STS 1611/2016, 4 de Julio de 2016

La sentencia de la Sala de lo Contencioso Administrativo de la Audiencia Nacional de 29 de diciembre de 2014 , objeto de este recurso, contiene el siguiente fallo: «Que desestimando los recursos contencioso-administrativos números 725 y 757 de 2010, interpuestos, respectivamente, por la Procuradora de los Tribunales doña Cristina Deza García, en nombre y representación de GOOGLE SPAIN S.L., y por el procurador de los Tribunales don Ramón Rodríguez Nogueira, en nombre y representación de GOOGLE INC., contra la resolución de 30 de julio de 2010 del Director de la Agencia Española de Protección de Datos, por la que estima la reclamación formulada por don Olegario contra las partes actoras en materia de tutela de derechos, declaramos la citada resolución conforme a derecho, interpretada su parte dispositiva en la forma expuesta en el Fundamento de Derecho Decimoquinto; sin hacer expresa imposición de las costas procesales».

Notificada dicha sentencia se presentó escrito por la representación procesal de la entidad mercantil Google Spain, S.L., manifestando su intención de preparar recurso de casación, que se tuvo por preparado por resolución de 18 de febrero de 2015, emplazando a las partes ante esta Sala del Tribunal Supremo.

En el escrito de interposición del recurso de casación se hacen valer cuatro motivos, el primero al amparo del art. 88.1.c) de la Ley reguladora de esta Jurisdicción y los demás de la letra d) de dicho precepto, solicitando que se case y anule la sentencia recurrida y se estime el recurso contencioso- administrativo interpuesto por Google Spain S.L., solicitando la anulación de la resolución de 30 de julio de 2010 del Director de la AEPD, por la que estima la reclamación formulada por D. Olegario en el procedimiento de Tutela de Derechos TD/00650/2010.

Admitido a trámite el recurso, se dio traslado a la parte recurrida para que formalizara escrito de oposición, rechazándose por el abogado del Estado los motivos de casación invocados y solicitando la desestimación del recurso, por ser conforme a Derecho la resolución judicial impugnada. Por su parte, la representación procesal de D. Olegario presenta escrito de oposición al recurso solicitando la desestimación del mismo por ser la resolución impugnada ajustada a Derecho.

Conclusas las actuaciones quedaron pendientes de señalamiento para votación y fallo, a cuyo efecto se señaló el día 28 de junio de 2016, fecha en que tal diligencia ha tenido lugar.

Por resolución del Director de la Agencia Española de Protección de Datos de 30 de julio de 2010 se estima la reclamación formulada por D. Olegario contra Google Spain, S.L. y Google Inc., instando a esta entidad para que adopte las medidas necesarias para retirar los datos de su índice e imposibilite el acceso futuro a los mismos. Con ello se daba respuesta a la reclamación de cancelación de datos, formulada por el interesado, en relación con la publicación en la edición digital del diario La Vanguardia de anuncios de subastas de inmuebles ordenados por la Dirección Provincial de la Tesorería General de la Seguridad Social de Barcelona en los que aparecen sus datos personales.

Interpuesto recurso contencioso administrativo por las entidades Google Spain, S.L., y Google Inc., se dictó sentencia por la Sala de lo Contencioso Administrativo de la Audiencia Nacional de fecha 29 de diciembre de 2014 , desestimando los recursos interpuestos y confirmando la resolución impugnada.

A tal efecto y apoyándose en los pronunciamientos de la sentencia del Tribunal de Justicia de la Unión Europea de 13 de mayo de 2014, dictada en el asunto C- 131/12 , decisión prejudicial planteada por la Sala de la Audiencia Nacional en el recurso 725/2010 , la Sala de instancia responde a la demanda formulada por Google Spain, S.L., señalando que ninguna duda cabe que la actividad de un motor de búsqueda como proveedor de contenidos debe calificarse de tratamiento de datos personales, que es el gestor del motor de búsqueda el responsable de dicho tratamiento, que corresponde al gestor del motor de búsqueda adoptar, en su caso, las medidas en aplicación de la LOPD para hacer efectivo el derecho de oposición del afectado, que la normativa europea en materia de protección de datos y, por ende, la legislación del país de la Unión Europea donde se encuentra el establecimiento, en este caso en España, es de aplicación cuando "el gestor de un motor de búsqueda crea en el Estado miembro una sucursal o una filial destinada a garantizar la promoción y la venta de espacios publicitarios propuestos por el mencionado motor y cuya actividad se dirige a los habitantes de este Estado miembro". Rechaza la falta de motivación de la resolución dictada por la AEPD. Frente a la alegación de falta de legitimación pasiva de Google Spain S.L., en el procedimiento administrativo, entiende la Sala de instancia que la responsabilidad de Google Spain S.L., en el tratamiento de datos personales llevado a cabo en el marco del servicio de búsqueda en internet ofrecido por Google Inc. -gestor del motor de búsqueda- deriva de la unidad de negocio que conforman ambas sociedades, en la que la actividad desempeñada por Google Spain, S.L. resulta indispensable para el funcionamiento del motor de búsqueda, pues de aquella depende su rentabilidad. Invoca al efecto, igualmente, la doctrina de los actos propios en razón de la actuación llevada a cabo por Google Spain S.L., tanto en procedimientos ante la Agencia Española de Protección de Datos como en procesos ante los Tribunales. Por todo lo cual considera la Sala de instancia que Google Spain, S.L. también es responsable del tratamiento de datos, constituyendo ésta y Google Inc. una unidad material, además de reunir las características de un establecimiento de los referidos en el art. 4.1.a) de la Directiva 95/46/CE , que participa en el tratamiento de datos. Desestima igualmente las alegaciones sobre vulneración del derecho a la libertad de empresa. Examina el objeto y contenido de los derechos fundamentales en conflicto, toma en consideración la doctrina del Tribunal de Justicia al respecto y concluye que en este caso resultan preferentes los derechos del interesado que solicita la cancelación de sus datos en relación al interés de Google por mantener el resultado de la búsqueda que relaciona con el nombre del denunciante.

Por lo que se refiere a la indefensión alegada por Google Inc. en cuanto a la falta de notificación del requerimiento previsto en la letra f) del artículo 37.1 de la LOPD , tal alegación es rechazada por la Sala de instancia considerando la relación societaria existente entre ambas entidades y la condición de Google Spain, S.L. como establecimiento perteneciente a Google Inc., a lo que añade la circunstancia de que en la demanda formulada por Google Spain, S.L., se reconoce por ésta haber remitido la reclamación en cuestión a Google Inc., si bien en la propia sentencia recurrida se reconoce a continuación que no consta este último hecho. En cualquier caso, concluye la sentencia que en el procedimiento de tutela de derechos considerado "no se ha ocasionado ninguna indefensión a dicha parte recurrente, habiendo podido alegar y probar lo que ha estimado pertinente, así como en esta vía judicial".

No conforme con ello solo la entidad Google Spain, S.L. interpone recurso de casación contra dicha sentencia, en el que se hacen valer cuatro motivos de casación, el primero articulado a través del artículo 88.1.c) de la LJCA y los otros tres con base en la letra d) de este mismo precepto.

El motivo primero se funda en la infracción de los artículos 33.3 y 65.2 LJCA y 24 de la Constitución , alegando que la sentencia recurrida incurre en incongruencia extra petita al introducir un motivo nuevo en su razonamiento relativo a la noción de corresponsabilidad.

El motivo segundo denuncia la infracción del artículo 2.d) de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995 , y de los artículos 3.d ), 6.4 y 16 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPDP), así como de los correlativos artículos 32.3 y 35.1 del Real Decreto 1720/2007, de 21 de diciembre , por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, por cuanto la sentencia impugnada atribuye a la recurrente la condición de corresponsable a pesar de que consta acreditado en autos que la recurrente no determina ni los fines ni los medios del tratamiento de datos.

En el motivo tercero se denuncia la infracción de la jurisprudencia que cita sobre la doctrina de los actos propios en la medida en que la sentencia funda la corresponsabilidad de la actora en una serie de indicios, con base en los cuales y apelando a la doctrina de los actos propios declara que la recurrente ha reconocido su condición de responsable en el tratamiento de datos gestionados por Google Inc. por actuar como tal frente a terceros.

El motivo cuarto se funda en la infracción del artículo 24 CE y de la jurisprudencia que cita sobre la valoración de los hechos tenidos en cuenta, habiendo contrariado la sentencia las reglas de la sana crítica en la apreciación de la prueba en relación con la atribución a la recurrente de responsabilidad en el tratamiento de datos que solo corresponde a la sociedad Google Inc.

Con carácter previo es preciso reseñar la singularidad que presenta este recurso respecto de los asuntos análogos que viene examinando esta Sala, lo que justifica que nuestro pronunciamiento en este caso haya de ajustarse precisamente a los peculiares términos en que se formaliza el debate litigioso. En efecto, como se ha consignado, la resolución de la AEPD objeto de impugnación jurisdiccional en la instancia contiene una parte dispositiva en la que, en esta ocasión, condena expresamente tanto a Google Spain, S.L. como a Google Inc. en orden a satisfacer los derechos ejercitados en el procedimiento de tutela de derechos que al amparo de la LOPD se ha seguido ante dicho organismo. También constituye un hecho particular en este recurso que Google Inc. haya sido parte en el proceso de instancia, en el que, como también ha quedado indicado, alegaba su indefensión por no haber sido debidamente notificada del requerimiento previsto en el artículo 37.1.f) de la LOPD . Tal pretensión es rechazada por la sentencia recurrida y, en consecuencia, con desestimación de los recursos interpuestos, confirma la resolución administrativa impugnada. Pues bien, teniendo en cuenta que Google Inc. ha consentido la sentencia de instancia, queda firme respecto de dicha parte la resolución de la AEPD y con ello la efectividad del derecho al olvido ejercitado por el interesado, efectividad que se impone precisamente al responsable del tratamiento -Google Inc.- como hemos declarado en la reiteradas sentencias dictadas en estos asuntos. En consecuencia, la eventual estimación del recurso interpuesto por Google Spain, S.L., podría afectar al pronunciamiento de la resolución de la AEPD y de la sentencia recurrida en cuanto a la consideración de dicha entidad como responsable del tratamiento y sujeta a las medidas acordadas para satisfacer la reclamación formulada por el interesado. Pero en modo alguno afectaría al pronunciamiento de responsabilidad de Google Inc. y sujeción de ésta a la realización de las medidas necesarias para hacer efectivo el derecho del interesado. Resulta por tanto que la estimación del recurso de casación interpuesto por Google Spain S.L., carecería de efectos prácticos en la medida en que la resolución impugnada mantendría su eficacia y únicamente se vería concernida en cuanto al pronunciamiento relativo a dicha entidad.

Ello justifica que, sin perjuicio de reiterar el planteamiento efectuado en múltiples sentencias de esta Sala en relación con tal impugnación de Google Spain S.L., ahora nos refiramos al mismo de modo sintético, pues resulta superfluo por lo expuesto una reproducción completa del mismo para llegar a una solución que solo parcialmente incide en la resolución impugnada, que mantiene su contenido esencial.

Entrando en el examen del recurso interpuesto por Google Spain, S.L., recordar que los motivos de impugnación que se plantean en este recurso han sido examinados por esta Sala en sentencias de 11 de marzo -recursos 643/2015 y 1482/2015 -, 14 de marzo -recursos 1078/2015 y 1380/2015 - y 15 de marzo de 2016 -recurso 804/2015 - y las que les siguen, recursos de semejante contenido cuyo criterio hemos de seguir aquí, al concurrir las mismas circunstancias de hecho y de derecho.

En el motivo primero se denuncia, al amparo del art. 88.1.c) de la Ley de la Jurisdicción , la infracción de los artículos 33.2 y 65.2 de la LJCA y 24 de la CE al considerar la recurrente que la sentencia recurrida incurre en incongruencia extra petita por cuanto la Sala de instancia introduce ex novo la noción de "corresponsabilidad" y funda su decisión en motivos que exceden de los límites fijados por las partes en la controversia sin previamente haberlos sometido a la consideración de las mismas, impidiendo de esta manera que hayan podido pronunciarse y, produciendo, por ello, indefensión. Concretamente, la recurrente reprocha que la sentencia atribuya a Google Spain una corresponsabilidad en el tratamiento de datos personales objeto de recurso con el argumento de que esta compañía y Google Inc. conforman una "unidad de negocio" o "unidad material", argumento este al que el Tribunal " a quo " añade la aplicación de la doctrina de los "actos propios" en el sentido de que Google Spain ha reconocido su condición de responsable del tratamiento al actuar como tal frente a terceros.

Como hemos dicho, entre otras, en la sentencia de 20 de mayo de 2011 (recurso de casación 2792/2007 ) la congruencia de una sentencia es un requisito esencial y objetivo de la misma. Consiste en la armonía o correlación adecuada, que debe existir en forma necesaria entre las pretensiones deducidas en el proceso y la parte dispositiva de la resolución que le pone fin. El Tribunal debe decidir sobre todas las cuestiones planteadas en el proceso por las partes porque, si así no sucediere, la sentencia incurriría en el vicio de incongruencia omisiva o negativa (" citra petita partium ") al quedarse más acá de lo pedido; tampoco puede el Tribunal conceder o negar lo que nadie ha pedido (" ne eat iudex ultra petita partium "), so pena de incurrir en el vicio de incongruencia positiva; no puede, en fin, otorgar algo distinto de lo pedido (" ne eat iudex extra petita partium ") porque incurriría, si lo hiciera, en incongruencia mixta. El respeto a lo solicitado y, además, a los fundamentos de hecho en que las pretensiones se fundan es el marco dentro del que se debe mover el juzgador.

Recordemos también, no obstante, que ello no comporta que el Tribunal quede vinculado a los argumentos o alegatos de las partes ya que el principio de congruencia no alcanza a limitar la libertad de razonamiento jurídico de los Tribunales, ni les obliga a seguir el itinerario lógico seguido, propuesto o esperado por ellas [ sentencia de 31 de enero de 2001 (recurso de casación 9514/1995 ) pero sí obliga a dar respuesta a las alegaciones que nutren o dan sustento a la pretensión [ sentencia de 24 de enero de 2011 (recurso de casación 6440/2006 )] o, simplemente, a las cuestiones en controversia [ sentencias de 30 de noviembre de 2010 (recurso de casación 9227/2004 ) y de 26 de noviembre de 2010 (recurso de casación 5544/20 )].

En este orden de cosas, según las sentencias de 13 de mayo de 2003 y 22 de marzo de 2004 , se habla de incongruencia extra petita (fuera de las peticiones de las partes) cuando la sentencia se pronuncia sobre cuestiones diferentes a las planteadas "incongruencia mixta o por desviación" (entre otras muchas, sentencias del Tribunal Supremo 18 de noviembre de 1998 y 4 de abril de 2002 ).

Por su parte, el 33 de la Ley 29/98, de 13 de julio, reguladora de esta Jurisdicción (y antes el art. 43 de la Ley de 1956), refuerza la exigencia de congruencia en este orden jurisdiccional al exigir no solo que los Tribunales juzguen dentro del límite de las pretensiones formuladas por las partes sino de los motivos que fundamentan el recurso y la oposición, conformando así la necesidad de que la sentencia en su ratio decidendi se mantenga dentro de los términos en que el debate se ha planteado por las partes, sin que se introduzcan motivos que, no habiendo sido alegados por las partes, resulten determinantes del pronunciamiento de la sentencia, privando a las mismas de formular las alegaciones y ejercitar su defensa respecto de aspectos fundamentales que quedan así al margen del necesario debate procesal que exige el principio de contradicción.

Sin embargo, como se ha indicado, ello no impide que la fundamentación de la sentencia se apoye en argumentos distintos a los mantenidos por las partes, señalando la sentencia de 19 de abril de 2006, que "esta Sala Tercera del Tribunal Supremo ha declarado en sus sentencias de 10 de junio de 2000 , 15 de febrero (recurso de casación 8895/1998 ), 14 de julio (recurso de casación 4665/1998 ) y 2 de octubre de 2003 (recurso de casación 3460/97 ), 3 de marzo (recurso de casación 4353/2001 ), 6 de abril (recurso de casación 5475/2001 ), 9 y 30 de junio de 2004 (recursos de casación 656 y 865/2002 ), y 2 de febrero (recurso de casación 5405/2001 ) y 23 de marzo de 2005 (recurso de casación 2736/2002 ), que el principio iura novit curia excusa al órgano jurisdiccional de ajustarse a los razonamientos jurídicos aducidos por las partes, siempre que no se altere la causa petendi ni se sustituya el thema decidendi ".

Según lo expuesto, en el presente caso no cabe apreciar la incongruencia que se denuncia por la recurrente, pues, impugnándose en la instancia la resolución de la Agencia Española de Protección de Datos por la que se insta a Google Spain, S.L., a la adopción de las medidas necesarias para excluir el tratamiento de los datos personales cuya protección determina el litigio, la propia parte alega como motivo de impugnación la falta de legitimación pasiva en el procedimiento administrativo, ya que Google Spain no desarrolla ninguna actividad de tratamiento de datos, no interviene de ningún modo en la actividad del buscador de Google, limitándose a una actividad de promoción de la contratación de servicios, esencialmente publicitarios, por lo que no puede considerarse responsable del tratamiento de los datos del interesado. Cuestiona expresamente que la resolución impugnada estime la solicitud de tutela contra ella no en la condición de representante de Google Inc. sino como responsable del tratamiento de datos.

Es claro, por lo tanto, que la responsabilidad en el tratamiento de los datos personales del interesado constituía un elemento del debate procesal, introducido en el proceso por la propia parte recurrente, cuyo examen resultaba esencial a efectos de determinar la legitimación pasiva de dicha entidad en el procedimiento administrativo, que se cuestiona por la misma y que la Sala rechaza, precisamente, por entender que tal responsabilidad existe, aunque sea de forma compartida, posibilidad prevista en la normativa aplicable.

Por ello, la apreciación de la Sala de instancia de corresponsabilidad de la entidad recurrente en el tratamiento de datos del interesado podrá cuestionarse por otras razones, como de hecho se hace en los motivos siguientes, pero no por considerarse una cuestión ajena al debate procesal, cuando es la propia parte la que invoca falta de legitimación con fundamento, precisamente, en la ausencia de intervención y responsabilidad en dicho tratamiento de datos. Que dicha responsabilidad exista o no y que sea única o compartida constituye una valoración que corresponde efectuar a la Sala de instancia, para dar respuesta a las alegaciones y pretensiones de anulación de la parte, en congruencia con su planteamiento.

A la misma alegación de falta de legitimación pasiva de Google Spain en el procedimiento administrativo responde la invocación en la sentencia de instancia de la doctrina de los "actos propios" en el sentido de entender que Google Spain ha reconocido su condición de responsable del tratamiento al actuar como tal frente a terceros, lo que constituye un argumento a mayor abundamiento para reforzar la idea de que Google Spain, S.L. y Google Inc. no son entidades ajenas entre sí a los efectos que aquí interesan, no obstante la diferente configuración mercantil de las mismas. Por lo demás, es la propia parte recurrente la que abre la fundamentación por referencia a lo declarado en otros casos, cuando invoca, a efectos de sostener su alegación de falta de legitimación pasiva, lo resuelto en otros casos por los tribunales españoles. Ello sin perjuicio, claro está, de que pueda cuestionarse por la parte la aplicación de tal doctrina de los actos propios efectuada por el Tribunal a quo , como de hecho se realiza en los motivos de casación siguientes.

Se concluye por todo ello que no es de apreciar el vicio de incongruencia en la sentencia recurrida que se denuncia en este primer motivo de casación, que, por lo tanto, debe desestimarse.

En cuanto a los otros tres motivos del recurso articulados al amparo del artículo 88.1.d) de la LJCA , lo que en ellos sustancialmente se cuestiona es que la sentencia impugnada atribuye a la sociedad Google Spain S.L., la condición de responsable en el tratamiento de datos y, por ende, es obligada a adoptar las medidas necesarias para hacer efectivo el derecho de oposición ejercitado por el interesado. Sobre esta cuestión nos hemos pronunciado ampliamente, pudiendo ahora sintetizarse los argumentos de la siguiente manera:

En primer lugar, y teniendo en cuenta el nuevo hecho normativo coincidente con la publicación en el Diario Oficial de la Unión Europea, de 4 de mayo de 2016, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de protección de datos), hemos puesto de relieve que esta norma precisa notablemente la obligaciones que se atribuyen al responsable del tratamiento, tales como registro de actividades (art. 30 ), notificación de violaciones de seguridad a la autoridad de control (art. 33), comunicación de dicha violación al interesado (art. 34), evaluación de impacto (art. 35) o consulta previa (art. 36), siendo significativa, a los efectos de este proceso, la previsión contenida en el art. 17, que se refiere expresamente al "Derecho de supresión (derecho al olvido)" y con esta concreta denominación establece que "el interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir ...", precepto que se complementa con el art. 58, según el cual, entre los poderes de la autoridad de control, se incluye el de ordenar al responsable o encargado del tratamiento que atiendan las solicitudes del ejercicio de los derechos del interesado (art. 58.2 c) y, en concreto, ordenar la supresión de los datos con arreglo al art. 17 y la notificación de las medidas adoptadas por el responsable en los términos del número 2 de dicho art. 17 (art. 58.2.g), medidas que, como señala el considerando 66, se imponen al responsable del tratamiento que haya hecho público los datos, precisamente para reforzar el derecho al olvido. Es igualmente significativo que la decisión de la autoridad de control, aun notificada al establecimiento principal o único establecimiento del responsable en el territorio de un Estado miembro, se adopta en relación con el responsable del tratamiento, que es quien a su vez debe adoptar las medidas necesarias para garantizar el cumplimiento de la decisión en lo tocante a las actividades de tratamiento en el contexto de todos sus establecimientos en la Unión (art. 60.9 y 10).

Es manifiesto, por lo tanto, que es al responsable del tratamiento al que, según la ley, deben exigirse e imponerse las obligaciones derivadas del ejercicio del derecho al olvido y al que corresponde la adopción de las medidas oportunas para su cumplimiento.

En congruencia con ello y por lo que se refiere a los procedimientos para ejercitar los derechos de oposición, acceso, rectificación y cancelación, la LOPD remite al desarrollo reglamentario, disponiendo el art. 25 del Real Decreto 1720/2007, de 21 de diciembre , que aprueba el Reglamento de desarrollo de la LOPD, que el ejercicio de tales derechos deberá llevarse a cabo mediante comunicación dirigida al responsable del fichero, con el que se sigue el procedimiento correspondiente.

Por otra parte, también hemos descartado la posibilidad de que en el tratamiento de datos pueda darse una corresponsabilidad por parte de Google Spain S.L. en los términos que prescribe el nuevo Reglamento (UE) 2016/679 al regular precisamente esta figura de la corresponsabilidad en el tratamiento de datos, estableciendo en el artículo 26 que, cuando dos o más responsables determinan conjuntamente los objetivos y los medios del tratamiento serán considerados corresponsables, añadiendo que los corresponsables determinarán de modo trasparente y de mutuo acuerdo sus responsabilidades respectivas en el cumplimiento de las obligaciones impuestas por el presente Reglamento, en particular en cuanto al ejercicio de los derechos de los interesados. A este respecto hemos concluido que difícilmente puede considerarse a Google Spain, S.L. responsable, ni tan siquiera corresponsable, del tratamiento controvertido, consistente, como se ha dicho, en hallar información publicada o puesta en Internet por terceros, indexarla de manera automática, almacenarla temporalmente y, finalmente, ponerla a disposición de los internautas, cuando en dicha entidad no concurren ninguno de los dos elementos que definen tal condición, pues no consta participación alguna de dicha sociedad en la gestión del motor de búsqueda y determinación de los fines y medios de dicho tratamiento, ni existe asunción o atribución a la misma de responsabilidad en el cumplimiento de alguna de las obligaciones que la norma impone al responsable del tratamiento.

Tampoco cabe sostener la atribución de la condición de responsable del tratamiento a Google Spain. S.L., con base en la unidad de mercado -unidad material o funcional.- que conforma esta sociedad con Google Inc., con apoyo en los pronunciamientos del TJUE de 13 de mayo de 2014, pues el propio Reglamento (UE) 2016/679 incluye entre las definiciones de su artículo 4 la correspondiente a "establecimiento principal", que en lo que se refiere a un responsable del tratamiento con establecimientos en más de un Estado miembro, es el "lugar de su administración central en la Unión, salvo que las decisiones sobre los fines y los medios del tratamiento se tomen en otro establecimiento del responsable en la Unión y este último establecimiento tenga el poder de hacer aplicar tales decisiones". El alcance de este concepto se explica en el considerando 36, según el cual, el establecimiento principal de un responsable en la Unión debe determinarse en función de criterios objetivos y debe implicar el ejercicio efectivo y real de las actividades de gestión que determinan las principales decisiones en cuanto a los fines y medios del tratamiento a través de modalidades estables. Se trata de un concepto de carácter funcional en cuanto supone el ejercicio y desempeño efectivo de las atribuciones determinantes del tratamiento de datos, fijación de los fines y medios. En estas circunstancias resulta manifiesto, como se ha indicado, que en la entidad Google Spain, S.L. no concurren los requisitos y condiciones que permitan considerarla como establecimiento principal del responsable (Google Inc.) en la Unión.

Finalmente, tampoco puede sustentarse el otro título de atribución de corresponsabilidad en el tratamiento de datos a Google Spain, S.L., que utiliza la Sala de instancia sobre la base de que esta entidad ha venido actuando como si fuese responsable del tratamiento de datos, tanto en procedimientos de tutela de derechos seguidos ante la Agencia Española de Protección de Datos como en diversas intervenciones ante Tribunales Españoles, lo que la lleva a la invocación de la doctrina de los actos propios como fundamento de sus apreciaciones. Y ello porque difícilmente puede atribuirse tal naturaleza de actos propios, a los efectos aquí examinados, a la participación de Google Spain en los procedimientos administrativos y procesos judiciales referidos en la sentencia de instancia cuando: en primer lugar, la propia Sala de instancia no habla de actuaciones indubitadas o concluyentes por parte de Google Spain, S.L., en el sentido de asumir la condición de responsable del tratamiento, sino que, por el contrario, dice que estamos ante un indicio; segundo, no se advierte ni valora por la Sala de instancia la distinta condición en que puede intervenir en tales procedimientos una persona física o jurídica, mero interesado o titular de derechos u obligaciones; tercero, que solo la comparecencia como responsable del tratamiento de datos, es decir, de la determinación de los fines y medios del tratamiento de datos, puede dar lugar a manifestaciones o actos válidos de reconocimiento de tal condición; cuarto, que la condición de responsable del tratamiento de datos viene definida legalmente, como se ha indicado antes de forma prolija, y su régimen jurídico no puede modificarse por las actuaciones de quien carece de facultades de disposición al respecto; y quinto, que la legitimación ha de examinarse en cada procedimiento y, por lo tanto, ha de estarse a la actitud del compareciente en el mismo, que este caso ha sido, desde la vía administrativa, negar tal legitimación.

Por todo ello procede estimar el recurso contencioso administrativo interpuesto por la entidad mercantil Google Spain, S.L. contra la resolución de 30 de julio de 2010 dictada por el Director de la Agencia Española de Protección de Datos, que se anula en cuanto a la obligación impuesta a Google Spain, S.L., de adoptar las medidas necesarias para hacer efectivo el derecho de oposición ejercitado por el interesado en calidad del responsable del tratamiento de datos, debiendo mantenerse la resolución en cuanto impone esa misma obligación en concepto de responsable del tratamiento a la sociedad Google Inc.

La estimación del recurso determina, de acuerdo con el artículo 139 LJCA , que no haya lugar a la imposición de las costas de este recurso de casación, y en cuanto a las de instancia, tampoco ha lugar a su imposición habida cuenta las serias dudas de derecho que ha suscitado este litigio hasta el punto de ser necesario plantear una cuestión prejudicial ante el Tribunal de Justicia de la Unión Europea.