Source: https://supremo.vlex.es/vid/643129413
Timestamp: 2018-01-19 17:38:02+00:00

Document:
Sentencia nº 1381/2016 de TS, Sala 3ª, de lo Contencioso-Administrativo, 13 de Junio de 2016 - Jurisprudencia - VLEX 643129413
Sentencia nº 1381/2016 de TS, Sala 3ª, de lo Contencioso-Administrativo, 13 de Junio de 2016
Número de Resolución: 1381/2016
Número de Recurso: 641/2015
DERECHO AL OLVIDO. RESPONSABLE DEL TRATAMIENTO. Se considera que el ejercicio de los derechos de acceso, rectificación, cancelación y oposición, frente al responsable del tratamiento, ha de responder a un medio sencillo y gratuito, sin que en ningún caso pueda suponer para el responsable un ingreso adicional, pudiéndose ejercitar tales derechos a través de los servicios de cualquier índole para la atención al público, imponiendo a dicho responsable la obligación de atender la solicitud del interesado aun cuando no hubiera utilizado el procedimiento establecido específicamente al efecto por aquel, siempre que el interesado haya utilizado un medio que permita acreditar el envío y la recepción de la solicitud. Se estima el recurso de casación.
En Madrid, a 13 de junio de 2016
Esta Sala ha visto el recurso de casación número 641/2015, interpuesto por la Procuradora de los Tribunales Dª. Gracia López Fernández, en nombre y representación de la sociedad mercantil Google Spain, S.L., contra la sentencia de la Sala de lo Contencioso Administrativo de la Audiencia Nacional de fecha 29 de diciembre de 2014, dictada en el recurso contencioso- administrativo número 416/2011 en el que se impugna la resolución de fecha 9 de mayo de 2011 del Director de la Agencia Española de Protección de Datos, que estima la reclamación de tutela de derechos formulada por D. Argimiro Gabriel contra la citada entidad mercantil. Interviene como parte recurrida el Abogado del Estado, en la representación legal que le es propia.
La sentencia de la Sala de lo Contencioso Administrativo de la Audiencia Nacional de 29 de diciembre de 2014 , objeto de este recurso, contiene el siguiente fallo: «PRIMERO.- Desestimar el presente recurso contencioso-administrativo interpuesto por la Procuradora doña Cristina María Deza García, en nombre y representación de Google Spain S.L., contra la resolución de fecha 9 de mayo de 2011 del Director de la Agencia Española de Protección de Datos descrita en el primer Fundamento de Derecho.
SEGUNDO.- No hacer expresa imposición de costas a ninguna de las partes».
Notificada dicha sentencia se presentó escrito por la representación procesal de la entidad mercantil GOOGLE SPAIN, S.L., manifestando su intención de preparar recurso de casación, que se tuvo por preparado por resolución de 17 de febrero de 2015, emplazando a las partes ante esta sala del Tribunal Supremo.
En el escrito de interposición del recurso de casación se hacen valer cuatro motivos, el primero al amparo del art. 88.1.c) de la Ley reguladora de esta Jurisdicción y los demás de la letra d) de dicho precepto, solicitando que se case y anule la sentencia recurrida y se estime el recurso contencioso-administrativo interpuesto por Google Spain S.L., solicitando la anulación de la resolución de 9 de mayo de 2011 del Director de la AEPD, por la que estima la reclamación formulada por D. Argimiro Gabriel en el procedimiento de Tutela de Derechos TD/01467/2010.
Conclusas las actuaciones quedaron pendientes de señalamiento para votación y fallo, a cuyo efecto se señaló el día 7 de junio de 2016, fecha en que tal diligencia ha tenido lugar.
Por resolución del Director de la Agencia Española de Protección de Datos de 9 de mayo de 2011 se estima la reclamación formulada por D. Argimiro Gabriel contra Google Spain, S.L., instando a dicha entidad para que adopte las medidas necesarias para retirar los datos de su índice e imposibilite el acceso futuro a los mismos. Con ello se daba respuesta a la reclamación de cancelación de datos, formulada por el interesado, en relación con informaciones personales que aparecían publicadas por el diario El País de fecha 12 de mayo de 1982 y que eran susceptibles de captación por el buscador Google utilizando su nombre y apellidos.
Interpuesto recurso contencioso administrativo por la entidad Google Spain, S.L., se dictó sentencia por la Sala de lo Contencioso Administrativo de la Audiencia Nacional de fecha 29 de diciembre de 2014 , desestimando el recurso y confirmando la resolución impugnada.
El motivo cuarto se funda en la infracción del artículo 24 CE y de la jurisprudencia que cita sobre la valoración de los hechos tenidos en cuenta, habiendo contrariado la sentencia las reglas de la sana crítica en la apreciación de la prueba en relación con la atribución a la recurrente de responsabilidad en el tratamiento de datos que solo corresponde a la sociedad Google Inc..
La Sala de instancia se refiere legitimación activa en el proceso contencioso administrativo, prevista en el art. 19.1.a) de la Ley de la Jurisdicción , precisando que Google Spain, S.L ostenta tal legitimación, legitimación que en ningún momento había sido objeto de debate o controversia, pasando a considerar que tras la alegación de la demandante realmente subyace la negación de su condición de sujeto obligado o responsable frente al derecho de oposición ejercitado, dada la concreta actividad que desarrolla y su relación con Google Inc..
Por su parte el Proyecto de Reglamento Europeo de Protección de Datos considera responsable del tratamiento a "la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que solo o conjuntamente con otros determine los fines y medios del tratamiento de datos personales; en caso de que los fines y medios del tratamiento estén determinados por la legislación de la Unión o de los Estados miembros, el responsable del tratamiento o los criterios específicos para su nombramiento podrán ser fijados por la legislación de la Unión o de los Estados miembros".
Por último, en cuanto a la alegación de Google Spain, S.L. de carecer de los medios necesarios para cumplir por sí misma la obligación impuesta por la AEPD - eliminación del índice de resultados proporcionado por el buscador de determinados enlaces-, hay que tener en cuenta que la unidad material y funcional que conforma con Google Inc. conlleva su responsabilidad en el cumplimiento de la obligación, trasladándola al gestor del motor de búsqueda y contribuyendo a su realización, dada la relevancia de su participación en el funcionamiento del servicio de búsqueda en Internet que se ofrece a los internautas]".
En semejantes términos se expresa el nuevo Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, que, además de las ya citadas, precisa notablemente otras obligaciones, siempre referidas al responsable del tratamiento, como registro de actividades (art. 30), notificación de violaciones de seguridad a la autoridad de control (art. 33), comunicación de dicha violación al interesado (art. 34), evaluación de impacto (art. 35) o consulta previa (art. 36), siendo significativa, a los efectos de este proceso, la previsión contenida en el art. 17, que se refiere expresamente al "Derecho de supresión (derecho al olvido)" y con esta concreta denominación establece que "el interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir ...", precepto que se complementa con el art. 58, según el cual, entre los poderes de la autoridad de control, se incluye el de ordenar al responsable o encargado del tratamiento que atiendan las solicitudes del ejercicio de los derechos del interesado (art. 58.2 c) y, en concreto, ordenar la supresión de los datos con arreglo al art. 17 y la notificación de las medidas adoptadas por el responsable en los términos del número 2 de dicho art. 17 (art. 58.2.g), medidas que, como señala el considerando 66, se imponen al responsable del tratamiento que haya hecho público los datos, precisamente para reforzar el derecho al olvido. Es igualmente significativo que la decisión de la autoridad de control, aun notificada al establecimiento principal o único establecimiento del responsable en el territorio de un Estado miembro, se adopta en relación con el responsable del tratamiento, que es quien a su vez debe adoptar las medidas necesarias para garantizar el cumplimiento de la decisión en lo tocante a las actividades de tratamiento en el contexto de todos sus establecimientos en la Unión (art. 60.9 y10).
En este caso el TJUE en su sentencia de 13 de mayo de 2014 , resolviendo la cuestión prejudicial planteada por la Sala de instancia, señala en cuanto a la actividad de tratamiento, que " el artículo 2, letra b), de la Directiva 95/46 define el «tratamiento de datos personales» como «cualquier operación o conjunto de operaciones, efectuadas o no mediante procedimientos automatizados, y aplicadas a datos personales, como la recogida, registro, organización, conservación, elaboración o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma que facilite el acceso a los mismos, cotejo o interconexión, así como su bloqueo, supresión o destrucción", añadiendo que "Por consiguiente, debe declararse que, al explorar Internet de manera automatizada, constante y sistemática en busca de la información que allí se publica, el gestor de un motor de búsqueda «recoge» tales datos que «extrae», «registra» y «organiza» posteriormente en el marco de sus programas de indexación, «conserva» en sus servidores y, en su caso, «comunica» y «facilita el acceso» a sus usuarios en forma de listas de resultados de sus búsquedas. Ya que estas operaciones están recogidas de forma explícita e incondicional en el artículo 2, letra b), de la Directiva 95/46 , deben calificarse de «tratamiento» en el sentido de dicha disposición, sin que sea relevante que el gestor del motor de búsqueda también realice las mismas operaciones con otros tipos de información y no distinga entre éstos y los datos personales".
En consecuencia, concluye el TJUE que, "el gestor del motor de búsqueda es quien determina los fines y los medios de esta actividad y, así, del tratamiento de datos personales que efectúa él mismo en el marco de ésta y, por consiguiente, debe considerarse «responsable» de dicho tratamiento en virtud del mencionado artículo 2, letra d)" .
La conclusión que alcanza el TJUE es clara: "Del conjunto de las consideraciones precedentes se desprende que procede responder a la segunda cuestión prejudicial, letras a ) y b), que el artículo 2, letras b ) y d), de la Directiva 95/46 debe interpretarse en el sentido de que, por un lado, la actividad de un motor de búsqueda, que consiste en hallar información publicada o puesta en Internet por terceros, indexarla de manera automática, almacenarla temporalmente y, por último, ponerla a disposición de los internautas según un orden de preferencia determinado, debe calificarse de «tratamiento de datos personales», en el sentido de dicho artículo 2, letra b), cuando esa información contiene datos personales, y, por otro, el gestor de un motor de búsqueda debe considerarse «responsable» de dicho tratamiento, en el sentido del mencionado artículo 2, letra d)".
Quiere decirse con todo ello, que hablar de corresponsabilidad supone un examen de la situación fáctica y comprobar que la entidad en cuestión tiene una participación concreta e identificada en la determinación de los fines y medios del tratamiento de que se trate, tratamiento que en este caso y según se declara por el TJUE al dar respuesta a la cuestión prejudicial planteada por la Sala de instancia, "consiste en hallar información publicada o puesta en Internet por terceros, indexarla de manera automática, almacenarla temporalmente y, por último, ponerla a disposición de los internautas según un orden de preferencia determinado" . En este caso no se identifica por la Sala de instancia ninguna actividad de Google Spain que suponga la participación en esa actividad del motor de búsqueda. Por el contrario y como recoge el TJUE en el fundamento 46 de la citada sentencia, el tribunal remitente señala que Google Inc. gestiona técnica y administrativamente Google Search y que no está probado que Google Spain realice en España una actividad directamente vinculada a la indexación o almacenamiento de información o de datos contenidos en los sitios de Internet de terceros.
Por las mismas razones debemos descartar el criterio de la Sala de instancia, que deduce la corresponsabilidad de Google Spain en el tratamiento de datos en cuestión de la unidad de mercado que conforma con Google Inc., con apoyo en los pronunciamientos del TJUE de 13 de mayo de 2014.
En respuesta a la cuestión formulada por la Sala de instancia al TJUE sobre el alcance de esta disposición, la sentencia dictada por éste declara lo siguiente: "el considerando 19 de la Directiva aclara que «el establecimiento en el territorio de un Estado miembro implica el ejercicio efectivo y real de una actividad mediante una instalación estable», y «que la forma jurídica de dicho establecimiento, sea una simple sucursal o una empresa filial con personalidad jurídica, no es un factor determinante.
En efecto, en tales circunstancias, las actividades del gestor del motor de búsqueda y las de su establecimiento situado en el Estado miembro de que se trate están indisociablemente ligadas, dado que las actividades relativas a los espacios publicitarios constituyen el medio para que el motor de búsqueda en cuestión sea económicamente rentable y dado que este motor es, al mismo tiempo, el medio que permite realizar las mencionadas actividades".
En segundo lugar, el TJUE al utilizar como norma de conexión territorial el art. 4.1.a) de la Directiva 95/46 , consistente en que el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro, deja claro que no exige que el tratamiento de datos personales controvertido sea efectuado «por» el propio establecimiento en cuestión, sino que se realice «en el marco de las actividades» de éste, con lo que se deja claro de nuevo que no se trata de que el establecimiento en cuestión, Google Spain, participe en el tratamiento de datos sino de que dicho tratamiento se efectúa en el ámbito de sus actividades de promoción de espacios publicitarios, actividad distinta a la determinación de fines y medios del tratamiento que determina la corresponsabilidad. Es más, tal respuesta del TJUE corresponde a la concreta objeción planteada por Google Inc. y Google Spain en el sentido de que esta última entidad no participa en forma alguna en la determinación de los fines y medios del tratamiento, frente a lo cual el Tribunal señala que no es preciso a los efectos que examina, aplicación de la normativa comunitaria, que se produzca tal participación, asumiendo así que Google Spain no interviene como responsable del tratamiento.
Como bien dice la recurrente --que cita en su apoyo lo resuelto por distintos tribunales de otros estados europeos: sentencia de la Audiencia Territorial de Berlín de 21 de agosto de 2014; auto de la Sala de lo Civil nº 2 de la Audiencia Territorial de Hamburgo de 18 de agosto de 2014; providencia de la Audiencia Territorial de Hamburgo de 22 de septiembre de 2014; sentencia del Tribunal de Roma de 4 de noviembre de 2014; sentencia del Tribunal de Amsterdam de 18 de septiembre de 2014 y del Tribunal de Apelación de 31 de marzo de 2015; auto del Tribunal de Gran Instancia de París de 8 de diciembre de 2014; sentencia del Tribunal de Primera Instancia de Arenas de 16 de febrero de 2015 ; y sentencia del Tribunal Regional de Düsseldorf de 7 de mayo de 2015 -- la consideración de Google Spain, S.L., como establecimiento en España de Google Inc. lo es a los efectos de atraer la aplicación de la normativa europea y, por derivación, la española de protección de datos personales al tratamiento gestionado por la segunda a través de su motor de búsqueda Google Search, no obstante tratarse de una empresa ubicada fuera de la Unión Europea. Y es en tal sentido que el TJUE señala que "las actividades del gestor del motor de búsqueda y las de su establecimiento situado en el Estado miembro de que se trate están indisociablemente ligadas", por lo que no puede sustraerse ese tratamiento de datos a la aplicación de la normativa europea y nacional correspondiente.
Con ello se trata de evitar la elusión del cumplimiento de la normativa europea sobre la materia con base en el argumento de que el responsable del tratamiento no tiene su sede social en territorio europeo, lo que le permitiría sustraerse a las obligaciones y garantías que en dicha normativa se establecen. Esta es la lógica a la que responde la previsión normativa que, mediante la ampliación del ámbito de aplicación territorial, consigue el efecto útil y protección que otorga la normativa comunitaria al interesado. Así lo sentencia el TJUE cuando razona que: "En tales circunstancias, no se puede aceptar que el tratamiento de datos personales llevado a cabo para el funcionamiento del mencionado motor de búsqueda se sustraiga a las obligaciones y a las garantías previstas por la Directiva 95/46, lo que menoscabaría su efecto útil y la protección eficaz y completa de las libertades y de los derechos fundamentales de las personas físicas que tiene por objeto garantizar (véase, por analogía, la sentencia L'Oréal y otros, EU:C:2011:474 , apartados 62 y 63), en particular, el respeto de su vida privada en lo que respecta al tratamiento de datos personales, al que esta Directiva concede una importancia especial, como confirman, concretamente, su artículo 1, apartado 1, y sus considerandos 2 y 10 (véanse, en este sentido, las sentencias Österreichischer Rundfunk y otros, C 465/00 , C 138/01 y C 139/01, EU:C:2003:294 , apartado 70; Rijkeboer, C 553/07, EU:C:2009:293 , apartado 47, e IPI, C 473/12, EU:C:2013:715 , apartado 28 y jurisprudencia citada)".
De manera que, aun en el supuesto de actuación por representante, que no es el caso, subsiste la condición de responsable del tratamiento y su legitimación pasiva, por lo que el procedimiento y la declaración de obligado al cumplimiento y realización del derecho a la tutela que se demanda por el reclamante ha de dirigirse frente al responsable del tratamiento controvertido, que en este caso es Google Inc..
Por todo ello procede estimar el recurso contencioso administrativo interpuesto por la entidad mercantil Google Spain, S.L. contra la resolución de 9 de mayo de 2011 dictada por el Director de la Agencia Española de Protección de Datos, que se declara nula de pleno derecho por ser contraria al ordenamiento jurídico en los términos que se contienen y razonan en esta sentencia.
En este ámbito jurisdiccional, como se desprende de lo expuesto en los anteriores fundamentos de derecho, la identificación de Google Inc. como responsable del tratamiento al que debe dirigirse el titular de los datos personales en ejercicio de su derecho, se justifica ampliamente en esta sentencia y las citadas de referencia, como resultado de: i) la clara definición legal de la condición de responsable establecida tanto en la Directiva 95/46/CE ( art. 2.d) como en la Ley Orgánica 15/1999, de Protección de Datos (art. 3.d); ii) la interpretación que al respecto sostiene el TJUE en la citada sentencia de 13 de mayo de 2014, que al resolver las cuestiones prejudiciales planteadas por la Sala de la Audiencia Nacional , declara expresamente en su parte dispositiva 1), en relación con el tratamiento de datos consistente en "hallar información publicada o puesta en Internet por terceros, indexarla de manera automática, almacenarla temporalmente y, por último, ponerla a disposición de los internautas", que "el gestor de un motor de búsqueda debe considerarse responsable de dicho tratamiento, en el sentido del mencionado artículo 2, letra d)" gestor que en este caso nadie cuestiona que es Google Inc. y no Google Spain S.L.; iii) la percepción de que dicha interpretación del alcance de tales preceptos y los pronunciamientos efectuados en la sentencia del TJUE no responde a un planteamiento subjetivo sino que, objetivamente, puede sostenerse por los distintos tribunales que han de aplicar las normas comunitarias, como se refleja en las resoluciones adoptadas por ocho órganos jurisdiccionales europeos que se incorporan por la parte recurrente y que se han reflejado antes; iv) la naturaleza de la obligación cuyo cumplimiento se exige por el interesado, obligación de hacer o no hacer impuesta por la ley en virtud de la efectiva participación del responsable en el tratamiento de datos objeto de impugnación, participación que delimita el alcance de su responsabilidad y la exigencia de la correspondiente reparación, adoptando las medidas precisas al efecto; v) la asunción como propia de tal condición por parte de la entidad Google Inc., que a raíz de la sentencia del TJUE ha adoptado medidas tendentes a facilitar el ejercicio del denominado "derecho al olvido".
Ha ello se añade ahora, que el criterio mantenido por la Sala en esas sentencias, como hemos señalado antes, se ha visto confirmado por el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, relativo a la protección de las personas físicas en lo relativo al tratamiento de datos personales y a la libre circulación de estos datos, recientemente aprobado y publicado en el Diario Oficial de la Unión Europea de 4 de mayo de 2016, que deroga la Directiva 95/46/CE, el cual, entre otras previsiones a las que ya nos hemos referido y despejando posibles dudas, regula en su art. 26 la corresponsabilidad en el tratamiento de datos, considerando corresponsables a quienes determinen conjuntamente los objetivos y los medios del tratamiento, exigiendo, además, que los corresponsables determinen de modo transparente y de mutuo acuerdo sus responsabilidades respectivas en el cumplimiento de las obligaciones impuestas por el Reglamento, en particular en cuanto al ejercicio de los derechos del interesado, previsión que, como ya se recoge en nuestras sentencias, impide considerar corresponsable a una entidad como Google Spain, S.L., que ninguna participación tiene en la gestión del motor de búsqueda y la determinación de los fines y medios del tratamiento, circunstancia que en ningún momento se cuestiona.
Por todo lo expuesto, en nombre del Rey, por la autoridad que le confiere la Constitución, esta Sala ha decidido PRIMERO .- Ha lugar al recurso de casación interpuesto por la representación procesal de la sociedad mercantil Google Spain, S.L., contra la sentencia de la Sala de lo Contencioso Administrativo de la Audiencia Nacional de fecha 29 de diciembre de 2014 dictada en el recurso contencioso-administrativo número 416/2011 , que casamos. SEGUNDO .- En su lugar, estimamos el recurso contencioso-administrativo interpuesto por la representación procesal de la citada sociedad mercantil contra la resolución de 9 de mayo de 2011 del Director de la Agencia Española de Protección de Datos, descrita en el primer fundamento de derecho, que se anula por ser contraria al ordenamiento jurídico en los términos indicados en esta sentencia. TERCERO .- No hacemos imposición de las costas de este recurso ni de la instancia.

References: resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 artículo 24
 artículo 2
 artículo 2
 artículo 2
 artículo 2
 artículo 2
 artículo 2
 artículo 1
 resolución 
 artículo 2
 resolución