JURISPRUDENCIA Roj: SAN 626/2015 - ECLI:ES:AN:2015:626 Id Cendoj:28079230012015100052 Órgano:Audiencia Nacional. Sala de lo Contencioso Sede:Madrid Sección:1 Fecha:12/02/2015 Nº de Recurso:24/2013 Nº de Resolución:102/2015 Procedimiento:PROCEDIMIENTO ORDINARIO Ponente:MARIA LUZ LOURDES SANZ CALVO Tipo de Resolución:Sentencia Resoluciones del caso:SAN 626/2015, STS 1055/2016 A U D I E N C I A N A C I O N A L Sala de lo Contencioso-Administrativo SECCIÓN PRIMERA Núm. de Recurso: 0000024 / 2013 Tipo de Recurso: PROCEDIMIENTO ORDINARIO Núm. Registro General: 00275/2013 Demandante: GOOGLE SPAIN, S.L. Procurador: MARIA GRACIA LÓPEZ FERNÁNDEZ Demandado: AGENCIA PROTECCIÓN DE DATOS Abogado Del Estado Ponente IIma. Sra.: Dª. LOURDES SANZ CALVO S E N T E N C I A Nº: IImo. Sr. Presidente de Sala: D. EDUARDO MENÉNDEZ REXACH IImo. Sr. Presidente: D. EDUARDO MENÉNDEZ REXACH Ilmos. Sres. Magistrados: Dª. LOURDES SANZ CALVO D. FERNANDO DE MATEO MENÉNDEZ D. JUAN PEDRO QUINTANA CARRETERO D. JOSÉ GUERRERO ZAPLANA Madrid, a doce de febrero de dos mil quince. Visto por la Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional el recurso contencioso administrativo número 24/2013 interpuesto por GOOGLE SPAIN, S.L. representada por la Procuradora Sra. López Fernández contra la resolución del Director de la Agencia Española de Protección 1 JURISPRUDENCIA de Datos dictada en el procedimiento TD/01238/2012; ha sido parte en autos, la Administración demandada, representada y defendida por el Abogado del Estado. ANTECEDENTES DE HECHO PRIMERO .- Interpuesto el recurso Contencioso-administrativo ante esta Sala de lo Contencioso administrativo de la Audiencia Nacional y turnado a esta Sección, fue admitido a trámite, reclamándose el expediente administrativo, para, una vez recibido emplazar a la actora para que formalizara la demanda, lo que así se hizo en escrito en el que tras exponer los hechos y fundamentos de derecho qué consideró oportunos, terminó suplicando que se dicte sentencia que declare nula de pleno derecho, e en su caso, o anule la resolución impugnada. SEGUNDO.- El Abogado del Estado, en su escrito de contestación a la demanda, tras alegar los hechos y fundamentos de derecho qué consideró aplicables, postuló una sentencia por la que se desestime el recurso interpuesto, confirmando la resolución impugnada, con imposición de costas a la recurrente. TERCERO.- Recibido el recurso a prueba, practicada la admitida y evacuado el trámite de conclusiones, por providencia de fecha 20 de enero de 2014 se acordó suspender el procedimiento hasta que se resolviera la cuestión prejudicial planteada ante el Tribunal de Justicia de la Unión Europea (TJUE) en el procedimiento ordinario 725/2010 seguido ante esta Sección 1ª. CUARTO.- Mediante providencia de fecha 10 de junio de 2014 se alzó la suspensión al haber dictado sentencia el TJUE con fecha 13 de mayo de 2014, as. C- 131/12 , Google Spain, S.L. y Google Inc./AEPD, y se acordó unir testimonio de dicha sentencia y conceder a las partes un plazo de 20 días para alegaciones, presentándolas el Abogado del Estado, señalándose para votación y fallo el día 10 de febrero de 2015. Ha sido Ponente la Magistrada Ilma. Sra. Dª. LOURDES SANZ CALVO. FUNDAMENTOS DE DERECHO PRIMERO .- Se impugna en el presente recurso contencioso-administrativo la resolución del Director de la Agencia Española de Protección de Datos dictada en el procedimiento TD/01238/2012, que estima la reclamación formulada por Dª Zulima contra Google Spain S.L., instando a esta entidad para que adopte las medidas necesarias que eviten la indexación de los datos y no aparezcan respecto de los enlaces web objeto de la presente resolución. La Sra. Zulima había ejercitado ante Google Spain S.L. -folios 5 y siguientes del expediente- el derecho de oposición/cancelación de sus datos personales en relación con 21 enlaces que conducen a la web DIRECCION000 , que aparecen entre los resultados obtenidos al introducir su nombre y apellidos en el buscador Google, en los que se tratan sus datos personales, solicitando que se retiren y eliminen los citados enlaces imposibilitando su relación con los datos de la afectada. Google Spain, S.L. le contestó -folio 12 del expediente- que no presta el servicio de búsquedas por Internet que es llevado a cabo por Google Inc desde Estados Unidos y que en todo caso, para que Google Inc pueda eliminar cualquier contenido de los resultados de búsqueda, es necesario que el webmaster de la página que contiene y publica dicho contenido en Internet proceda a retirarlo o modificarlo, pues si no lo hace la información seguirá apareciendo en los resultados de búsqueda del buscador Google. Al no haber sido atendido su derecho de cancelación, se presentó reclamación de tutela de derechos ante la Agencia Española de Protección de Datos (AEPD). La resolución recurrida que otorga la tutela solicitada, sustenta la aplicación de la normativa española de trasposición de la comunitaria en materia de protección de datos, en el artículo 3 del Real Decreto 1720/2007 por el que se aprueba el Reglamento de la LOPD que traspone el artículo 4 de la Directiva 95/46/CE . Señala que el servicio de buscador de Google es prestado por una empresa que se encuentra fuera de la UE pero tiene un establecimiento en España, implicado en la venta de anuncios dirigidos a sus habitantes, siendo la publicidad la forma de financiación del buscador Google, cuyo principal reclamo es la prestación gratuita del servicio de búsquedas en Internet, por lo que el establecimiento se ve implicado en el tratamiento de datos, resultando de aplicación el artículo 4.1.a) de la Directiva 95/46/CE . Además, dicho servicio de búsqueda en el tratamiento de datos personales que realiza utiliza o recurre a medios situados en el territorio español, resultando también de aplicación el artículo 4.1.c) de la Directiva. Considera que los buscadores en el ejercicio de su actividad, efectúan un tratamiento de datos de carácter personal por lo que están obligados a hacer efectivo el derecho de cancelación y/oposición del interesado que 2 JURISPRUDENCIA se opone a que se indexe y sea puesta a disposición de los internautas determinada información a él referente que se encuentra en páginas de tercero y permiten relacionarles con la misma. Además, señala también la AEPD, que como intermediarios de la sociedad de información, según la Ley 34/2002, de Servicios de la Información y de correo electrónico (LSSI), los buscadores están sometidos a la normativa de protección de datos, estando obligados a atender los requerimientos que al amparo de los artículos 8 y 17 de la LSSI les dirija el Director de la AEPD para la adecuación del tratamiento de los datos a las disposiciones de la L.O 15/1999 (LOPD). Concluye, que la Ley no dispone que los datos personales de la reclamante figuren en los índices que utiliza Google para facilitar el acceso a determinadas páginas, no existiendo una disposición legal en contrario respecto del ejercicio del derecho de cancelación frente a Google. SEGUNDO.- La actora fundamenta su pretensión impugnatoria, en síntesis, en los siguientes motivos: 1.- Nulidad de pleno derecho de la resolución impugnada, al amparo del artículo 62.1, letras b) y c), de la LRJPAC, al haberse dictado por órgano manifiestamente incompetente por razón del territorio y tener un contenido imposible. La Agencia Española de Protección de Datos carece de competencia territorial para actuar, por imperativo de los apartados 1,a ) y 1.c) del artículo 3 de la LOPD . Además, los actos que ordena cumplir a Google Spain, S.L., son materialmente de imposible cumplimiento y en consecuencia nulos de pleno derecho, por cuanto el buscador no es suyo, pertenece a Google Inc. sobre la que aquella no tienen ningún poder de decisión. 2.- Falta de legitimación pasiva de Google Spain, S.L. frente a la AEPD, pues Google Spain, S.L., es un mero agente de publicidad que promociona la venta del espacio publicitario disponible en páginas web, entre otras, la del buscador Google, que pertenece a Google Inc, sin representar a esta empresa en dicha venta, ni intervenir en el funcionamiento del buscador o en el tratamiento de esos datos. Por ello, no puede ser considerada responsable o encargada del tratamiento de los datos personales del interesado que es a quien se refiere el artículo 32.2 del Reglamento de desarrollo de la LOPD . Google Spain no interviene en el servicio del buscador de Google y carece de medios técnicos y de la capacidad de establecer criterios de inclusión o exclusión de información de la lista de resultados de la búsqueda. 3.- Falta de competencia territorial de la Agencia Española de Protección de Datos, según resulta de los apartados 1.a ) y 1.c) del artículo 2 de la LOPD y de los mismos apartados del artículo 3 del Reglamento de de desarrollo de la LOPD . Alega al respecto que aunque Google Spain S.L., es un establecimiento ubicado en España, el tratamiento de los datos a que se refiere la resolución recurrida no ha tenido lugar "en el marco de las actividades de un establecimiento del responsable del tratamiento", instalado en el territorio español, pues no tiene intervención en el funcionamiento del buscador y su actividad de promoción de las actividades publicitarias de Google Inc. es ajena a la actividad del buscador. Además, aunque Google Inc. no está establecido en el territorio de la Unión Europea, no cabe afirmar que al recibir la descarga de los contenidos de una página web española estuviera empleando "medios situados en territorio español", pues las arañas web no entran ni acceden al servidor de la página, sino que se limitan a gestionar los equipos del buscador en que están instalados para lograr la conexión con las webs. 4.- Falta de competencia material de la Agencia, pues las actividades de rastreo, indexación y presentación de resultados por el buscador de Google Inc, no constituyen tratamiento de datos, el índice no es un "fichero" y Google Inc. no podría ser considerada responsable de un hipotético tratamiento de los datos personales contenidos en las páginas web que indexa. 5.- El artículo 17 de la LSSI no legitima a la AEPD para ordenar retirar contenidos del buscador, por cuanto la información en cuestión es lícita, por lo que el buscador no tendría nada de que responder. 6.- La resolución de la AEPD infringe las libertades de información y expresión y la libertad de empresa del prestador del servicio de motor de búsqueda e infringe el principio de proporcionalidad. 7.- Utilización del buscador Google como instrumento para silenciar informaciones publicadas lícitamente en Internet constituye un abuso de derecho y un fraude de ley, pues la solicitud del reclamante lo que pretende es hacer desaparecer de Internet noticias publicada en los diarios digitales al amparo de la libertad de información. 8.- Inexistencia de un "derecho al olvido" como el que la AEPD pretende aplicar a Google Spain. TERCERO.- El Abogado del Estado efectúa en apoyo de su pretensión desestimatoria del recurso interpuesto, los siguientes alegatos: 3 JURISPRUDENCIA 1.- El servicio de búsqueda de Google (Google Search) es un complejo sistema informático que indexa documentos almacenados en servidores de páginas web, facilitando al usuario del servicio su inmediata localización, a través de determinas palabras contenidas en los documentos buscados, y utiliza en el tratamiento de datos personales medios situados en territorio español sin que su utilización sea únicamente medios situados en territorio español sin que su utilización sea únicamente con fines de transito. Esta servicio se presta a nivel mundial a través del sitio web www.google.com , aunque en muchos países existen versiones locales adaptadas al idioma nacional, en función de la ubicación geográfica del usuario. La versión española del servicio se presta a través del sitio www.google.es que está dirigido específicamente al territorio español, siendo un domino territorial registrado en Red.es bajo el código del país correspondiente a España. Por tanto, los servidores web ubicados en territorio español son visitados para extraer la información -palabras clave- durante la labor de rastreo, realizada por las "arañas web" del buscador, con el fin de dar respuesta a las búsquedas de usuarios españoles. El sistema de búsqueda se financia a través de anuncios Google y estos se publican en la página de resultados de la búsqueda realizada por el usuario del servicio (sistema AdWords) o en el contenido de sitios web visitados por este (sistema AdSense), dirigiéndose la publicidad a una determinada ubicación geográfica, actividad en la que interviene Google Spain. El efecto combinado de los artículos 4.1.a ) y 4.1.c) de la Directiva 95/46/CE es que sus disposiciones se aplican al tratamiento de datos personales por parte de los proveedores de servicios de búsqueda incluso aunque sus oficinas centrales se encuentren situadas fuera del territorio de un Estado miembro de la Unión Europea, por lo que no puede acogerse la nulidad por falta de competencia del órgano, ni que la actuación de la Agencia vulnere el derecho internacional. 2.- La actividad de Google debe ser considerada como tratamiento de datos tal como lo define el artículo 2.b) de la Directiva 95/46 , en la medida que hace referencia en su página web a datos que tienen carácter personal. 3. Aplicabilidad de la LSSI por tratarse el motor de búsqueda de un servicio de intermediación, al que resulta de aplicación la citada normativa según el artículo 4 de la citada Ley . En cuanto a la improcedencia, según la actora, de invocar el principio de dignidad citado por el artículo 8.1.c) de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico , señala que la vinculación de la dignidad con el derecho a la protección de datos se pone de manifiesto en las SSTC 254/1993 y 292/2000 , considerando también de aplicación el artículo 17 LSSI . 4.- La actuación de la AEPD no pretende censurar informaciones lícitas publicadas en Internet, sino que la adecuada valoración de intereses en conflicto ha de determinar que prevalezca el derecho a la protección de datos del interesado frente a un supuesto derecho de información de un buscador. 5.- Posibilidad de cumplimiento por Google de la resolución de la AEPD, como lo demuestra el hecho de que en otros procedimientos de tutela de derechos y de otra naturaleza, relativos al servicio de búsqueda de Google, haya atendido los requerimientos de la AEPD y presentado alegaciones. Además, señala que desde enero de 2005 figuren inscritos en el Registro General de Protección de Datos dos ficheros con datos de carácter personal de los que se declaró responsable Google Inc., designando como oficina encargada para atender las solicitudes de acceso, rectificación, cancelación y oposición de los afectados a Google Spain, S.L. Por otra parte, desde noviembre de 2004 figuran inscritos en el Registro General de Protección de Datos dos ficheros con datos de carácter personal de los que se declaró responsable Google Ireland Limited, designando como oficina encargada para atender las solicitudes de acceso, rectificación, cancelación y oposición de los afectados a Google Spain, S.L. CUARTO.- Conferido trámite de alegaciones a las partes una vez dictada sentencia por el Tribunal de Justicia de la Unión Europea (TJUE), de fecha 13 de mayo de 2014 resolviendo la cuestión prejudicial planteada, se presentó escrito por el Abogado del Estado. La Abogacía del Estado sostiene en su escrito que la sentencia del TJUE confirma íntegramente los postulados sostenidos en la resolución recurrida y en la contestación a la demanda y conclusiones por dicha parte, reconociéndose la competencia territorial y la material de la AEPD, así como la legitimación pasiva de Google Spain, S.L. ya que su actividad de gestión publicitaria se encuentra unida de forma indisociable a la del buscador de nacionalidad americana y su presencia en España permite la aplicación de la legislación europea de protección de datos. Por otro lado, señala que, según dicha sentencia, el afectado puede dirigirse directamente contra la entidad que realiza el tratamiento de datos, sin acudir a la fuente de información, sin que afecte a la libertad de información el hecho de que esta no se incluya en los índices del buscador, al quedar garantizada por su mantenimiento en la fuente. 4 JURISPRUDENCIA Finalmente, afirma que la citada sentencia reconoce la existencia del llamado "derecho al olvido", pero su aplicación se somete a la necesidad de ponderación de la situación concreta, y en el caso que nos ocupa esta ponderación conduce a la desestimación del recurso, pues ni se ha invocado ni acreditado, ni tampoco apreciado un interés informativo del público que deba prevalecer frente al derecho a la intimidad del afectado. Considera, en definitiva, que la citada sentencia no viene sino a avalar la desestimación del recurso interpuesto por Google Spain S.L. QUINTO.- Actividad del motor de búsqueda. En primer lugar, debemos partir de que diversas cuestiones suscitadas en la demanda, después de la Sentencia del TJUE de 13 de mayo de 2014 ya carecen de relevancia, al haber sido resueltas por dicha Sentencia, como sería si la actividad de un motor de búsqueda como proveedor de contenido debe calificarse de «tratamiento de datos personales». En efecto, en la contestación a dicha cuestión prejudicial suscitada por esta Sala, la citada Sentencia dice: " El artículo 2, letras b ) y d), de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995 , relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, debe interpretarse en el sentido de que, por un lado, la actividad de un motor de búsqueda, que consiste en hallar información publicada o puesta en Internet por terceros, indexarla de manera automática, almacenarla temporalmente y, por último, ponerla a disposición de los internautas según un orden de preferencia determinado, debe calificarse de «tratamiento de datos personales», en el sentido de dicho artículo 2, letra b), cuando esa información contiene datos personales, y, por otro, el gestor de un motor de búsqueda debe considerarse «responsable» de dicho tratamiento, en el sentido del mencionado artículo 2, letra d)". Por otro lado, en el apartado 28 de la indicada Sentencia se afirma que: "debe declararse que, al explorar Internet de manera automatizada, constante y sistemática en busca de la información que allí se publica, el gestor de un motor de búsqueda «recoge» tales datos que «extrae», «registra» y «organiza» posteriormente en el marco de sus programas de indexación, «conserva» en sus servidores y, en su caso, «comunica» y «facilita el acceso» a sus usuarios en forma de listas de resultados de sus búsquedas. Ya que estas operaciones están recogidas de forma explícita e incondicional en el artículo 2, letra b), de la Directiva 95/46 , deben calificarse de «tratamiento» en el sentido de dicha disposición". Se añade en el apartado 30 que "el Tribunal de Justicia ya ha declarado que las operaciones a las que se refiere el artículo 2, letra b), de la Directiva 95/46 deben calificarse de tal tratamiento también en el supuesto de que se refieran únicamente a información ya publicada tal cual en los medios de comunicación" y se refiere para justificar esta conclusión a la Sentencia dictada en el asunto C-73/07. Por lo que se refiere a la pretensión de que se excluya de responsabilidad a quien afirma ser, solamente, un motor de búsqueda se señala en el apartado 38 que "en la medida en que la actividad de un motor de búsqueda puede afectar, significativamente y de modo adicional a la de los editores de sitios de Internet, a los derechos fundamentales de respeto de la vida privada y de protección de datos personales, el gestor de este motor, como persona que determina los fines y los medios de esta actividad, debe garantizar, en el marco de sus responsabilidades, de sus competencias y de sus posibilidades, que dicha actividad satisface las exigencias de la Directiva 95/46 para que las garantías establecidas en ella puedan tener pleno efecto y pueda llevarse a cabo una protección eficaz y completa de los interesados, en particular, de su derecho al respeto de la vida privada" . En consecuencia, ninguna duda que la actividad de un motor de búsqueda como proveedor de contenidos debe calificarse de «tratamiento de datos personales». Ligado con lo expuesto, nos encontramos con la cuestión referente a la aplicación en la resolución recurrida de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico. La resolución recurrida considera que los buscadores en el ejercicio de su actividad, efectúan un tratamiento de datos de carácter personal por lo que están obligados a hacer efectivo el derecho de cancelación y oposición del interesado que se opone a que se indexe y sea puesta a disposición de los internautas determinada información a él referente que se encuentra en páginas de tercero y permiten relacionarle con la misma, y a cumplir con los requerimientos que les dirija la Agencia Española de Protección de Datos (AEPD) en la tutela de esos derechos. Al mismo tiempo señala también que como los datos personales obtenidos por el buscador, que es un intermediario de la sociedad de información según la Ley 34/2002, de 11 de julio, pueden atentar a la dignidad de las personas y lesionar derechos de un tercero, el Director de la AEPD como órgano competente para velar por el cumplimiento de la legislación de datos y controlar su aplicación, puede requerir al responsable del tratamiento de los datos la adopción de medidas necesarias para la adecuación del tratamiento de los datos 5 JURISPRUDENCIA a las disposiciones de la Ley Orgánica 15/1999, ejerciendo las facultades que le atribuye su artículo 37, así como a los efectos establecidos en los artículos 8 y 17 de Ley 34/2002, de 11 de julio . En la demanda se cuestiona la aplicación de la Ley 34/2002, de 11 de julio, al considerar, en esencia, que el buscador es un mero intermediario de la sociedad de la información y no es responsable del tratamiento. La Directiva 95/46/CE que regula la protección de datos de las personas físicas, dictada con anterioridad a la aparición, o al menos a la utilización generalizada de los motores de búsqueda, no contiene referencia expresa a los servicios de la sociedad de la información, ni previsión específica respecto a los buscadores. Posteriormente se dicta la Directiva 2000/31/CE, del Parlamento Europeo y del Consejo, de 8 de junio de 2000, relativa a determinados aspectos de los servicios de la sociedad de la información y comercio electrónico (Directiva del comercio electrónico), que regula la actividad de los servicios de la sociedad de la información y se remite en materia de protección de datos a la Directiva 95/46. La Ley 34/2002, de 11 de julio, incorpora al ordenamiento jurídico español la citada Directiva 2000/31/CE, e incluye (Anexo b) como "servicio de intermediación", entre otros, a los buscadores. Dicha norma en sus artículos 8 y 17 limita la responsabilidad de los buscadores respecto de la información que dirijan a los destinatarios de los servicios, pero permite que se les pueda requerir para que retiren los datos que atenten a determinados principios (entre ellos la dignidad de la persona). Es decir, un motor de búsqueda es un intermediario de la sociedad de información, que conforme la Sentencia del TJUE de 13 de mayo de 2014 , cuando realiza una actividad consistente en localizar información publicada o incluida en Internet por terceros relativa a personas físicas, indexarla de manera automática, almacenarla temporalmente y, por último, ponerla a disposición de los internautas según un orden de preferencia, efectúa un tratamiento de datos personales sometido a la normativa de protección de datos (Directiva 95/46/CE), siendo el gestor del motor de búsqueda el responsable de dicho tratamiento. La normativa comunitaria en materia de protección de datos reconoce a los interesados el derecho de obtener del responsable del tratamiento la supresión, bloqueo y oposición, establecidos en los artículos 12.b ) y 14 a) de la citada Directiva 95/46/CE y en el mismo sentido se pronuncian los artículo 6.4 y 16 de la LOPD . Por tanto, de acuerdo con la legislación específica de protección de datos, el responsable del tratamiento (que en la definición del artículo 3.d) de la LOPD se equipara con el responsable del fichero) debe atender dicho derecho, y como dicho responsable en supuestos como los que fueron objeto de planteamiento de la cuestión prejudicial ante el TJUE es el gestor del motor de búsqueda, a él le corresponde, en su caso, adoptar las correspondientes medidas en aplicación de la LOPD para hacer efectivo el derecho de oposición del afectado. En definitiva, la aplicación de la normativa específica de protección de datos permite sin necesidad de acudir a la Ley 34/2002, de 11 de julio, dar respuesta a estos supuestos de tratamiento de datos personales efectuado por un motor de búsqueda del que es responsable el gestor del citado motor de búsqueda. SEXTO.- Aplicación territorial de la norma. Otra de las cuestiones que han quedado resueltas en la Sentencia del TJUE de 13 de mayo de 2014 es la referente a la determinación de la aplicación territorial de la norma, es decir, si la normativa europea, y, por tanto, la española en materia de protección de datos es aplicable al presente supuesto, declarándose al respecto que: " El artículo 4, apartado 1, letra a), de la Directiva 95/46 debe interpretarse en el sentido de que se lleva a cabo un tratamiento de datos personales en el marco de las actividades de un establecimiento del responsable de dicho tratamiento en territorio de un Estado miembro, en el sentido de dicha disposición, cuando el gestor de un motor de búsqueda crea en el Estado miembro una sucursal o una filial destinada a garantizar la promoción y la venta de espacios publicitarios propuestos por el mencionado motor y cuya actividad se dirige a los habitantes de este Estado miembro". El artículo 4.1.letra a) de la Directiva 95/46/CE , y en el mismo sentido los artículos 2.1.a) de la LOPD y 3.1.a) del Reglamento de Protección de Datos , establece que los Estados miembros aplican sus disposiciones nacionales « a todo tratamiento de datos personales cuando [...] sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro ». Dicha disposición continúa así: « cuando el mismo responsable del tratamiento esté establecido en el territorio de varios Estados miembros deberá adoptar las medidas necesarias para garantizar que cada uno de dichos establecimientos cumple las obligaciones previstas por el Derecho nacional aplicable ». En la misma línea se pronuncia el proyecto de reforma del Reglamento Europeo de Protección de Datos, aprobado el 12 de marzo de 2014 por el Parlamento Europeo, pendiente de aprobación definitiva del Consejo, que en su artículo 3.1 dispone: "El presente Reglamento se aplica al tratamiento de datos personales en el contexto de las actividades de un establecimiento del responsable o del encargado del tratamiento en la Unión, independientemente de que el tratamiento tenga lugar en la UE o no" . 6 JURISPRUDENCIA Ya hemos dicho que la Sentencia de 13 de mayo de 2014 del TJUE declara la aplicación al caso que nos ocupa de la Directiva 45/96/CE al considerar " que el tratamiento de datos personales realizado en orden al funcionamiento de un motor de búsqueda como Google Search, gestionado por una empresa que tiene su domicilio social en un Estado tercero pero que dispone de un establecimiento en un Estado miembro, se efectúa «en el marco de las actividades» de dicho establecimiento si éste está destinado a la promoción y venta en dicho Estado miembro de los espacios publicitarios del motor de búsqueda, que sirven para rentabilizar el servicio propuesto por el motor" (apartado 55) . Para llegar a dicha conclusión parte la Sentencia de "que Google Spain se dedica al ejercicio efectivo y real de una actividad mediante una instalación estable en España. Además, al estar dotada de personalidad jurídica propia, es de este modo una filial de Google Inc. en territorio español, y, por lo tanto, un «establecimiento», en el sentido del artículo 4, apartado 1, letra a), de la Directiva 95/46 " (apartado 49). Se añade más adelante, que "e n efecto, en tales circunstancias, las actividades del gestor del motor de búsqueda y las de su establecimiento situado en el Estado miembro de que se trate están indisociablemente ligadas, dado que las actividades relativas a los espacios publicitarios constituyen el medio para que el motor de búsqueda en cuestión sea económicamente rentable y dado que este motor es, al mismo tiempo, el medio que permite realizar las mencionadas actividades (apartado 56). Y que "s obre este particular, es necesario recordar que, como se ha precisado en los apartados 26 a 28 de la presente sentencia, la propia presentación de datos personales en una página de resultados de una búsqueda constituye un tratamiento de tales datos. Pues bien, toda vez que dicha presentación de resultados está acompañada, en la misma página, de la presentación de publicidad vinculada a los términos de búsqueda, es obligado declarar que el tratamiento de datos personales controvertido se lleva a cabo en el marco de la actividad publicitaria y comercial del establecimiento del responsable del tratamiento en territorio de un Estado miembro, en el caso de autos el territorio español (apartado 57). Es decir, la normativa europea en materia de protección de datos y, por ende, la legislación del país de la Unión Europea donde se encuentre el establecimiento, en este caso España, es de aplicación cuando "el gestor de un motor de búsqueda crea en el Estado miembro una sucursal o una filial destinada a garantizar la promoción y la venta de espacios publicitarios propuestos por el mencionado motor y cuya actividad se dirige a los habitantes de este Estado miembro" (apartado 60). Por tanto, la tan repetida Sentencia del TJUE declara que Google Spain,S.L. constituye un establecimiento de los referidos en el artículo 4.1.a) de la Directiva 95/46/CE , por constituir una instalación estable en España dotada de personalidad jurídica propia y tratarse de una filial de Google Inc. en territorio español, y realizarse el tratamiento de datos en el marco de las actividades de Google Spain, S.L. que está destinado a la promoción y venta en España de los espacios publicitarios del motor de búsqueda, que sirven para rentabilizar el servicio propuesto por el motor. SÈPTIMO.- Falta de legitimación pasiva. El representante legal de Google Spain, S.L. alega en la demanda la falta de legitimación pasiva, pues dicha sociedad es un simple agente de Google Inc, dedicado a la promoción de la actividad publicitaria de Google, no teniendo intervención alguna en el funcionamiento del buscador ni en el tratamiento de datos, y ni siquiera dispone de los medios técnicos que harían falta para ello. Los servidores que alojan las páginas web no pertenecen a Google, ni están bajo su control. Se trata de equipos de terceros ajenos a Google que pertenecen al responsable de la web de que se trate, o a la empresa a la que hayan contratado para el alojamiento de sus contenidos. Es Google Inc., con domicilio en California (U.S.A.) la titular del servicio de buscador Google en Internet, tanto desde el sitio web www.googel.es como desde www.google.com y también explota el espacio publicitario que se genera en esas páginas web. El artículo 19.1 de la Ley de la Jurisdicción señala que se encuentran "legitimados ante el orden jurisdiccional contencioso-administrativo: a) Las personas físicas o jurídicas que ostenten un derecho o interés legítimo". El Tribunal Supremo reiteradamente ha declarado que el concepto de legitimación encierra un doble significado, tal y como se declara en la Sentencia del Pleno de la Sala Tercera del Tribunal Supremo de 3 de marzo de 2014 -Rec.4.453/2012 -: "El estudio de la legitimación ha distinguido entre la llamada legitimación «ad processum» y la legitimación «ad causam». La primera se identifica con la facultad de promover la actividad del órgano decisorio, es decir, con la aptitud genérica de ser parte en cualquier proceso, identificándose con la capacidad jurídica o personalidad, porque toda persona, por el hecho de serlo, es titular de derechos y obligaciones y puede verse en necesidad de defenderlos. Distinta de la anterior resulta la legitimación «ad causam», como manifestación concreta de la aptitud para ser parte en un proceso determinado, por ello depende de la pretensión procesal que ejercite el actor. Constituye la manifestación propiamente dicha de la legitimación y se centra en la relación especial entre una persona y una situación jurídica en litigio, por virtud de la cual esa persona puede intervenir como actor o demandado en un determinado litigio. Esta idoneidad deriva del problema 7 JURISPRUDENCIA de fondo a discutir en el proceso; es, por tanto, aquel problema procesal más ligado con el derecho material, por lo que se reputa más como cuestión de fondo y no meramente procesal, como hemos señalado en las SsTS de 20 de enero de 2007 (casación 6991/03 , FJ 5) 6 de junio de 2011 (casación 1380/07, FJ 3 ) o 1 de octubre de 2011 (casación 3512/09 , FJ 6)". Pues bien, lo que plantea el representante legal de Google Spain, S.L. en el caso que nos ocupa es la falta de legitimación "ad causam", al señalar que la resolución recurrida es nula al amparo de artículo 62.1.e) de la Ley 30/1992, de 26 de noviembre , por haber sido dictada prescindiendo total y absolutamente del procedimiento legalmente establecido, y en base al artículo 62.1.c) de la citada norma , ya que el acto recurrido ordena algo imposible de cumplir. Conviene precisar que Google Spain S .L . ostenta la legitimación prevista en el artículo 19.1.a) de la Ley de la Jurisdicción por el mero hecho de ser la entidad a la que la resolución de la Agencia Española de Protección de Datos impone la obligación de satisfacer el derecho de oposición al tratamiento de datos personales ejercitado por el reclamante. De manera que tras la alegación de la demandante realmente subyace la negación de su condición de sujeto obligado o responsable frente al derecho de oposición ejercitado, dada la concreta actividad que desarrolla y su relación con Google Inc. Para resolver la cuestión que estamos analizando resulta conveniente tener en cuenta los siguientes hechos probados recogidos en la Sentencia del TJUE de 13 de mayo de 2014 , que se basan en el Auto de esta Sala de 27 de febrero de 2012 , de planteamiento de la cuestión prejudicial: " -Google Search se presta a nivel mundial a través del sitio de Internet «www.google.com». En muchos países existen versiones locales adaptadas al idioma nacional. La versión española de Google Search se presta a través del sitio www.google.es, dominio que tiene registrado desde el 16 de septiembre de 2003. Google Search es uno de los motores de búsqueda más utilizados en España. - Google Inc. (empresa matriz del grupo Google), con domicilio en los Estados Unidos, gestiona Google Search. - Google Search indexa páginas web de todo el mundo, incluyendo páginas web ubicadas en España. La información indexada por sus «arañas» o robots de indexación, es decir, programas informáticos utilizados para rastrear y realizar un barrido del contenido de páginas web de manera metódica y automatizada, se almacena temporalmente en servidores cuyo Estado de ubicación se desconoce, ya que este dato es secreto por razones competitivas. - Google Search no sólo facilita el acceso a los contenidos alojados en las páginas web indexadas, sino que también aprovecha esta actividad para incluir publicidad asociada a los patrones de búsqueda introducidos por los internautas, contratada, a cambio de un precio, por las empresas que desean utilizar esta herramienta para ofrecer sus bienes o servicios a éstos. - El grupo Google utiliza una empresa filial, Google Spain, como agente promotor de venta de los espacios publicitarios que se generan en el sitio de Internet «www.google.com». Google Spain tiene personalidad jurídica propia y domicilio social en Madrid, y fue creada el 3 de septiembre de 2003. Dicha empresa dirige su actividad fundamentalmente a las empresas radicadas en España, actuando como agente comercial del grupo en dicho Estado miembro. Tiene como objeto social promocionar, facilitar y procurar la venta de productos y servicios de publicidad «on line» a través de Internet para terceros, así como la comercialización de esta publicidad. - Google Inc. designó a Google Spain como responsable del tratamiento en España de dos ficheros inscritos por Google Inc. ante la AEPD; el objeto de tales ficheros era almacenar los datos de las personas relacionadas con los clientes de servicios publicitarios que en su día contrataron con Google Inc.". La letra d) del artículo 2 de la Directiva 95/46/CE establece que se entenderá por "responsable del tratamiento" <<la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que sólo o conjuntamente con otros determine los fines y los medios del tratamiento de datos personales; en caso de que los fines y los medios del tratamiento estén determinados por disposiciones legislativas o reglamentarias nacionales o comunitarias, el responsable del tratamiento o los criterios específicos para su nombramiento podrán ser fijados por el Derecho nacional o comunitario>>. En el mismo sentido, se pronuncia el artículo 5.1.q) del Reglamento de Protección de Datos . Por su parte, el artículo 3.d) de la LOPD define como responsable del tratamiento a la "persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento". Por otro lado, el Proyecto de Reglamento Europeo de Protección de Datos considera responsable del tratamiento a "la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que solo o conjuntamente con otros determine los fines y medios del tratamiento de datos personales; en caso de que los 8 JURISPRUDENCIA fines y medios del tratamiento estén determinados por la legislación de la Unión o de los Estados miembros, el responsable del tratamiento o los criterios específicos para su nombramiento podrán ser fijados por la legislación de la Unión o de los Estados miembros" . El Dictamen 1/2010, sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» adoptado el 16 de febrero de 2010 por el Grupo de Trabajo del artículo 29 de la Directiva 95/46/CE (GT29), dice en relación con el concepto de responsable del tratamiento lo siguiente: << El concepto de responsable del tratamiento es autónomo, en el sentido de que debe interpretarse fundamentalmente con arreglo a la legislación comunitaria de protección de datos, y funcional, en el sentido de que su objetivo es asignar responsabilidades en función de la capacidad de influencia de hecho, y, por consiguiente, se basa en un análisis de los hechos más que en un análisis formal... La definición de la Directiva consta de tres componentes fundamentales: el aspecto personal («la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo»); la posibilidad de un control plural («que solo o conjuntamente con otros»); los elementos esenciales para distinguir al responsable del tratamiento de otros agentes («determine los fines y los medios del tratamiento de datos personales»)... En relación con la determinación de los fines y los medios se señala que "el hecho de determinar los «fines» del tratamiento trae consigo la consideración de responsable del tratamiento (de facto). En cambio, la determinación de los «medios» del procesamiento puede ser delegada por el responsable del tratamiento en la medida en que se trate de cuestiones técnicas u organizativas. Sin embargo, las cuestiones de fondo que sean esenciales a efectos de la legitimidad del tratamiento -como los datos que deban tratarse, la duración de su conservación, el acceso, etc.- deben ser determinadas por el responsable del tratamiento". No cabe duda alguna que Google Inc., que gestiona el motor de búsqueda, Google Search, es responsable del tratamiento de datos, al determinar los fines, las condiciones y los medios del tratamiento de datos personales. No obstante, ello no implica que Google Inc. sea responsable del tratamiento en solitario, ya que no podemos olvidar que el citado artículo 2.d) de la Directiva 95/46/CE , alude que la determinación de los fines y los medios del tratamiento de datos personales se puede hacer "sólo o conjuntamente con otros" , máxime si tenemos en cuenta, que "las actividades del gestor del motor de búsqueda y las de su establecimiento situado en el Estado miembro de que se trate están indisociablemente ligadas, dado que las actividades relativas a los espacios publicitarios constituyen el medio para que el motor de búsqueda en cuestión sea económicamente rentable y dado que este motor es, al mismo tiempo, el medio que permite realizar las mencionadas actividades" (apartado 56 de la Sentencia del TJUE de 13 de mayo de 2014 ). A este respecto, en el Dictamen 1/2010 del GT29 se dice: "En el dictamen de la Comisión sobre la enmienda del PE, la Comisión menciona la posibilidad de que «varias partes determinen conjuntamente, para una única operación de tratamiento, los fines y los medios del tratamiento que se vaya a llevar a cabo» y, por lo tanto, en tal caso, «cada uno de estos corresponsables del tratamiento debe considerarse vinculado por las obligaciones impuestas por la Directiva de proteger a las personas físicas cuyos datos se estén tratando»" . Se añade que "la definición de tratamiento contenida en el artículo 2.b) de la Directiva no excluye la posibilidad de que distintos agentes estén implicados en diferentes operaciones o conjuntos de operaciones en materia de datos personales. Estas operaciones pueden producirse simultáneamente o en distintas fases" . Y se concluye que "la participación de las partes en la determinación de los fines y los medios del tratamiento en el contexto del control conjunto puede revestir distintas formas y el reparto no tiene que ser necesariamente a partes iguales... Los distintos grados de control pueden dar lugar a distintos grados de responsabilidad, y desde luego no cabe presumir que haya una responsabilidad solidaria en todos los casos. Por lo demás, es muy posible que en sistemas complejos con varios agentes el acceso a datos personales y el ejercicio de otros derechos de los interesados también los puedan garantizar distintos agentes a diferentes niveles" . Así las cosas, en la Sentencia del TJUE de 13 de mayo de 2014 se declara que "... el artículo 4, apartado 1, letra a), de la Directiva 95/46 no exige que el tratamiento de datos personales controvertido sea efectuado «por» el propio establecimiento en cuestión, sino que se realice «en el marco de las actividades» de éste" (apartado 52). Además se añade que "visto el objetivo de la Directiva 95/46 de garantizar una protección eficaz y completa de las libertades y de los derechos fundamentales de las personas físicas, y, en particular, del derecho a la intimidad, en lo que respecta al tratamiento de los datos personales, ésta expresión no puede ser objeto de una interpretación restrictiva (véase, por analogía, la sentencia L'Oréal y otros, CEU:C:2011:474, apartados 62 y 63) (apartado 53)". Por otro lado, y así se deduce de los apartados 55, 56 y 57 de la Sentencia de 13 de mayo de 2014 del TJUE , Google Spain, S.L., es un establecimiento del responsable del tratamiento de datos que se encuentra implicado en actividades relativas al tratamiento de datos personales en cuanto que está destinado a la promoción y venta en España de los espacios publicitarios del motor de búsqueda, que sirven para rentabilizar 9 JURISPRUDENCIA el servicio propuesto por el motor, ya que constituyen el medio para que el motor de búsqueda en cuestión sea económicamente rentable y dado que este motor es, al mismo tiempo, el medio que permite realizar las mencionadas actividades. Además, afirma la Sentencia de 13 de mayo de 2014 del TJUE que la presentación de datos personales en una página de resultados de una búsqueda constituye un tratamiento de dichos datos. Y, concluye que al encontrarse acompañada, en la misma página, de la presentación de publicidad vinculada a los términos de búsqueda "es obligado declarar que el tratamiento de datos personales controvertido se lleva a cabo en el marco de la actividad publicitaria y comercial del establecimiento del responsable del tratamiento en territorio de un Estado miembro, en el caso de autos el territorio español " (apartado 57). En definitiva, la responsabilidad de Google Spain, S.L. en el tratamiento de datos personales llevado a cabo en el marco del servicio de búsqueda en internet ofrecido por Google Inc -gestor del motor de búsqueda- deriva de la unidad de negocio que conforman ambas sociedades, en la que la actividad desempeñada por Google Spain, S.L. resulta indispensable para el funcionamiento del motor de búsqueda, pues de aquella depende su rentabilidad. El concierto de ambas sociedades en la prestación de tal servicio a los internautas lo hace viable económicamente y posibilita su subsistencia. Carecería de lógica alguna excluir a Google Spain, S.L. de cualquier responsabilidad en el tratamiento de los datos personales que lleva a cabo Google Inc, tras afirmar que este tratamiento se sujeta al Derecho Comunitario precisamente por haberse llevado a cabo en el marco de las actividades de su establecimiento en España, del que es titular Google Spain, S.L. y más aún tras aceptar la relevancia de su participación en la actividad conjuntamente desempeñada por ambas, en relación con el funcionamiento del motor de búsqueda y el servicio que mediante el mismo se presta a los internautas, que conlleva el tratamiento de datos personales que nos ocupa. De no entenderse así se vería menoscabado el efecto útil de la Directiva 95/46 y la protección directa y completa de las libertades y de los derechos fundamentales de las personas físicas, en particular el derecho a la intimidad, en lo que respecta al tratamiento de datos personales, que tiene por objeto garantizar, tal y como se desprende de su artículo 1 y de su considerando 10 (véase apartados 53, 58 y 66 st. TJUE). Resulta interesante poner de manifiesto en este momento, lo que se recoge en las observaciones Escritas de la Comisión Europea presentadas al Tribunal de Justicia de la Unión Europea en relación con la cuestión prejudicial planteada por esta Sala, en las que se lee que "de acuerdo con las afirmaciones de la propia Google en su página web "Google data centers" la mayor parte de los ingresos de Google proceden de la publicidad de gran interés para los consumidores de internet que buscan sobre productos y servicios relacionados". A lo expuesto, tenemos que añadir que Google Spain, S.L. ha venido actuando como si fuese responsable del tratamiento de datos, tanto en procedimientos de tutela de derechos seguidos ante la Agencia Española de Protección de Datos como en diversas intervenciones ante Tribunales Españoles. En este sentido, resulta conveniente hacer referencia a los siguientes procedimientos de tutela de derechos sobre cancelación de datos personales seguidos en la Agencia Española de Protección de Datos, en los que la reclamación se dirigió contra Google Spain, S.L., y ésta actuó como si fuera responsable del tratamiento de datos: TD/00299/2007 (resolución de 9 de julio de 2007), TD/00463/2007 (resolución de 9 de julio de 2007), TD/00814/2007 (resolución de 7 de abril de 2008), TD/00387/2008 (resolución de 3 de septiembre de 2008),TD/00420/2008 (resolución de 29 de diciembre de 2008), TD/0444/2008 (resolución de 4 de noviembre de 2008), TD/00569/2008 (resolución de 24 de septiembre de 2008) y TD/00580/2008 (resolución de 29 de diciembre de 2008). En dichos procedimientos se viene a manifestar por Google Spain, S.L que las informaciones obtenidas a través de sus resultados de búsqueda se encontraban en páginas de terceros cuyo acceso es público y, en consecuencia, para eliminar dicho contenido de los resultados deberían desaparecer del webmaster de la página de terceros. En cuanto a la actuación de Google Spain, S.L. ante los Tribunales Españoles, hay supuestos en que asumió la condición del responsable del tratamiento, siendo un ejemplo de ello la Sentencia de la Sala de lo Civil del Tribunal Supremo de 3 de abril de 2012 -recurso nº. 2.037/2008 -, sobre los derechos del allí recurrente como autor de una página web de apuestas frente a Google Spain, S.L., en la que ésta no opuso la falta de legitimación pasiva. Por otro lado, en un procedimiento en que era parte demandada que tenía por objeto una demanda por intromisión ilegítima en su derecho al honor y a la propia imagen por la difusión de unos videos, durante dicho procedimiento, que concluyó con la Sentencia de la Sala de lo Civil del Tribunal Supremo de 15 de enero de 2014 -recurso nº. 897/2010 - consta que Google Spain, S.L. llegó a un acuerdo transaccional con la parte demandante. 10