JURISPRUDENCIA Roj: SAN 568/2015

24 Pages·2017·0.19 MB·Spanish

JURISPRUDENCIA
Roj: SAN 568/2015 - ECLI:ES:AN:2015:568
Id Cendoj:28079230012015100040
Órgano:Audiencia Nacional. Sala de lo Contencioso
Sede:Madrid
Sección:1
Fecha:24/02/2015
Nº de Recurso:493/2012
Nº de Resolución:82/2015
Procedimiento:PROCEDIMIENTO ORDINARIO
Ponente:JUAN PEDRO QUINTANA CARRETERO
Tipo de Resolución:Sentencia
Resoluciones del caso:SAN 568/2015,
STS 3667/2016
A U D I E N C I A N A C I O N A L
Sala de lo Contencioso-Administrativo
SECCIÓN PRIMERA
Núm. de Recurso: 0000493 / 2012
Tipo de Recurso: PROCEDIMIENTO ORDINARIO
Núm. Registro General: 07550/2012
Demandante: GOOGLE SPAIN, SL
Procurador: GRACIA LÓPEZ FERNÁNDEZ
Letrado: JAVIER MARTÍNEZ BAVIERE
Demandado: AGENCIA PROTECCIÓN DE DATOS
Abogado Del Estado
Ponente IImo. Sr.: D. JUAN PEDRO QUINTANA CARRETERO
S E N T E N C I A Nº:
IImo. Sr. Presidente:
D. EDUARDO MENÉNDEZ REXACH
Ilmos. Sres. Magistrados:
Dª. LOURDES SANZ CALVO
D. FERNANDO DE MATEO MENÉNDEZ
D. JUAN PEDRO QUINTANA CARRETERO
D. JOSÉ GUERRERO ZAPLANA
Madrid, a veinticuatro de febrero de dos mil quince.
Visto el recurso contencioso administrativo, tramitado como procedimiento ordinario número 493/2012, que
ante esta Sala de lo contencioso administrativo de la Audiencia Nacional ha promovido Google Spain S.L.,
representada por la Procuradora doña Gracia López Fernández y defendida por el Abogado don Javier Martínez
Baviére, contra la Administración General del Estado, representada y defendida por el Abogado del Estado,
sobre protección de datos personales.
1
JURISPRUDENCIA
I. ANTECEDENTES DE HECHO
PRIMERO.- Por la parte recurrente se interpuso recurso contencioso-administrativo mediante escrito
presentado el 13 de noviembre de 2012, acordándose mediante decreto de 5 de abril de 2013 su tramitación de
conformidad con las normas establecidas en la Ley 29/1998 y la reclamación del expediente administrativo.
SEGUNDO.- En el momento procesal oportuno la parte actora formalizó la demanda mediante escrito
presentado el 21 de noviembre de 2013, en el que, tras alegar los hechos y fundamentos de derecho que estimó
procedentes, terminó suplicando se dictara sentencia estimatoria de su pretensión y se "declare nula de pleno
derecho o, en su caso, se anule la resolución impugnada".
TERCERO.- El Sr. Abogado del Estado contestó a la demanda mediante escrito presentado el 10 de enero
de 2014, en el que, tras alegar los hechos y los fundamentos de derecho que estimó oportunos, terminó
suplicando se dictara sentencia desestimatoria del recurso contencioso-administrativo, confirmándose el acto
administrativo impugnado, con expresa condena en costas a la parte actora.
CUARTO.- Habiéndose solicitado el recibimiento del pleito a prueba, se acordó dicho trámite mediante auto
de 15 de enero de 2014, y se ha practicado la prueba admitida de la propuesta por las partes, con el resultado
que consta en los autos. Concluso el término probatorio, se dio traslado a las partes, por su orden, para que
formularan conclusiones, trámite que evacuaron mediante la presentación de los correspondientes escritos
en los que concretaron y reiteraron sus respectivos pedimentos.
QUINTO.- Habiéndose dictado en el procedimiento ordinario 725/2010, seguido ante esta Sala y Sección, auto
de fecha 27 de febrero de 2012 de planteamiento de cuestión prejudicial de interpretación ante el Tribunal de
Justicia de la Unión Europea, se acordó mediante providencia de 17 de marzo de 2014 unir testimonio de dicho
auto a las presentes actuaciones y dejar estas en suspenso hasta que se resolviera la cuestión prejudicial.
Resuelta la cuestión prejudicial planteada mediante sentencia de 13 de mayo de 2014 del Tribunal de Justicia
de la Unión Europea, as. C-131/12 , Google Spain S.L. y Google Inc./AEPD, se acordó mediante providencia
de 6 de junio de 2014 alzar la suspensión de las actuaciones, unir testimonio de la sentencia a las mismas y
conceder un plazo de alegaciones a las partes.
La Abogacía del Estado evacuó dicho trámite mediante la presentación de escrito de alegaciones el 25 de
junio de 2014, haciéndolo la parte demandante mediante la presentación de escrito de alegaciones el 15 de
septiembre de 2014.
QUINTO.- Conclusas las actuaciones, se señaló para votación y fallo de este recurso el día 17 de febrero de
2015, fecha en que tuvo lugar la deliberación y votación, habiendo sido ponente el Ilmo. Magistrado don JUAN
PEDRO QUINTANA CARRETERO , quien expresa el parecer de la Sala.
II. FUNDAMENTOS DE DERECHO
PRIMERO . - Acto administrativo recurrido.
El presente recurso contencioso-administrativo tiene por objeto la resolución de fecha 18 de septiembre de
2012, dictada por el Director General de la Agencia Española de Protección de Datos, por la que acuerda estimar
la reclamación formulada por don Dionisio contra Google Spain, S.L., instando a esta entidad para que, como
representante en España de la compañía estadounidense del sitio web http://www.blogspot.com, adopte las
gestiones necesarias en orden a la cancelación de los datos personales del interesado contenidos en el blog
objeto de la presente tutela de derechos y para que adopte las medidas necesarias para retirar los datos de
su índice del buscador e imposibilite el acceso futuro a los mismos.
La resolución recurrida trae causa del ejercicio ante Google Spain, S.L. por don Dionisio de su derecho
de cancelación de sus datos personales, instando la eliminación de sus datos personales que aparecían en
Internet mediante la herramienta de búsqueda de Google en un concreto enlace web, denominado http://
www.picarescainmobiliaria.blogspot.com , donde se contenía un artículo de opinión publicado en un blog
personal, alojado en la plataforma Blogger, en el que se critican las practicas comerciales de una empresa
inmobiliaria del año 2007 y en el que se alude, entre otras personas al reclamante, al que en relación con una
operación inmobiliaria atribuye una serie de hechos que se califican como estafa y que el reclamante considera
comentarios injuriosos, calumnias y hechos sin contrastar ni demostrar. La indicada dirección web aparecía
incluida en la relación obtenida a través de una búsqueda en Google con el nombre y apellidos del reclamante.
El reclamante alegaba para justificar su derecho de cancelación que en la dirección web expresada se estaba
haciendo uso de datos personales que habrían sido recabados sin su conocimiento y consentimiento previo.
2
JURISPRUDENCIA
Presentada el 20 de marzo de 2012 ante la Agencia Española de Protección de Datos la reclamación del
interesado contra Google Spain, S.L. por no haber sido atendido debidamente su derecho de cancelación, y
tramitado el correspondiente procedimiento de tutela de derechos, fue dictada la resolución recurrida que
estimaba la reclamación formulada.
La resolución de la Agencia Española de Protección de Datos recurrida sustenta la aplicación de la normativa
española de trasposición de la comunitaria en materia de protección de datos en la aplicación del artículo 3
del Real Decreto 1720/2007 , que traspone el artículo 4 de la Directiva 95/46/CE que debe interpretarse en
atención a lo expuesto en los considerandos 18, 19 y 20 de la misma.
La resolución afirma que el servicio de búsqueda de Google utiliza en el tratamiento de datos personales
medios situados en territorio español sin que su utilización sea únicamente con fines de transito, pues para
prestarlo rastrea mediante sus "arañas web" datos de carácter personal en los servidores españoles, con el
objeto de facilitar su posterior localización.
Además, sostiene que el servicio de búsqueda prestado a través del sitio web www.google.es es un servicio
dirigido específicamente al territorio español, como revela el lenguaje de la pagina www.google.es , el dominio
bajo el que se aloja el servicio de buscador Google en España, que es del tipo ".es", y el hecho de que los
resultados obtenidos en la búsqueda se encuentren dirigidos a usuarios ubicados en territorio español.
Igualmente, considera que la publicidad es la forma de financiación del buscador gratuito de Google, hasta el
punto de que el usuario no puede evitarla si quiere utilizar este servicio.
En base a lo expuesto concluye la resolución que la normativa de protección de datos española es aplicable
al caso que nos ocupa, puesto que el servicio de buscador es prestado por una empresa que se encuentra
fuera de la UE pero tiene un establecimiento en España, implicado en la venta de anuncios dirigidos a sus
habitantes, cuyo principal reclamo es la prestación gratuita del servicio de búsquedas en internet, por lo que el
establecimiento se ve implicado en el tratamiento de datos, siendo de aplicación el artículo 4.a de la Directiva.
Además, al recurrir los buscadores a medios en el territorio español para el tratamiento de los datos personales
también resulta de aplicación el artículo 4.1.c) de la Directiva. Por ello, entiende que ha de satisfacerse el
derecho de cancelación de datos personales ejercitado por el reclamante, en aplicación del artículo 16 de la
Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD ) y del artículo
32 de su reglamento.
Añade que la legislación de protección de datos española también resulta aplicable por determinación del
articulo 4 en relación con el artículo 8.1.c ) y 17 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad
de la Información y de Comercio Electrónico , al dirigir Google sus servicios al territorio español y encontrarse
vulnerado el derecho a la dignidad de la persona.
Además, bajo la consideración de que Google Spain, S.L., representa a Google Inc y esta entidad es la
responsable de blogspot, donde se aloja sitio web http://www.picarescainmobiliaria.blogspot.com , estima que
le es exigible la obligación prevista en el artículo 6 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad
de la Información y de Comercio Electrónico , consistente en la retirada de datos y hacer imposible el acceso a
los mismos en relación tanto con los datos captados por el buscador de Google, como respecto de la inserción
de los datos personales del reclamante en el citado blog como webmaster del mismo.
En relación con del derecho de cancelación de datos del interesado, sostiene la resolución impugnada que
al resultar los datos incluidos en el blog inadecuados y excesivos, tanto por remontarse a 2007 como por no
quedar probada su relevancia pública y veracidad, así como por resultar excesiva su divulgación indiscriminada
en Internet, concluye que procede la exclusión de los datos personales del reclamante contenidos en el blog
y evitar su captación por el buscador de Google.
SEGUNDO .-Alegaciones de la recurrente.
La parte recurrente solicita que se dicte sentencia estimatoria de su pretensión y se "declare nula de pleno
derecho o, en su caso, se anule la resolución impugnada".
Las alegaciones de la parte demandante en defensa de su pretensión, expuestas en su escrito de demanda
son, en síntesis, las siguientes:
1.- Nulidad de pleno derecho de la resolución impugnada, al amparo del artículo 62.1, letras a), b), c ) y e), de la
Ley 30/1992 , al haberse dictado por órgano manifiestamente incompetente por razón del territorio y por razón
de la materia, vulnerar las libertades consagradas en el artículo 20 CE y la libertad de empresa reconocida
en el articulo 38 CE e incurrir en arbitrariedad y fraude de ley y tener un contenido imposible, pues los actos
que ordena a Google Spain son materialmente de imposible cumplimiento, por cuanto el buscador pertenece
3
JURISPRUDENCIA
a Google Inc. sobre la que aquella no tienen ningún poder de decisión, y la plataforma de alojamiento Blogger
es también responsabilidad de Google Inc.
2.- Falta de legitimación pasiva de Google Spain frente a la AEPD, de conformidad con el artículo 16.1 de la LOPD
y el artículo 32.2 del Reglamento de desarrollo de la LOPD , pues Google Spain es un mero agente de publicidad
que promociona la venta del espacio publicitario disponible en páginas web, entre otras, la del buscador Google,
que pertenece a Google Inc, sin representar a esta empresa ni intervenir en el funcionamiento del buscador ni en
el tratamiento de esos datos, por lo que no puede ser considerada ni responsable ni encargada del tratamiento
de los datos personales del interesado a que se refiere el procedimiento tramitado por la AEPD.
Google Inc desarrolla la actividad de prestar un servicio gratuito a los usuarios de internet para la localización
de aquellos sitios en la red, cuyo contenido coincide con los criterios de búsqueda determinados por el
usuario, y otro remunerado de carácter publicitario, anunciando la actividad de empresas en sus páginas web
mediante la inserción de anuncios, sirviéndose para este último de empresas locales como Google Spain,
que no interviene en el servicio del buscador de Google y carece de medios técnicos para ello, por lo que no
tiene capacidad de establecer criterios de inclusión o exclusión de información de la lista de resultados de
la búsqueda.
Añade que Google Spain no interviene en la plataforma de alojamiento Blogger, cuyos servicios son prestados
por Google Inc, por lo que aquella carece de toda capacidad para alterar los datos allí contenidos.
Por consiguiente, se afirma que no correspondería a Google Spain resolver la solicitud del interesado en
relación con el tratamiento de sus datos, pues no es responsable del tratamiento ni representante legal del
responsable, con cita de diversas resoluciones judiciales de órganos judiciales españoles y extranjeros en
apoyo de tal afirmación.
3.- La Agencia Española de Protección de Datos carece de competencia territorial para actuar por aplicación
de los artículos 2.1, letras a ) y c) de la LOPD , 3.1, letras a) y c) del RLOPD y 4 de la Directiva.
El articulo 2.1.a) de la LOPD y el artículo 3.1.a) del Reglamento de la LOPD , que transcriben el artículo 4 de
la Directiva, no resultan aplicables al caso por el hecho de que, aunque Google Spain es un establecimiento
ubicado en España, el tratamiento de los datos a que se refiere la resolución recurrida no ha tenido lugar "en
el marco de las actividades de un establecimiento del responsable del tratamiento" instalado en el territorio
español, pues no tienen intervención en el funcionamiento del buscador y su actividad de promoción de las
actividades publicitarias de Google Inc. es totalmente ajena a la actividad del buscador. De modo que solo
si el establecimiento interviene efectivamente en el tratamiento como responsable del mismo resultarían de
aplicación las consecuencias que prevé el artículo 3.1.a) del Reglamento de la LOPD , y ello no ocurre en el
presente caso. El hecho de que Google Spain sea una filial de Google Inc. es irrelevante, porque la actividad
del buscador no está dentro del ámbito de actividad de la filial española, ni se lleva a cabo bajo su autoridad.
Además, Google Spain no es responsable de las relaciones con los usuarios del buscador de Google en España,
no es agente de Google Inc y no asume por esta compañía el cumplimiento de autos judiciales o solicitudes
de cumplimiento de la ley por parte de las autoridades competentes.
El articulo 2.1.c) de la LOPD y el articulo 3.1.c) del Reglamento de la LOPD no resultan aplicables al caso
por el hecho de que el acto administrativo recurrido se dirija contra Google Spain, cuyo domicilio y centro de
actividad se encuentra en España. Además, aunque Google Inc. no está establecido en el territorio de la Unión
Europea, no cabe afirmar que al recibir la descarga de los contenidos de una página web española estuviera
empleando " medios situados en territorio español", pues ningún equipo de Google se desplaza a España, ni
tampoco ningún equipo ubicado en España es utilizado o mediatizado de ningún modo por Google, cuyos
equipos se encuentran fuera de España.
Tampoco la aplicación del artículo 8 de la Carta Europea de Derechos Fundamentales y del artículo 4 de
la Directiva de Protección de Datos justifican una aplicación extraterritorial de la normativa española de
protección de datos.
El artículo 4 de la LSSICE no resulta aplicable al servicio de buscador de Google Inc., pues, al margen de que
Google Spain no puede ser considerado prestador de servicios de la sociedad de la información con respecto
a la actividad de buscador que presta Google Inc, en ningún caso conllevaría la aplicación de la LOPD, al
tener ambas normas criterios de aplicación territorial distintos. Además, la Directiva 2000/31/CE, de Comercio
Electrónico, de la que trae causa la LSSICE, excluye la aplicación de sus normas a las cuestiones relacionadas
con la protección de datos de carácter personal.
El artículo 8 de la LSSI no resulta aplicable al servicio de buscador de Google Inc., pues al margen de que el
artículo 4 que se remite a aquel otro precepto no es aplicable al caso, la actividad de Google Inc. no vulnera
el principio de " respeto a la dignidad humana" por facilitar un enlace a una información publicada de forma
4
JURISPRUDENCIA
lícita en el territorio español, y dicha norma no amplia el ámbito de competencia de la Agencia a supuestos de
hecho excluidos de la misma, como el que nos ocupa. Además, si la divulgación de un determinado contenido
atentara a la dignidad humana de una persona, la Agencia debería dirigirse al editor del sitio web que publica
tal información.
4.- Falta de competencia material de la Agencia, pues la actividad que desarrolla Google Inc. no constituye
tratamiento de datos y el índice del buscador que proporciona no es un fichero, con arreglo a lo previsto en
los artículos 2 y 3 de la Directiva, por lo que los buscadores no pueden ser considerados responsables de
tratamiento de datos personales.
5.- Los artículos 16 y 17 de la LSSICE no resulta aplicable al caso, puesto que no establece una regla material
de responsabilidad, sino únicamente una exención de responsabilidad a favor de determinados prestadores
de servicios de intermediación, como son los motores de búsqueda, por enlazar a contenidos publicados por
terceros. De modo que no permite atribuir a un prestador de servicios de intermediación responsabilidad, salvo
en los supuestos previstos en la norma, que no concurren en el caso que nos ocupa. Por ello, no tale preceptos
no legitiman a la AEPD para ordenar retirar contenidos del buscador y del Blogger.
6.- La resolución de la Agencia vulnera Derechos Fundamentales y es contraria al principio de proporcionalidad,
vulnerándose las libertades de información y expresión, tanto de quienes publican información en internet,
como de quienes pudieran estar interesados en localizarla y acceder a ella, pues suponen un obstáculo a la
difusión de información lícita, impidiéndose al editor servirse de los motores de búsqueda para hacer llegar
la información a su audiencia del modo más eficiente. De modo que en aplicación del artículo 6.4 LOPD el
derecho de oposición debería ceder ante aquellos derechos fundamentales.
Además, también se infringe el derecho a la libertad de empresa del prestador del servicio de motor de
búsqueda y su derecho a la libre prestación de servicios, pues se impone a un motor de búsqueda eliminar de
sus índices de resultados información que, por lo demás, continuaría accesible en la página de origen y podría
encontrarse a través de otros mecanismos.
También se infringe el principio de proporcionalidad, pues la medida adoptada no cumple ni el juicio de
idoneidad, ni el de necesidad, ni el de proporcionalidad en estricto sentido. La medida no lograría el objetivo
final de la solicitud que es que la información resultara accesible al público o ampliamente accesible al
público, al continuar en la página de origen. Existen mecanismos menos restrictivos para alcanzar el mismo
objetivo, dirigiéndose la medida al editor, y la medida impuesta desplaza la responsabilidad de los editores
hacia los buscadores. El editor se encuentra en mejor posición para ponderar los intereses en juego y para
adoptar medidas dirigidas a alcanzar al fin pretendido por las resoluciones de la AEPD. La medidas de la
AEPD proporcionan una ventaja competitiva a otros competidores de Google Inc. e infringen el principio de no
discriminación, al no desaparecer la información de la página de origen.
El servicio de los buscadores se limita a facilitar a los usuarios de internet, de forma objetiva y neutra,
información sobre el contenido de las páginas web, por lo que la acción pública debería dirigirse hacia la página
que publica el contenido que se pretende excluir del alcance de terceros y no contra el buscador, pues del titular
de dicha página depende que sus contenidos puedan aparecer en el buscador, pudiendo evitar su indexación
por los buscadores. Carece de sentido que la Agencia afirme que el servicio de búsqueda en internet vulnera la
LOPD, pero, a su vez, permita a los responsables de los sitios web donde se publican los datos que continúen
con tal actividad.
7.- No existe un "derecho al olvido" frente a los motores de búsqueda, pues debe hacerse valer ante quien
decide publicar la información.
8.- La utilización del buscador Google como instrumento para silenciar informaciones publicadas lícitamente
en internet constituye un abuso de derecho y un fraude de ley, vulnerándose los artículos 6.4 y 7.2 del Código
Civil .
En el escrito de alegaciones presentado tras dictarse la sentencia de 13 de mayo de 2014 del Tribunal de
Justicia de la Unión Europea, as. C-131/12 , Google Spain S.L. y Google Inc./AEPD, la recurrente realizó, en
síntesis, las siguientes alegaciones:
1.- Falta de legitimación pasiva de Google Spain en el procedimiento administrativo seguido por al AEPD, pues
no es responsable del tratamiento o gestora del buscador de Google Inc y tampoco es responsable de la
plataforma Blogger, que sirve a los editores para la publicación de sus artículos en Internet. ni puede cumplir
la resolución de la AEPD, que incurre en nulidad al amparo de artículo 62.1, letras c ) y e), de la Ley 30/1992 .
Añade que tampoco Google Inc es responsable del tratamiento de los datos publicados en el blog por su editor
y que la AEPD no es competente para declarar la ilicitud de opiniones e informaciones vertidas por particulares
5
JURISPRUDENCIA
en Internet, ni para ponderar un conflicto entre la libertad de expresión y la protección de datos, que solo
correspondería a los jueces y tribunales.
La STJUE considera a Google Inc. responsable del tratamiento como gestor del motor de búsqueda y a Google
Spain filial de aquella otra compañía en territorio español y, por tanto, "establecimiento" en el sentido del articulo
4.1.a de la Directiva 95/46 , dotado de personalidad jurídica propia. Ello puede justificar la aplicación de la
normativa española sobre protección de datos a Google Inc. como responsable del tratamiento y entidad
obligada a eliminar resultados del índice del buscador, pero no conduce a considerar a Google Spain obligada
a eliminar tales resultados, pues no tiene ninguna responsabilidad en los servicios prestados por Google Inc.
ni capacidad técnica para atender por si misma las solicitudes de oposición de los ciudadanos españoles. Así
lo revela el hecho de que en otros procedimientos de tutela de derechos la AEPD haya actuado directamente
frente a Google Inc.
Tampoco cabe aceptar que Google Spain sea considerada representante legal de Google Inc., pues no ostenta
su representación legal o voluntaria a los efectos de los procedimientos seguidos ante la AEPD
2.- La resolución impugnada carece de la motivación exigida por la sentencia del TJUE, por lo que incurre
en arbitrariedad, vulnerando el artículo 9.3 de la Constitución y los artículos 54 y 89 de la Ley 30/1992 ,
pues no consta que la AEPD haya hecho un adecuado juicio de ponderación entre los distintos derechos en
conflicto, esto es, el derecho a la protección de datos del interesado y las libertades de información y expresión,
teniendo en cuenta el interés público de los usuarios del buscador en acceder a la información concerniente
al interesado.
3.- La resolución recurrida vulnera las libertades información y de expresión de Google Inc., dado el interés
público de la información, al obstaculizar su difusión, vulneración que se agrava por el hecho de que el editor
pueda seguir publicando la información y que otros prestadores de servicios o buscadores sin filial en un
país de la UE puedan seguir mostrando los enlaces en cuestión. Además, vulnera la libertades de información
y de expresión del editor, al impedir que este pueda servirse de los motores de búsqueda para divulgar su
información, por lo que incurre en la causa de nulidad del artículo 61.1.a) de la Ley 30/1992 .
La resolución recurrida vulnera la libertad de empresa del prestador del servicio de motor de búsqueda,
recogida en el artículo 38 de la Constitución . La imposición a un motor de búsqueda de una obligación de
eliminar de sus índices de resultados información que, por lo demás, continuaría accesible en la página de
origen, y podría encontrarse libremente a través de otros mecanismos vulnera su libertad de empresa por
cuanto contraviene el principio de proporcionalidad, concretado en la superación de los juicios de idoneidad,
necesidad y proporcionalidad, y lesiona su derecho a la libre prestación de servicios, reconocido en el artículo 7
de la LSSI . Ello conlleva una desventaja competitiva evidente para el titular de ese concreto motor de búsqueda,
que se evitaría si la medida se tomara sobre el editor, haciendo así desaparecer la información del conjunto
de los buscadores.
4.- La STJUE no ampara lo acordado por la AEPD en la resolución recurrida, es decir, " retirar" sin más
los resultados del índice de resultados del buscador o enlaces, e " imposibilitar el acceso futuro" a las
informaciones a que se remiten los enlaces o a estos. Solo podría estar justificado que se ordenara no mostrar
enlaces concretos entre los resultados cuando se haga una búsqueda específicamente por el nombre del
interesado. Además, lo acordado es algo que un servicio de búsqueda no puede técnicamente hacer, pues no
es él quien hace accesible los contenidos en cuestión sino los editores de la información, y vulnera el artículo
15 de la Directiva de Comercio Electrónico , pues impone al gestor del motor de búsqueda una obligación
general de supervisar los datos que se transmitan o almacenen contraria a la Directiva.
De hecho la AEPD en otros procedimientos de tutela de derechos ha asumido esta limitación, ordenando
tan solo que se adopten las medidas oportunas para evitar que el nombre del interesado se vincule a un
determinado resultado (URL), pues lo único que puede exigirse al motor de búsqueda es dejar de facilitar
enlaces concretos en una lista de resultados obtenida a través de una búsqueda efectuada a partir de un
nombre.
4.- La orden de la AEPD de eliminar el blog vulnera frontalmente los artículos 11.3 y 16 de la LSSICE y el artículo
20 de la Constitución y no tiene amparo en la LOPD ni en la doctrina del TJUE, pues Blogger es solo un servicio
de alojamiento de contenidos que permite a los usuarios publicar contenidos creados y editados por ellos
mismos, y se trata de un servicio de intermediación amparado por el régimen de exclusión de responsabilidad
establecido en el articulo 14 de la Directiva 2000/31/CE, de Comercio Electrónico , y el articulo 16 de la LSSICE.
En este caso, Google se limita a prestar a editor el servicio de alojamiento de los contenidos que el propio
editor decide publicar, bajo su control pleno y su exclusiva responsabilidad, sin que pueda atribuirse a Google
la condición de responsable del tratamiento de los datos personales que aparezcan en tales contenidos.
6
JURISPRUDENCIA
En consecuencia, afirma la actora que la resolución de la AEPD debe ser revocada o, al menos, revisada para
adecuarla a la doctrina del TJUE.
TERCERO .-Alegaciones de la Administración demandada.
La representación de la Administración demandada solicita que se dicte sentencia desestimatoria del recurso
contencioso-administrativo, confirmándose el acto administrativo impugnado, con expresa condena en costas
a la parte actora.
Las alegaciones de la Administración demandada en sustento de su pretensión son, en síntesis, las siguientes:
1.- El servicio de búsqueda de Google (Google Search) es un complejo sistema informático que indexa
documentos almacenados en servidores de páginas web, facilitando al usuario del servicio su inmediata
localización, a través de determinas palabras contenidas en los documentos buscados, y utiliza en el
tratamiento de datos personales medios situados en territorio español sin que su utilización sea únicamente
con fines de transito. Este servicio se presta a nivel mundial a través del sitio web www.google.com , aunque
en muchos países existen versiones locales adaptadas al idioma nacional, a las cuales de accede por defecto,
en función de la ubicación geográfica del usuario. La versión española del servicio se presta a través del sitio
www.google.es que está dirigido específicamente al territorio español, siendo un domino territorial registrado
en Red.es bajo el código del país correspondiente a España.
Por tanto, los servidores web ubicados en territorio español son visitados para extraer la información -palabras
clave- durante la labor de rastreo, realizada por las "arañas web" del buscador, con el fin de dar respuesta a las
búsquedas de usuarios españoles. Dicha información incluye datos personales relativos a personas que no
son necesariamente usuarios del buscador.
El sistema de búsqueda se financia a través de anuncios Google y estos se publican en la página de resultados
de la búsqueda realizada por el usuario del servicio (sistema AdWords) o en el contenido de sitios web visitados
por este (sistema AdSense), dirigiéndose la publicidad a una determinada ubicación geográfica, actividad en
la que interviene Google Spain.
2.- Constituye normativa aplicable al caso los artículos 6.4 , 16 , 17 y 18.1 de la LOPD y los artículos 34 y 35 del
Real Decreto 1720/2007 , puesto que así se desprende del artículo 3 del Real Decreto 1720/2007 y del artículo
4, letras a ) y c), de la Directiva, así como de los artículos 4 y 8.c) de la Ley 34/2002, de 11 de julio, de Servicios
de la Sociedad de la Información y de Comercio Electrónico , dada la profunda vinculación entre la protección
de datos y la dignidad humana.
3.- La AEPD mantiene que Google Spain, S.L., en su calidad de representante legal en España de Google
Inc, dispone de cierta capacidad organizativa para hacer llegar sus resoluciones al departamento que pueda
corresponder de la multinacional, como lo demuestra el hecho de que en otros procedimientos de tutela de
derechos y de otra naturaleza, relativos al servicio de búsqueda de Google, haya atendido los requerimientos
de la AEPD y presentado alegaciones. También lo demuestra el hecho de que desde enero de 2005 figuren
inscritos en el Registro General de Protección de Datos dos ficheros con datos de carácter personal de los
que se declaró responsable Google Inc., designando como oficina encargada para atender las solicitudes de
acceso, rectificación, cancelación y oposición de los afectados a Google Spain, S.L. Iguales consecuencias han
de extraerse del hecho de que desde noviembre de 2004 figuren inscritos en el Registro General de Protección
de Datos dos ficheros con datos de carácter personal de los que se declaró responsable Google Ireland
Limited, designando como oficina encargada para atender las solicitudes de acceso, rectificación, cancelación
y oposición de los afectados a Google Spain, S.L.
En el escrito de alegaciones presentado tras dictarse la sentencia del Tribunal de Justicia de la Unión Europea
de 13 de mayo de 2014 , la Abogacía del Estado sostuvo que la sentencia referida servía de fundamento a su
pretensión, reconociéndose la competencia territorial de la AEPD y la legitimación pasiva de Google Spain, en
atención a lo expuesto en los párrafos 52, 55 y 56, ya que su actividad de gestión publicitaria se encuentra
unida de forma indisociable a la del buscador de nacionalidad americana y su presencia en España permite la
aplicación de la legislación europea de protección de datos.
Además, alega que la competencia material de la AEPD aparece reconocida en el párrafo 41 de la sentencia,
pues la actividad del buscador constituye tratamiento de datos personales.
Por otro lado, señala que, conforme se deduce de los párrafos 77, 81, 85, 87 y 88 de la sentencia del TJUE,
el afectado puede dirigirse directamente contra la entidad que realiza el tratamiento de datos, sin acudir a la
fuente de información, sin que afecte a la libertad de información el hecho de que esta no se incluya en los
índices del buscador, al quedar garantizada por su mantenimiento en la fuente.
7
JURISPRUDENCIA
Por último, afirma que la sentencia del TJUE reconoce la existencia del llamado "derecho al olvido" en sus
párrafos 94, 95, 97 y 99, es decir, el derecho de una persona a que una información relativa a la misma se
elimine de una búsqueda vinculada a su nombre, cuya tutela requerirá la ponderación de los intereses en juego
en cada caso. En el caso que nos ocupa esta ponderación conduce a la desestimación del recurso, pues no se
ha invocado ni acreditado un interés informativo del público en general que deba prevalecer frente al derecho
a la intimidad del afectado.
CUARTO .- Actividad del motor de búsqueda
En primer lugar, debemos partir de que diversas cuestiones, suscitadas en la demanda, después de la Sentencia
del TJUE de 13 de mayo de 2014, as. C-131/12 , Google Spain S.L. y Google Inc./AEPD, ya carecen de relevancia
al haber sido resueltas por dicha Sentencia, entre ellas si la actividad de un motor de búsqueda como proveedor
de contenido debe calificarse de «tratamiento de datos personales».
En efecto, en la contestación a dicha cuestión prejudicial suscitada por esta Sala, la citada Sentencia dice: "
El artículo 2, letras b ) y d), de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de
1995 , relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la
libre circulación de estos datos, debe interpretarse en el sentido de que, por un lado, la actividad de un motor de
búsqueda, que consiste en hallar información publicada o puesta en Internet por terceros, indexarla de manera
automática, almacenarla temporalmente y, por último, ponerla a disposición de los internautas según un orden de
preferencia determinado, debe calificarse de «tratamiento de datos personales», en el sentido de dicho artículo
2, letra b), cuando esa información contiene datos personales, y, por otro, el gestor de un motor de búsqueda
debe considerarse «responsable» de dicho tratamiento, en el sentido del mencionado artículo 2, letra d)".
Por otro lado, en el apartado 28 de la indicada Sentencia se afirma que "debe declararse que, al explorar Internet
de manera automatizada, constante y sistemática en busca de la información que allí se publica, el gestor de
un motor de búsqueda «recoge» tales datos que «extrae», «registra» y «organiza» posteriormente en el marco de
sus programas de indexación, «conserva» en sus servidores y, en su caso, «comunica» y «facilita el acceso» a
sus usuarios en forma de listas de resultados de sus búsquedas. Ya que estas operaciones están recogidas de
forma explícita e incondicional en el artículo 2, letra b), de la Directiva 95/46 , deben calificarse de «tratamiento»
en el sentido de dicha disposición".
Se añade en el apartado 30 que "el Tribunal de Justicia ya ha declarado que las operaciones a las que se refiere
el artículo 2, letra b), de la Directiva 95/46 deben calificarse de tal tratamiento también en el supuesto de que
se refieran únicamente a información ya publicada tal cual en los medios de comunicación" y se refiere para
justificar esta conclusión a la Sentencia dictada en el asunto C-73/07.
Por lo que se refiere a la pretensión de que se excluya de responsabilidad a quien afirma ser, solamente,
un motor de búsqueda se señala en el apartado 38 que "en la medida en que la actividad de un motor de
búsqueda puede afectar, significativamente y de modo adicional a la de los editores de sitios de Internet, a los
derechos fundamentales de respeto de la vida privada y de protección de datos personales, el gestor de este
motor, como persona que determina los fines y los medios de esta actividad, debe garantizar, en el marco de sus
responsabilidades, de sus competencias y de sus posibilidades, que dicha actividad satisface las exigencias de
la Directiva 95/46 para que las garantías establecidas en ella puedan tener pleno efecto y pueda llevarse a cabo
una protección eficaz y completa de los interesados, en particular, de su derecho al respeto de la vida privada" .
En consecuencia, ninguna duda cabe de que la actividad de un motor de búsqueda como proveedor de
contenido debe calificarse de «tratamiento de datos personales».
Ligado con lo expuesto, nos encontramos con la cuestión referente a la aplicación en la resolución recurrida
de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico.
La resolución recurrida considera que los buscadores en el ejercicio de su actividad efectúan un tratamiento de
datos de carácter personal, por lo que están obligados a hacer efectivo el derecho de cancelación y oposición
del interesado que se opone a que se indexe y sea puesta a disposición de los internautas determinada
información a él referente, que se encuentra en páginas de tercero y permiten relacionarle con la misma, y a
cumplir con los requerimientos que les dirija la Agencia Española de Protección de Datos (AEPD) en la tutela
de esos derechos.
Al mismo tiempo señala también que, como los datos personales obtenidos por el buscador, que es un
intermediario de la sociedad de información según la Ley 34/2002, de 11 de julio, pueden afectar a la dignidad
de las personas y lesionar derechos de un tercero, el Director de la AEPD como órgano competente para velar
por el cumplimiento de la legislación de datos y controlar su aplicación, puede requerir al responsable del
tratamiento de los datos la adopción de medidas necesarias para la adecuación del tratamiento de los datos
8
JURISPRUDENCIA
a las disposiciones de la Ley Orgánica 15/1999, ejerciendo las facultades que le atribuye su artículo 37, así
como a los efectos establecidos en los artículos 8 y 17 de Ley 34/2002, de 11 de julio .
En la demanda se cuestiona la aplicación de la Ley 34/2002, de 11 de julio, al considerar, en esencia, que el
buscador es un mero intermediario de la sociedad de la información y no es responsable del tratamiento.
La Directiva 95/46/CE que regula la protección de datos de las personas físicas, dictada con anterioridad a la
aparición, o al menos a la utilización generalizada de los motores de búsqueda, no contiene referencia expresa
a los servicios de la sociedad de la información, ni previsión específica respecto a los buscadores.
Posteriormente, se dicta la Directiva 2000/31/CE, del Parlamento Europeo y del Consejo, de 8 de junio de
2000, relativa a determinados aspectos de los servicios de la sociedad de la información y correo electrónico
(Directiva del correo electrónico), que regula la actividad de los servicios de la sociedad de la información y se
remite en materia de protección de datos a la Directiva 95/46.
La Ley 34/2002, de 11 de julio, incorpora al ordenamiento jurídico español la citada Directiva 2000/31/CE,
e incluye (Anexo b) como "servicio de intermediación", entre otros, a los buscadores. Dicha norma en sus
artículos 8 y 17 limita la responsabilidad de los buscadores respecto de la información que dirijan a los
destinatarios de los servicios, pero permite que se les pueda requerir para que retiren los datos que atenten a
determinados principios (entre ellos la dignidad de la persona).
Es decir, un motor de búsqueda es un intermediario de la sociedad de la información que, conforme a
la Sentencia del TJUE de 13 de mayo de 2014 , cuando realiza una actividad consistente en localizar
información publicada o incluida en Internet por terceros relativa a personas físicas, indexarla de manera
automática, almacenarla temporalmente y, por último, ponerla a disposición de los internautas según un orden
de preferencia, efectúa un tratamiento de datos personales sometido a la normativa de protección de datos
(Directiva 95/46/CE), siendo el gestor del motor de búsqueda el responsable de dicho tratamiento.
La normativa comunitaria en materia de protección de datos reconoce a los interesados el derecho de obtener
del responsable del tratamiento la supresión, bloqueo y oposición, establecidos en los artículos 12.b ) y 14.1.a)
de la citada Directiva 95/46/CE y en el mismo sentido se pronuncian los artículos 6.4 y 16 de la LOPD . Por
tanto, de acuerdo con la legislación específica de protección de datos, el responsable del tratamiento (que en la
definición del artículo 3.d) de la LOPD se equipara con el responsable del fichero) debe atender dicho derecho, y
como dicho responsable en supuestos como los que fueron objeto de planteamiento de la cuestión prejudicial
ante el TJUE es el gestor del motor de búsqueda, a él le corresponde, en su caso, adoptar las correspondientes
medidas en aplicación de la LOPD para hacer efectivo el derecho de oposición del afectado.
En definitiva, la aplicación de la normativa específica de protección de datos permite sin necesidad de acudir a
la Ley 34/2002, de 11 de julio, dar respuesta a estos supuestos de tratamiento de datos personales efectuado
por un motor de búsqueda del que es responsable el gestor del citado motor de búsqueda.
QUINTO .-Aplicación territorial de la norma
Otra de las cuestiones que han quedado resueltas en la Sentencia del TJUE de 13 de mayo de 2014 es la
referente a la determinación de la aplicación territorial de la norma, es decir, si la normativa europea y, por
tanto, la española en materia de protección de datos, es aplicable al presente supuesto, y declara al respecto:
" El artículo 4, apartado 1, letra a), de la Directiva 95/46 debe interpretarse en el sentido de que se lleva a cabo
un tratamiento de datos personales en el marco de las actividades de un establecimiento del responsable de
dicho tratamiento en territorio de un Estado miembro, en el sentido de dicha disposición, cuando el gestor de un
motor de búsqueda crea en el Estado miembro una sucursal o una filial destinada a garantizar la promoción y la
venta de espacios publicitarios propuestos por el mencionado motor y cuya actividad se dirige a los habitantes
de este Estado miembro".
El artículo 4.1.letra a) de la Directiva 95/46/CE y, en el mismo sentido los artículos 2.1.a) de la LOPD y 3.1.a)
del Reglamento de Protección de Datos , establece que los Estados miembros aplican sus disposiciones
nacionales « a todo tratamiento de datos personales cuando [...] sea efectuado en el marco de las actividades
de un establecimiento del responsable del tratamiento en el territorio del Estado miembro ». Dicha disposición
continúa así: « cuando el mismo responsable del tratamiento esté establecido en el territorio de varios Estados
miembros deberá adoptar las medidas necesarias para garantizar que cada uno de dichos establecimientos
cumple las obligaciones previstas por el Derecho nacional aplicable ». En la misma línea se pronuncia el
proyecto de reforma del Reglamento Europeo de Protección de Datos, aprobado el 12 de marzo de 2014
por el Parlamento Europeo, pendiente de aprobación definitiva del Consejo, que en su artículo 3.1 dispone:
"El presente Reglamento se aplica al tratamiento de datos personales en el contexto de las actividades de un
establecimiento del responsable o del encargado del tratamiento en la Unión, independientemente de que el
tratamiento tenga lugar en la UE o no" .
9
JURISPRUDENCIA
Ya hemos dicho que la Sentencia de 13 de mayo de 2014 del TJUE declara la aplicación al caso que nos
ocupa de la Directiva 45/96/CE al considerar " que el tratamiento de datos personales realizado en orden
al funcionamiento de un motor de búsqueda como Google Search, gestionado por una empresa que tiene su
domicilio social en un Estado tercero pero que dispone de un establecimiento en un Estado miembro, se efectúa
«en el marco de las actividades» de dicho establecimiento si éste está destinado a la promoción y venta en dicho
Estado miembro de los espacios publicitarios del motor de búsqueda, que sirven para rentabilizar el servicio
propuesto por el motor" (apartado 55) .
Para llegar a dicha conclusión parte la Sentencia de "que Google Spain se dedica al ejercicio efectivo y real
de una actividad mediante una instalación estable en España. Además, al estar dotada de personalidad jurídica
propia, es de este modo una filial de Google Inc. en territorio español, y, por lo tanto, un «establecimiento», en el
sentido del artículo 4, apartado 1, letra a), de la Directiva 95/46 " (apartado 49).
Se añade más adelante, que "e n efecto, en tales circunstancias, las actividades del gestor del motor de búsqueda
y las de su establecimiento situado en el Estado miembro de que se trate están indisociablemente ligadas, dado
que las actividades relativas a los espacios publicitarios constituyen el medio para que el motor de búsqueda en
cuestión sea económicamente rentable y dado que este motor es, al mismo tiempo, el medio que permite realizar
las mencionadas actividades (apartado 56). Y que "s obre este particular, es necesario recordar que, como se ha
precisado en los apartados 26 a 28 de la presente sentencia, la propia presentación de datos personales en una
página de resultados de una búsqueda constituye un tratamiento de tales datos. Pues bien, toda vez que dicha
presentación de resultados está acompañada, en la misma página, de la presentación de publicidad vinculada a
los términos de búsqueda, es obligado declarar que el tratamiento de datos personales controvertido se lleva a
cabo en el marco de la actividad publicitaria y comercial del establecimiento del responsable del tratamiento en
territorio de un Estado miembro, en el caso de autos el territorio español (apartado 57).
Es decir, la normativa europea en materia de protección de datos y, por ende, la legislación del país de la Unión
Europea donde se encuentre el establecimiento, en este caso España, es de aplicación cuando "el gestor de un
motor de búsqueda crea en el Estado miembro una sucursal o una filial destinada a garantizar la promoción y la
venta de espacios publicitarios propuestos por el mencionado motor y cuya actividad se dirige a los habitantes
de este Estado miembro" (apartado 60).
Por tanto, la tan repetida Sentencia del TJUE declara que Google Spain,S.L. constituye un establecimiento de
los referidos en el artículo 4.1.a) de la Directiva 95/46/CE , por constituir una instalación estable en España
dotada de personalidad jurídica propia y tratarse de una filial de Google Inc. en territorio español, y realizarse el
tratamiento de datos en el marco de las actividades de Google Spain, S.L., que está destinado a la promoción
y venta en España de los espacios publicitarios del motor de búsqueda, que sirven para rentabilizar el servicio
propuesto por el motor.
SEXTO.- Falta de motivación
Establecido lo anterior y por lo que respecta a la falta de motivación atribuida por la parte demandante a la
resolución recurrida, ha de señalarse que esta resolución se sustenta, al margen de los argumentos expuestos
en el fundamento de derecho primero, en que, al resultar los datos incluidos en el blog inadecuados y excesivos,
tanto por remontarse a 2007 como por no quedar probada su relevancia pública y veracidad, así como por
resultar excesiva su divulgación indiscriminada en Internet, procedía la exclusión de los datos personales del
reclamante contenidos en el blog y evitar su captación por el buscador de Google.
Ciertamente, la resolución recurrida no contiene una ponderación de derechos e intereses en conflicto con el
alcance predicado por la STJUE de 13 de mayo de 2014 , pero ello no significa que la resolución adolezca del
defecto de falta de motivación. La resolución expone con suficiente claridad y precisión las razones en que
sustenta su pronunciamiento, tal y como se ha expuesto anteriormente y en el fundamento de derecho primero
de esta sentencia, a cuyo contenido nos remitimos ahora, otorgando una suerte de prevalencia absoluta al
derecho del reclamante a la protección de sus datos personales sobre el derecho o interés legítimo del gestor
del motor de búsqueda en el tratamiento de tales datos.
En fin, la discrepancia que manifiesta la demandante con los razonamientos que sustentan la resolución
recurrida y el hecho de que la AEPD no llevara a cabo la ponderación de intereses en los términos que se
propugna por el TJUE, que, dicho sea de paso, tampoco postulaba la parte demandante ni en el procedimiento
de tutela de derechos ni en su escrito de demanda, no supone que tal resolución carezca de motivación o
represente un ejercicio arbitrario de potestades administrativas.
Por último, no está de más advertir que la ausencia de motivación que reprocha la demandante a la resolución
recurrida constituye un motivo de impugnación que expone ex novo en su escrito de conclusiones presentado
tras la STJUE, y al que ninguna mención hizo en el escrito de demanda. Circunstancia esta que conllevaría su
10