BOLETÍN OFICIAL DEL ESTADO
Viernes 8 de abril de 2022

Sec. TC. Pág. 48394

derivada del uso del módulo social de Facebook, pero ninguna capacidad de influencia
tenía respecto del diseño del tratamiento que Facebook realizaba una vez recibidos los
datos personales de quien accionaba la función «me gusta». No tiene sentido, en
conclusión, que la condición de corresponsable del tratamiento de la empresa se
proyecte sobre esa segunda fase del tratamiento, en cuyo diseño no participa.
Este planteamiento, conforme al cual las distintas fases o conjuntos de operaciones
de tratamiento se refieren a su diseño y no a su ejecución material, ya había quedado
apuntada en la citada sentencia de 10 de julio de 2018, asunto Jehovan todistajat. En
ella se examina un caso en que los miembros de la comunidad de los Testigos de
Jehová realizaban, en el ámbito de su actividad de predicación puerta a puerta,
anotaciones sobre las visitas efectuadas a personas que ni ellos mismos ni la comunidad
conocían previamente. El Tribunal de Justicia de la Unión Europea entendió que la
comunidad de los Testigos de Jehová, a pesar de que no participara en la ejecución del
tratamiento de datos, era corresponsable, en la medida en que tenía capacidad de influir
en cómo se organizaba la actividad de predicación y, por tanto, en qué datos recogían
sus miembros y con qué finalidad. Dicha sentencia, en su § 69, razonó en concreto que
«la responsabilidad conjunta de varios agentes respecto a un mismo tratamiento en
virtud de dicho precepto [art 2, letra d), de la Directiva 95/46] no supone que cada uno de
ellos tenga acceso a los datos personales en cuestión (véase, en este sentido, la
sentencia de 5 de junio de 2018, Wirtschaftsakademie Schleswig–Holstein, C–210/16, §
38)».
De todo lo anterior se desprende que los «diferentes conjuntos de operaciones» o
«distintos grados de responsabilidad» a que alude el «dictamen 1/2010 del GT29» que
cita la sentencia impugnada (el GT29 es el grupo de trabajo independiente, creado al
amparo del art. 29 de la Directiva 95/46/CE, que se ha ocupado de cuestiones
relacionadas con la protección de la privacidad y los datos personales hasta la entrada
en aplicación del RGPD, el 25 de mayo de 2018), no se determinan en función de la
mayor o menor participación en las actividades de ejecución del tratamiento de datos
personales, sino de la mayor o menor participación en el diseño del mismo. Por este
motivo, la sentencia impugnada no incurre en ningún defecto de motivación lesivo del
derecho a la tutela judicial efectiva por no precisar qué concretas actividades del
tratamiento de datos que nos ocupa ejecutó la entidad ANC. Ello es irrelevante para
determinar si esta entidad es responsable del tratamiento y en qué medida lo es. Lo
decisivo es, como señala la sentencia impugnada, el «poder de decisión sobre la
finalidad y uso del tratamiento» y resulta acreditado, como se razona en la sentencia,
que el poder de decisión de la entidad ANC se proyectó sobre todo el tratamiento de
datos personales asociado a la «gigaencuesta».
El otro elemento interpretativo que resulta relevante para resolver la presente queja
es que la jurisprudencia del Tribunal de Justicia de la Unión Europea antes reseñada ha
interpretado que el sentido de la figura del corresponsable es que en los tratamientos de
datos complejos la presencia de varios responsables no haga resentir el nivel elevado de
protección que garantiza el régimen previsto en la Directiva 95/46/CE, de modo que cada
uno de los actores que participen en ese tratamiento estará por tanto sujeto a las
disposiciones aplicables en materia de protección de datos. Este propósito de garantía
de un alto nivel de protección es el que resalta la argumentación de la sentencia
impugnada que ha sido transcrita, en particular al citar el «dictamen 1/2010 del GT29»
en la parte que afirma que «la definición de tratamiento contenida en el art 2 b) de la
Directiva no excluye la posibilidad de que distintos agentes estén implicados en
diferentes operaciones o conjuntos de operaciones en materia de datos personales».
Con este razonamiento la sentencia impugnada viene a destacar que las entidades
Assemblea Nacional Catalana y Òmnium Cultural, al determinar conjuntamente los fines
y los medios del tratamiento de datos personales asociado a la «gigaencuesta», están
cada una de ellas sujetas a las disposiciones aplicables en materia de protección de
datos, criterio jurisprudencial sobre la funcionalidad del concepto de corresponsable del
tratamiento que ha venido a ratificar el vigente art. 26.3 RGPD («[i]ndependientemente

cve: BOE-A-2022-5801
Verificable en https://www.boe.es

Núm. 84