Roj: SAN 567/2015 - ECLI:ES:AN:2015:567
Id Cendoj: 28079230012015100039
Órgano: Audiencia Nacional. Sala de lo Contencioso
Sede: Madrid
Sección: 1
Nº de Recurso: 105/2010
Nº de Resolución: 83/2015
Procedimiento: PROCEDIMIENTO ORDINARIO
Ponente: FERNANDO DE MATEO MENENDEZ
Tipo de Resolución: Sentencia

AUDIENCIANACIONAL
Sala de lo Contencioso-Administrativo
SECCIÓN PRIMERA
Núm. de Recurso: 0000105 / 2010
Tipo de Recurso: PROCEDIMIENTO ORDINARIO
Núm. Registro General: 00953/2010
Demandante: GOOGLE SPAIN, SL.
Procurador: CRISTINA DEZA GARCIA
Demandado: AGENCIA PROTECCIÓN DE DATOS
Abogado Del Estado
Ponente IImo. Sr.: D. FERNANDO DE MATEO MENÉNDEZ
S E N T E N C I A Nº:
IImo. Sr. Presidente:
D. EDUARDO MENÉNDEZ REXACH
Ilmos. Sres. Magistrados:
Dª. LOURDES SANZ CALVO
D. FERNANDO DE MATEO MENÉNDEZ
D. JUAN PEDRO QUINTANA CARRETERO
D. JOSÉ GUERRERO ZAPLANA
Madrid, a cinco de febrero de dos mil quince.
Vistos por la Sala, constituida por los Sres. Magistrados relacionados al margen, los autos del recurso
contencioso-administrativo número 105/2010 interpuesto por la Procuradora de los Tribunales doña Cristina
Deza García, en nombre y representación de GOOGLE SPAIN, S.L. , contra la resolución de 19 de enero
de 2010 del Director de la Agencia Española de Protección de Datos, por la que se estima la reclamación
formulada por doña Marisol contra la parte actora en materia de tutela de derechos. Ha sido parte LA
ADMINISTRACIÓN DEL ESTADO , representada por el Abogado del Estado. La cuantía del recurso quedó
fijada en indeterminada.

ANTECEDENTES DE HECHO
PRIMERO .- Por el representante legal de Google Spain, S.L., se interpuso recurso contenciosoadministrativo contra la resolución de 19 de enero de 2010 del Director de la Agencia Española de Protección
de Datos. Admitido el recurso y previos los oportunos trámites procedimentales, se confirió traslado a la parte

1

 actora para que, en el término de veinte días formalizara la demanda, lo que llevó a efecto mediante escrito
presentado el día 22 de junio de 2010 en el que en el que, tras exponer los hechos y fundamentos de derecho
que estimó oportunos, terminó solicitando que se dictara sentencia estimatoria del recurso, por la que se
declarara nula de pleno derecho o, en su caso, anulara la resolución impugnada.
SEGUNDO .- Formalizada la demanda se dio traslado de la misma a la parte demandada para que la
contestara en el plazo de veinte días, lo que realizó mediante el pertinente escrito, solicitando la desestimación
del recurso, y que se declarara la plena adecuación a derecho del acto administrativo impugnado.
TERCERO .- Por Auto de 29 de julio de 2101 se acordó el recibimiento del recurso a prueba,
admitiéndose las pruebas periciales propuestas por las partes, y posteriormente se concedió a las partes el
plazo de diez días para la formulación de conclusiones, y, una vez presentados, quedaron los autos pendientes
de votación y fallo.
CUARTO .- Habiéndose dictado en el procedimiento ordinario 725/2010, seguido ante esta Sala, Auto
de fecha 27 de febrero de 2012 de planteamiento de cuestión prejudicial de interpretación ante el Tribunal de
Justicia de la Unión Europea (en adelante TJUE), se acordó mediante providencia de 5 de marzo de 2012
unir testimonio de dicho Auto a las presentes actuaciones y dejar estas en suspenso hasta que se resolviera
la cuestión prejudicial.
QUINTO .- Resuelta la cuestión prejudicial planteada mediante Sentencia de 13 de mayo de 2014 del
TJUE , se acordó mediante providencia de 28 de mayo de 2014 alzar la suspensión de las actuaciones, unir
testimonio de la Sentencia a las mismas y conceder el plazo común de veinte días a las partes para alegaran
lo que estimaran por conveniente sobre la misma, presentando las partes los correspondientes escritos.
SEXTO .- Una vez concluido el plazo para alegaciones quedaron las actuaciones pendientes para
votación y fallo, señalándose para el día 3 de febrero del año en curso, fecha en que tuvo lugar.
SIENDO PONENTEel Magistrado Ilmo. Sr. Don FERNANDO DE MATEO MENÉNDEZ .

FUNDAMENTOS DE DERECHO
PRIMERO .- La parte demandante impugna la resolución de 19 de enero de 2010 del Director de la
Agencia Española de Protección de Datos, por la que se estima la reclamación formulada por doña Marisol
contra la parte actora en materia de tutela de derechos
A.- Doña Marisol ejercitó el 14 y el 27 de abril 2009 el derecho de oposición al tratamiento de sus datos
personales por aparecer en el Boletín de la Comunidad de Madrid nº. 115, de 18 de mayo de 1999, en las
candidaturas de las elecciones municipales de 1999 de San Sebastián de los Reyes (Madrid), ante el Google
Spain, S.L. y el Boletín Oficial de la Comunidad de Madrid.
B- En la contestación dada por Google Spain S.L. le remitía a la empresa Google Inc. con domicilio
social en California (EEUU), por entender que ésta era la empresa que prestaba el servicio de búsqueda en
Internet, sin perjuicio de informarle que para ejercer sus derechos de cancelación u oposición sobre sus datos
personales debería dirigirse al webmaster de la página web que publicaba esos datos en Internet. El Boletín
Oficial de la Comunidad de Madrid no contestó.
C.- Con fecha 20 de mayo de 2010, tuvo entrada en el Registro General de la Agencia Española de
Protección de Datos (en adelante AEPD) la reclamación de doña Marisol .
D.- El Director de la Agencia Española de Protección de Datos dictó resolución el 19 de enero de 2010
en la que se estimó la reclamación formulada contra Google Spain S.L. "instando a esta entidad para que
adopte las medidas necesarias para retirar los datos de su índice e imposibilite el acceso futuro a los mismos".
Asimismo, se archivó la reclamación contra el Boletín Oficial de la Comunidad de Madrid.
Se funda la citada resolución en la aplicación de la normativa española de trasposición de la comunitaria
en materia de protección de datos, en concreto, del artículo 3 del Real Decreto 1.720/2007 , que traspone el
artículo 4 de la Directiva 95/46/CE , el cual debe interpretarse en atención a lo expuesto en los considerandos
18, 19 y 20 de la misma.
La resolución afirma que el servicio de búsqueda de Google utiliza en el tratamiento de datos personales
que realiza medios situados en territorio español, sin que su utilización sea únicamente con fines de transito,
pues para prestarlo rastrea mediante sus "arañas web" datos de carácter personal en los servidores españoles,
con el objeto de facilitar su posterior localización. Además, sostiene que el servicio de búsqueda prestado
a través del sitio web www.google.es es un servicio dirigido específicamente al territorio español, como se

2

 pone de manifiesto por el lenguaje de la pagina www.google.es , por el dominio bajo el que se aloja el servicio
de buscador Google en España, que es del tipo ".es", y por el hecho de que los resultados obtenidos en la
búsqueda se encuentren dirigidos a usuarios ubicados en territorio español.
Igualmente, considera que la publicidad es la forma de financiación del buscador gratuito de Google,
hasta el punto de que el usuario no puede evitarla si quiere utilizar este servicio.
En base a lo expuesto, concluye la resolución que la normativa de protección de datos española es
aplicable al caso que nos ocupa, puesto que el servicio de buscador es prestado por una empresa que se
encuentra fuera de la Unión Europea pero tiene un establecimiento en España, implicado en la venta de
anuncios dirigidos a sus habitantes, cuyo principal reclamo es la prestación gratuita del servicio de búsquedas
en internet, por lo que el establecimiento se ve implicado en el tratamiento de datos, siendo de aplicación
el artículo 4.a) de la Directiva. Además, al recurrir los buscadores a medios en el territorio español para el
tratamiento de los datos personales también resulta de aplicación el artículo 4.1.c) de la Directiva.
Añade que la legislación de protección de datos española también resulta aplicable por determinación
del articulo 4 en relación con los artículos 8.1.c ) y 17 de la Ley 34/2002, de 11 de julio, de Servicios de la
Sociedad de la Información y de Comercio Electrónico , al dirigir Google sus servicios al territorio español y
encontrarse vulnerado el derecho a la dignidad de la persona.
SEGUNDO .-Demanda.
El representante legal de Google Spain, S.L. aduce en la demanda los siguientes motivos de
impugnación:
1.- Nulidad de pleno derecho de la resolución impugnada al amparo del artículo 62.1, letras b ) y c), de la
Ley 30/1992, de 26 de noviembre , al haberse dictado por órgano manifiestamente incompetente por razón del
territorio y tener un contenido imposible. La AEPD carece de competencia territorial para actuar por imperativo
de las letras a ) y c) del artículo 2.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos
de Carácter Personal (en lo sucesivo LOPD), y de los mismos apartados del artículo 3 del Reglamento de
Protección de Datos , pues la actividad que se enjuicia no se desarrolla en España y no existe un elemento
de conexión que permita aplicar la citada Ley al presente supuesto. Se señala que no es de aplicación el
artículo 3.1.a) del Reglamento de Protección de Datos , que transcribe el artículo 4.1.a) de la Directiva de
Protección de Datos . Ello es así, ya que Google Spain, S.L. si bien es un establecimiento ubicado en España,
el tratamiento de los datos a que se refiere la resolución impugnada no habría tenido lugar "en el marco de
las actividades de un establecimiento" instalado en territorio español. Google Spain, S.L. no tiene intervención
ninguna en el funcionamiento del buscador, y su actividad de promoción de las actividades publicitarias de
Google Inc. es totalmente ajena a la actividad del buscador, que se desarrolla fuera de España. No basta
que con la mera existencia de una filial con actividad económica en España, sino que es necesario que esa
actividad esté directamente vinculada con el tratamiento de los datos.
Por otro lado, se aduce que tampoco es aplicable la letra c) del artículo 3.1 del Reglamento de Protección
de Datos aludido en la resolución impugnada, que hace referencia al responsable del tratamiento que no
esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en
territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito. Se argumenta que el
procedimiento se dirige contra Google Spain, S.L., una entidad cuyo domicilio y centro de actividad están
en España, y a quien la AEPD de Protección de Datos se ha dirigido en todo momento como pretendido
responsable del tratamiento de datos, y, además, incurre en contradicción ya que al invocarse el anteriormente
reseñado precepto y alegar que Google Inc. se sirve de medios en España para el desarrollo de su actividad,
la Agencia atribuye a Google Inc. la condición de responsable del tratamiento. Se vuelve a insistir en la falta
de legitimación pasiva de Google Spain, S.L. Las "arañas web", "crawlers" o "robots" no entran ni acceden
ni, menos aún, se instalan en el servidor de la página web, sino que se limitan a gestionar los equipos del
buscador en que están instalados para lograr la conexión con las webs. Las "arañas web" no penetran en
el espacio jurídico español, sino que simplemente envían comunicaciones a los sitios web, y en respuesta a
ellas las webs envían a los buscadores copia de los contenidos que alojan.
2.- Falta de legitimación pasiva de Google Spain, S.L. pues dicha sociedad es un simple agente de
Google Inc, dedicado a la promoción de la actividad publicitaria de Google, no teniendo intervención alguna
en el funcionamiento del buscador ni en el tratamiento de datos, y ni siquiera dispone de los medios técnicos
que harían falta para ello. Los servidores que alojan las páginas web no pertenecen a Google, ni están bajo
su control. Se trata de equipos de terceros ajenos a Google que pertenecen al responsable de la web de que
se trate, o a la empresa a la que hayan contratado para el alojamiento de sus contenidos. Es Google Inc.,

3

 con domicilio en California (U.S.A.) la titular del servicio de buscador Google en Internet, tanto desde el sitio
web www.google.es como desde www.google.com , y también explota el espacio publicitario que se genera
en esas páginas web.
3.- No es de aplicación el artículo 4 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de
la Información y de Comercio Electrónico , ya que no es cierto que la lista de resultados varíe en el caso de
que se realice la misma búsqueda desde el sitio web www.google.es o desde cualquier otro sitio web de la
compañía. La citada web simplemente aplica un filtro que prioriza la información relacionada con España.
Tampoco es aplicable el artículo 8.1.c) de la Ley 34/2002, de 11 de julio , pues además de que el buscador
Google no está sujeto a la citada Ley 34/2002, de 11 de julio, no cabe en ningún modo considerar que la
actividad de google vulnere el principio de respeto a la dignidad de la persona por facilitar un enlace a una
información publicitada de forma lícita en el territorio Español.
Según Google Spain, S.L. tampoco es aplicable el artículo 17 de la Ley 34/2002, de 11 de julio , pues
aparte de que dicha norma no es aplicable a la actividad desarrollada fuera del territorio español por una
compañía extranjera, como es el caso de Google Inc., la información a la que remitía el buscador era lícita.
4.- Extralimitación de la AEPD de sus competencias que vulnera el derecho internacional, ya que Google
Spain, S.L. ni ha tenido participación alguna en la adopción de la política de prestación de los servicios del
buscador ni ha participado en su ejecución, pues Google Spain, S.L. no desarrolla ningún tratamiento de datos
sino que se limita a ser un agente comercial.
5.- Vulneración de los artículos 1 y 10 del Protocolo I del Convenio Europeo de Derechos del Hombre de
1950. La libertad de expresión protegida por el citado Convenio incluye la libertad de comunicar información sin
que pueda haber injerencia de autoridades públicas y sin consideración de fronteras, y, engloba, claramente, la
actividad de buscador de Internet. Esta libertad está asociada al derecho fundamental a constituir sociedades
o asociaciones, que establece el artículo 11 del Convenio, para llevar a efecto la libertad de expresión y
comunicación, según reconoce la jurisprudencia del Tribunal Europea de Derechos Humanos.
Se alude a antecedentes de la Unión Europea en los que se ha reconocido la falta de competencia para
tramitar reclamaciones frente a Google Inc. Y la imposibilidad de aplicar el derecho nacional al servicio del
buscador. Se citan la resolución de 11 de diciembre de 2008 de la Autoridad Italiana de Control de Datos; la
Sentencia de 14 de abril de 2008 del Tribunal de Grande Instance de Paris, y la Sentencia de 2 de junio de
2009 de los tribunales belgas.
6.- Se resalta que el Grupo de Trabajo del artículo 29 de la Directiva 95/46/CE (GT29) ha reconocido
que el tratamiento que realiza el buscador es secundario, ya que depende de la decisión de un tratamiento
principal, que realiza la página web que publica la información. Hoy en día existen sistemas muy eficaces,
simples y gratuitos que permiten a los responsables de los sitios web controlar el alance de la publicación.
Google Inc. respeta la instrucciones de no indexación de contenidos que establecen los responsable de los
sitios web. Carece de sentido que la Agencia afirme que el servicio de búsqueda en Internet vulnera la LOPD
o, incluso, la dignidad humana, pero, a su vez, permita a esas entidades que continúen publicando los datos
de forma incontrolada e ilimitada.
Finalmente, se trae a colación el artículo 6.I.d) de la Directiva 95/46/CE, del Parlamento Europeo ,
relativa a la protección de la personas físicas en lo que respecto al tratamiento de datos personales y a la libre
circulación de estos datos, que dispone que los Estados miembros dispondrán que los datos personales sean
"exactos y, cuando sea necesario, actualizados, deberán tomarse todas las medidas razonables para que los
datos inexactos o incompatibles, con respecto a los fines para los que fueran recogidos o para los que fueran
tratados posteriormente, sean suprimidos o rectificados" .
TERCERO .- Contestación a la demanda.
El representante legal de la Administración del Estado aduce: Que resulta de aplicación la normativa
nacional en materia de protección de datos de conformidad con los apartados a ) y c) del artículo 4.1 de la
Directiva 95/46/CE . Google Inc. presta dos servicios diferentes que completan su negocio. El primero es el
servicio remunerado de publicitar la actividad de empresas en el comercio, mediante la venta del espacio
publicitario. Para esta actividad se sirve de promotores locales, entre los que se encuentra Google Spain, S.L.
que incentivan la compra de espacio en el área que tienen atribuida. El segundo, consiste en el servicio gratuito
de facilitar a los usuarios de Internet la localización de aquellos sitios en la Red, cuyo contenido coincide con
los criterios de búsqueda determinados por el usuario.

4

 Más adelante, se alude a que tanto desde la perspectiva del Derecho Comparado como desde el punto
de vista del ordenamiento español, parece claro, que el Tribunal Constitucional ha imbricado los derechos y
bienes constitucionales reconocidos por el artículo 18 de la Constitución en la categoría de los derechos de
la personalidad inextricablemente unidos con la dignidad humana, y ello incluye al derecho fundamental a la
protección de datos.
Se señala que Google Inc. tiene designado a Google Spain, S.L. como su representante ubicado en
territorio español, conforme a lo exigido en el artículo 3.1.c ), segundo párrafo del Reglamento de Protección
de Datos .
La Ley no dispone que los datos personales del reclamante figuren en los índices que utiliza Google
para facilitar al usuario el acceso a determinadas páginas, ni tampoco dispone que figuren en las páginas que
Google conserva temporalmente en memoria "caché". No existe, por tanto, una disposición legal en contrario
respecto del ejercicio del derecho de cancelación frente a Google.
CUARTO .- Alegaciones de las partes sobre la Sentencia de 13 de mayo de 2014 del TJUE.
1.- El representante legal de Google Spain, S.L., aduce lo siguiente: a) La falta de legitimación pasiva
de Google Spain, S.L. en el procedimiento administrativo previo seguido ante la AEPD. Además de lo alegado
al respecto en la demanda, se señala que la Sentencia del TJUE en modo alguno califica a Google Spain, S.L.
de "responsable de tratamiento" de los datos incluidos en el índice de resultados del buscador de Google Inc.
Google Spain, S.L. es una filial de Google Inc. con personalidad jurídica propia, y aunque su actividad pueda
haber sido considerada por el TJUE determinante para la aplicación de la ley nacional aplicable a Google
Inc., no puede ignorarse que es esta última sociedad quien gestiona el motor de búsqueda y quien podría ser
obligada a eliminar resultados del índice de resultados de su buscador.
^Por dicho motivo, la AEPD ha optado por actuar exclusivamente frente a Google Inc. en dos
procedimientos sancionadores, uno de ellos en que recayó resolución de 18 de diciembre de 2013,
actualmente recurrida ante la Sala de la Audiencia Nacional con el número de recurso 51/2014 . La única
responsable de las actividades de Google Inc., frente a cualesquiera autoridades, incluidas las autoridades
administrativas o judiciales españolas, es la propia Google Inc.
b) Falta de motivación de la resolución recurrida, ya que no lleva a cabo la ponderación de los derechos
en conflicto exigida por la doctrina establecida en la Sentencia del TJUE. La AEPD no ha valorado si el
tratamiento de los datos personales del interesado, es en este caso concreto compatible con la normativa
española de protección de datos, o si la solicitud del interesado estaba justificada. Dicha parte no ha conocido
las razones que justifican el acto administrativo, habiéndole causado indefensión.
c) Infracción de las libertades de información y expresión. Se pone de manifiesto que el bloqueo de
las páginas web en cuestión, presenta un indudable interés público pues el enlace disputado remite a leyes
autonómicas, notificaciones, resoluciones, o listas electorales publicadas por imperativo legal, y a cuyo acceso
y localización tienen derecho los usuarios del motor de búsqueda de Google Inc., al amparo del art. 20 de
la Constitución .
Se añade que la resolución impugnada lesiona la libertad de expresión de Google Inc., pues podría
sostenerse que al presentar a un usuario un listado de enlaces a la información que, de acuerdo con el
algoritmo de Google Inc., pudiera ser más relevante para él, Google Inc., ejerce su libertad de expresión. Esa
libertad se vería seriamente afectada si se impide a Google In.c mostrar a ese usuario enlaces a informaciones
publicadas lícitamente en Internet.
d) Infracción de la libertad de empresa del prestador del servidor de motor de búsqueda recogido en
el artículo 16 de la Carta de los Derechos Fundamentales de la Unión Europea y en el artículo 38 de la
Constitución . Se aduce que la medida restrictiva de los derechos fundamentales adoptada por la AEPD no
es proporcional al fin perseguido.
e) La Sentencia del TJUE no ampara una orden como la dictada por la AEPD de "retirar datos e
imposibilitar el acceso futuro a los mismos" . Lo único que el TJUE considera puede estar justificado, cuando la
petición del solicitante sea pertinente, es ordenar que no se muestren enlaces concretos entre los resultados
cuando se haga una búsqueda específicamente por el nombre del interesado. La propia AEPD ha asumido
esta limitación del TJUE, y así en las últimas resoluciones dictadas en materia de tutela de derechos análogos,
se limita a ordenar las medidas necesarias para evitar que el nombre del interesado se vincule al siguiente
resultado: URL

5

 Lo acordado por la Agencia supondría imponer una obligación general de supervisión, algo
expresamente prohibido por el artículo 15 de la Directiva 2000/31/CE , de comercio electrónico. También
los Tribunales españoles han declarado contrarias al citado artículo 15 medidas que supondrían imponer a
un prestador de servicios de intermediación "una obligación general de supervisar los datos que trasmitan o
almacenen", como así se declaró en la Sentencia de 14 de enero de 2014 de la Audiencia Provincial de Madrid
en el asunto Gestevisión Telecinco, S.A., y Telecinco Cinema, S.A.U . contra YouTube LLC.
2.- El representante legal de la Administración del Estado aduce que la Sentencia de 13 de mayo de
2014 del TJUE confirma íntegramente los postulados sostenidos en la resolución recurrida y en sus escritos
de contestación y conclusiones.
En relación con las cuestiones relativas a la competencia territorial y a la falta de legitimación pasiva,
se resuelven dichas cuestiones en los párrafos 52, 55 y 56 de la Sentencia de 13 de mayo de 2014 . Se
reconoce la legitimidad pasiva a Google Spain, S.L. ya que su actividad de gestión publicitaria está unida de
forma indisociable a la del buscador de nacionalidad americana. Por otro lado, la presencia de esta entidad en
España permite la aplicación de la legislación europea, y por ende, de la legislación española de protección
de datos.
En segundo lugar, y en cuanto a la falta de competencia territorial de la AEPD, la cuestión se aborda
en el párrafo 41 de la Sentencia, en el que se señala que la actividad del buscador debe calificarse como un
tratamiento de datos personales, por lo que debe aplicarse la legislación en la materia.
En tercer lugar, en los párrafos 77, 81, 85, 87 y 88 de la Sentencia se señala con claridad la posibilidad
que tiene el particular afectado de dirigirse, directamente a la entidad que realiza el tratamiento de datos, sin
dirigirse a la fuente de información. Por otro lado, de la Sentencia puede deducirse que la solicitud de que
determinada información no se incluya en los índices del buscador no constituye una vulneración del derecho
de información, puesto que la información original puede ser conservada, ya que está protegida por tal libertad
de información, pero el tratamiento de datos efectuado por el buscador puede afectar a su intimidad.
Por último, la Sentencia de 13 de mayo de 2014 aborda la existencia del llamado "derecho al olvido"
en los párrafos 94, 96, 97 y 99. En dicho párrafos se somete la cuestión de la aplicación o no del "derecho al
olvido" a la necesidad de una cierta ponderación de la situación concreta: el interés particular afectado y su
derecho a la intimidad, por un lado; y, por otro lado, el interés del buscador y de la colectividad en su derecho
a la información. El Tribunal Europeo ofrece algunas reglas precisas que permiten realizar la ponderación
requerida como son: No es preciso que la información contenida en el tratamiento de datos cause un perjuicio al
interesado; el derecho a la intimidad del interesado prevalece, en todo caso, al interés económico del buscador;
y la intimidad del afectado prevalece al interés público en general de acceder a la información excepto cuando
por razones concretas deba reconocerse que existe un interés preponderante del público en acceder a la
información, como en los casos en que el interesado tenga un papel importante en la vida pública.
QUINTO .- Actividad del motor de búsqueda.
En primer lugar, debemos partir que diversas cuestiones suscitadas en la demanda después de la
Sentencia del TJUE de 13 de mayo de 2014 ya carecen de relevancia al haber sido resueltas por dicha
Sentencia, entre ellas si la actividad de un motor de búsqueda como proveedor de contenido debe calificarse
de «tratamiento de datos personales».
En efecto, en la contestación a dicha cuestión prejudicial suscitada por esta Sala la citada Sentencia
se dice: " El artículo 2, letras b ) y d), de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de
24 de octubre de 1995 , relativa a la protección de las personas físicas en lo que respecta al tratamiento de
datos personales y a la libre circulación de estos datos, debe interpretarse en el sentido de que, por un lado,
la actividad de un motor de búsqueda, que consiste en hallar información publicada o puesta en Internet por
terceros, indexarla de manera automática, almacenarla temporalmente y, por último, ponerla a disposición
de los internautas según un orden de preferencia determinado, debe calificarse de «tratamiento de datos
personales», en el sentido de dicho artículo 2, letra b), cuando esa información contiene datos personales,
y, por otro, el gestor de un motor de búsqueda debe considerarse «responsable» de dicho tratamiento, en el
sentido del mencionado artículo 2, letra d)".
Por otro lado, en el apartado 28 de la indicada Sentencia se afirma que "debe declararse que, al explorar
Internet de manera automatizada, constante y sistemática en busca de la información que allí se publica, el
gestor de un motor de búsqueda «recoge» tales datos que «extrae», «registra» y «organiza» posteriormente en
el marco de sus programas de indexación, «conserva» en sus servidores y, en su caso, «comunica» y «facilita

6

 el acceso» a sus usuarios en forma de listas de resultados de sus búsquedas. Ya que estas operaciones están
recogidas de forma explícita e incondicional en el artículo 2, letra b), de la Directiva 95/46 , deben calificarse
de «tratamiento» en el sentido de dicha disposición".
Se añade en el apartado 30 que "el Tribunal de Justicia ya ha declarado que las operaciones a las que
se refiere el artículo 2, letra b), de la Directiva 95/46 deben calificarse de tal tratamiento también en el supuesto
de que se refieran únicamente a información ya publicada tal cual en los medios de comunicación" y se refiere
para justificar esta conclusión en la Sentencia dictada en el asunto C-73/07.
Por lo que se refiere a la pretensión de que se excluya de responsabilidad a quien afirma ser, solamente,
un motor de búsqueda se señala en el apartado 38 que "en la medida en que la actividad de un motor de
búsqueda puede afectar, significativamente y de modo adicional a la de los editores de sitios de Internet,
a los derechos fundamentales de respeto de la vida privada y de protección de datos personales, el gestor
de este motor, como persona que determina los fines y los medios de esta actividad, debe garantizar, en el
marco de sus responsabilidades, de sus competencias y de sus posibilidades, que dicha actividad satisface
las exigencias de la Directiva 95/46 para que las garantías establecidas en ella puedan tener pleno efecto y
pueda llevarse a cabo una protección eficaz y completa de los interesados, en particular, de su derecho al
respeto de la vida privada" .
En consecuencia, ninguna duda cabe que la actividad de un motor de búsqueda como proveedor de
contenido debe calificarse de «tratamiento de datos personales».
Ligado con lo expuesto, nos encontramos con la cuestión referente a la aplicación en la resolución
recurrida de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio
Electrónico.
La resolución recurrida considera que los buscadores en el ejercicio de su actividad, efectúan un
tratamiento de datos de carácter personal por lo que están obligados a hacer efectivo el derecho de cancelación
y/oposición del interesado que se opone a que se indexe y sea puesta a disposición de los internautas
determinada información a él referente que se encuentra en páginas de tercero y permiten relacionarles con
la misma, y a cumplir con los requerimientos que les dirija la AEPD en la tutela de esos derechos.
Al mismo tiempo señala también que como los datos personales obtenidos por el buscador, que es un
intermediario de la sociedad de información según la Ley 34/2002, de 11 de julio, pueden afectar a la dignidad
de las personas y lesionar derechos de un tercero, el Director de la AEPD como órgano competente para
velar por el cumplimiento de la legislación de datos y controlar su aplicación puede requerir al responsable del
tratamiento de los datos, la adopción de medidas necesarias para la adecuación del tratamiento de los datos
a las disposiciones de la Ley Orgánica 15/1999, ejerciendo las facultades que le atribuye su artículo 37, así
como a los efectos establecidos en los artículos 8 y 17 de Ley 34/2002, de 11 de julio .
En la demanda se cuestiona la aplicación de la Ley 34/2002, de 11 de julio, al considerar, en esencia,
que el buscador es un mero intermediario de la sociedad de la información y no es responsable del tratamiento.
La Directiva 95/46/CE que regula la protección de datos de las personas físicas, dictada con anterioridad
a la aparición, o al menos a la utilización generalizada de los motores de búsqueda, no contiene referencia
expresa a los servicios de la sociedad de la información, ni previsión específica respecto a los buscadores.
Posteriormente, se dicta la Directiva 2000/31/CE, del Parlamento Europeo y del Consejo, de 8 de junio
de 2000, relativa a determinados aspectos de los servicios de la sociedad de la información y comercio
electrónico (Directiva del comercio electrónico), que regula la actividad de los servicios de la sociedad de la
información y se remite en materia de protección de datos a la Directiva 95/46/CE.
La Ley 34/2002, de 11 de julio, incorpora al ordenamiento jurídico español la citada Directiva 2000/31/
CE, e incluye (Anexo b) como "servicio de intermediación", entre otros, a los buscadores. Dicha norma en
sus artículos 8 y 17 limita la responsabilidad de los buscadores respecto de la información que dirijan a los
destinatarios de los servicios, pero permite se les pueda requerir para que retiren los datos que atenten a
determinados principios (entre ellos la dignidad de la persona).
Es decir, un motor de búsqueda es un intermediario de la sociedad de la información que, conforme
a la Sentencia del TJUE de 13 de mayo de 2014 , cuando realiza una actividad consistente en localizar
información publicada o incluida en Internet por terceros relativa a personas físicas, indexarla de manera
automática, almacenarla temporalmente y, por último, ponerla a disposición de los internautas según un orden

7

 de preferencia, efectúa un tratamiento de datos personales sometido a la normativa de protección de datos
(Directiva 95/46/CE), siendo el gestor del motor de búsqueda el responsable de dicho tratamiento.
La normativa comunitaria en materia de protección de datos reconoce a los interesados el derecho de
obtener del responsable del tratamiento la supresión, bloqueo y oposición, establecidos en los artículos 12.b )
y 14.1.a) de la citada Directiva 95/46/CE y en el mismo sentido se pronuncian los artículos 6.4 y 16 de la LOPD .
Por tanto, de acuerdo con la legislación específica de protección de datos, el responsable del tratamiento (que
en la definición del artículo 3.d) de la LOPD se equipara con el responsable del fichero) debe atender dicho
derecho, y como dicho responsable en supuestos como los que fueron objeto de planteamiento de la cuestión
prejudicial ante el TJUE es el gestor del motor de búsqueda, a él le corresponde, en su caso, adoptar las
correspondientes medidas en aplicación de la LOPD para hacer efectivo el derecho de oposición del afectado.
En definitiva, la aplicación de la normativa específica de protección de datos permite sin necesidad de
acudir a la Ley 34/2002, de 11 de julio, dar respuesta a estos supuestos de tratamiento de datos personales
efectuado por un motor de búsqueda del que es responsable el gestor del citado motor de búsqueda.
SEXTO .- Aplicación territorial de la norma.
Otra de las cuestiones que han quedado resueltas en la Sentencia del TJUE de 13 de mayo de 2014
es la referente a la determinación de la aplicación territorial de la norma, es decir, si la normativa europea,
y, por tanto, la española en materia de protección de datos es aplicable al presente supuesto, y declara al
respecto: " El artículo 4, apartado 1, letra a), de la Directiva 95/46 debe interpretarse en el sentido de que
se lleva a cabo un tratamiento de datos personales en el marco de las actividades de un establecimiento
del responsable de dicho tratamiento en territorio de un Estado miembro, en el sentido de dicha disposición,
cuando el gestor de un motor de búsqueda crea en el Estado miembro una sucursal o una filial destinada
a garantizar la promoción y la venta de espacios publicitarios propuestos por el mencionado motor y cuya
actividad se dirige a los habitantes de este Estado miembro".
El artículo 4.1.letra a) de la Directiva 95/46/CE , y, en el mismo sentido los artículos 2.1.a) de la LOPD y
3.1.a) del Reglamento de Protección de Datos , establece que los Estados miembros aplican sus disposiciones
nacionales « a todo tratamiento de datos personales cuando [...] sea efectuado en el marco de las actividades
de un establecimiento del responsable del tratamiento en el territorio del Estado miembro ». Dicha disposición
continúa así: « cuando el mismo responsable del tratamiento esté establecido en el territorio de varios Estados
miembros deberá adoptar las medidas necesarias para garantizar que cada uno de dichos establecimientos
cumple las obligaciones previstas por el Derecho nacional aplicable ». En la misma línea se pronuncia el
proyecto de reforma del Reglamento Europeo de Protección de Datos, aprobado el 12 de marzo de 2014 por
el Parlamento Europeo, pendiente de aprobación definitiva del Consejo, que en su artículo 3.1 dispone: "El
presente Reglamento se aplica al tratamiento de datos personales en el contexto de las actividades de un
establecimiento del responsable o del encargado del tratamiento en la Unión, independientemente de que el
tratamiento tenga lugar en la UE o no" .
Ya hemos dicho que la Sentencia de 13 de mayo de 2014 del TJUE declara, la aplicación al caso que
nos ocupa, de la Directiva 45/96/CE al considerar " que el tratamiento de datos personales realizado en orden
al funcionamiento de un motor de búsqueda como Google Search, gestionado por una empresa que tiene
su domicilio social en un Estado tercero pero que dispone de un establecimiento en un Estado miembro, se
efectúa «en el marco de las actividades» de dicho establecimiento si éste está destinado a la promoción y venta
en dicho Estado miembro de los espacios publicitarios del motor de búsqueda, que sirven para rentabilizar
el servicio propuesto por el motor" (apartado 55) . Para llegar a dicha conclusión parte la Sentencia de
"que Google Spain se dedica al ejercicio efectivo y real de una actividad mediante una instalación estable en
España. Además, al estar dotada de personalidad jurídica propia, es de este modo una filial de Google Inc.
en territorio español, y, por lo tanto, un «establecimiento», en el sentido del artículo 4, apartado 1, letra a),
de la Directiva 95/46 " (apartado 49).
Se añade más adelante, que "e n efecto, en tales circunstancias, las actividades del gestor del motor de
búsqueda y las de su establecimiento situado en el Estado miembro de que se trate están indisociablemente
ligadas, dado que las actividades relativas a los espacios publicitarios constituyen el medio para que el motor
de búsqueda en cuestión sea económicamente rentable y dado que este motor es, al mismo tiempo, el medio
que permite realizar las mencionadas actividades (apartado 56). Y que "s obre este particular, es necesario
recordar que, como se ha precisado en los apartados 26 a 28 de la presente sentencia, la propia presentación
de datos personales en una página de resultados de una búsqueda constituye un tratamiento de tales datos.
Pues bien, toda vez que dicha presentación de resultados está acompañada, en la misma página, de la

8

 presentación de publicidad vinculada a los términos de búsqueda, es obligado declarar que el tratamiento
de datos personales controvertido se lleva a cabo en el marco de la actividad publicitaria y comercial del
establecimiento del responsable del tratamiento en territorio de un Estado miembro, en el caso de autos el
territorio español (apartado 57).
Es decir, la normativa europea en materia de protección de datos y, por ende, la legislación del país de
la Unión Europea donde se encuentre el establecimiento, en este caso España, es de aplicación cuando "el
gestor de un motor de búsqueda crea en el Estado miembro una sucursal o una filial destinada a garantizar la
promoción y la venta de espacios publicitarios propuestos por el mencionado motor y cuya actividad se dirige
a los habitantes de este Estado miembro" (apartado 60).
Por tanto, la tan repetida Sentencia del TJUE declara que Google Spain, S.L. constituye un
establecimiento de los referidos en el artículo 4.1.a) de la Directiva 95/46/CE , por constituir una instalación
estable en España dotada de personalidad jurídica propia y tratarse de una filial de Google Inc. en territorio
español, y realizarse el tratamiento de datos en el marco de las actividades de Google Spain, S.L., que está
destinado a la promoción y venta en España de los espacios publicitarios del motor de búsqueda, que sirven
para rentabilizar el servicio propuesto por el motor.
SÉPTIMO .- Falta de motivación.
Establecido lo anterior, por lo que respecta a la falta de motivación atribuida por la parte demandante
a la resolución recurrida, ha de señalarse que esta resolución se sustenta en la aplicación el artículo 6.4 de
la LOPD , que prevé el derecho del afectado a oponerse al tratamiento de sus datos por el buscador siempre
que una Ley no establezca lo contrario y en virtud de motivos fundados y legítimos relativos a su situación
concreta. De modo que no existiendo una Ley que disponga que los datos personales del reclamante figuren
en los índices que utiliza Google para facilitar al usuario el acceso a determinadas páginas, ni en las páginas
que Google conserva temporalmente en su memoria "caché", y afectando los datos publicados a la situación
personal del reclamante, concluye la AEPD que procede la exclusión de los datos personales del interesado
de los índices elaborados por Google y, en consecuencia, la estimación de la tutela de derechos solicitada.
Ciertamente, la resolución recurrida no contiene una ponderación de derechos e intereses en conflicto
con el alcance predicado por la Sentencia del TJUE de 13 de mayo de 2014 , pero ello no significa que
la resolución adolezca del defecto de falta de motivación. La resolución expone con suficiente claridad y
precisión las razones en que sustenta su pronunciamiento, tal y como se ha expuesto anteriormente y en el
fundamento de derecho primero de esta sentencia, a cuyo contenido nos remitimos ahora, otorgando una
suerte de prevalencia absoluta al derecho del reclamante a la protección de sus datos personales sobre el
derecho o interés legítimo del gestor del motor de búsqueda en el tratamiento de tales datos.
En fin, la discrepancia que manifiesta la parte demandante con los razonamientos que sustentan la
resolución recurrida y el hecho de que la AEPD no llevara a cabo la ponderación de intereses en los términos
que se propugna por el TJUE, que, dicho sea de paso, tampoco postulaban la parte demandante ni en el
procedimiento de tutela de derechos ni en su escrito de demanda, no supone que tal resolución carezca de
motivación o represente un ejercicio arbitrario de potestades administrativas.
Por último, no está de más advertir que la ausencia de motivación que reprocha la parte demandante a
la resolución recurrida constituye un motivo de impugnación que expone ex novo en su escrito de alegaciones
presentado tras la Sentencia del TJUE, y al que ninguna mención hicieron en los escritos de demanda.
Circunstancia esta que conlleva su extemporaneidad en aplicación de los artículos 65.1 y 65.1 de la Ley de la
Jurisdicción , y consecuentemente su rechazo sin mayor detenimiento, sin perjuicio de lo cual se ha estimado
procedente abordar su examen, tal y como se ha hecho.
OCTAVO .- Falta de legitimación pasiva de Google Spain, S.L.
El representante legal de Google Spain, S.L. alega en la demanda la falta de legitimación pasiva, pues
dicha sociedad es un simple agente de Google Inc, dedicado a la promoción de la actividad publicitaria de
Google, no teniendo intervención alguna en el funcionamiento del buscador ni en el tratamiento de datos, y
ni siquiera dispone de los medios técnicos que harían falta para ello. Los servidores que alojan las páginas
web no pertenecen a Google, ni están bajo su control. Se trata de equipos de terceros ajenos a Google que
pertenecen al responsable de la web de que se trate, o a la empresa a la que hayan contratado para el
alojamiento de sus contenidos. Es Google Inc., con domicilio en California (U.S.A.), la titular del servicio de
buscador Google en Internet, tanto desde el sitio web www.googel.es como desde www.google.com y también
explota el espacio publicitario que se genera en esas páginas web.

9

 El artículo 19.1 de la Ley de la Jurisdicción señala que se encuentran "legitimados ante el orden
jurisdiccional contencioso-administrativo: a) Las personas físicas o jurídicas que ostenten un derecho o interés
legítimo".
El Tribunal Supremo reiteradamente ha declarado que el concepto de legitimación encierra un doble
significado, tal y como se dice en la Sentencia del Pleno de la Sala Tercera del Tribunal Supremo de 3 de marzo
de 2014 -recurso nº.4.453/2012 -: "El estudio de la legitimación ha distinguido entre la llamada legitimación «ad
processum» y la legitimación «ad causam». La primera se identifica con la facultad de promover la actividad
del órgano decisorio, es decir, con la aptitud genérica de ser parte en cualquier proceso, identificándose con
la capacidad jurídica o personalidad, porque toda persona, por el hecho de serlo, es titular de derechos y
obligaciones y puede verse en necesidad de defenderlos. Distinta de la anterior resulta la legitimación «ad
causam», como manifestación concreta de la aptitud para ser parte en un proceso determinado, por ello
depende de la pretensión procesal que ejercite el actor. Constituye la manifestación propiamente dicha de la
legitimación y se centra en la relación especial entre una persona y una situación jurídica en litigio, por virtud
de la cual esa persona puede intervenir como actor o demandado en un determinado litigio. Esta idoneidad
deriva del problema de fondo a discutir en el proceso; es, por tanto, aquel problema procesal más ligado con
el derecho material, por lo que se reputa más como cuestión de fondo y no meramente procesal, como hemos
señalado en las SsTS de 20 de enero de 2007 (casación 6991/03 , FJ 5) 6 de junio de 2011 (casación 1380/07,
FJ 3 ) o 1 de octubre de 2011 (casación 3512/09 ,FJ 6)".
Pues bien, lo que plantea el representante legal de Google Spain, S.L. en el caso que nos ocupa es
la falta de legitimación "ad causam", al señalar que la resolución recurrida es nula al amparo de artículo
62.1.e) de la Ley 30/1992, de 26 de noviembre , por haber sido dictada prescindiendo total y absolutamente
del procedimiento legalmente establecido, y en base al artículo 62.1.c) de la citada norma , ya que el acto
recurrido ordena algo imposible de cumplir.
Conviene precisar que Google Spain, S.L. ostenta la legitimación prevista en el artículo 19.1.a) de la
Ley de la Jurisdicción por el mero hecho de ser la entidad a la que la resolución de la Agencia Española
de Protección de Datos impone la obligación de satisfacer el derecho de oposición al tratamiento de datos
personales ejercitado por el reclamante.
De manera que tras la alegación de la demandante realmente subyace la negación de su condición
de sujeto obligado o responsable frente a derecho de oposición ejercitado, dada la concreta actividad que
desarrolla y su relación con Google Inc.
Para resolver la cuestión que estamos analizando resulta conveniente tener en cuenta los siguientes
hechos probados recogidos en la Sentencia del TJUE de 13 de mayo de 2014 , que se basan en el Auto
de esta Sala de 27 de febrero de 2012 , de planteamiento de la cuestión prejudicial: " -Google Search se
presta a nivel mundial a través del sitio de Internet «www.google.com». En muchos países existen versiones
locales adaptadas al idioma nacional. La versión española de Google Search se presta a través del sitio
www.google.es, dominio que tiene registrado desde el 16 de septiembre de 2003. Google Search es uno de
los motores de búsqueda más utilizados en España.
- Google Inc. (empresa matriz del grupo Google), con domicilio en los Estados Unidos, gestiona Google
Search.
- Google Search indexa páginas web de todo el mundo, incluyendo páginas web ubicadas en España.
La información indexada por sus «arañas» o robots de indexación, es decir, programas informáticos utilizados
para rastrear y realizar un barrido del contenido de páginas web de manera metódica y automatizada, se
almacena temporalmente en servidores cuyo Estado de ubicación se desconoce, ya que este dato es secreto
por razones competitivas.
- Google Search no sólo facilita el acceso a los contenidos alojados en las páginas web indexadas, sino
que también aprovecha esta actividad para incluir publicidad asociada a los patrones de búsqueda introducidos
por los internautas, contratada, a cambio de un precio, por las empresas que desean utilizar esta herramienta
para ofrecer sus bienes o servicios a éstos.
- El grupo Google utiliza una empresa filial, Google Spain, como agente promotor de venta de
los espacios publicitarios que se generan en el sitio de Internet «www.google.com». Google Spain tiene
personalidad jurídica propia y domicilio social en Madrid, y fue creada el 3 de septiembre de 2003. Dicha
empresa dirige su actividad fundamentalmente a las empresas radicadas en España, actuando como agente
comercial del grupo en dicho Estado miembro. Tiene como objeto social promocionar, facilitar y procurar

10

 la venta de productos y servicios de publicidad «on line» a través de Internet para terceros, así como la
comercialización de esta publicidad.
- Google Inc. designó a Google Spain como responsable del tratamiento en España de dos ficheros
inscritos por Google Inc. ante la AEPD; el objeto de tales ficheros era almacenar los datos de las personas
relacionadas con los clientes de servicios publicitarios que en su día contrataron con Google Inc.".
La letra d) del artículo 2 de la Directiva 95/46/CE establece que se entenderá por "responsable del
tratamiento" <<la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que sólo o
conjuntamente con otros determine los fines y los medios del tratamiento de datos personales; en caso de
que los fines y los medios del tratamiento estén determinados por disposiciones legislativas o reglamentarias
nacionales o comunitarias, el responsable del tratamiento o los criterios específicos para su nombramiento
podrán ser fijados por el Derecho nacional o comunitario>>. En el mismo sentido, se pronuncia el artículo
5.1.q) del Reglamento de Protección de Datos .
Por su parte, el artículo 3.d) de la LOPD define como responsable del tratamiento a la "persona
física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad,
contenido y uso del tratamiento". Mientras que el Proyecto de Reglamento Europeo de Protección de Datos
considera responsable del tratamiento a "la persona física o jurídica, autoridad pública, servicio o cualquier
otro organismo que solo o conjuntamente con otros determine los fines y medios del tratamiento de datos
personales; en caso de que los fines y medios del tratamiento estén determinados por la legislación de la Unión
o de los Estados miembros, el responsable del tratamiento o los criterios específicos para su nombramiento
podrán ser fijados por la legislación de la Unión o de los Estados miembros" .
El Dictamen 1/2010, sobre los conceptos de «responsable del tratamiento» y «encargado del
tratamiento» adoptado el 16 de febrero de 2010 por el GT29, dice en relación con el concepto de responsable
del tratamiento lo siguiente: << El concepto de responsable del tratamiento es autónomo, en el sentido de
que debe interpretarse fundamentalmente con arreglo a la legislación comunitaria de protección de datos,
y funcional, en el sentido de que su objetivo es asignar responsabilidades en función de la capacidad de
influencia de hecho, y, por consiguiente, se basa en un análisis de los hechos más que en un análisis formal...
La definición de la Directiva consta de tres componentes fundamentales: el aspecto personal («la
persona física o jurídica, autoridad pública, servicio o cualquier otro organismo»); la posibilidad de un control
plural («que solo o conjuntamente con otros»); los elementos esenciales para distinguir al responsable del
tratamiento de otros agentes («determine los fines y los medios del tratamiento de datos personales»)...
En relación con la determinación de los fines y los medios se señala que "el hecho de determinar los
«fines» del tratamiento trae consigo la consideración de responsable del tratamiento (de facto). En cambio, la
determinación de los «medios» del procesamiento puede ser delegada por el responsable del tratamiento en
la medida en que se trate de cuestiones técnicas u organizativas. Sin embargo, las cuestiones de fondo que
sean esenciales a efectos de la legitimidad del tratamiento -como los datos que deban tratarse, la duración de
su conservación, el acceso, etc.- deben ser determinadas por el responsable del tratamiento>>.
No cabe duda alguna de que Google Inc., que gestiona el motor de búsqueda Google Search, es
responsable del tratamiento de datos, al determinar los fines, las condiciones y los medios del tratamiento de
datos personales. No obstante, ello no implica que Google Inc. sea responsable del tratamiento en solitario,
ya que no podemos olvidar que el citado artículo 2.d) de la Directiva 95/46/CE , alude a que la determinación
de los fines y los medios del tratamiento de datos personales se puede hacer "sólo o conjuntamente con
otros" , máxime si tenemos en cuenta, que "las actividades del gestor del motor de búsqueda y las de su
establecimiento situado en el Estado miembro de que se trate están indisociablemente ligadas, dado que
las actividades relativas a los espacios publicitarios constituyen el medio para que el motor de búsqueda en
cuestión sea económicamente rentable y dado que este motor es, al mismo tiempo, el medio que permite
realizar las mencionadas actividades" (apartado 56 de la Sentencia del TJUE de 13 de mayo de 2014 ).
A este respecto, en el Dictamen 1/2010 del GT29 se dice: "En el dictamen de la Comisión sobre la
enmienda del PE, la Comisión menciona la posibilidad de que «varias partes determinen conjuntamente, para
una única operación de tratamiento, los fines y los medios del tratamiento que se vaya a llevar a cabo» y, por
lo tanto, en tal caso, «cada uno de estos corresponsables del tratamiento debe considerarse vinculado por las
obligaciones impuestas por la Directiva de proteger a las personas físicas cuyos datos se estén tratando»" . Se
añade que "la definición de tratamiento contenida en el artículo 2.b) de la Directiva no excluye la posibilidad de
que distintos agentes estén implicados en diferentes operaciones o conjuntos de operaciones en materia de
datos personales. Estas operaciones pueden producirse simultáneamente o en distintas fases" . Y se concluye

11

 que "la participación de las partes en la determinación de los fines y los medios del tratamiento en el contexto
del control conjunto puede revestir distintas formas y el reparto no tiene que ser necesariamente a partes
iguales... Los distintos grados de control pueden dar lugar a distintos grados de responsabilidad, y desde luego
no cabe presumir que haya una responsabilidad solidaria en todos los casos. Por lo demás, es muy posible
que en sistemas complejos con varios agentes el acceso a datos personales y el ejercicio de otros derechos
de los interesados también los puedan garantizar distintos agentes a diferentes niveles" .
Así las cosas, en la Sentencia del TJUE de 13 de mayo de 2014 se declara que "... el artículo 4,
apartado 1, letra a), de la Directiva 95/46 no exige que el tratamiento de datos personales controvertido sea
efectuado «por» el propio establecimiento en cuestión, sino que se realice «en el marco de las actividades» de
éste" (apartado 52). Además, se añade que "visto el objetivo de la Directiva 95/46 de garantizar una protección
eficaz y completa de las libertades y de los derechos fundamentales de las personas físicas, y, en particular,
del derecho a la intimidad, en lo que respecta al tratamiento de los datos personales, ésta expresión no puede
ser objeto de una interpretación restrictiva (véase, por analogía, la sentencia L'Oréal y otros, CEU:C:2011:474,
apartados 62 y 63) (apartado 53)".
Por otro lado, y así se deduce de los apartados 55, 56 y 57 de la Sentencia de 13 de mayo de 2014 del
TJUE , Google Spain, S.L., es un establecimiento del responsable del tratamiento de datos que se encuentra
implicado en actividades relativas al tratamiento de datos personales, en cuanto que está destinado a la
promoción y venta en España de los espacios publicitarios del motor de búsqueda, que sirven para rentabilizar
el servicio propuesto por el motor, ya que constituyen el medio para que el motor de búsqueda en cuestión
sea económicamente rentable y dado que este motor es, al mismo tiempo, el medio que permite realizar las
mencionadas actividades.
Además, afirma la Sentencia de 13 de mayo de 2014 del TJUE que la presentación de datos personales
en una página de resultados de una búsqueda constituye un tratamiento de dichos datos. Y, concluye que,
al encontrarse acompañada en la misma página de la presentación de publicidad vinculada a los términos de
búsqueda, "es obligado declarar que el tratamiento de datos personales controvertido se lleva a cabo en el
marco de la actividad publicitaria y comercial del establecimiento del responsable del tratamiento en territorio
de un Estado miembro, en el caso de autos el territorio español " (apartado 57).
En definitiva, la responsabilidad de Google Spain, S.L. en el tratamiento de datos personales llevado a
cabo en el marco del servicio de búsqueda en internet ofrecido por Google Inc -gestor del motor de búsquedaderiva de la unidad de negocio que conforman ambas sociedades, en la que la actividad desempeñada por
Google Spain, S.L. resulta indispensable para el funcionamiento del motor de búsqueda, pues de aquella
depende su rentabilidad. El concierto de ambas sociedades en la prestación de tal servicio a los internautas
lo hace viable económicamente y posibilita su subsistencia.
Carecería de lógica alguna excluir a Google Spain, S.L. de cualquier responsabilidad en el tratamiento
de los datos personales que lleva a cabo Google Inc, tras afirmar que este tratamiento se sujeta al Derecho
Comunitario precisamente por haberse llevado a cabo en el marco de las actividades de su establecimiento
en España, del que es titular Google Spain, S.L., y más aún tras aceptar la relevancia de su participación en la
actividad conjuntamente desempeñada por ambas, en relación con el funcionamiento del motor de búsqueda y
el servicio que mediante el mismo se presta a los internautas, que conlleva el tratamiento de datos personales
que nos ocupa.
De no entenderse así se vería menoscabado el efecto útil de la Directiva 95/46/ CE y la protección
directa y completa de las libertades y de los derechos fundamentales de las personas físicas, en particular el
derecho a la intimidad, en lo que respecta al tratamiento de datos personales, que tiene por objeto garantizar,
tal y como se desprende de su artículo 1 y de su considerando 10 (véase la Sentencia del TJUE de 13 de
mayo de 2014 , apartados 53, 58 y 66).
Resulta interesante poner de manifiesto en este momento, lo que se recoge en las observaciones
escritas de la Comisión Europea presentadas al Tribunal de Justicia de la Unión Europea en relación con la
cuestión prejudicial planteada por esta Sala, en las que se lee que "de acuerdo con las afirmaciones de la
propia Google en su página web "Google data centers" la mayor parte de los ingresos de Google proceden
de la publicidad de gran interés para los consumidores de internet que buscan sobre productos y servicios
relacionados".
A lo expuesto, tenemos que añadir que Google Spain, S.L. ha venido actuando como si fuese
responsable del tratamiento de datos, tanto en procedimientos de tutela de derechos seguidos ante la Agencia
Española de Protección de Datos como en diversas intervenciones ante Tribunales Españoles.

12

 En este sentido, resulta conveniente hacer referencia a los siguientes procedimientos de tutela de
derechos sobre cancelación de datos personales seguidos en la Agencia Española de Protección de Datos,
en los que la reclamación se dirigió contra Google Spain, S.L. y ésta actuó como si fuera responsable del
tratamiento de datos:
TD/00299/2007 (resolución de 9 de julio de 2007), TD/00463/2007 (resolución de 9 de julio de 2007),
TD/00814/2007 (resolución de 7 de abril de 2008), TD/00387/2008 (resolución de 3 de septiembre de 2008),
TD/00420/2008 (resolución de 29 de diciembre de 2008), TD/0444/2008 (resolución de 4 de noviembre
de 2008), TD/00569/2008 (resolución de 24 de septiembre de 2008) y TD/00580/2008 (resolución de 29
de diciembre de 2008). En dichos procedimientos se viene a manifestar por Google Spain, S.L que las
informaciones obtenidas a través de sus resultados de búsqueda se encontraban en páginas de terceros cuyo
acceso es público y, en consecuencia, para eliminar dicho contenido de los resultados deberían desaparecer
del webmaster de la página de terceros.
En cuanto a la actuación de Google Spain, S.L. ante los Tribunales Españoles, hay supuestos en que
asumió la condición del responsable del tratamiento, siendo un ejemplo de ello la Sentencia de la Sala de lo
Civil del Tribunal Supremo de 3 de abril de 2012 -recurso nº. 2.037/2008 -, sobre los derechos del allí recurrente
como autor de una página web de apuestas frente a Google Spain, S.L., en la que ésta no opuso la falta de
legitimación pasiva. Por otro lado, en un procedimiento en que era parte demandada que tenía por objeto una
demanda por intromisión ilegítima en su derecho al honor y a la propia imagen por la difusión de unos videos,
que concluyó con la Sentencia de la Sala de lo Civil del Tribunal Supremo de 15 de enero de 2014 -recurso
nº. 897/2010 -, consta que Google Spain, S.L. llegó a un acuerdo transaccional con la parte demandante, lo
que no hubiera sido posible si no hubiese estado legitimada.
La Sala es consciente que la postura adoptada por Google Spain, S.L. en dichos procedimientos tanto
administrativos como judiciales puede que no sea determinante para la resolución de la cuestión que estamos
analizando, pero constituye un indicio muy importante a los efectos de considerar a Google Spain, S.L. también
como responsable del tratamiento de datos, y, especialmente, si añadimos el desistimiento efectuado por
Google Spain, S.L. en unos 130 recursos contencioso-administrativos que se tramitan en esta Sala, que tienen
por objeto resoluciones recaídas en procedimientos de tutela de derechos sobre cancelación/oposición de
datos.
Las citadas actuaciones inciden en la doctrina de los actos propios que, como se dice en la Sentencia
de la Sala Primera de lo Civil del Tribunal Supremo de 9 de marzo de 2012 -recurso nº. 576/2009 -, "tiene
su fundamento en la protección de la confianza y en el principio de la buena fe, que impone un deber de
coherencia y limita la libertad de actuación cuando se han creado expectativas razonables.
Los presupuestos esenciales fijados por esta teoría aluden a que los actos propios sean inequívocos, en
el sentido de crear, definir, fijar, modificar, extinguir o esclarecer, sin ninguna duda, una determinada situación
jurídica afectante a su autor, y, además, exista una incompatibilidad entre la conducta anterior y la pretensión
actual, según la manera que, de buena fe, hubiera de atribuirse a aquélla ( SSTS 1 de julio y 28 de diciembre
2011 , 31 de enero 2012 )...".
Finalmente, vamos a hacer referencia a la resolución de 18 de diciembre de 2013 -PS/320/2013- de la
AEPD, que era objeto del recurso contencioso- administrativo nº. 51/2014 que se tramitaba en esta Sala, pues
se desistió del mismo por Google Inc., que ha sido invocado por la parte actora en el escrito de alegaciones
a la Sentencia del TJUE de 13 de mayo de 2014 .
El citado procedimiento sancionador, que se incoó con fecha 1 de marzo de 2012, con el fin de
determinar el grado de adecuación de las políticas de privacidad y los términos de servicio adoptados por
Google a la LOPD y demás normativa de protección de datos, se dirigió en principio contra Google Spain,
S.L., y Google Inc., pero luego, en la resolución sancionadora se razona que la única imputable es Google
Inc., imponiéndose a ésta tres sanciones de 300.000 euros cada una por las infracciones de los artículos 6.1
y 4.5 en relación con los artículos 16 y 15 y 16, todas ellas de la LOPD . En las alegaciones de Google Spain,
S.L. al acuerdo de inicio del procedimiento sancionador, afirmó que "Google Spain es un activo de Google
Inc. toda vez que Google Spain es totalmente (aunque sea de modo indirecto) propiedad de Google Inc. y, por
lo tanto, los efectos económicos de cualquier pérdida de Google Spain (Ej. una multa) se trasladan de forma
automática a Google Inc." . Por su parte, en el citado procedimiento sancionador Google Inc. invocó sobre la
propuesta de resolución sancionadora, la vulneración del principio "non bis in idem" , partiendo de que Google
Spain, S.L. fue constituida y está controlada al 100% por Google Inc.

13

 Se añade más adelante que "en el presente caso, la AEPD pretende imponer a Google Inc. y a Google
Spain idénticas sanciones, sobre la base de unos mismos hechos (la implantación de la nueva política de
Privacidad), existiendo entre Google Inc. y Google Spain una identidad subjetiva (no formal, pero sí material
como ha quedado acreditado, y a la vista de la normativa de protección de datos)" .
Por tanto, a tenor de lo relatado, consideramos que Google Spain, S.L. también es responsable del
tratamiento de datos, constituyendo ésta y Google Inc. una unidad material, además de reunir la características
de un establecimiento de los referidos en el artículo 4.1.a) de la Directiva 95/46/CE , en el que participa en
el tratamiento de datos.
La Sala no ignora que resoluciones de otros tribunales, españoles y extranjeros, antes y después de
la Sentencia del TJUE de 13 de mayo de 2014 , han acogido la excepción de falta de legitimación pasiva de
Google Spain, S.L., o de la filial de Google Inc. en otros países europeos, en reclamaciones relacionadas con
el buscador Google, por considerar a Google Inc. único responsable del motor de búsqueda. Pero también hay
Sentencias que, aplicando la citada Sentencia del TJUE consideran que Google Spain, S.L, tiene legitimación
pasiva, siendo ejemplo de ello la Sentencia de la Sección 16ª de la Audiencia Provincial de Barcelona de 17
de julio de 2014 -recurso nº 411/2011 -, recaída en materia de intromisión en el derecho a la intimidad personal
y familiar, a la imagen y al honor, por la que se condena a Google Spain, S.L. por vulnerar el derecho del allí
demandante a la protección de datos personales.
Por último, en cuanto a la alegación de Google Spain, S.L. de carecer de los medios necesarios para
cumplir por sí misma la obligación impuesta por la AEPD - eliminación del índice de resultados proporcionado
por el buscador de determinados enlaces-, hay que tener en cuenta que la unidad material y funcional que
conforma con Google Inc. conlleva su responsabilidad en el cumplimiento de la obligación, trasladándola al
gestor del motor de búsqueda y contribuyendo a su realización, dada la relevancia de su participación en el
funcionamiento del servicio de búsqueda en Internet que se ofrece a los internautas.
En consecuencia, procede desestimar este motivo de impugnación, así como la alegación consistente
en que la resolución recurrida tiene un contenido de imposible cumplimiento.
NOVENO .- Libertad de empresa.
Por lo que se refiere a la alegación de la parte recurrente en el sentido de que la resolución recurrida
vulnera la libertad de empresa del prestador del servicio de motor de búsqueda, recogida en el artículo 38 de
la Constitución , lo primero que se debe señalar es que se trata de un argumento que no fue planteado por
la parte recurrente en el escrito de demanda ni en el de conclusiones y que ha sido planteado, ex novo, a la
hora de contestar al traslado que para alegaciones se le ha concedido tras dictarse la Sentencia del TJUE de
13 de mayo de 2014 . Resulta, pues un argumento nuevo en el que no era necesario mayor detenimiento por
haberse formulado de modo extemporáneo como resulta de la aplicación de dos preceptos de la Ley de la
Jurisdicción como son los artículos 56.1 , según el cual es en los escritos de demanda y contestación donde
se deben consignar las pretensiones de las partes, y 65.1, que dispone que ni en la vista ni en conclusiones
se pueden plantear cuestiones que no hayan sido suscitadas en los escritos de demanda y contestación.
Esta Sala y Sección en la Sentencia de fecha 5 de Junio de 2014 -recurso nº. 475/2012 - recogió el
criterio de la Sentencia del Tribunal Supremo de 27 de mayo de 2013 -recurso nº 4.968/2010 - donde se afirma
exactamente esta misma cuestión
No obstante lo anterior, se realizarán determinadas consideraciones para justificar la razón por la que
la resolución frente a la que se recurre no infringe en modo alguno el derecho a la libertad de empresa de
la recurrente.
El artículo 38 de nuestra Constitución declara que: "Se reconoce la libertad de empresa en el marco
de la economía de mercado.
Los poderes públicos garantizan y protegen su ejercicio y la defensa de la productividad, de acuerdo
con las exigencias de la economía general y, en su caso, de la planificación" .
El Tribunal Constitucional en la reciente Sentencia 53/2014, de 10 de abril , afirma que el derecho
a la libertad de empresa no es absoluto: "En relación con el derecho a la libertad de empresa reconocido
en el Art. 38 CE , este Tribunal ha declarado que el mismo "viene a establecer los límites dentro de los
que necesariamente han de moverse los poderes constituidos al adoptar medidas que incidan sobre el
sistema económico de nuestra sociedad" ( STC 109/2003, de 5 de junio , FJ 15). Lo anterior es plenamente
compatible con la afirmación de que "el derecho a la libertad de empresa no es absoluto e incondicionado sino

14

 limitado por la regulación que, de las distintas actividades empresariales en concreto, puedan establecer los
poderes públicos, limitaciones que han de venir establecidas por la ley, respetando, en todo caso, el contenido
esencial del derecho" ( SSTC 18/2011 , 135/2012 ) y "derivadas de las reglas que disciplinen, proporcionada
y razonablemente, el mercado" (entre otras SSTC 127/1994 ; 109/2003 o 112/2006 )" .
La STC 125/2007, de 21 de mayo , remitiéndose a la STC 41/2006, de 13 de febrero , FJ 4, sostiene
que el ejercicio de las facultades organizativas del empleador no puede traducirse en la producción de
resultados inconstitucionales, lesivos de los derechos fundamentales del trabajador, ni en la sanción del
ejercicio legítimo de tales derechos por parte de aquél, de manera que no neutraliza el panorama indiciario la
genérica invocación de facultades legales o convencionales.
Por lo tanto, la interpretación del Tribunal Constitucional sobre la libertad de empresa parte de que esta
nunca puede lesionar derechos fundamentales, bien sea de los trabajadores (como es el caso de la última
sentencia citada) como de cualquier otra persona y que la posibilidad de auto-organización del empresario
no es absoluta sino que se encuentra sujeta a límites. Aplicando esta doctrina al caso de autos, resulta que
el derecho a la libertad de empresa no puede justificar una violación del derecho a la protección de datos
(regulado en la Sección Primera del Capitulo 2º de la Constitución) cuando resulta que el derecho a la libertad
de empresa se contempla en la Sección Segunda y no goza de la misma protección reforzada que menciona
el articulo 53.2 de la Constitución .
La libertad de empresa la configura la parte recurrente en su escrito de alegaciones como su derecho
a ofrecer el mayor numero de resultados relevantes en las consultas y ello por configurar así su modelo
de negocio; no obstante, la Sala debe seguir el criterio marcado por la Sentencia del TJUE, y efectuar una
ponderación entre los derechos afectados en el que la libertad de empresa cederá tanto ante el derecho a la
intimidad como ante la protección de datos del denunciante y solicitante de la cancelación de los datos.
DÉCIMO .- Derecho a la protección de datos y libertades de expresión e información.
Sentado lo anterior, resulta necesario delimitar el objeto y contenido de los derechos fundamentales en
conflicto, no solo para examinar si el tratamiento de datos personales realizado por la parte demandante es
necesario para satisfacer el interés legitimo perseguido por el responsable del tratamiento o por el de tercero
o terceros a los que se comuniquen los datos, en este caso, el ejercicio de las libertades de expresión y de
información y el interés del público en encontrar la mencionada información en una búsqueda que verse sobre
el nombre del afectado, sino también para determinar si sobre tal derecho debe prevalecer el derecho a la
protección de datos de este último, atendida su concreta situación personal mediante el oportuno juicio de
ponderación.
Siguiendo la STC 292/2000, de 30 de noviembre , debe afirmarse que el derecho fundamental a
la protección de datos, consagrado en el artículo 18.4 de la Constitución , a diferencia del derecho a la
intimidad del artículo 18.1 de la Constitución , con quien comparte el objetivo de ofrecer una eficaz protección
constitucional de la vida privada personal y familiar, persigue garantizar a esa persona un poder de control
sobre sus datos personales, sobre su uso y destino, con el propósito de impedir su tráfico ilícito y lesivo para
la dignidad y derechos del afectado.
El derecho a la protección de datos tiene, por tanto, un objeto más amplio que el del derecho a la
intimidad, ya que el derecho fundamental a la protección de datos extiende su garantía no sólo a la intimidad
en su dimensión constitucionalmente protegida por el artículo 18.1 de la Constitución , sino a la esfera de los
bienes de la personalidad que pertenecen al ámbito de la vida privada, inseparablemente unidos al respeto de
la dignidad personal, como el derecho al honor, y al pleno ejercicio de los derechos de la persona. El derecho
fundamental a la protección de datos amplía la garantía constitucional a aquellos de esos datos que sean
relevantes o tengan incidencia en el ejercicio de cualesquiera derechos de la persona, sean o no derechos
constitucionales y sean o no relativos al honor, la ideología, la intimidad personal y familiar a cualquier otro
bien constitucionalmente amparado.
De este modo, el objeto del derecho fundamental a la protección de datos no se reduce sólo a los
datos íntimos de la persona, sino a cualquier tipo de dato personal, sea o no íntimo, cuyo conocimiento o
empleo por terceros pueda afectar a sus derechos, sean o no fundamentales - como aquellos que identifiquen
o permitan la identificación de la persona, pudiendo servir para la confección de su perfil ideológico, racial,
sexual, económico o de cualquier otra índole, o que sirvan para cualquier otra utilidad que en determinadas
circunstancias constituya una amenaza para el individuo-, porque su objeto no es sólo la intimidad individual,
protegida ya por el artículo 18.1 de la Constitución , sino los datos de carácter personal. Por consiguiente,
también alcanza a aquellos datos personales públicos que, por el hecho de ser accesibles al conocimiento de

15

 cualquiera, no escapan al poder de disposición del afectado porque así lo garantiza su derecho a la protección
de datos.
En relación con su contenido, el derecho fundamental a la protección de datos atribuye a su titular un
haz de facultades consistente en diversos poderes jurídicos cuyo ejercicio impone a terceros deberes jurídicos,
que no se contienen en el derecho a la intimidad, con el objeto de garantizar a la persona un poder de control
sobre sus datos personales. Entre ellos, destacan el derecho a que se requiera el previo consentimiento para
la recogida y uso de los datos personales, el derecho a saber y ser informado sobre el destino y uso de
esos datos y el derecho a acceder, rectificar y cancelar dichos datos. De este modo se garantiza el poder de
disposición sobre los datos personales.
Por lo que atañe al derecho a la libertad de expresión, a la luz de la doctrina del Tribunal Constitucional,
de la que son exponente sus Sentencias 23/2010, de 27 de abril , y 9/2007, de 15 de enero , ha de señalarse
que, consagrado en el artículo 20 de la Constitución , comprende, junto a la mera expresión de pensamientos,
creencias, ideas, opiniones y juicios de valor, la crítica de la conducta de otro, aun cuando la misma sea
desabrida y pueda molestar, inquietar o disgustar a quien se dirige, pues así lo requieren el pluralismo, la
tolerancia y el espíritu de apertura, sin los cuales no existe sociedad democrática.
La libertad de expresión es más amplia que la libertad de información al no operar en el ejercicio de
aquélla el límite interno de veracidad que es aplicable a ésta, lo que se justifica en que tiene por objeto
presentar ideas, opiniones o juicios de valor subjetivos que no se prestan a una demostración de su exactitud,
ni por su naturaleza abstracta son susceptibles de prueba, y no a sentar hechos o afirmar datos objetivos. No
obstante, tal diferencia no impide aseverar que ambos constituyen derechos individuales que ostentan todas
las personas físicas y que pueden ser ejercidos a través de la palabra, el escrito o cualquier otro medio de
reproducción, sin perjuicio de que cuando tales libertades son ejercidas por profesionales de la información
a través de un vehículo institucionalizado de formación de la opinión pública, su grado de protección alcance
su máximo nivel ( STC 165/1987, de 27 de octubre ).
En definitiva, el reconocimiento de la libertad de expresión garantiza el desarrollo de una comunicación
pública libre que permita la libre circulación de ideas y juicios de valor inherente al principio de legitimidad
democrática. En este sentido, merece especial protección constitucional la difusión de ideas que colaboren
a la formación de la opinión pública y faciliten que el ciudadano pueda formar libremente sus opiniones y
participar de modo responsable en los asuntos públicos.
No obstante, al igual que sucede con los restantes derechos fundamentales, el ejercicio del derecho a la
libertad de expresión está sometido a límites que el Tribunal Constitucional ha ido perfilando progresivamente.
Así, no ampara la presencia de frases y expresiones injuriosas, ultrajantes y ofensivas sin relación con las
ideas u opiniones que se expongan y, por tanto, innecesarias a este propósito, ni protege la divulgación de
hechos que no son sino simples rumores, invenciones o insinuaciones carentes de fundamento, ni tampoco
reconoce un pretendido derecho al insulto.
Junto a ello, la tendencia expansiva de la libertad de expresión encuentra también su límite en el respeto
al contenido normativo garantizado por otros derechos fundamentales, cuya afectación no resulte necesaria
para la realización constitucional del derecho. Delimitación que solo es posible hacer mediante la adecuada
ponderación de los valores constitucionales enfrentados, entre los que destaca la garantía de la existencia de
la opinión pública, indisolublemente unida al pluralismo político, debiendo recordarse que, tal y como reconoce
el propio apartado 4 del artículo 20 de la Constitución , todas las libertades reconocidas en el precepto tienen
su límite en el derecho al honor, a la intimidad, a la propia imagen y a la protección de la juventud y de la
infancia, que cumplen una «función limitadora» en relación con dichas libertades.
Por ello, se ve debilitada la protección de estos otros derechos constitucionales que reconoce el artículo
20.4 de la Constitución frente a las libertades de expresión e información, cuando se ejerciten en conexión
con asuntos que son de interés general, por las materias a que se refieren y por las personas que en ellos
intervienen y contribuyan, en consecuencia, a la formación de la opinión pública, como ocurre cuando afectan
a personas públicas, que ejercen funciones públicas o resultan implicadas en asuntos de relevancia pública,
obligadas por ello a soportar un cierto riesgo de que sus derechos subjetivos de la personalidad resulten
afectados por opiniones o informaciones de interés general ( SSTC 107/1988, de 8 de junio , 20/2002, de 28
de enero , 160/2003, de 15 de septiembre , 151/2004, de 20 de septiembre , y 9/2007, de 15 de enero ).
Con carácter general y como reflexión previa al concreto juicio de ponderación de los derechos e
intereses en conflicto que haremos más adelante, debe ponerse de manifiesto que la libertad de información,
en principio, se encuentra satisfecha por su subsistencia en la fuente, es decir, en el sitio web donde se pública

16

 la información por el editor. Cuestión distinta es si cabe apreciar la existencia de un interés del público en
encontrar la información en relación con la cual se ejercita el derecho de oposición en una búsqueda que
verse sobre el nombre del afectado que deba prevalecer sobre el derecho a la protección de datos personales
de este.
UNDÉCIMO .- Criterios de ponderación.
Delimitado el marco general de los derechos y libertades fundamentales alegados por la parte
demandante, conforme a la Constitución y a la jurisprudencia, cabe añadir que para decidir adecuadamente
cuál de ellos ha de prevalecer en cada caso, hay que atender a los criterios y principios aportados por el TJUE
en interpretación de la Directiva 95/46/CE y de la Carta Europea de Derechos Fundamentales.
El TJUE, en la Sentencia de 13 de mayo de 2014 que responde a las preguntas formuladas por esta
Sala en otro procedimiento similar al presente, ha establecido los criterios de interpretación de los artículos
12 b ) y 14 a) de la Directiva 95/46/CE , que regulan el derecho de acceso y el de oposición, respectivamente.
En el Auto de 27 de febrero de 2012 (FJ 6.4), de planteamiento de la consulta prejudicial, se expresaba
la duda sobre "... el alcance de las obligaciones de los buscadores para tutelar de forma directa los derechos
de supresión y oposición de los afectados, en virtud de un requerimiento acordado por la AEPD, cuando esta
información no ha sido previamente suprimida de la página de origen o, incluso, en aquellos supuestos en los
que la publicación de dicha información en la webmaster se considere lícita al amparo de una norma legal o
de la aplicación concurrente de otros derechos (derechos de información entre otros)". Por último, el Auto (FJ
7) planteaba al Tribunal de Luxemburgo el alcance que deben tener los derechos de supresión y bloqueo (art.
12 b) de la Directiva), incluyendo el llamado "derecho al olvido" o poder de disposición del particular sobre las
informaciones que se publican en la red sobre su persona.
En su parte dispositiva la Sentencia del TJUE responde a las preguntas formuladas del modo siguiente:
"3) Los artículos 12, letra b ) y 14, párrafo primero, letra a), de la Directiva 95/46 deben interpretarse en el
sentido de que, para respetar los derechos que establecen estas disposiciones, siempre que se cumplan
realmente los requisitos establecidos en ellos, el gestor de un motor de búsqueda está obligado a eliminar
de la lista de resultados obtenida tras una búsqueda efectuada a partir del nombre de una persona vínculos
a páginas web, publicadas por terceros y que contienen información relativa a esta persona, también en el
supuesto de que este nombre o esta información no se borren previa o simultáneamente de estas páginas
web, y, en su caso, aunque la publicación en dichas páginas sea en sí misma lícita.
4) Los artículos 12, letra b ), y 14, párrafo primero, letra a), de la Directiva 95/46 deben interpretarse
en el sentido de que, al analizar los requisitos de aplicación de estas disposiciones, se tendrá que examinar,
en particular, si el interesado tiene derecho a que la información en cuestión relativa a su persona ya no
esté, en la situación actual, vinculada a su nombre por una lista de resultados obtenida tras una búsqueda
efectuada a partir de su nombre, sin que la apreciación de la existencia de tal derecho presuponga que la
inclusión de la información en cuestión en la lista de resultados cause un perjuicio al interesado. Puesto que
éste puede, habida cuenta de los derechos que le reconocen los artículos 7 y 8 de la Carta, solicitar que la
información de que se trate ya no se ponga a disposición del público en general mediante su inclusión en tal
lista de resultados, estos derechos prevalecen, en principio, no sólo sobre el interés económico del gestor del
motor de búsqueda, sino también sobre el interés de dicho público en acceder a la mencionada información
en una búsqueda que verse sobre el nombre de esa persona. Sin embargo, tal no sería el caso si resultara,
por razones concretas, como el papel desempeñado por el interesado en la vida pública, que la injerencia en
sus derechos fundamentales está justificada por el interés preponderante de dicho público en tener, a raíz de
esta inclusión, acceso a la información de que se trate".
Se exponen a continuación los principios y criterios con referencia a los párrafos de la sentencia
directamente relacionados con este particular que, posteriormente, se aplicarán a los hechos del presente
recurso:
1) El objeto de la Directiva 95/46/CE es garantizar un nivel elevado de protección de los derechos
fundamentales y de las libertades de las personas físicas, sobre todo en su vida privada, en relación con el
tratamiento de datos personales; por ello las disposiciones de la Directiva deben ser interpretadas a la luz de
los derechos fundamentales que forman parte de los principios generales del derecho, cuyo respeto garantiza
el TJUE, actualmente recogidos en la Carta de Derechos Fundamentales de la Unión Europea (arts. 7 y 8);
esta interpretación se aplica en particular a los artículos 6, 7, 12, 14 y 28 de la Directiva. En concreto, en
lo que respecta al artículo 7 f) de la Directiva, su aplicación precisa de una ponderación de los derechos e
intereses en liza de que se trate, en cuyo marco debe tenerse en cuenta la importancia de los derechos del

17

 interesado que resulta de los artículos 7 y 8 de la Carta (apartados 66, 69 y 74 de la Sentencia del TJUE).
En este sentido, se considera que una búsqueda realizada a partir del nombre de una persona física puede
afectar significativamente a tales derechos (apartados 80 y 87 de la Sentencia del TJUE).
2) Todo tratamiento debe ser conforme con los principios relativos a la calidad de los datos enumerados
en el artículo 6 de la Directiva y con alguno de los principios relativos a la legitimación del tratamiento
enumerados en el artículo 7 de la Directiva; de ahí que los principios de protección tienen su expresión, por
una parte, en las obligaciones que incumben a las personas que efectúen el tratamiento de los datos -calidad
de los datos, seguridad técnica, notificación a las autoridades de control, circunstancias en las que se puede
efectuar el tratamiento- (apartados 67, 71 y 95 de la Sentencia del TJUE); por otra parte, tienen también su
expresión en los derechos otorgados a las personas cuyos datos sean objeto de tratamiento de ser informadas
acerca de dicho tratamiento, de poder acceder a los datos, de poder solicitar su rectificación o incluso de
oponerse a su tratamiento en determinadas circunstancias.
3) El responsable del tratamiento debe garantizar que los datos sean tratados de manera leal y lícita,
que sean recogidos con fines determinados, explícitos y legítimos y que no sean tratados posteriormente de
manera incompatible con estos principios. Por ello, el responsable del tratamiento debe adoptar todas las
medidas razonables para que los datos que no respondan a los requisitos del artículo 6 de la Directiva sean
suprimidos o rectificados; la incompatibilidad puede resultar no sólo de que los datos sean inexactos, sino en
particular, de que sean inadecuados, no pertinentes y excesivos en relación con los fines del tratamiento, de
que no estén actualizados o de que se conserven durante un período superior al necesario, a menos que se
imponga su conservación por fines históricos, estadísticos o científicos (apartados 72, 83 y 92 de la Sentencia
del TJUE).
4) El interesado puede presentar una solicitud con base en el artículo 12.1.b) de la Directiva o ejercer
el derecho de oposición que le ofrece el artículo 14 de la misma; en este último caso se debe realizar una
ponderación para tener en cuenta de modo más específico todas las circunstancias que rodean su situación
concreta; en caso de que la oposición se considere justificada, el tratamiento que efectúe el responsable no
podrá ya referirse a esos datos (apartado 76 de la Sentencia del TJUE).
5) Tales solicitudes se pueden dirigir directamente por el interesado al responsable del tratamiento,
que debe examinar debidamente su fundamento y, en su caso, poner fin al tratamiento controvertido y, si no
accede a ello, el interesado puede acudir a la autoridad de control o a los tribunales para que éstos lleven a
cabo las comprobaciones necesarias y ordenen las medidas que correspondan. Para ello no se requiere que
el nombre o la información hayan sido previa o simultáneamente eliminados de la página web en la que hayan
sido publicados (apartados 77, 82, 84 y 85 de la Sentencia del TJUE).
6) Un tratamiento inicialmente lícito de datos exactos puede devenir, con el tiempo, incompatible con
la Directiva, cuando estos datos no sean necesarios en relación con los fines para los que se recogieron o
trataron, en particular, cuando son inadecuados, no pertinentes o ya no pertinentes o son excesivos en relación
con estos fines y el tiempo transcurrido (apartado 93 de la Sentencia del TJUE).
7) Los derechos de la persona protegidos por los artículos 7 y 8 de la Carta prevalecen con carácter
general y el mero interés económico del gestor no justifica la injerencia en la vida privada. Sin embargo, hay
que buscar un justo equilibrio entre el interés legítimo de los internautas en tener acceso a la información en
una búsqueda que verse sobre el nombre de una persona y los derechos fundamentales de la misma y puede
resultar que, por razones concretas, como el papel desempeñado por el mencionado interesado en la vida
pública, la injerencia en sus derechos fundamentales esté justificada por el interés preponderante de dicho
público en tener, a raíz de esta inclusión, acceso a la información de que se trate (apartados 81, 93 y 97 de
la Sentencia del TJUE).
8) El equilibrio puede depender, en supuestos concretos, de la naturaleza de la información, del carácter
sensible para la vida privada de la persona afectada y del interés del público en disponer de la información,
que puede variar en función del papel que esa persona desempeñe en la vida pública; en este caso, el interés
preponderante del público debe basarse en razones concretas que ha de comprobar, en su caso, el órgano
judicial (apartados 81 y 98 de la Sentencia del TJUE).
9) El resultado de la ponderación puede ser diferente según estemos ante un tratamiento realizado
por un gestor de un motor de búsqueda o por el editor de la página web, ya que los intereses legítimos que
justifican ese tratamiento pueden ser distintos y las consecuencias sobre el interesado pueden no ser las
mismas: la inclusión, en la lista de resultados puede constituir una injerencia mayor en el derecho fundamental

18

 al respeto de la vida privada del interesado que la publicación por el editor de esta página web (apartados
86 y 87 de la Sentencia del TJUE)
10) El derecho del interesado a que la información relativa a su persona ya no esté vinculado a su
nombre por una lista de resultados obtenida tras una búsqueda a partir de su nombre, no presupone que la
inclusión de esa información le cause un perjuicio (apartado 96 de la Sentencia del TJUE).
En resumen, de la Sentencia se deduce la prevalencia del derecho a la protección de datos
consagrado en el artículo 8 de la Carta Europea de Derechos Fundamentales; este criterio ha sido confirmado
recientemente en la Sentencia del TJUE de 11 de Diciembre de 2014, asunto C- 212/13 , Franti?ek Ryne?/
Úrad pro ochranu osobních údaju que, en sus apartados 28 y 29, afirma lo siguiente: "28 A este respecto,
procede hacer constar que, con arreglo a reiterada jurisprudencia, la protección del derecho fundamental a
la vida privada, que garantiza el artículo 7 de la Carta de los Derechos Fundamentales de la Unión Europea,
exige que las excepciones a la protección de los datos personales y las restricciones a dicha protección se
establezcan sin sobrepasar los límites de lo estrictamente necesario (véanse las sentencias IPI, C-473/12,
EU:C:2013:715, apartado 39, así como Digital Rights Ireland y otros, C-293/12 y C-594/12, EU:C:2014:238,
apartado 52).
29 Teniendo en cuenta que las disposiciones de la Directiva 95/46, en la medida en que regulan el
tratamiento de datos personales que puede vulnerar las libertades fundamentales y, en particular, el derecho a
la intimidad o la protección de la vida privada, deben ser interpretadas a la luz de los derechos fundamentales
recogidos en la citada Carta (véase la sentencia Google Spain y Google, EU:C:2014:317, apartado 68), la
excepción prevista en el artículo 3, apartado 2, segundo guión, de dicha Directiva debe ser interpretada en
sentido estricto" .
Ahora bien, esa prevalencia del derecho de oposición al tratamiento de los datos personales por su
titular, sobre el interés legítimo del gestor del motor de búsqueda en la actividad que desarrolla, no es absoluta
ni ajena a la situación personal concreta del reclamante, con la única salvedad de que la ley establezca otra
cosa. Al igual que la protección del derecho fundamental al respeto de la vida privada, del que la protección de
datos personales constituye una manifestación autónoma, las injerencias, o límites, en este derecho pueden
venir justificadas cuando, previstas por la ley, constituyan una medida que en una sociedad democrática, sea
necesaria para la salvaguarda de otros intereses, entre otros, la protección de los derechos y libertades de
los demás, como reza el artículo 8 del Convenio Europeo de Derechos Humanos de 4 de Noviembre de 1950
y como viene a reconocer, también, el artículo 52.1 y 3 de la Carta.
El interesado puede, al amparo del artículo 12, letra b), de la Directiva 95/46/CE , obtener del
responsable del tratamiento la rectificación, la supresión o el bloqueo de los datos cuyo tratamiento no se
ajuste a las disposiciones de la Directiva, lo que conduce a comprobar si el tratamiento resulta o no legitimo
con arreglo a los artículos 6 y 7, en relación con el artículo 13 de la Directiva 95/46/CE .
También puede invocar en determinados supuestos el derecho de oposición, previsto en el artículo 14,
párrafo primero, letra a), al menos en los casos contemplados en las letras e) y f) del artículo 7 de la Directiva
95/46/CE , en cualquier momento y por razones legítimas propias de su situación particular, a que los datos
que le conciernan sean objeto de tratamiento, salvo cuando la legislación nacional disponga otra cosa.
Disposiciones ambas - artículos 12, letra b ), y 14, párrafo primero, letra a), de la Directiva- que tienen
su reflejo en los derechos de oposición, rectificación y cancelación, regulados en los artículos 6.4 , 16 y 17 de
la LOPD y en los artículos 31 a 36 de su Reglamento.
En esos casos, la tutela del derecho de oposición del reclamante exigirá la adecuada ponderación de los
derechos e intereses en conflicto con el fin de establecer si el derecho a la protección de datos debe prevalecer
sobre otros derechos e intereses legítimos, en atención a la concreta situación personal y particular de su
titular o, lo que es lo mismo, "por razones legítimas propias de su situación particular" , conforme al artículo
14.1.a) de la Directiva y artículo 6.4 de la LOPD . De modo que la oposición se encontrará justificada cuando
las circunstancias que configuran "la situación personal concreta" del interesado así lo determinen, ya sea por
la naturaleza de la información y su carácter sensible para la vida privada del afectado, por la no necesidad de
los datos en relación con los fines para los que se recogieron o por el tiempo transcurrido, entre otras razones.
Ahora bien, con carácter previo a la concreta ponderación de intereses en juego merece ser destacado el
papel que representa en la difusión de la información la actividad de los buscadores en Internet y su distinción
con el propio de los editores de los sitios web donde se publica la información.

19

 En general, el tratamiento de datos personales efectuado por el gestor de un motor de búsqueda,
ofreciendo una lista de resultados a partir de la búsqueda realizada con el nombre de una persona física,
puede afectar significativamente a los derechos fundamentales de respeto de la vida privada y de protección
de datos personales, toda vez que dicho tratamiento permite a cualquier internauta obtener mediante la lista
de resultados una visión estructurada de la información relativa a esta persona que puede hallarse en Internet,
que afecta potencialmente a una multitud de aspectos de su vida privada, y puede establecer un perfil más
o menos detallado de la persona de que se trate.
Además, el efecto de la injerencia en dichos derechos del interesado se multiplica debido al importante
papel que desempeñan Internet y los motores de búsqueda en la sociedad moderna, que confieren a la
información contenida en tal lista de resultados carácter ubicuo (véase la Sentencia del TJUE, apartado 45).
Sin embargo, ese tratamiento de datos personales consistente en la actividad de un motor de búsqueda,
que se dirige a hallar información publicada o puesta en Internet por terceros, indexarla de manera automática,
almacenarla temporalmente y, por último, ponerla a disposición de los internautas según un orden de
preferencia determinado o a partir del nombre de una persona, ha de reputarse licito, cuando la información
concernida y publicada en las páginas web, cuyos vínculos muestra el índice de resultados que ofrece a
los internautas, ha sido objeto de publicación en tales sitios web lícitamente. En tal caso se advierte la
presencia del interés legítimo del gestor del motor de búsqueda en prestar el servicio a los internautas
que representa su actividad junto con otros intereses legítimos, cuya satisfacción persigue tal actividad,
representados principalmente por el ejercicio de la libertades de expresión e información.
Por tanto, el gestor del motor de búsqueda facilita sensiblemente la accesibilidad a dicha información
a cualquier internauta que lleve a cabo una búsqueda sobre el interesado y puede desempeñar un papel
decisivo para su difusión, pero a su vez conlleva una injerencia mayor en el derecho fundamental al respeto
de la vida privada del interesado que la mera publicación por el editor de esta información en su página web
(véase la Sentencia del TJUE, apartado 87).
La consecuencia lógica es que quien ejercita el derecho de oposición ha de indicar ante el responsable
del tratamiento, o ante la Agencia Española de Protección de Datos, que la búsqueda se ha realizado a partir
de su nombre como persona física, indicar los resultados o enlaces obtenidos a través del buscador así como
el contenido de la información que le afecta y que constituye un tratamiento de sus datos personales a la
que se accede a través de dichos enlaces, para que de ese modo tanto el responsable del tratamiento como
la propia Agencia cuente con los elementos necesarios para llevar a cabo el juicio de ponderación a que se
refiere la Sentencia del Tribunal de Luxemburgo; así se deduce también del artículo 35 del Reglamento de
Protección de Datos .
Así las cosas, pasamos a aplicar lo expuesto anteriormente al supuesto que nos ocupa. Doña Marisol
, ejercitó en abril de 2009 el derecho de oposición al tratamiento de sus datos personales debido que al
introducir su nombre en el buscador de "Google" aparecía la referencia a una página web del Boletín de la
Comunidad de Madrid nº. 115, de 18 de mayo de 1999, en el que se publicaban las candidaturas de las
elecciones municipales de 1999 de San Sebastián de los Reyes (Madrid). Pues bien, dicha información carece
de relevancia que justificara que prevaleciera el interés del público general de dichos datos personales sobre
los derechos reconocidos en los artículos 7 y 8 de la Carta Europea de Derechos Fundamentales. Estamos
ante un tratamiento de datos inicialmente lícito por parte del buscador Google que dado el contenido de la
información y el tiempo trascurrido no son necesarios en relación con los fines para los que se recogieron
o trataron.
Por otro lado, la libertad de información se encuentra satisfecha por su subsistencia en la fuente, es
decir, en el sitio web donde se pública la información, sin que el hecho de eliminar de la lista de resultados los
vínculos a la página web objeto de reclamación por la afectada, impida que utilizando otros datos se llegue
a la citada página web, pero no a partir de su nombre.
DUODÉCIMO .- Interpretación de la resolución AEPD.
Por último, sostiene la parte demandante, frente a lo acordado en la resolución recurrida, que solo podría
estar justificado que se le ordenara no mostrar enlaces concretos entre los resultados cuando se haga una
búsqueda específicamente por el nombre del interesado, y que la Sentencia del TJUE no ampara lo acordado
por la AEPD.
En relación con tal alegación, precisa que la AEPD en otros procedimientos de tutela de derechos ha
asumido esta limitación, ordenando tan solo que se adopten las medidas oportunas para evitar que el nombre

20

 del interesado se vincule a un determinado resultado (URL), pues lo único que puede exigirse al motor de
búsqueda es dejar de facilitar enlaces concretos en una lista de resultados obtenida a través de una búsqueda
efectuada a partir de un nombre. Concluyen, por ello, que la resolución de la AEPD debe ser revocada o, al
menos, revisada para adecuarla a la doctrina del TJUE.
Asiste la razón a la parte demandante cuando afirma que la satisfacción del derecho de oposición del
afectado por el tratamiento de datos tan solo puede conllevar que la autoridad de control ordene la eliminación
de la lista de resultados, obtenida tras una búsqueda efectuada a partir del nombre de una persona, de vínculos
a páginas web, publicadas por terceros y que contienen información relativa a esta persona (véase, en este
sentido, el apartado 82 de la Sentencia del TJUE de 13 de mayo de 2014 ).
Ciertamente, la redacción de la parte dispositiva de la resolución recurrida no es afortunada, pues insta
a que se "adopte las medidas necesarias para retirar los datos de su índice e imposibilite el acceso futuro
a los mismos" .
Tan confusa redacción genera serias dudas sobre el alcance de lo así acordado y las concretas
obligaciones impuestas a Google. Ahora bien, la ambigüedad de la parte dispositiva de la resolución recurrida
posibilita una interpretación acorde a los límites impuestos por la sentencia del Tribunal de Justicia de la Unión
Europea, y el principio de conservación de los actos administrativos, latente en los artículos 65 a 67 de la Ley
de la Jurisdicción , justifica que así se haga, máxime cuando ello en modo alguno perjudica a los intereses de
la parte demandante, que de esta forma vería materialmente satisfecha su pretensión al respecto.
Por ello, la obligación impuesta por la resolución recurrida debe interpretarse en el sentido de que debe
adoptar las medidas necesarias para retirar o eliminar de la lista de resultados, obtenida tras una búsqueda
efectuada a partir del nombre del reclamante, los vínculos a las páginas web objeto de reclamación.
En consecuencia, procede la desestimación del presente recurso contencioso-administrativo.
DECIMOTERCERO .- Costas.
A tenor del artículo 139.1 de la Ley de la Jurisdicción en su redacción originaria, aplicable a la sazón,
no cabe apreciar temeridad ni mala fe en las partes a los efectos de una expresa imposición de las costas
procesales.
VISTOS los artículos citados, y demás de general y pertinente aplicación.

FALLAMOS:
Que desestimando el recurso contencioso-administrativo interpuesto por la Procuradora de los
Tribunales doña Cristina Deza García, en nombre y representación de GOOGLE SPAIN, S.L. , contra la
resolución de 19 de enero de 2010 del Director de la Agencia Española de Protección de Datos, por la que se
estima la reclamación formulada por doña Marisol contra la parte actora en materia de tutela de derechos,
declaramos que de la citada resolución es conforme a derecho, interpretada su parte dispositiva en la forma
expuesta en el Fundamento de Derecho Duodécimo; sin hacer expresa imposición de las costas procesales.
Hágase saber a las partes que contra esta Sentencia cabe interponer recurso de casación dentro de
los diez días hábiles siguientes a la no tificación de la misma, a preparar ante esta Sala.
Así, por esta nuestra Sentencia, lo pronunciamos, mandamos y firmamos.
PUBLICACIÓN.- Dada, leída y publicada fue la anterior sentencia en audiencia pública. Doy fe. Madrid a
LA SECRETARIA JUDICIAL

21