Sentencia Civil Audiencia Nacional, Rec 1391/2001 de 27 de Febrero de 2003

SENTENCIA DE LA AUDIENCIA NACIONAL, SALA DE LO CONTENCIOSO-ADMINISTRATIVO

RECURSO Nº: 1391/2001

FECHA DE RESOLUCIÓN: 27/02/2003

PONENTE:  --

Madrid, a veintisiete de febrero de 2003.

La Sala constituida por los Sres. Magistrados relacionados al margen ha visto el recurso contencioso- administrativo número 1391/ 01 interpuesto por la Procuradora Dª ................ en representación de la entidad ENTIDAD A contra la resolución de la Agencia de Protección de Datos de 7 DE JUNIO DE 2001 dictada en el procedimiento sancionador PS/ 001 04/ 1999 en la que se impuso multa por importe de 10.000.001 ptas. (60.101 ‘22 euros).

Ha sido parte demandada en las presentes actuaciones la Administración del Estado, representada por la Abogacía del Estado.

ANTECEDENTES DE HECHO

PRIMERO.- Admitido el recurso y previos los oportunos trámites se confirió traslado a la parte actora para que formalizase la demanda, lo que llevó a efecto mediante escrito presentado el 23 de mayo de 2002 en el que tras alegar los hechos y fundamentos de derecho que consideró oportunos termina solicitando que se dicte sentencia estimatoria del recurso en la que se contengan los siguientes pronunciamientos:

1) Declare nula, anule o revoque la resolución sancionadora impugnada.

2) Subsidiariamente, reduzca la sanción al mínimo legal de 100.000 pta5. previsto para las infracciones leves, ya sea por aplicación de las facultades que otorgan los artículos 45.4 y 5 de la Ley Orgánica 15/ 99, ya por estimar el argumento relativo a la incorrecta tipificación de los hechos.

  3) Declare que la demandante no ha incurrido en infracción alguna de la LO 5/ 1992, anulando la sanción impuesta. 4) Condene a la Administración del Estado a estar y pasar por las anteriores declaraciones, y, en concreto, a la devolución de la cantidad de 10.000.001 ptas. ya abonadas, con sus intereses desde la fecha del ingreso hasta el momento de su efectiva devolución. 5) Subsidiariamente, se reduzca la cuantía de la sanción a 100.000 ptas., por aplicación del artículo 45.5 de la LO 15/ 99, de 13 de diciembre, con devolución de las restantes 9.900.000 ptas. que en su día se ingresaron junto con los intereses de dicha cantidad computados desde la fecha del ingreso hasta la de su efectiva devolución.

SEGUNDO.- El Abogado del Estado contestó la demanda mediante escrito presentado el 9 de julio de 2002 en el que, tras exponer los hechos y fundamentos de derecho que estimó oportunos solicita el dictado de sentencia en la que se desestime el recurso y confirme la resolución recurrida por ser conforme a derecho, con imposición de las costas a la parte recurrente.

TERCERO.- No habiéndose solicitado el recibimiento del pleito a prueba se emplazó a las partes para que formularan sus conclusiones y una presentados los correspondientes escritos quedaron las actuaciones pendientes de señalamiento para votación y fallo fijándose finalmente al efecto el día 26 de febrero del presente año, fecha en que tuvo lugar la deliberación y votación.

Ha sido PONENTE el Ilmo. Sr. D. ................

FUNDAMENTOS DE DERECHO

PRIMERO.- El presente recurso lo dirige ENTIDAD A contra la resolución de la Agencia de Protección de Datos de 7 DE JUNIO DE 2001 dictada en el procedimiento sancionador PS/ 00104/ 1999 en la que se impuso multa por importe de 10.000.001 ptas. (60.101 ‘22 euros) por infracción del artículo 6 de la Ley Orgánica 5/ 1992, de 29 de octubre, de regulación del tratamiento automatizado de los datos de carácter personal, tipificada como grave en el artículo 43.3. d) de dicha Ley Orgánica.

La resolución sancionadora de la Agencia de Protección de Datos incorpora la siguiente declaración de HECHOS PROBADOS:

«PRIMERO: El Departamento ................ de ENTIDAD A expidió, el 1 9/ 10/ 98, e! documento aduanero: ................ de exportación a nombre de "SR. X", con domicilio en "................" (folios 2y 82).

SEGUNDO: Para rellenar el (documento) el agente de aduanas accede informáticamente a la base de datos de clientes que tiene ENTIDAD A (folio 82).

TERCERO: Los datos personales del denunciante figuran en la fecha de la inspección, 01/ 07/ 99, en el fichero automatizado de clientes de ENTIDAD A (folio 86).

CUARTO: D. X ha negado haber estado relacionado con empresas de transporte y haber dado su consentimiento para la cesión de sus datos de carácter personal (folio 160).».

SEGUNDO.- Como fundamento de su impugnación la parte demandante aduce que los datos del denunciante se los había cedido ENTIDAD B, empresa con la que ENTIDAD A había tenido subcontratada la preparación de despachos aduaneros y que la representaba en todas las gestiones aduanera. Cuando ENTIDAD A formó su propio Departamento ................ y terminó su relación con ENTIDAD B esta empresa le entregó un fichero de datos que contenía no sólo los datos de los clientes de ENTIDAD A sino también otros datos que figuraban en los ficheros de ENTIDAD B, obtenidos posiblemente de sus propios clientes o de los clientes de otras empresas de transporte para las que también realizaba las gestiones aduaneras. Partiendo de las anteriores alegaciones, la demandante aduce que no sería exigible el consentimiento del denunciante para el tratamiento de sus datos porque sin lugar a dudas D. X estuvo vinculado por una relación contractual con alguna empresa relacionada con ENTIDAD B, de donde se obtuvieron sus datos personales, por lo que no resultaba exigible su consentimiento de conformidad con lo dispuesto en el artículo 6.2 de la LO 511992; Por lo demás, señala la demandante, es la empresa ENTIDAD B la que debió informar al Sr. X y recabar su consentimiento para la cesión de sus datos a ENTIDAD A, sin que esta empresa cesionaria tuviese obligación de recabar nuevamente el consentimiento del titular de los datos.

En fin, la demandante alega que la ausencia de culpabilidad determina la procedencia de anular la sanción impuesta. Y con carácter subsidiario postula que se rebaje a 100.000 ptas. la cuantía de la sanción por aplicación retroactiva -en tanto que norma más favorable- de la atenuación prevista en el artículo 45.4 de la Ley Orgánica 15/ 1999.

Pues bien, podemos ya anticipar que los argumentos que aduce el demandante carecen de consistencia y que, por tanto, el presente recurso debe ser desestimado.

TERCERO.- Según hemos visto, toda la argumentación de la demandante descansa sobre un hecho básico: que los datos personales del denunciante se los había facilitado ENTIDAD B, empresa con la qué ENTIDAD A había tenido subcontratada la preparación de despachos aduaneros. Sin embargo, este hecho primordial no puede considerarse acreditado habida cuenta que, en su escrito de respuesta al requerimiento que le dirigió la Agencia de Protección de Datos (folio 105), la mencionada empresa ENTIDAD B, lejos de reconocer aquella cesión de datos, manifestó que "no nos consta haber efectuado entrega alguna a ENTIDAD A", y que "no nos consta tener ni haber tenido datos de D. X, (que) parece ser cliente de ENTIDAD A".

La existencia de aquella relación contractual por la que ENTIDAD B asumió durante algún tiempo la representación de ENTIDAD A en la presentación de despachos aduaneros sí ha quedado acreditada (véase copia del contrato en folios 110- 115 del expediente); pero este sólo dato, y la falta de rotundidad que se advierte en la respuesta que ENTIDAD B dio a la Agencia de Protección de Datos ("... no nos consta...") no constituyen un sustento suficiente para considerar acreditado que, efectivamente, ENTIDAD B entregó a ENTIDAD A el fichero que contenía los datos del denunciante.

Por lo demás, de las alegaciones de la demandante no es éste el único aspecto carente de prueba. La empresa ENTIDAD A tampoco ha demostrado que en el fichero de datos que supuestamente le entregó ENTIDAD B estuviesen incluidos los datos del denunciante D. ................, ni que tal inclusión procediese de una relación contractual previamente entablada entre el mencionado denunciante y otra tercera empresa de transportes a la que ENTIDAD B prestase también servicios de despacho aduanero. Nada de esto ha quedado acreditado pues al respecto sólo tenemos las conjeturas u suposiciones que formula la demandante.

CUARTO.- La falta de acreditación de las alegaciones de la demandante lleva a considerar ajustada a derecho la decisión de la Agencia de Protección de Datos de sancionar a la empresa ENTIDAD A por haber realizado el tratamiento de los datos personales del denunciante con vulneración del principio de consentimiento del afectado, y, por tanto, como autora de una conculcación del artículo 6.1 de la Ley Orgánica 5/ 1992 tipificada como infracción grave en el artículo 43.3. d) de la propia Ley Orgánica.

A mayor abundamiento cabe señalar que ese mismo reproche sancionador resultaría procedente aunque hubiese quedado acreditado -y no ha sido así- que ENTIDAD A recibió de ENTIDAD B el fichero que contenía los datos del denunciante, pues aunque en tal caso esta segunda empresa podría haber incurrido en responsabilidad por realizar una comunicación o cesión de datos sin el consentimiento del titular, esa hipotética responsabilidad del cedente no sería bastante para exonerar sin más de toda responsabilidad a la cesionaria ENTIDAD A.

Es cierto, como señala la demandante, que en la Ley Orgánica 5/ 1999 la obligación de recabar el consentimiento previo del titular de los datos en caso de cesión de éstos a un tercero recae sobre el cedente; y precisamente por ello la Agencia de Protección de Datos no ha sancionado a ENTIDAD A como autora de una infracción del artículo 43.4. b), precepto que tipifica como infracción muy grave "la comunicación o cesión de datos de carácter personal fuera de los casos en que están permitidas". Ahora bien, ello no excluye que también el cesionario puede vulnerar el principio de consentimiento proclamado en los artículos 6.1 y 11.1 de la Ley Orgánica 5/ 1992 si lleva a cabo el tratamiento y utilización de los datos personales cedidos sin que se haya obtenido el previo consentimiento.

La cuestión ha sido examinada por esta Sala en sentencia de 15 de septiembre de 2001 (Recurso 1120/ 99), a la que expresamente se refiere el Abogado del Estado en su contestación a la demanda, y en ella hemos afirmado la responsabilidad del cesionario por las siguientes razones:

«... 1.- En primer lugar, porque el art 11.5 de la LO establece que el cesionario de los datos de carácter personal se obliga, por el solo hecho de la cesión, a la observancia de las disposiciones de la presente Ley. Por lo tanto, el cesionario, a! obtener los datos, queda obligado y comprometido con las garantías de la Ley. Siendo una de ellas el principio de consentimiento o de autodeterminación. Que se traduce en que es la persona titular de los datos la que debe determinar el nivel de protección de sus datos, y por lo tanto, a ella corresponde determinar el alcance con el que sus datos puede ser utilizado. Lo anterior, en nuestra opinión, es determinante. En efecto, no puede serle exigido al cesionario la obtención del previo consentimiento de los datos cedidos, pues tal obligación es del cedente. Pero si debe serle exigido, conforme a parámetros de razonable diligencia en el mercado de trafico de datos, que verifique en forma diligente que dicho consentimiento ha sido obtenido. En caso contrario, cuando dolosamente conozca que dicho consentimiento no ha sido obtenido; o no realice una actividad razonable y diligente tendente a verificar la existencia de dicho conocimiento incurriendo en negligencia o culpa, se produce una lesión del principio del consentimiento, pues el cesionario usa de datos, en los que por dolo o culpa no le consta la existencia del previo consentimiento y por lo tanto trata datos en contra de lo manifestado por la persona titular de los datos con lesión de su privacidad.

2.- Lo anterior, no supone una lesión del principio de presunción de inocencia. Pues entendemos que es carga del cesionario aportar la documentación que justifique que al menos, y conforme a parámetros de razonable diligencia, verificó la existencia de dicho consentimiento. Y en el caso de autos,- de la documentación aportada por el cesionario, no solo se infiera la ausencia de toda conducta tendente a verificar la existencia de consentimiento, sino que más bien, toda la documentación apuntaba a la ausencia de dicho consentimiento....»

QUINTO.- Tampoco pueden prosperar las alegaciones de la demandante relativas a su pretendida falta de culpabilidad pues, como señala el Tribunal Supremo en sentencia de 23 de enero de 1998 "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa".

En fin, no cabe acceder a la pretendida atenuación de la sanción por aplicación de lo dispuesto en los apartados 4 y 5 del artículo 45 de la Ley Orgánica 15/ 99, de Protección de Datos de Carácter Personal, pues, sin ignorar la posibilidad de una aplicación aplicabilidad retroactiva de la norma sancionadora más favorable, para que ello proceda es indispensable que concurra los presupuestos de la norma cuya aplicación se pretende. Y las circunstancias concurrentes en el caso que nos ocupa no permiten apreciar —por más que así lo pretenda la demandante- una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho.

SEXTO.- Por las razones expuestas procede la desestimación del recurso por ser ajustada a derecho la resolución de la Agencia de Protección de Datos que impuso a la entidad demandante una multa de 10.000.001 ptas. (60.101 ‘22 euros) por la infracción del artículo 6.1 de la Ley Orgánica 5/ 1 992, de 29 de octubre, de regulación del tratamiento automatizado de los datos de carácter personal, tipificada como grave en el artículo 43.3. d) de dicha Ley Orgánica. -

SÉPTIMO.- No se ha apreciado temeridad o mala fe a los efectos previstos en materia de costas procesales en el artículo 139.1 de la Ley 29/ 1998, de 13 de julio, reguladora de esta Jurisdicción.

VISTOS los preceptos citados y demás normas de procedente aplicación.

FALLAMOS

Que debemos desestimar y desestimamos el recurso contencioso administrativo en representación de la entidad ENTIDAD A contra la resolución de la Agencia de Protección de Datos de 7 DE JUNIO DE 2001 dictada en el procedimiento sancionador PS/ 001 04/ 1 999 en la que se impuso multa por importe de 10.000.001 ptas. (60.101 ‘22 euros), sin imponer las costas de este proceso a ninguno de los litigantes. Así, por ésta nuestra sentencia de la que se llevará testimonio a los autos de su razón, lo pronunciamos mandamos y firmamos.

PUBLICACIÓN.- Leída y publicada ha sido la anterior sentencia en el mismo día su fecha. Doy fé.