Dos recientes sentencias de la Sala de lo Contencioso-Administrativo del TS (sentencias núm.  1381 y 1387/2016, ambas de 13 de junio de 2016 y ponencia del magistrado señor Herrero Pina), han confirmado el procedimiento para el ejercicio del Derecho al olvido, tras la publicación del nuevo Reglamento Europeo de protección de datos (Reglamento (UE) 2016/679, de 27 de abril de 2016).

Según estas sentencias, “en el ámbito de esta jurisdicción contencioso-administrativa, la tutela de los derechos de oposición, acceso, rectificación y cancelación reconocidos al titular de los datos personales objeto de tratamiento, se recaba mediante la impugnación de la correspondiente resolución de la Agencia Española de Protección de Datos”.

Este procedimiento comienza con la reclamación o comunicación dirigida al responsable del tratamiento, ejercitando el correspondiente derecho (art. 25 R.D. 1720/2007), frente a cuya respuesta el interesado puede formular reclamación ante la referida Agencia Española de Protección de Datos (art. 117 R.D. 1720/2007), que deberá dictar resolución en el plazo de seis meses, contra la cual puede interponerse el recurso contencioso administrativo (art. 18 LOPD 15/1999).”

Pero además, el TS señala que a los argumentos ya contenidos en sus anteriores sentencias de 11 de marzo (recursos 643/2015 y 1482/2015), 14 de marzo (recursos 1078/2015 y 1380/2015) y 15 de marzo de 2016 (recurso 804/2015), se añade ahora el contenido del nuevo Reglamento UE 2016/679, de 27 de abril de 2016, sobre protección de datos de las personas físicas, que viene a confirmar los razonamientos de dichas sentencias.

Responsabilidad de Google Inc por el tratamiento de datos realizado por su buscador

En primer lugar la Sala reitera su jurisprudencia sobre la condición de Google Inc, y no Google Spain, como responsable del tratamiento de datos controvertido.

Según esta interpretación, es Google Inc quien determina los fines y medidos de ese tratamiento de datos, sin que Google Spain participe en el mismo, pues su función se limita a promocionar en el mercado español la venta de espacios publicitarios que se generan en el buscador y, en consecuencia, es a Google Inc a quien debe exigirse la adopción de las medidas necesarias para hacer efectivo el derecho al olvido ejercitado por los interesados.

Pero, además, la Sala entiende que, de acuerdo con el art. 26 del nuevo Reglamento,  tampoco puede considerarse a Google Spain como corresponsable de ese tratamiento de datos.

Este artículo regula “la corresponsabilidad en el tratamiento de datos, considerando corresponsables a quienes determinen conjuntamente los objetivos y los medios del tratamiento, exigiendo, además, que los corresponsables determinen de modo transparente y de mutuo acuerdo sus responsabilidades respectivas en el cumplimiento de las obligaciones impuestas por el Reglamento, en particular en cuanto al ejercicio de los derechos del interesado”. Y esta previsión “impide considerar corresponsable a una entidad como Google Spain, S.L., que ninguna participación tiene en la gestión del motor de búsqueda y la determinación de los fines y medios del tratamiento, circunstancia que en ningún momento se cuestiona.”

Obligaciones derivadas del ejercicio del derecho al olvido

En cuanto a las obligaciones derivadas del ejercicio del derecho al olvido por un interesado, la Sala entiende que, de acuerdo con el art. 17 del Reglamento, las mismas corresponden al responsable del tratamiento, es decir, a Google Inc.

De acuerdo con dicho precepto, “el interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual está obligado a suprimir …”

Y, de acuerdo con dicho precepto, la decisión de la autoridad de control, aun notificada al establecimiento principal o único establecimiento del responsable en el territorio del Estado miembro, se adopta en relación con el responsable del tratamiento, que es quien a su vez debe adoptar las medidas necesarias para garantizar el cumplimiento de la decisión en lo tocante a las actividades de tratamiento en el contexto de todos sus establecimientos en la Unión (arts. 60.9 y 10).

Por tanto, es al responsable del tratamiento (en este caso, Google Inc) al que deben exigirse e imponerse las obligaciones derivadas del ejercicio del derecho al olvido y al que corresponde la adopción de las medidas oportunas para su tratamiento.

Derecho al honor y Derecho al olvido

La Sala aborda también la cuestión relativa a las diferencias de criterio existente entre la Sala de lo Civil y la Sala de lo Contencioso-Administrativo del TS sobre quién es responsable del tratamiento de datos, a raíz de la sentencia del TJUE de 13 de mayo de 2014 (asunto C-131/12, Mario Costeja).

Recordemos que la Sala de lo Civil, en su sentencia de 5 de abril de 2016 (recurso 3269/2014), resolvió un litigio sobre protección civil del derecho al honor, estableciendo que Google Spain es responsable del tratamiento de los datos personales que indexa el buscador, teniendo en cuenta la incidencia que para el derecho a la tutela judicial del interesado puede tener la consideración como responsable de Google Inc, que tiene su domicilio en otro país.  

En las dos nuevas sentencias que comentamos hoy, la Sala tercera asume el argumento de la Sala primera en el sentido de que las posibles diferencias de criterio entre ambas Salas se justifican por la existencia de “distintos criterios rectores en las distintas jurisdicciones, por la diversidad de las normativas que con carácter principal se aplican en unas y a otras.”

En este sentido, la Sala tercera recuerda que “en el ámbito de esta jurisdicción contencioso-administrativa, la tutela de los derechos de oposición, acceso, rectificación y cancelación reconocidos al titular de los datos personales objeto de tratamiento, se recaba mediante la impugnación de la correspondiente resolución de la Agencia Española de Protección de Datos”.

Procedimiento de tutela del derecho al olvido

Este procedimiento, continúa la sentencia “comienza con la reclamación o comunicación dirigida al responsable del tratamiento, ejercitando el correspondiente derecho (art. 25 R.D. 1720/2007), frente a cuya respuesta el interesado puede formular reclamación ante la referida Agencia Española de Protección de Datos (art. 117 R.D. 1720/2007), que deberá dictar resolución en el plazo de seis meses, contra la cual puede interponerse el recurso contencioso administrativo (art. 18 LOPD 15/1999).”

Y según el TS, este iter procedimental no presenta dificultad o carga significativa para el interesado, por el hecho de que se identifique como responsable a Google Inc, con domicilio legal en California, en ninguna de las fases de este procedimiento.

En la primera fase, la formulación de la reclamación o comunicación dirigida al responsable del tratamiento, se realiza electrónicamente, de manera sencilla, gratuita y directa por el interesado, en cualquier forma que permita justificar que se ha enviado y recibido por el responsable. Este dispone de diez días para resolver la reclamación. Transcurrido dicho palazo sin resolución el interesado podrá interponer la reclamación prevista en el art. 18 LOPD ante la AEPD.

En esta segunda fase ante la Autoridad de control, no se aprecia dificultad o carga significativa para el ejercicio de su derecho por el interesado por el hecho de que el responsable del tratamiento sea una entidad residente domiciliado en otro país, pues dispone el art. 117 del Reglamento (RD 1720/2007), basta para la iniciación de la correspondiente reclamación ante la AEPD.

Finalmente, en la vía jurisdiccional, que se desarrolla de acuerdo con la LJCA, el interesado puede instar y abrir mediante un simple escrito de impugnación de la resolución adoptada por la AEPD, a partir del cual el proceso contencioso-administrativo se impulsa de oficio hasta su terminación en cualquiera de las formas previstas en la Ley.