Source: https://supremo.vlex.es/vid/644399765
Timestamp: 2020-06-03 12:17:54+00:00

Document:
STS 1536/2016, 27 de Junio de 2016 - Jurisprudencia - VLEX 644399765
STS 1536/2016, 27 de Junio de 2016
Número de Recurso: 1863/2015
Número de Resolución: 1536/2016
PROTECCIÓN DE DATOS. PROCEDIMIENTO DE TUTELA DE DERECHOS. LEGITIMACIÓN PASIVA. RESPONSABLE DEL TRATAMIENTO. La responsabilidad en el tratamiento de los datos personales del interesado constituía un elemento del debate procesal, introducido en el proceso por la propia parte recurrente, cuyo examen resultaba esencial a efectos de determinar la legitimación pasiva de dicha entidad en el procedimiento administrativo, que se cuestiona por la misma y que la Sala rechaza por entender que tal responsabilidad existe, aunque sea de forma compartida. Se estima la casación.
Esta Sala ha visto el recurso de casación número 1863/2015, interpuesto por la procuradora de los Tribunales Dª. Gracia López Fernández, en nombre y representación de la sociedad mercantil Google Spain, S.L., contra la sentencia de la Sala de lo Contencioso Administrativo de la Audiencia Nacional de fecha 12 de febrero de 2015, dictada en el recurso contencioso- administrativo número 62/2012 en el que se impugna la resolución de fecha 30 de noviembre de 2011 del Director de la Agencia Española de Protección de Datos, que estima la reclamación de tutela de derechos formulada por D. Erasmo contra la citada entidad mercantil. Interviene como parte recurrida el Abogado del Estado, en la representación legal que le es propia.
La sentencia de la Sala de lo Contencioso Administrativo de la Audiencia Nacional de 12 de febrero de 2015 , objeto de este recurso, contiene el siguiente fallo: «Que desestimando el recurso contencioso-administrativo interpuesto por la Procuradora de los Tribunales doña Gracia López Fernández, en nombre y representación de GOOGLE SPAIN S.L., contra la resolución de 30 de noviembre de 2011 del Director de la Agencia Española de Protección de Datos, por la que estima la reclamación formulada por don Erasmo contra Google Spain, S.L., en materia de tutela de derechos, declaramos la citada resolución es conforme a derecho; sin hacer expresa imposición de las costas procesales».
Notificada dicha sentencia se presentó escrito por la representación procesal de la entidad mercantil Google Spain, S.L., manifestando su intención de preparar recurso de casación, que se tuvo por preparado por resolución de 5 de mayo de 2015, emplazando a las partes ante esta Sala del Tribunal Supremo.
En el escrito de interposición del recurso de casación se hacen valer cuatro motivos, el primero al amparo del art. 88.1.c) de la Ley reguladora de esta Jurisdicción y los demás de la letra d) de dicho precepto, solicitando que se case y anule la sentencia recurrida y se estime el recurso contencioso-administrativo interpuesto por Google Spain S.L., solicitando la anulación de la resolución de 30 de noviembre de 2011 del Director de la AEPD, por la que estima la reclamación formulada por D. Erasmo en el procedimiento de Tutela de Derechos TD/01031/2011.
Conclusas las actuaciones quedaron pendientes de señalamiento para votación y fallo, a cuyo efecto se señaló el día 21 de junio de 2016, fecha en que tal diligencia ha tenido lugar.
Por resolución del Director de la Agencia Española de Protección de Datos de 30 de noviembre de 2011 se estima la reclamación formulada por D. Erasmo contra Google Spain, S.L., instando a dicha entidad para que adopte las medidas necesarias que eviten la indexación de los datos y no aparezcan en su búsqueda respecto de las páginas web que se relacionan en punto Segundo de los Hechos de dicha resolución, exceptuando las señaladas en el punto Noveno de los Fundamentos Jurídicos de la misma. Con ello se daba respuesta a la reclamación de cancelación de datos, formulada por el interesado, en relación a la publicación de diversas informaciones aparecidas en medios de comunicación y en la sede digital del Boletín Oficial del Estado accesibles a través de más de cien enlaces en el buscador de Google y que considera afectan a su situación personal. Interpuesto recurso de reposición por el interesado contra la citada resolución administrativa denunciando que en ésta no existe un pronunciamiento expreso sobre, entre otros, Google Inc., dicho recurso es desestimado por resolución de 14 de junio de 2012.
Interpuesto recurso contencioso administrativo por la entidad Google Spain, S.L., se dictó sentencia por la Sala de lo Contencioso Administrativo de la Audiencia Nacional de fecha 12 de febrero de 2015 , desestimando el recurso y confirmando la resolución impugnada.
A tal efecto y apoyándose en los pronunciamientos de la sentencia del Tribunal de Justicia de la Unión Europea de 13 de mayo de 2014, dictada en el asunto C-131/12 , decisión prejudicial planteada por la Sala de la Audiencia Nacional en el recurso 725/2010 (de semejante contenido), la Sala de instancia señala que ninguna duda cabe que la actividad de un motor de búsqueda como proveedor de contenidos debe calificarse de tratamiento de datos personales, que es el gestor del motor de búsqueda el responsable de dicho tratamiento, que corresponde al gestor del motor de búsqueda adoptar, en su caso, las medidas en aplicación de la LOPD para hacer efectivo el derecho de oposición del afectado, que la normativa europea en materia de protección de datos y, por ende, la legislación del país de la Unión Europea donde se encuentra el establecimiento, en este caso en España, es de aplicación cuando "el gestor de un motor de búsqueda crea en el Estado miembro una sucursal o una filial destinada a garantizar la promoción y la venta de espacios publicitarios propuestos por el mencionado motor y cuya actividad se dirige a los habitantes de este Estado miembro". Frente a la alegación de falta de legitimación pasiva de Google Spain S.L., en el procedimiento administrativo, entiende la Sala de instancia que la responsabilidad de Google Spain S.L., en el tratamiento de datos personales llevado a cabo en el marco del servicio de búsqueda en internet ofrecido por Google Inc. -gestor del motor de búsqueda- deriva de la unidad de negocio que conforman ambas sociedades, en la que la actividad desempeñada por Google Spain, S.L. resulta indispensable para el funcionamiento del motor de búsqueda, pues de aquella depende su rentabilidad. Invoca al efecto, igualmente, la doctrina de los actos propios en razón de la actuación llevada a cabo por Google Spain S.L., tanto en procedimientos ante la Agencia Española de Protección de Datos como en procesos ante los Tribunales. Por todo lo cual considera la Sala de instancia que Google Spain, S.L. también es responsable del tratamiento de datos, constituyendo ésta y Google Inc. una unidad material, además de reunir las características de un establecimiento de los referidos en el art. 4.1.a) de la Directiva 95/46/CE , que participa en el tratamiento de datos. Desestima igualmente las alegaciones sobre vulneración del derecho a la libertad de empresa. Examina el objeto y contenido de los derechos fundamentales en conflicto, toma en consideración la doctrina del Tribunal de Justicia al respecto y concluye que en este caso resultan preferentes los derechos del interesado que solicita la cancelación de sus datos en relación al interés de Google por mantener el resultado de la búsqueda que relaciona con el nombre del denunciante.
Pues bien, en el motivo primero se denuncia, al amparo del art. 88.1.c) de la Ley de la Jurisdicción , la infracción de los artículos 33.2 y 65.2 de la LJCA y 24 de la CE al considerar la recurrente que la sentencia recurrida incurre en incongruencia extra petita por cuanto la Sala de instancia introduce ex novo la noción de "corresponsabilidad" y funda su decisión en motivos que exceden de los límites fijados por las partes en la controversia sin previamente haberlos sometidos a la consideración de las mismas, impidiendo de esta manera que hayan podido pronunciarse y, produciendo, por ello, indefensión. Concretamente, la recurrente reprocha que la sentencia atribuya a Google Spain una corresponsabilidad en el tratamiento de datos personales objeto de recurso con el argumento de que esta compañía y Google Inc. conforman una "unidad de negocio" o "unidad material", argumento este al que el Tribunal " a quo " añade la aplicación de la doctrina de los "actos propios" en el sentido de que Google Spain ha reconocido su condición de responsable del tratamiento al actuar como tal frente a terceros.
Como hemos dicho, entre otras, en la sentencia de 20 de mayo de 2011 (recurso de casación 2792/2007 ) la congruencia de una sentencia es un requisito esencial y objetivo de la misma. Consiste en la armonía o correlación adecuada, que debe existir en forma necesaria entre las pretensiones deducidas en el proceso y la parte dispositiva de la resolución que le pone fin. El Tribunal debe decidir sobre todas las cuestiones planteadas en el proceso por las partes porque, si así no sucediere, la sentencia incurriría en el vicio de incongruencia omisiva o negativa (" citra petita partium ") al quedarse más acá de lo pedido; tampoco puede el Tribunal conceder o negar lo que nadie ha pedido (" ne eat iudex ultra petita partium "), so pena de incurrir en el vicio de incongruencia positiva; no puede, en fin, otorgar algo distinto de lo pedido (" ne eat iudex extra petita partium ") porque incurriría, si lo hiciera, en incongruencia mixta. El respeto a lo solicitado y, además, a los fundamentos de hecho en que las pretensiones se fundan es el marco dentro del que se debe mover el juzgador.
Sin embargo, como se ha indicado, ello no impide que la fundamentación de la sentencia se apoye en argumentos distintos a los mantenidos por las partes, señalando la sentencia de 19 de abril de 2006, que "esta Sala Tercera del Tribunal Supremo ha declarado en sus sentencias de 10 de junio de 2000 , 15 de febrero (recurso de casación 8895/1998 ), 14 de julio (recurso de casación 4665/1998 ) y 2 de octubre de 2003 (recurso de casación 3460/97 ), 3 de marzo (recurso de casación 4353/2001 ), 6 de abril (recurso de casación 5475/2001 ), 9 y 30 de junio de 2004 (recursos de casación 656 y 865/2002 ), y 2 de febrero (recurso de casación 5405/2001 ) y 23 de marzo de 2005 (recurso de casación 2736/2002 ), que el principio iura novit curia excusa al órgano jurisdiccional de ajustarse a los razonamientos jurídicos aducidos por las partes, siempre que no se altere la causa petendi ni se sustituya el thema decidendi ".
A la misma alegación de falta de legitimación pasiva de Google Spain en el procedimiento administrativo responde la invocación en la sentencia de instancia de la doctrina de los "actos propios" en el sentido de entender que Google Spain ha reconocido su condición de responsable del tratamiento al actuar como tal frente a terceros, lo que constituye un argumento a mayor abundamiento para reforzar la idea de que Google Spain, S.L. y Google Inc. no son entidades ajenas entre sí a los efectos que aquí interesan, no obstante la diferente configuración mercantil de las mismas. Por lo demás, es la propia parte recurrente la que abre la fundamentación por referencia a lo declarado en otros casos, cuando invoca, a efectos de sostener su alegación de falta de legitimación pasiva, lo resuelto en otros casos por los tribunales españoles. Ello sin perjuicio, claro está, de que pueda cuestionarse por la parte la aplicación de tal doctrina de los actos propios efectuada por el Tribunal a quo , como de hecho se realiza en los motivos de casación siguientes.
Alega la recurrente, en síntesis, que la sentencia impugnada atribuye a la sociedad Google Spain la condición de "corresponsable" en el tratamiento de datos a pesar de que en las actuaciones se acredita que dicha mercantil no determina ni los fines ni los medios del tratamiento de datos pues esta tarea corresponde a Google Inc. a través del motor de búsqueda "Google Search", razón por la que no puede atribuirse a Google Spain la condición de "responsable" del tratamiento de datos. Argumenta al respecto que según el art. 2.d) de la Directiva 95/46/CE , la atribución de la condición de responsable del tratamiento de datos depende de que el sujeto, ya sea de forma individual o conjuntamente con otros "determine los fines y los medios del tratamiento", criterio acogido en el art. 3.d) de la LOPD , que considera responsable del fichero o tratamiento a la persona física o jurídica que decida sobre la finalidad, contenido y uso del tratamiento, siendo el responsable del tratamiento el que asume la obligación de hacer efectivo el derecho de rectificación o de cancelación ejercitado por el interesado ( arts. 6.4 y 16 LOPD ). Por ello, no siendo controvertido que Google Inc. es la única entidad que gestiona el motor de búsqueda "Google Search" y que determina los fines, las condiciones y los medios del tratamiento de los datos personales que se realiza a través del motor de búsqueda y que Google Spain es una empresa filial que promueve la venta en el mercado español de los espacios publicitarios que se generan en el buscador (ni siquiera presta el servicio publicitario sino que se limita a su promoción), sin que realice ninguna actividad que constituya tratamiento de datos, entiende que no concurren en Google Spain los requisitos que según la Directiva 95/46/CE y la normativa estatal atribuyen la condición de responsable del tratamiento, por lo que no le son exigibles las obligaciones inherentes a tal condición. Entiende que el TJUE en su sentencia de 13 de mayo de 2014 ha confirmado esta interpretación, al considerar como responsable del tratamiento únicamente a Google Inc., como titular del motor de búsqueda Google Search, y solo a efectos de atraer la aplicación de la normativa española de protección de datos, determina que Google Spain es un establecimiento en el sentido del art. 4.1.a) de la Directiva 95/46/CE y el TJUE extrae una única consecuencia jurídica, que Google Inc., pese a ser una empresa ubicada fuera de la Unión Europea, debe quedar sujeta al contenido de dicha Directiva y las respectivas disposiciones nacionales en materia de protección de datos y, por el contrario, no hay en la valoración del TJUE atribución alguna de responsabilidad en materia de protección de datos a Google Spain. Añade que la propia AEPD, tras la sentencia del TJUE de 13 de mayo de 2014 , ha optado en los procedimientos de tutela de derechos por actuar exclusivamente frente a Google Inc. Así lo han entendido diversos Tribunales de los Estados miembros de la Unión Europea que cita y cuyas resoluciones transcribe en cuanto señalan, por referencia a la sentencia del TJUE, que no se observa responsabilidad en entidades semejantes a Google Spain en esos Estados. Concluye la recurrente alegando que la sentencia recurrida al atribuir a Google Spain la condición de corresponsable del tratamiento de datos, lo hace sobre la base de un título de imputación que crea el Juzgador " ex novo ", no previsto en la normativa de protección de datos, por cuanto, admitida la posible concurrencia de varios responsables en el tratamiento de datos ( art. 2.d) Directiva 95/46/CE ), ello no excluye la necesidad de examinar y analizar en qué medida cada uno de ellos contribuye a determinar los fines y los medios del tratamiento, lo que ha omitido la Sala de instancia, con lo que se estaría imputando una suerte de responsabilidad solidaria sin ninguna base jurídica para ello. Considera que la Sala de instancia acude a un título de imputación ex novo , basado en una circunstancia ajena al tratamiento de datos, cual es la lógica interrelación económica que existe entre una filial y su matriz en cualquier Grupo de sociedades (unidad de negocio), que no se contempla como título de imputación de responsabilidad en el tratamiento de datos en la Directiva 95/46/CE ni encuentra base alguna en los pronunciamientos de la sentencia del TJUE de 13 de mayo de 2014 .
No cabe duda alguna de que Google Inc., que gestiona el motor de búsqueda Google Search, es responsable del tratamiento de datos, al determinar los fines, las condiciones y los medios del tratamiento de datos personales. No obstante, ello no implica que Google Inc. sea responsable del tratamiento en solitario, ya que no podemos olvidar que el citado artículo 2.d) de la Directiva 95/46/CE , alude a que la determinación de los fines y los medios del tratamiento de datos personales se puede hacer "sólo o conjuntamente con otros", máxime si tenemos en cuenta, que "las actividades del gestor del motor de búsqueda y las de su establecimiento situado en el Estado miembro de que se trate están indisociablemente ligadas, dado que las actividades relativas a los espacios publicitarios constituyen el medio para que el motor de búsqueda en cuestión sea económicamente rentable y dado que este motor es, al mismo tiempo, el medio que permite realizar las mencionadas actividades" (apartado 56 de la Sentencia del TJUE de 13 de mayo de 2014 ).
A este respecto, en el Dictamen 1/2010 del GT29 se dice: "En el dictamen de la Comisión sobre la enmienda del PE, la Comisión menciona la posibilidad de que «varias partes determinen conjuntamente, para una única operación de tratamiento, los fines y los medios del tratamiento que se vaya a llevar a cabo» y, por lo tanto, en tal caso, «cada uno de estos corresponsables del tratamiento debe considerarse vinculado por las obligaciones impuestas por la Directiva de proteger a las personas físicas cuyos datos se estén tratando»". Se añade que "la definición de tratamiento contenida en el artículo 2.b) de la Directiva no excluye la posibilidad de que distintos agentes estén implicados en diferentes operaciones o conjuntos de operaciones en materia de datos personales. Estas operaciones pueden producirse simultáneamente o en distintas fases" . Y se concluye que "la participación de las partes en la determinación de los fines y los medios del tratamiento en el contexto del control conjunto puede revestir distintas formas y el reparto no tiene que ser necesariamente a partes iguales... Los distintos grados de control pueden dar lugar a distintos grados de responsabilidad, y desde luego no cabe presumir que haya una responsabilidad solidaria en todos los casos. Por lo demás, es muy posible que en sistemas complejos con varios agentes el acceso a datos personales y el ejercicio de otros derechos de los interesados también los puedan garantizar distintos agentes a diferentes niveles".
Por otro lado, y así se deduce de los apartados 55, 56 y 57 de la Sentencia de 13 de mayo de 2014 del TJUE , Google Spain, S.L. es un establecimiento del responsable del tratamiento de datos que se encuentra implicado en actividades relativas al tratamiento de datos personales, en cuanto que está destinado a la promoción y venta en España de los espacios publicitarios del motor de búsqueda, que sirven para rentabilizar el servicio propuesto por el motor, ya que constituyen el medio para que el motor de búsqueda en cuestión sea económicamente rentable y dado que este motor es, al mismo tiempo, el medio que permite realizar las mencionadas actividades.
En cuanto a la actuación de Google Spain, S.L. ante los Tribunales Españoles, hay supuestos en que asumió la condición del responsable del tratamiento, siendo un ejemplo de ello la Sentencia de la Sala de lo Civil del Tribunal Supremo de 3 de abril de 2012 -recurso nº. 2.037/2008 -, sobre los derechos del allí recurrente como autor de una página Web de apuestas frente a Google Spain, S.L., en la que ésta no opuso la falta de legitimación pasiva. Por otro lado, en un procedimiento en que era parte demandada que tenía por objeto una demanda por intromisión ilegítima en su derecho al honor y a la propia imagen por la difusión de unos videos, que concluyó con la Sentencia de la Sala de lo Civil del Tribunal Supremo de 15 de enero de 2014 - recurso nº. 897/2010 -, consta que Google Spain, S.L. llegó a un acuerdo transaccional con la parte demandante, lo que no hubiera sido posible si no hubiera estado legitimada.
Las citadas actuaciones inciden en la doctrina de los actos propios que, como se dice en la Sentencia de la Sala Primera de lo Civil del Tribunal Supremo de 9 de marzo de 2012 -recurso nº. 576/2009 -, "tiene su fundamento en la protección de la confianza y en el principio de la buena fe, que impone un deber de coherencia y limita la libertad de actuación cuando se han creado expectativas razonables.
Los presupuestos esenciales fijados por esta teoría aluden a que los actos propios sean inequívocos, en el sentido de crear, definir, fijar, modificar, extinguir o esclarecer, sin ninguna duda, una determinada situación jurídica afectarte a su autor, y, además, exista una incompatibilidad entre la conducta anterior y la pretensión actual, según la manera que, de buena fe, hubiera de atribuirse a aquélla ( SSTS 1 de julio y 28 de diciembre 2011 , 31 de enero 2012 )...".
Finalmente, vamos a hacer referencia a la resolución de 18 d diciembre de 2013 -PS/320/2013- de la Agencia Española de Protección de Datos, que era objeto del recurso contencioso-administrativo nº. 51/2014 que se tramitaba en esta Sala, pues desistió del mismo Google Inc., que ha sido invocada por Google Spain, S.L., en otros recursos similares que se siguen en esta Sala.
El citado procedimiento sancionador, que se incoó con fecha 1 de marzo de 2012, con el fin de determinar el grado de adecuación de las políticas de privacidad y los términos de servicio adoptados por Google a la LOPD y demás normativa de protección de datos, se dirigió en principio contra Google Spain, S.L., y Google Inc., pero luego, en la resolución sancionadora se razona que la única imputable es Google Inc., imponiéndose a ésta tres sanciones de 300.000 euros cada una por las infracciones de los arts. 6.1 , 4.5, en relación con los artículos 16 y 15 , y 16, todas ellas de la LOPD . En sus alegaciones al acuerdo de inicio del procedimiento sancionador Google Spain, S.L., afirmó que "Google Spain es un activo de Google Inc. toda vez que Google Spain es totalmente (aunque sea de modo indirecto) propiedad de Google Inc. y, por lo tanto, los efectos económicos de cualquier pérdida de Google Spain (Ej. una multa) se trasladan de forma automática a Google Inc.". Por su parte, en el citado procedimiento sancionador Google Inc. invocó sobre la propuesta de resolución sancionadora, la vulneración del principio "non bis in ídem", partiendo de que Google Spain, S.L. fue constituida y está controlada al 100% por Google Inc.
Por todo ello procede estimar el recurso contencioso administrativo interpuesto por la entidad mercantil Google Spain, S.L. contra la resolución de 30 de noviembre de 2011 dictada por el Director de la Agencia Española de Protección de Datos, que se declara nula de pleno derecho por ser contraria al ordenamiento jurídico en los términos que se contienen y razonan en esta sentencia.
Por todo lo expuesto, en nombre del Rey, por la autoridad que le confiere la Constitución, esta Sala ha decidido PRIMERO .- Ha lugar al recurso de casación interpuesto por la representación procesal de la sociedad mercantil Google Spain, S.L., contra la sentencia de la Sala de lo Contencioso Administrativo de la Audiencia Nacional de fecha 12 de febrero de 2015 dictada en el recurso contencioso-administrativo número 62/202 , que casamos. SEGUNDO .- En su lugar, estimamos el recurso contencioso- administrativo interpuesto por la representación procesal de la citada sociedad mercantil contra la resolución de 30 de noviembre de 2011 del Director de la Agencia Española de Protección de Datos, descrita en el primer fundamento de derecho, que se anula por ser contraria al ordenamiento jurídico en los términos indicados en esta sentencia. TERCERO .- No hacemos imposición de las costas de este recurso ni de la instancia.
STS 547/2010, 16 de Septiembre de 2010

References: resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 artículo 2
 artículo 2
 resolución 
 resolución 
 resolución 
 resolución 
 resolución