Sentencia ADMINISTRATIVO Audiencia Nacional, Sala de lo Contencioso, Sección 1, Rec 198/2017 de 24 de Octubre de 2018

Encabezamiento

A U D I E N C I A N A C I O N A L

Sala de lo Contencioso-Administrativo

SECCIÓN PRIMERA

Núm. de Recurso:0000198/2017

Tipo de Recurso:PROCEDIMIENTO ORDINARIO

Núm. Registro General:01627/2017

Demandante:BANCO SANTANDER S.A.

Procurador:ALBERTO HIDALGO MARTINEZ

Demandado:AGENCIA PROTECCIÓN DE DATOS

Abogado Del Estado

Ponente IIma. Sra.:Dª. FELISA ATIENZA RODRIGUEZ

S E N T E N C I A Nº:

IImo. Sr. Presidente:

D. EDUARDO MENÉNDEZ REXACH

Ilmos. Sres. Magistrados:

Dª. FELISA ATIENZA RODRIGUEZ

Dª. LOURDES SANZ CALVO

D. FERNANDO DE MATEO MENÉNDEZ

Dª. NIEVES BUISAN GARCÍA

Madrid, a veinticuatro de octubre de dos mil dieciocho.

Vistos los autos del recurso contencioso-administrativo PO 198/2017 que ante esta Sala de lo Contencioso-Administrativo de la Audiencia Nacional, ha promovido el Procurador D. ALBERTO HIDALGO MARTINEZ, en nombre y representación de BANCO DE SANTANDER S.A. frente a la Administración General del Estado, representada por el Abogado del Estado, contra la Resolución de 16 de febrero de 2017 (que después se describirá en el primer Fundamento de Derecho), siendo Ponente la Ilma. Sra. Magistrado Dña FELISA ATIENZA RODRIGUEZ.

Antecedentes

PRIMERO.-El presente recurso se interpuso el 21 de marzo de 2017 y una vez admitido y previos los oportunos trámites, se confirió traslado a la representación de la parte actora para que formalizara escrito de demanda, lo que hizo en fecha 11 de septiembre de 2017, formulando las alegaciones de hecho y de derecho que estimó oportunas, concluyendo con la súplica de una sentencia estimatoria del recurso, con anulación del acto recurrido.

SEGUNDO.- Dándose traslado de la demanda al Abogado del Estado, lo hizo en escrito de 15 de diciembre de 2017, alegando en derecho lo que estimó conveniente, solicitando la confirmación en todos los extremos del acuerdo recurrido.

TERCERO.-No habiéndose solicitado el recibimiento a prueba, y habiendo evacuado las partes el trámite de conclusiones, se señaló para la votación y fallo la audiencia del día 16 de octubre de 2018, en que tuvo lugar, quedando el recurso visto para sentencia.

Siendo Ponente, la Ilma Sra Magistrada, Dª FELISA ATIENZA RODRIGUEZ, que expresa el parecer de la Sala.

Fundamentos

PRIMERO.-Se impugna en el presente recurso, por la representación procesal de la entidad BANCO DE SANTANDER S.A., la resolución de la Agencia Española de Protección de Datos, de 16 de febrero de 2017, dictada en el PS/00358/2016, que le impone una sanción de 40.0001 euros, por una infracción tipificada como grave en el articulo 44.3 d) de la LOPD, de conformidad con lo establecido en el articulo 45.2 y 4 de la citada Ley.

La resolución recurrida fundamenta la imposición de la sanción, en que Banco de Santander S.A., como responsable de un fichero, debe tener en cuenta su obligación de guardar y proteger los datos de sus clientes y dicha entidad ha incurrido en una infracción del deber de secreto que exige el articulo 10 de la LOPD a través de la acción, omisión o negligencia de algunos de sus empleados.

SEGUNDO.- .La parte actora discrepa de la imposición de sanción alegando, en síntesis, lo siguiente:

1º) Incorrecta valoración de la prueba por la resolución impugnada. El resultado de las Actas levantadas por la Inspección no es coincidente con el contenido de la denuncia.

2º) Carencia de una actividad probatoria que permita fundamentar un juicio razonable sobre la existencia de la conducta sancionada.

3º) La prueba suministrada por el denunciante ha quedado desvirtuada por la actuación de la propia Administración a quien, le corresponde absolver la carga de la prueba de la conducta infractora que imputa.

4º) El propio Abogado del Estado ha reconocido que 'el acta no ha confirmado la infracción'.

El representante del Estado, propugna la desestimación del recurso, y argumenta que aunque en el acta no se haya confirmado la infracción, sí se ha constatado con la impresión de dos páginas aportadas por la denunciante de las que se deduce que, respecto de los números de móvil que hayan aportado los datos de cuenta y nombre al aceptar envío en una ocasión anterior, se puede tener los datos antes de hacer un pago con solo introducir su número de móvil en la aplicación del banco, lo que supone una violación del deber de secreto respecto de tal número de cuenta corriente.

TERCERO.-En el caso que ahora se enjuicia, el expediente se inició, por denuncia de 13 de septiembre de 2015, en que un cliente del Banco de Santander denunciaba que en la aplicación ofrecida por dicha entidad para iPhone, llamada Santander Wallet, a una funcionalidad llamada 'Pagos a Móvil' que permite transferir dinero desde una cuenta a otra de otro cliente dado de alta en ese servicio con tan solo indicar el número de teléfono móvil. Continúa el denunciante que, si se simula una nueva operación con un número de móvil, sin finalizarla ni tan siquiera introducir una clave, antes de la confirmación, se ofrece como resultado los datos completos de apellido y nombre del cliente de destino, así como su número de cuenta.

A la vista de la denuncia se ordena la apertura de actuaciones previas de investigación (E/00100/2016) y el 27 de mayo de 2016, se realiza inspección a la entidad levantándose el acta que se incorpora a las actuaciones y en la que, en síntesis se concluye lo siguiente:

'2.En la Inspección se ha tenido acceso a la citada aplicación, desde un dispositivo móvil de uno de los trabajadores del banco que a su vez es cliente y usuario de WALLET y que se encuentra presente durante la inspección. Una vez realizado el acceso, con su usuario y contraseña, se comprueba que:

a) La aplicación dispone de una opción denominada 'Pagos a móvil' que permite enviar dinero a una persona conociendo su número de teléfono, este se puede obtener directamente de la Agencia del teléfono o teclearlo.

Una vez seleccionado el teléfono (en este caso de una persona que, según manifiestan es cliente y ya ha registrado sus datos como destinatario de pagos por este medio) se introduce el importe a transferir, el código de firma electrónica del cliente y un código de seguridad que recibe el cliente mediante SMS.

Tras realizar la transferencia la aplicación informa de que la operación se ha realizado con éxito y muestra los datos de nombre y apellidos y número de cuenta del destinatario.

b) A continuación y desde el mismo dispositivo móvil, con el mismo usuario se realiza una nueva transferencia a un número de teléfono móvil que no se ha registrado como receptor de pagos por este medio, comprobando que en el terminal del móvil facilitado se recibe un SMS con el siguiente contenido: ' Te han enviado 0.01 € a través de Wallet, código.....' Asimismo en el dispositivo del emisor le informan que la operación está pendiente de registro porque el teléfono de destino no se encuentra registrado en el servicio.

c) A continuación se accede a la citada dirección de internet, comprobando que hay que facilitar el código recibido por SMS, el número de teléfono y la cantidad a recibir y a continuación solicita el número de cuenta bancaria donde ingresar los envíos y el nombre y apellidos del titular de la cuenta,que según manifiesta puede no ser cliente de Banco de Santander.'

Partiendo del contenido del acta, concluye la AEPD que Banco de Santander ha incumplido su deber de secreto profesional con los datos personales de un cliente al permitir que otro cliente al realizar una gestión bancaria accediera a dichos datos sin que fuera necesario para dicha operación.

CUARTO.-Debe recordarse que, conforme al art. 137.3 de la Ley 30/92, la Administración puede utilizar como medio de prueba los documentos públicos formalizados por aquellos funcionarios a los que, en uso de sus facultades, se les reconoce la condición de autoridad y, en los que se constaten los hechos que constituyen el fundamento de imputación.

En el expediente de autos, los inspectores actuantes de la Agencia de Protección de datos, son funcionarios que ostentan la condición de autoridad, en virtud de lo dispuesto en el art. 39.2 de dicha Ley, en el desempeño de sus cometidos, existiendo una presunción 'iuris tantum' de veracidad de las actas de inspección referida a los hechos comprobados y reflejados en ella, que produce no una dispensa probatoria sino una inversión de la carga de la prueba, tal y como ha reconocido la jurisprudencia, que predica la referida presunción y atribuye a las actas de la inspección valor y la fuerza probatoria, salvo prueba en contrario, atribuyendo al sujeto pasivo del acta la posición procesal de desviar el contenido con pruebas adecuadas.

En el presente supuesto, el acta levantada por los inspectores de Datos de la AEPD en la sede social de la recurrente, fue incorporadas al expediente, con el resultado que se ha hecho constar y en fase probatoria era posible combatirla y desvirtuar la referida presunción 'iuris tantum'.

Sin embargo el representante del Estado no solicitó prueba alguna con la finalidad de desvirtuar los hechos reflejados en el acta de inspección, sino que se limitó a afirmar que 'aunque en el acta no se haya confirmado la infracción, sí se ha constatado con la impresión de dos páginas aportadas por la denunciante de las que se deduce que, respecto de los números de móvil que hayan aportado los datos de cuenta y nombre al aceptar envío en una ocasión anterior, se puede tener los datos antes de hacer un pago con solo introducir su número de móvil en la aplicación del banco, lo que supone una violación del deber de secreto respecto de tal número de cuenta corriente. '

La Sala no puede compartir el expresado criterio, habida cuenta el concluyente resultado constatado en el acta levantada por los inspectores, haciendo constar que cuando se pretende realizar una nueva transferencia a un teléfono móvil que no está registrado como receptor de pagos, ' hay que facilitar el código recibido por SMS, el número de teléfono y la cantidad a recibir y a continuación solicita el número de cuenta bancaria donde ingresar los envíos y el nombre y apellidos del titular de la cuenta'.

A juicio de la Sala la prueba practicada no ha sido apreciada y valorada adecuadamente por la autoridad administrativa autora del acto, con eficacia para determinar la responsabilidad del actor, pues partiendo de una investigación realizada por la AEPD para comprobar la veracidad de los hechos denunciados, cuyo resultado no ratifica el contenido de la denuncia, sin embargo, la resolución otorga veracidad a los hechos de la denuncia, pero sin motivación alguna, por lo que considera la Sala que no se ha destruido la presunción iuris tantumde inocencia que estable el art. 24.2 de la Constitución.

La atenta lectura del Acta de Inspección no permite obtener la conclusión que obtiene la resolución recurrida y en base a la cual sanciona a la entidad ahora recurrente, por lo que la falta de prueba de este elemento esencial obligará a dejar sin efecto la sanción , en aras a no vulnerar el principio de presunción de inocencia.

La vulneración de la presunción de inocencia, como tiene reiteradamente declarado el Tribunal Constitucional, cobra sentido cuando la Administración fundamenta su resolución en una presunción de culpabilidad del sancionado carente de elemento probatorio alguno, como sucede en el presente caso, en que la actividad probatoria no ha sido valorada de forma motivada para deducir la responsabilidad de actor.

Constituye doctrina consolidada del Tribunal Constitucional ( SSTC 131/2003, de 30 de junio, y 242/205, de 10 de octubre) que una de las exigencias inherentes al derecho a la presunción de inocencia es que la sanción ha de estar fundamentada en actos o medios probatorios de cargo o incriminadores de la conducta imputada, y que recae sobre la Administración pública actuante la carga probatoria tanto de la comisión del ilícito como de la participación del denunciado. Pronunciándose en igual sentido la Jurisprudencia del Tribunal Supremo ( STS 23/11/2004 (Rec. 207/2001) por todas), que hace mención a la necesidad de que en derecho administrativo sancionador exista una prueba plena de la culpabilidad, de tal forma que la presunción de inocencia ha de primar en todas aquellas situaciones en las que se plantee la duda sobre la posible responsabilidad del sometido a procedimiento.

Aplicando dicha doctrina al supuesto de autos y por las consideraciones que se acaban de exponer, la Sala entiende que el derecho de presunción de inocencia ( Art. 24.2 CE) de la entidad recurrente no ha sido destruido por la Agencia, que en definitiva ha practicado una prueba de cargo cuyo resultado no verifica los hechos denunciados, y carece de fuerza probatoria pata imputar a la recurrente, la conducta infractora, por lo que no procede la anulación de la sanción impuesta.

QUINTO.-Conforme a lo dispuesto en el art. 139.1 de la LJCA procede imponer las costas a la parte que ha visto desestimada su pretensión, en este caso, la Administración.

En atención a lo expuesto, la Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, ha decidido:

Fallo

ESTIMARel recurso contencioso administrativo interpuesto por el Procurador D. Alberto Hidalgo Martínez, en nombre y representación de la entidad BANCO DE SANTANDER S.A., contra la resolución de la Agencia Española de Protección de Datos de 16 de febrero de 2017, que se anula por no ser conforme al ordenamiento jurídico.

Las costas causadas se imponen a la demandada.

La presente sentencia es susceptible de recurso de casación que deberá prepararse ante esta Sala en el plazo de 30 días contados desde el siguiente al de su notificación; en el escrito de preparación del recurso deberá acreditarse el cumplimiento de los requisitos establecidos en el articulo 89.2 de la Ley de la Jurisdicción justificando el interés casacional objetivo que presenta.

Así por esta nuestra sentencia, testimonio de la cual será remitido en su momento a la oficina de origen a los efectos legales, junto con el expediente administrativo, en su caso, lo pronunciamos, mandamos y firmamos.

PUBLICACIÓN.- Dada, leída y publicada fue la anterior sentencia en audiencia pública. Doy fe. Madrid a

LA LETRADA DE LA ADMINISTRACIÓN DE JUSTICIA