Obligación del ayuntamiento de eliminar DNI de participante en convocatoria pública del listado que aparece en internet

PRIMERO: Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el apartado 2 del artículo 56 en relación con el apartado 1 f) del artículo 57, ambos del RGPD; y en el artículo 47 de la LOPDGDD.

SEGUNDO: De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de las mismas.

Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad.

Del mismo modo, el ordenamiento jurídico interno, en el artículo 65.4 la LOPDGDD, ha previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la Agencia Española de Protección de Datos, que consiste en dar traslado de las mismas a los delegados de protección de datos designados por los responsables o encargados del tratamiento, a los efectos previstos en el artículo 37 de la citada norma, o a éstos cuando no los hubieren designado, para que procedan al análisis de dichas reclamaciones y a darles respuesta en el plazo de un mes.

De conformidad con esta normativa, con carácter previo a la admisión a trámite de la reclamación que da lugar al presente procedimiento, se dio traslado de la misma a la entidad responsable para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida, en el supuesto de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD.

El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 2 de junio de 2021, a los efectos previstos en su artículo 64.2 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada. Dicho acuerdo de admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de derechos los establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual:

"1. Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo siguiente.

En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación".

No se estima oportuna la depuración de responsabilidades administrativas en el marco de un procedimiento sancionador, cuyo carácter excepcional implica que se opte, siempre que sea posible, por la prevalencia de mecanismos alternativos que tengan amparo en la normativa vigente.

Es competencia exclusiva de esta Agencia valorar si existen responsabilidades administrativas que deban ser depuradas en un procedimiento sancionador y, en consecuencia, la decisión sobre su apertura, no existiendo obligación de iniciar un procedimiento ante cualquier petición realizada por un tercero. Tal decisión ha de basarse en la existencia de elementos que justifiquen dicho inicio de la actividad sancionadora, circunstancias que no concurren en el presente caso, considerando que con el presente procedimiento quedan debidamente restauradas las garantías y derechos del reclamante.

TERCERO: Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad.

Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD.

Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD.

De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado.

La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo.

CUARTO: El derecho al olvido se contempla en el artículo 17 del RGPD, así como en el artículo 93 de la LOPDGDD, sobre derecho al olvido en búsquedas de Internet, que determina, en su apartado 1, lo siguiente:

"1. Toda persona tiene derecho a que los motores de búsqueda en Internet eliminen de las listas de resultados que se obtuvieran tras una búsqueda efectuada a partir de su nombre los enlaces publicados que contuvieran información relativa a esa persona cuando fuesen inadecuados, inexactos, no pertinentes, no actualizados o excesivos o hubieren devenido como tales por el transcurso del tiempo, teniendo en cuenta los fines para los que se recogieron o trataron, el tiempo transcurrido y la naturaleza e interés público de la información.

Del mismo modo deberá procederse cuando las circunstancias personales que en su caso invocase el afectado evidenciasen la prevalencia de sus derechos sobre el mantenimiento de los enlaces por el servicio de búsqueda en Internet.

Este derecho subsistirá aun cuando fuera lícita la conservación de la información publicada en el sitio web al que se dirigiera el enlace y no se procedieses por la misma a su borrado previo o simultaneo".

Como recoge la Sentencia del Tribunal Supremo de 11 de enero de 2019 "Este derecho fundamental al olvido no es un derecho ilimitado -sostiene la doctrina constitucional-, porque, aunque la Constitución no establece expresamente límites específicos, con base en el principio de unidad de la Constitución, resultan aplicables los límites derivados del respeto a otros derechos fundamentales, entre los que tiene especial relevancia la libertad de información que proclama el artículo 20 de la Constitución".

Por lo que se refiere a la naturaleza del buscador como responsable de tratamiento, cabe señalar que un buscador es una herramienta que facilita al usuario de internet el acceso a determinadas páginas web. Para ello, la herramienta accede a una lista de enlaces previamente indexados y ofrece al usuario una relación de direcciones web que remiten a páginas en las que figuran las palabras seleccionadas por el usuario.

La Sentencia del Tribunal de la Unión Europea de 13 de mayo de 2014 declara lo siguiente:

Apartado 28: (...) "al explorar Internet de manera automatizada, constante y sistemática en busca de la información que allí se publica, el gestor de un motor de búsqueda recoge tales datos que extrae, registra y organiza posteriormente en el marco de sus programas de indexación, conserva en sus servidores y, en su caso, comunica y facilita el acceso a sus usuarios en forma de listas de resultados de sus búsquedas. Ya que estas operaciones están recogidas de forma explícita e incondicional en el artículo 2, letra b), de la Directiva 95/46, deben calificarse de tratamiento en el sentido de dicha disposición, sin que sea relevante que el gestor del motor de búsqueda también realice las mismas operaciones con otros tipos de información y no distinga entre estos y los datos personales".

Apartado 33: "Ahora bien, el gestor del motor de búsqueda es quien determina los fines y los medios de esta actividad y, así, del tratamiento de datos personales que efectúa el mismo en el marco de esta y, por consiguiente, debe considerarse responsable de dicho tratamiento en virtud del mencionado artículo 2, letra d".

Apartado 35: "Sobre este particular, procede poner de manifiesto que el tratamiento de datos personales llevado a cabo en el marco de la actividad de un motor de búsqueda se distingue del efectuado por los editores de sitios de Internet, que consiste en hacer figurar esos datos en una página en Internet, y se añade a él".

Consecuentemente, el Tribunal de Justicia considera que el gestor del motor de búsqueda es el responsable del tratamiento de los datos al determinar los fines y los medios de su actividad.

En relación con la posibilidad de ejercer el derecho de supresión ante el buscador de Internet sin acudir al responsable del sitio web, El Tribunal de Justicia de la Unión Europea, en Sentencia de 13 de mayo de 2014, (asunto C-131/12), ha señalado:

"(...) un tratamiento de datos (...) efectuado por el gestor de un motor de búsqueda, puede afectar significativamente a los derechos fundamentales de respeto de la vida privada y de protección de datos personales cuando la búsqueda realizada sirviéndose de ese motor de búsqueda se lleva a cabo a partir del nombre de una persona física, toda vez que dicho tratamiento permite a cualquier internauta obtener mediante la lista de resultados una visión estructurada de la información relativa a esta persona que puede hallarse en Internet, que afecta potencialmente a una multitud de aspectos de su vida privada, que, sin dicho motor, no se habrían interconectado o sólo podrían haberlo sido muy difícilmente y que le permite de este modo establecer un perfil más o menos detallado de la persona de que se trate. Además, el efecto de la injerencia en dichos derechos del interesado se multiplica debido al importante papel que desempeñan Internet y los motores de búsqueda en la sociedad moderna, que confieren a la información contenida en tal lista de resultados carácter ubicuo (véase, en este sentido, la sentencia eDate Advertising y otros, C-509/09 y C-161/10, EU:C2011:685, apartado 45)".

"El Tribunal de Justicia mantiene que, la supresión de vínculos de la lista de resultados a partir del nombre de la persona física afectada por la difusión de la noticia podría tener repercusión en el interés legítimo de los internautas interesados potencialmente en tener acceso a la información en cuestión, por lo que es necesario buscar un justo equilibrio entre este interés y el derecho fundamental de la persona afectada con arreglo a los artículos 7 y 8 de la Carta de Derechos Fundamentales de la Unión Europea".

"(...) para respetar los derechos que establecen estas disposiciones, siempre que se cumplan realmente los requisitos establecidos en ellos, el gestor de un motor de búsqueda está obligado a eliminar de la lista de resultados obtenida tras una búsqueda efectuada a partir del nombre de una persona vínculos a páginas web, publicadas por terceros y que contienen información relativa a esta persona, también en el supuesto de que este nombre o esta información no se borren previa o simultáneamente de esta páginas web, y, en su caso, aunque la publicación en dichas páginas sea en sí misma lícita".

Consecuentemente, el tratamiento de datos de carácter personal que realiza el gestor de un motor de búsqueda permite que de un "nombre" se obtenga una lista de resultados que ofrezcan información sobre una persona que pueda afectar a su ámbito privado. Una vez que el interesado ha presentado su solicitud de supresión de sus datos personales ante el motor de búsqueda, deberá examinarla y proceder, en su caso, a la supresión de los enlaces concretos de la lista de resultados, sin que previa o simultáneamente se tenga que acudir al responsable del sitio web.

Asimismo, de lo anterior se deduce igualmente que deberán ponderarse, en cada supuesto concreto, los derechos e intereses en conflicto a fin de determinar qué derecho resulta prevalente.

A efectos de llevar a cabo la labor de ponderación, se ha de recordar la Sentencia del Tribunal Supremo, número 545/2015, de 15 de octubre de 2015, que señala que "el llamado "derecho al olvido digital", que es una concreción en este campo de los derechos derivados de los requisitos de calidad del tratamiento de datos personales, no ampara que cada uno construya un pasado a su medida, obligando a los editores de páginas web o a los gestores de los motores de búsqueda a eliminar el tratamiento de sus datos personales cuando se asocian a hechos que no se consideran positivos.

Tampoco justifica que aquellos que se exponen a sí mismos públicamente puedan exigir que se construya un currículo a su gusto, controlando el discurso sobre sí mismos, eliminando de Internet las informaciones negativas, "posicionando" a su antojo los resultados de las búsquedas en Internet, de modo que los más favorables ocupen las primeras posiciones. De admitirse esta tesis, se perturbarían gravemente los mecanismos de información necesarios para que los ciudadanos adopten sus decisiones en la vida democrática de un país".

Igualmente resulta relevante la doctrina recogida en la sentencia de la Audiencia Nacional, de 21 de junio de 2019, que especifica, en su fundamento derecho quinto, lo siguiente, en relación con la información relacionada con la vida profesional del interesado:

"(...) Doctrina general que asimismo se desarrolla en los apartados 81, 93 y 97 de la repetida Sentencia del TJUE - de 13 de mayo de 2014- al indicar que, no obstante aquella prevalencia, hay que buscar un justo equilibrio entre el interés legítimo de los internautas en tener acceso a la información en una búsqueda que verse sobre el nombre de una persona y los derechos fundamentales de la misma y puede resultar que, por razones concretas como el papel desempeñado por el mencionado interesado en la vida pública, la injerencia en sus derechos fundamentales está justificada por el interés preponderante de dicho público en tener, a raíz de esta inclusión, acceso a la información de que se trate.

En el caso de autos, entrando ya en la ponderación de los derechos e intereses en juego, debe tenerse en cuenta en primer lugar, que se refiere a la vida profesional del reclamante, empresario, y no a la vida personal, pues ello es muy relevante para modular la intensidad que ha de merecer la protección del derecho regulado en el art. 18.4 de la Constitución, como ha señalado esta Sala en las Sentencias de 11 de mayo de 2017 -recurso nº 30/2016-, y 6 de junio de 2017 -recurso nº 1.797/2015-".

En este sentido, conviene hacer referencia a las directrices del Grupo de Trabajo del 29 en materia de derecho al olvido (Guidelines on the implementation of the Court of Justice of the European Union Judgment on "Google Spain and inc v. AEPD and Mario Costeja" C-131/12), a cuyo tenor: "Hay una diferencia básica entre la vida privada de la persona y la vida pública o profesional. La disponibilidad de la información en los resultados de búsqueda deviene más aceptable cuanta menos información revele sobre la vida privada de una persona (...) es más probable que la información tenga relevancia si está relacionada con la vida profesional del interesado, pero dependerá de la naturaleza del trabajo del interesado y del interés legítimo del público en tener acceso a esa información a través de una búsqueda por su nombre" (...).

Cuando la información se refiere a personas privadas, el Tribunal Constitucional ha declarado que "incluso cuando la noticia por la materia a que se refiere concierne al interés público, no queda protegido por la libertad de información- en este caso libertad de expresión- todo su contenido, sino que cabe reputar desproporcionada la transmisión de aquellos hechos que, dentro de la noticia, afectan al honor o a la intimidad de la persona concernida y que se revelen como «manifiestamente innecesarios e irrelevantes para el interés público de la información»" (SSTC 105/1990, de 6 de junio, FJ 8, y 121/2002, de 20 de mayo, FJ 5).

Asimismo, a fin de valorar la relevancia pública del asunto, debe analizarse si la información publicada sigue siendo de interés general debido al tiempo transcurrido. Sobre esta cuestión ha declarado la Audiencia Nacional, en su sentencia de fecha 8 de noviembre de 2017, lo siguiente: "además, a diferencia del primer enlace, no ha transcurrido un tiempo excesivo entre la fecha en que se formula la solicitud de cancelación ante el buscador y la fecha de la publicación de la noticia. En efecto, desde la fecha en que se publicó la noticia (agosto de 2011) y la fecha en que ejercitó el derecho de cancelación (julio de 2015) ni siquiera han transcurrido cuatro años, sin que el hecho de que se trate de un archivo, dados los términos que concurren en el caso y como antes se ha expuesto, afecte a dicha conclusión".

A este respecto, la citada Sentencia del Tribunal de Justicia de la Unión Europea declara en su apartado 93 lo siguiente: "incluso un tratamiento inicialmente lícito de datos exactos puede devenir, con el tiempo, incompatible con dicha Directiva cuando estos datos ya no sean necesarios en relación con los fines para los que se recogieron o trataron. Este es el caso, en particular, cuando son inadecuados, no pertinentes o ya no pertinentes o son excesivos en relación con estos fines y el tiempo transcurrido."

QUINTO: En el presente caso, la parte reclamante ejercitó el derecho de supresión ante la parte reclamada, en relación con la publicación de su DNI completo en unos listados de una convocatoria pública.

La parte reclamada atiende a la reclamante dándole una respuesta pero, no garantiza que su derecho de supresión de un dato personal como el DNI, sea efectivo en el momento de la respuesta.

Analizada toda la documentación consideramos que, debe prevalecer el derecho a la protección de datos de la parte reclamante sobre el derecho a la difusión o información respecto a cualquier convocatoria.

Mantener la difusión de la información podría revestir algún problema en la vida personal de la parte reclamante que se pueden producir en el derecho a la intimidad y protección de datos personales, por ello, se entiende que, el tratamiento de datos no necesarios, por lo que se produce una injerencia en el derecho fundamental al respecto de la vida privada de la parte reclamante, por todo ello, se debe proceder a la desindexación de datos personales a fin de evitar la difusión de la información que pueda resultar lesiva a los derechos invocados, prevaleciendo el derecho autónomo a la protección de datos frente a la libertad de expresión e información, como en este caso, al no tener relevancia e interés público.

En base a cuanto antecede, considerando que el presente procedimiento tiene como objeto que las garantías y los derechos de los afectados queden debidamente restaurados, procede estimar la presente reclamación y adoptar las medidas necesarias para evitar que el DNI o nombre del afectado se vincule en los resultados de cualquier busqueda.

Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos