El pasado 14 de marzo de 2016, el Tribunal Supremo (en adelante, «TS») dictó la Sentencia núm. 574/2016 (LA LEY 10526/2016), que introduce una novedad en la evolución jurisprudencial del denominado derecho al olvido. En suma, esta sentencia considera que Google Spain, S.L. (en adelante, Google Spain), entidad dedicada a la comercialización en España de la publicidad del buscador Google Search, carece de legitimación pasiva para atender las solicitudes de ejercicio de este nuevo derecho por no ser responsable del tratamiento. Esta resolución, relevante desde una perspectiva procesal no afectará a la perspectiva material del derecho, dado que los usuarios podrán continuar ejercitando su derecho al olvido del mismo modo en que venían haciéndolo en la actualidad.

Mediante esta sentencia, el TS estima el recurso interpuesto por Google Spain, casando la sentencia dictada por la Audiencia Nacional (en adelante, «AN») a fecha 29 de diciembre de 2014 y anulando la resolución de la Agencia Española de Protección de Datos (en adelante, «AEPD») de 13 de diciembre de 2011 que dio causa al procedimiento en lo relativo a la legitimación pasiva de Google Spain. El fundamento principal de la anulación de esta resolución y de la casación de la sentencia de la AN que la confirmaba reside en que el TS rechaza que Google Spain, pueda ostentar la condición de responsable del tratamiento por el papel que desempeña en el contexto de la indexación de datos personales que se realiza en el buscador Google Search.

Como se indica, este asunto trae causa en una resolución de la AEPD que instaba a Google Spain a cancelar los datos personales del reclamante, puesto que aparecían en diferentes resultados de búsqueda del buscador Google Search al introducir su nombre y apellidos. La AEPD trasladó este mandato a Google Spain por considerarla representante en España de la entidad estadounidense Google, Inc. Google Spain recurrió entonces ante la AN argumentando que su actividad consiste únicamente en la explotación de la actividad publicitaria del buscador, pero que en ningún caso realiza actos de tratamiento de datos personales y que, en consecuencia, carece de legitimación pasiva en el procedimiento. Sin embargo, la AN confirmó la resolución administrativa con base en la sentencia del Tribunal de Justicia de la Unión Europea (en adelante, «TJUE») de 13 de mayo de 2014, dictada en el asunto C-131/12 y que constituyó el génesis del denominado derecho al olvido.

La AN consideró que Google Spain sí era responsable del tratamiento argumentando fundamentalmente (i) que «la unidad de negocio que conforman ambas sociedades, en la que la actividad desarrollada por Google Spain, S.L. resulta indispensable para el funcionamiento del motor de búsqueda, pues de aquella [de Google Spain, S.L.] depende su rentabilidad» y (ii) que esta responsabilidad derivaba de sus actos propios, ya que «ha reconocido su condición de responsable del tratamiento al actuar como tal frente a terceros». La AN fue, por tanto, más allá que el propio TJUE, quien no había atribuido la condición de responsable del tratamiento a Google Spain, sino que únicamente había señalado que ésta podía considerarse un establecimiento del responsable Google, Inc. a efectos de conseguir que la normativa comunitaria y, por extensión, la española, fuera aplicable.

El TS, por el contrario, rechaza que pueda considerarse a Google Spain responsable del tratamiento argumentando que su actividad no implica capacidad decisoria alguna sobre los fines y los medios del tratamiento. Comienza su fundamentación mencionando el art. 2 de la Directiva 95/46/CE (LA LEY 5793/1995) y el art. 3.d) de la Ley Orgánica 15/1999 (LA LEY 4633/1999), que transpone el anterior al ordenamiento jurídico interno. El primero de ellos define al responsable del tratamiento como «la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que sólo o conjuntamente con otro determine los fines y los medios del tratamiento de datos personales […]». Continúa el TS indicando que la corresponsabilidad que recogen estos artículos supone una «coparticipación en la determinación de los fines y medios del tratamiento», no siendo suficiente «cualquier otro auxilio o colaboración con el mismo que no tenga tal naturaleza». En definitiva, el TS considera que la vinculación mercantil o empresarial que existe entre Google Spain y Google, Inc. en virtud de la que la primera comercializa publicidad en el servicio Google Search de la segunda no es suficiente para considerar a la primera responsable del tratamiento. Sólo podría serlo si participara, siquiera mínimamente, en la determinación de los fines y medios del tratamiento. Por lo tanto, Google, Inc. es la única responsable.

En este sentido, el TS recupera la línea del TJUE, que no atribuía expresamente a Google Spain la condición de responsable del tratamiento. Consideran a Google Spain únicamente como un establecimiento del responsable Google, Inc. en Europa. De todos modos, esta circunstancia es clave para que la normativa comunitaria de protección de datos y, por extensión, la española, sean aplicables a la actividad de una entidad estadounidense como Google, Inc. Y es que el art. 4.1. a) de la Directiva 95/46/CE (LA LEY 5793/1995) establece que «Los Estados miembros aplicarán las disposiciones nacionales que haya aprobado para la aplicación de la presente Directiva a todo tratamiento de datos personales cuando: a) el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro». Tanto el TS como el TJUE consideran que el tratamiento se realiza en el marco de la actividad de Google Spain, establecimiento de Google, Inc. en España. Asimismo, el TS reitera, como ya había establecido el TJUE, que el tratamiento de datos personales no debe ser efectuado «por» el propio establecimiento, sino «en el marco de las actividades de éste».

Ahora bien, es importante precisar que la ausencia de responsabilidad de Google Spain declarada por el TS en esta Sentencia núm. 574/2016 en ningún caso reduce o limita el contenido del derecho al olvido, que no se ve afectado en absoluto. Este pronunciamiento tiene relevancia de índole técnico-procesal en tanto que Google Spain deja de estar legitimada pasivamente para convertirse en un mero establecimiento en la Unión Europea que permite la aplicación de la normativa comunitaria y española al responsable real, Google, Inc. Sin embargo, su relevancia para los usuarios que pretendan ejercitar su derecho es nula, ya que no hace sino confirmar la configuración del derecho al olvido creada por el TJUE y por la AN, y que se caracteriza por la potestad de solicitar la desindexación de resultados de búsqueda que incluyan datos inexactos, no pertinentes, excesivos o no actualizados obtenidos mediante la búsqueda del nombre y apellidos del solicitante.

Los usuarios podrán continuar ejercitando este derecho con normalidad. Ni siquiera se producirán cambios a la hora de tramitar las solicitudes, ya que éstas continuarán enviándose a Google Spain en tanto que establecimiento del responsable Google, Inc. De igual modo, la AEPD continuará tutelando los derechos de estos usuarios cuando el responsable no atienda debidamente las solicitudes.

Publicado: 8 de Abril de 2016