STS, 11 de Marzo de 2016

PRIMERO .- La Sentencia, toma como punto de partida, los hechos probados recogidos en la Sentencia del TJUE de 13 de mayo de 2014 , que se basan en su Auto de 27 de febrero de 2012 , de planteamiento de la cuestión prejudicial: «-Google Search se presta a nivel mundial a través del sitio de Internet www.google.com........La versión española de Google Search se presta a través del sitio www.google.es , dominio que tiene registrado desde el 16 de septiembre de 2003. Google Search es uno de los motores de búsqueda más utilizados en España.

-Google Inc. (empresa matriz del grupo Google), con domicilio en Estados Unidos, gestiona Google Search.

-Google Search indexa páginas web de todo el mundo, incluyendo páginas web ubicadas en España. La información indexada por sus "arañas" o robots de indexación, es decir, programas informáticos utilizados para rastrear y realizar un barrido del contenido de páginas web de forma metódica y automatizada, se almacena temporalmente en servidores cuyo Estado de ubicación se desconoce, ya que es un dato secreto por razones competitivas.

-Google Search no solo facilita el acceso a contenidos alojados en las páginas web indexadas, sino que también aprovecha esta actividad para incluir publicidad asociada a los patrones de búsqueda introducidos por los internautas, contratada, a cambio de un precio, por las empresas que deseen utilizar esta herramienta para ofrecer sus bienes o servicios a éstos.

-El grupo Google utiliza una empresa filial, Google Spain, como agente promotor de venta de los espacios publicitarios que se generan en el sitio www.google.com . Google Spain tiene personalidad jurídica propia y domicilio social en Madrid, y fue creada el 3 de septiembre de 2003. Dicha empresa dirige su actividad fundamentalmente a las empresas radicadas en España, actuando como agente comercial del grupo en dicho Estado miembro. Tiene como objeto social promocionar, facilitar y procurar la venta de productos y servicios de publicidad "on line" a través de Internet para terceros, así como la comercialización de esta publicidad.

-Google Inc designó a Google Spain como responsable del tratamiento en España de dos ficheros inscritos en Google Inc ante la AEPD; el objeto de tales ficheros era almacenar los datos de las personas relacionadas con los clientes de servicios publicitarios que en su día contrataron con Google Inc».

Y, sobre esta base fáctica, confirma la resolución recurrida, que con estimación de la reclamación y el derecho de oposición ejercido por D. Feliciano , instaba a la mercantil recurrente a adoptar las medidas necesarias para retirar los datos de su índice y a imposibilitar el acceso futuro a los mismos, con base, sustancialmente, en las siguientes consideraciones: a) Rechaza la alegación de la actora de falta de legitimación pasiva en el procedimiento administrativo de tutela en razón de la unidad de negocio que existe con "GOOGLE Inc" -gestor del motor de búsqueda-, ya que la actividad que desarrolla como agente de publicidad que promociona la venta de espacio publicitario disponible, entre otras, en la página web del buscador Google (perteneciente a "GOOGLE Inc") es indispensable para la rentabilidad, y consiguiente funcionamiento, del motor de búsqueda. Además y para reforzar la existencia de tal legitimación, acude a la doctrina de los actos propios en razón de la actuación llevada a cabo por "GOOGLE Spain" tanto en procedimientos ante la APD como en procesos ante los Tribunales. Concluye que la actora es responsable del tratamiento de datos al constituir una unidad material con el gestor del motor de búsqueda ("GOOGLE Inc"), y reunir las características de establecimiento, a efectos del art. 4.1.a) de la Directiva 95/46/CE ; b) Desestima las alegaciones sobre vulneración del derecho a la libertad de empresa en la medida, con cita en las Ss TC 53/04 y 125/07, que esa libertad de empresa nunca puede lesionar derechos fundamentales, en este caso el derecho a la protección de datos, regulado en la Sección Primera del Capítulo 2º de la CE, cuando el derecho a la libertad se recoge en la Sección Segunda y no goza de la protección reforzada del art. 53.2 de la Constitución ; c) Examina el objeto y contenido de los derechos en conflicto, tomando en consideración la doctrina del Tribunal de Justicia para concluir que es preferente el derecho del interesado que solicita la cancelación de sus datos respecto del interés de Google por mantener el resultado de la búsqueda que relaciona con el nombre del denunciante.

SEGUNDO .- Por la representación procesal de la mercantil actora se preparó recurso de casación contra la precitada Sentencia ante la Sala de la Audiencia Nacional (Sección Primera), que lo tuvo por preparado en tiempo y forma, emplazó a las partes para que comparecieran ante esta Sala del Tribunal Supremo, y, elevando las actuaciones, tuvieron entrada en el Registro del Tribunal el día 23 de febrero de 2015.

TERCERO .- Personada la recurrente, formalizó escrito de interposición fundado en el Art. 88.1 de la Ley de la Jurisdicción Contencioso-Administrativa , apartados:

3. «Quebrantamiento de las formas esenciales del juicio por infracción de las normas reguladoras de la sentencia o de las que rigen los actos y garantías procesales, siempre que, en este último caso, se haya producido indefensión para la parte».

4. «Infracción de las normas del ordenamiento jurídico o de la jurisprudencia que fueran aplicables para resolver las cuestiones objeto del debate».

Y, articulado en seis motivos: Primero (88.1.c)) , por incongruencia "extra petita", al introducir la sentencia un motivo nuevo en su razonamiento como es la noción de corresponsabilidad; Segundo -como los restantes, al amparo del art. 88.1.d)-, por infracción de los arts. 3.d ), 6.4 y 16 L.O. 15/99, de 13 de diciembre (LOPDP), arts. 32.3 y 35.1 R.D. 1720/07, de 21 de diciembre , que aprueba su Reglamento de desarrollo, en razón de que la sentencia le atribuye la condición de corresponsable a pesar de que consta acreditado en autos que la recurrente no determina ni los fines ni los medios del tratamiento de datos; Tercero, por infracción de la jurisprudencia que cita relativa a la doctrina de los actos propios en cuanto la sentencia funda su corresponsabilidad en una serie de indicios, con base en los cuales y apelando a la doctrina de los actos propios, declara que ella misma reconoció su condición de responsable del tratamiento de datos gestionados por "Google Inc", al actuar, como tal, frente a terceros; Cuarto, infracción del art. 24 CE y de la jurisprudencia que cita en orden a la valoración de la prueba, con vulneración de las reglas de la sana crítica, por atribuir a la actora la responsabilidad en el tratamiento de datos cuando corresponde en exclusiva a "GOOGLE Inc"; Quinto, infracción de los arts. 20.1.a ) y d) del Convenio Europeo para la Protección de los Derechos Humanos y Libertades Fundamentales; art. 11 de la Carta de los Derechos Fundamentales de la Unión Europea ; art. 19.2 del Pacto Internacional sobre Derechos Civiles y Políticos ; art. 6.4 LOPD en relación con el art. 9.2 del Convenio del Consejo de Europa para la Protección de las Personas con respecto al tratamiento automatizado de datos de carácter personal y con el art. 10.2 CE ; Sexto , por infracción de la jurisprudencia del TC, TS, TJUE y del TEDH sobre el interés general, así como la del TS en materia de publicidad de indultos.

CUARTO .- Admitido a trámite, se emplazó a las partes recurridas que presentaron sendos escritos de oposición al recurso.

QUINTO .- Conclusas las actuaciones, se señaló, para deliberación, votación y fallo, la audiencia del día 8 de marzo de 2016, teniendo lugar.

Siendo Ponente la Excma. Sra. Dª. Ines Huerta Garicano, Magistrada de la Sala

PRIMERO .- Primer motivo ( art. 88.1.c)), incongruencia "extra petita", con infracción de los arts. 33.2 y 65.2 LJCA y 24 CE :

Entiende la recurrente que la sentencia incurre en incongruencia "extra petita" al introducir "ex novo" la noción de "corresponsabilidad", fundando su decisión en motivos que exceden de los límites fijados por las partes en la controversia, sin haberlos sometido previamente a su consideración, impidiendo que hayan podido pronunciarse, lo que genera indefensión.

Concretamente, la recurrente reprocha que la sentencia atribuya a "GOOGLE Spain" una corresponsabilidad en el tratamiento de datos personales objeto del recurso con el argumento de que esta compañía y "GOOGLE Inc" conforman un "unidad de negocio" o "unidad material", argumento éste al que el Tribunal "a quo" añade la aplicación de la doctrina de los actos propios en el sentido de que "GOOGLE Spain" ha reconocido su condición de responsable del tratamiento al actuar como tal frente a terceros.

La congruencia de toda sentencia -requisito esencial y objetivo- es la correlación que debe existir entre las pretensiones deducidas en el proceso y la parte dispositiva de la resolución que pone fin al mismo. El Tribunal debe decidir sobre todas las cuestiones planteadas en el proceso por las partes, lo que no comporta que el Tribunal quede vinculado a los argumentos de las partes ya que el principio de congruencia no alcanza a limitar la libertad de razonamiento jurídico de los órganos jurisdiccionales. No les obliga a seguir el itinerario lógico propuesto o esperado por las partes ( sentencia de 31 de enero de 2001, casación 9514/95 ).

En este orden de cosas, se habla de incongruencia "extra petita" (fuera de las peticiones de las partes) cuando la sentencia se pronuncia sobre cuestiones diferentes a las planteadas ("incongruencia mixta o por desviación").

Por su parte, el art. 33 LJCA , refuerza la exigencia de congruencia en este orden jurisdiccional al exigir, no solo que los Tribunales juzguen dentro del límite de las pretensiones formuladas por las partes, sino de los motivos que fundamentan el recurso y la oposición, conformando así la necesidad de que la "ratio decidendi" de la sentencia se mantenga dentro de los términos en que se planteó el debate por las partes, sin que quepa introducir motivos que, no habiendo sido alegados por las partes, resulten determinantes del pronunciamiento de la sentencia, privando a las mismas de formular alegaciones y ejercitar su defensa respecto de aspectos fundamentales que quedan así al margen de necesario debate procesal que exige el principio de contradicción.

Sin embargo, como acaba de decirse, ello no impide que la fundamentación de la sentencia se apoye en argumentos distintos de los esgrimidos por las partes, pues, como dice la sentencia de 19 de abril de 2006 , con cita específica en otras muchas, «.....el principio iura novit curia excusa al órgano jurisdiccional de ajustarse a los razonamientos jurídicos aducidos por las partes, siempre que no se altere la causa petendi ni se sustituya el tema decidendi» .

Según lo expuesto, en el presente caso no cabe apreciar la incongruencia denunciada, pues, impugnándose en la instancia la resolución de la AEPD por la que se insta a "GOOGLE Spain, S.L." a la adopción de las medidas necesarias para excluir el tratamiento de los datos personales cuya protección determina el litigio, la propia parte alegaba, como motivo de impugnación, la falta de legitimación pasiva en el procedimiento administrativo, ya que "GOOGLE Spain" no desarrolla ninguna actividad de tratamiento de datos, no interviene de ningún modo en la actividad del buscador de Google ni de Blogger, limitándose a una actividad de promoción de la contratación de servicios, esencialmente publicitarios, por lo que no puede considerársela responsable del tratamiento de los datos del interesado. Cuestionaba expresamente que la resolución impugnada había estimado la solicitud de tutela contra ella, no en la condición de representante de "GOOGLE Inc", sino como responsable del tratamiento de datos.

Es claro, sin embargo, que la responsabilidad en el tratamiento de los datos personales del interesado constituía un elemento del debate procesal, introducido en el proceso por la propia parte recurrente, cuyo examen resultaba esencial a efectos de determinar la legitimación pasiva de dicha entidad en el procedimiento administrativo, cuestionada por ella misma y que la Sala rechaza, precisamente, por entender que tal responsabilidad existe, aunque sea de forma compartida, posibilidad prevista en la normativa aplicable.

Por ello, la apreciación de la Sala de instancia de corresponsabilidad de la entidad recurrente en el tratamiento de datos del interesado podrá cuestionarse por otras razones, como de hecho se hace en los motivos siguientes, pero no por considerarse una cuestión ajena al debate procesal, cuando es la propia parte, como acaba de decirse, la que invoca falta de legitimación con fundamento, precisamente, en la ausencia de intervención y responsabilidad en dicho tratamiento de datos. Que dicha responsabilidad exista o no y que sea única o compartida constituye una valoración que corresponde efectuar a la Sala de instancia, para dar respuesta a las alegaciones y pretensiones de anulación de la parte, en congruencia con su planteamiento.

A la misma alegación de falta de legitimación pasiva de "GOOGLE Spain" en el procedimiento administrativo, responde la invocación en la sentencia de instancia de la doctrina de los actos propios en el sentido de entender que "GOOGLE Spain" ha reconocido su condición de responsable del tratamiento al actuar como tal frente a terceros, lo que constituye un argumento, a mayor abundamiento, para reforzar la idea de que "GOOGLE Spain, S.L." y "GOOGLE Inc" no son entidades ajenas entre sí a los efectos que aquí interesan, no obstante la diferente configuración mercantil de las mismas.

Fue la propia parte recurrente la que abre la fundamentación en relación a lo declarado en otros casos, cuando invoca, a efectos de sostener su alegación de falta de legitimación pasiva, lo resuelto en otros supuestos por los Tribunales españoles. Ello sin perjuicio, claro está, de que pueda cuestionarse por la parte la aplicación de tal doctrina de los actos propios efectuada por el Tribunal "a quo", como de hecho se realiza en los motivos de casación siguientes.

Este primer motivo ha de ser desestimado.

SEGUNDO .- Segundo motivo (88.1.d)), infracción del art. 2.d) de la Directiva 95/46/CE , arts. 3.d ), 6.4 y 16 L.O. 15/99, de 13 de diciembre (LOPDP), arts. 32.3 y 35.1 R.D. 1720/07, de 21 de diciembre , que aprueba su Reglamento de desarrollo:

Básicamente, la recurrente lo que denuncia es que la sentencia atribuye a la sociedad "GOOGLE Spain" la condición de "corresponsable" en el tratamiento de datos a pesar de que en las actuaciones se acredita que dicha mercantil no determina ni los fines ni los medios del tratamiento de datos, función que corresponde a "GOOGLE, Inc", a través del motor de búsqueda "Google Search", razón por la que no puede atribuirse a la recurrente la condición de "responsable" del tratamiento de datos. Recuerda, al efecto, que el art. 2.d) de la Directiva 95/46/CE atribuye la condición de responsable del tratamiento de datos al sujeto, ya sea de forma individual o conjuntamente con otros, que «determine los fines y los medios del tratamiento» , criterio acogido en el art. 3.d) LOPD , que considera responsable del fichero o tratamiento a la persona física o jurídica que decida sobre la finalidad, contenido y uso del tratamiento, siendo el responsable del tratamiento el que asume la obligación de hacer efectivo el derecho de rectificación o de cancelación ejercitado por el interesado ( arts. 6.4 y 16 LOPD ).

Por ello, no siendo controvertido que "GOOGLE Inc" es la única entidad que gestiona el motor de búsqueda "Google Search" y que determina los fines, las condiciones y los medios del tratamiento de los datos personales que se realiza a través del motor de búsqueda, y que la recurrente es una empresa filial de aquélla que promueve la venta en el mercado español de los espacios publicitarios que se generan en el buscador (ni siquiera presta el servicio publicitario, limitándose a su promoción), sin que realice ninguna actividad que constituya tratamiento de datos, carece de la imprescindible legitimación pasiva en el procedimiento de tutela.

Entiende, igualmente, que el TJUE, en su sentencia de 13 de mayo de 2014 (que resolvió la cuestión prejudicial planteada por la Sala de la Audiencia Nacional en Auto de 27 de febrero de 2012 en el P.O. 725/10 ), confirma esta tesis al considerar a "GOOGLE Inc", como titular del motor de búsqueda Google Search, y solo a efectos de atraer la aplicación de la normativa española de protección de datos, determina que "GOOGLE Spain" es un establecimiento en el sentido del art. 4.1.a) de la Directiva 95/46/CE , extrayendo el TJUE una única consecuencia jurídica, que "GOOGLE Inc", pese a estar ubicada fuera de la Unión Europea, debe quedar sujeta al contenido de dicha Directiva y de las respectivas disposiciones nacionales en materia de protección de datos, sin que, por el contrario, el TJUE haga atribución alguna de responsabilidad en materia de protección de datos a "GOOGLE Spain".

Añade que la propia APD, a partir de la citada Sentencia del TJUE, ha optado por actuar exclusivamente frente a "GOOGLE Inc" en los procedimientos de tutela de derechos y así lo han entendido Tribunales de los Estados miembros de la Unión Europea que cita.

Concluye alegando que la sentencia al atribuir a "GOOGLE Spain" la condición de corresponsable del tratamiento de datos, lo hace sobre la base de un título de imputación que crea el Juzgador "ex novo", no previsto en la normativa de protección de datos, pues aunque admitida la posible concurrencia de varios responsables en el tratamiento de datos ( art. 2.d) Directiva 95/46/CE ), ello no excluye la necesidad de examinar en qué medida cada uno de ellos contribuye a determinar los fines y medios del tratamiento, extremo esencial que ha omitido la Sala de instancia, lo que equivale a imputar, sin base normativa, una suerte de responsabilidad solidaria, basada en una circunstancia ajena al tratamiento de datos como es la interrelación económica que existe entre una filial y su matriz en cualquier Grupo de sociedades (unidad de negocio).

Este segundo motivo está estrechamente enlazado con el Tercero y el Cuarto (ambos también al amparo del apartado d) del art. 88.1), lo que va a dar lugar a su examen conjunto en el siguiente Fundamento de Derecho.

En el Tercer motivo se denuncia la infracción de la jurisprudencia que cita en relación con la doctrina de los actos propios , y ello porque la sentencia funda la corresponsabilidad de la actora en una serie de indicios, con base en los cuales y aplicando dicha doctrina, declara que la recurrente ha reconocido su condición de responsable en el tratamiento de datos gestionados por "GOOGLE Inc", por actuar como tal frente a terceros. Valoración que rechaza categóricamente.

El Cuarto motivo se funda en la infracción del art. 24 CE y de la jurisprudencia que cita en orden a la valoración de la prueba al haberse vulnerado las reglas de la sana crítica , pues "GOOGLE Spain" nunca ha reconocido, explícita ni implícitamente, que estuviera actuando como responsable del tratamiento al carecer de capacidad de hecho y de derecho para determinar los fines y medios del tratamiento. Siendo, a su juicio, irrazonable entender, como hace la sentencia, que el mero hecho de comparecer en un procedimiento administrativo o judicial implique una asunción de responsabilidad.

TERCERO .- Como acaba de decirse, analizaremos conjuntamente estos tres motivos.

Desde el inicio conviene dejar claro que la legitimación pasiva en el procedimiento de tutela de derechos -cuestionada- viene determinada por la condición de responsable del tratamiento de los datos personales, en razón de que corresponde a dicho responsable garantizar que el tratamiento se ajusta a los principios y condiciones de la normativa reguladora, asumiendo las correspondientes obligaciones frente al titular de los datos personales, quien, en ejercicio de sus derechos, puede dirigirse directamente al responsable, o, en su caso, a la autoridad de control exigiendo el cumplimiento de dichas obligaciones.

En este sentido, el art. 6 de la Directiva 95/46/C , tras referir en el número 1 los principios relativos a la calidad de los datos (tratados de manera leal y lícita; con fines determinados, explícitos y legítimos; adecuados, pertinentes y no excesivos; exactos y, cuando sea necesario, actualizados; conservados durante un período no superior al necesario), en el número 2 dispone que: «corresponderá a los responsables del tratamiento garantizar el cumplimiento de lo dispuesto en el apartado 1».

Abunda en ello la tan citada sentencia del Tribunal de Justicia de la Unión Europea de 13 de mayo de 2014 , cuando señala que «A tenor de este artículo 6 y sin perjuicio de las disposiciones específicas que los Estados miembros puedan establecer para el tratamiento con fines históricos, estadísticos o científicos, incumbe al responsable del tratamiento garantizar que los datos personales sean "tratados de manera leal y lícita", que sean "recogidos con fines determinados, explícitos y legítimos, y no sean tratados posteriormente de manera incompatible con dichos fines", que sean "adecuados, pertinentes y no excesivos con relación a los fines para los que se recaben y para los que se traten posteriormente", que sean "exactos y, cuando sea necesario, actualizados", y, por último, que sean "conservados en una forma que permita la identificación de los interesados durante un período no superior al necesario para los fines para los que fueron recogidos o para los que se traten ulteriormente". En este marco, el mencionado responsable debe adoptar todas las medidas razonables para que los datos que no responden a los requisitos de esta disposición sean suprimidos o ratificados».

El art. 12 de la misma Directiva, bajo el rótulo «Derecho de acceso» establece: «Los Estados miembros garantizarán a todos los interesados el derecho de obtener del responsable del tratamiento: ........b) en su caso, la rectificación, la suspensión o el bloqueo de los datos cuyo tratamiento no se ajuste a las disposiciones de la presente Directiva, en particular a causa del carácter incompleto o inexacto de los datos» .

En el art. 14, relativo al «Derecho de oposición del interesado», se dispone: «Los Estados miembros reconocerán al interesado el derecho a: a) oponerse, al menos en los casos contemplados en las letras e) y f) del artículo 7, en cualquier momento y por razones legítimas propias de sus situación particular, a que los datos que le conciernan sean objeto de tratamiento, salvo cuando la legislación nacional disponga otra cosa. En caso de oposición justificada, el tratamiento que efectúe el responsable no podrá referirse ya a esos datos".

El art. 23 se refiere al derecho de toda persona que sufra un perjuicio como consecuencia de un tratamiento ilícito o de acción incompatible con las disposiciones nacionales adoptadas en aplicación de la presente Directiva, a obtener del responsable del tratamiento la reparación del perjuicio sufrido.

En el mismo sentido se pronuncia la normativa estatal en numerosos preceptos, entre los que cabe destacar, el art. 6.4 de la LOPD : «En los casos que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado».

El art. 9 atribuye al responsable del fichero y, en su caso, el encargado del tratamiento, la obligación de adoptar las medidas necesarias para garantizar la seguridad de los datos de carácter personal.

En el art. 16 se establece la obligación del responsable del tratamiento de hacer efectivo el derecho de rectificación o cancelación del interesado. Y el art. 19 reconoce el derecho de los interesados a ser indemnizados por los daños sufridos a consecuencia del incumplimiento de lo dispuesto en la presente Ley por el responsable o el encargado del tratamiento.

En cuanto al ejercicio de tales derechos, el art. 25 del Reglamento de desarrollo de la LOPD ( Real Decreto 1720/07), dispone que deberá llevarse a cabo mediante comunicación dirigida al responsable del fichero, con el que se seguirá todo el procedimiento hasta el punto de que si -art. 26 - los afectados ejercitaran sus derechos frente al encargado del tratamiento, deberá dar traslado de la solicitud al responsable, que es el que tendrá que resolver lo procedente, atribuyéndose, de esta forma, al responsable del tratamiento la legitimación pasiva en tales procedimientos.

CUARTO .- De lo expuesto, y siendo claro que todas las obligaciones que acabamos de reflejar vienen atribuidas al responsable del tratamiento de datos, la cuestión estriba en determinar si "GOOGLE SPAIN, S.L.", como establecimiento en España de la "GOOGLE Inc", con sede en USA, es, como sostiene la sentencia y rechaza la recurrente, corresponsable en el tratamiento de datos que esta última gestiona a través de su motor de búsqueda en internet.

Y para ello habrá que tener presente la normativa que se reputa como infringida y la interpretación que, sobre la misma, ha realizado la sentencia del TJUE de 13 de mayo de 2014 en orden a quien sea el responsable del tratamiento.

El art. 2 de la Directiva 95/46/CE , relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, define, en su apartado d), al "responsable del tratamiento" como «la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que sólo o conjuntamente con otros determine los fines y los medios del tratamiento de datos personales; en caso de que los fines y los medios del tratamiento estén determinados por disposiciones legislativas o reglamentarias nacionales o comunitarias, el responsable del tratamiento o los criterios específicos para su nombramiento podrán ser fijados por el Derecho nacional o comunitario».

Paralelamente, el art. 3.d) de la LOPD define al "responsable del fichero o tratamiento" como «la persona física o jurídica, de naturaleza pública o privada, u organismo administrativo, que decida sobre la finalidad, contenido y uso del tratamiento».

De las normas transcritas se desprende que la caracterización como responsable del tratamiento de datos viene delimitada por la efectiva participación en la determinación de los fines y medios del tratamiento, o dicho de otro modo, que la identificación del responsable del tratamiento exige una valoración fáctica acerca de su efectiva intervención en esos concretos aspectos de fijación de fines y medios del tratamiento, para lo cual es preciso determinar, en primer lugar, cual sea la actividad objeto de tratamiento.

En este caso, la tan citada sentencia del TJUE de 13 de mayo de 2014 , al resolver la cuestión prejudicial que le planteó la Sala de instancia, señala respecto de la actividad de tratamiento que «el artículo 2, letra b), de la Directiva 95/46 define el "tratamiento de datos personales" como "cualquier operación o conjunto de operaciones, efectuadas o no mediante procedimientos automatizados, y aplicadas a datos personales, como la recogida, registro, organización, conservación, elaboración o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma que facilite el acceso a los mismos, cotejo o interconexión, así como su bloqueo, supresión o destrucción"» , y, añade que «Por consiguiente, debe declararse que, al explorar Internet de manera automatizada, constante y sistemática en busca de información que allí se publica, el gestor de un motor de búsqueda "recoge" tales datos que "extrae", "registra" y "organiza" posteriormente en el marco de sus programas de indexación, "conserva" en sus servidores y, en su caso, "comunica" y "facilita el acceso" a sus usuarios en forma de listas de resultados de sus búsquedas. Ya que estas operaciones están recogidas de forma explícita e incondicional en el artículo 2, letra b) de la directiva 95/46 , deben calificarse de "tratamiento" en el sentido de dicha disposición, sin que sea relevante que el gestor del motor de búsqueda también realice las mismas operaciones con otros tipos de información y no distinga entre éstos y los datos personales».

Y concluye el TJUE que «el gestor del motor de búsqueda es quien determina los fines y los medios de esta actividad y, así, del tratamiento de datos personales que efectúa él mismo en el marco de ésta y, por consiguiente, debe considerarse "responsable" de dicho tratamiento en virtud del mencionado artículo 2, letra d)», añadiendo que «Del conjunto de las consideraciones precedentes se desprende que procede responder a la segunda cuestión prejudicial, letras a) y b), que el art. 2, letras b ) y d) de la directiva 95/46 debe interpretarse en sentido de que, por un lado, la actividad de un motor de búsqueda, que consiste en hallar información publicada o puesta en Internet por terceros, indexarla de manera automática, almacenarla temporalmente y, por último, ponerla a disposición de los internautas según un orden de preferencia determinado, debe calificarse de "tratamiento de datos personales", en el sentido de dicho artículo 2, letra b), cuando esa información contienen datos personales, y, por otro, el gestor de un motor de búsqueda debe considerarse "responsable" de dicho tratamiento, en el sentido del mencionado artículo 2, letra d)».

Que "GOOGLE Inc", como gestor del motor de búsqueda Google Search, es responsable del tratamiento de datos, es incuestionado, y así lo reconoce la propia sentencia recurrida.

La controversia, sin embargo, surge cuando la sentencia afirma que además existe una corresponsabilidad de la aquí recurrente en razón de la unidad de negocio que existe entre ambas sociedades.

Es cierto que los preceptos ya citados de la Directiva 95/46/CE y de la LOPD contemplan la posibilidad de corresponsabilidad cuando emplean los términos «solo o conjuntamente con otros», pero ello supone una coparticipación en la determinación de los fines y medios del tratamiento que es lo que caracteriza la condición de responsable, no cualquier otro auxilio o colaboración que no tenga tal naturaleza, como puede ser el aquí contemplado de promoción de productos o servicios publicitarios en beneficio del responsable, promoción ajena a la determinación de los fines y medios del tratamiento.

En otras palabras, es la sociedad que gestiona el motor de búsqueda la que asume la responsabilidad del tratamiento de datos, con las obligaciones inherentes al efectivo cumplimiento de la normativa tanto europea como nacional reguladoras del tratamiento de datos personales, sin que quepa extender o trasladar esa responsabilidad al sujeto que, sin intervenir en esa gestión del motor de búsqueda, realiza otras actividades conexas o vinculadas, en este caso las ya señaladas de promoción publicitaria como soporte económico de ese motor de búsqueda.

En definitiva, la colaboración o coparticipación con el gestor ha de ser con una actividad de determinación de medios del tratamiento y no de otra naturaleza.

Para determinar, pues, si esa colaboración o coparticipación con el gestor entra dentro del ámbito de la actividad de determinación de medios y fines del tratamiento será preciso el examen de la situación fáctica a fin de determinar cuál sea esa concreta participación, y, en este caso, la Sala de instancia no identifica ninguna actividad de "GOOGLE Spain, S.L." que suponga su participación en esa actividad del motor de búsqueda.

Por el contrario, y como recoge el TJUE en el fundamento 46 de su sentencia, el tribunal remitente señala que Google Inc gestiona técnica y administrativamente Google Search y que no está probado que Google Spain realice en España una actividad directamente vinculada a la indexación o almacenamiento de información o de datos contenidos en los sitios de Internet de terceros.

Es preciso, por tanto, determinar y acreditar en cada caso la existencia y alcance de la participación de cada uno en la determinación de los medios y fines del tratamiento para que pueda hablarse de corresponsabilidad, lo que en modo alguno se ha producido respecto de "GOOGLE Spain, S.L", y que, desde luego, no puede fundarse -como sostiene la sentencia recurrida- en la vinculación mercantil o empresarial entre las dos sociedades, pues la coparticipación, desde su propia definición semántica como «acción de participar a la vez con otro en algo», alude a la idea de participación conjunta en algún resultado o acción, lo que en este caso exigiría que las dos sociedades concurrieran en la tarea de determinar los fines y medios del motor de búsqueda, algo que no acontece (o, cuando menos, no ha quedado acreditado), debiendo concluirse que no cabe identificar ni confundir la determinación de fines y medios de tratamiento, que caracteriza la condición de responsable, con una actividad de colaboración en la consecución de objetivos.

De ahí que solo "GOOGLE Inc" es la responsable del tratamiento pues es a ella a la que corresponde en exclusiva la determinación de los fines, condiciones y medios del tratamiento de datos personales.

QUINTO .- Tampoco cabe acoger, como título de imputación de la corresponsabilidad de la recurrente -tal como hace la sentencia recurrida-, la "unidad de negocio" entre ambas mercantiles.

Cabe recordar, al efecto, que el art. 4 de la Directiva 95/46 , bajo la rúbrica "Derecho nacional aplicable", es del siguiente tenor: «1. Los Estados miembros aplicarán las disposiciones nacionales que haya aprobado para la aplicación de la presente Directiva a todo tratamiento de datos personal cuando: a) el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro. Cuando el mismo responsable del tratamiento esté establecido en el territorio de varios Estados miembros deberá adoptar las medidas necesarias para garantizar que cada uno de dichos establecimientos cumple las obligaciones previstas por el Derecho nacional aplicable; b) el responsable del tratamiento no esté establecido en el Estado miembro, sino en un lugar en que se aplica su legislación nacional en virtud del Derecho internacional público; c) el responsable del tratamiento no esté establecido en el territorio de la comunidad y recurra, para el tratamiento de datos personales, a medios automatizados o no, situados en el territorio de otro Estado miembro, salvo en el caso de que dichos medios se utilicen solamente con fines de tránsito por el territorio de la Comunidad Europea. 2. En el caso mencionado en la letra c) del apartado 1, el responsable del tratamiento deberá designar un representante establecido en el territorio de dicho Estado miembro, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento» .

Y, en respuesta a la cuestión planteada por la Sala de instancia al TJUE, sobre el alcance de esta disposición, la sentencia dice: «....el considerando 19 de la Directiva aclara que «el establecimiento en el territorio de un Estado miembro implica el ejercicio efectivo y real de una actividad mediante una instalación estable», y «que la forma jurídica de dicho establecimiento, sea una simple sucursal o una empresa filial con personalidad jurídica, no es un factor determinante».

49. -Pues bien, no se discute que Google Spain se dedica al ejercicio efectivo y real de una actividad mediante una instalación estable en España. Además, al estar dotada de personalidad jurídica propia, es de este modo una filial de Google Inc. en territorio español, y, por lo tanto, un «establecimiento», en el sentido del artículo 4, apartado 1, letra a), de la Directiva 95/46 .

50. -Para cumplir el requisito establecido en dicha disposición, es necesario además que el tratamiento de datos personales por parte del responsable del tratamiento se «lleve a cabo en el marco de las actividades» de un establecimiento de dicho responsable situado en territorio de un Estado miembro.51.-Google Spain y Google Inc. niegan que éste sea el caso, dado que el tratamiento de datos personales controvertido en el litigio principal lo lleva a cabo exclusivamente Google Inc., que gestiona Google Search sin ninguna intervención por parte de Google Spain, cuya actividad se limita a prestar apoyo a la actividad publicitaria del grupo Google, que es distinta de su servicio de motor de búsqueda.52.-No obstante, como subrayaron, en particular, el Gobierno español y la Comisión, el artículo 4, apartado 1, letra a), de la Directiva 95/46 no exige que el tratamiento de datos personales controvertido sea efectuado «por» el propio establecimiento en cuestión, sino que se realice «en el marco de las actividades».53.-Además, visto el objetivo de la Directiva 95/46 de garantizar una protección eficaz y completa de las libertades y de los derechos fundamentales de las personas físicas, y, en particular, del derecho a la intimidad, en lo que respecta al tratamiento de los datos personales, ésta expresión no puede ser objeto de una interpretación restrictiva (véase, por analogía, la sentencia L'Oréal y otros, C-324/09, EU:C:2011:474, apartados 62 y 63).54.-En este marco, cabe señalar que se desprende, concretamente de los considerandos 18 a 20 y del artículo 4 de la Directiva 95/46 , que el legislador de la Unión pretendió evitar que una persona se viera excluida de la protección garantizada por ella y que se eludiera esta protección, estableciendo un ámbito de aplicación territorial particularmente extenso.55.-Habida cuenta de este objetivo de la Directiva 95/46 y del tenor de su artículo 4, apartado 1, letra a ), procede considerar que el tratamiento de datos personales realizado en orden al funcionamiento de un motor de búsqueda como Google Search, gestionado por una empresa que tiene su domicilio social en un Estado tercero pero que dispone de un establecimiento en un Estado miembro, se efectúa «en el marco de las actividades» de dicho establecimiento si éste está destinado a la promoción y venta en dicho Estado miembro de los espacios publicitarios del motor de búsqueda, que sirven para rentabilizar el servicio propuesto por el motor.56.-En efecto, en tales circunstancias, las actividades del gestor del motor de búsqueda y las de su establecimiento situado en el Estado miembro de que se trate están indisociablemente ligadas, dado que las actividades relativas a los espacios publicitarios constituyen el medio para que el motor de búsqueda en cuestión sea económicamente rentable y dado que este motor es, al mismo tiempo, el medio que permite realizar las mencionadas actividades».

    Pues bien, desde estas consideraciones del TJUE, no puede llegarse a la conclusión de que "GOOGLE Spain" sea corresponsable del tratamiento de datos por las siguientes razones:

1. - El TSJUE se plantea la cuestión de la aplicación de la norma comunitaria en la medida que el responsable del tratamiento tiene su domicilio social fuera de la Comunidad Europea. Ninguna necesidad habría si se considerara corresponsable también, genéricamente, como mantiene la Sala de instancia, a "GOOGLE Spain" con domicilio social en España.

2. - El TJUE, al utilizar como norma de conexión territorial el art. 4.1.a) de la Directiva 95/46 , consistente en que el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro, deja claro que «no exige que el tratamiento de datos personales controvertido sea efectuado "por" el propio establecimiento en cuestión, sino que se realice "en el marco de las actividades" de éste» , con lo que está dejando claro, de nuevo, que no se trata de que el establecimiento en cuestión -GOOGLE Spain- participe en el tratamiento de datos, sino de que dicho tratamiento se efectúe en el ámbito de sus actividades de promoción de espacios publicitarios, actividad muy distinta a la determinación de fines y medios del tratamiento que es la que determina la corresponsabilidad. Es más, esa respuesta del TJUE corresponde a la concreta objeción planteada por GOOGLE Inc y GOOGLE Spain en el sentido de que esta última no participa de ninguna forma en la determinación de los fines y medios del tratamiento, frente a lo cual el Tribunal señala que no es preciso, a efectos de lo que se examina, la aplicación de la normativa comunitaria para que se produzca tal participación, con lo que está asumiendo que GOOGLE Spain no interviene como responsable del tratamiento.

   Como bien dice la recurrente, con cita de lo resuelto por distintos tribunales de otros Estados miembros, la consideración de "GOOGLE Spain, S.L." como establecimiento de "GOOGLE Inc" lo es a los solos efectos de atraer la aplicación de la normativa europea, y, por derivación, de la española de protección de datos personales al tratamiento gestionado por la segunda a través de su motor de búsqueda Google Search, no obstante tratarse de una empresa ubicada fuera de la Unión Europea, y, en tal sentido, el TJUE declara que « las actividades del gestor del motor de búsqueda y las de su establecimiento situado en el Estado miembro de que se trate están indisolublemente ligadas», lo que supone la sujeción de ese tratamiento de datos tanto a la normativa europea como a la nacional correspondiente.

   Con ello se trata de evitar la elusión del cumplimiento de la normativa europea sobre la materia con base en el argumento de que el responsable del tratamiento no tiene su sede social en territorio europeo, lo que le permitiría sustraerse a las obligaciones y garantías que en dicha normativa se establecen.

   Esta es la finalidad a la que responde la previsión de ampliar el ámbito de aplicación territorial de la norma. En este sentido, la sentencia del TJUE razona «En tales circunstancias, no se puede aceptar que el tratamiento de datos personales llevado a cabo para el funcionamiento del mencionado motor de búsqueda se sustraiga a las obligaciones y a las garantías previstas por la Directiva 95/46, lo que menoscabaría su efecto útil y la protección eficaz y completa de las libertades y derechos fundamentales de las personas físicas que tiene por objeto garantizar......, en particular, el respeto de su vida privada en lo que respecta al tratamiento de datos personales......".

   Además y en todo caso, ninguna controversia se suscitaría en orden a la aplicación de la normativa comunitaria al tratamiento de datos, si se considerase que su responsable es un establecimiento con sede social en un Estado miembro, como es el caso de GOOGLE Spain.

   Por tanto, hay que convenir con la recurrente, que no cabe hablar de corresponsabilidad de GOOGLE Spain en el tratamiento de datos aquí concernido, en la medida que no concurren los requisitos que determinan la condición de responsable, sin que la unidad de negocio con "GOOGLE Inc", constituya título alguno a estos efectos.

   SEXTO .- El segundo título de atribución de la corresponsabilidad utilizado por la Sala "a quo" es la doctrina de los actos propios, al haber venido actuando, dice la sentencia, la aquí recurrente -tanto en procedimiento de tutela de derechos ante la AEPD como en diversas intervenciones ante Tribunales españoles- como si fuese responsable del tratamiento de datos.

   Para la aplicación del principio que prohíbe ir contra los propios actos es preciso que se trate de actuaciones realizadas con el fin de crear, modificar o extinguir algún derecho, definiendo una situación jurídica de manera indubitada ( sentencias, entre otras, de 23 de junio de 1971 , 24 de noviembre de 1973 , 26 de diciembre de 1978 , 25 de noviembre de 1980 , 26 de septiembre de 1981 , 2 de octubre de 2000 , 4 de marzo de 2002 y 4 de mayo de 2005 ), sin que esta doctrina pueda imponerse a la aplicación de normas de carácter imperativo ya que «no rige en ámbitos extraños al poder de disposición de las partes, ciñendo su eficacia a los casos en los que cabe que creen, modifiquen o extingan derechos..." ( Sentencia de 9 de marzo de 2009, casación 8169/04 ).

   Habrá que estar, pues, al alcance del acto al que se atribuye ese efecto vinculante, siempre, claro está, que no altere, fuera de los cauces legales, el régimen jurídico al que se sujeta la concreta relación.

   La Sala de instancia, en primer lugar, no habla de actuaciones indubitadas o concluyentes, sino simplemente de indicios. En segundo lugar, no valora ni analiza las distintas formas en las que se puede intervenir en dichos procedimientos. En tercer lugar, solo la comparecencia como responsable del tratamiento de datos, es decir, de la determinación de los fines y medios del tratamiento, puede dar lugar a actos válidos de reconocimiento de tal condición. En cuarto lugar, la condición de responsable del tratamiento de datos viene definida legalmente y su régimen jurídico no puede modificarse por las actuaciones de quien carece de facultades de disposición, y, en quinto lugar, la legitimación y la actitud del compareciente ha de ser examinada en cada procedimiento y, en este caso, siempre ha negado su legitimación.

   SÉPTIMO .- De todo cuanto se ha expuesto, ha de concluirse con la estimación de los motivos segundo, tercero y cuarto, lo que hace innecesario el examen de los demás en la medida que, por si mismos, vician de nulidad la resolución recurrida, lo que determina la declaración de haber lugar al recurso de casación, casando y anulando la sentencia de instancia.

   Conforme al art. 95.2.d) LJCA , procede resolver el recurso contencioso-administrativo originariamente interpuesto, conforme a los términos en los que aparece planteado el debate.

   En este caso, tanto en sede administrativa como jurisdiccional "GOOGLE Spain, S.L.", planteó la nulidad de pleno derecho de la resolución del Director de la AEPD de 19 de enero de 2010, alegando su falta de legitimación pasiva en el procedimiento administrativo de tutela de derechos en razón de que no gestionaba el buscador Google, ni la plataforma de alojamiento Blogger y, por tanto, no podía ser considerada responsable del tratamiento de datos personales objeto del pleito.

   Como acaba de verse, estamos en presencia de una actividad sujeta a una amplia regulación normativa específica. El procedimiento administrativo de tutela tiene por objeto la tutela de estos derechos (protección de datos personales), a través de la AEPD como autoridad de control -sujeta en su actuación, ex art. 35 LOPD , a las previsiones de la Ley 30/92-, para demandar el cumplimiento de las obligaciones que se imponen al responsable del tratamiento de datos, en este caso, "GOOGLE Inc". Sin embargo, desde el momento en que la referida resolución de la AEPD, estimando la reclamación del afectado, declaraba que la actuación de "GOOGLE Spain, S.L." no se ajustaba a la normativa, efectuando un pronunciamiento respecto de esta mercantil que carecía de legitimación pasiva en ese procedimiento de tutela, al no reunir los requisitos legalmente exigidos para ser responsable del tratamiento, con la consiguiente asunción de las obligaciones derivadas de dicha condición, hay que concluir que la resolución recurrida es nula de pleno derecho, pues la condición de responsable del tratamiento y la declaración de obligado al cumplimiento y realización del derecho a la tutela que se demanda por el reclamante ha de dirigirse frente al responsable del tratamiento de datos controvertido, es decir, frente a "GOOGLE Inc".

   Procede, en consecuencia, estimar el recurso contencioso-administrativo y declarar la nulidad de la resolución de la AEPD de 19 de enero de 2010.

   OCTAVO .- La estimación de ambos recursos determina -ex art. 139 LJCA - que no se efectúe pronunciamiento alguno en materia de costas.

PRIMERO .- HA LUGAR al recurso de casación número 643/2015, interpuesto por " GOOGLE SPAIN, S.L.", representada por la procuradora Dña. Cristina Deza García y con la asistencia letrada de Dña. Carolina Pina Sánchez y D. Ignacio González Royo, contra la Sentencia dictada -29 de diciembre de 2014- por la Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, desestimatoria del P.O. 103/10 . Sin costas.

SEGUNDO .- SE CASA y anula la precitada sentencia.

TERCERO .- CON ESTIMACIÓN del recurso contencioso-administrativo 103/10 de la Sección Primera de la Sala de la Audiencia Nacional , deducido frente a la resolución del Director de la Agencia Española de Protección de Datos de 19 de enero de 2010, por la que se estimaba la reclamación de tutela de derechos formulada por D. Feliciano , se declara su nulidad de pleno derecho. Sin costas.

Así por esta nuestra sentencia, que deberá insertarse por el Consejo General del Poder Judicial en la publicación oficial de jurisprudencia de este Tribunal Supremo, definitivamente juzgando lo pronunciamos, mandamos y firmamos D. Octavio Juan Herrero Pina Dª. Margarita Robles Fernandez D. Juan Carlos Trillo Alonso D. Wenceslao Francisco Olea Godoy Dª. Ines Huerta Garicano PUBLICACIÓN.- Leída y publicada ha sido la anterior sentencia por la Excma. Sra. Magistrada Ponente Dña. Ines Huerta Garicano, estando la Sala celebrando audiencia pública en el mismo día de su fecha, de lo que, como Letrada de la Administración de Justicia, certifico.