TD-00697-2013 | Europaius

1/25 Procedimiento Nº: TD/00697/2013 RESOLUCIÓN Nº.: R/01989/2013 Vista la reclamación formulada por don A.A.A. contra GOOGLE SPAIN S.L. (GOOGLE INC.), por no haber sido atendido su derecho de oposición, y realizadas las actuaciones procedimentales previstas en el artículo 117 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre (en lo sucesivo, RLOPD), se han constatado los siguientes, HECHOS PRIMERO: Con fecha 1 de marzo de 2013, don A.A.A. ejercitó el derecho de oposición, entendido como derecho de oposición ante Google Spain, S.L. (en lo sucesivo Google). Concretamente solicitaba la eliminación de sus datos personales que aparecen en el siguiente enlace web: https://................... El equipo de Google le contestó indicándole que no iban a tomar medidas “basadas en nuestras políticas sobre eliminación de contenido. Si decide emprender acciones legales contra la persona que ha publicado esta información y dichas acciones dan lugar a una resolución judicial en la que se determina que el material es ilegal o que se debe eliminar, envíenos la orden judicial para que podamos tomar las medidas oportunas”. SEGUNDO: Con fecha 26 de marzo de 2013, tuvo entrada en esta Agencia reclamación de don A.A.A. contra Google por no haber sido atendido debidamente su derecho de oposición. La información ofrecida en el foro de discusión hace referencia a una noticia ofrecida por el grupo Colpisa del año

TERCERO: Con fecha 24 de abril de 2013, se dio traslado de la citada reclamación a Google para que alegara cuanto estimara conveniente a su derecho, manifestando, en síntesis, lo siguiente: • Infracción por indeterminación de la parte: Se considera que Google Spain, S.L. y Google Inc. no constituyen una única persona jurídica ni pueden ser confundidas en una única parte en un procedimiento administrativo, conforme a lo cual el procedimiento debe dirigirse contra el responsable del fichero y no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/25 contra Google Spain que no presta el servicio de buscador ni podría ser considerado responsable de fichero. • Solicitud del interesado: Google manifiesta que en la solicitud del interesado se insta la eliminación de un enlace a un foro de discusión en el que se publican diversas noticias, entre ellas la que alude el reclamante que es veraz y de interés público. • Descripción del proceso de búsqueda por Google: El proceso mediante el que opera el buscador de Google se basa en dos fases: una primera de recolección de palabras clave, y la segunda de comparación de las palabras incluidas como criterio de búsqueda en la consulta del usuario con las de la lista. La primera fase se desarrolla de forma constante e inadvertida por el usuario, mediante unos dispositivos que navegan permanentemente por la Red, visitando los sitios web que encuentran y analizando su contenido. Durante esta visita, estos dispositivos extraen aquellas palabras que consideran útiles y las incluyen en una lista con la referencia a la dirección del sitio web de donde las extrajeron. La segunda fase es más perceptible en la práctica, ya que en ella se materializa el servicio prestado por la empresa. Esta fase se desarrolla mediante una simple comparación entre las palabras incluidas por el usuario como criterio de búsqueda y la lista que incluye las palabras extraídas y las referencias a los sitios web, facilitando al interesado una lista de resultados en la que se incluyen las referencias a los sitios web en que aparecen las palabras del criterio de búsqueda, ordenándolos en atención a la mayor o menor relevancia de la coincidencia. • Responsable del Servicio de Búsqueda: Alega Google que la entidad frente a quien se tramita la tutela de derechos, Google Spain, no es ni responsable ni encargada de la prestación del servicio de búsquedas en Internet. El negocio de Google Inc. se basa en la generación de un espacio para la publicidad, siendo el principal reclamo para que la publicidad insertada se vea o active la prestación con carácter gratuito del servicio de búsquedas en Internet. Es decir, Google Inc. presta dos servicios diferentes que completan su negocio, el primero es el servicio remunerado de publicitar la actividad de empresas en el comercio, mediante la venta del espacio publicitario. Para esta actividad se sirve de promotores locales (entre los que se encuentra Google Spain) que incentivan la compra de espacio en el área que tienen atribuida. El segundo consiste en el servicio gratuito de facilitar a los usuarios de Internet la localización de aquellos sitios en la Red cuyo contenido coincide con los criterios de búsqueda determinados por el usuario. La filial en España, Google Spain limita su actividad exclusivamente a promocionar, facilitar y/o procurar la venta de productos y/o servicios de publicidad on-line a través de Internet para terceros, actuando como agente comercial, así como el marketing de publicidad on-line etc. Es decir, Google Spain se limita a representar a Google Inc. en el negocio que ésta desarrolla de vender el espacio publicitario disponible en su página web, es C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/25 sólo un Agente o representante mercantil exclusivo de Google Inc. y sólo representa a esta compañía en la promoción de la venta de los servicios publicitarios de Google Inc. Su actividad se limita a dichos servicios y, por ello, ni desarrolla la actividad de buscador ni cabe imputarle ninguna de las actividades ni consecuencias que se deriven de la actividad que ejecuta Google Inc. aunque esta empresa sea la matriz de Google Spain. Concluye Google alegando que Google Inc. es la única compañía de quien, en su caso, se podría exigir la eventual atención de cualesquiera derechos, quejas o sugerencias de las personas en relación con los servicios que presta esta compañía. • Normativa aplicable, partiendo de la premisa anterior, esto es, que el responsable único es Google Inc., y tras analizarse en las alegaciones por Google la normativa comunitaria y nacional de transposición, así como los criterios expuestos por el G 29, concluye que “dado que los servicios de buscador los presta Google Inc. desde los Estados Unidos, no resulta de aplicación ni la directiva europea de protección de datos ni la ley española que la aplica.” • Responsable principal del tratamiento.- el G 29 en su documento WP148 ha puesto de relieve que el motor de búsqueda no puede ser considerado el responsable principal de los datos principales que se tratan, de acuerdo con la legislación europea de protección de datos, sino que este papel principal responsable recae exclusivamente sobre el responsable del sitio web en donde se incluyó la información del interesado. • Inexistencia de infracción del derecho de oposición. Google alega finalmente que no ha habido infracción del derecho de oposición ya que recibida la solicitud de oposición por Google Spain, y en su papel de colaborador que desarrolla en el mercado español, remitió la misma a Google Inc. responsable del tratamiento respecto del cual el interesado instaba la cancelación de sus datos. Google Spain no contestó porque no es responsable de dicho tratamiento. Google Inc. contestó al interesado facilitándole la única información que podía darle relativa a que la única vía para conseguir el propósito que perseguía era el de acudir al responsable del sitio web para instar ahí la cancelación de sus datos o la limitación de los efectos de la publicación de forma que los motores de búsqueda no los indexen. FUNDAMENTOS DE DERECHO PRIMERO: La competencia para resolver la presente reclamación corresponde al Director de la Agencia Española de Protección de Datos, de acuerdo con el artículo 37.d), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (en lo sucesivo, LOPD). SEGUNDO: El artículo 18.1 de la LOPD señala que “Las actuaciones contrarias a lo dispuesto en la presente Ley pueden ser objeto de reclamación por los afectados ante la Agencia Española de Protección de Datos, en la forma que reglamentariamente se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/25 determine”. TERCERO: El artículo 30 de la LOPD dispone en relación a los tratamientos con fines de publicidad y de prospección comercial, que: “
Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento.
Cuando los datos procedan de fuentes accesibles al público, de conformidad con lo establecido en el párrafo segundo del artículo 5.5 de esta Ley, en cada comunicación que se dirija al interesado se informará del origen de los datos y de la identidad del responsable del tratamiento, así como de los derechos que le asisten.
En el ejercicio del derecho de acceso los interesados tendrán derecho a conocer el origen de sus datos de carácter personal, así como del resto de información a que se refiere el artículo
Los interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud.” CUARTO: La vigente LOPD incorpora el derecho de oposición, trasponiendo la mencionada Directiva 95/46/CE. A tal efecto, el artículo 6.4, que establece una previsión general, según el cual “En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una ley no disponga lo contrario, este podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una situación concreta. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado.” El artículo 17 de la LOPD, señala: “
Los procedimientos para ejercitar el derecho de oposición, acceso, así como los de rectificación y cancelación serán establecidos reglamentariamente.
No se exigirá contraprestación alguna por el ejercicio de los derechos de oposición, acceso, rectificación o cancelación.” QUINTO: Los artículos 34 y 35 del Reglamento del la LOPD aprobado por el Real Decreto 1720/2007, determinan: “Artículo
Derecho de oposición. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/25 El derecho de oposición es el derecho del afectado a que no se lleve a cabo el tratamiento de sus datos de carácter personal o se cese en el mismo en los siguientes supuestos: a) Cuando no sea necesario su consentimiento para el tratamiento, como consecuencia de la concurrencia de un motivo legítimo y fundado, referido a su concreta situación personal, que lo justifique, siempre que una Ley no disponga lo contrario. b) Cuando se trate de ficheros que tengan por finalidad la realización de actividades de publicidad y prospección comercial, en los términos previstos en el artículo 51 de este reglamento, cualquiera que sea la empresa responsable de su creación. c) Cuando el tratamiento tenga por finalidad la adopción de una decisión referida al afectado y basada únicamente en un tratamiento automatizado de sus datos de carácter personal, en los términos previstos en el artículo 36 de este reglamento. Artículo
Ejercicio del derecho de oposición.
El derecho de oposición se ejercitará mediante solicitud dirigida al responsable del tratamiento. Cuando la oposición se realice con base en la letra a) del artículo anterior, en la solicitud deberán hacerse constar los motivos fundados y legítimos, relativos a una concreta situación personal del afectado, que justifican el ejercicio de este derecho.
El responsable del fichero resolverá sobre la solicitud de oposición en el plazo máximo de diez días a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. En el caso de que no disponga de datos de carácter personal de los afectados deberá igualmente comunicárselo en el mismo plazo.
El responsable del fichero o tratamiento deberá excluir del tratamiento los datos relativos al afectado que ejercite su derecho de oposición o denegar motivadamente la solicitud del interesado en el plazo previsto en el apartado 2 de este artículo.” SEXTO: Observaciones sobre el fondo del asunto: Se alega por la entidad sujeto de la reclamación que GOOGLE SPAIN no es ni responsable, ni encargada de la prestación del servicio de búsquedas en Internet; para ello se basa en que GOOGLE se limita a representar a GOOGLE INC. en el negocio que ésta desarrolla de vender el espacio publicitario disponible en su página web. Continúa alegando que GOOGLE INC. es la única compañía de quien, en su caso, se podría exigir la eventual atención de cualesquiera derechos, quejas o sugerencias de las personas en relación con los servicios que presta esta compañía. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/25 Posteriormente, en cuanto a la normativa aplicable alega que a los servicios de buscador que presta GOOGLE INC desde los Estados Unidos, no resulta de aplicación ni la directiva europea de protección de datos ni la ley española que la aplica. A TODO ELLO CABE ARGUMENTAR LO SIGUIENTE: I. El artículo 3 del Reglamento aprobado por Real Decreto 1720/2008, señala su ámbito territorial de aplicación en los siguientes términos: “1.- Se regirá por el presente Reglamento todo tratamiento de datos de carácter personal: a) Cuando el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento, siempre que dicho establecimiento se encuentre ubicado en territorio español. Cuando no resulte de aplicación lo dispuesto en el párrafo anterior, pero exista un encargado del tratamiento ubicado en España, serán de aplicación al mismo las normas contenidas en el título VIII del presente Reglamento. b) Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española, según las normas de Derecho internacional público. c) Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito. En este supuesto, el responsable del tratamiento deberá designar un representante establecido en territorio español.
A los efectos previstos en los apartados anteriores, se entenderá por establecimiento, con independencia de su forma jurídica, cualquier instalación estable que permita el ejercicio efectivo y real de una actividad” II. Este artículo traspone el artículo 4 de la Directiva 95/46/CE, que literalmente señala: “Derecho nacional aplicable
Los Estados miembros aplicarán las disposiciones nacionales que haya aprobado para la aplicación de la presente Directiva a todo tratamiento de datos personales cuando: a) el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro. Cuando el mismo responsable del tratamiento esté establecido en el territorio de varios Estados miembros deberá adoptar las medidas necesarias para garantizar que cada uno de dichos establecimientos cumple las obligaciones previstas por el Derecho nacional aplicable; C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/25 b) el responsable del tratamiento no esté establecido en el territorio del Estado miembro, sino en un lugar en que se aplica su legislación nacional en virtud del Derecho internacional público; c) el responsable del tratamiento no esté establecido en el territorio de la Comunidad y recurra, para el tratamiento de datos personales, a medios, automatizados o no, situados en el territorio de dicho Estado miembro, salvo en caso de que dichos medios se utilicen solamente con fines de tránsito por el territorio de la Comunidad Europea.
En el caso mencionado en la letra c) del apartado 1, el responsable del tratamiento deberá designar un representante establecido en el territorio de dicho Estado miembro, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento.” III. Este artículo responde a las consideraciones que se plasman en la exposición de motivos de la misma directiva; en concreto los considerandos 18 y siguientes presentan la siguiente justificación del artículo 4 en cuestión: “

(18)Considerando que, para evitar que una persona sea excluida de la protección garantizada por la presente Directiva, es necesario que todo tratamiento de datos personales efectuado en la Comunidad respete la legislación de uno de sus Estados miembros; que, a este respecto, resulta conveniente someter el tratamiento de datos efectuados por cualquier persona que actúe bajo la autoridad del responsable del tratamiento establecido en un Estado miembro a la aplicación de la legislación de tal Estado;

(19)Considerando que el establecimiento en el territorio de un Estado miembro implica el ejercicio efectivo y real de una actividad mediante una instalación estable; que la forma jurídica de dicho establecimiento, sea una simple sucursal o una empresa filial con personalidad jurídica, no es un factor determinante al respecto; que cuando un mismo responsable esté establecido en el territorio de varios Estados miembros, en particular por medio de una empresa filial, debe garantizar, en particular para evitar que se eluda la normativa aplicable, que cada uno de los establecimientos cumpla las obligaciones impuestas por el Derecho nacional aplicable a estas actividades;

(20)Considerando que el hecho de que el responsable del tratamiento de datos esté establecido en un país tercero no debe obstaculizar la protección de las personas contemplada en la presente Directiva; que en estos casos el tratamiento de datos debe regirse por la legislación del Estado miembro en el que se ubiquen los medios utilizados y deben adaptarse garantías para que se respeten en la práctica los derechos y obligaciones contempladas en la presente Directiva;” IV. El documento WP 148 de 4 abril de 2008 elaborado por el Grupo de Trabajo “G 29”, relativo a buscadores, analiza detalladamente la cuestión de la Ley nacional aplicable, y se pronuncia en los siguientes términos: “Responsable del tratamiento Un proveedor de buscadores que trata datos de los usuarios incluyendo direcciones IP y/ o cookies permanentes que contengan un identificador único se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/25 encuentra dentro del ámbito material de la definición de responsable de tratamiento, puesto que determina de forma efectiva las finalidades y los medios del tratamiento. La naturaleza multinacional de los grandes proveedores de servicios de búsqueda (con frecuencia con oficinas principales ubicadas fuera del EEE, con servicios prestados en todo el mundo, y con la implicación de distintas sucursales y posiblemente de terceros en el tratamiento de los datos personales) ha ocasionado un debate sobre la pregunta de quién debería considerarse el responsable de tratamiento en relación con un tratamiento de datos personales. Al Grupo de Trabajo le gustaría insistir en la diferencia entre las definiciones de legislación en materia de protección de datos del EEE y la cuestión de si esta legislación se aplica en una situación determinada. Un proveedor de buscadores que efectúa el tratamiento de datos personales, como registros con historiales de búsquedas personalmente identificables, se considera el responsable de tratamiento de estos datos personales, independientemente de la cuestión acerca de la jurisdicción. Artículo 4 de la Directiva de protección de datos/ derecho aplicable El artículo 4 de la Directiva de protección de datos trata la cuestión del derecho nacional aplicable. El Grupo de Trabajo ha proporcionado directrices ulteriores en relación con lo dispuesto en el artículo 4 en su “Documento de trabajo sobre la determinación de la aplicación internacional de la legislación europea en materia de protección de datos a los tratamientos de datos personales en Internet por parte de páginas web situadas fuera de la UE”. Existen dos razones detrás de esta disposición. La primera es evitar vacíos en el sistema establecido para la protección de datos en la Comunidad Europea, así como que se sortee éste. La segunda es evitar la posibilidad de que la misma operación de tratamiento se rija por leyes de más de un Estado miembro de la UE. A causa de la naturaleza transnacional de los flujos de datos inducidos por los buscadores, el Grupo de Trabajo trata específicamente ambas complicaciones. En el caso de un proveedor de servicios de búsqueda que se establezca y preste todos sus servicios desde uno o más Estados miembros, no existe ninguna duda de que su tratamiento de datos personales se encuentra dentro del ámbito de la Directiva de protección de datos. Es importante hacer constar que en este caso, las normas de protección de datos no se limitan a los interesados situados en el territorio de un Estado miembro o que posean su nacionalidad. Cuando el proveedor de servicios de búsqueda es un responsable de tratamiento situado fuera del EEE, existen dos casos en los que se aplica la legislación comunitaria en materia de protección de datos. En primer lugar, cuando el proveedor de servicios de búsqueda cuenta con un establecimiento en un Estado miembro, de acuerdo con el artículo 4

(1)(a). En segundo lugar, cuando el buscador recurre a medios situados en el territorio de un Estado miembro, de acuerdo con el artículo 4

(1)(c). En este último caso, el buscador, de acuerdo con el artículo 4

(2), debe designar un representante en el territorio de dicho Estado miembro concreto. Establecimiento en el territorio de un Estado miembro (EEE) El artículo 4

(1)(a) prevé que el derecho nacional en materia de protección C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/25 de datos de un Estado miembro debe aplicarse cuando ciertas operaciones de tratamiento de datos personales por parte del responsable de tratamiento se realicen “en el marco de las actividades de un establecimiento” de dicho responsable de tratamiento en el territorio de un Estado miembro. Una operación concreta de tratamiento de datos personales debe considerarse desde el punto de partida. Cuando se aplica a un buscador concreto cuyas oficinas principales se encuentran situadas fuera del EEE, la pregunta que debe responderse es si el tratamiento de los datos del usuario implica a establecimientos en el territorio de un Estado miembro. Como ya ha señalado el Grupo de Trabajo en su documento de trabajo anterior, la existencia de un “establecimiento” implica el ejercicio real y efectivo de actividades a través de gestiones estables y debe determinarse de conformidad con la jurisprudencia del Tribunal de Justicia de las Comunidades Europeas. La forma jurídica del establecimiento (una oficina local, una filial con personalidad jurídica o una representación mediante terceros) no resulta determinante. Sin embargo, otro requisito consiste en que la operación de tratamiento se realice “en el marco de las actividades” del establecimiento. Esto significa que el establecimiento también debe desempeñar un papel importante en la operación de tratamiento concreta. Éste es claramente el caso cuando: - un establecimiento es responsable de las relaciones con los usuarios del buscador en una jurisdicción concreta; - un proveedor de buscadores establece una oficina en un Estado miembro (EEE) implicada en la venta de anuncios dirigidos a los habitantes de dicho estado; el establecimiento de un proveedor de buscadores cumple los autos judiciales y/o solicitudes de cumplimiento de la ley por parte de las autoridades competentes de un Estado miembro en relación con los datos de los usuarios. El proveedor de buscadores es responsable de aclarar el grado de implicación de los establecimientos en el territorio de los Estados miembro en el tratamiento de datos personales. Si un establecimiento nacional se ve implicado en el tratamiento de datos de los usuarios, se aplica el artículo 4

(1)(a) de la Directiva de protección de datos. Los proveedores de servicios de búsqueda situados fuera de la UE deben informar a sus usuarios sobre las condiciones en las que deben cumplir la Directiva de protección de datos, ya sea por el establecimiento o por el recurso a medios. Recurso a medios Los buscadores que recurren a medios en el territorio de un Estado miembro (EEE) para el tratamiento de datos personales también se encuentran dentro del ámbito de la legislación en materia de protección de datos del Estado miembro. La legislación en materia de protección de datos de un Estado miembro también se aplica cuando el responsable de tratamiento […] recurra, para el tratamiento de datos personales, a medios, automatizados o no, situados en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/25 territorio de dicho Estado miembro, salvo en caso de que dichos medios se utilicen solamente con fines de tránsito por el territorio de la Comunidad Europea. • En lo que respecta a la prestación de servicios de buscadores desde fuera de la UE, los centros de datos situados en el territorio de un Estado miembro pueden utilizarse para el almacenamiento y el tratamiento a distancia de datos personales. Otros tipos de medios podrían ser la utilización de ordenadores personales, terminales y servidores. La utilización de cookies y dispositivos de software similares por parte de un proveedor de servicios online también puede considerarse como recurso a medios en el territorio del Estado miembro, invocando, de este modo, la legislación en materia de protección de datos de dicho Estado miembro. Esta cuestión se debatió en el documento de trabajo citado con anterioridad (WP56). Se indica que “el ordenador del usuario puede considerarse un medio en el sentido del artículo 4

(1)(a) y 4

(1)(c) de la Directiva de protección de datos es que sus disposiciones se aplican al tratamiento de datos personales por parte de los proveedores de servicios de búsqueda en muchos casos, incluso cuando sus oficinas centrales se encuentran situadas fuera del EEE. (…) En el caso de proveedores de servicios de búsqueda multinacionales: - un Estado miembro en el que el proveedor de buscadores está establecido aplicará su legislación nacional en materia de protección de datos al tratamiento, de acuerdo con el artículo 4

(1)(a); - si el proveedor de buscadores no se encuentra establecido en ningún Estado miembro, un Estado miembro aplicará su legislación nacional en materia de protección de datos al tratamiento, de acuerdo con el artículo 4

(1)(c), si la empresa recurre a medios, automatizados o no, en el territorio de dicho Estado miembro, con fines de tratamiento de datos personales (por ejemplo, la utilización de una cookie). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/25 En algunos casos, un proveedor multinacional de buscadores deberá cumplir múltiples legislaciones en materia de protección de datos como resultado de las normas en relación con el derecho aplicable y la naturaleza transnacional de su tratamiento de datos personales: - un Estado miembro aplicará su derecho nacional a un buscador establecido fuera del EEE si recurre a medios; - un Estado miembro no puede aplicar su derecho nacional a un buscador establecido en el EEE en otra jurisdicción, aunque el buscador recurra a medios. En dichos casos, se aplicará el derecho nacional del Estado miembro en el que se encuentre establecido el buscador. V. El servicio de búsqueda de GOOGLE utiliza en el tratamiento de datos personales medios situados en territorio español sin que su utilización sea únicamente con fines de tránsito. El servicio de búsqueda de GOOGLE (Google Search) se presta a nivel mundial a través del sitio web www.google.com, aunque en muchos países existen versiones locales adaptadas al idioma nacional, a las cuales se accede por defecto, en función de la ubicación geográfica del usuario. La versión española del servicio se presta a través del sitio www.google.es. El motor de búsqueda de GOOGLE es un complejo sistema informático que indexa documentos almacenados en millones de servidores de páginas web (más comúnmente conocidos como servidores web), facilitando al usuario del servicio de búsqueda su inmediata localización, a través de determinadas palabras contenidas en los documentos buscados. El índice del motor de búsqueda de GOOGLE se actualiza de forma dinámica a partir de la información obtenida por robots, que continuamente rastrean los servidores web públicamente disponibles en Internet, utilizando para ello la capacidad tecnológica de los propios servidores de la compañía, usualmente conocidos como “arañas web” o “web crawlers”. Las “arañas web” analizan de forma metódica páginas web HTML disponibles públicamente, recopilando los hiperenlaces que figuran en éstas (referencias a otras direcciones URL), para extender así su labor de rastreo, de forma encadenada, a todas las páginas y documentos referenciados. El rastreo consiste en extraer, de todos los documentos visitados (no sólo de las páginas con formato HTML, sino también de los documentos que presentan otros formatos), las palabras clave que serán indexadas. Para que la información que ofrece el buscador GOOGLE sea lo más universal y completa posible, la labor de rastreo de las “arañas web” de GOOGLE se extiende a las páginas web que se almacenan en servidores informáticos ubicados en todo el mundo. En particular, los servidores web ubicados en territorio español son expresamente visitados para extraer la información que, en una alta proporción, dará respuesta a las búsquedas de usuarios españoles. La información rastreada expresamente por GOOGLE en los servidores ubicados en territorio español incluye datos de carácter personal relativos a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/25 personas que no necesariamente son usuarios del buscador y que, al margen de los derechos que debe reconocerse a éstos, también se hallan en disposición de ejercitar sus propios derechos, en relación con los distintos tratamientos que de sus datos realiza GOOGLE. Así, conviene centrarse no sólo en el tratamiento realizado por GOOGLE consistente en presentar datos al usuario que realiza la búsqueda, sino también en el que previamente efectúa, al rastrear tales datos de carácter personal en los citados servidores españoles, con objeto de facilitar su posterior localización. Por otra parte, una de las facilidades que la versión española del servicio de buscador ofrece al usuario es, precisamente, discriminar el resultado de su búsqueda en función del idioma de redacción de los documentos o de la localización geográfica de los servidores web que los alojan. Así, el usuario puede decidir que los resultados de su búsqueda se refieran a “páginas de España”, sin más que indicarlo en la página principal del buscador, o bien, haciendo uso de la funcionalidad “Búsqueda avanzada”, directamente accesible desde la página principal, el usuario puede seleccionar sólo aquellas páginas que estén “ubicadas en España”. En ambos casos, resulta imprescindible que GOOGLE haya visitado con anterioridad las páginas ubicadas en servidores web españoles y registrado esta circunstancia durante la labor de rastreo realizada por sus “arañas web", de forma tal que si estos servidores no hubieran sido rastreados previamente, el resultado de la búsqueda se vería seriamente limitado para los usuarios españoles. Todo ello viene a demostrar que, para la prestación del servicio de búsqueda a los usuarios españoles, es requisito ineludible que se utilicen medios técnicos ubicados en territorio español, siendo plenamente consciente de ello la compañía prestataria del servicio. VI. El servicio de búsqueda prestado a través del sitio web www.google.es, es un servicio dirigido específicamente al territorio español. La afirmación de que el servicio de búsqueda está dirigido específicamente al territorio español se basa en los siguientes hechos: o o o El lenguaje de la página www.google.es está redactada en castellano, (también da la posibilidad de catalán, euskera y gallego). El dominio bajo el que se aloja el servicio de buscador Google en España es del tipo .es, que es un dominio territorial registrado en Red.es “bajo el código de país correspondiente a España” (Disposición adicional 6ª de la Ley 34/2002 de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico). Cuando se realizan búsquedas en www.google.es, los resultados que aparecen están dirigidos a usuarios ubicados en el territorio español. VII. La publicidad es la forma de financiación del buscador gratuito de Google, hasta tal punto, que el usuario no puede evitarla si quiere utilizar este servicio. Tal y como establecen sus condiciones de uso “Google llevará a cabo el tratamiento de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/25 datos personales únicamente de conformidad con lo dispuesto en la presente Política de Privacidad o en las notificaciones adicionales que se incluyan en determinados servicios. Además de lo descrito anteriormente, dichos fines incluyen: o prestar nuestros servicios a los usuarios, incluyendo la publicación de contenido y publicidad personalizados. El servicio de búsqueda se financia a través de “Anuncios Google”. Estos anuncios se publican en la página de resultados de la búsqueda realizada por el usuario (AdWords) o en el contenido de sitios web visitados por este (AdSense). o El sistema AdWords, ofrece publicidad en los resultados de la búsqueda que realiza el usuario del servicio mediante enlaces patrocinados contextualizados en función de la búsqueda que se realice, y en particular, incorpora elementos adicionales que manifiestan su vinculación a un servicio dirigido específicamente a territorio español. Así en el sitio web en la que el cliente de Google solicita información sobre el servicio AdWords, se le requiere el CIF de la empresa (Código de Identificación Fiscal propio de España) y cuando se solicita que esa empresa defina u oriente sus objetivos publicitarios a consumidores, se le pregunta por el país al que desea dirigir su publicidad, figurando como primer país España. De esta manera, el servicio permite dirigir la publicidad a una determinada ubicación geográfica. o El segundo sistema de publicidad es Google AdSense. Este sistema está diseñado para editores de sitios web y es un método para que cualquier editor de sitios web pueda publicar en sus páginas “Anuncios Google” relevantes y relacionados con el contenido de su sitio, obteniendo un beneficio económico gracias a ellos. Para darse de alta en este servicio es necesario que se acepten los términos y condiciones del programa AdSense. Una vez que se es cliente de AdSense, este programa de publicidad de Google rastrea de forma automática el contenido de las páginas y publica anuncios, tanto gráficos como de texto, relevantes para el público que las visita y relacionados con el contenido de su sitio. De ello se deriva que si el sitio web incorpora temas de interés para usuarios ubicados en territorio español, la publicidad estará también dirigida al territorio español, según se establece en el Documento 5 del Anexo II, condiciones de uso y ejemplo de publicidad AdSense. Por último, la vinculación de la publicidad a un servicio de búsqueda dirigido específicamente al territorio español se refuerza con la actividad de Google Spain. VIII. El caso concreto queda incluido en el supuesto analizado con los argumentos anteriores, específicamente cuando: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/25  Examina la situación relativa a un buscador concreto cuyas oficinas principales se encuentran situadas fuera del EEE, y se plantea la pregunta que de si el tratamiento de los datos del usuario implica a establecimientos en el territorio de un Estado miembro. Como ya se ha señalado anteriormente, la existencia de un “establecimiento” implica el ejercicio real y efectivo de actividades a través de gestiones estables, y la forma jurídica del establecimiento (una oficina local, una filial con personalidad jurídica o una representación mediante terceros) no resulta determinante. También es requisito, en estos supuestos que la operación de tratamiento se realice “en el marco de las actividades” del establecimiento. Esto significa que el establecimiento también debe desempeñar un papel importante en la operación de tratamiento concreta. Éste es claramente el caso cuando: - un proveedor de buscadores establece una oficina en un Estado miembro (EEE) implicada en la venta de anuncios dirigidos a los habitantes de dicho estado; Como se ha señalado en las alegaciones de Google, su negocio (su actividad económica realizada en territorio nacional español), se basa en la generación de un espacio para la publicidad, siendo el principal reclamo para que la publicidad insertada se vea o active la prestación con carácter gratuito del servicio de búsquedas en Internet. Es decir, Google Inc. presta dos servicios diferentes que completan su negocio, el primero es el servicio remunerado de publicitar la actividad de empresas en el comercio, mediante la venta del espacio publicitario. Para esta actividad se sirve de promotores locales (entre los que se encuentra Google Spain) que incentivan la compra de espacio en el área que tienen atribuida. El segundo consiste en el servicio gratuito de facilitar a los usuarios de Internet la localización de aquellos sitios en la Red cuyo contenido coincide con los criterios de búsqueda determinados por el usuario. El proveedor de buscadores es responsable de aclarar el grado de implicación de los establecimientos en el territorio de los Estados miembro en el tratamiento de datos personales. Si un establecimiento nacional se ve implicado en el tratamiento de datos de los usuarios, se aplica el artículo 4

(1)(a) de la Directiva de protección de datos.  Pero es más, según el criterio ya descrito anteriormente, los buscadores que recurren a medios en el territorio de un Estado miembro (EEE) para el tratamiento de datos personales también se encuentran dentro del ámbito de la legislación en materia de protección de datos del Estado miembro, salvo en caso de que dichos medios se utilicen solamente con fines de tránsito C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/25 por el territorio de la Comunidad Europea. En lo que respecta a la prestación de servicios de buscadores desde fuera de la UE, los centros de datos situados en el territorio de un Estado miembro pueden utilizarse para el almacenamiento y el tratamiento a distancia de datos personales. Otros tipos de medios podrían ser la utilización de ordenadores personales, terminales y servidores. La utilización de cookies y dispositivos de software similares por parte de un proveedor de servicios online también puede considerarse como recurso a medios en el territorio del Estado miembro, de este modo la legislación en materia de protección de datos de dicho Estado miembro le resulta aplicable. Se indica que “el ordenador del usuario puede considerarse un medio en el sentido del artículo 4

(1)de la Directiva 95/46/CE. Se encuentra situado en el territorio de un Estado miembro. El responsable decide recurrir a este medio con el fin de tratar datos personales y, según se ha explicado en apartados anteriores, se producen diversas operaciones técnicas sin el control del interesado. El responsable de tratamiento controla el equipo del usuario y este equipo no se utiliza exclusivamente con fines de tránsito por el territorio de la Comunidad Europea. En esta línea, como se ha manifestado por Google, la actividad del buscador (que no debe olvidarse que forma parte del negocio que en el territorio nacional realiza Google como complementario del espacio publicitario ofrecido) se compone de dos fases: una de ellas mediante unos dispositivos que navegan permanentemente por la Red, visitando los sitios web que encuentran y analizando su contenido. Durante esta visita, estos dispositivos extraen aquellas palabras que consideran útiles y las incluyen en una lista con la referencia a la dirección del sitio web de donde las extrajeron. La segunda fase materializa el servicio prestado por la empresa. Esta fase se desarrolla mediante una simple comparación entre las palabras incluidas por el usuario como criterio de búsqueda y la lista que incluye las palabras extraídas y las referencias a los sitios web, facilitando al interesado una lista de resultados en la que se incluyen las referencias a los sitios web en que aparecen las palabras del criterio de búsqueda, ordenándolos en atención a la mayor o menor relevancia de la coincidencia. Pero es más, los buscadores recogen los datos y procede a su tratamiento, no siendo únicamente un vehículo de transmisión.  También como antes quedó señalado, en algunos casos, un proveedor multinacional de buscadores deberá cumplir múltiples legislaciones en materia de protección de datos como resultado de las normas en relación con el derecho aplicable y la naturaleza transnacional de su tratamiento de datos personales. IX. Pero es más, no sólo es la normativa específica de protección de datos la que, con arreglo a los argumentos anteriores, determina la Ley nacional aplicable a este supuesto, sino que dicha normativa resultaría en todo caso aplicable por determinación del tenor literal de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI), que en su artículo 4 establece: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/25 “A los prestadores establecidos en países que no sean miembros de la Unión Europea o del Espacio Económico Europeo, les será de aplicación lo dispuesto en los artículos 7.2 y 11.2. Los prestadores que dirijan sus servicios específicamente al territorio español quedarán sujetos, además, a las obligaciones previstas en esta Ley, siempre que ello no contravenga lo establecido en tratados o convenios internacionales que sean aplicables.” Por reenvío de dicho artículo resulta aplicable en este supuesto concreto el artículo 8.1.c de la misma Ley, que señala: “En caso de que un determinado servicio de la sociedad de la información atente o pueda atentar contra los principios que se expresan a continuación, los órganos competentes para su protección, en ejercicio de las funciones que tengan legalmente atribuidas, podrán adoptar las medidas necesarias para que se interrumpa su prestación o para retirar los datos que los vulneran”. El principio a que alude en el apartado

c)es el “respeto a la dignidad de la persona”. Continúa el apartado siguiente de dicho artículo señalando: “En la adopción y cumplimiento de las medidas de restricción a que alude este apartado se respetarán, en todo caso, las garantías, normas y procedimientos previstos en el ordenamiento jurídico para proteger los derechos a la intimidad personal y familiar, a la protección de los datos personales, a la libertad de expresión o a la libertad de información, cuando estos pudieran resultar afectados”. Pero es más, esta cuestión ya ha sido analizada y resuelta por la Audiencia Provincial de Madrid, en su sentencia 95/2010, de 19 de febrero. Dicha sentencia en su fundamento jurídico tercero señala, en síntesis, respecto del ámbito territorial de la Ley 34/2002, que ésta es aplicable a “los prestadores de servicios de la sociedad de la información establecidos en España y a los servicios prestados por ellos, o bien en los supuestos en que el prestador de servicios opere mediante un establecimiento permanente situado en territorio español, cuando disponga en el mismo, de forma continuada o habitual, de instalaciones o lugares de trabajo, en los que realice toda o parte de su actividad.” La misma sentencia estima acreditado que Google opera en España mediante una oficina permanente a través de la cual realiza toda o parte de su actividad dirigida al mercado español. Dicha oficina permanente es Google Spain. SEPTIMO: En relación a la alegación formulada por Google Spain, en relación a la infracción por indeterminación de la parte, cabe señalar que lo que se suscita, en el fondo de este escrito remitido, es la discusión sobre si Google Spain representa a Google INC sólo en el negocio de venta de espacio publicitario como sostiene Google Spain o también como representante legal en materia de protección de datos; y es necesario ante esta cuestión manifestar que esta Agencia ha venido considerando en múltiples resoluciones la condición de Google Spain como representante en España de Google Inc y por ello se ha determinado su responsabilidad. La consideración de Google Spain como representante de Google Inc viene fundamentada en diversos argumentos que se han expuesto en varias resoluciones con un contenido idéntico al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/25 ahora analizado. Además de los recogidos en la resolución de esta tutela, se puede señalar que en repetidas ocasiones GOOGLE SPAIN, S.L. ha declarado a la Inspección de Datos su condición de representante en estos términos: “Google Spain se limita a representar a Google Inc. en el negocio que ésta desarrolla de vender el espacio publicitario disponible en su página web, es sólo un Agente o representante mercantil exclusivo de Google Inc. y sólo representa a esta compañía en la promoción de la venta de los servicios publicitarios de Google Inc.” GOOGLE SPAIN, S.L. ha declarado que “su actividad se limita a dichos servicios y, por ello, ni desarrolla la actividad de buscador ni cabe imputarle ninguna de las actividades ni consecuencias que se deriven de la actividad que ejecuta Google Inc. aunque esta empresa sea la matriz de Google Spain.” No obstante lo anterior, para ilustrar los motivos por los que la AEPD mantiene su criterio de considerar, con carácter general, a la mercantil española como representante legal en España de la corporación GOOGLE, conviene relacionar los procedimientos de tutela de derechos tramitados por la Inspección de Datos en los que GOOGLE SPAIN, S.L. atendió los requerimientos que le había dirigido la Inspección, al respecto de reclamaciones planteadas por ciudadanos españoles, relativas al servicio de búsqueda de GOOGLE: TD/00299/2007, TD/00463/2007, TD/00814/2007, TD/00155/2008, TD/00387/2008, TD/00420/2008, TD/00444/2008, TD/00569/2008, TD/00580/2008. Por otra parte, conviene reseñar que, a requerimiento de la Inspección de Datos, la propia GOOGLE SPAIN, S.L. realizó alegaciones en el marco del expediente de actuaciones previas de inspección E/01544/2007, tramitado como consecuencia de una denuncia presentada por una organización de usuarios española, en relación con otro de los servicios ofrecidos por GOOGLE: el servicio de correo electrónico gratuito GMAIL. Como consecuencia de lo manifestado anteriormente hay que concluir que no se produce error alguno al dirigir el acuerdo de apertura de procedimiento de tutela de derechos a Google Spain como representante en España de Google Inc. manteniéndose, por tanto, en los términos redactados. OCTAVO: Para determinar si en este caso procede la eliminación de los datos personales relativos al reclamante, contenidos en el citado foro de discusión, es preciso destacar, con carácter previo, que el ejercicio del derecho debe ejercitarse ante el responsable del fichero. De conformidad con lo expuesto en la página Google, los Grupos de Google son un producto gratuito de Google, que permite crear grupos online y grupos de correo electrónico para participar en debates, asistir al cliente, organizar reuniones, encontrar personas con las mismas aficiones, etc. En consecuencia, el reclamante solicitó a Google Spain, S.L. (Google Inc.) la oposición al tratamiento de sus datos personales contenidos en el foro de discusión. Una vez sentado lo anterior, debemos indicar que la Directiva 95/46/CE, del Parlamento Europeo y del Consejo, de 24 de octubre, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, define “fichero de datos personales” en su artículo 2.
c)como “todo conjunto estructurado de datos personales, accesibles con arreglo a criterios determinados, ya sea centralizado, descentralizado o repartido de forma funcional o geográfica”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/25 El artículo 3.
b)de la LOPD define “fichero” como “todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso”. En definitiva, el sitio web mencionado por el reclamante es un fichero automatizado de datos de carácter personal al contener informaciones relativas a personas físicas. En segundo lugar, hay que hacer referencia al artículo 6 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y del comercio electrónico (en lo sucesivo LSSI), que determina que en su apartado 1 lo siguiente: “1. Los prestadores de un servicio de intermediación consistente en albergar datos proporcionados por el destinatario de este servicio no serán responsables por la información almacenada a petición del destinatario, siempre que:
a)No tengan conocimiento efectivo de que la actividad o la información almacena es ilícita o de que se lesiona bienes o derechos de un tercero susceptibles de indemnización, o
b)Si lo tienen, actúen con diligencia para retirar los datos o hacer imposible el acceso a ellos. Se entenderá que el prestador de servicios tiene el conocimiento efectivo a que se refiere el párrafo
a)cuando un órgano competente haya declarado la ilicitud de los datos, ordenando su retirada o que se imposibilite el acceso a los mismos, o se hubiera declarado la existencia de la lesión, y el prestador conociera la correspondiente resolución, sin perjuicio de los procedimientos de detección y retirada de contenidos que los prestadores apliquen en virtud de acuerdos voluntarios y de otros medios de conocimiento efectivo que pudieran establecerse”. Del precepto transcrito se colige, que la entidad reclamada es responsable de los contenidos del foro de discusión y debe ordenar su retirada o imposibilitar el acceso al mismo cuando la Agencia Española de Protección de Datos, como órgano competente, así lo determine. La Sentencia de la Audiencia Nacional de 11 de abril de 2012 señala que: «Al mismo tiempo, debe tomarse en consideración que el derecho a comunicar y a emitir libremente información veraz no otorga a sus titulares un poder ilimitado sobre cualquier ámbito de la realidad, sino que, al venir reconocido como medio de formación de la opinión pública solamente puede legitimar las intromisiones en otros derechos fundamentales que guarden congruencia con la finalidad expresada, careciendo de efecto legitimador cuando se ejercite de modo desmesurado y exorbitante al fin en atención al cual la Constitución le atribuye especial protección (STC 185/2002, de 14 de octubre, FJ 3), o que “en aquellos casos en los que, a pesar de producirse una intromisión en la intimidad, tal intromisión se revela como necesaria para lograr un fin constitucionalmente legítimo, proporcionada para alcanzarlo y se lleve a cabo utilizando los medios necesarios para procurar una mínima afectación del ámbito garantizado por este derecho, no podrá considerarse ilegítima” (STC 156/2001, de 2 de julio, FJ 4). En C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/25 definitiva, la intromisión en los derechos fundamentales de terceros resultante del ejercicio de la libertad de información sólo será legítima en la medida en que la afectación de dichos derechos resulte adecuada, necesaria y proporcionada para la realización constitucional del derecho a la libertad de información.» « (…) al margen de que carecen de la necesaria justificación, no pueden ser compartidas por este Tribunal. Tanto el derecho a la libertad de expresión como el derecho a comunicar y difundir información son derechos individuales cuya titularidad no queda restringida, como entiende la resolución recurrida, a los profesionales de los medios de comunicación, sino que, por el contrario, la ostentan todas las personas físicas. El Tribunal Constitucional ya en su sentencia 165/1987, de 27 de octubre de 1987 que “La libertad de información es, en términos constitucionales, un medio de formación de opinión pública en asuntos de interés general, cuyo valor de libertad preferente sobre otros derechos fundamentales y entre ellos el derecho al honor, puesto de manifiesto por la STC 104/1986 de 17 julio, viene determinado por su condición de garantía de la opinión pública, que es una institución constitucional al Estado democrático que los poderes públicos tienen especial obligación de proteger. Este valor preferente alcanza su máximo nivel cuando la libertad es ejercitada por los profesionales de la información a través del vehículo institucionalizado de formación de la opinión pública, que es la prensa, entendida en su más amplia acepción. Esto, sin embargo, no significa que la misma libertad no deba ser reconocida en iguales términos a quienes no ostentan igual cualidad profesional, pues los derechos de la personalidad pertenecen a todos sin estar subordinados a las características personales del que los ejerce, sino al contenido del propio ejercicio…”. Y con mayor motivo aun es inadmisible sostener que el derecho de libertad de expresión está reservado a los periodistas. De modo que ni es posible descartar que un particular puede ejercer legítimamente sus derechos constitucionales de la libertad de expresión y a comunicar información, ni puede circunscribirse el ejercicio de estos derechos a los medios convencionales de comunicación (prensa, radio, televisión), excluyendo otras formas de comunicación que existen en la actualidad, tales como las páginas web o noticias on line. (…)» « (…) El recurrente ejercía, a juicio de este Tribunal, su derecho a informar sobre una actividad que consideraba ilícita cometida por funcionarios públicos. La información proporcionada era veraz (o al menos no podía considerarse gratuita o notoriamente infundada), estaba documentada y tenía interés general y relevancia pública, afectando a personas que en su condición de funcionarios públicos y con cargos importantes en la Universidad tiene una clara proyección pública atendiendo al puesto que ocupaban y al servicio que prestaban. El ejercicio de la libertad de expresión y de información que amparaba al recurrente implica el tratamiento de los datos personales de los sujetos objeto de la crítica y de la información, pues la utilización de sus datos personales, de forma proporcional y justificada por el fin que se persigue y la libertad que se ejerce, se constituye un instrumento imprescindible sin el cual la crítica o la información carecería de sentido y se vaciaría de contenido. Por otra parte, tanto sus nombres, cargos e imágenes eran de conocimiento público al haber sido obtenidas de las páginas web C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/25 oficiales de la propia Universidad y los videos aparecen referidos a una actuación judicial pública que se encontraba colgada en youtube con la que estableció un vínculo, por lo que tampoco puede sostenerse que los datos proporcionados estuviesen fuera del alcance público desvelándose datos personales que desvinculados de la información no se conociesen anteriormente. Es por ello que la utilización de los datos de los denunciantes, estaba amparada por el ejercicio de la libertad de expresión e información del recurrente y la falta de consentimiento de los afectados está justificada de conformidad con lo dispuesto en el artículo 6.2 de la LOPD, sin que por ello puede entenderse que su conducta constituya infracción administrativa alguna en materia de protección de datos.» NOVENO: En el presente supuesto, el reclamante solicitó ante Google Spain, S.L. (Google Inc.) la oposición al tratamiento de sus datos personales en el foro de discusión siguiente: https://................... Dichos datos incluyen referencias vinculadas a su actuación pública como concejal de un Ayuntamiento de un municipio de Albacete, que supuestamente había realizado una denuncia de robo. Las investigaciones posteriores condujeron a su detención y disposición judicial Sobre la relevancia pública de la información recogida por el foro, ésta se proyecta en los hechos contenidos en la noticia que alude a la actuación como cargo público, que cuenta en su actuación profesional, centrada en el servicio público, con una eminente proyección pública. Por tanto, ha de entenderse que el contenido de la noticia cuenta con un efectivo interés para la opinión pública y, por tanto, como un hecho noticiable, siendo el tratamiento realizado, por tanto, congruente con la noticia difundida. Así las, cosas, hemos de tener en cuenta que aquellos que actúan tanto en el ámbito político como en el ámbito público, con responsabilidades en dichos campos, son objeto de una mayor exposición de sus datos ante la opinión pública, disminuyendo la privacidad de sus datos y sus actuaciones. Así, la Sentencia 107/1998 del Tribunal Constitucional concreta que “el valor preponderante de las libertades públicas del art. 20 de la Constitución, en cuanto se asienta en la función que éstas tienen de garantía de una opinión pública libre indispensable para la efectiva realización del pluralismo político, solamente puede ser protegido cuando las libertades se ejerciten en conexión con asuntos que son de interés general por las materias a que se refieren y por las personas que en ellos intervienen y contribuyan, en consecuencia, a la formación de la opinión pública, alcanzando entonces su máximo nivel de eficacia justificadora frente al derecho al honor, el cual se debilita, proporcionalmente, como límite externo de las libertades de expresión e información, en cuanto sus titulares son personas públicas, ejercen funciones públicas o resultan implicadas en asuntos de relevancia pública, obligadas por ello a soportar un cierto riesgo de que sus derechos subjetivos de la personalidad resulten afectados por opiniones o informaciones de interés general, pues así lo requieren el pluralismo político, la tolerancia y el espíritu de apertura, sin los cuales no existe sociedad democrática.” También, en dicho sentido, se ha manifestado el Tribunal Supremo (Sala de lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/25 Civil, Sección 1ª) en sentencia núm. 370/2009 de 14 mayo, que, en torno a la mayor exposición pública de aquellos que desarrollan una actividad pública, nos dice: “La libertad de expresión alcanza a la emisión de opiniones o juicios de valor, expresión y difusión libre de pensamientos, ideas y opiniones, como dice el artículo 20.1 .
a)de la Constitución Española que se contrapone, aunque es bien cierto que normalmente se entremezcla, con la libertad de información, que se refiere a la exposición veraz de hechos. En ningún caso, dichas libertades alcanzan a los insultos, vejaciones o descalificaciones. La colisión de éstos con los derechos al honor, intimidad e imagen ha sido tratada profusamente por la doctrina del Tribunal Constitucional y por la jurisprudencia de esta Sala, que ha destacado que no son libertades y derechos absolutos, sino que se debe analizar caso por caso, no a priori, para comprobar la exacta delimitación de unas y de otros, sin obviar que la base de un sistema democrático es la libertad de expresar las opiniones o críticas, sin que puedan darse excesivas cortapisas(…) El honor de la persona del demandante puede verse atentado subjetivamente por los comentarios hechos por el periodista codemandado, pero no objetivamente al haberse acreditado los excesos verbales de la actuación política y las diligencias penales y administrativas y denuncias y comunicados relacionados con la polémica que se halla inmersa en el presente caso. Todo ello relacionado con la cualidad de la persona que se siente ofendida y que tiene proyección pública por razón de su función política y que, como tal, debe soportar críticas que se hallan amparadas en la libertad de expresión. Efectivamente, ésta, base de un sistema democrático, ampara la crítica política y las confrontaciones que en este tema se producen con harta frecuencia. Es constante la jurisprudencia que dice y reitera la prevalencia de la libertad de expresión respecto del derecho al honor en contextos de contienda política; así, las sentencias de 31 de enero de 2008 ( RJ 2008, 1303) que recoge numerosas anteriores, de 17 de febrero de 2009 ( RJ 2009, 1495) y la muy anterior y muy clara de 27 de febrero de 2003 ( RJ 2003, 2153) . En definitiva, el demandante, como personaje político en la Comunidad de Murcia de proyección pública debe soportar, en el sentido jurídico de que no se considera intromisión ilegítima, las críticas y los comentarios, sean o no de buen gusto, que no lo son, pero que se hallan en el ámbito de la libertad de expresión y pertenecen a una contienda política, que impide que las expresiones concretas empleadas puedan ser calificadas de insultantes, denigratorias o vejatorias. Como se expresa en el recurso, se trata de asuntos que conciernen a la gestión pública de un personaje público sometido a la crítica de sus actos y a la que tiene derecho el público para la correcta formación de la opinión que exige el pluralismo y la crítica democrática en correlación con el derecho a la libertad de información y de opinión que asiste a los recurrentes como periódico y periodista.” Al respecto de la veracidad de la información, ha de señalarse que no le correspondería a este órgano administrativo valorar dichas consideraciones, al escaparse de sus competencias, por lo que, sobre este punto, al afectado le correspondería actuar de acuerdo a los cauces que para ello articula nuestro ordenamiento jurídico, a través de lo dispuesto en la Ley Orgánica 2/1984, de 26 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/25 marzo, reguladora del Derecho de Rectificación, acudiendo a lo dispuesto en dicha ley y, en su caso, a los correspondientes órganos jurisdiccionales, para poner de manifiesto su punto de vista sobre lo difundido, contando con la vía jurisdiccional, igualmente, para poner de manifiesto las posibles afectaciones que la información efectuada, produjera en el derecho al honor de los protagonistas de la noticia. Lo anterior, la discusión sobre la veracidad de la información, en su caso, no es incompatible con la preeminencia del derecho a la información sobre el derecho a la protección de datos, como establece la Audiencia Nacional en, entre otras sentencias, la dictada el 23 de febrero de 2010 (rec. 258/2009), que nos dice: (...) la doctrina de la STC 292/2000, de 30 de noviembre ( RTC 2000, 292) , así como la del mismo Tribunal Constitucional considera correcta la prevalencia, aunque no absoluta, de los derechos a la libre información sobre el derecho al honor, debiendo ponderase que el asunto a que se refiere la intromisión tenga relevancia pública e interés social, no exigiéndose, según ha matizado también dicho Tribunal, que los hechos o expresiones contenidos sean rigurosamente verdaderos, sino que impone un específico deber de diligencia en la comprobación razonable de la veracidad, en el sentido de que la información sea digna de protección, aunque su total exactitud sea controvertible. A tal efecto debe distinguirse dentro del Art. 20 CE , tal y como indica la STC 174/2006, de 5 de junio ( RTC 2006, 174) , entre el derecho que garantiza la libertad de expresión, cuyo objeto son los pensamientos, ideas y opiniones (concepto amplio que incluye las apreciaciones y los juicios de valor) y el derecho a comunicar información, que se refiere a la difusión de aquellos hechos que merecen ser considerados noticiables. Lo cual tiene decisiva importancia a la hora de determinar la legitimidad del ejercicio de esas libertades, pues mientras los hechos son susceptibles de prueba, las opiniones o juicios de valor, por su misma naturaleza, no se prestan a una demostración de exactitud, y ello hace que al que ejercita la libertad de expresión no le sea exigible la prueba de la verdad o diligencia en su averiguación, que condiciona, en cambio, la legitimidad del derecho de información por expreso mandato constitucional, que ha añadido al término "información", en el texto del Art. 20.1
d)CE , el adjetivo "veraz" ( SSTC 4/1996, de 19 de febrero ( RTC 1996, 4) ; 278/2005, de 7 de noviembre ( RTC 2005, 278) , FJ 2 ). DÉCIMO: Respecto a la solicitud de no captación de datos por Google como buscador, en relación a Google Inc, cabe destacar que al margen de que Google Inc ha designado a Google Spain como su representante en España del tratamiento de un fichero inscrito recientemente por la primera y de acuerdo a los argumentos ya expuestos, es preciso valorar que Google Spain es una filial de Google Inc que se dedica a la promoción y venta de los espacios publicitarios del buscador, desempeñando un papel significativo para su matriz, ya que el tratamiento de los datos se efectúa en el marco de las actividades comerciales de publicidad que constituyen el negocio de Google, existiendo, por tanto, una relación de causalidad entre la publicidad obtenida por Google Spain y el tratamiento de los datos al dirigir la publicidad a una ubicación geográfica determinada. Abundando en lo expuesto, la Sentencia del Tribunal Supremo nº 144/2013, determina lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/25 “Tal como se recoge en la sentencia apelada es un hecho que ha quedado acreditado en los autos, que la entidad demandada opera en España a través de una oficina permanente que tiene en Torre Picasso, Plaza Ruiz Picasso n.º 26, lugar en el que se procedió al emplazamiento de la demandada, actuando en España a través de una entidad filial, cuyo único socio fundador es la entidad demandada. (…) La Audiencia Provincial de Madrid confirmó esta resolución, desestimando el recurso de apelación de la parte demandante. La sentencia declaró aplicable la LSSI desde la perspectiva territorial, al declarar probado que la entidad demandada operaba en España a través de una oficina permanente y que actuaba en España a través de una entidad filial, cuyo único socio fundador era la entidad demandada.” En consecuencia, las acciones de tramitación del procedimiento se dirigieron a Google Spain, S.L. como representante de Google Inc. Debe subrayarse que el artículo 6.4 de la LOPD exige para que proceda el derecho de oposición que el afectado ponga de manifiesto la existencia de motivos concretos, fundados y legítimos, referidos a su concreta situación que justifiquen la cesación en el tratamiento de los datos de carácter personal que a él se refieren. No debe olvidarse, a tal efecto, que el artículo 6.4 de la LOPD trae causa de los establecido por el artículo 14.
a)de la Directiva 95/46/CE, que otorga al interesado el derecho a “oponerse, al menos en los casos contemplados en las letras
e)y
f)del artículo 7, en cualquier momento y por razones legítimas propias de su situación particular, a que los datos que le conciernan sean objeto de tratamiento, salvo cuando la legislación nacional disponga otra cosa”, añadiendo que “en caso de oposición justificada, el tratamiento que efectúe el responsable no podrá referirse ya a esos datos”. De este modo, el ejercicio del derecho exige sopesar los motivos concretos alegados por el interesado para determinar la procedencia o improcedencia de acceder a su solicitud. De este modo, la procedencia de la estimación de una tutela del derecho de oposición exige ponderar los motivos alegados por el interesado a fin de determinar si los mismos prevalecen sobre las causas que pueden justificar el tratamiento de sus datos de carácter personal. En el supuesto objeto de estudio en el presente procedimiento, el enlace respecto de cuya inclusión en el motor de búsqueda Google ejerce su derecho el reclamante, se dirigen a un foro de discusión en el que no constan otros datos de carácter personal que los referidos a su nombre y apellidos. Al propio tiempo, no alega ninguna motivación en la solicitud de tutela. Desde este análisis de los requisitos legales, no se aprecia motivo legítimo y fundado que justifique el derecho de oposición en este caso, ya que se trata de un supuesto en el que no se ha acreditado que los datos y la información que estos proporcionan, sean inexactos o hayan devenido obsoletos. Por tanto, ha de señalarse que nos encontramos con una información que se considera de interés para los ciudadanos, al referirse a la actuación de un cargo público, circunstancia de interés para la opinión pública, que no se ha acreditado que fuera C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/25 inexacta u obsoleta, por lo que, en lo que respecta a la normativa de protección de datos, nos encontramos ante un tratamiento legitimado que no supondría vulneración de la normativa en materia de protección de datos y que no cumple con los requisitos del artículo 6.4 de la LOPD, por lo que procede inadmitir la solicitud de tutela de derechos formulada. Todo ello sin perjuicio de la legislación sobre la protección de su derecho al honor y a la propia imagen. El cauce adecuado, por tanto, no se encuentra en la normativa de protección de datos de carácter personal, sino, en su caso, en la Ley Orgánica 1/1982, de Protección Civil del Derecho al Honor, a la Intimidad Personal y Familiar y a la Propia Imagen. No es la Agencia el órgano competente para la tutela del derecho supuestamente lesionado, por lo que deberá dirimirse y resolverse por las instancias correspondientes. En este sentido hay que tener en cuenta lo dispuesto en la Sentencia de la Audiencia Nacional de 24 de febrero de 2011, en cuyo fundamento jurídico tercero se expone: «En este caso es necesario comenzar desvinculando la materia de protección de datos de la relativa al derecho al honor y ello pues para la protección de este derecho existe un procedimiento específico de reclamación previsto en la Ley Orgánica 1/1982 de Protección Civil del Derecho al Honor, a la Intimidad Personal y Familiar y a la Propia Imagen cuyo artículo 1 establece que "El derecho fundamental al honor, a la intimidad personal y familiar y a la propia imagen, garantizado en el artículo 18 CE, será protegido civilmente frente a todo género de intromisiones ilegítimas, de acuerdo con lo establecido en la presente ley orgánica". La LOPD se aplica en los supuestos en los que se hace necesario someter a determinados controles el empleo de los datos personales para evitar usos inconsentidos, excesivos o destinados a fines contrarios a los recogidos o el tratamiento de los datos sin la información precisa etc. Todo esto se protege en un ámbito jurídico que es diferente a la divulgación de informaciones atentatorias a determinados derechos fundamentales como son el honor ó el derecho a la propia imagen. La separación de ambos sistemas de protección se aprecia, también, por el hecho de que los preceptos que se aplican en ambos casos son diferentes y, además, los procedimientos previstos para la reacción ante la violación de uno y otro ámbito del ordenamiento jurídico también son diferentes. En aquellos supuestos en los que se produce una colisión entre el derecho a la protección de datos y el derecho a la libertad de información contenido en el artículo 20 de la Constitución la prevalencia de la libertad de información resulta evidente siempre que se cumplan los requisitos de veracidad y relevancia pública que exige la jurisprudencia del Tribunal Constitucional según una jurisprudencia muy uniforme cuyos principios básicos se recogen en la STC 53/2006.» Por todo ello procede desestimar la presente reclamación de tutela de derechos. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/25 PRIMERO: DESESTIMAR la reclamación formulada por don A.A.A. contra GOOGLE SPAIN, S.L. (Google Inc.). SEGUNDO: NOTIFICAR la presente resolución a don A.A.A. y a GOOGLE SPAIN, S.L. (Google Inc.). De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del RLOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 18.4 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.