Case nº C‑131/12 of Tribunal de Justicia, May 13, 2014

• Resolution Date: May 13, 2014
• Issuing Organization: Tribunal de Justicia
• Decision Number: C‑131/12

SENTENCIA DEL TRIBUNAL DE JUSTICIA (Gran Sala)

de 13 de mayo de 2014 (*)

En el asunto C‑131/12,

que tiene por objeto una petición de decisión prejudicial planteada, con arreglo al artículo 267 TFUE, por la Audiencia Nacional, mediante auto de 27 de febrero de 2012, recibido en el Tribunal de Justicia el 9 de marzo de 2012, en el procedimiento entre

Google Spain, S.L.,

Google Inc.

y

Agencia Española de Protección de Datos (AEPD),

Mario Costeja González,

EL TRIBUNAL DE JUSTICIA (Gran Sala),

integrado por el Sr. V. Skouris, Presidente, el Sr. K. Lenaerts, Vicepresidente, los Sres. M. Ilešič (Ponente), L. Bay Larsen, T. von Danwitz y M. Safjan, Presidentes de Sala, y los Sres. J. Malenovský, E. Levits, A. Ó Caoimh y A. Arabadjiev y las Sras. M. Berger y A. Prechal y el Sr. E. Jarašiūnas, Jueces;

Abogado General: Sr. N. Jääskinen;

Secretaria: Sra. M. Ferreira, administradora principal;

habiendo considerado los escritos obrantes en autos y celebrada la vista el 26 de febrero de 2013;

consideradas las observaciones presentadas:

– en nombre de Google Spain, S.L., y Google Inc., por los Sres. F. González Díaz, J. Baño Fos y B. Holles, abogados;

– en nombre del Sr. Costeja González, por el Sr. J. Muñoz Rodríguez, abogado;

– en nombre del Gobierno español, por el Sr. A. Rubio González, en calidad de agente;

– en nombre del Gobierno helénico, por la Sra. E.-M. Mamouna y el Sr. K. Boskovits, en calidad de agentes;

– en nombre del Gobierno italiano, por la Sra. G. Palmieri, en calidad de agente, asistida por el Sr. P. Gentili, avvocato dello Stato;

– en nombre del Gobierno austriaco, por el Sr. G. Kunnert y la Sra. C. Pesendorfer, en calidad de agentes;

– en nombre del Gobierno polaco, por los Sres. B. Majczyna y M. Szpunar, en calidad de agentes;

– en nombre de la Comisión Europea, por la Sra. I. Martínez del Peral y Sr. B. Martenczuk, en calidad de agentes;

oídas las conclusiones del Abogado General, presentadas en audiencia pública el 25 de junio de 2013;

dicta la siguiente

Sentencia

1 La petición de decisión prejudicial versa sobre la interpretación de los artículos 2, letras b) y d), 4, apartado 1, letras a) y c), 12, letra b), y 14, párrafo primero, letra a), de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (DO L 281, p. 31), y del artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «Carta»).

2 Esta petición se presentó en el marco de un litigio entre Google Spain, S.L. (en lo sucesivo, «Google Spain»), y Google Inc., por un lado, y la Agencia Española de Protección de Datos (en lo sucesivo, «AEPD») y el Sr. Costeja González, por otro, en relación con una resolución de dicha Agencia por la que se estimó la reclamación del Sr. Costeja González contra ambas sociedades y se ordenaba a Google Inc. que adoptara las medidas necesarias para retirar los datos personales del Sr. Costeja González de su índice e imposibilitara el acceso futuro a los mismos.

Marco jurídico

Derecho de la Unión

3 La Directiva 95/46, que, según su artículo 1, tiene por objeto la protección de las libertades y de los derechos fundamentales de las personas físicas, y, en particular, del derecho a la intimidad, en lo que respecta al tratamiento de los datos personales y la eliminación de los obstáculos a la libre circulación de estos datos, enuncia lo siguiente en sus considerandos 2, 10, 18 a 20 y 25:

(2) Considerando que los sistemas de tratamiento de datos están al servicio del hombre; que deben, cualquiera que sea la nacionalidad o la residencia de las personas físicas, respetar las libertades y derechos fundamentales de las personas físicas y, en particular, la intimidad, y contribuir [...] al bienestar de los individuos;

[...]

(10) Considerando que las legislaciones nacionales relativas al tratamiento de datos personales tienen por objeto garantizar el respeto de los derechos y libertades fundamentales, particularmente del derecho al respeto de la vida privada reconocido en el artículo 8 del Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales[,firmado en Roma el 4 de noviembre de 1950], así como en los principios generales del Derecho comunitario; que, por lo tanto, la aproximación de dichas legislaciones no debe conducir a una disminución de la protección que garantizan sino que, por el contrario, debe tener por objeto asegurar un alto nivel de protección dentro de la Comunidad;

[...]

(18) Considerando que, para evitar que una persona sea excluida de la protección garantizada por la presente Directiva, es necesario que todo tratamiento de datos personales efectuado en la Comunidad respete la legislación de uno de sus Estados miembros; que, a este respecto, resulta conveniente someter el tratamiento de datos efectuados por cualquier persona que actúe bajo la autoridad del responsable del tratamiento establecido en un Estado miembro a la aplicación de la legislación de tal Estado;

(19) Considerando que el establecimiento en el territorio de un Estado miembro implica el ejercicio efectivo y real de una actividad mediante una instalación estable; que la forma jurídica de dicho establecimiento, sea una simple sucursal o una empresa filial con personalidad jurídica, no es un factor determinante al respecto; que cuando un mismo responsable esté establecido en el territorio de varios Estados miembros, en particular por medio de una empresa filial, debe garantizar, en particular para evitar que se eluda la normativa aplicable, que cada uno de los establecimientos cumpla las obligaciones impuestas por el Derecho nacional aplicable a estas actividades;

(20) Considerando que el hecho de que el responsable del tratamiento de datos esté establecido en un país tercero no debe obstaculizar la protección de las personas contemplada en la presente Directiva; que en estos casos el tratamiento de datos debe regirse por la legislación del Estado miembro en el que se ubiquen los medios utilizados y deben adoptarse garantías para que se respeten en la práctica los derechos y obligaciones contempladas en la presente Directiva;

[...]

(25) Considerando que los principios de la protección tienen su expresión, por una parte, en las distintas obligaciones que incumben a las personas [...] que efectúen tratamientos- obligaciones relativas, en particular, a la calidad de los datos, la seguridad técnica, la notificación a las autoridades de control y las circunstancias en las que se puede efectuar el tratamiento- y, por otra parte, en los derechos otorgados a las personas cuyos datos sean objeto de tratamiento de ser informadas acerca de dicho tratamiento, de poder acceder a los datos, de poder solicitar su rectificación o incluso de oponerse a su tratamiento en determinadas circunstancias

.

4 El artículo 2 de la Directiva 95/46 establece que «a efectos de [ésta], se entenderá por:

1. “datos personales”: toda información sobre una persona física identificada o identificable (el “interesado”); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social;

2. “tratamiento de datos personales” (“tratamiento”): cualquier operación o conjunto de operaciones, efectuadas o no mediante procedimientos automatizados, y aplicadas a datos personales, como la recogida, registro, organización, conservación, elaboración o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma que facilite el acceso a los mismos, cotejo o interconexión, así como su bloqueo, supresión o destrucción;

   [...]

4. “responsable del tratamiento”: la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que sólo o conjuntamente con otros determine los fines y los medios del tratamiento de datos personales; en caso de que los fines y los medios del tratamiento estén determinados por disposiciones legislativas o reglamentarias nacionales o comunitarias, el responsable del tratamiento o los criterios específicos para su nombramiento podrán ser fijados por el Derecho nacional o comunitario;

   [...]»

   5 El artículo 3 de dicha Directiva, titulado «Ámbito de aplicación», precisa en su apartado 1:

   Las disposiciones de la presente Directiva se aplicarán al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero.

   6 El artículo 4 de la misma Directiva, titulado «Derecho nacional aplicable», dispone:

   1. Los Estados miembros aplicarán las disposiciones nacionales que haya aprobado para la aplicación de la presente Directiva a todo tratamiento de datos personales cuando:

   a) el tratamiento sea efectuado en el marco de las actividades de un establecimiento del...