El TJUE ha hecho pública su sentencia de fecha 13 de mayo de 2014 (asunto C-131/12, Google Spain), por la que establece que, con base en la Directiva 95/46/CE, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, el gestor de un motor de búsqueda en Internet es responsable del tratamiento que aplique a los datos de carácter personal que aparecen en las páginas web publicadas por terceros.

La principal conclusión alcanzada por el Tribunal es que, bajo determinadas condiciones, cuando, a raíz de una búsqueda efectuada a partir del nombre de una persona, la lista de resultados ofrece enlaces a páginas web que contienen información sobre esa persona, ésta puede dirigirse directamente al gestor del motor de búsqueda, o bien, si este último no accede a su solicitud, acudir a las autoridades competentes para conseguir que se eliminen esos enlaces de la lista de resultados.

Los hechos del litigio

El demandante, de nacionalidad española, presentó ante la Agencia Española de Protección de Datos una reclamación contra La Vanguardia Ediciones, S.L., (editor de un diario de gran difusión en España, especialmente en Cataluña) y contra Google Spain y Google Inc., alegando que cuando un internauta introducía su nombre en el motor de búsqueda de Google («Google Search») obtenía como resultado unos enlaces a dos páginas del diario La Vanguardia, fechadas en enero y marzo de 1998, en las que se anunciaba una subasta de inmuebles organizada con motivo de un embargo para el cobro de unas cantidades adeudadas por el actor a la Seguridad Social. 

En esa reclamación el demandante solicitaba, por un lado, que se exigiese a La Vanguardia que eliminara o modificara esas páginas (para que no apareciesen sus datos personales), o que utilizara las herramientas facilitadas por los motores de búsqueda para proteger esos datos. Por otro lado, solicitaba que se exigiese a Google Spain o a Google Inc. que eliminaran u ocultaran sus datos personales, para que dejaran de incluirse en sus resultados de búsqueda y dejaran de estar ligados a los enlaces de La 
Vanguardia.

El demandante afirmaba al respecto que el embargo al que se vio sometido en su día estaba totalmente solucionado y resuelto desde hacía años y carecía actualmente de relevancia.

La AEPD desestimó la reclamación contra La Vanguardia, considerando que el editor había publicado legalmente la información en cuestión. En cambio, estimó la reclamación en lo que respecta a Google Spain y a Google Inc., exigiendo a estas dos sociedades que tomasen las medidas necesarias para retirar los datos de su índice e imposibilitar el acceso a los mismos en el futuro.

Google Spain y Google Inc. interpusieron sendos recursos contra dicha resolución ante la Audiencia Nacional, solicitando que se anulara la resolución de la AEPD.

La sentencia del TJUE

En su sentencia dictada hoy, el Tribunal de Justicia señala, en primer lugar, que al explorar Internet de manera automatizada, constante y sistemática en busca de la información que allí se publica, el gestor de un motor de búsqueda «recoge» tales datos, en el sentido de la Directiva.

El Tribunal de Justicia estima, además, que dicho gestor «extrae», «registra» y «organiza» esos datos en el marco de sus programas de indexación, antes de «conservarlos» en sus servidores y, en su caso, los «comunica» a sus usuarios y les «facilita el acceso» a los mismos en forma de listas de resultados. Estas operaciones, mencionadas en la Directiva 95/46/CE de forma explícita e incondicional, deben calificarse de «tratamiento», con independencia de que el gestor del motor de búsqueda las aplique de modo indiferenciado a informaciones que no son datos personales. 

Por lo demás, el Tribunal de Justicia recuerda que las operaciones a las que se refiere la Directiva 
también deben calificarse de «tratamiento» aun cuando sólo se refieran a información ya publicada, tal cual, en los medios de comunicación. Si en este último caso se estableciera una excepción general a la aplicación de la Directiva, esta última quedaría en gran medida vacía de contenido.

Por otra parte, el Tribunal de Justicia considera que el gestor del motor de búsqueda es el «responsable» de este tratamiento, en el sentido de la Directiva, dado que es él quien determina los fines y los medios de esta actividad. A este respecto, el Tribunal de Justicia subraya que, como la actividad de un motor de búsqueda se suma a la de los editores de sitios de Internet y puede afectar significativamente a los derechos fundamentales de respeto de la vida privada y de protección de los datos personales, el gestor del motor de búsqueda debe garantizar, en el marco de sus responsabilidades, de sus competencias y de sus posibilidades, que dicha actividad satisfaga las exigencias de la Directiva. Sólo así las garantías establecidas en dicha norma podrán tener plenos efectos y podrá hacerse realidad la protección eficaz y completa de los interesados (y en particular de su derecho al respeto de la vida privada).

En lo que se refiere al ámbito de aplicación territorial de la Directiva, el Tribunal de Justicia observa que Google Spain es una filial de Google Inc. en territorio español y, por lo tanto, un «establecimiento» en el sentido de la Directiva. El Tribunal rechaza el argumento de que Google Search no realiza un tratamiento de datos de carácter personal en el marco de sus actividades desarrolladas en España y considera a este respecto que, cuando el tratamiento de estos datos se lleva a cabo para permitir el funcionamiento de un motor de búsqueda gestionado por una empresa que, a pesar de estar situada en un Estado tercero, dispone de un establecimiento en un Estado miembro, ese tratamiento se efectúa «en el marco de las actividades» de dicho establecimiento, en el sentido de la Directiva, siempre que la misión de ese establecimiento sea la promoción y la venta, en ese Estado miembro, de los espacios publicitarios del motor de búsqueda, que sirven para rentabilizar el servicio ofrecido por este 
último.

Por lo que respecta al alcance de la responsabilidad del gestor de un motor de búsqueda, el Tribunal de Justicia considera que, en determinadas condiciones, éste está obligado a eliminar de la lista de resultados obtenida tras una búsqueda efectuada a partir del nombre de una persona, los enlaces a páginas web publicadas por terceros que contengan información relativa a esta persona.

El Tribunal de Justicia precisa que esa obligación puede existir también en el supuesto de que este nombre o esta información no se borren previa o simultáneamente de esas páginas web y, en su caso, aunque la publicación en dichas páginas sea en sí misma lícita. 

El Tribunal de Justicia pone de relieve, en este contexto, que un tratamiento de datos de carácter personal efectuado por el gestor de un motor de búsqueda permite que cualquier internauta que realice una búsqueda a partir del nombre de una persona física obtenga, a través de la lista de resultados, una visión estructurada de la información relativa a esa persona que circula en Internet. El Tribunal de Justicia señala también que esa información afecta potencialmente a una multitud de aspectos de la vida privada y que, sin dicho motor de búsqueda, tales aspectos no se habrían interconectado, o sólo habrían podido interconectarse con grandes dificultades. Los internautas pueden establecer así un perfil más o menos detallado de las personas buscadas. Por otra parte, el efecto de esta injerencia en los derechos de la persona se multiplica a causa del importante papel que desempeñan en la sociedad moderna Internet y los motores de búsqueda, los cuales confieren ubicuidad a la información contenida en las listas de resultados.

Dada su gravedad potencial, el Tribunal de Justicia considera que esta injerencia no puede justificarse por el mero interés económico del gestor del motor de búsqueda en el tratamiento de los datos.

Sin embargo, como, según la información de que se trate, la supresión de enlaces de la lista de 
resultados podría tener repercusiones en el interés legítimo de los internautas potencialmente 
interesados en tener acceso a la información en cuestión, el Tribunal afirma que es preciso buscar 
un justo equilibrio entre este interés y los derechos fundamentales de la persona afectada, en 
particular el derecho al respeto de su vida privada y el derecho a la protección de los datos de 
carácter personal.

El Tribunal de Justicia señala al respecto que, si bien es cierto que los derechos de la persona afectada prevalecen igualmente, por regla general, sobre el mencionado interés de los internautas, este equilibrio puede depender en casos particulares de la naturaleza de la información de que se trate, de lo delicada que ésta sea para la vida privada de la persona de que se trate y del interés del público en disponer de esa información, que puede variar, en particular, en función del papel que esa persona desempeñe en la vida pública.

Por último, en respuesta a la pregunta de si la Directiva permite que la persona afectada solicite que se supriman de esa lista de resultados unos enlaces a páginas web porque desea que la información sobre ella que figura en esas páginas se «olvide» después de un cierto tiempo, el Tribunal de Justicia indica que, si, a raíz de la solicitud de la persona afectada se comprueba que la inclusión de esos enlaces en la lista es incompatible actualmente con la Directiva, la información y los enlaces que figuran en la lista deben eliminarse.

El Tribunal de Justicia observa a este respecto que, con el tiempo, incluso un tratamiento inicialmente lícito de datos exactos puede llegar a ser incompatible con la Directiva cuando, habida cuenta de todas las circunstancias que caractericen cada caso, esos datos se revelen inadecuados, no pertinentes o ya no pertinentes o excesivos desde el punto de vista de los fines para los que fueron tratados y del tiempo transcurrido.

El Tribunal añade que, al apreciar la solicitud presentada en este sentido por la persona afectada contra el tratamiento de sus datos efectuado por el gestor de un motor de búsqueda, se tendrá que examinar, en particular, si dicha persona tiene derecho a que la información en cuestión sobre ella deje de estar vinculada en la actualidad a su nombre a través de la lista de resultados que se obtiene tras efectuar una búsqueda a partir de su nombre. Si éste es el caso, los enlaces a páginas web que contienen esa información deben suprimirse de esa lista de resultados, a menos que existan razones particulares –como el papel desempeñado por esa persona en la vida pública– que justifiquen que prevalezca el interés del público en tener acceso a esa información al efectuar la búsqueda.

El TJUE precisa que el interesado puede presentar esas solicitudes directamente al gestor del motor de búsqueda, que deberá entonces examinar debidamente si son fundadas. Cuando el responsable del tratamiento no acceda a lo solicitado, la persona afectada podrá acudir a la autoridad de control o a los tribunales con el fin de que éstos lleven a cabo las comprobaciones necesarias y ordenen al responsable que adopte medidas precisas en consecuencia. 

En virtud de todo lo expuesto, el Tribunal de Justicia (Gran Sala) declara:

1) El artículo 2, letras b) y d), de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, debe interpretarse en el sentido de que, por un lado, la actividad de un motor de búsqueda, que consiste en hallar información publicada o puesta en Internet por terceros, indexarla de manera automática, almacenarla temporalmente y, por último, ponerla a disposición de los internautas según un orden de preferencia determinado, debe calificarse de «tratamiento de datos personales», en el sentido de dicho artículo 2, letra b), cuando esa información contiene datos personales, y, por otro, el gestor de un motor de búsqueda debe considerarse «responsable» de dicho tratamiento, en el sentido del mencionado artículo 2, letra d).

2) El artículo 4, apartado 1, letra a), de la Directiva 95/46 debe interpretarse en el sentido de que se lleva a cabo un tratamiento de datos personales en el marco de las actividades de un establecimiento del responsable de dicho tratamiento en territorio de un Estado miembro, en el sentido de dicha disposición, cuando el gestor de un motor de búsqueda crea en el Estado miembro una sucursal o una filial destinada a garantizar la promoción y la venta de espacios publicitarios propuestos por el mencionado motor y cuya actividad se dirige a los habitantes de este Estado miembro.

3) Los artículos 12, letra b) y 14, párrafo primero, letra a), de la Directiva 95/46 deben interpretarse en el sentido de que, para respetar los derechos que establecen estas disposiciones, siempre que se cumplan realmente los requisitos establecidos en ellos, el gestor de un motor de búsqueda está obligado a eliminar de la lista de resultados obtenida tras una búsqueda efectuada a partir del nombre de una persona vínculos a páginas web, publicadas por terceros y que contienen información relativa a esta persona, también en el supuesto de que este nombre o esta información no se borren previa o simultáneamente de estas páginas web, y, en su caso, aunque la publicación en dichas páginas sea en sí misma lícita.

4) Los artículos 12, letra b), y 14, párrafo primero, letra a), de la Directiva 95/46 deben interpretarse en el sentido de que, al analizar los requisitos de aplicación de estas disposiciones, se tendrá que examinar, en particular, si el interesado tiene derecho a que la información en cuestión relativa a su persona ya no esté, en la situación actual, vinculada a su nombre por una lista de resultados obtenida tras una búsqueda efectuada a partir de su nombre, sin que la apreciación de la existencia de tal derecho presuponga que la inclusión de la información en cuestión en la lista de resultados cause un perjuicio al interesado. Puesto que éste puede, habida cuenta de los derechos que le reconocen los artículos 7 y 8 de la Carta, solicitar que la información de que se trate ya no se ponga a disposición del público en general mediante su inclusión en tal lista de resultados, estos derechos prevalecen, en principio, no sólo sobre el interés económico del gestor del motor de búsqueda, sino también sobre el interés de dicho público en acceder a la mencionada información en una búsqueda que verse sobre el nombre de esa persona. Sin embargo, tal no sería el caso si resultara, por razones concretas, como el papel desempeñado por el interesado en la vida pública, que la injerencia en sus derechos fundamentales está justificada por el interés preponderante de dicho público en tener, a raíz de esta inclusión, acceso a la información de que se trate.

Satisfacción de la AEPD

En una nota de prensa hecha pública tras conocerse la sentencia del TJUE, la Agencia Española de Protección de Datos señala que la misma "clarifica definitivamente el régimen de responsabilidades de los buscadores de internet en relación con la protección de los datos personales y pone término a la situación de desprotección de los afectados generada por la negativa de la compañía Google a someterse a la normativa española y europea reguladora de la materia."

Por ello, la AEPD se congratula de que el TJUE haya respaldado sus planteamientos relativos a que la Directiva 95/46/CE y la legislación española de protección de datos son aplicables a las actividades del buscador de internet Google porque, aun cuando la empresa no tenga su matriz en España, ya que cuenta con un establecimiento en nuestro país vinculado a su actividad y utiliza medios situados en territorio español. 

La Agencia señala que iempre ha entendido que una interpretación correcta de la Directiva obliga a los responsables de los motores de búsqueda en internet a reconocer a los afectados lo que se ha dado en llamar el “derecho al olvido”, que no es otra cosa que la proyección sobre internet de los tradicionales derechos de oposición y de cancelación, que forman parte del derecho fundamental a la protección de los datos personales.

En el ejercicio de estos derechos, los ciudadanos deben poder dirigirse al buscador para que deje de difundir datos o informaciones personales que les conciernen cuando dicha difusión les está produciendo una lesión en sus derechos y se realiza sin base legitimadora suficiente. 

Por todo ello la Agencia celebra que el TJUE respalde sus planteamientos y establezca con carácter vinculante la interpretación correcta de la Directiva para el futuro, con lo que se impedirá que se vuelvan a producir intentos de sortear su aplicación con el consiguiente perjuicio para los afectados.