← España

TD-01748-2013

1/22 Procedimiento Nº: TD/01748/2013 RESOLUCIÓN Nº.: R/00629/2014 Vista la reclamación formulada por don A.A.A. contra GOOGLE SPAIN S.L. (GOOGLE INC.), por no haber sido atendido su derecho de cancelación y realizadas las actuaciones procedimentales previstas en el artículo 117 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre (en lo sucesivo, RLOPD), se han constatado los siguientes, HECHOS PRIMERO: Don A.A.A. ejercitó el derecho de cancelación ante Google Spain, S.L. (en lo sucesivo Google). Concretamente solicitaba la eliminación de sus datos personales que aparecen en el siguiente enlace web:

  1. www..............1
  2. www..............2
  3. www..............3
  4. www..............4
  5. www..............5
  6. www..............6
  7. www..............7
  8. www..............8
  9. www..............9
  10. www..............10 Google contestó al afectado informándole que “cualquier solicitud relativa al ejercicio de sus derechos de cancelación, oposición o rectificación sobre sus datos personales debería dirigirse al webmaster de la página web que publica esos datos en Internet.” SEGUNDO: Con fecha 14 de octubre de 2013, tuvo entrada en esta Agencia, reclamación de don A.A.A. contra GOOGLE SPAIN S.L. (GOOGLE INC.), por no haber sido atendido su derecho de cancelación. TERCERO: Con fecha 11 de noviembre de 2013, se remitió al interesado comunicación de la apertura del procedimiento de tutela de derechos y donde se le solicitaba subsanación, de conformidad con el artículo 71 de la Ley 30/1992, de 26 de noviembre, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/22 de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, para que aportara la impresión de las pantallas a las que se accede a través del enlace reclamado, resaltando los datos del afectado y la información que le afecta. CUARTO: Con fecha 19 de noviembre de 2013, tuvo entrada en esta Agencia, escrito del interesado, remitiendo la subsanación requerida en referencia a los enlaces 1, 2 y 4 de los diez expuestos en el hecho primero de la presente resolución, es decir: • • • www..............1 www..............2 www..............3 Asimismo incluye un nuevo enlace www.youtube........................ Cabe señalar, que de acuerdo con el artículo 42.5 de la Ley 30/1992, de 26 de noviembre, antes citada, el transcurso del plazo máximo legal para resolver el procedimiento de tutela de derechos y notificar la resolución (seis meses) se verá suspendido por el tiempo que medie entre la notificación del requerimiento y su efectivo cumplimiento por el destinatario. En el presente caso, el cumplimiento de la subsanación se efectuó en fecha 19 de noviembre de 2013, por lo que a partir de esa fecha volverá a comenzar el cómputo del plazo para la resolución del citado procedimiento. QUINTO: Con fecha 25 de noviembre de 2013, se dio traslado de la citada reclamación a Google para que alegara cuanto estimara conveniente a su derecho, manifestando, en síntesis, lo siguiente: • Infracción por indeterminación de la parte: Se considera que Google Spain, S.L. y Google Inc. no constituyen una única persona jurídica ni pueden ser confundidas en una única parte en un procedimiento administrativo, conforme a lo cual el procedimiento debe dirigirse contra el responsable del fichero y no contra Google Spain que no presta el servicio de buscador ni podría ser considerado responsable de fichero. • Solicitud del interesado: Google manifiesta que la solicitud del interesado pretende la eliminación de sus datos personales que aparecen en 10 enlaces. Google no ha podido identificar información que aluda al interesado. Así también manifiesta que las 4 páginas identificadas en su carta no coinciden con la carta remitida previamente a la entidad. • Descripción del proceso de búsqueda por Google: El proceso mediante el que opera el buscador de Google se basa en dos fases: una primera de recolección de palabras clave, y la segunda de comparación de las palabras incluidas como criterio de búsqueda en la consulta del usuario con las de la lista. La primera fase se desarrolla de forma constante e inadvertida por el usuario, mediante unos dispositivos que navegan permanentemente por la Red, visitando C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/22 los sitios web que encuentran y analizando su contenido. Durante esta visita, estos dispositivos extraen aquellas palabras que consideran útiles y las incluyen en una lista con la referencia a la dirección del sitio web de donde las extrajeron. La segunda fase es más perceptible en la práctica, ya que en ella se materializa el servicio prestado por la empresa. Esta fase se desarrolla mediante una simple comparación entre las palabras incluidas por el usuario como criterio de búsqueda y la lista que incluye las palabras extraídas y las referencias a los sitios web, facilitando al interesado una lista de resultados en la que se incluyen las referencias a los sitios web en que aparecen las palabras del criterio de búsqueda, ordenándolos en atención a la mayor o menor relevancia de la coincidencia. • Responsable del Servicio de Búsqueda: Alega Google que la entidad frente a quien se tramita la tutela de derechos, Google Spain, no es ni responsable ni encargada de la prestación del servicio de búsquedas en Internet. El negocio de Google Inc. se basa en la generación de un espacio para la publicidad, siendo el principal reclamo para que la publicidad insertada se vea o active la prestación con carácter gratuito del servicio de búsquedas en Internet. Es decir, Google Inc. presta dos servicios diferentes que completan su negocio, el primero es el servicio remunerado de publicitar la actividad de empresas en el comercio, mediante la venta del espacio publicitario. Para esta actividad se sirve de promotores locales (entre los que se encuentra Google Spain) que incentivan la compra de espacio en el área que tienen atribuida. El segundo consiste en el servicio gratuito de facilitar a los usuarios de Internet la localización de aquellos sitios en la Red cuyo contenido coincide con los criterios de búsqueda determinados por el usuario. La filial en España, Google Spain limita su actividad exclusivamente a promocionar, facilitar y/o procurar la venta de productos y/o servicios de publicidad on-line a través de Internet para terceros, actuando como agente comercial, así como el marketing de publicidad on-line etc. Es decir, Google Spain se limita a representar a Google Inc. en el negocio que ésta desarrolla de vender el espacio publicitario disponible en su página web, es sólo un Agente o representante mercantil exclusivo de Google Inc. y sólo representa a esta compañía en la promoción de la venta de los servicios publicitarios de Google Inc. Su actividad se limita a dichos servicios y, por ello, ni desarrolla la actividad de buscador ni cabe imputarle ninguna de las actividades ni consecuencias que se deriven de la actividad que ejecuta Google Inc. aunque esta empresa sea la matriz de Google Spain. Concluye Google alegando que Google Inc. es la única compañía de quien, en su caso, se podría exigir la eventual atención de cualesquiera derechos, quejas o sugerencias de las personas en relación con los servicios que presta esta compañía. • Normativa aplicable, partiendo de la premisa anterior, esto es, que el responsable único es Google Inc., y tras analizarse en las alegaciones por Google la normativa comunitaria y nacional de transposición, así como los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/22 criterios expuestos por el G 29, concluye que “dado que los servicios de buscador los presta Google Inc. desde los Estados Unidos, no resulta de aplicación ni la directiva europea de protección de datos ni la ley española que la aplica.” • Responsable principal del tratamiento.- el G 29 en su documento WP148 ha puesto de relieve que el motor de búsqueda no puede ser considerado el responsable principal de los datos principales que se tratan, de acuerdo con la legislación europea de protección de datos, sino que este papel principal responsable recae exclusivamente sobre el responsable del sitio web en donde se incluyó la información del interesado. • Inexistencia de infracción del derecho de oposición. Google alega finalmente que no ha habido infracción del derecho de oposición ya que recibida la solicitud de oposición por Google Spain, y en su papel de colaborador que desarrolla en el mercado español, remitió la misma a Google Inc. responsable del tratamiento respecto del cual el interesado instaba la cancelación de sus datos. Google Spain no contestó porque no es responsable de dicho tratamiento. Google Inc. contestó al interesado facilitándole la única información que podía darle relativa a que la única vía para conseguir el propósito que perseguía era el de acudir al responsable del sitio web para instar ahí la cancelación de sus datos o la limitación de los efectos de la publicación de forma que los motores de búsqueda no los indexen. FUNDAMENTOS DE DERECHO PRIMERO: La competencia para resolver la presente reclamación corresponde al Director de la Agencia Española de Protección de Datos, de acuerdo con el artículo 37.d), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (en lo sucesivo, LOPD). SEGUNDO: El artículo 18.1 de la LOPD señala que “Las actuaciones contrarias a lo dispuesto en la presente Ley pueden ser objeto de reclamación por los afectados ante la Agencia Española de Protección de Datos, en la forma que reglamentariamente se determine”. TERCERO: El artículo 16 de la LOPD dispone que: “
  11. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días.
  12. Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos.
  13. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/22 de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión.
  14. Si los datos rectificados o cancelados hubieran sido comunicados previamente, el responsable del tratamiento deberá notificar la rectificación o cancelación efectuada a quien se hayan comunicado, en el caso de que se mantenga el tratamiento por este último, que deberá también proceder a la cancelación.
  15. Los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado.” CUARTO: Observaciones sobre el fondo del asunto: Se alega por la entidad sujeto de la reclamación que GOOGLE SPAIN no es ni responsable, ni encargada de la prestación del servicio de búsquedas en Internet; para ello se basa en que GOOGLE se limita a representar a GOOGLE INC. en el negocio que ésta desarrolla de vender el espacio publicitario disponible en su página web. Continúa alegando que GOOGLE INC. es la única compañía de quien, en su caso, se podría exigir la eventual atención de cualesquiera derechos, quejas o sugerencias de las personas en relación con los servicios que presta esta compañía. Posteriormente, en cuanto a la normativa aplicable alega que a los servicios de buscador que presta GOOGLE INC desde los Estados Unidos, no resulta de aplicación ni la directiva europea de protección de datos ni la ley española que la aplica. A TODO ELLO CABE ARGUMENTAR LO SIGUIENTE: I. El artículo 3 del Reglamento aprobado por Real Decreto 1720/2008, señala su ámbito territorial de aplicación en los siguientes términos: “1.- Se regirá por el presente Reglamento todo tratamiento de datos de carácter personal: a) Cuando el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento, siempre que dicho establecimiento se encuentre ubicado en territorio español. Cuando no resulte de aplicación lo dispuesto en el párrafo anterior, pero exista un encargado del tratamiento ubicado en España, serán de aplicación al mismo las normas contenidas en el título VIII del presente Reglamento. b) Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española, según las normas de Derecho internacional público. c) Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/22 territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito. En este supuesto, el responsable del tratamiento deberá designar un representante establecido en territorio español.
  16. A los efectos previstos en los apartados anteriores, se entenderá por establecimiento, con independencia de su forma jurídica, cualquier instalación estable que permita el ejercicio efectivo y real de una actividad” II. Este artículo traspone el artículo 4 de la Directiva 95/46/CE, que literalmente señala: “Derecho nacional aplicable
  17. Los Estados miembros aplicarán las disposiciones nacionales que haya aprobado para la aplicación de la presente Directiva a todo tratamiento de datos personales cuando: a) el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro. Cuando el mismo responsable del tratamiento esté establecido en el territorio de varios Estados miembros deberá adoptar las medidas necesarias para garantizar que cada uno de dichos establecimientos cumple las obligaciones previstas por el Derecho nacional aplicable; b) el responsable del tratamiento no esté establecido en el territorio del Estado miembro, sino en un lugar en que se aplica su legislación nacional en virtud del Derecho internacional público; c) el responsable del tratamiento no esté establecido en el territorio de la Comunidad y recurra, para el tratamiento de datos personales, a medios, automatizados o no, situados en el territorio de dicho Estado miembro, salvo en caso de que dichos medios se utilicen solamente con fines de tránsito por el territorio de la Comunidad Europea.
  18. En el caso mencionado en la letra c) del apartado 1, el responsable del tratamiento deberá designar un representante establecido en el territorio de dicho Estado miembro, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento.” III. Este artículo responde a las consideraciones que se plasman en la exposición de motivos de la misma directiva; en concreto los considerandos 18 y siguientes presentan la siguiente justificación del artículo 4 en cuestión: “

(18)Considerando que, para evitar que una persona sea excluida de la protección garantizada por la presente Directiva, es necesario que todo tratamiento de datos personales efectuado en la Comunidad respete la legislación de uno de sus Estados miembros; que, a este respecto, resulta conveniente someter el tratamiento de datos efectuados por cualquier persona que actúe bajo la autoridad del responsable del tratamiento establecido en un Estado miembro a la aplicación de la legislación de tal Estado; C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/22
(19)Considerando que el establecimiento en el territorio de un Estado miembro implica el ejercicio efectivo y real de una actividad mediante una instalación estable; que la forma jurídica de dicho establecimiento, sea una simple sucursal o una empresa filial con personalidad jurídica, no es un factor determinante al respecto; que cuando un mismo responsable esté establecido en el territorio de varios Estados miembros, en particular por medio de una empresa filial, debe garantizar, en particular para evitar que se eluda la normativa aplicable, que cada uno de los establecimientos cumpla las obligaciones impuestas por el Derecho nacional aplicable a estas actividades;
(20)Considerando que el hecho de que el responsable del tratamiento de datos esté establecido en un país tercero no debe obstaculizar la protección de las personas contemplada en la presente Directiva; que en estos casos el tratamiento de datos debe regirse por la legislación del Estado miembro en el que se ubiquen los medios utilizados y deben adaptarse garantías para que se respeten en la práctica los derechos y obligaciones contempladas en la presente Directiva;” IV. El documento WP 148 de 4 abril de 2008 elaborado por el Grupo de Trabajo “G 29”, relativo a buscadores, analiza detalladamente la cuestión de la Ley nacional aplicable, y se pronuncia en los siguientes términos: “Responsable del tratamiento Un proveedor de buscadores que trata datos de los usuarios incluyendo direcciones IP y/ o cookies permanentes que contengan un identificador único se encuentra dentro del ámbito material de la definición de responsable de tratamiento, puesto que determina de forma efectiva las finalidades y los medios del tratamiento. La naturaleza multinacional de los grandes proveedores de servicios de búsqueda (con frecuencia con oficinas principales ubicadas fuera del EEE, con servicios prestados en todo el mundo, y con la implicación de distintas sucursales y posiblemente de terceros en el tratamiento de los datos personales) ha ocasionado un debate sobre la pregunta de quién debería considerarse el responsable de tratamiento en relación con un tratamiento de datos personales. Al Grupo de Trabajo le gustaría insistir en la diferencia entre las definiciones de legislación en materia de protección de datos del EEE y la cuestión de si esta legislación se aplica en una situación determinada. Un proveedor de buscadores que efectúa el tratamiento de datos personales, como registros con historiales de búsquedas personalmente identificables, se considera el responsable de tratamiento de estos datos personales, independientemente de la cuestión acerca de la jurisdicción. Artículo 4 de la Directiva de protección de datos/ derecho aplicable El artículo 4 de la Directiva de protección de datos trata la cuestión del derecho nacional aplicable. El Grupo de Trabajo ha proporcionado directrices ulteriores en relación con lo dispuesto en el artículo 4 en su “Documento de trabajo sobre la determinación de la aplicación internacional de la legislación europea en materia de protección de datos a los tratamientos de datos personales en Internet por parte de páginas web situadas fuera de la UE”. Existen dos razones detrás de esta disposición. La primera es evitar vacíos en el sistema establecido para la protección de datos en la Comunidad Europea, así como que se sortee éste. La C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/22 segunda es evitar la posibilidad de que la misma operación de tratamiento se rija por leyes de más de un Estado miembro de la UE. A causa de la naturaleza transnacional de los flujos de datos inducidos por los buscadores, el Grupo de Trabajo trata específicamente ambas complicaciones. En el caso de un proveedor de servicios de búsqueda que se establezca y preste todos sus servicios desde uno o más Estados miembros, no existe ninguna duda de que su tratamiento de datos personales se encuentra dentro del ámbito de la Directiva de protección de datos. Es importante hacer constar que en este caso, las normas de protección de datos no se limitan a los interesados situados en el territorio de un Estado miembro o que posean su nacionalidad. Cuando el proveedor de servicios de búsqueda es un responsable de tratamiento situado fuera del EEE, existen dos casos en los que se aplica la legislación comunitaria en materia de protección de datos. En primer lugar, cuando el proveedor de servicios de búsqueda cuenta con un establecimiento en un Estado miembro, de acuerdo con el artículo 4
(1)(a). En segundo lugar, cuando el buscador recurre a medios situados en el territorio de un Estado miembro, de acuerdo con el artículo 4
(1)(c). En este último caso, el buscador, de acuerdo con el artículo 4
(2), debe designar un representante en el territorio de dicho Estado miembro concreto. Establecimiento en el territorio de un Estado miembro (EEE) El artículo 4
(1)(a) prevé que el derecho nacional en materia de protección de datos de un Estado miembro debe aplicarse cuando ciertas operaciones de tratamiento de datos personales por parte del responsable de tratamiento se realicen “en el marco de las actividades de un establecimiento” de dicho responsable de tratamiento en el territorio de un Estado miembro. Una operación concreta de tratamiento de datos personales debe considerarse desde el punto de partida. Cuando se aplica a un buscador concreto cuyas oficinas principales se encuentran situadas fuera del EEE, la pregunta que debe responderse es si el tratamiento de los datos del usuario implica a establecimientos en el territorio de un Estado miembro. Como ya ha señalado el Grupo de Trabajo en su documento de trabajo anterior, la existencia de un “establecimiento” implica el ejercicio real y efectivo de actividades a través de gestiones estables y debe determinarse de conformidad con la jurisprudencia del Tribunal de Justicia de las Comunidades Europeas. La forma jurídica del establecimiento (una oficina local, una filial con personalidad jurídica o una representación mediante terceros) no resulta determinante. Sin embargo, otro requisito consiste en que la operación de tratamiento se realice “en el marco de las actividades” del establecimiento. Esto significa que el establecimiento también debe desempeñar un papel importante en la operación de tratamiento concreta. Éste es claramente el caso cuando: - un establecimiento es responsable de las relaciones con los usuarios del buscador en una jurisdicción concreta; - un proveedor de buscadores establece una oficina en un Estado miembro (EEE) implicada en la venta de anuncios dirigidos a los habitantes de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/22 dicho estado; el establecimiento de un proveedor de buscadores cumple los autos judiciales y/o solicitudes de cumplimiento de la ley por parte de las autoridades competentes de un Estado miembro en relación con los datos de los usuarios. El proveedor de buscadores es responsable de aclarar el grado de implicación de los establecimientos en el territorio de los Estados miembro en el tratamiento de datos personales. Si un establecimiento nacional se ve implicado en el tratamiento de datos de los usuarios, se aplica el artículo 4
(1)(a) de la Directiva de protección de datos. Los proveedores de servicios de búsqueda situados fuera de la UE deben informar a sus usuarios sobre las condiciones en las que deben cumplir la Directiva de protección de datos, ya sea por el establecimiento o por el recurso a medios. Recurso a medios Los buscadores que recurren a medios en el territorio de un Estado miembro (EEE) para el tratamiento de datos personales también se encuentran dentro del ámbito de la legislación en materia de protección de datos del Estado miembro. La legislación en materia de protección de datos de un Estado miembro también se aplica cuando el responsable de tratamiento […] recurra, para el tratamiento de datos personales, a medios, automatizados o no, situados en el territorio de dicho Estado miembro, salvo en caso de que dichos medios se utilicen solamente con fines de tránsito por el territorio de la Comunidad Europea. • C/ Jorge Juan, 6 28001 – Madrid En lo que respecta a la prestación de servicios de buscadores desde fuera de la UE, los centros de datos situados en el territorio de un Estado miembro pueden utilizarse para el almacenamiento y el tratamiento a distancia de datos personales. Otros tipos de medios podrían ser la utilización de ordenadores personales, terminales y servidores. La utilización de cookies y dispositivos de software similares por parte de un proveedor de servicios online también puede considerarse como recurso a medios en el territorio del Estado miembro, invocando, de este modo, la legislación en materia de protección de datos de dicho Estado miembro. Esta cuestión se debatió en el documento de trabajo citado con anterioridad (WP56). Se indica que “el ordenador del usuario puede considerarse un medio en el sentido del artículo 4
(1)de la Directiva 95/46/CE. Se encuentra situado en el territorio de un Estado miembro. El responsable decide recurrir a este medio con el fin de tratar datos personales y, según se ha explicado en apartados anteriores, se producen diversas operaciones técnicas sin el control del interesado. El responsable de tratamiento controla el equipo del usuario y este equipo no se www.agpd.es sedeagpd.gob.es 10/22 utiliza exclusivamente con fines de tránsito por el territorio de la Comunidad Europea.” “Conclusión El efecto combinado de los artículos 4
(1)(a) y 4
(1)(c) de la Directiva de protección de datos es que sus disposiciones se aplican al tratamiento de datos personales por parte de los proveedores de servicios de búsqueda en muchos casos, incluso cuando sus oficinas centrales se encuentran situadas fuera del EEE. (…) En el caso de proveedores de servicios de búsqueda multinacionales: - un Estado miembro en el que el proveedor de buscadores está establecido aplicará su legislación nacional en materia de protección de datos al tratamiento, de acuerdo con el artículo 4
(1)(a); - si el proveedor de buscadores no se encuentra establecido en ningún Estado miembro, un Estado miembro aplicará su legislación nacional en materia de protección de datos al tratamiento, de acuerdo con el artículo 4
(1)(c), si la empresa recurre a medios, automatizados o no, en el territorio de dicho Estado miembro, con fines de tratamiento de datos personales (por ejemplo, la utilización de una cookie). En algunos casos, un proveedor multinacional de buscadores deberá cumplir múltiples legislaciones en materia de protección de datos como resultado de las normas en relación con el derecho aplicable y la naturaleza transnacional de su tratamiento de datos personales: - un Estado miembro aplicará su derecho nacional a un buscador establecido fuera del EEE si recurre a medios; - un Estado miembro no puede aplicar su derecho nacional a un buscador establecido en el EEE en otra jurisdicción, aunque el buscador recurra a medios. En dichos casos, se aplicará el derecho nacional del Estado miembro en el que se encuentre establecido el buscador. V. El servicio de búsqueda de GOOGLE utiliza en el tratamiento de datos personales medios situados en territorio español sin que su utilización sea únicamente con fines de tránsito. El servicio de búsqueda de GOOGLE (Google Search) se presta a nivel mundial a través del sitio web www.google.com, aunque en muchos países existen versiones locales adaptadas al idioma nacional, a las cuales se accede por defecto, en función de la ubicación geográfica del usuario. La versión española del servicio se presta a través del sitio www.google.es. El motor de búsqueda de GOOGLE es un complejo sistema informático que indexa documentos almacenados en millones de servidores de páginas web (más comúnmente conocidos como servidores web), facilitando al usuario del servicio de búsqueda su inmediata localización, a través de determinadas palabras C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/22 contenidas en los documentos buscados. El índice del motor de búsqueda de GOOGLE se actualiza de forma dinámica a partir de la información obtenida por robots, que continuamente rastrean los servidores web públicamente disponibles en Internet, utilizando para ello la capacidad tecnológica de los propios servidores de la compañía, usualmente conocidos como “arañas web” o “web crawlers”. Las “arañas web” analizan de forma metódica páginas web HTML disponibles públicamente, recopilando los hiperenlaces que figuran en éstas (referencias a otras direcciones URL), para extender así su labor de rastreo, de forma encadenada, a todas las páginas y documentos referenciados. El rastreo consiste en extraer, de todos los documentos visitados (no sólo de las páginas con formato HTML, sino también de los documentos que presentan otros formatos), las palabras clave que serán indexadas. Para que la información que ofrece el buscador GOOGLE sea lo más universal y completa posible, la labor de rastreo de las “arañas web” de GOOGLE se extiende a las páginas web que se almacenan en servidores informáticos ubicados en todo el mundo. En particular, los servidores web ubicados en territorio español son expresamente visitados para extraer la información que, en una alta proporción, dará respuesta a las búsquedas de usuarios españoles. La información rastreada expresamente por GOOGLE en los servidores ubicados en territorio español incluye datos de carácter personal relativos a personas que no necesariamente son usuarios del buscador y que, al margen de los derechos que debe reconocerse a éstos, también se hallan en disposición de ejercitar sus propios derechos, en relación con los distintos tratamientos que de sus datos realiza GOOGLE. Así, conviene centrarse no sólo en el tratamiento realizado por GOOGLE consistente en presentar datos al usuario que realiza la búsqueda, sino también en el que previamente efectúa, al rastrear tales datos de carácter personal en los citados servidores españoles, con objeto de facilitar su posterior localización. Por otra parte, una de las facilidades que la versión española del servicio de buscador ofrece al usuario es, precisamente, discriminar el resultado de su búsqueda en función del idioma de redacción de los documentos o de la localización geográfica de los servidores web que los alojan. Así, el usuario puede decidir que los resultados de su búsqueda se refieran a “páginas de España”, sin más que indicarlo en la página principal del buscador, o bien, haciendo uso de la funcionalidad “Búsqueda avanzada”, directamente accesible desde la página principal, el usuario puede seleccionar sólo aquellas páginas que estén “ubicadas en España”. En ambos casos, resulta imprescindible que GOOGLE haya visitado con anterioridad las páginas ubicadas en servidores web españoles y registrado esta circunstancia durante la labor de rastreo realizada por sus “arañas web", de forma tal que si estos servidores no hubieran sido rastreados previamente, el resultado de la búsqueda se vería seriamente limitado para los usuarios españoles. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/22 Todo ello viene a demostrar que, para la prestación del servicio de búsqueda a los usuarios españoles, es requisito ineludible que se utilicen medios técnicos ubicados en territorio español, siendo plenamente consciente de ello la compañía prestataria del servicio. VI. El servicio de búsqueda prestado a través del sitio web www.google.es, es un servicio dirigido específicamente al territorio español. La afirmación de que el servicio de búsqueda está dirigido específicamente al territorio español se basa en los siguientes hechos: o o o El lenguaje de la página www.google.es está redactada en castellano, (también da la posibilidad de catalán, euskera y gallego). El dominio bajo el que se aloja el servicio de buscador Google en España es del tipo .es, que es un dominio territorial registrado en Red.es “bajo el código de país correspondiente a España” (Disposición adicional 6ª de la Ley 34/2002 de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico). Cuando se realizan búsquedas en www.google.es, los resultados que aparecen están dirigidos a usuarios ubicados en el territorio español. VII. La publicidad es la forma de financiación del buscador gratuito de Google, hasta tal punto, que el usuario no puede evitarla si quiere utilizar este servicio. Tal y como establecen sus condiciones de uso “Google llevará a cabo el tratamiento de los datos personales únicamente de conformidad con lo dispuesto en la presente Política de Privacidad o en las notificaciones adicionales que se incluyan en determinados servicios. Además de lo descrito anteriormente, dichos fines incluyen: o prestar nuestros servicios a los usuarios, incluyendo la publicación de contenido y publicidad personalizados. El servicio de búsqueda se financia a través de “Anuncios Google”. Estos anuncios se publican en la página de resultados de la búsqueda realizada por el usuario (AdWords) o en el contenido de sitios web visitados por este (AdSense). o El sistema AdWords, ofrece publicidad en los resultados de la búsqueda que realiza el usuario del servicio mediante enlaces patrocinados contextualizados en función de la búsqueda que se realice, y en particular, incorpora elementos adicionales que manifiestan su vinculación a un servicio dirigido específicamente a territorio español. Así en el sitio web en la que el cliente de Google solicita información sobre el servicio AdWords, se le requiere el CIF de la empresa (Código de Identificación Fiscal propio de España) y cuando se solicita que esa empresa defina u oriente sus objetivos publicitarios a consumidores, se le pregunta por el país al que desea dirigir su publicidad, figurando como primer país España. De esta manera, el servicio permite dirigir la publicidad a una determinada ubicación geográfica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/22 o El segundo sistema de publicidad es Google AdSense. Este sistema está diseñado para editores de sitios web y es un método para que cualquier editor de sitios web pueda publicar en sus páginas “Anuncios Google” relevantes y relacionados con el contenido de su sitio, obteniendo un beneficio económico gracias a ellos. Para darse de alta en este servicio es necesario que se acepten los términos y condiciones del programa AdSense. Una vez que se es cliente de AdSense, este programa de publicidad de Google rastrea de forma automática el contenido de las páginas y publica anuncios, tanto gráficos como de texto, relevantes para el público que las visita y relacionados con el contenido de su sitio. De ello se deriva que si el sitio web incorpora temas de interés para usuarios ubicados en territorio español, la publicidad estará también dirigida al territorio español, según se establece en el Documento 5 del Anexo II, condiciones de uso y ejemplo de publicidad AdSense. Por último, la vinculación de la publicidad a un servicio de búsqueda dirigido específicamente al territorio español se refuerza con la actividad de Google Spain. VIII. El caso concreto queda incluido en el supuesto analizado con los argumentos anteriores, específicamente cuando:  Examina la situación relativa a un buscador concreto cuyas oficinas principales se encuentran situadas fuera del EEE, y se plantea la pregunta que de si el tratamiento de los datos del usuario implica a establecimientos en el territorio de un Estado miembro. Como ya se ha señalado anteriormente, la existencia de un “establecimiento” implica el ejercicio real y efectivo de actividades a través de gestiones estables, y la forma jurídica del establecimiento (una oficina local, una filial con personalidad jurídica o una representación mediante terceros) no resulta determinante. También es requisito, en estos supuestos que la operación de tratamiento se realice “en el marco de las actividades” del establecimiento. Esto significa que el establecimiento también debe desempeñar un papel importante en la operación de tratamiento concreta. Éste es claramente el caso cuando: - un proveedor de buscadores establece una oficina en un Estado miembro (EEE) implicada en la venta de anuncios dirigidos a los habitantes de dicho estado; Como se ha señalado en las alegaciones de Google, su negocio (su actividad económica realizada en territorio nacional español), se basa en la generación de un espacio para la publicidad, siendo el principal reclamo para que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/22 la publicidad insertada se vea o active la prestación con carácter gratuito del servicio de búsquedas en Internet. Es decir, Google Inc. presta dos servicios diferentes que completan su negocio, el primero es el servicio remunerado de publicitar la actividad de empresas en el comercio, mediante la venta del espacio publicitario. Para esta actividad se sirve de promotores locales (entre los que se encuentra Google Spain) que incentivan la compra de espacio en el área que tienen atribuida. El segundo consiste en el servicio gratuito de facilitar a los usuarios de Internet la localización de aquellos sitios en la Red cuyo contenido coincide con los criterios de búsqueda determinados por el usuario. El proveedor de buscadores es responsable de aclarar el grado de implicación de los establecimientos en el territorio de los Estados miembro en el tratamiento de datos personales. Si un establecimiento nacional se ve implicado en el tratamiento de datos de los usuarios, se aplica el artículo 4
(1)(a) de la Directiva de protección de datos.  Pero es más, según el criterio ya descrito anteriormente, los buscadores que recurren a medios en el territorio de un Estado miembro (EEE) para el tratamiento de datos personales también se encuentran dentro del ámbito de la legislación en materia de protección de datos del Estado miembro, salvo en caso de que dichos medios se utilicen solamente con fines de tránsito por el territorio de la Comunidad Europea. En lo que respecta a la prestación de servicios de buscadores desde fuera de la UE, los centros de datos situados en el territorio de un Estado miembro pueden utilizarse para el almacenamiento y el tratamiento a distancia de datos personales. Otros tipos de medios podrían ser la utilización de ordenadores personales, terminales y servidores. La utilización de cookies y dispositivos de software similares por parte de un proveedor de servicios online también puede considerarse como recurso a medios en el territorio del Estado miembro, de este modo la legislación en materia de protección de datos de dicho Estado miembro le resulta aplicable. Se indica que “el ordenador del usuario puede considerarse un medio en el sentido del artículo 4
(1)de la Directiva 95/46/CE. Se encuentra situado en el territorio de un Estado miembro. El responsable decide recurrir a este medio con el fin de tratar datos personales y, según se ha explicado en apartados anteriores, se producen diversas operaciones técnicas sin el control del interesado. El responsable de tratamiento controla el equipo del usuario y este equipo no se utiliza exclusivamente con fines de tránsito por el territorio de la Comunidad Europea. En esta línea, como se ha manifestado por Google, la actividad del buscador (que no debe olvidarse que forma parte del negocio que en el territorio nacional realiza Google como complementario del espacio publicitario ofrecido) se compone de dos fases: una de ellas mediante unos dispositivos que navegan permanentemente por la Red, visitando los sitios web que encuentran y analizando su contenido. Durante esta visita, estos dispositivos extraen aquellas palabras que consideran útiles y las incluyen en una lista con la referencia a la dirección del sitio C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/22 web de donde las extrajeron. La segunda fase materializa el servicio prestado por la empresa. Esta fase se desarrolla mediante una simple comparación entre las palabras incluidas por el usuario como criterio de búsqueda y la lista que incluye las palabras extraídas y las referencias a los sitios web, facilitando al interesado una lista de resultados en la que se incluyen las referencias a los sitios web en que aparecen las palabras del criterio de búsqueda, ordenándolos en atención a la mayor o menor relevancia de la coincidencia. Pero es más, los buscadores recogen los datos y procede a su tratamiento, no siendo únicamente un vehículo de transmisión.  También como antes quedó señalado, en algunos casos, un proveedor multinacional de buscadores deberá cumplir múltiples legislaciones en materia de protección de datos como resultado de las normas en relación con el derecho aplicable y la naturaleza transnacional de su tratamiento de datos personales. IX. Pero es más, no sólo es la normativa específica de protección de datos la que, con arreglo a los argumentos anteriores, determina la Ley nacional aplicable a este supuesto, sino que dicha normativa resultaría en todo caso aplicable por determinación del tenor literal de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI), que en su artículo 4 establece: “A los prestadores establecidos en países que no sean miembros de la Unión Europea o del Espacio Económico Europeo, les será de aplicación lo dispuesto en los artículos 7.2 y 11.2. Los prestadores que dirijan sus servicios específicamente al territorio español quedarán sujetos, además, a las obligaciones previstas en esta Ley, siempre que ello no contravenga lo establecido en tratados o convenios internacionales que sean aplicables.” Por reenvío de dicho artículo resulta aplicable en este supuesto concreto el artículo 8.1.c de la misma Ley, que señala: “En caso de que un determinado servicio de la sociedad de la información atente o pueda atentar contra los principios que se expresan a continuación, los órganos competentes para su protección, en ejercicio de las funciones que tengan legalmente atribuidas, podrán adoptar las medidas necesarias para que se interrumpa su prestación o para retirar los datos que los vulneran”. El principio a que alude en el apartado
  1. c)es el “respeto a la dignidad de la persona”. Continúa el apartado siguiente de dicho artículo señalando: “En la adopción y cumplimiento de las medidas de restricción a que alude este apartado se respetarán, en todo caso, las garantías, normas y procedimientos previstos en el ordenamiento jurídico para proteger los derechos a la intimidad personal y familiar, a la protección de los datos personales, a la libertad de expresión o a la libertad de información, cuando estos pudieran resultar afectados”. Pero es más, esta cuestión ya ha sido analizada y resuelta por la Audiencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/22 Provincial de Madrid, en su sentencia 95/2010, de 19 de febrero. Dicha sentencia en su fundamento jurídico tercero señala, en síntesis, respecto del ámbito territorial de la Ley 34/2002, que ésta es aplicable a “los prestadores de servicios de la sociedad de la información establecidos en España y a los servicios prestados por ellos, o bien en los supuestos en que el prestador de servicios opere mediante un establecimiento permanente situado en territorio español, cuando disponga en el mismo, de forma continuada o habitual, de instalaciones o lugares de trabajo, en los que realice toda o parte de su actividad.” La misma sentencia estima acreditado que Google opera en España mediante una oficina permanente a través de la cual realiza toda o parte de su actividad dirigida al mercado español. Dicha oficina permanente es Google Spain. QUINTO: Por lo que se refiere al derecho de cancelación frente a Google, cabe señalar que un buscador es una herramienta que facilita al usuario de internet el acceso a determinadas páginas web. Para ello, la herramienta accede a una lista de enlaces previamente indexados y ofrece al usuario una relación de direcciones web que remiten a páginas en las que figuran las palabras seleccionadas por el usuario. Es importante especificar que la legislación española incluye a los buscadores dentro de la definición de “servicios de la sociedad de la información” de la LSSI. Así el apartado
  2. b)del Anexo define los servicios de intermediación como “el servicio de la sociedad de la información por el que se facilita la prestación o utilización de otros servicios de la sociedad de la información o el acceso a la información” y añade que son servicios de intermediación, entre otros, la provisión de instrumentos de búsqueda, acceso y recopilación de datos o de enlaces a otros sitios de Internet. El artículo 8 de la citada LSSI, dispone que “en caso de que un determinado servicio de la sociedad de la información atente o pueda atentar contra los principios que se expresan a continuación, los órganos competentes para su protección, en ejercicio de las funciones que tengan legalmente atribuidas, podrán adoptar las medidas necesarias para que se interrumpa su prestación o para retirar los datos que los vulneran. Los principios a que alude este apartado son los siguientes: (...)
  3. c)El respeto a la dignidad de la persona y al principio de no discriminación por motivos de raza, sexo, religión, opinión, nacionalidad, discapacidad o cualquier otra circunstancia personal o social. (el subrayado es de la Agencia Española de Protección de Datos) (...) Abundando en el principio del respeto a la dignidad de la persona la Sentencia del Tribunal Constitucional STC 292/2000 comienza señalando que “la singularidad del derecho a la protección de datos, por un lado, su objeto es más amplio que el del derecho a la intimidad, ya que el derecho fundamental a la protección de datos extiende su garantía no solo a la intimidad en su dimensión constitucionalmente protegida por el art. 18.1 CE, sino a lo que en ocasiones este Tribunal ha definido en términos más amplios como esfera de los bienes de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/22 la personalidad que pertenecen al ámbito de la vida privada, inextricablemente unidos al respeto de la dignidad personal (STC 170/1987, de 30 de Oct., FJ 4) como el derecho al honor, citado expresamente en el art. 18.4 CE, e igualmente, en expresión bien amplia del propio art. 18.4 CE, al pleno ejercicio de los derechos de la persona”. Reiterando la doctrina que ya había establecido en anteriores sentencias, la STC 292/2000, se refiere a que “el artículo 18.4 de la Constitución Española contiene un instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los restantes derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos, lo que la Constitución llama << la informática >>. La sentencia hace referencia a continuación al contenido esencial del derecho fundamental a la protección de datos, afirmando que “la garantía de la vida privada de la persona y de su reputación poseen hoy una dimensión positiva que excede el ámbito propio del derecho fundamental a la intimidad y que se traduce en un derecho de control sobre los datos relativos a la propia persona. La llamada <<libertad informática>> es así derecho a controlar el uso de los mismos datos insertos en un programa informático (habeas data) y comprende, entre otros aspectos, la oposición del ciudadano a que determinados datos personales sean utilizados para fines distintos de aquel legítimo que justificó su obtención”. (el subrayado es de la Agencia) Entiende el Alto Tribunal que “el derecho fundamental a la intimidad del artículo 18.1 CE es la de proteger frente a cualquier invasión que pueda realizarse en aquel ámbito de la vida personal y familiar que la persona desea excluir del conocimiento ajeno y de las intromisiones de terceros en contra de su voluntad. En cambio, el derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino, con el propósito de impedir su tráfico ilícito y lesivo para la dignidad y el derecho del afectado.” De lo expuesto se desprende que la afectación del derecho a la protección de Datos “atenta o puede atentar” al principio de respeto a la dignidad de la persona a los efectos previstos en el artículo 8 de la LSSI; y esa afectación debe predicarse de todas y cada una de las garantías que integran el derecho fundamental a la protección de datos personales, entre las que se incluye el derecho de oposición.  El artículo 17 de la LSSI “Responsabilidad de los prestadores de servicios que faciliten enlaces a contenidos o instrumentos de búsqueda” dispone lo siguiente: “1. Los prestadores de servicios de la sociedad de la información que faciliten enlaces a otros contenidos o incluyan en los suyos directorios o instrumentos de búsqueda de contenidos no serán responsables por la información a la que dirijan a los destinatarios de sus servicios, siempre que:
  4. a)No tengan conocimiento efectivo de que la actividad o la información C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/22 a la que remiten o recomiendan es ilícita o de que lesiona bienes o derechos de un tercero susceptibles de indemnización, o
  5. b)Si lo tienen, actúen con diligencia para suprimir o inutilizar el enlace correspondiente. Se entenderá que el prestador de servicios tiene el conocimiento efectivo a que se refiere el párrafo
  6. a)cuando un órgano competente haya declarado la ilicitud de los datos, ordenado su retirada o que se imposibilite el acceso a los mismos, o se hubiera declarado la existencia de la lesión, y el prestador conociera la correspondiente resolución, sin perjuicio de los procedimientos de detección y retirada de contenidos de los prestadores apliquen en virtud de los acuerdos voluntarios y de otros medios de conocimiento efectivo que pudieran establecerse. 2. La exención de responsabilidad establecida en el apartado 1 no operará en el supuesto de que el destinatario del servicio actúe bajo la dirección, autoridad o control del prestador que facilite la localización de estos contenidos”. (El subrayado es de la Agencia Española de Protección de Datos). En el caso que nos ocupa los datos personales obtenidos por Google potencialmente podrían afectar a la dignidad de la persona y pueden lesionar derechos de un tercero, por lo que el Director de la Agencia Española de Protección de Datos como órgano competente para velar por el cumplimiento de la legislación sobre protección de datos y controlar su aplicación, atendiendo a la reclamación formulada por el reclamante, puede requerir al responsable del tratamiento de los datos, la adopción de medidas necesarias para la adecuación del tratamiento de los datos a las disposiciones de la Ley Orgánica 15/1999, ejerciendo las funciones que le atribuye su artículo 37, así como a los efectos establecidos en los artículos 8 y 17 de la LSSI. Todo ello sin perjuicio de lo que más adelante se expondrá. Siguiendo esta argumentación, la Audiencia Provincial de Madrid en su sentencia 95/2010, señala que Google no puede ser responsable del contenido de los datos trasmitidos en el caso de que se den los requisitos de exención de responsabilidad del art. 17 antes citado; la exención no opera una vez que el prestador del servicio tenga conocimiento efectivo de que la información lesiona derechos de terceros. Esto es, la exención de responsabilidad no se produce, entre otros, cuando “el prestador del servicio, en este caso Google, haya tenido conocimiento de la correspondiente resolución…….y por lo tanto tenga que actuar con diligencia a los efectos de suprimir o inutilizar el enlace correspondiente.”. En este caso, la resolución dictada por el Director de la Agencia Española de Protección de Datos, sería requisito suficiente para entender que no se produce la exención de responsabilidad de Google prevista en el art. 17 de la LSSI y que, por tanto, resulta responsable y obligado a suprimir o inutilizar el enlace correspondiente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/22 Y todo ello, como se dice en la sentencia referida, no porque sea autor de la información controvertida sino por el hecho de que a través de su sistema de búsqueda permite acceder a dicha información.  Es necesario insistir en los efectos divulgativos multiplicadores que se producen a través de Internet y, en mayor medida de los buscadores y su repercusión en la protección de datos de las personas. SEXTO: En relación a la alegación formulada por Google Spain, en relación a la infracción por indeterminación de la parte, cabe señalar que lo que se suscita, en el fondo de este escrito remitido, es la discusión sobre si Google Spain representa a Google INC sólo en el negocio de venta de espacio publicitario como sostiene Google Spain o también como representante legal en materia de protección de datos; y es necesario ante esta cuestión manifestar que esta Agencia ha venido considerando en múltiples resoluciones la condición de Google Spain como representante en España de Google Inc y por ello se ha determinado su responsabilidad. La consideración de Google Spain como representante de Google Inc viene fundamentada en diversos argumentos que se han expuesto en varias resoluciones con un contenido idéntico al ahora analizado. Además de los recogidos en la resolución de esta tutela, se puede señalar que en repetidas ocasiones GOOGLE SPAIN, S.L. ha declarado a la Inspección de Datos su condición de representante en estos términos: “Google Spain se limita a representar a Google Inc. en el negocio que ésta desarrolla de vender el espacio publicitario disponible en su página web, es sólo un Agente o representante mercantil exclusivo de Google Inc. y sólo representa a esta compañía en la promoción de la venta de los servicios publicitarios de Google Inc.” GOOGLE SPAIN, S.L. ha declarado que “su actividad se limita a dichos servicios y, por ello, ni desarrolla la actividad de buscador ni cabe imputarle ninguna de las actividades ni consecuencias que se deriven de la actividad que ejecuta Google Inc. aunque esta empresa sea la matriz de Google Spain.” No obstante lo anterior, para ilustrar los motivos por los que la AEPD mantiene su criterio de considerar, con carácter general, a la mercantil española como representante legal en España de la corporación GOOGLE, conviene relacionar los procedimientos de tutela de derechos tramitados por la Inspección de Datos en los que GOOGLE SPAIN, S.L. atendió los requerimientos que le había dirigido la Inspección, al respecto de reclamaciones planteadas por ciudadanos españoles, relativas al servicio de búsqueda de GOOGLE: TD/00299/2007, TD/00463/2007, TD/00814/2007, TD/00155/2008, TD/00387/2008, TD/00420/2008, TD/00444/2008, TD/00569/2008, TD/00580/2008. Por otra parte, conviene reseñar que, a requerimiento de la Inspección de Datos, la propia GOOGLE SPAIN, S.L. realizó alegaciones en el marco del expediente de actuaciones previas de inspección E/01544/2007, tramitado como consecuencia de una denuncia presentada por una organización de usuarios española, en relación con otro de los servicios ofrecidos por GOOGLE: el servicio de correo electrónico gratuito GMAIL. Como consecuencia de lo manifestado anteriormente hay que concluir que no se produce error alguno al dirigir el acuerdo de apertura de procedimiento de tutela de derechos a Google Spain como representante en España de Google Inc. manteniéndose, por tanto, en los términos redactados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/22 OCTAVO: En el supuesto aquí analizado, ha quedado acreditado que el reclamante ejercitó ante Google el derecho de cancelación de sus datos personales respecto de los enlaces web expuestos en el hecho primero de la presente resolución. Durante la tramitación del presente procedimiento, el reclamante subsanó el requerimiento efectuado por esta Agencia en relación a los enlaces 1, 2 y 4: • • • www..............1 productforums.google.com/d/topic/websearch-es/4fDO03pogd4 https://es-la.facebook.com/public/Francisco-Javier-Armero-Muñoz El análisis de esta resolución se realizará en relación a los enlaces sobre los que se efectuó la subsanación requerida, no valorando respecto del resto de los enlaces solicitados en la reclamación de tutela de derechos. Asimismo añadió un nuevo enlace, www.youtube............., respecto del que no habrá pronunciamiento por tratarse de una nueva petición no incluida en la solicitud de cancelación objeto de la presente resolución. Respecto a Google Inc, cabe destacar que al margen de que Google Inc ha designado a Google Spain como su representante en España del tratamiento de un fichero inscrito recientemente por la primera y de acuerdo a los argumentos ya expuestos, es preciso valorar que Google Spain es una filial de Google Inc que se dedica a la promoción y venta de los espacios publicitarios del buscador, desempeñando un papel significativo para su matriz, ya que el tratamiento de los datos se efectúa en el marco de las actividades comerciales de publicidad que constituyen el negocio de Google, existiendo, por tanto, una relación de causalidad entre la publicidad obtenida por Google Spain y el tratamiento de los datos al dirigir la publicidad a una ubicación geográfica determinada. Abundando en lo expuesto, la Sentencia del Tribunal Supremo nº 144/2013, determina lo siguiente: “Tal como se recoge en la sentencia apelada es un hecho que ha quedado acreditado en los autos, que la entidad demandada opera en España a través de una oficina permanente que tiene en Torre Picasso, Plaza Ruiz Picasso n.º 26, lugar en el que se procedió al emplazamiento de la demandada, actuando en España a través de una entidad filial, cuyo único socio fundador es la entidad demandada. (…) La Audiencia Provincial de Madrid confirmó esta resolución, desestimando el recurso de apelación de la parte demandante. La sentencia declaró aplicable la LSSI desde la perspectiva territorial, al declarar probado que la entidad demandada operaba en España a través de una oficina permanente y que actuaba en España a través de una entidad filial, cuyo único socio fundador era la entidad demandada.” En consecuencia, las acciones de tramitación del procedimiento se dirigieron a Google Spain, S.L. como representante de Google Inc. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/22 Así, desde Google deberían haberse implementado las medidas necesarias para retirar los datos de su índice e imposibilitar el acceso posterior a los mismos, sin que resulte procedente una respuesta en el sentido de que “cualquier solicitud relativa al ejercicio de sus derechos de cancelación, oposición o rectificación sobre sus datos personales debería dirigirse al webmaster de la página web que publica esos datos en Internet.” Google manifiesta que no ha podido identificar información que aluda al interesado en los enlaces facilitados por el mismo. Por parte de esta Agencia se ha comprobado que los datos del reclamante no aparecen en los enlaces 1, 2 y 4, por lo que procede desestimar el presente procedimiento de tutela de derechos. Cabe señalar que el reclamante no ha subsanado el requerimiento efectuado por esta Agencia respecto a los enlaces 3,5,6,7,8,9 y 10, por lo que procede inadmitir la reclamación de tutela de derecho. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR la reclamación formulada por don A.A.A. contra GOOGLE SPAIN, S.L. (Google Inc.) en relación a los enlaces web 1,2 y 4. SEGUNDO: INADMITIR la reclamación formulada por don A.A.A. contra GOOGLE SPAIN, S.L. (Google Inc.) respecto de los enlaces web 3,5,6,7,8,9 y 10. TERCERO: INADMITIR la reclamación formulada por don A.A.A. contra GOOGLE SPAIN, S.L. (Google Inc.) respecto del enlace web www.youtube............ CUARTO: NOTIFICAR la presente resolución a don A.A.A. y a GOOGLE SPAIN, S.L. (Google Inc.). De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del RLOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 18.4 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/22 notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.