Sanción record de la AEPD a Google

La Agencia Española de Protección de Datos (AEPD) sanciona con 10 millones de euros a Google por ceder datos a terceros sin legitimación y obstaculizar el derecho de supresión, resaltando la importancia de una política de privacidad que incluya toda la información y no sea un copia/pega de cualquier página web.

La sanción se basa en la comisión, por parte de Google, de dos infracciones muy graves de la normativa de protección de datos (artículos 6 y 17 del Reglamento General de Protección de Datos, RGPD) por ceder datos a terceros sin legitimación para ello y obstaculizar el derecho de supresión de los ciudadanos. En concreto, Google, enviaba a un tercero, Proyecto Lumen, información de solicitudes de supresión de datos que le realizan los ciudadanos, incluida su identificación, dirección de correo electrónico, los motivos alegados y la URL reclamada.

Es decir, para atender las solicitudes de supresión de datos y desaparecer del motor de búsqueda, Google, reenviaba las solicitudes con los datos, a un tercero para que se encargase y, ello, sin informar a los reclamantes, cediendo sus datos, y sin permitir oponerse a ello.

La resolución recoge que esta comunicación de datos por parte de Google al Proyecto Lumen se impone al usuario que pretenda utilizar sus formularios, sin opción de oponerse a la misma y, por tanto, sin que exista un consentimiento válido para que esa comunicación se lleve a cabo. Además, en la política de privacidad de Google, no se hace mención a este tratamiento de datos personales de los usuarios, y tampoco aparece entre las finalidades la comunicación al Proyecto Lumen.

El sistema diseñado por Google, que conduce al interesado a través de diversas páginas para llegar a cumplimentar su solicitud, obligándole previamente a marcar las opciones que se ofrecen, “puede provocar que este termine marcando una opción que se adapte a los motivos que considera apropiados a su interés, pero que le aparta de su intención originaria, que puede estar claramente vinculada a la protección de sus datos personales, desconociendo que estas opciones le sitúan en un régimen normativo distinto porque así lo ha querido Google o que su solicitud se resolverá según las políticas internas establecidas por esta entidad”. La resolución de la Agencia recoge que este sistema es un equivalente a “dejar a criterio de Google la decisión sobre cuándo aplica y cuándo no el RGPD, y esto supondría aceptar que esta entidad pueda eludir la aplicación de la normativa de protección de datos personales y, más concretamente para este caso, aceptar que el derecho de supresión de datos personales quede condicionado por el sistema de eliminación de contenidos diseñado por la entidad responsable”.

Adicionalmente a la sanción económica impuesta en la resolución, la Agencia también ha requerido a Google para que adecúe a la normativa de protección de datos personales la comunicación de datos al Proyecto Lumen, y los procesos de ejercicio y atención del derecho de supresión, en relación con las solicitudes de retirada de contenido de sus productos y servicios, así como la información que ofrece a sus usuarios. Asimismo, Google deberá suprimir todos los datos personales que hayan sido objeto de una solicitud del derecho de supresión comunicada al Proyecto Lumen, y tiene la obligación de instar a este último para que suprima y cese en la utilización de los datos personales que le haya comunicado.