RGPD: Multa de 10 millones de euros a Google  

La AEPD (Agencia Española de Protección de Datos) ha dictado una nueva resolución imponiendo una multa de 10 millones de euros a Google LLC por incumplir por partida doble el RGPD (Reglamento General de Protección de Datos):

1- El artículo 6 del RGPD “Licitud del tratamiento”, cediendo datos a terceros sin legitimación para ello.

2- El artículo 17 del RGPD “Derecho de supresión o derecho al olvido”, obstaculizando a los ciudadanos el derecho de supresión de sus datos personales.

Todo comenzó en septiembre de 2018 con la denuncia de un particular que se quejaba del uso que hacía Google de sus datos personales en relación al Proyecto Lumen.

Para situaros, el Proyecto Lumen tiene por objeto la recogida y puesta a disposición de solicitudes de retirada de contenido a los ciudadanos. Google envía al Proyecto Lumen información de solicitudes rellenadas por los ciudadanos, que incluyen información como su identificación, dirección de correo electrónico, los motivos alegados y la URL reclamada.

Así mismo, toda esta información contenida en la solicitud o formulario se incluye en otra base de datos accesible al público, además de para que se divulgue a través de una web, por lo que supone en la práctica frustrar la finalidad del ejercicio del derecho de supresión.

Google impone al usuario la utilización de sus propios formularios para remitirlos al Proyecto Lumen, sin opción de oponerse y, por tanto, sin que exista un consentimiento válido para que esa comunicación se lleve a cabo.

Establecer esta condición en el ejercicio de un derecho reconocido a los interesados no está amparado por el RGPD ya que se genera un tratamiento adicional de los datos sobre los que versa la solicitud de supresión, al comunicarlos a un tercero, es decir, se realiza un tratamiento adicional en una solicitud de supresión de datos, cosa que no tiene ningún sentido.

Además, en la política de privacidad de Google, no se menciona este tratamiento de datos personales de los usuarios, y tampoco aparece la comunicación al Proyecto Lumen entre las finalidades del tratamiento.

No tiene sentido presentar una solicitud de supresión de datos y que los datos contenidos en la propia solicitud de supresión se utilicen para otros fines y para comunicarlos a terceros sin legitimación para ello, es absurdo.

Cuando un interesado presenta una solicitud de supresión de datos personales, se deben eliminar sus datos y no se deben utilizar a posteriori para otros fines y menos si cabe su cesión o comunicación a terceros.

Otra de las cuestiones motivo de sanción o de crítica por parte de la AEPD, es el sistema desarrollado por Google para permitir que los usuarios puedan proteger sus datos personales.

El sistema diseñado por Google conduce al interesado a través de diversas páginas para que cumplimente su solicitud pagando el peaje de tener que marcar las opciones que se ofrecen o se le obligan a aceptar.

Es decir, se dirige al interesado como si de una marioneta se tratase, introduciéndole en un circuito o laberinto cerrado, de manera que para llegar al objetivo inicial que era presentar la solicitud para suprimir sus datos, tenga que aceptar una serie de términos y condiciones que se alejan de su intención inicial, desconociendo que quizá estas opciones le sitúen en un régimen normativo distinto porque así lo ha querido Google, o que su solicitud se resolverá según las políticas internas establecidas por la entidad.

Básicamente lo que pretende Google es hacerse con el control y establecer su criterio sobre cuándo aplica y cuándo no el RGPD, pudiendo eludir así la aplicación de la normativa, y aceptando que el derecho de supresión de datos personales quede condicionado por el sistema de eliminación de contenidos diseñado por Google.

Además de la sanción económica, la AEPD exige a Google que adecúe la comunicación de datos al Proyecto Lumen al RGPD.

Por otro lado, Google deberá suprimir todos los datos personales que hayan sido objeto de una solicitud del derecho de supresión comunicada al Proyecto Lumen, teniendo la obligación de instar a este último para que suprima y cese en la utilización de los datos personales que le haya comunicado.

Guillermo Caro Arteaga

Abogado de MONLEX

gcaro@monlexabogados.es