El Tribunal Supremo marca un antes y un después en las reclamaciones sobre derecho al olvido. La Sala de lo Contencioso-Administrativo ha dado la razón a Google Spain al declarar que no es responsable del tratamiento de datos personales y no debe hacerse cargo de las reclamaciones interpuestas por los usuarios que hayan solicitado el derecho al olvido.
Según sostiene el Alto Tribunal, sólo la sede central en Estados Unidos, Google Inc., es responsable del tratamiento “pues es a ella a la que le corresponde en exclusiva la determinación de los fines, condiciones y medios de tratamiento de datos".
El director de la Agencia Española de Protección de Datos (AEPD), resolviendo diversos procedimientos de tutela de derechos (derecho al olvido), estimó las reclamaciones formuladas por los interesados, declarando, en las correspondientes resoluciones, que la actuación de Google Spain SL, no resulta conforme con la normativa aplicable y debió proceder a la exclusión de las informaciones relativas a los reclamantes e impedir su captación por el motor de búsqueda Google.
Google Spain SL recurrió dichas resoluciones ante la Sala de lo Contencioso Administrativo de la Audiencia Nacional, alegando, entre otros motivos de impugnación, que no desarrolla ninguna actividad de tratamiento de datos y no interviene de ningún modo en la actividad del buscador de Google, limitándose a la actividad de promoción de la contratación de servicios, esencialmente publicitarios, por lo que no se le puede considerar responsable del tratamiento de los datos del interesado ni imponer las obligaciones propias del mismo.
La Sala de lo Contencioso-Administrativo de la Audiencia Nacional, teniendo en cuenta las declaraciones contenidas en la sentencia del Tribunal de Justicia de la Unión Europea de 13 de mayo de 2014 (dictada en cuestión prejudicial planteada por la propia Sala), rechazó tal motivo de impugnación, considerando que la responsabilidad de Google Spain SL en el tratamiento de datos personales llevado a cabo en el marco del servicio de búsqueda en Internet ofrecido por Google Inc. –gestor del motor de búsqueda- deriva de la unidad de negocio que conforman ambas sociedades en la que la actividad desempeñada por Google Spain SL resulta indispensable para el funcionamiento del motor de búsqueda, pues de aquella depende su rentabilidad.
Añadía la Sala de la Audiencia Nacional, como argumento para rechazar la impugnación, la invocación de la doctrina de los actos propios, en razón de la actuación llevada a cabo por Google Spain SL en diversos procedimientos ante la AEPD y procesos ante los tribunales.
Las sentencias que ahora se dictan por el Tribunal Supremo, estimando los correspondientes recursos de casación interpuestos por Google Spain SL declaran la nulidad de las resoluciones dictadas por el director de la AEPD, argumentando al respecto, con apoyo en la Directiva 95/46/CE (LA LEY 5793/1995), la Ley Orgánica 15/1999 (LA LEY 4633/1999), de Protección de Datos de carácter personal, y la sentencia del Tribunal de Justicia de la Unión Europea, de 13 de mayo de 2014, lo siguiente:
- Que corresponde al responsable del tratamiento de los datos personales “garantizar que el tratamiento se ajusta a los principios y condiciones de la normativa reguladora y asumir las correspondientes obligaciones al respecto frente al interesado”.
- Que la caracterización como responsable del tratamiento de datos, frente a la intervención de otros agentes, viene delimitada por la efectiva participación en la determinación de los fines y medios del tratamiento.
- Que en este caso el tratamiento de datos consiste en hallar información publicada o puesta en Internet por terceros, indexarla de manera automática, almacenarla temporalmente y ponerla a disposición de los internautas.
- Que es el gestor del motor de búsqueda –en este caso Google Inc.- quien determina los fines y los medios de esta actividad y, por lo tanto, el responsable del tratamiento.
- Que si bien se contempla la corresponsabilidad en el tratamiento de datos, ello supone la coparticipación en la determinación de los fines y medios del tratamiento, que es lo que caracteriza la condición de responsable, no cualquier otra colaboración de distinta naturaleza, como es el caso aquí examinado de promoción de productos o servicios publicitarios por Google Spain SL, que no realiza actividad alguna de las características del responsable del tratamiento.
- Que cuando el TJUE se refiere a la realización de la actividad del gestor de búsqueda, Google Inc., en el marco de las actividades de un establecimiento en un Estado miembro, Google Spain SL, lo hace a los efectos de atraer la aplicación de la normativa europea y, por derivación, la española de protección de datos, al tratamiento gestionado por una entidad como Google Inc., no obstante tratarse de una empresa domiciliada fuera de la UE. En todo caso precisa que no se exige que el tratamiento de datos sea efectuado “por” el propio establecimiento en cuestión, es decir, no se trata de que el establecimiento, Google Spain SL, participe en el tratamiento de datos controvertido.
- Que no es aplicable al caso la doctrina de los actos propios.
- Que sólo Google Inc. es responsable del tratamiento en cuanto le corresponde en exclusiva la determinación de los fines, las condiciones y los medios del tratamiento de datos en cuestión.
En consecuencia, las sentencias detectan la nulidad de las resoluciones de la Agencia Española de Protección de Datos, en cuanto se dictan en un procedimiento dirigido contra la entidad Google Spain SL, que no es responsable del tratamiento de datos ni, por lo tanto, está sujeta al cumplimiento de las obligaciones declaradas en tales resoluciones, que la normativa impone al responsable del tratamiento, frente a los interesados.