Asunto C‑136/17
GC y otros
contra
Commission nationale de l’informatique et des libertés (CNIL)
[Petición de decisión prejudicial planteada por el Conseil d’État (Francia)]
Sentencia del Tribunal de Justicia (Gran Sala) de 24 de septiembre de2019
«Procedimiento prejudicial— Datos personales— Protección de las personas físicas en lo que respecta al tratamiento de estos datos— Directiva 95/46/CE— Reglamento (UE) 2016/679— Motores de búsqueda en Internet— Tratamiento de los datos que figuran en páginasweb— Categorías especiales de datos contempladas en el artículo 8 de la Directiva y en los artículos 9 y 10 del Reglamento— Aplicabilidad de estos artículos al gestor de un motor de búsqueda— Alcance de las obligaciones del gestor en relación con dichos artículos— Publicación de los datos en páginas web con fines exclusivamente periodísticos o de expresión artística o literaria— Incidencia en el tratamiento de una solicitud de retirada de enlaces— Artículos 7, 8 y 11 de la Carta de los Derechos Fundamentales de la Unión Europea»
1.Aproximación de las legislaciones— Protección de las personas físicas en lo que respecta al tratamiento de datos personales— Artículo 2 de la Directiva 95/46/CE— Tratamiento de datos personales— Concepto— Actividad de un motor de búsqueda consistente en encontrar información publicada o incluida en Internet por terceros, indexarla, almacenarla y ponerla a disposición de los internautas— Inclusión— Responsable del tratamiento— Concepto— Gestor de un motor de búsqueda— Inclusión
[Directiva 95/46/CE del Parlamento Europeo y del Consejo, art.2, letrasb) yd)]
(véanse los apartados 35 a37)
2.Aproximación de las legislaciones— Protección de las personas físicas en lo que respecta al tratamiento de datos personales— Directiva 95/46/CE— Tratamiento de categorías especiales de datos personales— Prohibiciones o restricciones relativas al tratamiento de dichas categorías de datos— Aplicabilidad al gestor de un motor de búsqueda— Requisitos
[Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, arts.9, ap.1, y 10; Directiva 95/46/CE del Parlamento Europeo y del Consejo, art.8, aps.1 y5]
(véanse los apartados 42 a 48 y el punto 1 del fallo)
3.Aproximación de las legislaciones— Protección de las personas físicas en lo que respecta al tratamiento de datos personales— Artículos 12 y 14 de la Directiva 95/46/CE— Derecho de acceso del interesado a los datos personales y derecho de oposición al tratamiento de estos— Derecho a solicitar la eliminación de enlaces a páginas web de la lista de resultados— Requisitos
[Directiva 95/46/CE del Parlamento Europeo y del Consejo, arts.12, letrab), y 14, párr.1, letraa)]
(véanse los apartados 50 a52)
4.Aproximación de las legislaciones— Protección de las personas físicas en lo que respecta al tratamiento de datos personales— Artículos 12 y 14 de la Directiva 95/46/CE— Derecho de acceso del interesado a los datos personales y derecho de oposición al tratamiento de estos— Búsqueda efectuada con un motor de búsqueda a partir del nombre de una persona— Obtención de una lista de resultados— Derecho a solicitar que esa información ya no se ponga a disposición del público en general
[Carta de los Derechos Fundamentales de la Unión Europea, arts.7 y 8; Directiva 95/46/CE del Parlamento Europeo y del Consejo, arts.6, ap.1, letrasc) ae), 12, letrab), y 14, párr.1, letraa)]
(véase el apartado53)
5.Derechos fundamentales— Respeto de la vida privada— Protección de datos personales— Limitaciones— Requisitos
(Carta de los Derechos Fundamentales de la Unión Europea, arts.7, 8 y 52, ap.1)
(véase el apartado58)
6.Aproximación de las legislaciones— Protección de las personas físicas en lo que respecta al tratamiento de datos personales— Directiva 95/46/CE— Tratamiento de categorías especiales de datos personales— Solicitud de retirada de enlaces— Obligación del gestor de un motor de búsqueda de estimar tal solicitud— Excepción— Datos que el interesado haya hecho manifiestamente públicos— Requisitos
[Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, arts.9, ap.2, letrasa),e) yg), 17, ap.1, letrasb) yc), y 21, ap.1; Directiva 95/46/CE del Parlamento Europeo y del Consejo, arts.8, aps.1, 2, letrasa) ye), y 4, y 14, párr.1, letraa)]
(véanse los apartados 61 a 65 y el punto 2 del fallo)
7.Aproximación de las legislaciones— Protección de las personas físicas en lo que respecta al tratamiento de datos personales— Directiva 95/46/CE— Tratamiento de categorías especiales de datos personales— Solicitud de retirada de enlaces— Obligación del gestor de un motor de búsqueda de estimar tal solicitud— Excepción— Protección de la libertad de información de los internautas— Comprobación por parte de dicho gestor
[Carta de los Derechos Fundamentales de la Unión Europea, arts.7, 8, 11 y 52, ap.1; Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, arts.9, ap.1, y 10; Directiva 95/46/CE del Parlamento Europeo y del Consejo, art.8, aps.1 y5]
(véanse los apartados 66 a 69 y el punto 2 del fallo)
8.Aproximación de las legislaciones— Protección de las personas físicas en lo que respecta al tratamiento de datos personales— Directiva 95/46/CE— Tratamiento de categorías especiales de datos personales— Datos relativos a las infracciones y a las condenas penales— Concepto— Información relativa a un procedimiento judicial— Inclusión— Solicitud de retirada de enlaces— Obligación del gestor de un motor de búsqueda de estimar tal solicitud— Requisitos— Conciliación de los derechos al respeto de la vida privada y a la protección de los datos del interesado con la libertad de información de los internautas— Comprobación por parte de dicho gestor
[Carta de los Derechos Fundamentales de la Unión Europea, arts.7, 8 y 11; Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, arts.5, ap.1, letrasc) ae), y 10; Directiva 95/46/CE del Parlamento Europeo y del Consejo, arts.6, ap.1, letrasc) ae), y 8, aps.4y5]
(véanse los apartados 72 a 79 y el punto 3 del fallo)
Resumen
La prohibición de tratar determinadas categorías de datos personales sensibles también se aplica a los operadores de motores de búsqueda
Mediante su sentencia de 24 de septiembre de 2019, GC y otros (Retirada de enlaces a datos sensibles) (C‑136/17), el Tribunal de Justicia, en formación de Gran Sala, ha puntualizado las obligaciones del gestor de un motor de búsqueda en el marco de una solicitud de retirada de enlaces a datos sensibles.
Google había denegado las solicitudes de cuatro personas de que se retirasen diversos enlaces a páginas web publicadas por terceros, especialmente artículos de prensa, de la lista de resultados obtenida por el motor de búsqueda tras una búsqueda efectuada a partir de sus respectivos nombres. Tras las denuncias de estas cuatro personas, la Commission nationale de l’informatique et des libertés (CNIL) (Comisión Nacional de Informática y Libertades, Francia) se negó a requerir a Google que retirase los enlaces señalados. El Conseil d’État (Consejo de Estado, actuando como Tribunal Supremo de lo Contencioso‑Administrativo, Francia), que conoce del asunto, solicitó al Tribunal de Justicia que precisase las obligaciones que incumben al gestor de un motor de búsqueda en la tramitación de una solicitud de retirada de enlaces en virtud de la Directiva 95/46.(1)
En primer lugar, el Tribunal de Justicia ha recordado que está prohibido el tratamiento de datos personales que revelen el origen racial o étnico, las opiniones políticas, las convicciones religiosas o filosóficas o la pertenencia a sindicatos, así como el tratamiento de los datos relativos a la salud o a la sexualidad,(2) sin perjuicio de determinadas exenciones y excepciones. Por lo que se refiere al tratamiento de datos relativos a infracciones, condenas penales o medidas de seguridad, este solo podrá efectuarse bajo el control de la autoridad pública o si hay previstas garantías específicas en el Derecho nacional.(3)
El Tribunal de Justicia ha declarado que la prohibición y las restricciones relativas al tratamiento de estas categorías especiales de datos se aplican al gestor de un motor de búsqueda del mismo modo que a cualquier otro responsable del tratamiento de datos personales, ya que la finalidad de esta prohibición y estas restricciones consiste en garantizar una mayor protección frente a tales tratamientos, que, en atención a la particular sensibilidad de esos datos, pueden constituir una injerencia particularmente grave en los derechos fundamentales al respeto de la vida privada y a la protección de los datos personales.(4)
Sin embargo, el gestor de un motor de búsqueda no es responsable de que los datos personales figuren en una página web publicada por un tercero, sino de crear un enlace a esa página. En estas circunstancias, la prohibición y las restricciones relativas al tratamiento de datos sensibles solo se aplican a ese gestor en razón de esa tarea de enumeración de resultados y, por lo tanto, a través de la comprobación a la que cabrá proceder, bajo el control de las autoridades nacionales competentes, tras la recepción de una solicitud formulada por el interesado.
En segundo lugar, el Tribunal de Justicia ha considerado que, cuando el gestor de un motor de búsqueda recibe una solicitud de retirada de enlaces a datos sensibles, este está obligado, en principio, sin perjuicio de determinadas excepciones, a estimarla. Por lo que se refiere a esas excepciones, el gestor puede negarse a estimar tal solicitud de retirada de enlaces cuando compruebe que los enlaces controvertidos dirigen a datos que el interesado ha hecho manifiestamente públicos,(5) siempre que la remisión a esos enlaces cumpla los demás requisitos de legalidad de un tratamiento de datos personales y salvo que el interesado tenga derecho a oponerse a que se muestren tales enlaces por razones propias de su situación particular.(6)
En todo caso, el gestor de un motor de búsqueda que reciba una solicitud de retirada de un enlace que dirige a una página web en la que se publican datos sensibles deberá comprobar si la inclusión de dicho enlace en la lista de resultados obtenida tras una búsqueda efectuada a partir del nombre del interesado es estrictamente necesaria para proteger la libertad de información de los internautas(7) potencialmente interesados en acceder a esa página web mediante tal búsqueda. A este respecto, el Tribunal de Justicia ha subrayado que, aunque los derechos al respeto de la vida privada y a la protección de datos personales prevalecen, con carácter general, sobre la libertad de información de los internautas, este equilibrio puede depender, en supuestos específicos, de la naturaleza de la información de que se trate, del carácter sensible de esta para la vida privada del interesado y del interés del público en disponer de esta información, que puede variar, en particular, en función del papel que el interesado desempeñe en la vida pública.
En tercer lugar, el Tribunal de Justicia ha declarado que corresponde al gestor de un motor de búsqueda apreciar, en el marco de una solicitud de retirada de enlaces que dirigen a datos relativos a un procedimiento judicial en materia penal incoado contra el interesado, que hacen referencia a una etapa anterior a ese procedimiento y que ya no corresponden a la situación actual, si, a la luz del conjunto de circunstancias del caso concreto, el interesado tiene derecho a que la información en cuestión ya no esté, en la situación actual, vinculada a su nombre por una lista de resultados obtenida tras una búsqueda efectuada a partir de su nombre. Sin embargo, aun cuando este no sea el caso por el hecho de que la inclusión del enlace controvertido es estrictamente necesaria para conciliar los derechos al respeto de la vida privada y a la protección de los datos del interesado con la libertad de información de los internautas potencialmente interesados, el gestor estará obligado, a más tardar en el momento de la solicitud de retirada de enlaces, a estructurar la lista de resultados de tal manera que la imagen global que resulte de ella para el internauta refleje la situación judicial actual, lo que requerirá, en particular, que en dicha lista se indiquen, en primer lugar, enlaces a páginas web que contengan información al respecto.
1Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (DO 1995, L281, p.31). Esta Directiva fue derogada, con efecto a partir del 25 de mayo de 2018, por el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46 (Reglamento general de protección de datos) (DO 2016, L119, p.1).
2Artículo 8, apartado 1, de la Directiva 95/46 y artículo 9, apartado 1, del Reglamento 2016/679.
3Artículo 8, apartado 5, de la Directiva 95/46 y artículo 10 del Reglamento 2016/679.
4Los derechos al respeto de la vida privada y a la protección de los datos personales están garantizados por los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea.
5Artículo 8, apartado 2, letrae), de la Directiva 95/46 y artículo 9, apartado 2, letrae), del Reglamento 2016/679.
6Artículo 14, párrafo primero, letraa), de la Directiva 95/46 y artículo 21, apartado 1, del Reglamento 2016/679.
7El derecho a la libertad de expresión y de información está consagrado en el artículo 11 de la Carta de los Derechos Fundamentales de la Unión Europea.