El derecho a la desindexación en México y el contexto europeo
María
Fernanda MATUS MARTÍNEZ
SUMARIO:
I. Introducción II. El derecho al olvido en Europa III. El “caso Costeja” IV. El contexto mexicano V. Breve repaso de
el “Caso Fortuna”
I.
Introducción
Actualmente, el “derecho al olvido”, para algunos “derecho
a la desindexación”, o bien el “derecho de supresión” está contemplado como tal
en los marcos legales regionales de la Unión Europea.
Fue incluido como parte de una reforma que empezó a
finales del siglo pasado pero cuajó en 2012 y quedó aprobada en 2016. Se
actualizaron las normas regionales en la materia vigentes desde 1995 las cuales,
dados los cambios que trajo la tecnología digital en las últimas décadas, se
había ido aplicando de manera fragmentada en casos de riesgo en la protección
de datos de ciudadanos de algunos de los 27 países miembros de la Unión
Europea.
El derecho al olvido aparece por primera vez en el artículo 17 del “Reglamento
2016/679 del Parlamento Europeo y del Consejo relativo a
la protección de las personas físicas en lo que respecta al tratamiento de
datos personales y a la libre circulación de estos datos” publicado en el
Diario Oficial de la Unión Europea el 4 de mayo de 2016. [1]
Al mismo tiempo fue aprobada la “Directiva 2016/680” relativa a la protección
de las personas físicas en lo que respecta al tratamiento de datos personales
por parte de las autoridades competentes para fines de prevención, investigación,
detección o enjuiciamiento de infracciones penales o de ejecución de sanciones
penales y a la libre circulación de dichos datos” [2]
Destaca también la primera
jurisprudencia del Tribunal de Justicia Europea en torno al derecho al olvido
en el conocido “Caso Costeja”, relativo a la solicitud de un ciudadano español de
“ser olvidado” en el buscador de Google.
Es
importante resaltar que el tratamiento que se ha dado al derecho al olvido en la
UE no es un criterio aislado o falto de reflexión, por el contrario, si se ve
el contexto europeo de los últimos veinte años, ha sido estudiado en estrecha
relación con una avanzada política de protección de los datos personales y con
una tradición de defensa de los derechos fundamentales a la protección del
honor y la vida privada, los cuales se encuentran contemplados en el artículo
12 de la Declaración Universal de los Derechos Humanos y en el artículo 11 de
la Convención Americana de los Derechos Humanos de 1969.
En México
y en Sudamérica no está reglamento el “derecho al olvido”. En nuestro país la
Constitución Política de los Estados Unidos Mexicanos (CPEUM) prevé el
derecho a la protección de los datos personales y al acceso, rectificación y
cancelación de los mismos. [3]
Igualmente se recoge la protección de estos derechos en la Ley General de Protección de Datos Personales en Posesión
de Sujetos Obligados.
En
relación con este concepto, en su artículo 1916 el Código
Civil Federal contempla el daño
moral entendido como “la afectación que una persona sufre en sus sentimientos,
afectos, creencias, decoro, honor, reputación, vida privada, configuración y
aspecto físicos, o bien en la consideración que de sí misma tienen los demás”.[4]
Por su
parte, la Ciudad de de México tiene una ley de responsabilidad civil para la
protección del derecho a la vida privada, el honor y la propia imagen, cuyo objeto es garantizar los
siguientes Derechos de la Personalidad: el derecho a la vida privada, al honor
y la propia imagen de las personas en el Distrito Federal.[5]
La
Suprema Corte de Justicia de la Nación, por su parte, ya ha emitido numerosos
criterios con respecto a la protección de datos y conceptos relacionados como
vida privada, privacidad, intimidad, derecho a la propia imagen e identidad,
integridad y honor.
De estos
conceptos, la tradición mexicana se ha centrado en el derecho al honor, aunque
recientemente, el derecho a la propia imagen y la protección de datos han sido
objeto de análisis en el seno de la Suprema Corte de Justicia de la Nación, así
como también el derecho de réplica.
Sin
embargo, ya es posible percibir, desde este momento, que el derecho al olvido
como ha sido conceptualizado en la Unión Europea en realidad no busca eximir de
publicación ciertos datos relacionados con la imagen y el honor de una persona,
sino más bien retirarlos cuando ya han perdido validez para los propósitos para
los que fue requerida su publicación.
México ya
ha conocido un primer caso resuelto por la Corte en el que se pretendió alegar
el derecho al olvido, se trata del “Caso Fortuna”, en el que un ciudadano
mexicano alegó su derecho al olvido en contra de una publicación realizada en
la revista “Fortuna”.
Este caso
nos servirá como punto de partida para plantear las opiniones encontradas que
se han vertido en México sobre el llamado “derecho al olvido”, mayormente
negativas por quienes plantean un serio riesgo de colisión con el derecho a la
libertad de expresión, aun cuando ya existe regulación en nuestro país
relacionada con la rectificación de datos.
II. El derecho al olvido en Europa
La reforma europea tiene como base la Declaración Universal de los Derechos Humanos, la
Convención Americana de los Derechos Humanos
y la Carta de los
Derechos Fundamentales de la propia Unión Europea proclamada en 2000 en Niza,
que en su artículo 8 párrafo 1 establece que “toda persona tiene derecho a la
protección de los datos de carácter personal que le conciernan” [6]
y que también se contempla en el artículo 16 del Tratado de Funcionamiento de
la Unión Europea de 2012[7]
En
su artículo 7, la misma Carta contempla el derecho de toda persona al respeto de su vida privada y familiar, de su
domicilio y de sus comunicaciones.
Desde 1981 la Unión
Europea contaba ya con el Convenio para la protección de las personas en lo que
respecta al tratamiento automatizado de los datos personales, directiva
superada con la Directiva 95/46 / CE (Reglamento general de Protección de datos) del
23 de noviembre de 1995 y ésta a su vez con el del “Reglamento 2016/679 del Parlamento Europeo y del Consejo relativo a
la protección de las personas físicas en lo que respecta al tratamiento de
datos personales y a la libre circulación de estos datos”.
Es importante apuntar que
ya en la directiva de 1995 la UE había contemplado el derecho de oposición al
tratamiento de datos personales.[8]
Hoy en día, la Unión
Europa cuenta con marco robusto con respecto al derecho de privacidad y la
protección de datos personales y un amplio proyecto que busca crear un Mercado
Digital Único que busca hacer eficientes y homogéneas las reglas comerciales
para quienes participan en este mercado, proteger fuertemente los datos
personales de sus ciudadanos y a la vez asegurar una cooperación más eficaz
entre sus miembros en contra del terrorismo y la delincuencia.
En 2014 se publicó la Directiva
2014/53/UE del Parlamento Europeo y del Consejo relativa a la armonización de
las legislaciones de los Estados miembros sobre la comercialización de equipos
radioeléctrico, la cual establece que, antes de ser comercializados, los
equipos radioeléctricos deben incorporar salvaguardas para garantizar la
protección de la intimidad y los datos personales del usuario. [9]
Siguiendo esta misma lógica, en 2016, la Comisión adoptó una propuesta de
Directiva por la que se establece el Código Europeo de las Comunicaciones
Electrónicas, que busca un mercado digital único que se caracterice por su
accesibilidad y armonización.
Estas reformas surgen de una preocupación confirmada entre
sus ciudadanos, acerca de la necesidad de una mayor protección en la era
digital y sigue su estrategia para la creación del “mercado único digital”. [10]
La UE realizó un análisis profundo y midió la
preocupación de sus ciudadanos en relación al mercado digital, particularmente
destaca el “Special Eurobarometer aplicado en 2010, en el que 90% de los
europeos encuestados coincidió en el deseo de proteger sus datos personales,
sin perjuicio del lugar donde sean procesados y un 70% se dijo preocupado de
que sus datos personales en poder de empresas sean usados para otro propósitos
diferentes para el que les fueron solicitados .[11]
En 2015 el Tribunal de Luxemburgo publicó un fallo
que marcó el tono de la seriedad con que la UE se estaba tomando el tema de los
datos personales, al declarar inválida una Decisión previa de la Comisión que
declaró que Estados Unidos garantizaba un nivel de protección adecuado de los
datos personales transferidos.
Dicha decisión tuvo su origen en una denuncia
presentada por el ciudadano austriaco Maximillian Schrems ante la autoridad
irlandesa, argumentando que, luego de las revelaciones hechas por Edward
Snowden, Estados Unidos no debería ser considerado un puerto seguro para la
transferencia de datos. Como usuario de Facebook desde 2008 Schrems argumentó
que los servicios de información estadounidenses o National Security Agency
(NSA) “no garantizaban una protección suficiente de los datos transferidos a
ese país frente a las actividades de vigilancia por las autoridades públicas”.
Sin embargo, la autoridad irlandesa no le dio la razón y el caso fue llevado al
Tribunal de Justicia de la Unión Europea. [12]
Teniendo en cuenta el contexto anterior, nos
enfocaremos en el Reglamento 2016/679,
que aborda dos conceptos fundamentales, el derecho de rectificación y el
derecho al olvido o derecho de supresión, en su artículo 17 aparecen seis
causas por las cuales procede la supresión de sus datos personales de forma
inmediata.
El
documento, publicado el 4 de mayo de 2016 en el Diario Oficial de la Unión
Europea, considera expresamente que:
En particular, los
interesados deben tener derecho a que sus datos personales se supriman y dejen
de tratarse si ya no son necesarios para los fines para los que fueron
recogidos o tratados de otro modo, si los interesados han retirado su
consentimiento para el tratamiento o se oponen al tratamiento de datos
personales que les conciernen (…) [13]
Al mismo
tiempo, el documento es claro ante una posible colisión con el derecho de la
libertad de expresión, al señalar:
(…) la retención ulterior
de los datos personales debe ser lícita cuando sea necesaria para el ejercicio
de la libertad de expresión e información, para el cumplimiento de una
obligación legal, para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del
tratamiento, por razones de interés público en el ámbito de la salud pública,
con fines de archivo en interés público, fines de investigación científica o
histórica o fines estadísticos, o para la formulación, el ejercicio o la defensa
de reclamaciones.[14]
Un matiz
fundamental en esta reglamentación es el que se refiere a quienes tratan los
datos personales on line:
A fin de reforzar el
«derecho al olvido» en el entorno en línea, el derecho de supresión debe
ampliarse de tal forma que el responsable del tratamiento que haya hecho
públicos datos personales esté obligado a indicar a los responsables del
tratamiento que estén tratando tales datos personales que supriman todo enlace
a ellos, o las copias o réplicas de tales datos. Al proceder así, dicho
responsable debe tomar medidas razonables, teniendo en cuenta la tecnología y
los medios a su disposición, incluidas las medidas técnicas, para informar de
la solicitud del interesado a los responsables que estén tratando los datos
personales”.
Es en el artículo 17 de
este Reglamento, que se establece el derecho a la supresión o derecho al olvido,
el cual debe hacerse efectivo cuando el interesado lo reclame porque ya no sean
necesarios sus datos en relación con los fines para los que fueron recogidos o porque
son tratados de otro modo; cuando el interesado retire la autorización que dio
para el fin para el que eran usados; retire su autorización cuando la haya
otorgado de forma explícita a fin de que revelaran su origen étnico o racial,
opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical
o bien retire su autorización cuando la otorgó de forma explícita para datos
genéticos y biométricos para identificarlo o datos relativos a su salud, vida
sexual u orientación sexual. [15]
También puede ejercer el
derecho a la supresión o derecho al olvido cuando ejerce su derecho de
oposición en dos vertientes que tienen que ver con la licitud de tales datos,
una es cuando se requieren “para el cumplimiento de una misión realizada en
interés público o en el ejercicio de poderes públicos conferidos al responsable
del tratamiento” [16]
y
otra cuando el tratamiento de dichos datos “es necesario para la satisfacción
de intereses legítimos perseguidos por el responsable del tratamiento o por un
tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los
derechos y libertades fundamentales del interesado que requieran la protección
de datos personales, en particular cuando el interesado sea un niño”. [17]
Si bien en este caso hay una salvedad cuando el tratamiento corresponda a las
autoridades públicas en el ejercicio de sus funciones.
El derecho a la supresión
también puede hacerse valer a través del derecho de oposición a que los datos
de una persona tengan como fin el uso para la mercadotecnia directa. En este
caso, “el interesado tendrá derecho a oponerse en todo momento al tratamiento
de los datos personales que le conciernan, incluida la elaboración de perfiles
en la medida en que esté relacionada con la citada mercadotecnia”.[18]
Otro de los supuestos en
los que se puede hacer valer el derecho al olvido en el Reglamento 2016/679
del Parlamento Europeo y del Consejo relativo a la protección de las personas
físicas en lo que respecta al tratamiento de datos personales y a la libre
circulación de estos datos” es cuando éstos han sido tratados de manera ilícita
y cuando se cumple una obligación legal “establecida en el Derecho de la Unión
o de los Estados miembros que se aplique al responsable del tratamiento”.
Otro supuesto es en relación
a los menores, a quienes, aún cuando hayan dado su consentimiento, si son
menores de 16 años se considerará ilícito y en caso contrario, sólo si los
padres o quien ejerza la patria potestad los hayan autorizado.
Es importante apuntar que
el derecho a la supresión tiene sus salvedades, relacionadas primero con la
libertad de expresión e información y en segundo término con obligaciones
legales dictadas por los marcos legales europeos.
Cabe recordar que artículo
10 del Convenio Europeo para la Protección de los Derechos Humanos y de las
Libertades Fundamentales ya establece claramente el derecho a la libertad de
expresión que comprende la libertad de opinión “y la libertad de recibir o de
comunicar informaciones o ideas sin que pueda haber injerencia de autoridades
públicas y sin consideración de fronteras”.
El mismo artículo ya
regula este derecho al señalar que su ejercicio entraña deberes y
responsabilidades y puede adquirir ciertas formalidades, condiciones,
restricciones o sanciones, previstas por la ley en aras de la protección de la
salud o de la moral, así como “la protección de la reputación o de los derechos
ajenos, para impedir la divulgación de informaciones confidenciales o para
garantizar la autoridad y la imparcialidad del poder judicial”.
Regresando al tema del
derecho al olvido, el artículo 17 del Reglamento 2016/679 apunta que puede haber excepciones para
hacerlo valer como cuando se ha dado una autorización expresa para tratamiento
de datos que revelen origen étnico o racial, opiniones políticas, convicciones
religiosas o filosóficas, afiliación sindical o bien se retire la autorización
cuando se otorgó de forma explícita para datos genéticos y biométricos para
identificarlo o datos relativos a su salud, vida sexual u orientación sexual,
pero que se hayan otorgado “para fines de medicina preventiva o laboral,
evaluación de la capacidad laboral del trabajador, diagnóstico médico,
prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de
los sistemas y servicios de asistencia sanitaria y social, sobre la base del
Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un
profesional sanitario”. [19]
Asimismo, cuando se trate de cuestiones de salud pública específicas.
Finalmente, el derecho al
olvido aplica cuando a ciertas excepciones como el archivo en interés público,
fines de investigación científica o histórica o fines estadísticos, de
conformidad y para la formulación, el ejercicio o la defensa de reclamaciones.
Cabe anotar que si bien el
Reglamento entró en vigor el 25 de mayo de 2016, cuenta con un “periodo de
gracia” o “vacatio legis” hasta 2018
cuando será aplicable a todo el territorio europeo.
Sin embargo, no todo está
dicho en este tema en Europa, por ejemplo, organizaciones que defienden la
libertad de expresión presentaron en abril pasado un Amicus Curae en contra una resolución de la Commission nationale de l’informatique et des
libertés que ordenó la remoción de 21 enlaces en el buscador
de Google.
III. El “caso Costeja”
Desde 2010 y bajo la solicitud de “ser olvidado” en
las redes, es decir, dejar de aparecer en el buscador Google, el ciudadano
español Mario Costeja González llevó una demanda a las autoridades españolas,
que luego pasó al Tribunal de Justicia de la Unión Europea (TJUE).
Tanto el efecto de la sentencia del 13 de mayo de
2014, que a la larga multiplicó la mención por la cual se quejaba Costeja
González en la red, como el sentido de la misma, a su favor y en contra de La
Vanguardia y Google, mostraron lo complejo e ilusorio que puede ser el olvido
en el mundo digital.
En marzo de 1998, el demandante presentó ante la
Agencia Española de Protección de Datos (AEPD) una reclamación contra La
Vanguardia Ediciones, S.L., editora del periódico y contra Google Spain y
Google Inc.
La reclamación se basaba en que, cuando un
internauta introducía el nombre del Sr. Costeja González en el motor de
búsqueda de Google, obtenía como resultado vínculos hacia dos páginas del
periódico La Vanguardia, del 19 de enero y del 9 de marzo de 1998,
respectivamente, en las que figuraba su nombre.
Dichas páginas, sin embargo, son accesibles hasta la
fecha y han sido reproducidas en diversos artículos a raíz, precisamente, del
resultado de la demanda.[20]
En su reclamación Costeja González solicitaba, por
un lado, que se exigiese a La Vanguardia eliminar o modificar la publicación
para que no apareciesen sus datos personales, o utilizar las herramientas facilitadas
por los motores de búsqueda para proteger estos datos.
Por otro lado, solicitaba que se exigiese a Google
Spain o a Google Inc. que eliminaran u ocultaran sus datos personales para que
dejaran de incluirse en sus resultados de búsqueda y dejaran de estar ligados a
los enlaces de La Vanguardia.
En este marco, el Sr. Costeja González afirmaba que
el embargo al que se vio sometido en su día estaba totalmente solucionado y
resuelto desde hace años y carecía de relevancia actualmente.
La demanda del quejoso se amparaba en una directiva
95/46 [21]
del Parlamento Europeo y el Consejo de la Unión Europea relativa a la
protección de las personas físicas en lo que respecta al tratamiento de datos
personales y a la libre circulación de estos datos, que data de 1995 y que
señala que:
“Los Estados miembros garantizarán, con arreglo a
las disposiciones de la presente Directiva, la protección de las libertades y
de los derechos fundamentales de las personas físicas, y, en particular, del
derecho a la intimidad, en lo que respecta al tratamiento de los datos
personales”.
Mediante resolución de 30 de julio de 2010, la AEPD
desestimó la reclamación hacia La Vanguardia, al considerar que la publicación
estaba legalmente justificada, dado que había tenido lugar por orden del
Ministerio de Trabajo y Asuntos Sociales y tenía por objeto dar la máxima
publicidad a la subasta para conseguir la mayor concurrencia de licitadores.
En contraste, la AEPD consideró que
quienes gestionan motores de búsqueda, en este caso Google, están sometidos a
la normativa en materia de protección de datos, dado que llevan a cabo un
tratamiento de datos del que son responsables y actúan como intermediarios de
la sociedad de la información.
La AEPD consideró que estaba facultada para ordenar
la retirada e imposibilitar el acceso a determinados datos por parte de los
gestores de motores de búsqueda cuando considere que su localización y
difusión puede lesionar el derecho fundamental a la protección de datos y a la
dignidad de la persona entendida en un sentido amplio, lo que incluye la mera
voluntad del particular afectado cuando quiere que tales datos no sean
conocidos por terceros.
La citada agencia española estimó que este requerimiento puede dirigirse
directamente a los explotadores de motores de búsqueda, sin suprimir los datos
o la información de la página donde inicialmente está alojada e, incluso,
cuando el mantenimiento de esta información en dicha página esté justificado
por una norma legal.
Google Spain y Google Inc. interpusieron sendos
recursos contra dicha resolución ante la Audiencia Nacional, que decidió
acumularlos y enviarlos al Tribunal, con el fin de obtener una interpretación
sobre cómo aplicar la Directiva 95/46. Finalmente, en su resolución de mayo de
2014, el Tribunal determinó las siguientes consideraciones:
- La actividad de un motor de búsqueda, que consiste en hallar
información publicada o puesta en Internet por terceros, indexarla de manera
automática, almacenarla temporalmente y, por último, ponerla a disposición
de los internautas según un orden de preferencia determinado, debe
calificarse de «tratamiento de datos personales», en el sentido del
artículo 2, letra b) de la mencionada Directiva, cuando esa información
contiene datos personales, y, por otro, el gestor de un motor de búsqueda
debe considerarse «responsable» de dicho tratamiento, en el sentido del
mencionado artículo 2, letra d) de la misma norma.
- Si bien Google es una empresa extranjera, llevó a cabo ese
“tratamiento de datos personales” en territorio de un Estado miembro, a
través de una sucursal o una filial destinada a garantizar la promoción y
la venta de espacios publicitarios propuestos por el mencionado motor y
cuya actividad se dirige a los habitantes de este Estado miembro.
- Para respetar los derechos que establecen estas disposiciones, el
gestor de un motor de búsqueda está obligado a eliminar de la lista de
resultados obtenida tras una búsqueda efectuada a partir del nombre de una
persona vínculos a páginas web, publicadas por terceros y que contienen
información relativa a esta persona, también en el supuesto de que este
nombre o esta información no se borren previa o simultáneamente de estas
páginas web, y, en su caso, aunque la publicación en dichas páginas sea en
sí misma lícita.
- Al analizar los requisitos de aplicación de estas disposiciones, se
tendrá que examinar, en particular, si el interesado tiene derecho a que
la información en cuestión relativa a su persona ya no esté, en la
situación actual, vinculada a su nombre por una lista de resultados
obtenida tras una búsqueda efectuada a partir de su nombre y que éste
puede, habida cuenta de los derechos que le reconocen los artículos 7 y 8
de la Carta, solicitar que la información de que se trate ya no se ponga a
disposición del público en general mediante su inclusión en tal lista de
resultados.[22]
IV.- El contexto mexicano
En México, en Estados Unidos y en Centro y
Sudamérica no existe el derecho al olvido en ninguna legislación nacional, como
tampoco está en los marcos legales
regionales, si bien la Convención Interamericana de Derechos Humanos establece
en su artículo 11 el derecho al respeto de la honra y la dignidad, los cuales
guardan también relación con el tema que nos ocupa.
En junio de 2002 se
publicó en nuestro país la Ley Federal de Transparencia y Acceso a la
Información Pública Gubernamental (LFTAIPG), hoy abrogada, que ya garantizaba
la protección de datos personales, pero aplicaba, como su nombre lo indica a
las entidades gubernamentales. En su artículo 20 esta ley ya consideraba la
obligación de estas entidades de “sustituir, rectificar o completar, de oficio,
los datos personales que fueren inexactos, ya sea total o parcialmente, o
incompletos (…)”. En su artículo 25 preveía un mecanismo para que una persona
solicitara la modificación de datos.
Esta ley enmarcó la
creación del Instituto Federal de Acceso a la Información (IFAI) como
un órgano de la Administración Pública Federal,
con autonomía operativa, presupuestaria y de decisión, encargado de promover y
difundir el ejercicio del derecho a la información; resolver sobre la negativa
a las solicitudes de acceso a la información y proteger los datos personales en
poder de las dependencias y entidades. [23]
En 2009 el Poder
Legislativo aprobó reformas a la Constitución Mexicana que desde entonces
estableció la protección de información que se refiere a la vida privada y los
datos personales “así como al acceso, rectificación y cancelación de los
mismos”.[24]
El 5 de julio de 2010 se
publicó en el Diario Oficial de la Federación la Ley Federal de Protección de
Datos Personales en Posesión de los Particulares (LFPDPPP). Esta ley estableció
que los datos que formen parte de bases de datos debe ser actualizados para
los fines para los cuales fueron recabados y que cuando ya no se requieran para
cumplir esos fines deben ser cancelados, incluyendo información relativa al
incumplimiento de obligaciones contractuales, “una vez que transcurra un plazo
de setenta y dos meses, contado a partir de la fecha calendario en que se
presente el mencionado incumplimiento”. [25]
En su capítulo IV esta
ley incluye los llamados derechos ARCO: Acceso, Rectificación, Cancelación y Oposición.
En mayo de 2015 se aprobó
una nueva Ley General de Transparencia y Acceso a la Información Pública (LGTAIP)
que dejó abrogada la de 2002. Una de las novedades de la nueva ley fue la
creación del Sistema Nacional de Transparencia, Acceso a la Información y
Protección de Datos Personales con un Consejo Nacional. Por su parte, el IFAI
se transformó en El Instituto Nacional de Transparencia, Acceso a la
Información y Protección de Datos Personales
(INAIP). En esta ley el universo
de “sujetos obligados” para transparentar y proteger datos personales se amplió
incluyendo a
cualquier autoridad, entidad, órgano y organismo
de los Poderes Ejecutivo, Legislativo y Judicial, órganos autónomos, partidos
políticos, fideicomisos y fondos públicos, así como cualquier persona física,
moral o sindicato que reciba y ejerza recursos públicos o realice actos de
autoridad en los ámbitos federal, de las Entidades Federativas y municipal. [26]
También contempló, en su
artículo 42 fracción XV la posibilidad de interponer acciones de
inconstitucionalidad en contra de leyes expedidas por las legislaturas locales “que
vulneren el derecho de acceso a la información pública y la protección de datos
personales”. Igualmente estableció la obligación de los sujetos obligados de “sustituir,
rectificar o completar, de oficio, los datos personales que fueren inexactos,
ya sea total o parcialmente, o incompletos, en el momento en que tengan conocimiento
de esta situación”.
Por su parte, la Ley General de Protección de Datos Personales en Posesión de Sujetos
Obligados (LGPDPPSO) fue publicada el 26 de enero de 2017 y tiene como uno de
sus objetivos proteger este derecho constitucional. En ella se definen los
derechos ARCO como los derechos de acceso, rectificación, cancelación y
oposición al tratamiento de datos personales.
Una de las cuestiones más
relevantes de esta nueva ley que convive con la Ley General de Transparencia y
Acceso a la Información Pública (LGTAIP) y la Ley Federal de Protección de
Datos Personales en Posesión de los Particulares (LFPDPPP) es la confirmación
del establecimiento del Sistema Nacional de Transparencia, Acceso a la Información y Protección de
Datos Personales, el cual está facultado para “diseñar, ejecutar y evaluar un Programa Nacional de Protección de Datos
Personales que defina la política pública y establezca objetivos, estrategias,
acciones y metas para promover la educación y una cultura de protección de
datos personales entre la sociedad mexicana”. [27]
Es claro que los derechos
de rectificación y cancelación contenidos en la amplia legislación mexicana
están muy relacionados con el derecho al olvido. Particularmente, el derecho de
cancelación previsto en la LFPDPPP de este año podría incluso equipararse con
el “derecho al olvido” europeo, ya que señala que esta cancelación inicia con
un bloqueo “tras el cual se procederá a la supresión del dato”. Sin embargo, enseguida expone que “el
responsable podrá conservarlos exclusivamente para efectos de las
responsabilidades nacidas del tratamiento”.[28]
La ley apunta también que
cuando los datos personales hubiesen sido transmitidos con anterioridad a la
fecha de rectificación o cancelación y sigan siendo tratados por terceros, el
responsable, es decir, la persona física o moral de carácter privado que decide
sobre el tratamiento de datos personales, deberá hacer de su conocimiento dicha
solicitud de rectificación o cancelación, para que proceda a efectuarla
también”.[29]
Como en otros países, en México el derecho civil
reconoce la afectación a una persona en cuanto a sus “sentimientos, afectos, creencias, decoro, honor, reputación, vida
privada, configuración y aspecto físicos, o bien en la consideración que de sí
misma tienen los demás”, como lo expresa el artículo 1916 del Código
Civil federal, lo que se conoce como daño moral.
“Se presumirá que hubo
daño moral cuando se vulnere o menoscabe ilegítimamente la libertad o la
integridad física o psíquica de las personas”, indica dicha norma.
V.- Breve
repaso del “Caso Fortuna”
Y de hecho, el concepto ha enfrentado corrientes de
pensamiento que creen que este derecho de supresión atenta contra la libertad
de expresión y puede ser utilizado como un arma de censura. Particularmente
estas posturas se radicalizaron con el llamado “Caso Fortuna”, que derivó en
una sentencia de la Suprema Corte de Justicia de la Nación a este respecto.
El 26 de enero de 2015 el Instituto Federal de Acceso
a la Información (IFAI), hoy Instituto Nacional de Transparencia, Acceso a la
Información y Protección de Datos Personales (INAI) emitió una recomendación en
la que hizo valer los derechos de supresión y cancelación contemplados en la
ley e inició un procedimiento de imposición de sanciones en contra de Google
México, S. de R.L. de C.V. “por posibles infracciones a la Ley Federal de
Protección de Datos Personales en Posesión de los Particulares” y “hacer
efectivos los derechos de cancelación y oposición al tratamiento de los datos
personales de un particular”.[30]
El caso inicio en 2014 con la solicitud de un
empresario, Carlos Sánchez de la Peña, quien ganó esta solicitud, para que
fueran cancelados datos publicados por la Revista “Fortuna” y que aparecían
ligados al buscador de Google. Este caso, en palabras del IFAI en su momento,
fue una decisión inédita que ponía a México a la vanguardia sobre este derecho,
tal como curre en Europa.
“México
se une a los países que han sentado un precedente, al considerar a dicha
empresa internacional como responsable del tratamiento de datos personales
cuando presta servicios de motor de búsqueda”, señaló la institución en su
comunicado. [31]
El
comunicado también apunta:
En el análisis del caso, el Pleno
del IFAI precisó lo siguiente:
1.- Google México, S. de R.L. de
C.V. es una empresa legalmente constituida en México y en términos de la
LFPDPPP es responsable del tratamiento de datos personales.
2.- De acuerdo con su objeto social,
la empresa presta servicios de motor de búsqueda.
3.- Google México, S. de R.L. de
C.V. sí hace un tratamiento de datos personales cuando se coloca en el buscador
un dato de cualquier persona y se encuentra indexado a la información de la
Red.
4.- No acreditó que dicho servicio
lo realiza o presta una empresa distinta. Por lo anterior, el 26 de enero de
2015, el Pleno emitió la resolución descrita y determinó iniciar un
procedimiento de sanciones por posibles infracciones a la LFPDPPP. [32]
Esta resolución, sin embargo, fue combatida en
amparo por la Revista Fortuna a través de la Red en Defensa de los Derechos
Digitales (R3D) y el 24 de agosto de
2016 el Séptimo Tribunal Colegiado de Circuito del Centro Auxiliar de la
Primera Región concedió el amparo.
De acuerdo con el sitio R3D, uno de los enlaces
buscaba eliminar correspondía a una nota periodística de la Revista Fortuna,
titulada “Fraude en Estrella Blanca alcanza a Vamos México”.[33]
La revista Fortuna promovió este amparo en su
carácter de tercero en el procedimiento de origen, para que la justicia federal
dilucidare su pretensión “de que se conserve la información difundida en ejercicio
de su profesión o actividad periodística”[34],
es decir, la publicación alego su derecho a la libertad de expresión.
Fortuna alegó que la resolución del IFAI violaba el
derecho a la libertad de expresión reconocido en los artículos 6° y 7°
constitucionales, así como el artículo 13 de la Convención Americana Sobre
Derechos Humanos y, 19 del Pacto Internacional de Derechos Civiles y Políticos,
bajo el argumento de que
“no constituye una medida de restricción del derecho
a la libertad de expresión idónea, necesaria y proporcional, en virtud de que
el ofrecer un vínculo a una página de internet no constituye una comunicación
del contenido de un dato personal, ya que la página de internet “respecto de la
cual se pretende obstaculizar su acceso, es de interés público y debe
prevalecer respecto del derecho de cancelación y oposición de datos personales
del tercero interesado”.
Cabe aclarar, sin embargo, que el Tribunal federal
no analizó lo relativo a la libertad de expresión, en realidad pidió la
modificación de la senrtencia de IFAI en lo relativo a ofrecer audiencia la
Recvista Fortuna, como tercero interesado, para resolver sobre ese punto y lo
expresó así en su resolución de Amparo en revisión:
“(…)
sí tiene el carácter de tercero en el procedimiento de origen en el cual debe
dilucidarse su pretensión de que se conserve la información difundida en
ejercicio de su profesión o actividad periodística, por lo que sí acreditó su
interés legítimo en el juicio de amparo y la autoridad responsable debió
otorgarle derecho de audiencia a fin de que manifieste lo que a su interés
convenga”[35]
Especialistas independientes y académicos se han
mostrado opuestos al derecho de cancelación, supresión o “derecho al olvido” en
México, alegando que colisiona con el derecho a la libertad de expresión.
Un caso relevante ocurrió en Argentina, donde en
2011 la Corte Suprema aplicó criterios que caben dentro del concepto de derecho
al olvido y habeas data, basados en su ley 25.326 de protección de datos y su
reglamento, que prevé en su artículo 26 numeral 4 que “sólo se podrán archivar, registrar o ceder los datos personales
que sean significativos para evaluar la solvencia económico-financiera de los
afectados durante los últimos cinco años. Dicho plazo se reducirá a dos años
cuando el deudor cancele o de otro modo extinga la obligación, debiéndose hace
constar dicho hecho”.[36]
En el sistema
interamericano de derechos humanos, también existe una clara limitación en
cuanto al acceso a la información cuando esta daña “intereses privados” tales
como el derecho a la privacidad, incluyendo privacidad relacionada a la vida,
la saludo o la seguridad. (Ley modelo interamericana de acceso a la
información).
En 2016 se adoptó a nivel
interamericano un Programa Interamericano sobre Acceso a la Información Pública.
Ley 25.326 Disposiciones Generales. Principios
generales relativos a la protección de datos. Derechos de los titulares de
datos. Usuarios y responsables de archivos, registros y bancos de datos.
Control. Sanciones. Acción de protección de los datos personales. Buenos Aires,
4 de octubre de 2000
Bibiografía
-Reglamento
2016/679 del Parlamento Europeo y del Consejo relativo a
la protección de las personas físicas en lo que respecta al tratamiento de
datos personales y a la libre circulación de estos datos. Diario Oficial de la
UE, 4 de mayo de 2016.
-Constitución Política de
los Estados Unidos Mexicanos vigente.
-Directiva 2016/680 del
Parlamento Europeo y del Consejo de la Unión Europea relativa a la protección
de las personas físicas en lo que respecta al tratamiento de datos personales
por parte de las autoridades competentes para fines de prevención,
investigación, detección o enjuiciamiento de infracciones penales o de
ejecución de sanciones penales y a la libre circulación de dichos datos. Diario
Oficial de la UE, 04 de mayo de 2016
-Ley de responsabilidad
civil para la protección del derecho a la vida privada, el honor y la propia
imagen del Distrito Federal
- Declaración
Universal de los Derechos Humanos, edición de la Organización e las Naciones
Unidas, 2015.
-
Convención Americana de los Derechos Humanos
- Carta de los
Derechos Fundamentales de la Unión Europea. Diario Oficial de la Unión Europea,
7 de junio de 2016.
-Tratado de Funcionamiento de la Unión Europea.
Diario Oficial de la Unión Europea, 26 de octubre de 2012
- Directiva
95/46/ce del Parlamento Europeo y del Consejo, 24 de octubre de 1995
- Directiva 2014/53/UE del Parlamento
Europeo y del Consejo relativa a la armonización de las legislaciones de los
Estados miembros sobre la comercialización de equipos radioeléctrico.
- Special
Eurobarometer. 359 Attitudes on Data Protection and Electronic Identity in the
European Union”, Bruselas, 2011
-Comunicado de prensa nº 117/15 del Tribunal de Justicia de
la Unión Europea, Luxemburgo,
6 de octubre de 2015.
- Reglamento (UE) 2016/679 del Parlamento europeo y del Consejo
relativo a la protección de las personas físicas en lo que respecta al
tratamiento de datos personales y a la libre circulación de estos datos y por
el que se deroga la Directiva 95/46/CE, publicado en el Diario Oficial de la
Unión Europea el de 27 de abril de 2016.
- Convenio Europeo para la Protección
de los Derechos Humanos y de las Libertades Fundamentales
- Sentencia EDJ 2014/67782 Tribunal de Justicia (CE) Gran Sala, S
13-5-2014, no C-131/2012
- Ley Federal
de Transparencia y Acceso a la Información Pública Gubernamental. Ley Abrogada Diario Oficial de
la Federación, México, 9 de mayo de 2016
- Ley Federal de
Protección de Datos Personales en Posesión de los Particulares. Diario Oficial
de la Federación, México, 5 de julio de 2010
- Ley General de
Protección de Datos Personales en Posesión de Sujetos Obligados (LGPDPPSO).
Diario Oficial de la Federación, México, 26 de enero de 2017.
-Juicio de origen Amparo en Revisión, 4 de agosto de 2016,
Séptimo Tribunal Colegiado de Circuito del Centro Auxiliar de la Primera Región
con residencia en Naucalpan de Juárez, Estado de México, versión pública.
- Ley 25.326. Disposiciones Generales.
Principios generales relativos a la protección de datos. Derechos de los
titulares de datos. Usuarios y responsables de archivos, registros y bancos de
datos. Control. Sanciones. Acción de protección de los datos personales. Buenos
Aires, 4 de octubre de 2000
[1] El documento completo
y un resumen de los puntos más importantes puede verse en línea en:
http://eur-lex.europa.eu/legal-content/EN/LSU/?uri=uriserv:OJ.L_.2016.119.01.0001.01.ENG
[2] El documento completo y
un remen de los puntos más importantes puede verse en línea en:
http://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX%3A32016L0680
[3] Estos derechos están
previstos en el artículo 16 constitucional por efectos de la reforma de 2009
[4] Código Civil Federal
vigente, artículo 1916
[5] Artículo 3, único
párrafo de la ley de responsabilidad civil para la protección del
derecho a la vida privada, el honor y la propia imagen del Distrito Federal
[6] Publicado en el Diario
Oficial de las Comunidades Europeas el 18 de diciembre de 2000
http://www.europarl.europa.eu/charter/pdf/text_es.pdf
[7] Una versión
consolidada de este Tratado puede verse en
http://eur-lex.europa.eu/legal-content/ES/TXT/?uri=celex%3A12012E%2FTXT
[8] Artículo 12 Directiva 95/46/ce del Parlamento Europeo y del Consejo relativa a la
protección de las personas físicas en lo que respecta al tratamiento de datos
personales y a la libre circulación de estos datos. Diario Oficial de la Unión
Europea, 24 de octubre de 1995.
[9] Publicada en el Diario
Oficial de la Unión Europea, 22 de mayo de 2014
[10] Dicha estrategia se
basa en tres pilares: la mejora del acceso a los bienes y servicios digitales,
un entorno donde las redes y servicios digitales puedan prosperar y Servicios
digitales como motor del crecimiento económico, tal como lo establece en su exposición
de motivos la propia “Propuesta de Reglamento del parlamento
europeo y del consejo sobre el respeto de la vida privada y la protección de
los datos personales en el sector de las comunicaciones electrónicas y por el
que se deroga la Directiva 2002/58/CE (Reglamento sobre la privacidad y las
comunicaciones electrónicas)”
[11] TNS Opinion por
requerimiento de Directorate-General Justice, Information Society & Media
and Joint Research Centre, “Special Eurobarometer. 359 Attitudes on Data
Protection and Electronic Identity in the European Union”, Bruselas, 2011, p.2
http://ec.europa.eu/commfrontoffice/publicopinion/archives/ebs/ebs_359_en.pdf
[12] Comunicado de prensa
nº 117/15 del Tribunal de Justicia de la Unión Europea, Luxemburgo, 6 de octubre de 2015
relativo a la protección de las
personas físicas en lo que respecta al tratamiento de datos personales y a la
libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE
(Reglamento general de protección de datos) p. 12
[15] El artículo 17 del “Reglamento 2016/679
del Parlamento Europeo y del Consejo relativo a la protección de las personas
físicas en lo que respecta al tratamiento de datos personales y a la libre
circulación de estos datos” tiene relación aquí con su artículo 9, apartado 2,
letra a del mismo reglamento.
[16] En este caso el
artículo 17 del “Reglamento 2016/679 del Parlamento Europeo y del Consejo relativo a la protección de las
personas físicas en lo que respecta al tratamiento de datos personales y a la
libre circulación de estos datos” tiene relación con el artículo 6, apartado 1
letra e del mismo reglamento.
[17] En este caso el
artículo 17 del “Reglamento 2016/679 del Parlamento Europeo y del Consejo relativo a la protección de
las personas físicas en lo que respecta al tratamiento de datos personales y a
la libre circulación de estos datos” tiene relación con el artículo 6, apartado
1, letra f del mismo reglamento.
[18] En este caso el
artículo 17 del “Reglamento 2016/679 del Parlamento Europeo y del Consejo relativo a la protección de
las personas físicas en lo que respecta al tratamiento de datos personales y a
la libre circulación de estos datos” tiene relación con el artículo 21,
apartado 2 del mismo reglamento.
[19] En este caso el
artículo 17 del “Reglamento 2016/679 del Parlamento Europeo y del Consejo relativo a la protección de
las personas físicas en lo que respecta al tratamiento de datos personales y a
la libre circulación de estos datos” tiene relación con el artículo 9, apartado
2 letra h del mismo reglamento
[20] Tan es así que es
posible acceder a los archivos originales en este link
http://hemeroteca.lavanguardia.com/preview/1998/01/19/pagina-23/33842001/pdf.html
[21] Precisamente esta directiva,
que aun no incluía explícitamente el derecho al olvido, es la que queda hoy
abrogada por el Reglamento 2016/679 del Parlamento Europeo y del Consejo relativo a
la protección de las personas físicas en lo que respecta al tratamiento de
datos personales y a la libre circulación de estos datos”
[23] Ley Federal de
Transparencia y Acceso a la Información Pública Gubernamental, artículo 33, párrafo
único.
[24] Constitución Política
de los Estados Unidos Mexicanos, Artículo 16 segundo párrafo.
[25] Ley Federal de
Protección de Datos Personales en Posesión de los Particulares, artículo 11
[26] Ley General de
Transparencia y acceso a la Información Pública, artículo 23
[27] Ley General de Protección de Datos
Personales en Posesión de Sujetos Obligados (LGPDPPSO), Capítulo II artículos
del 10 al 15.
[28] Ley
Federal de Protección de Datos Personales en Posesión de los Particulares
(LFPDPPP), artículo 25, párrafo 2.
[29] Ley
Federal de Protección de Datos Personales en Posesión de los Particulares
(LFPDPPP), artículo 25 párrafo 4.
[30] Expediente PPD.0094/14
para la solicitud de cancelación y posición de los datos personales de un
particular, 22 de julio de 2014, IFAI
[32] Op.
Cit. p2
[33]“Ganamos,
Tribunal anula resolución del INAI sobre el falso “derecho al olvido” https://r3d.mx/2016/08/24/amparo-inai-derecho-olvido/
[34]
Juicio de origen Amparo en Revisión, 4 de agosto de 2016
[35] Juicio de origen Amparo
en Revisión, 4 de agosto de 2016, Séptimo Tribunal Colegiado de Circuito del
Centro Auxiliar de la Primera Región con residencia en Naucalpan de Juárez,
Estado de México, versión pública
Comentarios