Source: https://supremo.vlex.es/vid/646220677
Timestamp: 2019-10-15 01:37:10+00:00

Document:
STS 1809/2016, 18 de Julio de 2016 - Jurisprudencia - VLEX 646220677
STS 1809/2016, 18 de Julio de 2016
Número de Recurso: 2789/2015
Número de Resolución: 1809/2016
Esta Sala ha visto el recurso de casación número 2789/2015, interpuesto por la procuradora de los Tribunales Dª. Gracia López Fernández, en nombre y representación de la sociedad mercantil Google Spain, S.L., contra la sentencia de la Sala de lo Contencioso Administrativo de la Audiencia Nacional de fecha 9 de junio de 2015, dictada en el recurso contencioso-administrativo número 498/2011 en el que se impugna la resolución de fecha 13 de julio de 2011 del Director de la Agencia Española de Protección de Datos, que estima la reclamación de tutela de derechos formulada por D. Daniel contra la citada entidad mercantil. Interviene como parte recurrida el Abogado del Estado, en la representación legal que le es propia.
La sentencia de la Sala de lo Contencioso Administrativo de la Audiencia Nacional de 9 de junio de 2015 , objeto de este recurso, contiene el siguiente fallo: "DESESTIMAR el recurso contencioso-administrativo interpuesto por GOOGLE SPAIN S.L., representada por la Procuradora Sra. López Fernández contra la Resolución del Director de la Agencia Española de Protección de Datos de fecha 13 de julio de 2011 dictada en el procedimiento TD/00178/2011; sin imposición de costas".
Notificada dicha sentencia se presentó escrito por la representación procesal de la entidad mercantil Google Spain, S.L., manifestando su intención de preparar recurso de casación, que se tuvo por preparado por resolución de 28 de julio de 2015, emplazando a las partes ante esta sala del Tribunal Supremo.
En el escrito de interposición del recurso de casación se hacen valer cuatro motivos, el primero al amparo del art. 88.1.c) de la Ley reguladora de esta Jurisdicción y los demás de la letra d) de dicho precepto, solicitando que se case y anule la sentencia recurrida y se estime el recurso contencioso- administrativo interpuesto por Google Spain S.L., solicitando la anulación de la resolución de 17 de febrero de 2011 del Director de la AEPD, por la que estima la reclamación formulada por D. Daniel en el procedimiento de Tutela de Derechos TD/00178/2011.
Por resolución del Director de la Agencia Española de Protección de Datos de 13 de julio de 2011 se estima la reclamación formulada por D. Daniel contra Google Spain, S.L., instando a dicha entidad para que adopte las medidas necesarias que eviten la indexación de los datos y no aparezcan en su búsqueda respecto de las páginas web que en la misma se relacionan. Con ello se daba respuesta a la reclamación de cancelación de datos, formulada por el interesado, en relación con informaciones personales que aparecían publicadas en la versión digital de diversos diarios y que eran susceptibles de captación por el buscador Google utilizando su nombre y apellidos, lo que incide negativamente en su reputación personal, así como en la profesional relativa al ejercicio de la medicina.
Interpuesto recurso contencioso administrativo por la entidad Google Spain, S.L., se dictó sentencia por la Sala de lo Contencioso Administrativo de la Audiencia Nacional de fecha 9 de junio de 2015 , desestimando el recurso y confirmando la resolución impugnada.
A tal efecto y apoyándose en los pronunciamientos de la sentencia del Tribunal de Justicia de la Unión Europea de 13 de mayo de 2014, dictada en el asunto C- 131/12 , decisión prejudicial planteada por la Sala de la Audiencia Nacional en el recurso 725/2010 (de semejante contenido), la Sala de instancia señala que ninguna duda cabe que la actividad de un motor de búsqueda como proveedor de contenidos debe calificarse de tratamiento de datos personales, que es el gestor del motor de búsqueda el responsable de dicho tratamiento, que corresponde al gestor del motor de búsqueda adoptar, en su caso, las medidas en aplicación de la LOPD para hacer efectivo el derecho de oposición del afectado, que la normativa europea en materia de protección de datos y, por ende, la legislación del país de la Unión Europea donde se encuentra el establecimiento, en este caso en España, es de aplicación cuando "el gestor de un motor de búsqueda crea en el Estado miembro una sucursal o una filial destinada a garantizar la promoción y la venta de espacios publicitarios propuestos por el mencionado motor y cuya actividad se dirige a los habitantes de este Estado miembro". Frente a la alegación de falta de legitimación pasiva de Google Spain S.L., en el procedimiento administrativo, entiende la Sala de instancia que la responsabilidad de Google Spain S.L., en el tratamiento de datos personales llevado a cabo en el marco del servicio de búsqueda en internet ofrecido por Google Inc. -gestor del motor de búsqueda- deriva de la unidad de negocio que conforman ambas sociedades, en la que la actividad desempeñada por Google Spain, S.L. resulta indispensable para el funcionamiento del motor de búsqueda, pues de aquella depende su rentabilidad. Invoca al efecto, igualmente, la doctrina de los actos propios en razón de la actuación llevada a cabo por Google Spain S.L., tanto en procedimientos ante la Agencia Española de Protección de Datos como en procesos ante los Tribunales. Por todo lo cual considera la Sala de instancia que Google Spain, S.L. también es responsable del tratamiento de datos, constituyendo ésta y Google Inc. una unidad material, además de reunir las características de un establecimiento de los referidos en el art. 4.1.a) de la Directiva 95/46/CE , que participa en el tratamiento de datos. Desestima igualmente las alegaciones sobre vulneración del derecho a la libertad de empresa. Examina el objeto y contenido de los derechos fundamentales en conflicto, toma en consideración la doctrina del Tribunal de Justicia al respecto y concluye que en este caso resultan preferentes los derechos del interesado que solicita la cancelación de sus datos en relación al interés de Google por mantener el resultado de la búsqueda que relaciona con el nombre del denunciante.
La letra d) del artículo 2 de la Directiva 95/46/CE establece que se entenderá por "responsable del tratamiento": «la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que sólo o conjuntamente con otros determine los fines y los medios del tratamiento de datos personales; en caso de que los fines y los medios del tratamiento estén determinados por disposiciones legislativas o reglamentarias nacionales o comunitarias, el responsable del tratamiento o los criterios específicos para su nombramiento podrán ser fijados por el Derecho nacional o comunitario». En el mismo sentido, se pronuncia el artículo 5.1.q) del Reglamento de Protección de Datos . Por su parte, el artículo 3.d) de la LOPD define como responsable del tratamiento a la "persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento".
Por otro lado el Proyecto de Reglamento Europeo de Protección de Datos considera responsable del tratamiento a "la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que solo o conjuntamente con otros determine los fines y medios del tratamiento de datos personales; en caso de que los fines y medios del tratamiento estén determinados por la legislación de la Unión o de los Estados miembros, el responsable del tratamiento o los criterios específicos para su nombramiento podrán ser fijados por la legislación de la Unión o de los Estados miembros".
A este respecto, en el Dictamen 1/2010 del GT29 se dice: "En el dictamen de la Comisión sobre la enmienda del PE, la Comisión menciona la posibilidad de que «varias partes determinen conjuntamente, para una única operación de tratamiento, los fines y los medios del tratamiento que se vaya a llevar a cabo» y, por lo tanto, en tal caso, «cada uno de estos corresponsables del tratamiento debe considerarse vinculado por las obligaciones impuestas por la Directiva de proteger a las personas físicas cuyos datos se estén tratando»". Se añade que "la definición de tratamiento contenida en el artículo 2.b) de la Directiva no excluye la posibilidad de que distintos agentes estén implicados en diferentes operaciones o conjuntos de operaciones en materia de datos personales. Estas operaciones pueden producirse simultáneamente o en distintas fases". Y se concluye que "la participación de las partes en la determinación de los fines y los medios del tratamiento en el contexto del control conjunto puede revestir distintas formas y el reparto no tiene que ser necesariamente a partes iguales... Los distintos grados de control pueden dar lugar a distintos grados de responsabilidad, y desde luego no cabe presumir que haya una responsabilidad solidaria en todos los casos. Por lo demás, es muy posible que en sistemas complejos con varios agentes el acceso a datos personales y el ejercicio de otros derechos de los interesados también los puedan garantizar distintos agentes a diferentes niveles".
De no entenderse así se vería menoscabado el efecto útil de la Directiva 95/46/ CE y la protección directa y completa de las libertades y de los derechos fundamentales de las personas físicas, en particular el derecho a la intimidad, en lo que respecta al tratamiento de datos personales, que tiene por objeto garantizar, tal y como se desprende de su artículo 1 y de su considerando 10 (véanse apartados 53 , 58 y 66 st. TJUE).
TD/00299/2007 (resolución de 9 de julio de 2007), TD/00463/2007 (resolución de 9 de julio de 2007), TD/00814/2007 (resolución de 7 de abril de 2008), TD/00387/2008 (resolución de 3 de septiembre de 2008),TD/00420/2008 (resolución de 29 de diciembre de 2008), TD/0444/2008 (resolución de 4 de noviembre de 2008), TD/00569/2008 (resolución de 24 de septiembre de 2008) y TD/00580/2008 (resolución de 29 de diciembre de 2008).
En dichos procedimientos se viene a manifestar por Google Spain, S.L que las informaciones obtenidas a través de sus resultados de búsqueda se encontraban en páginas de terceros cuyo acceso es público y, en consecuencia, para eliminar dicho contenido de los resultados deberían desaparecer del webmaster de la página de terceros.
En cuanto a la actuación de Google Spain, S.L. ante los Tribunales Españoles, hay supuestos en que asumió la condición del responsable del tratamiento, siendo un ejemplo de ello la Sentencia de la Sala de lo Civil del Tribunal Supremo de 3 de abril de 2012 -recurso nº. 2.037/2008 -, sobre los derechos del allí recurrente como autor de una página Web de apuestas frente a Google Spain, S.L., en la que ésta no opuso la falta de legitimación pasiva. Por otro lado, en un procedimiento en que era parte demandada que tenía por objeto una demanda por intromisión ilegítima en su derecho al honor y a la propia imagen por la difusión de unos videos, que concluyó con la Sentencia de la Sala de lo Civil del Tribunal Supremo de 15 de enero de 2014 -recurso nº. 897/2010 -, consta que Google Spain, S.L. llegó a un acuerdo transaccional con la parte demandante.
La Sala es consciente de que la postura adoptada por Google Spain, S.L. en dichos procedimientos, tanto administrativos como judiciales, puede que no sea determinante para la resolución de la cuestión que estamos analizando, pero constituye un indicio muy importante a los efectos de considerar a Google Spain, S.L. también como responsable del tratamiento de datos, y, especialmente, si añadimos el desistimiento efectuado por Google Spain, S.L. en unos 130 recursos contencioso-administrativos que se tramitan en esta Sala, que tienen por objeto resoluciones recaídas en procedimientos de tutela de derechos sobre cancelación de datos.
Finalmente, la parte demandante Google Spain, S.L., en las alegaciones formuladas a la Sentencia del TJUE de 13 de mayo de 2014 en otros recursos similares, invoca la resolución de 18 de diciembre de 2013 -PS/320/2013- de la Agencia Española de Protección de Datos, que es objeto del recurso contencioso- administrativo nº. 51/2014 que se sigue en esta Sala.
El citado procedimiento sancionador, que se incoó con fecha 1 de marzo de 2012, con el fin de determinar el grado de adecuación de las políticas de privacidad y los términos de servicio adoptados por Google a la LOPD y demás normativa de protección de datos, se dirigió en principio contra Google Spain, S.L., y Google Inc., pero luego, en la resolución sancionadora se razona que la única imputable es Google Inc., imponiéndose a ésta tres sanciones de 300.000 euros cada una por las infracciones de los arts. 6.1 , 4.5, en relación con el art. 16 y 15 , y 16, todas ellas de la LOPD . En sus alegaciones al acuerdo de inicio del procedimiento sancionador Google Spain, S.L., afirmó que "Google Spain es un activo de Google Inc. toda vez que Google Spain es totalmente (aunque sea de modo indirecto) propiedad de Google Inc. y, por lo tanto, los efectos económicos de cualquier pérdida de Google Spain (Ej. una multa) se trasladan de forma automática a Google Inc." . Por su parte, en el citado procedimiento sancionador Google Inc. invocó sobre la propuesta de resolución sancionadora, la vulneración del principio "non bis in ídem" , partiendo de que Google Spain, S.L. fue constituida y está controlada al 100% por Google Inc.
Por último, en cuanto a la alegación de Google Spain, S.L. de carecer de los medios necesarios para cumplir por sí misma la obligación impuesta por la AEPD - eliminación del índice de resultados proporcionado por el buscador de determinados enlaces-, hay que tener en cuenta que la unidad material y funcional que conforma con Google Inc. conlleva su responsabilidad en el cumplimiento de la obligación, trasladándola al gestor del motor de búsqueda y contribuyendo a su realización, dada la relevancia de su participación en el funcionamiento del servicio de búsqueda en Internet que se ofrece a los internautas, lo que determina el rechazo de la infracción del artículo 10 CEDH , así como del artículo de su Protocolo I, que la demandante basa en la consideración de que la resolución utiliza a Google Spain para forzar a Ggogle Inc. a modificar su sistema de funcionamiento].
En conclusión, la Sala de instancia rechaza la alegación de falta de legitimación pasiva de la recurrente en el procedimiento administrativo por dos razones: primera, que Google Spain, S.L. es corresponsable en el tratamiento de datos personales llevado a cabo en el marco del servicio de búsqueda en internet ofrecido por Google Inc. -gestor del motor de búsqueda- en razón de la unidad de negocio que conforman ambas sociedades, en la que la actividad desempeñada por Google Spain, S.L. resulta indispensable para el funcionamiento del motor de búsqueda, pues de aquella depende su rentabilidad. El concierto de ambas sociedades en la prestación de tal servicio a los internautas lo hace viable económicamente y posibilita su subsistencia. Segunda, en aplicación de la doctrina de los actos propios, dado que Google Spain, S.L. ha venido actuando como si fuese responsable del tratamiento de datos, tanto en procedimientos de tutela de derechos seguidos ante la Agencia Española de Protección de Datos como en diversas intervenciones ante Tribunales Españoles
Quiere decirse con todo ello, que hablar de corresponsabilidad supone un examen de la situación fáctica y comprobar que la entidad en cuestión tiene una participación concreta e identificada en la determinación de los fines y medios del tratamiento de que se trate, tratamiento que en este caso y según se declara por el TJUE al dar respuesta a la cuestión prejudicial planteada por la Sala de instancia, "consiste en hallar información publicada o puesta en Internet por terceros, indexarla de manera automática, almacenarla temporalmente y, por último, ponerla a disposición de los internautas según un orden de preferencia determinado " . En este caso no se identifica por la Sala de instancia ninguna actividad de Google Spain que suponga la participación en esa actividad del motor de búsqueda. Por el contrario y como recoge el TJUE en el fundamento 46 de la citada sentencia, el tribunal remitente señala que Google Inc. gestiona técnica y administrativamente Google Search y que no está probado que Google Spain realice en España una actividad directamente vinculada a la indexación o almacenamiento de información o de datos contenidos en los sitios de Internet de terceros.
Por las mismas razones debemos descartar el criterio de la Sala de instancia, que deduce la corresponsabilidad de Google Spain, S.L., en el tratamiento de datos en cuestión de la unidad de mercado -unidad material y funcional- que conforma con Google Inc., con apoyo en los pronunciamientos del TJUE de 13 de mayo de 2014.
Por todo ello procede estimar el recurso contencioso administrativo interpuesto por la entidad mercantil Google Spain, S.L. contra la resolución de 13 de julio de 2011 dictada por el Director de la Agencia Española de Protección de Datos, que se declara nula de pleno derecho por ser contraria al ordenamiento jurídico en los términos que se contienen y razonan en esta sentencia.
Por todo lo expuesto, en nombre del Rey, por la autoridad que le confiere la Constitución, esta Sala ha decidido PRIMERO. - Ha lugar al recurso de casación interpuesto por la representación procesal de la sociedad mercantil Google Spain, S.L., contra la sentencia de la Sala de lo Contencioso Administrativo de la Audiencia Nacional de fecha 9 de junio de 2015 dictada en el recurso contencioso-administrativo número 498/2011 , que casamos. SEGUNDO .- En su lugar, estimamos el recurso contencioso-administrativo interpuesto por la representación procesal de la citada sociedad mercantil contra la resolución de 13 de julio de 2011 del Director de la Agencia Española de Protección de Datos, descrita en el primer fundamento de derecho, que se anula por ser contraria al ordenamiento jurídico en los términos indicados en esta sentencia. TERCERO .- No hacemos imposición de las costas de este recurso ni de la instancia.
STS 641/1999, 30 de Abril de 1999
STS, 12 de Febrero de 1980

References: resolución 
 Resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 artículo 2
 artículo 5
 artículo 3
 artículo 2
 artículo 1
 resolución 
 resolución 
 resolución 
 resolución 
 artículo 10
 resolución 
 resolución 
 resolución