de ellas tenga. La consecuencia del ejercicio legítimo del derecho es, lógicamente, que el responsable ha de proceder inmediatamente a la eliminación de los datos, pero se prevén excepciones que nuevamente lo modalizan, pues puede autorizarse la conservación posterior por fines de investigación histórica, estadística y científica, por razones de interés público en el ámbito de la salud pública, para el ejercicio del derecho a la libertad de expresión, cuando la legislación lo exija, o en caso de que existan motivos para restringir el tratamiento de los datos en vez de proceder a su supresión (cfr. considerando 53).

La mayor parte de las reclamaciones presentadas ante la Agencia Española de Protección de Datos con esta finalidad y que, al ser acogidas por ella, fueron seguidamente recurridas ante la Audiencia Nacional, iban dirigidas al buscador Google,²⁴solo o en compañía de otros, como responsable del tratamiento por el cual los datos personales de un sitio web resultan indexados y se hacen accesibles para cualquiera que realice determinadas búsquedas. Al margen de la alegación de Google de que no se encuentra sometido al Derecho de la Unión Europea ni al español por tener la empresa la sede en Estados Unidos (algo que vamos a obviar en este trabajo), el buscador se defiende, respecto de la cuestión de fondo, argumentando que quien sería en su caso responsable es el titular del sitio web en el que los datos se hacen públicos originariamente. Se plantea, por tanto, cuándo y en qué medida existe, si es que existe, un derecho a oponerse al tratamiento de los datos o a cancelarlos frente a cada uno de los implicados: la webmaster que edita originariamente los datos, por una parte, y el buscador que mediante la indexación de estos favorece su difusión, por otra.

Si bien para considerar a los buscadores responsables del tratamiento la Agencia tiene en cuenta su carácter de prestadores de servicios de la sociedad de la información según la Ley 34/2002 de 11 de julio, entiendo que se trata de ámbitos distintos.²⁵Como ya se ha dicho, los buscadores serán responsables del tratamiento de datos personales en la medida en que efectivamente determinen los fines

Page 69

y medios de este, al margen de su carácter de prestadores de servicios de la sociedad de la información y de las obligaciones y responsabilidades que puedan tener en este ámbito. Precisamente la primera de las preguntas que presenta la Audiencia Nacional, en el auto de la Sala de lo Contencioso-Administrativo de 27 de febrero de 2012, es si debe interpretarse que la actividad de Google consistente en localizar la información publicada o incluida en la red por terceros, indexarla automáticamente, almacenarla de forma temporal y ponerla a disposición de los internautas, está comprendida en el concepto de «tratamiento de datos» que ofrece la Directiva 95/46/CE.

En mi opinión si, como hemos visto más arriba, el ámbito de aplicación de la normativa de protección de datos viene determinado por el hecho de que estos se encuentren en un soporte físico con cierta organización o estructura a partir de la cual el responsable del tratamiento dispone de ellos, en la actuación de cualquier buscador se dan todos los presupuestos, aunque no sean directamente proveedores de contenidos. Mediante las llamadas «arañas» rastrean los datos presentes en la red y los organizan de forma que cualquier persona pueda acceder a ellos si realiza determinadas búsquedas.

En caso de que la publicación de los datos en el sitio web originario sea ilegítima parece evidente que el primer responsable será el editor de los datos, pero ello no es óbice para que el titular pueda también ejercer frente al buscador su derecho de cancelación, pues la normativa no se lo impide. Al no haber previsión en otro sentido, el titular de un derecho fundamental que claramente ha sido lesionado ha de poder actuar frente a todos aquellos que causen o coadyuven en la lesión, máxime cuando puede incluso darse el caso de que el titular de la página web original ya no exista o sea ilocalizable. La Ley de servicios de la sociedad de la información avala esta solución al establecer en su artículo 8 que en caso de que un determinado servicio de la sociedad de la información atente o pueda atentar contra determinados principios entre los que se encuentra la dignidad de la persona, los órganos competentes para su protección, en ejercicio de las funciones que tengan legalmente atribuidas, podrán adoptar las medidas necesarias para que se interrumpa su prestación o para retirar los datos que los vulneran, y en el artículo 17 añade que, con independencia de que por supuesto los buscadores, como intermediadores que son, no tienen una obligación de control «a priori» de los contenidos indexados, serán responsables y, por tanto, habrán de soportar las consecuencias que de ello se derive, en caso de que tengan conocimiento efectivo de que la actividad a que remiten o recomiendan es ilícita —en este caso tratamiento ilícito de los datos— y no adopten las medidas necesarias para impedir el acceso a estos.²⁶En definitiva, el hecho de que la web en la que originariamente se publiquen los datos haya dejado la puerta abierta al no impedir su indexación no justifica una entrada que lesione un derecho fundamental en aras del modelo de negocio de un buscador.

Pero ocurre que en los casos que han llegado a la Agencia y que han sido recurridos ante la Audiencia Nacional el tratamiento de los datos en la web original, al menos inicialmente, es legítimo, de tal manera que el derecho a ejercitar para poder eliminarlos es el de oposición, que prosperará cuando exista un motivo también legítimo y fundado,²⁷ y la Agencia, apoyándose en los citados artículos 8 y 17 de la Ley de servicios de la sociedad de la información, está exigiendo igualmente al buscador la adopción de las medidas necesarias para retirar los datos de su índice e imposibilitar el acceso a estos.²⁸Entiendo que hay casos en los que también podría justificarse. Es posible que pese a la licitud inicial del tratamiento de los datos la continuidad de su publicidad lo haga devenir ilegítimo, en cuyo caso podría mantenerse la postura anterior. Pero también puede ocurrir que sea precisamente la accesibilidad facilitada por los enlaces que proporcionan los buscadores, aunque sea neutralmente, la que hace que el tratamiento de los datos, lícito en su origen, se convierta en desproporcionado y, por tanto, contrario a la normativa de protección de estos. Con independencia de que teniendo en cuenta la necesaria

Page 70

adecuación de los datos a los fines del tratamiento pueda imponerse a los responsables de las webs originales —por ejemplo de un boletín oficial— la obligación de evitar la indexación, y de hecho la Agencia Española de Protección de Datos lo ha «recomendado» en varias de sus resoluciones²⁹ desde la perspectiva del titular del derecho fundamental afectado, es defendible que pueda dirigirse también al buscador o buscadores que posibilitan la difusión de los datos con el fin de que adopte las medidas necesarias para evitar el acceso.

No obstante, a la Audiencia Nacional se le plantean dudas respecto de la posibilidad de requerir a Google para que retire de su buscador la información contenida en la pá-gina web de un tercero porque aquel no puede discutir la licitud o exactitud de una información que ni ha publicado ni puede modificar, sino que es el titular de la página web el que controla la información y el que puede defender el mantenimiento de esta frente al afectado. Además se considera que la supresión o cancelación de los datos del buscador podría incidir en los derechos del titular de la página web (tales como el derecho de información, libertad de expresión y otros) o el cumplimiento de las obligaciones legales que tiene contraídas sin que haya tenido oportunidad de defenderlos.

Creo que, por una parte, esos peligros no son tan evidentes y, por otra, se me plantea la duda, que parece compartir la audiencia, de si aunque efectivamente existan, ello justificaría la limitación en la protección del derecho fundamental a la protección de datos, pues, de acuerdo con las circunstancias de cada caso concreto, es posible que haya de prevalecer sobre otros derechos e intereses en juego. En primer lugar, el buscador, ante el requerimiento del afectado, que deberá hacer referencia concreta a los datos a los que se refiera y fundamentar su petición, estará en condiciones de defender la licitud de su propia actividad de indexación. Por otra parte, no creo que la posibilidad de que la supresión o cancelación de los datos del buscador pueda incidir en derechos del titular de la página web como la libertad de expresión o información, ya que se ejercen mediante la publicación de las informaciones u opiniones en el sitio web y no mediante la posibilidad de indexar estas. El buscador, en su caso, no impediría la información, sino su difusión indiscriminada, desproporcionada u obsoleta. Por último, tampoco se entiende bien la posición tan radical de Google cuando en su propia política de privacidad propicia que los usuarios puedan evitar que aparezca información personal en el buscador, de lo que se deduce que ni lo considera inadecuado ni técnicamente inviable.³⁰

Con esto no se quiere decir que no se planteen problemas importantes y que tanto los ya mencionados como otros presentados por la Audiencia Nacional hacen difícil llegar a una solución indiscutible. Además, es importante la necesidad de ponderar la proporcionalidad de una medida de esta naturaleza frente al fundamento del ejercicio de las facultades de oposición y cancelación. Cuestiones como la dificultad técnica para cumplir la finalidad que se persigue sin dañar los derechos de terceros —por ejemplo, eliminar de los índices un determinado nombre y apellido impediría también el acceso a la información referente a todas las personas que tengan este— y la ineficiencia que para la protección de datos supone el hecho de que no se elimine del sitio web inicial y la reclamación se dirija solamente frente a un buscador hacen que esperemos con expectación la contestación del Tribunal de Justicia.

Por último, la audiencia pregunta sobre el contenido actual del llamado derecho al olvido al que antes nos hemos referido y, en definitiva, sobre si los derechos de supresión, bloqueo de datos y oposición incluyen la posibilidad de que el interesado pueda dirigirse frente a los buscadores para impedir la indexación de la información referida a su persona amparándose en su voluntad de que esta no sea conocida por los internautas cuando considere que puede perjudicarle o cuando desee que sea olvidada, aunque se trate de una información publicada lícitamente por terceros y manteniendo, por otra parte, la información que le beneficie. Se entiende que una actividad de esta naturaleza pueda ser tachada de fraudulenta desde muchos sectores, pero también hay que tener en cuenta que, sin perjuicio de su ponderación con otros derechos e intereses en juego, el poder de disponibilidad de los propios datos, sobre todo si se trata de informaciones que inciden directamente en la intimidad, deriva de la propia dignidad del ser humano.

Page 71

Algunas de las reclamaciones que han llegado a la agencia se deben a datos personales publicados en páginas web de medios de comunicación. Como ya se ha dicho, las noticias o comentarios publicados en prensa u otro medio, incluso a través de un sitio web, están protegidos en principio por las libertades de expresión y/o información cuya trascendencia para la formación de una opinión pública libre les proporciona una posición prevalente respecto de otros derechos constitucionales con los que pueden entrar en colisión, como el derecho al honor, a la intimidad o a la protección de datos personales como aspecto de la privacidad. En los conflictos que se han mantenido ante los tribunales españoles, la ponderación de los derechos de protección de datos y libertad de expresión e información ha llevado a soluciones diferentes según los casos y las circunstancias. Hay que tener en cuenta, en todo caso, la tendencia jurisprudencial de reservar las libertades informativas para los medios de comunicación, lo que ha llevado, en materia de protección de datos, a sanciones por la publicación de estos en una página web cuyo titular no era un medio de comunicación³¹ y a la confirmación de estas por los tribunales.³²También es cierto que, en otros casos, la AEPD ha manifestado que las afirmaciones en un foro o en general en la web son ejercicio de la libertad de expresión.³³Por su parte, la Propuesta de reglamento de la Unión Europea entiende necesario inter-pretar en sentido amplio conceptos relativos a la libertad de expresión, de manera que en el caso de que sea aprobado los Estados miembros deberán clasificar determinadas actividades como «periodísticas» a los efectos de las exenciones que puedan adoptarse al amparo del reglamento si el objeto de las actividades es la comunicación al público de informaciones, opiniones o ideas, con independencia del medio que se emplee para difundirlas y que no tiene por qué circunscribirse a empresas de comunicación, y que pueden desarrollarse con o sin ánimo de lucro.³⁴Para poder analizar otro supuesto conflictivo, la publicación de sentencias judiciales en la red, hay que partir de la situación jurídica actual de la publicidad de las actuaciones judiciales, regulada por los artículos 223 y 266 de la Ley orgánica del poder judicial y por el acuerdo de 15 de septiembre de 2005 del pleno del Consejo por el que se aprueba el Reglamento 1/2005 de los aspectos accesorios de las actuaciones judiciales.³⁵Por lo que se refiere a la publicación oficial de las sentencias, a la que hace referencia el artículo 107.10 de la LOPJ, el citado acuerdo exige que en el tratamiento y la difusión de las resoluciones judiciales se cumpla lo dispuesto en la legislación en materia de protección de datos personales y que, salvo lo establecido en la LOPJ, los órganos judiciales no faciliten copias de las resoluciones. En este sentido, la sentencia de la Audiencia Nacional de 13 de junio de 2007 considera que no pueden difundirse las sentencias con datos de carácter personal que permitan la identificación de las personas en cuestión, a no ser que se cuente con su consentimiento o que concurra alguna de las causas contempladas en el artículo 6.2 de la LOPD, fundamentalmente cuando se haga en ejercicio de la libertad de información, lo que como hemos dicho ocurrirá sobre todo cuando sea precisamente un medio de comunicación el que la haga pública.

También la difusión de los datos que los buscadores indexan desde las páginas de los diferentes boletines oficiales que existen en nuestro país está dando lugar a muchas reclamaciones. Aunque el tratamiento de los datos por los diarios oficiales está amparado por la leyes es posible que el transcurso del tiempo haga que el tratamiento devenga ilícito, como ocurrirá, por ejemplo, cuando los datos sigan

Page 72

siendo públicos indiscriminadamente en la red tras su conservación durante un tiempo desproporcionado para el fin para el que se acordó la publicidad —por ejemplo, notificación de actos administrativos respecto de los cuales el interesado ya se ha dado por notificado—, o que la difusión pueda tacharse de excesiva por tratarse de diarios oficiales de ámbito territorial limitado. En estos casos, la Agencia, con independencia del requerimiento al buscador, considera que también los responsables del boletín deben limitar la indexación de los datos personales de los interesados.³⁶En definitiva, parece claro que en muchos casos lo que real-mente provoca el problema es la difusión indiscriminada a la que aboca la indexación por los buscadores. En consecuencia, además de la posibilidad ya analizada de obligarlos a eliminar los datos de sus índices o a impedir el acceso a ellos, se plantea si se puede imponer a los titulares de la página web que los hace públicos, en principio lícitamente, la carga de adoptar las medidas técnicas necesarias para impedir dicha indexación, o bien desde un principio, o bien como consecuencia del ejercicio de las facultades de revocación, oposición o cancelación.

La respuesta es difícil y sin duda ha de tenerse en cuenta cada caso concreto. Es cierto que determinados instrumentos como los periódicos o los boletines oficiales tienen precisamente una finalidad de publicidad. Hay que partir, por tanto, de que el hecho de que se consiga más publicidad gracias a «subir» el documento a la red, en principio, es positivo, pues ofrece un plus de aquello que precisamente se pretendía. No obstante, puede defenderse el deber de tomar medidas para hacer anónima o evitar la indexación y difusión de los datos una vez transcurrido un periodo de tiempo (el plazo dependerá del caso concreto y de que venga o no establecido en una disposición legal) teniendo en cuenta aquella obligación de cancelación de los datos cuando ya no sean necesarios de acuerdo con el artículo 4 de la LOPD. Incluso cuando la publicidad de los datos es lícita, la agencia sugiere igualmente que los medios de comunicación valoren la necesidad de que su actuación se dirija a conciliar, en mayor medida, el derecho a la libertad de información con la aplicación de los principios de protección de datos personales. En este sentido insta a ponderar escrupulosamente la relevancia pública de la identidad de las personas afectadas para, en el caso de que no aporte información adicional, evitar la identificación mediante la supresión del nombre e incluso, si fuera necesario, de las iniciales o cualquier referencia suplementaria de la que pueda deducirse la identificación en el caso de que el entorno sea limitado.

En cuanto a las redes sociales, la cuestión de la protección de los datos personales es especialmente importante, tanto porque muchos usuarios no son conscientes ni de que los datos personales de otras personas, incluidas fotografías, no pueden hacerse públicos sin su consentimiento, ni del riesgo real de difusión de los propios datos.

Problemas de aplicación territorial aparte, según la legislación comunitaria y, más en concreto la española, los titulares de redes sociales son prestadores de servicios de la sociedad de la información que, en la medida que tienen como actividad principal el almacenamiento de información que contiene múltiples datos personales y ponerla a disposición de los otros miembros del sitio, son responsables del tratamiento de los datos. Téngase en cuenta que, aun cuando el usuario no tenga necesariamente que identificarse públicamente de acuerdo con las condiciones del acuerdo que le une con la red, la propia finalidad de esta le llevará a hacerlo y, aun cuando pudiera darse el caso de no identificarse, sería identificable precisamente por la información que suministra y por el propio comportamiento en la red.

Aunque los usuarios presten su consentimiento aceptando las condiciones que les impone el titular de la red y subiendo sus datos a esta, este puede no ser válido si no se han cumplido todos los requisitos de información del artículo 5 de la LOPD, incluida en esta si se recogen cookies e informando sobre todas las finalidades del tratamiento con fines distintos a la participación en la red social, como puede ser el marketing o la publicidad.³⁷El problema alcanza también a una eventual revocación del consentimiento, pues aunque la obligación del responsable del tratamiento de acceder a la solicitud no parece que pueda resultar discutida ni aun

Page 73

cuando pudiera considerarse que el acuerdo que une al afectado con el titular de la red social tenga naturaleza contractual, técnicamente la eliminación definitiva de los datos puede resultar imposible.