DETERMINACIÓN DE LA RESPONSABILIDAD DE LAS PLATAFORMAS EN LÍNEA EN RELACIÓN CON EL TRATAMIENTO DE LOS DATOS PERSONALES DIVULGADOS

DETERMINING THE LIABILITY OF ONLINE PLATFORMS REGARDING THE PROCESSING OF DISCLOSED PERSONAL DATA

Trinidad Vázquez Ruano*

SUMARIO: I. APUNTES PRELIMINARES.— II. DOCTRINA SOBRE LA RESPONSABILIDAD DE LAS PLATAFORMAS EN LÍNEA: 1. Régimen sustantivo general; 2. Previsiones normativas e interpretativas nacionales sobre la responsabilidad de los prestadores de servicios intermediarios.— III. GARANTÍA DE LA PRIVACIDAD EN LAS PLATAFORMAS DIGITALES Y LA ATRIBUCIÓN DE RESPONSABILIDAD. 1. Principios generales sobre la protección de la información y de los datos de carácter personal; 2. La asunción de responsabilidad de las plataformas digitales por el tratamiento de datos personales.— IV. CONCLUSIONES.—V. BIBLIOGRAFÍA.

CONTENTS: I. PRELIMINARY NOTES.— II. LEGAL DOCTRINE ON THE LIABILITY OF ONLINE PLATFORMS. 1. General regulatory framework, 2. National regulatory and interpretive provisions regarding the liability of intermediary service providers.— III. GUARANTEE OF PRIVACY ON DIGITAL PLATFORMS AND THE ALLOCATION OF LIABILITY: 1. General principles regarding the protection of information and personal data, 2. The assumption of liability by digital platforms for the processing of personal data.— IV. CONCLUSIONS.— V. BIBLIOGRAPHY.

I. APUNTES PRELIMINARES

La distinción de las plataformas en línea como simples prestadores de servicios de intermediación en el ámbito digital es el fundamento de la determinación del régimen jurídico de responsabilidad que asumen. En líneas generales, la intermediación digital se concreta en los servicios de la sociedad de la información que hacen posible la transmisión de datos, el almacenamiento automático, provisional y temporal de los mismos o, en su caso, el acceso a contenidos proporcionados por terceros. Esta catalogación va a conllevar la limitación de la responsabilidad de los prestadores intermediarios (como lo son las plataformas en línea) en la medida en que, no habiendo intervenido ni ejercido un control sobre el contenido o los datos, se hubieran cumplido las exigencias normativas que son de aplicación. Por tanto, cabe considerar que se trata de una reserva a la responsabilidad que resulta condicionada y que no puede entenderse en un sentido absoluto. Esto es, en principio y en su categoría de prestadores intermediarios en el ámbito digital, van a quedar amparados por la exención de responsabilidad general si no disponen del conocimiento efectivo acerca de la ilicitud de la actividad o de la información transmitida o conservada y, en el supuesto de tenerlo, actúan con diligencia para retirar los datos o hacer imposible el acceso a ellos (atendiendo a las disposiciones previas de la Directiva 2000/31/CE sobre el comercio electrónico 1). No obstante, como es sabido, el desarrollo normativo más reciente ha supuesto la aprobación del Reglamento que se ocupa de la sistemática de los servicios digitales, a fin de adaptarse al nuevo panorama tecnológico 2. Respecto de sus previsiones, y aun cuando se mantiene la dispensa de responsabilidad de los prestadores intermediarios, se reconocen ciertas obligaciones justificadas en la diligencia debida, particularmente en lo que afecta a las plataformas en línea.

Sin embargo, mayores dificultades surgen en el examen que nos ocupa si atendemos a la tutela de las informaciones y de los datos de carácter personal que se publican en las interfaces de las plataformas digitales. Pues, atendiendo a la funcionalidad de estas y a pesar de que actúan como prestadores de servicios intermediarios, la sistemática a la que se enfrentan en dicha materia es distinta. Ello hace que puedan ser responsables (o corresponsables) del tratamiento de los datos personales de terceros si participan en la determinación de los fines y medios del mismo, significando la necesaria atención a las imposiciones reglamentarias previstas ex ante a las publicaciones y como mecanismo precautorio en cuanto a los principios de protección de los datos personales y de los derechos fundamentales a la privacidad y la seguridad de la información (Reglamento general de protección de datos 3 y, a nivel interno, la Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales 4). En consecuencia, la condición de prestador de servicios intermediario en el entorno digital, siguiendo la jurisprudencia del TJUE, no va a excluir en todo caso la aplicación del riguroso y preciso régimen que garantiza la protección de los datos personales. Sino que, dependiendo del grado de intervención del prestador de servicios en la gestión, organización y difusión de los datos, puede superarse el modelo tradicional de supervisión ex post tras la recepción de las reclamaciones o denuncias que se hubieran presentado sobre la ilicitud del contenido. Y, al mismo tiempo, ello contribuye de manera decisiva en la concreción del alcance de sus obligaciones como responsables en el tratamiento de los datos personales.

Por consiguiente, desde la perspectiva de la responsabilidad, se hace ineludible atender a la conjunción existente entre el régimen que se refiere a los servicios de la sociedad de la información y el que corresponde a la garantía de los datos personales. La responsabilidad de las plataformas en línea (prestadores intermediarios) respecto a su participación en el tratamiento de la información y los datos de los sujetos divulgados a través de ellas va a exigir un examen individualizado de cada caso concreto, advirtiendo su implicación funcional y la proporcionalidad y equilibrio en cuanto a la tutela de los intereses afectados.

II. DOCTRINA SOBRE LA RESPONSABILIDAD DE LAS PLATAFORMAS EN LÍNEA

1. Régimen sustantivo general

La consideración de las plataformas en línea como prestadores de servicios intermediarios de la sociedad de la información conlleva que en su actuación deban atenderse las previsiones contenidas, inicialmente, en la Directiva sobre el comercio electrónico, las cuales han sido compensadas con posterioridad en el Reglamento que aborda los servicios digitales. En el primer caso, aun cuando podría pensarse en la responsabilidad de las plataformas por los contenidos, productos o servicios que a través de ellas se ofrecen a los usuarios en el entorno electrónico, su indicada posición como simples prestadores intermediarios les va a eximir de la asunción de una responsabilidad directa (conocidos como puertos seguros o safe harbors) 5. De este modo, se prevé su tutela frente a la atribución de posibles responsabilidades por las acciones llevadas a cabo por parte de los usuarios, en la medida en que —como veremos— se satisfagan ciertas exigencias. Y es que el legislador comunitario estimó, en su momento, que las dispares normativas nacionales en materia de responsabilidad de los prestadores de servicios digitales limitaban la adecuada conveniencia del mercado interior. Razón que hizo concretar un recurso normativo tendente a coadyuvar la obligación que pesa sobre los prestadores de servicios de impedir conductas contrarias a Derecho 6. La prescripción general se define en apreciar la exención de responsabilidad de los meros prestadores intermediarios en cuanto que su actuación se circunscriba al proceso técnico, automático y neutro, tendente a aprovechar y facilitar el acceso a una red de comunicaciones en la que la información es suministrada por terceros y el prestador se limita a transmitirla o almacenarla de modo temporal 7. Entendiendo que dicho prestador carece del pertinente conocimiento, no tiene participación alguna en él, así como tampoco realiza el factible control previo respecto de esa información 8. Por tanto, el prestador de servicios intermediario no va a asumir una responsabilidad por defecto, es decir, cuando no tiene conocimiento real de la calificación del contenido ilícito o, si fuera éste el caso, en tanto actuase con diligencia para efectuar su retirada o impedir el acceso al mismo en la hipótesis de advertir dicha circunstancia 9. En caso contrario, no cabría que el prestador aludiese a la mencionada dispensa de responsabilidad. En los supuestos en los que el prestador del servicio conozca de manera efectiva la ilicitud de la actividad o contenido en cuestión, deberá retirar los datos con celeridad o imposibilitar el acceso a ellos. Estas previsiones nos llevan a destacar los dos elementos fundamentales del régimen de responsabilidad de los prestadores de servicios intermediarios en línea: de un lado, la notificación o el modo en el que el prestador puede advertir la ilicitud de la información o de la actuación de que se trate, bien por parte de un usuario, o por la notificación de una autoridad competente, o bien de un tercero afectado. De otro, el acto relativo a la retirada o la eliminación de la misma, en cuyo caso se requiere que el prestador lo haga con diligencia y prontitud.

Las disposiciones señaladas, como se ha apuntado, se han desarrollado de forma equilibrada y horizontal en el contenido del Reglamento de servicios digitales. A tal fin, y aun manteniendo las consideraciones previas para la condicionada exención de responsabilidad de los prestadores de servicios intermediarios y sin apremiar una obligación de supervisión a priori 10, el actual tenor reglamentario refuerza las obligaciones exigidas a estos prestadores de servicios para poder exonerarse de la factible imputación de responsabilidad 11. Siendo necesario tener un conocimiento o consciencia de la actividad o contenido ilícitos que sea específico y concreto, no resultando suficiente con que el prestador lo conozca de forma general. Esta afirmación conlleva que dicho conocimiento se asocie a la comunicación de una autoridad judicial o administrativa y, también, a la notificación de un tercero o a una búsqueda que el prestador haga de oficio. Por ello, el legislador ha determinado la necesidad de que los canales de notificación de los contenidos ilícitos a los prestadores de servicios sean accesibles y que dichas notificaciones estén motivadas de forma suficiente, al objeto de que éstos puedan actuar de manera rápida, justificada y proporcionada 12. Teniendo que informar, además, al destinatario del servicio afectado por las posibles limitaciones establecidas cuando la información proporcionada por su parte sea contraria a Derecho, o resulte incompatible con las condiciones generales del propio servicio; así como, a las autoridades policiales o judiciales en la hipótesis de que aquélla pueda suponer la comisión de un delito que implique una amenaza para la vida o la seguridad de las personas. Evidentemente, no cabe aludir al sistema de exención de responsabilidad del prestador intermediario en los casos en los que el destinatario del servicio hubiera actuado bajo la autoridad o el control del prestador del servicio de alojamiento de datos 13. Tampoco quedarán exentos de responsabilidad los prestadores de servicios de intermediación que formen parte de otro servicio que no sea de intermediación 14, ni las plataformas en línea que posibiliten la contratación a distancia entre empresarios y consumidores, cuando los prestadores de esas plataformas hagan creer a estos últimos que el producto o servicio que es objeto de la transacción se proporciona por la propia plataforma o por un prestador que actúa bajo su autoridad o control 15.

A mayor abundamiento, estas exigencias establecidas para los prestadores de servicios intermediarios se complementan en la sistemática normativa con diversas obligaciones adicionales que resultan específicas para los prestadores de alojamiento de datos, y otras en relación con las plataformas en línea (y para las plataformas y motores de búsqueda de muy gran tamaño) 16. Cabe destacar, en este momento, la previsión de realizar investigaciones voluntarias o la propuesta de admitir medidas para detectar, identificar y retirar contenidos que resulten contrarios a Derecho o, en su caso, para cumplir los presupuestos de licitud, y a fin de bloquear su acceso con la precisa diligencia. A pesar de que no se les compele a monitorizar la información, ni buscar hechos o circunstancias que reconozcan actividades indebidas. En un sentido similar, se prevé un incremento de la transparencia y de la información del prestador de servicio digital respecto de las órdenes dictadas por las autoridades judiciales o administrativas de actuación contra uno o varios elementos de contenido ilícito, teniendo que indicar a estas autoridades el curso dado a la orden sin dilación indebida 17. Este contenido resulta equivalente al deber recogido respecto de las órdenes de facilitar información acerca de uno o varios destinatarios individuales del servicio 18. También, y entre otras imposiciones, en este mismo sentido se dispone la necesidad de que los prestadores intermediarios colaboren con las autoridades competentes que correspondan 19.

2. Previsiones normativas e interpretativas nacionales sobre la responsabilidad de los prestadores de servicios intermediarios

Si bien las prescripciones del Reglamento de servicios digitales antes mencionadas son de aplicación directa en nuestro ordenamiento, la Ley 34/2002 de servicios de la sociedad de la información y de comercio electrónico (en adelante, LSSIyCE 20) se ocupó de integrar a nivel interno el régimen de responsabilidad administrativa, civil o penal de los prestadores de servicios digitales. Norma cuya vigencia y aplicación se mantiene respecto de las previsiones que no contravengan lo dispuesto en la regulación comunitaria.

La norma nacional dispone el principio general de exención de responsabilidad de los prestadores intermediarios (de transmisión, copia, alojamiento y localización de datos en la red) que carezcan de conocimiento efectivo sobre la ilicitud de la información o, en el planteamiento contrario, si actuasen con diligencia en la retirada de dicho contenido al objeto de impedir que se siga difundiendo. Estos preceptos reproducen la doble exigencia comunitaria tanto de la debida celeridad en el momento de suprimir el contenido o las informaciones contrarias a Derecho, como el presupuesto del conocimiento efectivo. Refiriéndose éste, a juicio del legislador, a la comunicación de una resolución judicial o administrativa que así lo confirme o que se le notifique al prestador de forma suficientemente fundada, o exista una evidencia manifiesta de la ilicitud del mismo. Por consiguiente, los operadores de redes de telecomunicaciones y proveedores de acceso a una red cuyo servicio de intermediación sea transmitir datos facilitados por el destinatario o el acceso a ellos, no van a ser responsables de la información transmitida, salvo que hubieran originado dicha transmisión, modificado o seleccionado los datos difundidos. Tampoco serán responsables los prestadores que transfieran datos facilitados por un destinatario y que los almacenen automáticamente o los reproduzcan de manera temporal, si retiran o imposibilitan el acceso a dicha información cuando tengan conocimiento efectivo de que ha sido eliminada del lugar de la red en que estaba insertada o se hubiera impedido el acceso a ella, o que un tribunal u órgano administrativo con competencia hubiese ordenado su retirada o impedido el acceso a la misma, junto a otras situaciones similares 21. Por su parte, quedan exentos de responsabilidad los prestadores de servicios de alojamiento o almacenamiento de datos y los que faciliten enlaces a contenidos o instrumentos de búsqueda, en la medida en que no dispongan de conocimiento efectivo de que la actividad o la información sea ilícita o lesione bienes o derechos de un tercero. Al igual que si, contando con ese conocimiento, proceden con diligencia para retirar o impedir su acceso. Respecto de estos prestadores intermediarios, la norma sustantiva delimita conceptualmente los términos del conocimiento efectivo del prestador 22, focalizándolo en la resolución de un órgano competente en la que se declare la ilegalidad de los datos, se ordene su retirada, se imposibilite el acceso a los mismos, o se declare la existencia de la correspondiente lesión. No obstante, la tendencia jurisprudencial interpretativa ha estimado que no se requiere, en todo caso, de la formalidad de una resolución judicial o administrativa al respecto, sino que se deduce que el prestador de servicios intermediario tiene el conocimiento efectivo y, por tanto, no puede ampararse en la exención de responsabilidad, cuando disponga de la posibilidad de conocerlo por otros medios fehacientes. Refiriéndose estos últimos, y siguiendo el contenido de la regulación comunitaria 23, a las notificaciones de los usuarios o de terceros afectados, las comunicaciones precisas y fundamentadas, o una evidencia manifiesta de la ilicitud.

En consecuencia, el fundamento dogmático del conocimiento efectivo que resulta categórico para que el prestador intermediario se exima de responsabilidad infiere una significación amplia y flexible, pero siempre que se disponga de una justificación evidente o irrefutable al respecto 24. Razón que pone de manifiesto la evolución jurisprudencial civil en la materia 25. Así, el prestador de servicios intermediario ha de advertir realmente de la ilicitud de la actividad o que no puede ignorarla de manera razonable, sin que sea suficiente una mera suposición genérica. Por lo que, como se ha apuntado, va a ser precisa una notificación legítima o una evidencia que resulte idónea. Pero, además, se ha avanzado hacia una tendencia funcional de la responsabilidad del prestador, en la que no solo es relevante el tener conocimiento efectivo de la ilicitud, sino también valorar el margen de control técnico y organizativo del prestador del servicio respecto del contenido o actuación enjuiciada. En caso contrario, la argumentación usual ha de estimar la participación neutra e imparcial de los prestadores de servicios de intermediación digital.

No obstante lo indicado, y en aplicación del Reglamento comunitario referenciado 26, una autoridad judicial o administrativa facultada según el ordenamiento interno, podrá exigir al prestador del servicio que limite o ponga fin a la infracción confirmada 27. Esto es, a pesar de que no sea responsable por los contenidos de terceros, el prestador intermediario habrá de atender las medidas cautelares de cesación si en sus servicios se alojan contenidos contrarios a Derecho y así lo requiere una autoridad con competencia en la materia.

III. GARANTÍA DE LA PRIVACIDAD EN LAS PLATAFORMAS DIGITALES Y LA ATRIBUCIÓN DE RESPONSABILIDAD

1. Principios generales sobre la protección de la información y de los datos de carácter personal

El RGPD, como se ha aludido al inicio de este análisis, es la referencia normativa general y de aplicación directa a los Estados miembros que se ocupa de la garantía de unos estándares elevados de protección en cuanto a la tutela de la información y los datos de carácter personal 28. Esto es, su contenido pretende estabilizar la protección de los derechos fundamentales de las personas y el dominio o control sobre los datos que les conciernen 29. Propósito que, al mismo tiempo, se armoniza con las especialidades del panorama digital actual, hasta tanto se apruebe de forma definitiva el Reglamento e-Privacy 30. En este sentido, la norma apuntada resulta de aplicación directa al tratamiento —automatizado o no— de los datos de las personas físicas que lleven a cabo responsables o titulares del tratamiento establecidos en el seno de la UE, con independencia de dónde éste se realice 31. También a los tratamientos de datos que efectúen titulares pertenecientes a países externos, pero en los que los sujetos que los ejercen se encuentran residiendo en territorio europeo 32.

Centrándonos en las materias esenciales de la reglamentación que nos ocupa, en primer término, cabe tener en cuenta que se mantiene la delimitación de los conceptos básicos 33. A lo que al objeto de nuestro examen interesa, como norma general, será un dato personal la información acerca de una persona física que se identifique o resulte identificable 34, sin distinguir si los datos son públicos o privados. Siendo datos personales sensibles—o categorías especiales de datos—los que evidencian el origen racial/étnico, opiniones políticas, convicciones religiosas/filosóficas, afiliación sindical, datos genéticos, los biométricos, los relativos a la salud, o a la vida u orientación sexual 35. Por su parte, la noción de tratamiento es amplia y se corresponde con cualquier operación u operaciones realizadas —por medios automatizados o no— sobre los datos de carácter personal 36. El responsable del tratamiento (o el encargado que actúa por su cuenta) se refiere a la persona física o jurídica, autoridad pública, servicio u otro organismo que decide acerca de los fines y medios de aquel, bien individualmente o junto a otros.

Sin embargo, el legislador ha sido más preciso en lo que respecta al conjunto de principios que los responsables han de respetar en el tratamiento de los datos personales y en cuanto a los derechos o facultades que amparan al titular de la información personal que es objeto del mismo. Los principios del tratamiento significan las reglas sustanciales que han de observarse en su ejecución. Debido a la singularidad de su alcance, entendemos preciso destacar los que a continuación se relacionan 37: el principio de legalidad, referido a la licitud, transparencia y lealtad del tratamiento de los datos para con el interesado. El principio de finalidad tanto en lo que hace al deber de que la información o los datos sean tratados de manera limitada, en base a una o varias finalidades precisas, explícitas y legítimas; y en cuanto a la limitación de que los datos recopilados puedan ser tratados con posterioridad de forma incompatible con los fines que justificaron su recopilación y tratamiento (salvo que el titular lo hubiera autorizado). El principio de minimización de la información personal, el cual supone que los datos objeto de tratamiento sean adecuados, pertinentes y definidos sobre el propósito que lo justifica; y que se relaciona con el principio de exactitud, por el que los datos deberán ser exactos, estar actualizados, y se adoptarán las medidas razonables para que se rectifiquen o supriman los inexactos en correspondencia con la finalidad del tratamiento. El principio de conservación de los datos en relación con el cumplimiento del objetivo que se persigue 38 y, tras su consecución, el deber de que sean borrados o quedar desprovistos de cualquier elemento que permita identificar o hacer identificables a sus titulares. Asimismo, los principios de integridad y de confidencialidad, junto al de seguridad, se reflejan en la obligación que pesa sobre el responsable del tratamiento de actuar de forma proactiva 39. Dicha obligación comprende no solo cumplir con la normativa, sino también adoptar las medidas técnicas y organizativas adecuadas y apropiadas sobre posibles amenazas o riesgos de seguridad de la información personal que motiva el tratamiento 40. Si bien, como es sabido, se exige que el responsable recabe del interesado (titular de los datos personales) el consentimiento o manifestación de su voluntad expresa, libre, específica e informada para poder efectuarlo lícitamente. Así, a efectos de legitimidad, el interesado debe realizar un acto afirmativo de manifestación de su voluntad y cuya verificación corresponde probar al responsable del tratamiento 41 y, en todo caso, tras haber sido debidamente informado sobre los aspectos fundamentales 42. Los mencionados principios evidencian los deberes esenciales que pesan sobre el responsable del tratamiento 43, algunos de los cuales ya han quedado someramente apuntados. Sin ánimo de reiteración, cabe poner de manifiesto la necesaria información al interesado de modo conciso, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo sobre el tratamiento de sus datos personales; la garantía de la seguridad de esa información; la requerida comunicación al titular y a la autoridad correspondiente de cualquier posible vulneración de la misma; y la concreción de los plazos apropiados para la supresión de los datos recopilados o a efectos de la revisión de su conservación. En el supuesto de que el responsable haga uso de la tecnología en el tratamiento, el incremento del riesgo que ello implica se refleja en la obligación de hacer a priori una evaluación de su impacto en la protección de los datos personales y, de confirmarse el alto riesgo, habrá de consultar a la autoridad de control antes de poder llevarlo a cabo 44.

Por su parte, en lo que atañe a los derechos del interesado sobre sus datos personales, la norma comunitaria que atendemos reproduce las facultades anteriormente admitidas, en conexión con la previsión de otras que acentúan el nivel de dominio y control de los datos e informaciones de su titularidad. De un lado, el derecho a recibir la oportuna información (necesaria y adicional) por parte del responsable del tratamiento y que es elemento clave para la obtención del pertinente e indispensable consentimiento 45; y la confirmación de los calificados como derechos ARCO 46. Es decir, el derecho del interesado de acceder a los datos personales de su titularidad e informaciones particulares, la rectificación de las informaciones erróneas o inexactas sin dilación indebida 47, la supresión o cancelación de sus datos, y el derecho de oposición en cualquier momento al tratamiento de los mismos 48. De otro, la previsión de precisas facultades del interesado que implican un incremento de la garantía de la información y de los datos que le conciernen y una mayor potestad sobre los mismos. Nos referimos, en sentido positivo, entre otras, a: la posibilidad de que se limite el tratamiento en determinados casos 49, a la portabilidad o el traslado de los datos e informaciones personales a otro proveedor de servicios de manera gratuita 50, y al derecho al olvido a fin de que se eliminen o supriman de manera efectiva los datos que versan sobre el interesado. En una acepción negativa, el derecho a no ser objeto de una decisión basada solo en el tratamiento automatizado de los datos personales (incluida la elaboración de perfiles) que le produzca efectos jurídicos o le afecte significativamente, a menos que lo hubiera consentido de modo explícito, sea preciso para la celebración o ejecución de un contrato, o cuando estuviera autorizado por el Derecho de la UE o por los ordenamientos internos de los Estados miembros.

2. La asunción de responsabilidad de las plataformas digitales por el tratamiento de datos personales

Las plataformas digitales en línea —en su concepción de entidades prestadoras de servicios de intermediación de alojamiento de datos— pueden quedar amparadas en la exención general de responsabilidad respecto de los contenidos vertidos por los usuarios en sus interfaces. Siempre que se atiendan las condiciones normativas establecidas y que se han analizado con anterioridad, las cuales no procede reiterar. Pues resulta habitual estimar, y así lo ha determinado la línea jurisprudencial interpretativa, que las plataformas electrónicas son prestadores intermediarios que no colaboran de manera activa en la creación, elección o en la modificación del contenido que se publicita u ofrece a través de ellas 51. Sin embargo, no puede llegarse a igual conclusión respecto del posible tratamiento de los datos e informaciones de carácter personal que realicen en el desempeño de sus funciones 52 y que, en todo caso, debe examinarse según los preceptos del RGPD. Apreciación que comporta la necesaria atención a las reglas y obligaciones que derivan de ellas y que antes se han descrito. De este modo, se infiere de la tendencia argumentativa del TJUE que el prestador de servicios de intermediación en línea no puede rehuir del cumplimiento de las prescripciones vigentes en materia de protección de datos si ha efectuado o participado en un tratamiento de los mismos, recurriendo a la exención de responsabilidad de su condición de mero intermediario. La posición neutra —desde el punto de vista técnico— de un prestador de servicios de intermediación en la sociedad de la información respecto a los contenidos ajenos publicados puede dispensarle de la responsabilidad derivada de la calificación de ilicitud de los mismos, pero ello no afecta a su factible participación en el tratamiento de los datos de carácter personal de terceros.

En relación con lo anterior, la asunción de los deberes en materia de protección de datos requiere de la identificación del prestador intermediario como responsable o, en su caso, encargado del tratamiento en cuestión 53. A tal fin, en la medida en que la plataforma digital (prestador de servicios) haya realizado cualquier actuación automatizada con información que identifique o pueda hacer identificable a su titular, nada impide considerar que lleva a cabo un tratamiento de datos personales (incluidos los datos sensibles o categorías especiales de datos). Mayores dudas, sin embargo, puede plantear su acreditación como responsable de dicho tratamiento, para lo cual se precisa comprobar su control material o participación efectiva en la decisión acerca de la finalidad y los medios del mismo. En este sentido, estimar la posible corresponsabilidad del prestador de servicios va a significar la evaluación de la realidad fáctica y que de la misma se constate su intervención cierta en la concreción de los fines y medios del tratamiento. Ciertos elementos pueden comprometer dicha participación activa de la plataforma, tal es el caso de la presentación de las ofertas y promociones de comercialización de terceros, el servicio de referencia publicitaria, o la incorporación de productos o servicios ajenos como propios de la plataforma, entre otros. Las actuales plataformas digitales desempeñan en diversos casos un rol activo, al menos, en lo que hace a la transmisión de la información a través de sus interfaces si valoramos la situación de hecho desde la garantía de los datos o informaciones de carácter personal. De verificarse esta afirmación, nada obsta considerar que van a ser corresponsables de dicho tratamiento de datos. Por consiguiente, la plataforma intermediaria que, de algún modo, disponga la finalidad y los medios de cualquier operación relativa al tratamiento de los datos personales de terceros, aunque lo haga junto a otros, será corresponsable en los términos de la reglamentación aplicable. En todo caso, debe quedar acreditado que sin la participación activa del prestador del servicio en la organización y difusión del contenido no va a ser factible el acceso público al mismo.

Especificado lo anterior, compete a la plataforma como corresponsable del tratamiento de los datos la observancia de las obligaciones derivadas de su responsabilidad en dicho ámbito. Nos referimos, esencialmente, al deber de identificar con anterioridad los contenidos que incluyan datos personales (y, más aún, los catalogados como sensibles), la verificación del consentimiento explícito y válido del interesado, la implementación de las medidas técnicas y organizativas precisas para garantizar que la publicación sea lícita, segura y garante de los derechos de terceros, e impedir la copia o redistribución no autorizada del contenido que incluye datos personales. En caso contrario, la plataforma prestadora del servicio ha de denegar la publicación que incluya informaciones personales 54.

A mayor abundamiento, y aun cuando pudiera enjuiciarse desde la perspectiva de la tutela de los datos de carácter personal, han de tenerse en cuenta las nuevas imposiciones que pesan sobre las plataformas en línea (y, en concreto, sobre las de mayor tamaño) que contiene la actual reglamentación de servicios digitales. Esencialmente por cuanto se ha estimado que la funcionalidad de estas plataformas no se limita a alojar contenido ajeno, sino que participan de manera activa en su sistematización, presentación y en la visibilidad a través de algoritmos propios.

IV. CONCLUSIONES

El sistema general de exención de responsabilidad que respalda a los prestadores de servicios de intermediación digital, como lo son las plataformas en línea, por los contenidos ilícitos difundidos por terceros recogido en la Directiva sobre el comercio electrónico, precisaba de una concreción mayor. Ésta se hallaba justificada, en nuestra consideración, en dos aspectos fundamentales: de un lado, en el actual y cambiante panorama tecnológico; de otro, en la necesidad de evidenciar las interpretaciones de los pronunciamientos del TJUE que han conformado dicho régimen y determinado las exigencias necesarias para poder invocarlo. Debido a ello, el Reglamento comunitario de servicios digitales, aun manteniendo la dispensa de la responsabilidad de los prestadores en línea que no tengan conocimiento efectivo de la ilicitud del contenido publicado, o si actúan con la debida diligencia para retirarlo o bloquearlo una vez que tienen dicho conocimiento, puntualiza los mecanismos de notificación de los contenidos contrarios a Derecho y la necesaria acción rápida y justificada del prestador intermediario. Además de otras obligaciones adicionales, en particular, para las plataformas en línea de gran tamaño. Estas previsiones han de apreciarse en un sentido positivo por cuanto que —no estableciendo un deber de supervisión del contenido a priori— van a suponer el favorecimiento e incremento de la seguridad y la transparencia en el mercado único de servicios digitales. No obstante, si atendemos a la responsabilidad de los prestadores intermediarios de servicios en cuanto a la garantía de las informaciones y de los datos de carácter personal que se publican en sus interfaces, la sistemática normativa que han de atender se torna distinta. En la medida en que, de la propia funcionalidad de los prestadores de servicios intermediarios, cabe afirmar su consideración como corresponsables del tratamiento de los datos personales por cuanto deciden los fines y medios del mismo. Ello supone que han de cumplir a priori las exigencias contenidas en el RGPD.

En definitiva, cabe advertir que si bien cuando se trata de responsabilizar a los prestadores intermediarios digitales por la difusión de contenidos ilícitos éstos pueden quedar exentos si no disponen de dicho conocimiento o, en su caso, hubieran actuado oportunamente tras recibir la correspondiente notificación (ex post), no así en lo que hace a su corresponsabilidad sobre el tratamiento de los datos personales difundidos a través de ellos. Respecto de este último planteamiento, se les exige atender de forma preventiva (ex ante) a las rigurosas previsiones aplicables en la materia para poder eludir su responsabilidad.

V. BIBLIOGRAFÍA

Barrero Ortega, Abraham (2021), «Responsabilidad de los intermediarios de Internet en el derecho de la UE», REDC 123, págs. 107-132 (DOI: https://doi.org/10.18042/cepc/redc.123.04).

Barrio Andrés, Moisés (2021), «La sentencia del TJUE YouTube y la responsabilidad de los operadores de plataformas digitales», Diario La Ley.

Carbajo Cascón, Fernando (2012), «Problemas de distribución, marcas y responsabilidad indirecta de intermediarios en plataformas de agregación de comercio electrónico», Rcd 10, págs. 161-184.

Davara Rodríguez, Miguel Ángel (2020), Manual de Derecho Informático, 12ª edic., Aranzadi, Pamplona.

De Miguel Asensio, Pedro Alberto (2026), «Responsabilidad de plataformas en línea por la difusión por sus usuarios de datos personales», La Ley Unión Europea 143, (Ejemplar dedicado a: Inscripción del matrimonio igualitario contrario a la constitución de un estado miembro).

— (2017), «Competencia y derecho aplicable en el Reglamento general sobre protección de datos de la Unión Europea», REDI Vol. 69/1 (enero-junio), págs. 75-108 (DOI: http://dx.doi.org/10.17103/redi.69.1.2017.1.03).

De nova labian, Alberto José (2024), «La diligencia debida de las plataformas en línea dentro del reglamento europeo de servicios digitales», Cuadernos Europeos de Deusto 70, págs. 99-131 (DOI: https://doi.org/10.18543/ced702024).

Flaquer Riutort, Juan (2021), «El Tribunal Supremo abre las puertas al alquiler turístico vacacional», LLM 77 (febrero).

García Vidal, Ángel (2024), «La exención de responsabilidad de las plataformas de comercio electrónico por infracciones de la propiedad industrial», CDT 16- 2 (octubre), págs. 699-711 (DOI: https://doi.org/10.20318/cdt.2024.8938).

Jiménez De Andrade Astorqui, Gonzalo y Madurga De Lacalle, Carmen (2023), «El «deber de diligencia reactiva» del titular de un perfil de una red social», en Yzquierdo Tolsada, M. (dir.). Comentarios a las Sentencias de Unificación de Doctrina (Civil y Mercantil), Volumen 14º, Dykinson, Madrid, págs. 121-138 (DOI: https://doi.org/10.2307/jj.850081).

López Barrero, Esther (2016), «La universalidad en el nuevo Reglamento General de Protección de Datos: el caso del derecho al olvido», Revista de privacidad y derecho digital 4 (Ejemplar dedicado a: Nuevo Reglamento General de Protección de Datos de la UE (Reglamento (UE) 2016/679), págs. 27-86.

Marín López, Juan José (2013), «La responsabilidad civil del motor de búsqueda de Google por enlazar a informaciones presuntamente lesivas del derecho al honor», Análisis GA&P (julio).

Martínez-Nadal, Apol-onia (2022), «Naturaleza (y responsabilidad) de las plataformas digitales: de la Directiva de comercio electrónico a la propuesta de Reglamento de Servicios Digitales», en Madrid Parra, A., y Alvarado Herrera, L. (dirs.). Derecho digital y nuevas tecnologías, Aranzadi, Madrid, págs. 387-416.

Ortí Vallejo, Antonio y Viceira Ortega, Patricia (2025), «Responsabilidad de los mercados en línea respecto del contrato subyacente: un confuso panorama en el derecho de la Unión Europea», InDret 1, págs. 74-96.

Pérez Galindo, Rafael (2022), «La nueva regulación europea de intermediarios digitales: Digital services act», Información Comercial Española, ICE 925, págs. 41-51 (DOI: https://doi.org/10.32796/ice.2022.925.7371).

Quijano González, Jesús (2017), «Función y responsabilidad de las plataformas en línea: Una aproximación», Revista de Estudios Europeos 70, págs. 338-352.

---

1. * Catedrática de Derecho Mercantil. Universidad de Jaén. Dirección de correo electrónico: tvazquez@ujaen.es.

   Fecha de recepción: 30/03/2026 // Fecha de aceptación: 25/05/2026

2. 1 Directiva 2000/31/CE del Parlamento Europeo y del Consejo, de 8 de junio, relativa a determinados aspectos jurídicos de los servicios de la sociedad de la información (Directiva sobre el comercio electrónico). DOCE núm. 178, de 17 de julio.

3. 2 Reglamento (UE) 2022/2065 del Parlamento Europeo y del Consejo, de 19 de octubre, relativo a un mercado único de servicios digitales y por el que se modifica la Directiva 2000/31/CE (Reglamento de Servicios Digitales). DO L 277, de 27 de octubre. En concreto, en el art. 89 de dicho texto se establece la supresión de los arts. 12 a 15 de la Directiva 2000/31/CE por los arts. 4, 5, 6 y 8 del Reglamento, respectivamente. Algunas opiniones críticas sobre el contenido: Pérez Galindo (2022), págs. 42-43.

4. 3 Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en adelante, RGPD) DO L 119 de 4 de mayo.

5. 4 Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (BOE núm. 294, de 6 de diciembre).

6. 5 Véanse Barrero Ortega (2021), págs. 115-120; De Nova Labian (2024), págs. 101-102; García Vidal (2024), pág. 701; Ortí Vallejo y Viceira Ortega (2025), págs. 78-80.

7. 6 Cdos. 40 a 42 de la Directiva 2000/31/CE.

8. 7 Esto es, la actuación del prestador se circunscribe a la simple transmisión (mere conduit) y al almacenamiento automático (memoria tampón o caching). Vid. Barrero Ortega (2021), págs. 118-120; Carbajo Cascón (2012), págs. 161-184; De Nova Labian (2024), págs. 115-118; García Vidal (2024), págs. 701-702; Quijano González (2017), págs. 338-352.

9. 8 Puede consultarse sobre ello, García Vidal (2024), pág. 705.

10. 9 Arts. 12 a 14 de la Directiva. Véase la STJUE de 3 de octubre de 2019, Sala Tercera, (Asunto C-18/18, Eva Glawischnig-Piesczek /Facebook Ireland Limited. ECLI:EU:C:2019:821). El Tribunal precisa que las plataformas sociales pueden ser obligadas a eliminar contenidos difamatorios idénticos o equivalentes tras una orden judicial (art. 15 de la Directiva) y sin que ello vulnere la prohibición de supervisión general. Pudiendo tener también efectos en el ámbito internacional, según el Derecho internacional privado de aplicación. Sobre ello, De Nova Labian (2024), págs. 109-111.

11. 10 Siguiendo el contenido del art. 15 de la Directiva y el Cdo. 30 del Reglamento europeo. Puede consultarse Barrero Ortega (2021), págs. 120-122; Ortí Vallejo y Viceira Ortega (2025), págs. 78-80.

12. 11 En concreto, los arts. 4 a 6 en relación con los arts. 7 a 10 del Reglamento, en consonancia con lo dispuesto en los Cdos. 19 y 22 del mismo texto normativo.

13. 12 Véanse los arts. 14 y 16, en relación con la STJUE de 12 julio 2011, Asunto C-324/09. L’Oréal v. EBay, apartado 120 (ECLI:EU:C:2011:474) en materia de derecho de marcas. El apartado indicado precisa que corresponde al órgano jurisdiccional remitente analizar si eBay ha tenido, en relación con las ofertas de venta en cuestión y en la medida en que éstas han redundado en perjuicio de las marcas de L’Oréal, un conocimiento de hechos o circunstancias por los que la actividad o la información revele su carácter ilícito. Así, a efectos de que se le impida al prestador de servicios acogerse a la exención de responsabilidad (art. 14 de la Directiva 2000/31), resulta suficiente con que haya tenido conocimiento de hechos o circunstancias a partir de los cuales un operador económico diligente hubiera debido deducir ese carácter ilícito y actuar en consecuencia. Sobre ello, De Nova Labian (2024), págs. 109-111; García Vidal (2024), págs. 708-710 quien considera que se trata de evitar el fenómeno conocido como bloqueo excesivo u overblocking.

14. 13 Cdo. 23 de la norma.

15. 14 Cdo. 6 de la reglamentación.

16. 15 Se establece la no aplicación de la exención de responsabilidad en un planteamiento concreto relativo a la protección de los consumidores en contratos a distancia cuando el intermediario ofrece el contenido ajeno como propio (apartado 3º del art. 6). Vid. Martínez-Nadal (2022), pág. 406; Ortí Vallejo y Viceira Ortega (2025), págs. 88-91.

17. 16 Téngase en cuenta que se excluye de su atención a las microempresas o pequeñas empresas, salvo del deber de transparencia informativa referido a la comunicación actualizada de ciertos datos al coordinador de servicios digitales del establecimiento y a la Comisión, sin dilación indebida.

18. 17 Art. 9 del Reglamento. También sobre el deber de transparencia, los arts. 15 y 24 de la norma.

19. 18 Art. 10 del Reglamento.

20. 19 Arts. 11 a 13 del Reglamento.

21. 20 Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante, LSSIyCE. BOE núm. 166, de 12 de julio). Pueden consultarse los arts. 13 a 17 de esta norma.

22. 21 En el supuesto de que el prestador no modifique la información, facilite su acceso únicamente a quien corresponda, atienda las normas de actualización de la información o no impida el uso lícito de tecnología para obtener datos sobre el uso de la información. Pueden consultarse Jiménez De Andrade Astorqui y Madurga De Lacalle (2023), págs. 131-133, los cuales comentan la STS de 3 de noviembre de 2022 (Sentencia 747/2022. Roj: STS 3970/2022 - ECLI: ES:TS: 2022:3970). Al respecto, se llama la atención sobre la equiparación que hace el TS del régimen de responsabilidad de los prestadores de servicios de alojamiento de datos a la de los titulares de perfiles en una red social. En este supuesto, se desestima el motivo del recurso por dos argumentos: las amplias facultades de administración y control del demandado sobre su perfil; y por el comportamiento anterior del demandado, imponiéndole un deber de diligencia «reactiva» al prestador que, a juicio de los autores, resulta gravoso (pág. 134).

23. 22 Arts. 16 y 17 de la LSSIyCE.

24. 23 En este sentido, Barrero Ortega (2021), págs. 128-130.

25. 24 Vid. Flaquer Riutort (2021), en cuanto a las plataformas digitales y el debate del conocimiento efectivo. Además, puede consultarse la STS 4484/2020 (ECLI:ES:TS:2020:4484. Id Cendoj: 28079130032020100306), Sala de lo Contencioso, Sección 3, de 30 de diciembre. Nº de Recurso: 238/2019. El TSJ de Cataluña en su sentencia de 5 de octubre de 2018 desestimó el recurso promovido por Homeaway Spain, S.L.U., contra la resolución del Secretario de Empresa y Competitividad de 28 de mayo de 2015. En ella se ordenaba a la entidad que bloquease, suprimiese o suspendiese de su página web o de otra que pudiera utilizar, el contenido sobre empresas y establecimientos de alojamiento turístico localizados en Cataluña en el que no conste el número de inscripción. El TS en el FJ 7º concluye que el prestador de servicios debe suprimir los anuncios, o impedir su acceso, cuando la administración competente haya declarado su ilicitud y se lo comunique al prestador. Pero no le puede exigir una obligación de vigilancia. También puede observarse esta posición permisiva del conocimiento efectivo en pronunciamientos anteriores: STS 144/2013, de 4 de marzo, Sala de lo Civil, Recurso 748/2010. ECLI: ES:TS:2013:2245 (comentada, entre otros, por: Marín López (2013). Esta resolución reproduce otras anteriores, tales como las SSTS de la Sala 1ª 773/2009, de 9 de diciembre, 172/2012, de 3 de abril, y 742/2012, de 4 de diciembre. Asimismo, el TJUE ha estimado que las plataformas no son responsables automáticamente por los contenidos generados y compartidos por usuarios, en cuanto que actúan como meros intermediarios mientras no participen activamente en la creación o selección del contenido (STJUE de 22 de junio de 2021 (asuntos acumulados C-682/18 —Frank Peterson contra YouTube/Google— y C-683/18 —Elsevier contra Cyando—) en cuanto a los derechos de autor). No obstante, la jurisprudencia del TS también ha señalado que la neutralidad no es absoluta, en la STS de 8 de marzo de 2022 (caso Google Autocomplete – Derecho al honor), relativa al sistema de autocompletado de Google, se estimó que el uso de algoritmos puede generar responsabilidad cuando la plataforma, tras ser notificada, no adopta medidas razonables para evitar el acto ilícito. Véanse Barrio Andrés (2021); De Nova Labian (2024), págs. 109-111.

26. 25 Cabe mencionar la STS 316/2010, 18 de mayo (ECLI:ES:TS:2010:2292), Sala 1.ª, en el recurso de casación interpuesto por Ruboskizo, SL contra la Sentencia de 29 de junio de 2007, de la Sección Sexta de la AP de Valencia. En ella se reitera la interpretación del art. 16 de la LSSIyCE, condicionando la ausencia de conocimiento efectivo a la liberación de responsabilidad del prestador de servicios de alojamiento por la información almacenada (FJ 2º). El conocimiento efectivo no se limita a una resolución judicial, sino que puede derivarse de otros hechos o circunstancias que evidencien la ilicitud. De mayor alcance, resulta la STS 235/2020, 2 de junio (ECLI:ES:TS:2020:1534), Sala 1.ª, en la que se amplía la percepción del conocimiento efectivo a una comunicación idónea que permita acreditar la ilicitud del contenido. Véanse, sobre ello, Jiménez De Andrade Astorqui y Madurga De Lacalle (2023), págs. 133-134; Quijano González (2017), págs. 338-352.

    Por su parte, en el ámbito contencioso, parece que cuando la resolución de una autoridad administrativa se dirige solo al bloqueo por el intermediario de contenidos ilícitos alojados en su servicio, no es necesario el previo conocimiento de la ilicitud de tales contenidos. En este sentido, puede consultarse de nuevo la STS 4484/2020, de 30 de diciembre.

27. 26 Apartado 3º del art. 4 del Reglamento, similar al apartado 2º del art. 5 y al apartado 4º del art. 6.

28. 27 STJUE de 3 de octubre de 2019, C-18/18, Glawischnig-Piesczek, (EU:C:2019:821), apdo. 25.

29. 28 Debido al «principio de efecto directo» (art. 288 del Tratado de Funcionamiento de la UE).

30. 29 Arts. 5 a 11 del RGPD. Para ampliar esta materia, López Barrero (2016), págs. 27-86.

31. 30 Propuesta de Reglamento del Parlamento Europeo y del Consejo sobre el respeto de la vida privada y la protección de los datos personales en el sector de las comunicaciones electrónicas y por el que se deroga la Directiva 2002/58/CE de privacidad y comunicaciones electrónicas (Reglamento sobre la privacidad y las comunicaciones electrónicas). COM/2017/010 final - 2017/03 (COD), de 10 de enero.

32. 31 El concepto de establecimiento no está vinculado a requisitos formales, sino que es conexo al lugar del efectivo desarrollo de la actividad, siendo suficiente la subsistencia de un establecimiento.

33. 32 Arts. 2.1º y 3 del RGPD, en cuanto que las actividades del tratamiento estén vinculadas con: la oferta de bienes o servicios a dichos interesados en la Unión, independientemente de si a estos se les requiere su pago; o con el control de su comportamiento, en la medida en que este tenga lugar en la Unión. En lo que concierne a las actividades electrónicas, la mera accesibilidad a la página o a una dirección de correo, u otras coordenadas del contrato, incluso el empleo de un idioma habitualmente utilizado, son elementos insuficientes para comprobar la intencionalidad referida. Si bien, factores como el uso de un idioma o de la unidad de moneda de un Estado miembro, así como la mención de clientes que se encuentran en la UE, pueden subrayar la intención de ofrecer productos y/o servicios a los interesados.

34. 33 Art. 4 del RGPD.

35. 34 Apartado 1º del art. 4 del RGPD. El concepto de dato personal hace excluir los datos relativos a personas fallecidas y los datos tratados de forma anónima que no permiten la identificación del sujeto interesado sin emplear información adicional que consta por separado. Es decir, los datos seudonimizados como los elementos propios de la identidad física, fisiológica, genética, psíquica, o económica.

36. 35 Art. 9 del RGPD.

37. 36 Estas operaciones pueden consistir en las siguientes: recogida, registro, almacenamiento, modificación, consulta, utilización, comunicación, difusión o supresión de los datos personales.

38. 37 Al respecto, Davara Rodríguez (2020), págs. 67-70; López Barrero (2016), págs. 27-86.

39. 38 Art. 89 del RGPD, salvo con fines de archivo en interés público, de investigación científica e histórica o fines estadísticos.

40. 39 Arts. 35 y 36 del RGPD.

41. 40 A más tardar setenta y dos horas después de que se tenga constancia, en caso contrario deberá motivar la dilación (arts. 13, 14, 24 del RGPD). Estas medidas se refieren a la implementación de políticas de moderación de contenidos, mecanismos eficaces de notificación y retirada, evaluaciones de impacto en la tutela de los datos personales o el diseño desde el origen de sistemas adecuados en garantía.

42. 41 El responsable del tratamiento ha de aplicar las medidas adecuadas para que pueda confirmar la prestación del consentimiento por parte del interesado de manera verificable. Véanse Davara Rodríguez (2020), págs. 67-70; López Barrero (2016), págs. 27-86.

43. 42 A saber: la identidad del responsable, la finalidad del tratamiento y los datos necesarios para que éste sea leal y transparente, los posibles riesgos, la normativa a tener en cuenta, los plazos de retención de la información que le pertenece, los derechos relativos al tratamiento, salvaguardias y la posibilidad de que los afectados presenten sus reclamaciones a la autoridad con competencia en dicho ámbito.

44. 43 Arts. 24 a 43 del RGPD.

45. 44 Arts. 35 y 36 del RGPD.

46. 45 Cabe la prórroga de otros dos meses en caso necesario, debido a la complejidad y del número de solicitudes.

47. 46 Arts. 12 a 21 del RGPD.

48. 47 Art. 33 del RGPD.

49. 48 Apartado 1º del art. 21 del RGPD, siendo éste fundamental en el entorno digital.

50. 49 La limitación del tratamiento de los datos personales cuando se hubiera impugnado su exactitud, se traten de manera ilícita y se hubiera ejercido el derecho de supresión o el de oposición, en el supuesto de que el responsable ya no los necesite para los fines del tratamiento, pero el interesado los precise para reclamaciones (arts. 13, 14, 24 del RGPD).

51. 50 Art. 20 del RGPD, de este modo el interesado podrá recuperar los datos e informaciones que haya facilitado a un responsable en un formato estructurado, de uso común y lectura mecánica.

52. 51 Sobre ello, De Miguel Asensio (2026). Así como, la STJUE (Gran Sala) de 23 de marzo de 2010 -Google France SARL y Google Inc. contra Louis Vuitton Malletier SA (C-236/08), Google France SARL contra Viaticum SA y Luteciel SARL (C-237/08) y Google France SARL contra Centre national de recherche en relations humaines (CNRRH) SARL y otros (C-238/08. ECLI:EU:C:2010:159)-. En relación con el derecho de marca y la publicidad en un motor de búsqueda a partir de palabras clave (keyword advertising). El prestador de servicios de referenciación que no desempeña un papel activo en esa función, no puede considerarse responsable. Salvo que, conocida la ilicitud de los datos o de las actividades del anunciante, no actúe con prontitud para retirar los datos o impedir el acceso a ellos. En igual sentido, la STJUE de 22 de junio de 2021 (asuntos acumulados C-682/18, Frank Peterson vs YouTube y C-683/18 Elsevier Inc. vs Cyando AG.) respecto a los derechos de autor.

53. 52 De interés actual en la materia es el caso Russmedia (STJUE C-492/23, de 2 de diciembre, ECLI:EU:C:2025:935), en el que se determina que los operadores de plataformas de anuncios en línea son responsables del tratamiento de los datos personales que aparecen en los anuncios publicados en sus sitios web. La entidad Russmedia Digital es propietaria de un mercado en línea en el que pueden publicarse anuncios, de forma gratuita o remunerada. La demandante alegaba que un tercero no identificado publicó en dicho sitio web un anuncio falso y lesivo para sus derechos a la imagen, al honor y a la reputación, así como a la intimidad, e infringía las normas relativas al tratamiento de los datos personales. Ese mismo anuncio se reprodujo en otros sitios web. Tras ser contactada por la demandante, la entidad retiró el anuncio en menos de una hora de la recepción de la solicitud. El TJUE estima que el prestador puede beneficiarse de exenciones de responsabilidad por contenidos, pero será corresponsable del tratamiento de datos personales que realice (atendiendo al RGPD).

54. 53 Interesa consultar la STJUE (Gran Sala) de 13 de mayo de 2014 (petición de decisión prejudicial planteada por la Audiencia Nacional — España) — caso Google Spain, S.L., Google Inc./Agencia Española de Protección de Datos (AEPD), Asunto C-131/12 (2014/C 212/04). En este planteamiento se examina la responsabilidad de la actividad del motor de búsqueda referida a localizar información publicada o puesta en línea por terceros, indexarla automáticamente, almacenarla de manera temporal y ponerla a disposición de los usuarios según un orden de preferencia. Y si ello puede calificarse como un tratamiento de datos personales cuando dicha información contiene datos personales en los términos de la norma (art. 2.d) de la Directiva 95/46/CE) y, por tanto, el gestor del motor de búsqueda es responsable del mismo. Esto es, si la filial Google Spain SL, con domicilio en España, puede ser responsable del tratamiento de datos llevado a cabo por el motor de búsqueda Google Inc., con domicilio en EE. UU. La relación de la sociedad gestora del buscador y la filial resulta concluyente para apreciar que el tratamiento tiene lugar en el marco de las actividades de un establecimiento en España del responsable. Véanse los comentarios al respecto de De Miguel Asensio (2017), págs. 75-108 y (2026), en relación con las SSTS (Sala 1.ª, de lo Civil) 210/2016, de 5 de abril (Rec. 3269/2014), contraria a la efectuada por la Sala de lo Contencioso-Administrativo (STS 574/2016, de 14 de marzo. Rec. 1380/2015), frente al criterio de la AEPD. Mientras que la segunda resolución sólo considera responsable del tratamiento a Google Inc., por ser la entidad que, en exclusiva, determina los fines, las condiciones y los medios del tratamiento de los datos personales (FJ 3º). Se interpreta en un sentido opuesto, en la sentencia de la Sala de lo Civil (FJ 3º, apartados 9 a 12).

55. 54 Salvo que estemos ante alguna de las excepciones del apartado 2º del art. 9 del RGPD.