1/11 Procedimiento nº.: TD/01997/2014 ASUNTO: Recurso de Reposición Nº RR/00509/2015 Examinado el Recurso de Reposición interpuesto por la entidad YAHOO EMEA LIMITED contra la Resolución dictada por el Director de la Agencia Española de Protección de Datos, en el expediente TD/01997/2014, y en base a los siguientes, HECHOS PRIMERO: Con fecha 21 de mayo de 2015, se dictó resolución por el Director de la Agencia Española de Protección de Datos, en el expediente TD/01997/2014, en la que se acordó estimar la reclamación de Tutela de Derechos formulada por Dña. A.A.A. contra la entidad YAHOO EMEA Ltd. (YAHOO IBERIA S.L.). SEGUNDO: En el procedimiento que dio lugar a la Resolución impugnada se tuvieron por probados los siguientes hechos: PRIMERO: En fecha 30 de octubre de 2014, Dña. A.A.A. (en lo sucesivo, la reclamante) ejercitó el derecho de cancelación de sus datos personales ante las entidades GOOGLE INC. (GOOGLE SPAIN) y YAHOO EMEA Ltd. (YAHOO IBERIA S.L.). En concreto, solicitó la cancelación de sus datos personales de la siguiente URL, a la que se accede al introducir su nombre y apellidos en los buscadores Google y Yahoo: ***WEB.1 En dicho enlace aparecen los datos de la reclamante publicados en una página web “***WEB.2”, que recoge un extracto de un BOE del año AA, en el que se publica ............. La reclamante solicita la eliminación de sus datos personales por ser una información del BOE que es lesiva para su situación actual. SEGUNDO: GOOGLE contestó a la solicitud de la reclamante, informándole de que su solicitud no había sido dirigida a la entidad adecuada. Que tanto el motor de búsqueda de Google, como los restantes servicios de Google los presta Google Inc. desde Estados Unidos, Google Inc. es una compañía estadounidense. Que dado que Google Spain, S.L. no es la entidad adecuada para realizar este tipo de solicitudes, le ruegan que para cualquier consulta de carácter legal contacte directamente con Google Inc. Que si su solicitud se refiere a la eliminación de resultados de búsqueda de Google en base a la normativa europea de protección de datos, puede ponerse en contacto directamente con Google Inc. rellenando el siguiente formulario en el caso de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 que desee eliminar resultados de búsqueda de Google: ***WEB.3. TERCERO: Con fecha 3 de noviembre de 2014, YAHOO contestó a la reclamante, denegando su solicitud, informándole de que Yahoo Iberia, S.L. no es el responsable de la prestación del Servicio de Búsqueda, que es prestado por la entidad YAHOO EMEA Limited. Y que dirija su solicitud a YAHOO EMEA Ltd., haciendo uso del formulario online accesible en la URL: https://es.ayuda.yahoo.com/... CUARTO: En fecha 25 de noviembre de 2014, Dña. A.A.A. formuló reclamación de Tutela de Derechos, ante esta Agencia, contra el BOLETÍN OFICIAL DEL ESTADO, GOOGLE INC. (GOOGLE SPAIN) y YAHOO EMEA Ltd. (YAHOO IBERIA S.L.), por no haber sido debidamente atendido su derecho de cancelación. QUINTO: Con fecha 13 de enero de 2015, se remitió a la reclamante comunicación de la apertura del procedimiento de Tutela de Derechos, en la que se le solicitaba subsanación, de conformidad con el artículo 71 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, para que aportara acreditación de la recepción del escrito de solicitud del derecho ante el BOE e impresión de la pantalla a la que se accede a través del enlace citado, resaltando los datos de la afectada y la información que le afecta. SEXTO: En fecha 19 de enero de 2015, la reclamante remitió escrito a esta Agencia, aportando únicamente la impresión de la pantalla a la que se accede a través del enlace del que solicita la cancelación de sus datos personales. Cabe señalar, que de acuerdo con el artículo 42.5 de la Ley 30/1992, de 26 de noviembre, antes citada, el transcurso del plazo máximo legal para resolver el procedimiento de Tutela de Derechos y notificar la resolución (seis meses) se verá suspendido por el tiempo que medie entre la notificación del requerimiento y su efectivo cumplimiento por el destinatario. En el presente caso, el cumplimiento de la subsanación se efectuó el 19 de enero de 2015, por lo que a partir de esa fecha volverá a comenzar el cómputo del plazo para la resolución del citado procedimiento. SÉPTIMO: Trasladadas sucesivamente la reclamación y los escritos de descargos que se produjeron en la tramitación de este expediente, y por lo que a efectos de la resolución de la presente reclamación interesa, se realizaron, en síntesis, las siguientes alegaciones: GOOGLE pone de manifiesto, sobre los motivos por los que la reclamación debe ser desestimada, que ha examinado de nuevo la solicitud de la interesada y considera que en su reclamación no concreta suficientemente los resultados de búsqueda que le interesaría bloquear y que la reclamación debe ser desestimada. YAHOO alega que, según han sido informados desde YAHOO EMEA Ltd., se ha solicitado a la reclamante la necesidad de completar su solicitud, a los efectos de que la misma pueda ser debidamente gestionada. Que en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 solicitud de la reclamante no figuran, entre otros elementos:
- i)los términos de búsqueda introducidos por la reclamante en el Servicio de Búsqueda de Yahoo;
- ii)la URL o URL’s cuyo bloqueo solicita; iii) ni tampoco el motivo por el que considera que la información publicada es lesiva para su situación actual. Y que YAHOO EMEA Ltd. opera bajo la legislación de Irlanda, país en el que está constituida, razón por la cual se solicita a esta Agencia que canalice a través de la autoridad de Protección de Datos de Irlanda, cualquier solicitud o consulta que pudieran tener al respecto. La reclamante no ha presentado alegaciones en el trámite de audiencia. TERCERO: La Resolución ahora recurrida fue notificada fehacientemente a la entidad YAHOO EMEA Ltd. (YAHOO IBERIA S.L.) el 28 de mayo de 2015, según consta en el acuse de recibo emitido por el Servicio de Correos. Por parte de YAHOO EMEA LIMITED se ha presentado Recurso de Reposición en fecha 15 de junio de 2015, con entrada en esta Agencia el 19 de junio de 2015, en el que señala que: “We refer to your resolution ***RES.1 addressed to Yahoo Iberia SL in which you instructed Yahoo! Iberia SL to adopt any necessary measure to ensure that the name of the complainant (A.A.A.) is not linked, within search results, to the following URL: ***WEB.1 (the “URL”). As of today’s date, the URL does not appear in Yahoo’s search index and so is not returned in response to searches conducted on Yahoo search. Please note that Yahoo Iberia SL does not operate the Yahoo! search engine. Yahoo! EMEA Limited is the data controller for Yahoo’s activities in the EU, and is an Irish registered and established entity. Yahoo! EMEA Limited operates within and is subject to Irish data protection law.” FUNDAMENTOS DE DERECHO PRIMERO: Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). SEGUNDO: En la Resolución ahora impugnada ya se advertía suficientemente sobre el alcance de las normas contenidas en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), y en el Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre. En base a estas normas y en consideración a los hechos tenidos por probados, se determinó que: “DUODÉCIMO: Finalmente debe analizarse la procedencia o no de atender, en el presente caso, la solicitud de que tras una búsqueda efectuada, su nombre no se vincule a determinado resultado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 En el supuesto aquí analizado, la reclamante ejercitó el derecho ante GOOGLE INC. (GOOGLE SPAIN S.L.) y YAHOO EMEA Ltd. (YAHOO IBERIA S.L.) en relación a la siguiente URL: ***WEB.1 En dicho enlace aparecen los datos de la reclamante publicados en una página web “***WEB.2”, que recoge un extracto de un BOE del año AA, en el que se publica ............. La reclamante solicita la eliminación de sus datos personales por ser una información del BOE que es lesiva para su situación actual. La lista de resultados obtenida en una búsqueda a partir de un nombre, página web o información relativa a una persona, facilita la accesibilidad y difusión de la información a cualquier internauta que realice una búsqueda sobre el interesado, constituyendo una injerencia en el derecho fundamental al respeto de la vida privada del interesado. De conformidad con la Sentencia del Tribunal de Justicia de la Unión Europea en su apartado 99: “Los artículos 12, letra b), y 14, párrafo primero, letra a), de la Directiva 95/46 deben interpretarse en el sentido de que, al analizar los requisitos de aplicación de estas disposiciones, se tendrá que examinar, en particular, si el interesado tiene derecho a que la información en cuestión relativa a su persona ya no esté, en la situación actual, vinculada a su nombre por una lista de resultados obtenida tras una búsqueda efectuada a partir de su nombre, sin que la apreciación de la existencia de tal derecho presuponga que la inclusión de la información en cuestión en la lista de resultados cause un perjuicio al interesado. Puesto que éste puede, habida cuenta de los derechos que le reconocen los artículos 7 y 8 de la Carta, solicitar que la información de que se trate ya no se ponga a disposición del público en general mediante su inclusión en tal lista de resultados, estos derechos prevalecen, en principio, no sólo sobre el interés económico del gestor del motor de búsqueda, sino también sobre el interés de dicho público en acceder a la mencionada información en una búsqueda que verse sobre el nombre de esa persona. Sin embargo, tal no sería el caso si resultara, por razones concretas, como el papel desempeñado por el interesado en la vida pública, que la injerencia en sus derechos fundamentales está justificada por el interés preponderante de dicho público en tener, a raíz de esta inclusión, acceso a la información de que se trate.” La citada Sentencia también establece en su apartado 93 lo siguiente: “incluso un tratamiento inicialmente lícito de datos exactos puede devenir, con el tiempo, incompatible con dicha Directiva cuando estos datos ya no sean necesarios en relación con los fines para los que se recogieron o trataron. Este es el caso, en particular, cuando son inadecuados, no pertinentes o ya no pertinentes o son excesivos en relación con estos fines y el tiempo transcurrido.” Así, a pesar de que el tratamiento de los datos de la interesada en la citada URL fuera inicialmente lícito, procede la exclusión de los datos personales de la reclamante, al tratarse de una información obsoleta, por haberse cumplido ya los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 requisitos formales y temporales expresados en el ....................., y porque tampoco concurre “interés preponderante del público en tener acceso a esta información” a través de una búsqueda en Internet “que verse sobre el nombre de esa persona”. A la vista de lo expuesto, procede estimar la presente reclamación de Tutela de Derechos respecto a la referida URL, para las entidades GOOGLE INC. (GOOGLE SPAIN) y YAHOO EMEA Ltd. (YAHOO IBERIA S.L.). Y procede inadmitir la reclamación respecto al BOLETÍN OFICIAL DEL ESTADO, por lo indicado en el Fundamento Noveno.” TERCERO: YAHOO EMEA LIMITED argumenta el presente Recurso de Reposición en que YAHOO IBERIA SL no es la responsable de la prestación del servicio de búsqueda. Que YAHOO EMEA LIMITED es la responsable del tratamiento de los datos para las actividades de Yahoo en la Unión Europea, y es una entidad constituida en Irlanda, que está sujeta a la Ley de Protección de Datos irlandesa. Los buscadores de internet facilitan la accesibilidad y difusión de datos personales a cualquier internauta que realice una búsqueda basada en el nombre de una persona, constituyendo una injerencia en el derecho fundamental al respeto de la vida privada del afectado, al respecto del cual se pronunció el Tribunal de Justicia de la Unión Europea (TJUE) en Sentencia de 13 de mayo de 2014. El Tribunal Supremo, en Sentencia de la Sala de lo Contencioso-Administrativo de 13 de junio de 2016 (recurso de casación 810/2015), se ha pronunciado sobre la Sentencia del TJUE, confirmando el criterio expuesto en anteriores Sentencias y poniéndolo en relación con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, relativo a la protección de las personas físicas en lo relativo al tratamiento de datos personales y a la libre circulación de estos datos que, si bien no será directamente aplicable hasta el 24 de mayo de 2018, ya está en vigor. En la citada STS se expone: << […] no podemos desconocer el hecho de que con posterioridad a las referidas sentencias de esta Sala de 11, 14 y 15 de marzo de 2016, se ha dictado por la Sala Primera de este Tribunal Supremo sentencia de 5 de abril de 2016, en el recurso 3269/2014, sobre tutela del derecho al honor, a la intimidad, a la propia imagen y a la protección de datos de carácter personal, que se refiere a la responsabilidad de Google Spain S.L., en el tratamiento de tales datos y la incidencia que para el ejercicio por el interesado del derecho a la tutela judicial efectiva puede tener la consideración como responsable de Google Inc., con domicilio en otro país. En la propia sentencia, que en lo sustancial no incorpora motivación distinta a la que ya valoró esta Sala al resolver los recursos de casación interpuestos contra las sentencias de la Audiencia Nacional, se hace referencia, en apoyo de su distinto criterio, a la falta de efecto prejudicial de las sentencias dictadas por ambas salas y recuerda la existencia de “distintos criterios rectores en las distintas jurisdicciones, por la diversidad de las normativas que con carácter principal se aplican en unas y otras”. Efectivamente, en el ámbito de esta jurisdicción contencioso administrativa, la tutela de los derechos de oposición, acceso, rectificación y cancelación reconocidos al titular de los datos personales objeto de tratamiento, se recaba mediante la impugnación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 de la correspondiente resolución de la Agencia Española de Protección de Datos, resolución que se produce, como se ha indicado anteriormente, a través de un procedimiento que comienza con la reclamación o comunicación dirigida al responsable del tratamiento, ejercitando el correspondiente derecho (art. 25 R.D. 1720/2007), frente a cuya respuesta el interesado puede formular reclamación ante la referida Agencia Española de Protección de Datos (art. 117 R.D. 1720/2007), que deberá dictar resolución en el plazo de seis meses, contra la cual puede interponerse el recurso contencioso administrativo (art. 18 LOPD 15/1999). En este ámbito jurisdiccional, como se desprende de lo expuesto en los anteriores fundamentos de derecho, la identificación de Google Inc. como responsable del tratamiento al que debe dirigirse el titular de los datos personales en ejercicio de su derecho, se justifica ampliamente en esta sentencia y las citadas de referencia, como resultado de:
- i)la clara definición legal de la condición de responsable establecida tanto en la Directiva 95/46/CE (art. 2.
- d)como en la Ley Orgánica 15/1999, de Protección de Datos (art. 3.d);
- ii)la interpretación que al respecto sostiene el TJUE en la citada sentencia de 13 de mayo de 2014, que al resolver las cuestiones prejudiciales planteadas por la Sala de la Audiencia Nacional, declara expresamente en su parte dispositiva 1), en relación con el tratamiento de datos consistente en “hallar información publicada o puesta en Internet por terceros, indexarla de manera automática, almacenarla temporalmente y, por último, ponerla a disposición de los internautas”, que “el gestor de un motor de búsqueda debe considerarse responsable de dicho tratamiento, en el sentido del mencionado artículo 2, letra d)” gestor que en este caso nadie cuestiona que es Google Inc. y no Google Spain S.L.; iii) la percepción de que dicha interpretación del alcance de tales preceptos y los pronunciamientos efectuados en la sentencia del TJUE no responde a un planteamiento subjetivo sino que, objetivamente, puede sostenerse por los distintos tribunales que han de aplicar las normas comunitarias, como se refleja en las resoluciones adoptadas por ocho órganos jurisdiccionales europeos que se incorporan por la parte recurrente y que se han reflejado antes;
- iv)la naturaleza de la obligación cuyo cumplimiento se exige por el interesado, obligación de hacer o no hacer impuesta por la ley en virtud de la efectiva participación del responsable en el tratamiento de datos objeto de impugnación, participación que delimita el alcance de su responsabilidad y la exigencia de la correspondiente reparación, adoptando las medidas precisas al efecto;
- v)la asunción como propia de tal condición por parte de la entidad Google Inc., que a raíz de la sentencia del TJUE ha adoptado medidas tendentes a facilitar el ejercicio del denominado “derecho al olvido”. […] el criterio mantenido por la Sala en esas sentencias, como hemos señalado antes, se ha visto confirmado por el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, relativo a la protección de las personas físicas en lo relativo al tratamiento de datos personales y a la libre circulación de estos datos, recientemente aprobado y publicado en el Diario Oficial de la Unión Europea de 4 de mayo de 2016, que deroga la Directiva 95/46/CE, el cual, entre otras previsiones a las que ya nos hemos referido y despejando posibles dudas, regula en su art. 26 la corresponsabilidad en el tratamiento de datos, considerando corresponsables a quienes determinen conjuntamente los objetivos y los medios del tratamiento, exigiendo, además, que los corresponsables determinen de modo transparente y de mutuo acuerdo sus responsabilidades respectivas en el cumplimiento de las obligaciones impuestas por el Reglamento, en particular en cuanto al ejercicio de los derechos del interesado, previsión que, como ya se recoge en nuestras sentencias, impide considerar corresponsable a una entidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 como Google Spain, S.L., que ninguna participación tiene en la gestión del motor de búsqueda y la determinación de los fines y medios del tratamiento, circunstancia que en ningún momento se cuestiona. Por otra parte, en este ámbito jurisdiccional, la identificación de Google Inc., con domicilio legal en California, como responsable del tratamiento al que debe dirigirse el interesado en el ejercicio de sus derechos, no supone para este dificultad o carga añadida significativa para la obtención de una eficaz tutela judicial, en ninguna de las fases del procedimiento que se establece al efecto, al que hemos hecho referencia antes. Así, en la primera fase, según dispone el art. 24 del Real Decreto 1720/2007, de 21 de diciembre, que aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, el ejercicio de los derechos de acceso, rectificación, cancelación y oposición, frente al responsable del tratamiento, ha de responder a un medio sencillo y gratuito, sin que en ningún caso pueda suponer para el responsable un ingreso adicional, pudiéndose ejercitar tales derechos a través de los servicios de cualquier índole para la atención al público o el ejercicio de reclamaciones relacionadas con el servicio prestado de que disponga el responsable del tratamiento, imponiendo a dicho responsable la obligación de atender la solicitud del interesado aun cuando no hubiera utilizado el procedimiento establecido específicamente al efecto por aquel, siempre que el interesado haya utilizado un medio que permita acreditar el envío y la recepción de la solicitud. La reclamación, por lo tanto, se formula electrónicamente de manera sencilla, gratuita y directa por el interesado, siendo válida en cualquier forma que permita justificar que se ha enviado y recibido por el responsable. Ello se facilita todavía más cuando, como sucede en este caso, el responsable Google Inc., según dice, implementando la tantas veces citada sentencia del TJUE sobre el derecho al olvido, ofrece a los interesados información completa sobre el ejercicio de su derecho, facilita los correspondientes formularios y proporciona instrucciones precisas para cumplimentarlos, habiendo establecido un Consejo Asesor, compuesto por cualificados miembros de distintos países, para evaluar las solicitudes y remitiendo al interesado, caso de desacuerdo con la decisión adoptada, a su impugnación ante la autoridad de protección de datos local, en congruencia con lo dispuesto en el art. 35 del citado Real Decreto 1720/2007, que establece genéricamente el plazo de diez días para resolver por el responsable, transcurrido el cual sin resolución, el interesado podrá interponer la reclamación prevista en el art. 18 de la LO 15/1999 ante la Agencia de Protección de Datos. Tampoco en esta segunda fase, ante la Autoridad de control, se aprecia dificultad o carga significativa para el ejercicio de su derecho por el interesado, por el hecho de que el responsable del tratamiento sea una entidad como Google Inc. domiciliada en otro país, pues, como dispone el art. 117 del Reglamento aprobado por Real Decreto 1720/2007, basta para la iniciación del procedimiento la presentación de la correspondiente reclamación ante la Agencia Española de Protección de Datos, sin que las comunicaciones con el responsable del tratamiento en el ámbito del procedimiento abierto presenten mayores exigencias que las llevadas a cabo directamente por el interesado, máxime teniendo en cuenta la implicación de los intervinientes en el desarrollo de la llamada sociedad de la información y la constante evolución normativa hacia la tramitación de los procedimientos a través de medios electrónicos, como refleja C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 el art. 71 de la nueva Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común; que esto es así resulta de los numerosos procedimientos ante la Agencia de Protección de Datos tramitados con la intervención de Google Inc., sin ir más lejos el procedimiento que dio lugar al recurso contencioso administrativo en el que se plantearon por la Sala de la Audiencia Nacional las cuestiones prejudiciales resueltas por el TJUE en la referida sentencia de 13 de mayo de 2014. Lo mismo puede decirse de la vía jurisdiccional, que se desarrolla de acuerdo con las previsiones de la Ley reguladora de esta Jurisdicción Contencioso-Administrativa y que, como en todos los casos, el interesado puede instar y abrir mediante un simple escrito de impugnación de la resolución adoptada por la Agencia de Protección de Datos, a partir del cual el proceso contencioso-administrativo se impulsa de oficio hasta su terminación en cualquiera de las formas establecidas en la propia Ley procesal. Por lo demás, la exigencia del cumplimiento de la obligación a Google Inc. como responsable del tratamiento - además de venir impuesta por la ley aplicable (art. 12.
- b)de la Directiva 95/46/CE) y por la naturaleza de la obligación, como se refleja en los arts. 705 y siguientes de la Ley de Enjuiciamiento Civil al regular la ejecución de este tipo de obligaciones favorece que la tutela judicial obtenida por el interesado resulte eficaz y se plasme en la correspondiente actividad o realización práctica, pues, cuando se trata de la exigencia de obligaciones de hacer o no hacer, su efectividad viene determinada por la actitud o respuesta del propio responsable, más aún cuando, como sucede en este caso, el cumplimiento de la obligación exige la utilización de unos medios sobre los que solo tiene capacidad de disposición el responsable, como gestor del motor de búsqueda. >> En consecuencia, de conformidad con lo expuesto y por analogía, ha de considerarse que el formulario online habilitado por Yahoo Emea Ltd., disponible en ***WEB.4, para el ejercicio del derecho al olvido es el medio alternativo válido para que los afectados soliciten la cancelación de sus datos. En la Sentencia del Tribunal de Justicia de la Unión Europea (Sala Tercera) de 1 de octubre de 2015 en el asunto C-230/14, se establece: <<1. El artículo 4, apartado 1, letra a), de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, debe interpretarse en el sentido de que permite aplicar la legislación relativa a la protección de los datos personales de un Estado miembro distinto de aquel en el que está registrado el responsable del tratamiento de esos datos, siempre que éste ejerza, mediante una instalación estable en el territorio de dicho Estado miembro, una actividad efectiva y real, aun mínima, en cuyo marco se realice el referido tratamiento. Para determinar si así ocurre, en circunstancias como las controvertidas en el litigio principal, el órgano jurisdiccional remitente puede tener en cuenta, por un lado, que la actividad del responsable de dicho tratamiento, en cuyo marco éste tiene lugar, consiste en la gestión de sitios de Internet de anuncios de inmuebles situados en el territorio de dicho Estado miembro y redactados en la lengua de ese Estado y que, en consecuencia, se dirige principalmente, incluso íntegramente, a dicho Estado miembro y, por otro lado, que ese responsable dispone de un representante en el referido Estado miembro que se encarga de cobrar los créditos resultantes de dicha actividad y de representarlo en los procedimientos administrativo y judicial relativos al tratamiento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 los datos en cuestión. En cambio, es irrelevante el tema de la nacionalidad de las personas afectadas por dicho tratamiento de datos. 2) En el supuesto de que la autoridad de control de un Estado miembro que entiende de unas denuncias, de conformidad con el artículo 28, apartado 4, de la Directiva 95/46, llegue a la conclusión de que el Derecho aplicable al tratamiento de los datos personales de que se trata no es el Derecho de ese Estado miembro, sino el de otro Estado miembro, el artículo 28, apartados 1, 3 y 6, de esa misma Directiva debe interpretarse en el sentido de que dicha autoridad de control sólo podría ejercer en el territorio de su propio Estado miembro las facultades efectivas de intervención que se le han conferido conforme al artículo 28, apartado 3, de la citada Directiva. Por lo tanto, no puede imponer sanciones basándose en el Derecho de ese Estado miembro al responsable del tratamiento de tales datos que no está establecido en dicho territorio, sino que, con arreglo al artículo 28, apartado 6, de la misma Directiva, debe instar la intervención de la autoridad de control dependiente del Estado miembro cuyo Derecho es aplicable…>> Asimismo, la Sentencia dictada por el Tribunal de Justicia de la Unión Europea en el asunto C-191/15 (Verein für Konsummenteninformation y AMAZON EU, SARL) señala lo siguiente: <<72 Mediante su cuarta cuestión, letra b), el órgano jurisdiccional remitente pregunta, en esencia, si el artículo 4, apartado 1, letra a), de la Directiva 95/46 debe interpretarse en el sentido de que un tratamiento de datos personales efectuado por una empresa de comercio electrónico se rige por el Derecho del Estado miembro al que esa empresa dirige sus actividades. 73 A tenor del artículo 4, apartado 1, letra a), de la Directiva 95/46, los Estados miembros aplicarán las disposiciones nacionales que hayan aprobado para la aplicación de esta Directiva a todo tratamiento de datos personales cuando el tratamiento se efectúe en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro. 74 De lo anterior se desprende que un tratamiento de datos efectuado en el marco de las actividades de un establecimiento se rige por el Derecho del Estado miembro en cuyo territorio esté situado dicho establecimiento. 75 Por lo que se refiere, en primer lugar, al concepto de «establecimiento» en el sentido del artículo 4, apartado 1, letra a), de la Directiva 95/46, el Tribunal de Justicia ha precisado que se extiende a cualquier actividad real y efectiva, aun mínima, ejercida mediante una instalación estable (sentencia de 1 de octubre de 2015, Weltimmo, C-230/14, EU:C:2015:639, apartado 31). 76 A este respecto, como ha señalado el Abogado General en el punto 119 de sus conclusiones, si bien el hecho de que la empresa responsable del tratamiento de datos no posea una filial ni una sucursal en un Estado miembro no excluye que pueda tener en su territorio un establecimiento en el sentido del artículo 4, apartado 1, letra a), de la Directiva 95/46, ese establecimiento no puede existir por el mero hecho de que allí se pueda acceder al sitio de Internet de la empresa en cuestión. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 77 Como ya ha declarado el Tribunal de Justicia, más bien deben evaluarse tanto el grado de estabilidad de la instalación como la efectividad del desarrollo de las actividades en el Estado miembro de que se trate (véase, en este sentido, la sentencia de 1 de octubre de 2015, Weltimmo, C-230/14, EU:C:2015:639, apartado 29). 78 Por lo que se refiere, en segundo lugar, a la cuestión de si el tratamiento de los datos personales objeto de litigio se efectúa «en el marco de las actividades» de ese establecimiento, en el sentido del artículo 4, apartado 1, letra a), de la Directiva 95/46, el Tribunal de Justicia ya ha recordado que esta disposición no exige que el tratamiento de los datos personales controvertidos sea efectuado «por» el propio establecimiento en cuestión, sino únicamente «en el marco de las actividades» de éste (sentencia de 1 de octubre de 2015, Weltimmo, C-230/14, EU:C:2015:639, apartado 35). 79 Corresponde al órgano jurisdiccional remitente determinar, a la luz de esta jurisprudencia y teniendo en cuenta todas las circunstancias pertinentes del litigio principal, si Amazon EU efectúa el tratamiento de los datos en cuestión en el marco de las actividades de un establecimiento situado en un Estado miembro distinto de Luxemburgo. 80 Como ha señalado el Abogado General en el punto 128 de sus conclusiones, si el órgano jurisdiccional remitente demostrara que el establecimiento en el que Amazon EU efectúa el tratamiento de esos datos está situado en Alemania, el Derecho alemán debería regir ese tratamiento. 81 Habida cuenta de las consideraciones anteriores, procede responder a la cuarta cuestión, letra b), que el artículo 4, apartado 1, letra a), de la Directiva 95/46 debe interpretarse en el sentido que el tratamiento de datos personales efectuado por una empresa de comercio electrónico se rige por el Derecho del Estado miembro al que dicha empresa dirige sus actividades si esa empresa efectúa el tratamiento de los datos en cuestión en el marco de las actividades de un establecimiento situado en un Estado miembro. Corresponde al órgano jurisdiccional nacional determinar si ése es el caso.>> En este sentido, en el mes de marzo de 2017, se ha comunicado a esta Agencia, por parte de un Despacho de Abogados, que manifiesta actuar en representación de Yahoo Iberia S.L.U., que dicha compañía ha estado preparando su liquidación voluntaria durante un período de tiempo considerable y, desde el 31 de diciembre de 2016, ya no tiene empleados situados en España. En consecuencia, deberíamos dirigir nuestra correspondencia a la dirección postal de Yahoo! EMEA Limited en Irlanda. Y puesto que Yahoo! EMEA Limited es una compañía registrada y constituida en Irlanda, operando de conformidad y en cumplimiento de la legislación irlandesa, como tal empresa irlandesa, quedaría sujeta a la autoridad de la Office of the Data Protection Commissioner en Irlanda. Por todo ello, ante la circunstancia sobrevenida relatada en el párrafo anterior, que conlleva un hecho nuevo a tener en consideración en la resolución del presente recurso, y dado que Yahoo! EMEA Limited se halla fuera del ámbito competencial de esta Agencia, procede estimar el presente Recurso de Reposición. No obstante lo anterior, en el momento de dictar esta resolución, la URL sobre la que la reclamante ejercitó el derecho de cancelación, ya no aparece en el índice de búsqueda actualizado al introducir su nombre en el buscador YAHOO, motivo por el cual C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 no es preciso informar a la reclamante de la estimación del presente recurso. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR el Recurso de Reposición interpuesto por YAHOO EMEA LIMITED contra la Resolución de esta Agencia Española de Protección de Datos, dictada con fecha 21 de mayo de 2015, en el expediente TD/01997/2014, que estima la reclamación de Tutela de Derechos formulada por Dña. A.A.A. contra la entidad YAHOO EMEA Ltd. (YAHOO IBERIA S.L.). SEGUNDO: NOTIFICAR la presente Resolución a la entidad YAHOO EMEA LIMITED. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es