← España

TD-01833-2017

1/13 Procedimiento Nº: TD/01833/2017 RESOLUCIÓN Nº.: R/00149/2018 Vista la reclamación formulada por don G.G.G., representado por el BUFETE H.H.H. ABOGADOS, contra MICROSOFT CORPORATION, por no haber sido atendido debidamente su derecho de cancelación. Realizadas las actuaciones procedimentales previstas en el artículo 117 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre (en lo sucesivo, RLOPD), se han constatado los siguientes, HECHOS PRIMERO: Con fecha 25 de agosto de 2017, tuvo entrada en esta Agencia reclamación de don H.H.H. contra Microsoft Corporation por no haber sido atendido debidamente su derecho cancelación. Solicitó que su nombre no se asociara en los resultados del buscador a una serie de urls, de las que reclama ante esta Agencia las siguientes: 1. 2. 3. 4. 5. 6. A.A.A. B.B.B. D.D.D. E.E.E. F.F.F. C.C.C. En los enlaces nº 1, 2, 3 y 6, se hace referencia a los datos personales del interesado publicados en una noticia de un medio de comunicación (año ***AÑO.1), en referencia a (......). El enlace nº 4 muestra los datos del afectado publicados en una noticia de un medio de comunicación (año ***AÑO.2) en referencia a su declaración como testigo en una investigación judicial. En el enlace nº 5 aparecen los datos del reclamante en un edicto de notificación del (......). El interesado manifiesta que la condena sobre la que se informa en las urls 1, 2, 3 y 6, “es por una falta del año ***AÑO.3, que ni siquiera constituye antecedente penal, y la multa impuesta fue pagada en su día, las diligencias previas incoadas por (......) fueron finalmente archivadas sin declaración de responsabilidad (…), y las aludidas denuncias (......) son falsas, nunca existieron procesos judiciales por tal motivo”. Respecto a la información ofrecida por las otras dos urls, manifiesta que se trata de información obsoleta. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 SEGUNDO: Con fecha 14 de septiembre de 2017, se dio traslado de la citada reclamación a Microsoft para que alegara cuanto estimara conveniente a su derecho, habiendo tenido entrada en esta Agencia un escrito con fecha 13 de octubre de 2017 en el que, en síntesis, manifiesta lo siguiente: • El buscador Bing es un servicio prestado por la sociedad estadounidense Microsoft Corporation, sin que Microsoft Ibérica sea responsable o encargado del tratamiento en relación con dicho servicio y sin que las actividades de dicho buscador estén indisociablemente ligadas a las actividades de Microsoft Ibérica; en particular, deseamos destacar que Microsoft Ibérica no comercializa ni intermedia en la comercialización de publicidad en el buscador Bing.” • Microsoft Ibérica se ha puesto en contacto con el prestador del servicio, Microsoft Corporation, que le ha comunicado que se estimó el bloqueo de las cinco primeras urls para las búsquedas por el nombre y apellidos del reclamante. No obstante, para las búsquedas por los dos apellidos del reclamante, no procede la desindexación porque “no constituyen identificador inequívoco de una persona”. Respecto de la última url, manifiesta que no fue incluida en su solicitud a través del formulario online, por consiguiente debe desestimarse su pretensión. A pesar de lo expuesto, “en caso de que la AEPD determinase que la solicitud del reclamante es merecedora de tutela, nos indica Microsoft Corporation que procederá a bloquear los resultados solicitados a la mayor brevedad posible, en los términos de la sentencia del Tribunal de Justicia de la Unión Europea (…)”. TERCERO: Examinadas las alegaciones formuladas por Microsoft, se dan traslado de las mismas al reclamante, quien, en síntesis, manifiesta que sus apellidos “ G.G.G.” en unión no son habituales por lo que las posibilidades de apellidos iguales en otra persona son “prácticamente nulas”. Respecto a la url nº 6 de las expuestas manifiesta que fue incluida “en el escrito dirigido a Microsoft Ibérica, y de hecho, fue la quinta de las seis urls que se adjuntaron impresas a dicha reclamación (…)”. CUARTO: Otorgada audiencia nuevamente a Microsoft en fecha 23 de noviembre de 2017, no se ha atendido el trámite de alegaciones solicitado. FUNDAMENTOS DE DERECHO PRIMERO: La competencia para resolver la presente reclamación corresponde a la Directora de la Agencia Española de Protección de Datos, de acuerdo con el artículo 37.d), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (en lo sucesivo, LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 SEGUNDO: El artículo 18.1 de la LOPD señala que “Las actuaciones contrarias a lo dispuesto en la presente Ley pueden ser objeto de reclamación por los afectados ante la Agencia Española de Protección de Datos, en la forma que reglamentariamente se determine”. TERCERO: El artículo 16 de la LOPD dispone que: “1. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días. 2. Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos. 3. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión. 4. Si los datos rectificados o cancelados hubieran sido comunicados previamente, el responsable del tratamiento deberá notificar la rectificación o cancelación efectuada a quien se hayan comunicado, en el caso de que se mantenga el tratamiento por este último, que deberá también proceder a la cancelación. 5. Los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado.” CUARTO: Por lo que se refiere a la naturaleza del buscador como responsable de tratamiento, cabe señalar que un buscador es una herramienta que facilita al usuario de internet el acceso a determinadas páginas web. Para ello, la herramienta accede a una lista de enlaces previamente indexados y ofrece al usuario una relación de direcciones web que remiten a páginas en las que figuran las palabras seleccionadas por el usuario. La Sentencia del Tribunal de la Unión Europea de 13 de mayo de 2014, en su apartado 28, declara que “al explorar Internet de manera automatizada, constante y sistemática en busca de la información que allí se publica, el gestor de un motor de búsqueda recoge tales datos que extrae, registra y organiza posteriormente en el marco de sus programas de indexación, conserva en sus servidores y, en su caso, comunica y facilita el acceso a sus usuarios en forma de listas de resultados de sus búsquedas. Ya que estas operaciones están recogidas de forma explícita e incondicional en el artículo 2, letra b), de la Directiva 95/46, deben calificarse de tratamiento en el sentido de dicha disposición, sin que sea relevante que el gestor del motor de búsqueda también realice las mismas operaciones con otros tipos de información y no distinga entre estos y los datos personales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 (…) Apartado 33: Ahora bien, el gestor del motor de búsqueda es quien determina los fines y los medios de esta actividad y, así, del tratamiento de datos personales que efectúa el mismo en el marco de esta y, por consiguiente, debe considerarse responsable de dicho tratamiento en virtud del mencionado artículo 2, letra d. (…) Apartado 35: Sobre este particular, procede poner de manifiesto que el tratamiento de datos personales llevado a cabo en el marco de la actividad de un motor de búsqueda se distingue del efectuado por los editores de sitios de Internet, que consiste en hacer figurar esos datos en una página en Internet, y se añade a él. Apartado 41: (…) la actividad de un motor de búsqueda, que consiste en hallar información publicada o puesta en Internet por terceros, indexarla de manera automática, almacenarla temporalmente y, por último, ponerla a disposición de los internautas según un orden de preferencia determinado, debe calificarse de tratamiento de datos personales, en el sentido de dicho artículo 2, letra b), cuando esa información contiene datos personales y, por otro, el gestor de un motor de búsqueda debe considerarse responsable de dicho tratamiento, en el sentido del mencionado artículo 2, letra d).” Consecuentemente, el Tribunal de Justicia considera que el gestor del motor de búsqueda es el responsable del tratamiento de los datos al determinar los fines y los medios de su actividad. QUINTO: En cuanto a la normativa aplicable cabe señalar lo siguiente: El artículo 2 de la LOPD, señala en su apartado 1 su ámbito territorial de aplicación en los siguientes términos: “Se regirá por la presente Ley Orgánica todo tratamiento de datos de carácter personal:

  1. a)Cuando el tratamiento sea efectuado en territorio español en el marco de las actividades de un establecimiento del responsable del tratamiento.
  2. b)Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española en aplicación de normas de Derecho Internacional público.
  3. c)Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 Este artículo traspone el artículo 4 de la Directiva 95/46/CE, que literalmente señala: “Derecho nacional aplicable 1. Los Estados miembros aplicarán las disposiciones nacionales que haya aprobado para la aplicación de la presente Directiva a todo tratamiento de datos personales cuando:
  4. a)el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro. Cuando el mismo responsable del tratamiento esté establecido en el territorio de varios Estados miembros deberá adoptar las medidas necesarias para garantizar que cada uno de dichos establecimientos cumple las obligaciones previstas por el Derecho nacional aplicable;
  5. b)el responsable del tratamiento no esté establecido en el territorio del Estado miembro, sino en un lugar en que se aplica su legislación nacional en virtud del Derecho internacional público;
  6. c)el responsable del tratamiento no esté establecido en el territorio de la Comunidad y recurra, para el tratamiento de datos personales, a medios, automatizados o no, situados en el territorio de dicho Estado miembro, salvo en caso de que dichos medios se utilicen solamente con fines de tránsito por el territorio de la Comunidad Europea. 2. En el caso mencionado en la letra
  7. c)del apartado 1, el responsable del tratamiento deberá designar un representante establecido en el territorio de dicho Estado miembro, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento.” La Sentencia de la Gran Sala del Tribunal de Justicia de la Unión Europea, de fecha 13 de mayo de 2014, considera a tenor del artículo 4.1.
  8. a)de la Directiva 95/46, en sus apartados 55, 56, 57 y 60, lo siguiente: “procede considerar que el tratamiento de datos personales realizado en orden al funcionamiento de un motor de búsqueda como Google Search, gestionado por una empresa que tiene su domicilio social en un Estado tercero pero que dispone de un establecimiento en un Estado miembro, se efectúa en el marco de las actividades de dicho establecimiento si este está destinado a la promoción y venta en dicho Estado miembro de los espacios publicitarios del motor de búsqueda, que sirven para rentabilizar el servicio propuesto por el motor. En efecto, en tales circunstancias, las actividades del gestor del motor de búsqueda y las de su establecimiento situado en el Estado miembro de que se trate están indisociablemente ligadas, dado que las actividades relativas a los espacios publicitarios constituyen el medio para que el motor de búsqueda en cuestión sea económicamente rentable y dado que este motor es, al mismo tiempo, el medio que permite realizar las mencionadas actividades. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 (…) la propia presentación de datos personales en una página de resultados de una página de resultados de una búsqueda constituye un tratamiento de tales datos. Pues bien, toda vez que dicha presentación de resultados está acompañada, en la misma página, de la presentación de publicidad vinculada a los términos de búsqueda, es obligado declarar que el tratamiento de datos personales controvertido se lleva a cabo en el marco de la actividad publicitaria y comercial del establecimiento del responsable del tratamiento en territorio de un Estado miembro, en el caso de autos el territorio español. (…) debe interpretarse en el sentido de que se lleva a cabo un tratamiento de datos personales en el marco de las actividades de un establecimiento del responsable de dicho tratamiento en territorio de un Estado miembro, en el sentido de dicha disposición, cuando el gestor de un motor de búsqueda crea en el Estado miembro una sucursal o una filial destinada a garantizar la promoción y la venta de espacios publicitarios propuestos por el mencionado motor y cuya actividad se dirige a los habitantes de este Estado miembro.” SEXTO: En relación a la posibilidad de ejercer el derecho de cancelación ante el buscador de Internet sin acudir al responsable del sitio web, la referida Sentencia del Tribunal de Justicia de la Unión Europea, en sus apartados 80 y 88, señala que “un tratamiento de datos (…) efectuado por el gestor de un motor de búsqueda, puede afectar significativamente a los derechos fundamentales de respeto de la vida privada y de protección de datos personales cuando la búsqueda realizada sirviéndose de ese motor de búsqueda se lleva a cabo a partir del nombre de una persona física, toda vez que dicho tratamiento permite a cualquier internauta obtener mediante la lista de resultados una visión estructurada de la información relativa a esta persona que puede hallarse en Internet, que afecta potencialmente a una multitud de aspectos de su vida privada, que, sin dicho motor, no se habrían interconectado o sólo podrían haberlo sido muy difícilmente y que le permite de este modo establecer un perfil más o menos detallado de la persona de que se trate. Además, el efecto de la injerencia en dichos derechos del interesado se multiplica debido al importante papel que desempeñan Internet y los motores de búsqueda en la sociedad moderna, que confieren a la información contenida en tal lista de resultados carácter ubicuo (véase, en este sentido, la sentencia eDate Advertisin y otros, C-509/09 y C-161/10, EU:C2011:685, apartado 45). (…) para respetar los derechos que establecen estas disposiciones, siempre que se cumplan realmente los requisitos establecidos en ellos, el gestor de un motor de búsqueda está obligado a eliminar de la lista de resultados obtenida tras una búsqueda efectuada a partir del nombre de una persona vínculos a páginas web, publicadas por terceros y que contienen información relativa a esta persona, también en el supuesto de que este nombre o esta información no se borren previa o simultáneamente de esta páginas web, y, en su caso, aunque la publicación en dichas páginas sea en sí misma lícita.” Consecuentemente, el tratamiento de datos de carácter personal que realiza el gestor de un motor de búsqueda permite que de un “nombre” se obtenga una lista de resultados que ofrezcan información sobre una persona que pueda afectar a su ámbito privado. Una vez que el interesado ha presentado su solicitud de cancelación de sus C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 datos personales ante el motor de búsqueda, deberá examinarla y proceder, en su caso, a la supresión de los enlaces concretos de la lista de resultados, sin que previa o simultáneamente se tenga que acudir al responsable del sitio web. SÉPTIMO: Finalmente debe analizarse la procedencia o no de atender, en el presente caso, la solicitud de que tras una búsqueda efectuada, su nombre no se vincule a determinados resultados. En el presente caso, el reclamante ha reclamado ante esta Agencia, por denegación del derecho de cancelación por parte de Microsoft, para que sus datos no se vinculen a las siguientes urls: 1. 2. 3. 4. 5. 6. A.A.A. B.B.B. D.D.D. E.E.E. F.F.F. C.C.C. En los enlaces nº 1, 2, 3 y 6, se hace referencia a los datos personales del interesado publicados en una noticia de un medio de comunicación (año ***AÑO.1), en referencia a (......). El enlace nº 4 muestra los datos del afectado publicados en una noticia de un medio de comunicación (año ***AÑO.2) en referencia a su declaración como testigo en una investigación judicial. En el enlace nº 5 aparecen los datos del reclamante en un edicto de notificación del (......). El interesado manifiesta que la condena sobre la que se informa en las urls 1, 2, 3 y 6, “es por una falta del año ***AÑO.3, que ni siquiera constituye antecedente penal, y la multa impuesta fue pagada en su día, las diligencias previas incoadas por (......) fueron finalmente archivadas sin declaración de responsabilidad (…), y las aludidas denuncias (......) son falsas, nunca existieron procesos judiciales por tal motivo”. Respecto a la información ofrecida por las otras dos urls, manifiesta que se trata de información obsoleta. Durante la tramitación del presente procedimiento, Microsoft ha comunicado que se estimó el bloqueo de las cinco primeras urls para las búsquedas por el nombre y apellidos del reclamante. No obstante, para las búsquedas por los dos apellidos del reclamante, no procede la desindexación porque “no constituyen identificador inequívoco de una persona”. La lista de resultados obtenida en una búsqueda a partir de un nombre, página web o información relativa a una persona, facilita la accesibilidad y difusión de la información a cualquier internauta que realice una búsqueda sobre el interesado, constituyendo una injerencia en el derecho fundamental al respeto de la vida privada del interesado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 De conformidad con la Sentencia del Tribunal de Justicia de la Unión Europea en su apartado 99: “Los artículos 12, letra b), y 14, párrafo primero, letra a), de la Directiva 95/46 deben interpretarse en el sentido de que, al analizar los requisitos de aplicación de estas disposiciones, se tendrá que examinar, en particular, si el interesado tiene derecho a que la información en cuestión relativa a su persona ya no esté, en la situación actual, vinculada a su nombre por una lista de resultados obtenida tras una búsqueda efectuada a partir de su nombre, sin que la apreciación de la existencia de tal derecho presuponga que la inclusión de la información en cuestión en la lista de resultados cause un perjuicio al interesado. Puesto que éste puede, habida cuenta de los derechos que le reconocen los artículos 7 y 8 de la Carta, solicitar que la información de que se trate ya no se ponga a disposición del público en general mediante su inclusión en tal lista de resultados, estos derechos prevalecen, en principio, no sólo sobre el interés económico del gestor del motor de búsqueda, sino también sobre el interés de dicho público en acceder a la mencionada información en una búsqueda que verse sobre el nombre de esa persona. Sin embargo, tal no sería el caso si resultara, por razones concretas, como el papel desempeñado por el interesado en la vida pública, que la injerencia en sus derechos fundamentales está justificada por el interés preponderante de dicho público en tener, a raíz de esta inclusión, acceso a la información de que se trate.” En consecuencia con lo expuesto, procede desestimar la pretensión del reclamante dado que la entidad ha atendido el derecho solicitado al realizar una búsqueda por el nombre del interesado. Asimismo, se desestima su pretensión de eliminación de dichos enlaces al realizar una consulta por sus apellidos, por no cumplirse la premisa impuesta por la citada sentencia del Tribunal de Justicia de la Unión Europea, de efectuar la búsqueda a partir del nombre del interesado. Por otra parte, en referencia a la url nº 6 de las expuestas, se ha de señalar que ha quedado acreditado que el interesado únicamente la incluyó en su ejercicio de derecho presentado ante Microsoft Ibérica y no ante Microsoft Corporation. Los buscadores de internet facilitan la accesibilidad y difusión de datos personales a cualquier internauta que realice una búsqueda basada en el nombre de una persona, constituyendo una injerencia en el derecho fundamental al respeto de la vida privada del afectado, al respecto del cual se pronunció el Tribunal de Justicia de la Unión Europea (TJUE) en Sentencia de 13 de mayo de 2014. El Tribunal Supremo, en Sentencia de la Sala de lo Contencioso-Administrativo de 13 de junio de 2016 (recurso de casación 810/2015), se ha pronunciado sobre la Sentencia del TJUE, confirmando el criterio expuesto en anteriores Sentencias y poniéndolo en relación con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, relativo a la protección de las personas físicas en lo relativo al tratamiento de datos personales y a la libre circulación de estos datos que, si bien no será directamente aplicable hasta el 24 de mayo de 2018, ya está en vigor. En la citada STS se expone: << […] no podemos desconocer el hecho de que con posterioridad a las referidas sentencias de esta Sala de 11, 14 y 15 de marzo de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 2016, se ha dictado por la Sala Primera de este Tribunal Supremo sentencia de 5 de abril de 2016, en el recurso 3269/2014, sobre tutela del derecho al honor, a la intimidad, a la propia imagen y a la protección de datos de carácter personal, que se refiere a la responsabilidad de Google Spain S.L., en el tratamiento de tales datos y la incidencia que para el ejercicio por el interesado del derecho a la tutela judicial efectiva puede tener la consideración como responsable de Google Inc., con domicilio en otro país. En la propia sentencia, que en lo sustancial no incorpora motivación distinta a la que ya valoró esta Sala al resolver los recursos de casación interpuestos contra las sentencias de la Audiencia Nacional, se hace referencia, en apoyo de su distinto criterio, a la falta de efecto prejudicial de las sentencias dictadas por ambas salas y recuerda la existencia de “distintos criterios rectores en las distintas jurisdicciones, por la diversidad de las normativas que con carácter principal se aplican en unas y otras”. Efectivamente, en el ámbito de esta jurisdicción contencioso administrativa, la tutela de los derechos de oposición, acceso, rectificación y cancelación reconocidos al titular de los datos personales objeto de tratamiento, se recaba mediante la impugnación de la correspondiente resolución de la Agencia Española de Protección de Datos, resolución que se produce, como se ha indicado anteriormente, a través de un procedimiento que comienza con la reclamación o comunicación dirigida al responsable del tratamiento, ejercitando el correspondiente derecho (art. 25 R.D. 1720/2007), frente a cuya respuesta el interesado puede formular reclamación ante la referida Agencia Española de Protección de Datos (art. 117 R.D. 1720/2007), que deberá dictar resolución en el plazo de seis meses, contra la cual puede interponerse el recurso contencioso administrativo (art. 18 LOPD 15/1999). En este ámbito jurisdiccional, como se desprende de lo expuesto en los anteriores fundamentos de derecho, la identificación de Google Inc. como responsable del tratamiento al que debe dirigirse el titular de los datos personales en ejercicio de su derecho, se justifica ampliamente en esta sentencia y las citadas de referencia, como resultado de:
  9. i)la clara definición legal de la condición de responsable establecida tanto en la Directiva 95/46/CE (art. 2.
  10. d)como en la Ley Orgánica 15/1999, de Protección de Datos (art. 3.d);
  11. ii)la interpretación que al respecto sostiene el TJUE en la citada sentencia de 13 de mayo de 2014, que al resolver las cuestiones prejudiciales planteadas por la Sala de la Audiencia Nacional, declara expresamente en su parte dispositiva 1), en relación con el tratamiento de datos consistente en “hallar información publicada o puesta en Internet por terceros, indexarla de manera automática, almacenarla temporalmente y, por último, ponerla a disposición de los internautas”, que “el gestor de un motor de búsqueda debe considerarse responsable de dicho tratamiento, en el sentido del mencionado artículo 2, letra d)” gestor que en este caso nadie cuestiona que es Google Inc. y no Google Spain S.L.; iii) la percepción de que dicha interpretación del alcance de tales preceptos y los pronunciamientos efectuados en la sentencia del TJUE no responde a un planteamiento subjetivo sino que, objetivamente, puede sostenerse por los distintos tribunales que han de aplicar las normas comunitarias, como se refleja en las resoluciones adoptadas por ocho órganos jurisdiccionales europeos que se incorporan por la parte recurrente y que se han reflejado antes;
  12. iv)la naturaleza de la obligación cuyo cumplimiento se exige por el interesado, obligación de hacer o no hacer impuesta por la ley en virtud de la efectiva participación del responsable en el tratamiento de datos objeto de impugnación, participación que delimita el alcance de su responsabilidad y la exigencia de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 correspondiente reparación, adoptando las medidas precisas al efecto;
  13. v)la asunción como propia de tal condición por parte de la entidad Google Inc., que a raíz de la sentencia del TJUE ha adoptado medidas tendentes a facilitar el ejercicio del denominado “derecho al olvido”. […] el criterio mantenido por la Sala en esas sentencias, como hemos señalado antes, se ha visto confirmado por el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, relativo a la protección de las personas físicas en lo relativo al tratamiento de datos personales y a la libre circulación de estos datos, recientemente aprobado y publicado en el Diario Oficial de la Unión Europea de 4 de mayo de 2016, que deroga la Directiva 95/46/CE, el cual, entre otras previsiones a las que ya nos hemos referido y despejando posibles dudas, regula en su art. 26 la corresponsabilidad en el tratamiento de datos, considerando corresponsables a quienes determinen conjuntamente los objetivos y los medios del tratamiento, exigiendo, además, que los corresponsables determinen de modo transparente y de mutuo acuerdo sus responsabilidades respectivas en el cumplimiento de las obligaciones impuestas por el Reglamento, en particular en cuanto al ejercicio de los derechos del interesado, previsión que, como ya se recoge en nuestras sentencias, impide considerar corresponsable a una entidad como Google Spain, S.L., que ninguna participación tiene en la gestión del motor de búsqueda y la determinación de los fines y medios del tratamiento, circunstancia que en ningún momento se cuestiona. Por otra parte, en este ámbito jurisdiccional, la identificación de Google Inc., con domicilio legal en California, como responsable del tratamiento al que debe dirigirse el interesado en el ejercicio de sus derechos, no supone para este dificultad o carga añadida significativa para la obtención de una eficaz tutela judicial, en ninguna de las fases del procedimiento que se establece al efecto, al que hemos hecho referencia antes. Así, en la primera fase, según dispone el art. 24 del Real Decreto 1720/2007, de 21 de diciembre, que aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, el ejercicio de los derechos de acceso, rectificación, cancelación y oposición, frente al responsable del tratamiento, ha de responder a un medio sencillo y gratuito, sin que en ningún caso pueda suponer para el responsable un ingreso adicional, pudiéndose ejercitar tales derechos a través de los servicios de cualquier índole para la atención al público o el ejercicio de reclamaciones relacionadas con el servicio prestado de que disponga el responsable del tratamiento, imponiendo a dicho responsable la obligación de atender la solicitud del interesado aun cuando no hubiera utilizado el procedimiento establecido específicamente al efecto por aquel, siempre que el interesado haya utilizado un medio que permita acreditar el envío y la recepción de la solicitud. La reclamación, por lo tanto, se formula electrónicamente de manera sencilla, gratuita y directa por el interesado, siendo válida en cualquier forma que permita justificar que se ha enviado y recibido por el responsable. Ello se facilita todavía más cuando, como sucede en este caso, el responsable Google Inc., según dice, implementando la tantas veces citada sentencia del TJUE sobre el derecho al olvido, ofrece a los interesados información completa sobre el ejercicio de su derecho, facilita los correspondientes formularios y proporciona instrucciones precisas para cumplimentarlos, habiendo establecido un Consejo Asesor, compuesto por cualificados C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 miembros de distintos países, para evaluar las solicitudes y remitiendo al interesado, caso de desacuerdo con la decisión adoptada, a su impugnación ante la autoridad de protección de datos local, en congruencia con lo dispuesto en el art. 35 del citado Real Decreto 1720/2007, que establece genéricamente el plazo de diez días para resolver por el responsable, transcurrido el cual sin resolución, el interesado podrá interponer la reclamación prevista en el art. 18 de la LO 15/1999 ante la Agencia de Protección de Datos. Tampoco en esta segunda fase, ante la Autoridad de control, se aprecia dificultad o carga significativa para el ejercicio de su derecho por el interesado, por el hecho de que el responsable del tratamiento sea una entidad como Google Inc. domiciliada en otro país, pues, como dispone el art. 117 del Reglamento aprobado por Real Decreto 1720/2007, basta para la iniciación del procedimiento la presentación de la correspondiente reclamación ante la Agencia Española de Protección de Datos, sin que las comunicaciones con el responsable del tratamiento en el ámbito del procedimiento abierto presenten mayores exigencias que las llevadas a cabo directamente por el interesado, máxime teniendo en cuenta la implicación de los intervinientes en el desarrollo de la llamada sociedad de la información y la constante evolución normativa hacia la tramitación de los procedimientos a través de medios electrónicos, como refleja el art. 71 de la nueva Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común; que esto es así resulta de los numerosos procedimientos ante la Agencia de Protección de Datos tramitados con la intervención de Google Inc., sin ir más lejos el procedimiento que dio lugar al recurso contencioso administrativo en el que se plantearon por la Sala de la Audiencia Nacional las cuestiones prejudiciales resueltas por el TJUE en la referida sentencia de 13 de mayo de 2014. Lo mismo puede decirse de la vía jurisdiccional, que se desarrolla de acuerdo con las previsiones de la Ley reguladora de esta Jurisdicción Contencioso-Administrativa y que, como en todos los casos, el interesado puede instar y abrir mediante un simple escrito de impugnación de la resolución adoptada por la Agencia de Protección de Datos, a partir del cual el proceso contencioso-administrativo se impulsa de oficio hasta su terminación en cualquiera de las formas establecidas en la propia Ley procesal. Por lo demás, la exigencia del cumplimiento de la obligación a Google Inc. como responsable del tratamiento - además de venir impuesta por la ley aplicable (art. 12.
  14. b)de la Directiva 95/46/CE) y por la naturaleza de la obligación, como se refleja en los arts. 705 y siguientes de la Ley de Enjuiciamiento Civil al regular la ejecución de este tipo de obligaciones favorece que la tutela judicial obtenida por el interesado resulte eficaz y se plasme en la correspondiente actividad o realización práctica, pues, cuando se trata de la exigencia de obligaciones de hacer o no hacer, su efectividad viene determinada por la actitud o respuesta del propio responsable, más aún cuando, como sucede en este caso, el cumplimiento de la obligación exige la utilización de unos medios sobre los que solo tiene capacidad de disposición el responsable, como gestor del motor de búsqueda. >> En consecuencia, de conformidad con lo expuesto y por analogía, ha de considerarse que el formulario online habilitado por Microsoft Corporation, disponible en https://www.bing.com/webmaster/tools/eu-privacy-request, para el ejercicio del derecho al olvido es el medio alternativo válido para que los afectados soliciten la cancelación de sus datos sin necesidad de dirigirse al domicilio de la compañía en Estados Unidos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 Como ya se ha expuesto, la url nº 6 se expuso en un ejercicio de cancelación dirigido a la entidad MICROSOFT IBÉRICA y que dicha entidad le comunicó que no era la entidad responsable de la prestación del Servicio de Búsqueda, recomendándole que se dirigiera a MICROSOFT CORPORATION, haciendo uso del formulario online. En consecuencia, no ha quedado acreditado el ejercicio del derecho de la url nº 6 ante la entidad responsable, por lo que procede desestimar su reclamación en referencia a dicho enlace. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por don G.G.G. contra MICROSOFT CORPORATION, por haber sido atendido el derecho solicitado en las consultas a partir de su nombre, respecto de las siguientes urls: • • • • • A.A.A. B.B.B. D.D.D. E.E.E. F.F.F. SEGUNDO: DESESTIMAR la reclamación formulada por don G.G.G. contra MICROSOFT CORPORATION, respecto de la desindexación a partir de una consulta por sus dos apellidos. TERCERO: DESESTIMAR la reclamación formulada por don MICROSOFT CORPORATION, en referencia a la url C.C.C. G.G.G. contra CUARTO: NOTIFICAR la presente resolución a MICROSOFT IBÉRICA, S.L.R., como establecimiento del responsable en España para que dé traslado de la misma a Microsoft Corportation, y a don G.G.G., representado por el BUFETE H.H.H. ABOGADOS. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/***AÑO.1, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del RLOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 18.4 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer, potestativamente, recurso de reposición ante la Directora de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 Agencia Española de Protección de Datos, en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la Disposición Adicional Cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción ContenciosoAdministrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.