Sentencia ADMINISTRATIVO Audiencia Nacional, Sala de lo Contencioso, Sección 1, Rec 181/2018 de 05 de Febrero de 2021

Encabezamiento

A U D I E N C I A N A C I O N A L

Sala de lo Contencioso-Administrativo

SECCIÓN PRIMERA

Núm. de Recurso:0000181/2018

Tipo de Recurso:PROCEDIMIENTO ORDINARIO

Núm. Registro General:01883/2018

Demandante:DIPUTACIÓN PROVINCIAL DE TOLEDO

Procurador:D. JOSÉ ANDRÉS PERALTA DE LA TORRE

Letrado:D. VICTOR GALLARDO PALOMO

Demandado:AGENCIA PROTECCIÓN DE DATOS

Abogado Del Estado

Ponente IImo. Sr.:D. EDUARDO MENÉNDEZ REXACH

S E N T E N C I A Nº :

IImo. Sr. Presidente:

D. EDUARDO MENÉNDEZ REXACH

Ilmos. Sres. Magistrados:

Dª. FELISA ATIENZA RODRIGUEZ

Dª. LOURDES SANZ CALVO

Madrid, a cinco de febrero de dos mil veintiuno.

Visto el recurso contencioso administrativo que ante esta Sala de lo Contencioso Administrativo de la Audiencia Nacional ha promovido La Diputación Provincial de Toledo, representada por el Procurador D. José Andrés Peralta de la Torre,contra la Administración General del Estado, representada por el Abogado del Estado, sobre infracción grave de la Ley de Protección de Datos. Ha sido Ponente el Presidente de esta Sección Iltmo. Sr. D. Eduardo Menéndez Rexach.

Antecedentes

PRIMERO.-El acto impugnado procede de la Directora de la Agencia Española de Protección de Datos y es la Resolución de 30 de enero de 2018.

SEGUNDO.-Interpuesto recurso contencioso administrativo ante la Sala de lo Contencioso Administrativo de esta Audiencia Nacional, después de admitido a trámite y reclamado el expediente administrativo, se dio traslado al recurrente para que formalizara la demanda, solicitando en el suplico la estimación del recurso.

TERCERO.-Presentada la demanda, se dio traslado de la misma al Abogado del Estado, con entrega del expediente administrativo para que la contestara y, formalizada dicha contestación, solicitó en el suplico que se desestimaran las pretensiones del recurrente y que se confirmara el acto impugnado por ser conforme a Derecho.

CUARTO.-Contestada la demanda se recibió el pleito aprueba, practicándose la propuesta y admitida a instancia de las partes; finalizada la tramitación, quedaron los autos conclusos para sentencia, señalándose para votación y fallo el día 26 de enero de 2021 en el que, efectivamente, se votó y falló.

Fundamentos

PRIMERO.- El presente recurso tiene por objeto la Resolución de 30 de enero de 2018, de la Directora de la Agencia Española de Protección de Datos (AEPD), por la que se declara que la Diputación de Toledo ha infringido lo dispuesto en el artículo 10 LOPD; se impugna también la Resolución de la propia Agencia de 21 de marzo de 2018, que desestima el requerimiento interpuesto por la demandante frente a la Resolución anterior.

SEGUNDO.-La recurrente solicita que se declaren nulas las resoluciones impugnadas.

Fundamenta su pretensión en que no se han resuelto todas las alegaciones de su recurso de reposición ni se ha respetado su derecho a recusar al instructor del procedimiento; añade que se ha incumplido el plazo de dos meses para interponer el recurso contencioso, así como su derecho a presentar alegaciones conforme al artículo 73 de la Ley 39/2015 y su derecho de defensa por la incorporación tardía de documentos esenciales del expediente, como las denuncias y el documento del Defensor del Pueblo, admitiendo las denuncias iniciales que previamente había archivado; por otra parte, no hay prueba alguna de la publicación en el tablón de anuncios de la Diputación del escrito denunciado; de esa forma la Agencia incurrió en desviación de poder y vulneró la doctrina de los actos propios, por lo que la resolución es nula de pleno derecho.

Rechaza la existencia de la infracción ya que, frente a la presunción de inocencia, la única prueba por la que la AEPD decide sancionar consiste en meros documentos privados, sin adverar ni ratificar, donde no existe ni tan siquiera constancia de que los mismos hayan estado expuestos en tablones de anuncios con acceso al público en general; por ello no es posible tipificar la conducta en la infracción declarada ni la Diputación sería responsable de ninguna publicación de ficheros protegidos.

TERCERO.-La representación de la Administración demandada, por su parte, destaca que no existe ninguna de las infracciones denunciadas en la tramitación del procedimiento, por lo que no se le ha causado indefensión material; rechaza la existencia de desviación de poder o de actuación contraria a la doctrina de los actos propios pues la denuncia de los dos trabajadores fue inadmitida a trámite por entender que, al tratarse de un tablón de anuncios abierto, no era posible atribuir la autoría de los hechos y, posteriormente, a solicitud del Defensor del Pueblo, se realizan actuaciones previas de investigación (que no se habían realizado antes) y fue de la propia respuesta de la Diputación de la que resultó que la hoja expuesta, objeto de la denuncia, no había sido notificada a persona alguna sino que era de carácter interno y la propia Diputación reconoció la publicación en el tablón de anuncios, lo que prueba la existencia de vulneración del deber de secreto, calificada como infracción grave, al ser la Diputación encargada de la custodia del documento; por todo ello resulta correcta la calificación de la infracción como muy grave y procede desestimar el recurso.

CUARTO.-La resolución impugnada considera que la demandante ha incurrido en una infracción grave del artículo 10 en relación con el artículo 44.3.d) LOPD; el primer precepto impone el deber de secreto profesional al responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal, mientras que el segundo tipifica como infracción grave la vulneración de ese deber.

Para un correcto enfoque de las cuestiones planteadas en el presente recurso conviene resumir los hechos que se consideran relevantes:

a) El 24 de mayo de 2016 tuvieron entrada en la AEPD dos denuncias en las que los firmantes comunican que, en los tablones de anuncios de la Residencia Social Asistida San José, perteneciente a la Diputación Provincial de Toledo, donde prestan sus servicios, había sido expuesta una Resolución del Vicepresidente y Delegado del Área de Salud y Bienestar Social, en la que figuraban datos personales de los denunciantes.

b) El 14 de noviembre, la Directora de la AEPD resuelve no iniciar procedimiento sancionador y archivar las denuncias, al no poder determinar la autoría de los hechos denunciados y en aplicación del principio de presunción de inocencia.

c) Contra estas dos Resoluciones los denunciantes interpusieron recurso de reposición que fue desestimado, el 23 de enero de 2017, en sendas resoluciones, en las que se informaba que ponían fin a la vía administrativa y que podían interponer recurso contencioso.

d) El 9 de enero de 2017 tiene entrada en la AEPD un escrito del Defensor del Pueblo, firmado por la Adjunta Segunda, en la que refiere las quejas presentadas por los mismos denunciantes sobre los mismos hechos examinados en la Resolución de archivo de la AEPD y pide a la Agencia que, de conformidad con el artículo 122 del Reglamento de Protección de Datos, valore la posibilidad de realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen la iniciación de un procedimiento sancionador en relación con la actuación de la Diputación Provincial de Toledo.

e) Ante el escrito del Defensor del Pueblo y tras recibir el informe de las actuaciones previas de inspección, fechado el 4 de abril de 2017, en el que se pone de manifiesto el resultado de las actuaciones previas de investigación consistentes, únicamente, en la respuesta recibida de la Diputación el 9 de marzo de 2017, la AEPD acuerda, el 4 de agosto de 2017, iniciar procedimiento de declaración de infracción de las Administraciones Públicas a la Diputación Provincial de Toledo; en el acuerdo no se mencionan las actuaciones seguidas -y archivadas- por las denuncias anteriores. En la notificación a la Diputación no se incluyó el anexo 1, en el que se identificaba a los denunciantes, pese a mencionarlo el Acuerdo de inicio.

f) La denunciada presentó alegaciones el 31 de agosto, señalando no tener constancia del contenido del escrito publicado en el tablón y solicitando el archivo del procedimiento, negando al mismo tiempo la publicación en el tablón oficial de anuncios.

g) El 6 de septiembre se inicia el período de prueba y se incorpora el escrito del Defensor del Pueblo y las denuncias de los particulares, así como el documento que aparecía expuesto en un tablón de la Residencia Social mencionada y requiriendo a la Diputación determinada información; ésta solicitó, el 3 de octubre, la remisión completa del expediente, sin lo que no podía formular alegaciones, reiterándolo el 30 de octubre y denunciando indefensión.

h) El 23 de noviembre se incorporan al expediente las resoluciones de archivo de las denuncias del procedimiento anterior, así como las que desestiman los recursos de reposición, enviadas a la Diputación el 5 de diciembre, que presentó escrito, el 12 de diciembre, reiterando el contenido del anterior del mes de octubre. El 20 de diciembre se emite propuesta de resolución, de la que se dio traslado a la demandante, sin que conste que presentara alegaciones.

QUINTO.-Los hechos anteriores ponen de manifiesto la existencia de irregularidades en el procedimiento que han mermado efectivamente los derechos de defensa así como principios del procedimiento administrativo sancionador, determinantes de la nulidad de la resolución impugnada.

Así, resulta que las denuncias presentadas directamente por los interesados fueron archivadas y desestimado el recurso contra esta decisión, que se notificó a los denunciantes pero no a la Diputación denunciada, y que quedó firme; inmediatamente después, la Agencia tiene otra vez noticia de las mismas denuncias, esta vez trasladadas por el Defensor del Pueblo, e inicia actuaciones previas de inspección sobre los mismos hechos, solicitando información a la Diputación, que la facilita en escrito con entrada en la Agencia el 9 de marzo de 2017, aunque el escrito está fechado el 4 de octubre de 2016; estas actuaciones previas concluyen el 10 de abril siguiente con un informe de la instructora que se limita a trasladar la respuesta de la Diputación, sin hacer propuesta alguna ni concretar indicios de infracción; pese a ello se inicia, cuatro meses después, un procedimiento de infracción en el que no se menciona la existencia del procedimiento archivado y sólo ante la insistencia de la denunciada se acaban de incorporar al expediente todos los documentos, poco antes de formular la propuesta de resolución, en la que se valoran únicamente el contenido de las denuncias y la respuesta a la Diputación y de ello deduce la infracción del deber de secreto impuesto por el artículo 10 LOPD.

Así, se ha producido una tramitación sucesiva de dos procedimientos por la Agencia Española de Protección de Datos, respecto de los mismos hechos y en relación con la misma infracción, que son valorados de forma distinta: en el primero se archivan las denuncias y se deniega la apertura de procedimiento sancionador y en el segundo se llega a una conclusión diferente y se resuelve declarando infracción de la Ley de Protección de Datos por parte de la Diputación Provincial.

El Tribunal Constitucional, en su jurisprudencia sobre el principio ne bis in ídem, desde la STC 2/1981, ha establecido que debe ser considerado como parte integrante del derecho fundamental al principio de legalidad en materia penal y sancionadora ( art. 25.1 C.E.).

En el Fundamento jurídico 4 de aquella Sentencia se declaró que: «[...] El principio general de derecho conocido por non bis in ídem supone, en una de sus más conocidas manifestaciones, que no recaiga duplicidad de sanciones - administrativa y penal- en los casos en que se aprecie la identidad del sujeto, hecho y fundamento sin existencia de una relación de supremacía especial de la Administración -relación de funcionario, servicio público, concesionario, etc.- que justificase el ejercicio del ius puniendi por los Tribunales y a su vez de la potestad sancionadora de la Administración [...]».

Posteriormente, en la STC 159/1987 (fundamento jurídico 3.), se declaró que dicho principio impide que, a través de procedimientos distintos, se sancione repetidamente la misma conducta, pues «[...] semejante posibilidad entrañaría, en efecto, una inadmisible reiteración en el ejercicio del ius puniendi del Estado e, inseparablemente, una abierta contradicción con el mismo derecho a la presunción de inocencia, porque la coexistencia de dos procedimientos sancionadores para un determinado ilícito deja abierta la posibilidad, contraria a aquel derecho, de que unos mismos hechos, sucesiva o simultáneamente, existan y dejen de existir para los órganos del Estado ( Sentencia 77/1983, de 3 de octubre, fundamento jurídico 4.) [...]».

Por su parte, la sentencia TC 2/2003 en la cuestión que se examina señala:

«[...] Sin embargo, tanto el art. 14.7 PIDCP, como el art. 4 del Protocolo 7 CEDH, protegen al ciudadano no sólo frente a la ulterior sanción -administrativa o penal-, sino frente a la nueva persecución punitiva por los mismos hechos una vez que ha recaído resolución firme en el primer procedimiento sancionador, con independencia del resultado -absolución o sanción- del mismo. Esta prohibición dirigida al Estado de no someter a los ciudadanos a un doble o ulterior procedimiento sancionador por los mismos hechos con el mismo fundamento, una vez que ha recaído resolución firme en un primer procedimiento sancionador -administrativo o penal-, constituye uno de los límites al ejercicio de la potestad sancionadora del Estado que la Constitución impone como inherente al derecho a ser sancionado en el marco de un procedimiento sancionador sustanciado con todas las garantías ( art. 24.2 CE) en relación con el derecho a no ser sancionado si no es en las condiciones estatuidas por la ley y la Constitución ( art. 25.1 CE). Poderosas razones ancladas en el principio de seguridad jurídica ( art. 9.3 CE) y en el valor libertad ( art. 1.1 CE) fundamentan dicha extensión de la prohibición constitucional de incurrir en bis in ídem.

[...]

Por consiguiente, teniendo en cuenta que del valor libertad ( art. 1.1 CE) y del principio de seguridad jurídica ( art. 9.3 CE) derivan límites constitucionales para todo procedimiento sancionador que integran el contenido del derecho a un proceso con todas las garantías en el ámbito administrativo sancionador ( art. 24.2 CE), no puede negarse que en ciertos casos la substanciación de un procedimiento administrativo sancionador y un proceso penal -por los mismos hechos y con el mismo fundamento- puede ocasionar la vulneración del derecho a no ser sometido a un doble proceso, garantía ésta que comprende primeramente la interdicción de ser sometido a doble proceso penal. Sin embargo, en la regulación legal actual del procedimiento administrativo sancionador difícilmente se podrá efectuar la equiparación de ambos procedimientos en orden a determinar el alcance de dicha prohibición constitucional [...]».

En este caso no se trata de la existencia de un doble procedimiento, penal y administrativo, por los mismos hechos, sino la reiteración de un procedimiento administrativo con base en las mismas denuncias, que son valoradas de forma diferente; evidentemente, la resolución de archivo de una denuncia puede ser revisada en razón de la aparición de nuevos hechos, mientras la infracción denunciada no haya prescrito, pero lo que se compadece mal con ese principio es que en un breve espacio de tiempo la misma autoridad decida no iniciar procedimiento sancionador al no poder determinar la autoría de los hechos, confirme en vía de recurso esa decisión y, poco después, haga una valoración diferente pese a que de las actuaciones de investigación no resultaba la existencia de nuevos hechos ni de indicios de infracción y, por tanto, no justificaba el reiterado ejercicio de la potestad sancionadora que, en la segunda ocasión, terminó con una declaración de infracción del artículo 10 LOPD por parte de la Diputación demandante.

Por otra parte, esas denuncias iniciales y su resultado no son incorporadas ni mencionadas en el acuerdo de inicio del procedimiento de infracción, pese a que a ellas se refería el informe de actuaciones de investigación, de modo que la Diputación no tuvo conocimiento en ese primer momento de la existencia y resultado del procedimiento anterior, lo que sin duda le hubiese permitido alegar en su defensa y proponer prueba sobre ello, sino que solicitó insistentemente la entrega de todos los documentos del expediente, que no le fueron facilitados en su totalidad sino al finalizar el procedimiento, ya en fase de propuesta de resolución.

Conforme a la consolidada doctrina del Tribunal Constitucional (por todas ST TC 82/2019, de 17 de junio), las garantías constitucionales establecidas en el artículo 24 de la Constitución son aplicables, con ciertos matices, a los procedimientos administrativos sancionadores; entre tales garantías se encuentra el derecho de defensa, el derecho a ser informado de la acusación y el derecho a utilizar los medios de prueba adecuados en su defensa; para el correcto ejercicio de este derecho se exige la debida notificación al interesado de la incoación del procedimiento; en este caso, sin embargo, la forma desordenada e incompleta en que la Diputación fue informada por la Agencia de la incoación del procedimiento sancionador, de la totalidad de los documentos del procedimiento administrativo para poder consultarlos y preparar adecuadamente su defensa, no cumple esas condiciones y el hecho de que, sólo al formular la propuesta de resolución se le proporcionaran documentos relevantes, reiteradamente solicitados, que completaban el procedimiento, no subsana los defectos anteriores.

También cabe mencionar que en el hecho probado cuarto de la resolución sancionadora se dice que 'El citado documento de 4/04/2016 entre los días 4 y 18/04/2016 o incluso hasta 21/04/2016, no consta haberse notificado a persona alguna y se presume que debía llevar el cauce de despacho de los escritos internos entre órganos de la entidad';considera que el documento con los datos estaba en custodia de la Diputación y destinado a otro órgano interno y describe, a continuación, cómo debió producirse la exposición del documento en el tablón, sin apoyo alguno en los hechos probados, y considera que corresponde a la Diputación acreditar la entrega del documento a los denunciantes o a terceros y, al no hacerlo,'la simple exteriorización del documento con el dato en el tablón acredita y confirma la infracción'. Esta conclusión es insuficiente para considerar infringido el deber de secreto, establecido en el artículo 10 de la LOPD, como apreció la propia Agencia en las resoluciones iniciales que archivaron las denuncias, que no se ven desvirtuadas por hechos diferentes a los en ella considerados.

Por último, la estimación del recurso y consiguiente declaración de nulidad de la Resolución que declara la infracción, hace innecesario cualquier pronunciamiento sobre la Resolución que desestima el requerimiento a la Diputación con ese mismo objeto.

SEXTO.-Las razones anteriores determinan la estimación del recurso y, en aplicación de lo dispuesto en el artículo 139 de la Ley de esta Jurisdicción, procede imponer las costas a la Administración demandada cuyas pretensiones han sido totalmente desestimadas.

Fallo

PRIMERO.-Estimar el presente recurso nº 181/2018, interpuesto por el Procurador Sr. Peralta de la Torre, contra la Resolución de la Agencia Española de Protección de Datos descrita en el primer Fundamento de Derecho, que se anula por ser contraria al ordenamiento jurídico.

SEGUNDO.-Imponer a la Administración demandada las costas del recurso.

La presente sentencia es susceptible de recurso de casación que deberá prepararse ante esta Sala en el plazo de 30 días contados desde el siguiente al de sunotificación; en el escrito de preparación del recurso deberá acreditarse el cumplimiento de los requisitos establecidos en el artículo 89.2. de la Ley de la Jurisdicción justificando el interés casacional objetivo que presenta.

Así, por esta nuestra sentencia, testimonio de la cual se remitirá junto con el expediente administrativo a su oficina de origen para su ejecución, lo pronunciamos, mandamos y firmamos.