Análisis de la Sentencia del Tribunal de Justicia de la Unión Europea sobre la responsabilidad de las plataformas digitales respecto de las publicaciones de sus usuarios

El TJUE determina que un operador de un mercado en línea es «responsable del tratamiento» si determina los fines y medios de dicho tratamiento. En este caso, el Tribunal considera que Russmedia no se limita a alojar contenido, sino que, a través de sus Términos y Condiciones, se reserva derechos activos sobre los datos (copiar, distribuir, modificar, etc.), lo que implica que participa en la determinación de los fines del tratamiento. Por tanto, el tratamiento de datos personales en los anuncios es, también, su responsabilidad.

El Tribunal extiende esta responsabilidad al tratamiento de categorías especiales de datos (ej. orientación sexual). Al no restringir su publicación, y dado que su tratamiento está prohibido salvo excepciones muy tasadas, la plataforma incurre en un tratamiento ilícito. El TJUE subraya que el consentimiento no puede presuponerse por el simple hecho de que un usuario suba el contenido. En aplicación del principio de responsabilidad proactiva (accountability), el operador debe adoptar medidas técnicas y organizativas, desde el diseño, para (i) impedir la publicación de datos sensibles innecesarios, o (ii) implementar controles ex ante para verificar que se cuenta con el consentimiento explícito del titular de los datos.

Por ello, el TJUE establece que, aunque Russmedia no persiguiera los fines ilícitos del anunciante, sí participó en la finalidad de hacer accesibles los datos, permitiendo anuncios anónimos y facilitando la publicación de datos sin consentimiento. Esta participación la convierte en corresponsable del tratamiento junto con el usuario que publicó el anuncio ilícito.

Sobre la copia de contenidos (scrapping), el TJUE considera que la publicación de datos personales en línea conlleva un riesgo inherente de difusión masiva y pérdida de control por parte del interesado.

Por ello, el responsable del tratamiento está obligado a aplicar medidas técnicas y organizativas apropiadas para prevenir dicha pérdida de control (ej. tecnologías anti-copia). El Tribunal fundamenta esta obligación en el artículo 32 del RGPD (seguridad del tratamiento) y señala que su incumplimiento puede anular en la práctica derechos como el de supresión. Corresponderá al tribunal nacional verificar si Russmedia adoptó las medidas adecuadas.

En otro orden de cosas, el TJUE aclara que, aunque los artículos 12 a 15 de la Directiva 2000/31 sobre comercio electrónico establecen una exención general de responsabilidad para los prestadores de servicios intermediarios, como los de transmisión de datos, caching o alojamiento, de modo que no estén obligados a supervisar los datos que transmiten o almacenan ni a realizar búsquedas activas para detectar actividades ilícitas, dicha exención no es aplicable cuando entra en juego la normativa de protección de datos. Así lo confirma el artículo 5.1, letra b), de la Directiva, que excluye la posibilidad de que estas limitaciones de responsabilidad afecten al cumplimiento de obligaciones derivadas de otras normas, como el RGPD.

En este sentido la prohibición de exigir a dichos intermediarios llevar a cabo una vigilancia general no impide que sea necesaria la aplicación de controles para prevenir que se lleven a cabo tratamientos ilícitos de datos.

El TJUE indica no es necesario llevar a cabo una monitorización general y permanente de todo lo que suben los usuarios ni impone una verificación de identidad universal para todos los anunciantes en cualquier caso; sino que se trata de aplicar verificaciones proporcionadas al riesgo.