TD-01388-2015

1/9 Procedimiento Nº: TD/01388/2015 RESOLUCIÓN Nº: R/00307/2016 Vista la reclamación formulada el 17 de agosto de 2015, ante esta Agencia, por D. D.D.D., contra la entidad GOOGLE INC. (GOOGLE SPAIN), por no haber sido debidamente atendido su derecho de cancelación. Realizadas las actuaciones procedimentales previstas en el artículo 117 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, se han constatado los siguientes, HECHOS PRIMERO: En fecha 6 de julio de 2015, D. D.D.D. (en lo sucesivo, el reclamante), requirió notarialmente a GOOGLE SPAIN, S.L. para que procediera al bloqueo y cese en el buscador de las páginas alojadas en el servidor de blogspot, titularidad de GOOGLE: C.C.C. y B.B.B., así como cualesquiera otras que incluyan el nombre del reclamante. En ambos enlaces aparecen los datos de reclamante publicados, en dos blogs, en los que se revelan datos relacionados con el reclamante, y en concreto, de una sociedad de la que es Administrador, y otras sociedades, incluyendo enlaces con datos de comunicaciones relativas a procedimientos administrativos. El reclamante aporta Auto del Juzgado de Instrucción nº 36 de Madrid, de fecha 10 de diciembre de 2013, en el que se dispone librar oficio a la entidad “Google España” a fin de que de inmediato se proceda al cese en la publicación de las páginas alojadas en el servidor de su titularidad A.A.A. o cualquier otra en la que aparezca el nombre del reclamante, y se informe al Juzgado de forma urgente sobre la identidad de la persona o empresa/s que hayan contratado la publicación de las mismas. SEGUNDO: Con fecha 15 de julio de 2015, la entidad GOOGLE SPAIN, S.L. contestó a la solicitud del reclamante, manifestando que entendían que le gustaría eliminar determinada información que aparece en la plataforma Blogger, y le informan de que su solicitud no ha sido dirigida a la entidad adecuada, que tanto el motor de búsqueda de Google, como los restantes servicios dirigidos a los usuarios de Google los presta Google Inc. desde Estados Unidos. Y dado que Google Spain, S.L. no es la entidad adecuada para realizar este tipo de solicitudes, le ruegan que para cualquier consulta de carácter legal contacte directamente con Google Inc. a través del siguiente enlace: www.support.google.com/legal. TERCERO: En fecha 17 de agosto de 2015, D. D.D.D. formuló reclamación, ante esta Agencia, contra la entidad GOOGLE INC. (GOOGLE SPAIN), por no haber sido debidamente atendido su derecho de cancelación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 CUARTO: Con fecha 30 de septiembre de 2015, se remitió al reclamante comunicación de la apertura del procedimiento de Tutela de Derechos, en la que se le solicitaba subsanación, de conformidad con el artículo 71 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, para que aportara impresión de las pantallas a las que se accede a través de los enlaces citados, resaltando los datos del afectado y la información que le afecta, y en su caso, pruebas o indicios de la obsolescencia, lesividad de los hechos u otros elementos relevantes para realizar la ponderación de intereses en conflicto que la Directiva 95/461 CE y la Sentencia del TJUE de 13 de mayo de 2014 obligan a llevar a cabo en estos supuestos. QUINTO: En fecha 15 de octubre de 2015, el reclamante remitió escrito a esta Agencia, aportando la documentación requerida. Cabe señalar, que de acuerdo con el artículo 42.5 de la Ley 30/1992, de 26 de noviembre, antes citada, el transcurso del plazo máximo legal para resolver el procedimiento de Tutela de Derechos y notificar la resolución (seis meses) se verá suspendido por el tiempo que medie entre la notificación del requerimiento y su efectivo cumplimiento por el destinatario. En el presente caso, el cumplimiento de la subsanación se efectuó en fecha 15 de octubre de 2015, por lo que a partir de esa fecha volverá a comenzar el cómputo del plazo para la resolución del citado procedimiento. SEXTO: Trasladadas sucesivamente la reclamación y los escritos de descargos que se produjeron en la tramitación de este expediente, y por lo que a efectos de la resolución de la presente reclamación interesa, se realizaron, en síntesis, las siguientes alegaciones: • Con fecha 23 de octubre de 2015, se dio traslado de la citada reclamación a la entidad GOOGLE INC. (GOOGLE SPAIN) para que alegara cuanto estimase conveniente a su derecho, habiéndose recibido en esta Agencia el 28 de octubre de 2015, escrito en el que, en síntesis, se pone de manifiesto lo siguiente: Que el reclamante, por medio de un requerimiento notarial, se dirigió a Google Spain, S.L. para solicitar la eliminación de dos resultados que supuestamente remiten a dos blogs en los que, a su juicio, se revelaban datos de comunicaciones relativas a licencias administrativas, procedimientos judiciales en curso e incluso fotografías. Que en el Auto aportado se hace referencia a dos URLs distintas a las indicadas en el requerimiento notarial. Que la sociedad Google Spain, S.L. informó al interesado de que no era la entidad adecuada para resolver su pretensión, al tiempo que le ofrecía información acerca de cómo dirigirse a Google Inc. El reclamante no hizo uso de esa posibilidad, sino que se dirigió directamente a la AEPD. Que no cabe duda de que el interesado nunca se ha dirigido ni a Google Inc. ni a Google Spain, S.L. para ejercitar un derecho al amparo de la normativa en materia de protección de datos. En el requerimiento notarial en ningún momento se hizo referencia a ningún derecho reconocido en la LOPD, o en el reglamento, a la Sentencia del TJUE, al derecho al olvido, a su derecho a la protección de datos o a su privacidad. Que la reclamación debe ser desestimada a la vista de que falta un presupuesto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 esencial para el inicio del procedimiento de Tutela de Derechos como es que el interesado hubiera ejercitado previamente un derecho de cancelación u oposición de forma válida, y que Google Inc. hubiera denegado esa pretensión, cosa que nunca ha ocurrido. • El reclamante alega que tras la Sentencia del TJUE las acciones encaminadas a la protección de datos como la que aquí se tramita, se pueden dirigir a Google Spain. Que la comunicación mediante la cual se requirió a Google Spain para que procediera al bloqueo y cese en el buscador de los datos de las páginas indicadas, así como cualquier otra que incluya el nombre del reclamante alojado en blogspot y titularidad de Google, fue contestada por Google Spain, y figura lo siguiente: “entendemos que le gustaría eliminar determinada información que aparece en la plataforma Blogger”. De ello se deduce que tenían plena conciencia de lo que se estaba solicitando, si bien consideraron que dicha solicitud debía hacerse ante Google Inc. Que consta acreditado que con anterioridad al inicio de este procedimiento se ejerció el derecho de cancelación frente a Google Spain. FUNDAMENTOS DE DERECHO PRIMERO: La competencia para resolver la presente reclamación corresponde a la Directora de la Agencia Española de Protección de Datos, de acuerdo con el artículo 37.d), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (en lo sucesivo, LOPD). SEGUNDO: El artículo 18.1 de la LOPD, señala que: “Las actuaciones contrarias a lo dispuesto en la presente Ley pueden ser objeto de reclamación por los afectados ante la Agencia Española de Protección de Datos, en la forma que reglamentariamente se determine”. TERCERO: El artículo 16 de la LOPD, dispone: “1. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días. 2. Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos. 3. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión. 4. Si los datos rectificados o cancelados hubieran sido comunicados previamente, el responsable del tratamiento deberá notificar la rectificación o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 cancelación efectuada a quien se hayan comunicado, en el caso de que se mantenga el tratamiento por este último, que deberá también proceder a la cancelación. 5. Los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado.” CUARTO: El artículo 32.2 y 3 del Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, determina: “2. El responsable del fichero resolverá sobre la solicitud de rectificación o cancelación en el plazo máximo de diez días a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. En el caso de que no disponga de datos de carácter personal del afectado deberá igualmente comunicárselo en el mismo plazo. 3. Si los datos rectificados o cancelados hubieran sido cedidos previamente, el responsable del fichero deberá comunicar la rectificación o cancelación efectuada al cesionario, en idéntico plazo, para que éste, también en el plazo de diez días contados desde la recepción de dicha comunicación, proceda, asimismo, a rectificar o cancelar los datos. La rectificación o cancelación efectuada por el cesionario no requerirá comunicación alguna al interesado, sin perjuicio del ejercicio de los derechos por parte de los interesados reconocidos en la Ley Orgánica 15/1999, de 13 de diciembre.” QUINTO: El artículo 25 del Reglamento de la LOPD, establece: “1. Salvo en el supuesto referido en el párrafo 4 del artículo anterior, el ejercicio de los derechos deberá llevarse a cabo mediante comunicación dirigida al responsable del fichero, que contendrá:

1. a)Nombre y apellidos del interesado; fotocopia de su documento nacional de identidad, o de su pasaporte u otro documento válido que lo identifique y, en su caso, de la persona que lo represente, o instrumentos electrónicos equivalentes; así como el documento o instrumento electrónico acreditativo de tal representación. La utilización de firma electrónica identificativa del afectado eximirá de la presentación de las fotocopias del DNI o documento equivalente. El párrafo anterior se entenderá sin perjuicio de la normativa específica aplicable a la comprobación de datos de identidad por las Administraciones Públicas en los procedimientos administrativos.
2. b)Petición en que se concreta la solicitud.
3. c)Dirección a efectos de notificaciones, fecha y firma del solicitante.
4. d)Documentos acreditativos de la petición que formula, en su caso. 2. El responsable del tratamiento deberá contestar la solicitud que se le dirija en todo caso, con independencia de que figuren o no datos personales del afectado en sus ficheros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 3. En el caso de que la solicitud no reúna los requisitos especificados en el apartado primero, el responsable del fichero deberá solicitar la subsanación de los mismos (…).” SEXTO: Por lo que se refiere a la naturaleza del buscador como responsable de tratamiento, cabe señalar que un buscador es una herramienta que facilita al usuario de internet el acceso a determinadas páginas web. Para ello, la herramienta accede a una lista de enlaces previamente indexados y ofrece al usuario una relación de direcciones web que remiten a páginas en las que figuran las palabras seleccionadas por el usuario. La Sentencia del Tribunal de la Unión Europea de 13 de mayo de 2014, en su apartado 28, declara que “al explorar Internet de manera automatizada, constante y sistemática en busca de la información que allí se publica, el gestor de un motor de búsqueda recoge tales datos que extrae, registra y organiza posteriormente en el marco de sus programas de indexación, conserva en sus servidores y, en su caso, comunica y facilita el acceso a sus usuarios en forma de listas de resultados de sus búsquedas. Ya que estas operaciones están recogidas de forma explícita e incondicional en el artículo 2, letra b), de la Directiva 95/46, deben calificarse de tratamiento en el sentido de dicha disposición, sin que sea relevante que el gestor del motor de búsqueda también realice las mismas operaciones con otros tipos de información y no distinga entre estos y los datos personales. (…) Apartado 33: Ahora bien, el gestor del motor de búsqueda es quien determina los fines y los medios de esta actividad y, así, del tratamiento de datos personales que efectúa el mismo en el marco de esta y, por consiguiente, debe considerarse responsable de dicho tratamiento en virtud del mencionado artículo 2, letra d. (…) Apartado 35: Sobre este particular, procede poner de manifiesto que el tratamiento de datos personales llevado a cabo en el marco de la actividad de un motor de búsqueda se distingue del efectuado por los editores de sitios de Internet, que consiste en hacer figurar esos datos en una página en Internet, y se añade a él. Apartado 41: (…) la actividad de un motor de búsqueda, que consiste en hallar información publicada o puesta en Internet por terceros, indexarla de manera automática, almacenarla temporalmente y, por último, ponerla a disposición de los internautas según un orden de preferencia determinado, debe calificarse de tratamiento de datos personales, en el sentido de dicho artículo 2, letra b), cuando esa información contiene datos personales y, por otro, el gestor de un motor de búsqueda debe considerarse responsable de dicho tratamiento, en el sentido del mencionado artículo 2, letra d).” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 Consecuentemente, el Tribunal de Justicia considera que el gestor del motor de búsqueda es el responsable del tratamiento de los datos al determinar los fines y los medios de su actividad. SÉPTIMO: En cuanto a la normativa aplicable, cabe señalar lo siguiente: El artículo 2 de la LOPD, señala en su apartado 1 su ámbito territorial de aplicación en los siguientes términos: “Se regirá por la presente Ley Orgánica todo tratamiento de datos de carácter personal:
5. a)Cuando el tratamiento sea efectuado en territorio español en el marco de las actividades de un establecimiento del responsable del tratamiento.
6. b)Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española en aplicación de normas de Derecho Internacional público.
7. c)Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito.” Este artículo traspone el artículo 4 de la Directiva 95/46/CE, que literalmente señala: “Derecho nacional aplicable 1. Los Estados miembros aplicarán las disposiciones nacionales que haya aprobado para la aplicación de la presente Directiva a todo tratamiento de datos personales cuando:
8. a)el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro. Cuando el mismo responsable del tratamiento esté establecido en el territorio de varios Estados miembros deberá adoptar las medidas necesarias para garantizar que cada uno de dichos establecimientos cumple las obligaciones previstas por el Derecho nacional aplicable;
9. b)el responsable del tratamiento no esté establecido en el territorio del Estado miembro, sino en un lugar en que se aplica su legislación nacional en virtud del Derecho internacional público;
10. c)el responsable del tratamiento no esté establecido en el territorio de la Comunidad y recurra, para el tratamiento de datos personales, a medios, automatizados o no, situados en el territorio de dicho Estado miembro, salvo en caso de que dichos medios se utilicen solamente con fines de tránsito por el territorio de la Comunidad Europea. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 2. En el caso mencionado en la letra
11. c)del apartado 1, el responsable del tratamiento deberá designar un representante establecido en el territorio de dicho Estado miembro, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento.” La Sentencia de la Gran Sala del Tribunal de Justicia de la Unión Europea, de fecha 13 de mayo de 2014, considera a tenor del artículo 4.1.
12. a)de la Directiva 95/46, en sus apartados 55, 56, 57 y 60, lo siguiente: “procede considerar que el tratamiento de datos personales realizado en orden al funcionamiento de un motor de búsqueda como Google Search, gestionado por una empresa que tiene su domicilio social en un Estado tercero pero que dispone de un establecimiento en un Estado miembro, se efectúa en el marco de las actividades de dicho establecimiento si este está destinado a la promoción y venta en dicho Estado miembro de los espacios publicitarios del motor de búsqueda, que sirven para rentabilizar el servicio propuesto por el motor. En efecto, en tales circunstancias, las actividades del gestor del motor de búsqueda y las de su establecimiento situado en el Estado miembro de que se trate están indisociablemente ligadas, dado que las actividades relativas a los espacios publicitarios constituyen el medio para que el motor de búsqueda en cuestión sea económicamente rentable y dado que este motor es, al mismo tiempo, el medio que permite realizar las mencionadas actividades. (…) la propia presentación de datos personales en una página de resultados de una página de resultados de una búsqueda constituye un tratamiento de tales datos. Pues bien, toda vez que dicha presentación de resultados está acompañada, en la misma página, de la presentación de publicidad vinculada a los términos de búsqueda, es obligado declarar que el tratamiento de datos personales controvertido se lleva a cabo en el marco de la actividad publicitaria y comercial del establecimiento del responsable del tratamiento en territorio de un Estado miembro, en el caso de autos el territorio español. (…) debe interpretarse en el sentido de que se lleva a cabo un tratamiento de datos personales en el marco de las actividades de un establecimiento del responsable de dicho tratamiento en territorio de un Estado miembro, en el sentido de dicha disposición, cuando el gestor de un motor de búsqueda crea en el Estado miembro una sucursal o una filial destinada a garantizar la promoción y la venta de espacios publicitarios propuestos por el mencionado motor y cuya actividad se dirige a los habitantes de este Estado miembro.” Como consecuencia de lo manifestado anteriormente, hay que concluir que procede resolver la Tutela de Derechos frente a Google Spain como representante en España de Google Inc. OCTAVO: En el supuesto aquí analizado, una vez examinada la documentación presentada ante esta Agencia, se observa que el reclamante requirió notarialmente a GOOGLE SPAIN, S.L. para que procediera al bloqueo y cese en el buscador de las páginas alojadas en el servidor de blogspot, titularidad de GOOGLE: C.C.C. y B.B.B., así como cualesquiera otras que incluyan el nombre del reclamante. Y en dicho C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 requerimiento notarial no queda acreditado que el reclamante ejercitase ninguno de los derechos regulados por la normativa de protección de datos. En este sentido, entre la documentación aportada por el reclamante, consta resolución de esta Agencia (E/02054/2015), de fecha 22 de abril de 2015, en la que se le indica: “el afectado puede, respecto del citado blog, ejercitar el derecho de cancelación previsto en el artículo 16 de la LOPD y en el Título III del Reglamento de desarrollo de esta Ley, aprobado mediante Real Decreto 1720/2007, de 21 de diciembre. Este derecho es personalísimo y debe, por tanto, ser ejercitado directamente por los interesados ante cada uno de los responsables o titulares de los ficheros o tratamientos de datos de carácter personal. En supuestos como el planteado, el afectado debería ejercitar el derecho de cancelación ante el autor del blog o, en su defecto, ante el responsable de la plataforma que lo aloja, pudiendo para ello hacer uso de la funcionalidad que GOOGLE ofrece en la sección “Alguien está publicando información acerca de mí”, accesible a través de la página https://support.google.com/blogger/answer/76317?hl=es. También puede dirigirse por escrito al representante en España de la compañía responsable, GOOGLE SPAIN, S.L., con domicilio en la plaza Pablo Ruiz Picasso, nº 1, de Madrid