Protección de Datos impone su mayor multa de la historia: 10 millones de euros a Google por enviar los datos de sus reclamantes al portal de un tercero

Proyecto Lumen es un buscador en el que se pueden encontrar las reclamaciones que reciben grandes tecnológicas como Google por ciudadanos de a pie, que exigen al gigante del buscador la retirada de sus índices de contenidos que le atañen (por el derecho al olvido) o por grandes compañías (por vulneraciones al copyright).

En este buscador, que nació como una iniciativa académica en la que se recopilan esas reclamaciones que reciben las multinacionales tecnológicas, se pueden encontrar las solicitudes que han presentado a Google firmas como Telefónica o diversas distribuidoras de cine para que se retiren de los resultados del buscador enlaces piratas.

Para colaborar con este Proyecto Lumen, Google envía los datos de sus reclamantes. Ahora, la Agencia Española de Protección de Datos (AEPD) ha resuelto que este fenómeno es en realidad una cesión de datos a terceros sin legitimación que además obstaculiza el derecho de supresión (la retirada en sí misma).

Por ello acaba de anunciar una sanción de 10 millones de euros.

Protección de Datos lo ha comunicado en la mañana de este miércoles mediante un comunicado de prensa. La AEPD entiende que Google ha cometido "dos infracciones muy graves" del Reglamento General de Protección de Datos (RGPD) al comunicar el contenido de las reclamaciones que recibe al Proyecto Lumen "sin una base legal válida".

Protección de Datos rechaza elaborar un informe sobre si las cookies de Google Analytics suponen transferencias ilegales de datos a EEUU porque ya está tramitando varias denuncias

El organismo de control español constata que Google es el responsable del tratamiento de los datos, datos que trata en EEUU, y que muchos de esos datos se remiten al Proyecto Lumen. Entre los datos que se envía a ese portal se incluye "la identificación, la dirección de correo electrónico, los motivos alegados y la dirección reclamada" para que se retire de los resultados de búsqueda.

"La misión de ese proyecto [Lumen] es la recogida y puesta a disposición de solicitudes de retirada de contenido, por lo que la Agencia considera que, dado que se remite toda la información contenida en la solicitud del ciudadano para que se incluya en otra base de datos accesible al público, supone en la práctica frustrar la finalidad del ejercicio de supresión", incide.

Protección de Datos también concluye que este envío de datos al Proyecto Lumen lo impone Google a los usuarios que se atrevan a usar los formularios para reclamar enlaces que desindexar de sus resultados de búsqueda. Los usuarios no tienen la opción de oponerse a esa transferencia de datos, con lo que no existe un consentimiento válido por su parte.

Esta maniobra no la ampara el RGPD al generarse, detalla la AEPD, "un tratamiento adicional de los datos". La política de privacidad de Google tampoco se menciona esta realidad. Además, como agravante, también se destaca que si Google atiende el derecho de supresión "no cabe un tratamiento posterior de los mismos", que es enviar esos mismos datos al Proyecto Lumen.

A la hora de reclamarle al gigante del buscador la retirada de un enlace, hay distintos tipos de formularios. Google, por ejemplo, ofrece un formulario concreto para distribuidoras de contenidos audiovisuales que han detectado infracciones a sus derechos de autor o a su propiedad intelectual, y quieren eliminar esos enlaces piratas.

El ritmo sancionador de la AEPD crece: en 2022 ya ha propuesto más de 7 millones de euros en multas, la última a Amazon por pedir a sus conductores el certificado de antecedentes penales

Para aquellos casos en los que un usuario entienda que puede acceder al derecho al olvido o retirar sus datos personales de los resultados de Google, los formularios son otros. Sin embargo, la Agencia de Protección de Datos entiende que es relativamente sencillo que un reclamante se confunda entre formularios y rellene el que no le corresponda.

Ese "sistema diseñado por Google" puede provocar que el usuario rellene un formulario que no le corresponda, y aunque se le atienda, su reclamación acabe situándose "en un régimen normativo distinto" y no en el amparo del RGPD, "porque así lo ha querido Google".

Protección de Datos, en la resolución que se ha conocido este miércoles, considera que este sistema implica "dejar a criterio de Google la decisión sobre cuándo aplica y cuándo no el RGPD", lo que supondría aceptar que la compañía "puede eludir la aplicación de la normativa de protección de datos personales".

Junto a la sanción de 10 millones de euros, la de mayor cuantía en la historia de la AEPD después de sanciones millonarias a compañías como Vodafone, CaixaBank o BBVA, la agencia también ha exigido a Google que adecúe este sistema a la normativa de RGPD. También exige al buscador a instar a la página de Proyecto Lumen a retirar los datos que ya le había transferido.

Un portavoz de Google, por su parte, ha destacado que la compañía lleva tiempo comprometida con "la transparencia en la gestión de las solicitudes de retirada de contenidos" que reciben. "Como otras compañías de internet, hemos colaborado con Lumen, un proyecto académico del Berkman Klein Center for Internet and Society de la Universidad de Harvard", inciden.

Lo hacen para "ayudar a los investigadores y al público en general a entender mejor las solicitudes de retirada de contenido en línea". Por eso, ese portavoz de Google asegura que la multinacional está "revisando" la decisión de la AEPD y seguirán "interactuando" con los reguladores, para "reevaluar" sus "prácticas".

"Siempre tratamos de encontrar un equilibrio entre el derecho a la privacidad y nuestra necesidad de ser transparentes y rendir cuentas sobre nuestro papel en la moderación de contenidos en línea.Ya hemos empezado a reevaluar y rediseñar nuestras prácticas de intercambio de datos con Lumen a la luz de las consideraciones de la AEPD", enfatizan.