Sentencia Administrativo Audiencia Nacional, Sala de lo Contencioso, Sección 1, Rec 264/2011 de 23 de Noviembre de 2012

Encabezamiento

Procedimiento: CONTENCIOSO

SENTENCIA

Madrid, a veintitres de noviembre de dos mil doce.

Visto por la Sección Primera de laSala de lo Contencioso-Administrativode la Audiencia Nacional el recurso contencioso administrativo número264/2011interpuesto porFRANCE TELECOM ESPAÑA,representada por la Procuradora Sra. Sánchez García contra la resolución del Director de la Agencia Española de Protección de Datos de fecha 11 de febrero de 2011 dictada en el PS/00251/2010 que confirma en reposición la resolución de 5 de noviembre 2010; ha sido parte en autos, la Administración demandada, representada y defendida por el Abogado del Estado.

Antecedentes

PRIMERO.- Interpuesto el recurso Contencioso-administrativo ante esta Sala de lo Contencioso administrativo de la Audiencia Nacional y turnado a esta Sección, fue admitido a trámite, reclamándose el expediente administrativo, para, una vez recibido emplazar a la actora para que formalizara la demanda, lo que así se hizo en escrito en el que tras exponer los hechos y fundamentos de derecho qué consideró oportunos, terminó suplicando que se dicte sentencia por la que se declara la invalidez de los actos impugnados.

SEGUNDO.-El Abogado del Estado, en su escrito de contestación a la demanda, tras alegar los hechos y fundamentos de derecho qué consideró aplicables, postuló una sentencia por la que se desestime el recurso interpuesto, confirmando la resolución impugnada, con imposición de costas a la parte actora.

TERCERO.-Recibido el recurso a prueba, practicada la admitida y evacuado el trámite de alegaciones, se señaló para votación y fallo el día 21 de noviembre de 2012, en que tuvo lugar.

La cuantía del recurso se ha fijado en 60.101,21 Euros.

Ha sido Ponente la Magistrada Ilma. Sra.Dª. LOURDES SANZ CALVO.

Fundamentos

PRIMERO.- Se impugna en el presente recurso contencioso-administrativo la resolución del Director de la Agencia Española de Protección de Datos de fecha 11 de febrero de 2011 dictada en el PS/00251/2010 que confirma en reposición la resolución de 5 de noviembre 2010 que impone a France Telecom una sanción de multa de 60.101,21Euros por la vulneración de lo dispuesto en el artículo 4.3 en relación con el 29.4 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal , infracción tipificada como grave en el artículo 44.3.d) de la citada Ley Orgánica.

Considera la AEPD que se ha vulnerado el citado principio recogido en el artículo 4.3 LOPD pues France Telecom pese a tener conocimiento con fechas 11/12/2008 y 22/12/2008, de la reclamación presentada por el denunciante ante la SETSI por su disconformidad con los conceptos facturados, volvió a incluir sus datos personales en el fichero Asnef con fecha 29 de diciembre 2008 y no los excluyó hasta el 26 de enero de 2009.

SEGUNDO.-La resolución impugnada considera como Hechos Probados, más relevantes, los siguientes:

1Con fecha 28/5/09 se recibió escrito de denuncia de Dña. Eloisa contra France Telecom contra France Telecom España S.A. por la inclusión de sus datos personales en los ficheros Asnef y Badexcug, a pesar de no haber recaído resolución de la reclamación presentada ante la Secretaria de Estado de Telecomunicaciones y para la Sociedad de la Información.

2En los registros de France Telecom figura la denunciante como titular de los siguientes productos: un contrato particular con una línea dada de baja el 28/09/2006, otros dos contratos particulares de las líneas NUM000 y NUM001 con fechas de baja, ambos, de 20/8/2008 (por impago) y un contrato de empresa línea 692051072 con fecha de baja 18/1/2008 (por impago).

3Figuran en los citados registros de France Telecon las siguientes facturas pendientes de pago:

Contrato particular: facturas de fecha de emisión 21/5/2008, 21/5/2008 y 21/8/2008 por importes de 20,45 €, 67,43 € y 255,20 € (incluyendo esta última baja anticipada).

Contrato autónomo: facturas de fecha de emisión 21/5/2008, 21/5/2008 y 21/8/2008 por importes de 149,65 €, 63,23 € y 127,60 €.

4 En el fichero de solvencia patrimonial y crédito 'Asnef' y ficheros auxiliares figuran las siguientes incidencias a nombre de la denunciante a instancia de France Telecom España, S.A.

Informante fecha alta Importe Baja/ultima actualización Importe

Orange 08/09/2008 20,45 € 28/11/2008 /Baja 87,88

Orange empresas 29/09/2008 340,48 € 28/11/2008 /Baja 340,48 €

Orange empresas 29/12/2008 340,48 € 26/01/2009 /Baja 340,48 €

Orange 29/12/2008 343,08 € 26/01/2009/Baja 343,08€

Orange 04/03/2009 343,08 € 05/06/2009 /Baja

Orange empresas 04/03/2009 340,48 € 3/12/2009/ Últ.actualiz. 340,48 €.

5.Con fechas 15/10/2008, 21/11/2008, 21/01/2009 y 15/04/2009 la denunciante ejerció el derecho de cancelación ante el responsable del fichero 'Asnef'. Las solicitudes primera y cuarta fueron denegadas porque France Telecom España, S.A. confirmó los datos incluidos en el fichero citado; la segunda y la tercera fueron dadas de baja de forma cautelar por el responsable del fichero de solvencia a pesar de la confirmación de France Telecom España, S.A.

6.En el fichero de solvencia patrimonial y crédito 'Badexcug' figuran las siguientes incidencias a nombre de la denunciante a instancia de France Telecom España, S.A.

Informante fecha alta Importe Baja/ultima actualización Importe

Orange 11/03/2009 87,89 € 05/06/2009 /Baja 87,88

Orange 11/03/2009 340,48 € 05/06/2009 /Baja 340,48 €

Orange 12/07/2009 340,08 € 22/11/2009/Ult.actualiz 43,08€

8.Con fecha 16/04/2009 la denunciante el derecho de cancelación ante el responsable del fichero 'Badexcug', solicitud que fue denegada el 23/04/2009 porque France Telecom España, S.A. confirmó los datos incluidos en el fichero citado.

9.La denunciante presentó una reclamación ante la Secretaría de Estado de

Telecomunicaciones y para la Sociedad de la Información con fecha 30/07/2008 por su disconformidad con la facturación correspondiente a un periodo posterior a la fecha en la que solicitó la baja de los servicios contratados y la penalización por baja anticipada.

10.France Telecom España, S.A. ha manifestado que con fechas 11/12/2008 y 22/12/2008 recibió solicitudes de información de la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información referentes a la reclamación presentada por la denunciante.

11.Con fecha 16/04/2010 la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información resolvió la reclamación presentada por la denunciante con fecha 30/07/2008, impugnando la facturación referida a un periodo posterior a la fecha en la que solicitó la baja del servicio contratado y la penalización por baja anticipada. Esta resolución estima la reclamación en lo que se refiere a la baja no tramitada de las líneas NUM000 , NUM001 y 692051072 e inhibirse respecto de la pretensión del operador de cobrar un importe en penalización por baja anticipada.

TERCERO.-La actora alega como primer motivo de impugnación falta de antijuridicidad que fundamenta en las siguientes consideraciones:

- A. La reclamación ante la SETSI fue presentada en fecha 30 de julio 2008 y como las inclusiones en los ficheros Asnef y Badexcug se produjeron el 4 de marzo de 2009 y 11 de marzo de 2009, resulta de aplicación la doctrina administrativa de la AEPD que señala que una vez transcurridos 6 meses desde la presentación de la reclamación administrativa sin haberse dictado resolución se entiende desestimada por silencio y queda expedita la posibilidad de incluir los datos en el fichero Asnef.

Sin embargo, el planteamiento de la actora omite un dato fáctico relevante que es subrayado por la resolución recurrida, cual es, que pese a haber tenido conocimiento France Telecom, según sus propias manifestaciones, en fechas 11 de diciembre de 2008 y 12 de diciembre de 2008 de la reclamación efectuada ante la SETSI, sin embargo incluyó los datos de la denunciante en el fichero Asnef con fecha29 de diciembre de 2008, esto es, sin que hubiera transcurrido el citado plazo de 6 meses, computado desde el30 de julio de 2008,como ella misma indica y señala el artículo 9.3 de la Orden ITC/1030/2007. Ello con independencia de que se volvieran a incluir en el citado fichero Asnef y en el Badexcug en marzo de 2009, lo que resulta irrelevante desde el punto de vista de la infracción apreciada, no siendo en esas inclusiones posteriores sino en la de 29 de diciembre de 2008 en la que pone el acento la resolución recurrida.

- B. Tras la anulación parcial del artículo 38.1 del Reglamento de Desarrollo de la LOPD, no existe norma jurídica alguna que limite el acceso de datos a los ficheros de solvencia patrimonial por existir una controversia sobre la deuda.

La infracción apreciada por la resolución impugnada es, como ya se ha dicho, la tipificada en el artículo 44.3.d) en relación con los artículo 4.3 y 29.4, todos de la LOPD .

El artículo 44.3.d) de la LOPD tipifica como infracción grave tratar los datos de carácter personal con conculcación de los principios y garantías establecidas en la ley o en las disposiciones reglamentarias de desarrollo.

La LOPD establece la exigencia de la exactitud y veracidad de los datos en el citado artículo 4.3 'Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado'.

El artículo 29 de la citada Ley , que regula de forma específica la prestación de servicios de información sobre solvencia patrimonial y crédito, distingue dentro de ellos dos supuestos. Uno de los cuales es el relativo a los ficheros de solvencia patrimonial en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés, que se regulan en el apartado 2.

Estos ficheros se caracterizan porque no necesitan del consentimiento del afectado para la obtención y tratamiento de sus datos, lo que supone una excepción a los principios rectores de la LOPD (entre ellos el del consentimiento del afectado en el tratamiento y cesión de sus datos de carácter personal). No obstante, frente a esta excepción, la propia norma articula una serie de contrapesos, como es su limitación a un caso concreto (cumplimiento o incumplimiento de obligaciones dinerarias) y la obligación de notificar a los afectados el hecho de que se han registrado sus datos de carácter personal.

Por otra parte, el artículo 38 del RLOPD regula los 'requisitos para la inclusión de los datos' en esos ficheros y ha sido impugnado en algunos de sus apartados ante el Tribunal Supremo, habiéndose dictado la STS de 15 de julio 2010 (Rec. 23/2008 ), que anula entre otros preceptos, por disconformes a derecho, el último inciso del artículo 38.1.a) y el apartado 2 del citado artículo 38 del RDLOPD.

Considera el Alto Tribunal que la parte del artículo 38.1.a) anulada, que es la que aquí nos interesa, no responde a la previsión legal del artículo 4.3 LOPD , en atención a la defectuosa redacción del precepto reglamentario por una inconcreción en su texto no solo de aquellos procedimientos que justifican la no inclusión en los ficheros de las deudas a que aquellos se refieren, sino también porque esa vaguedad permite considerar que incluso cuando la reclamación se formule por el acreedor exista la imposibilidad de inclusión de los datos en el fichero.

La redacción del artículo 38 del RDLOPD, tras la aplicación de la citada STS de 15 de julio de 2010 es la siguiente:

1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:

a) Existencia previa de una deuda cierta, vencida, exigible que haya resultado impagada.

b) Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación.

c) Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación.

3 El acreedor o quien actué por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo a que se refiere el artículo siguiente.

Es decir, para la inclusión de los datos en ficheros de información sobre solvencia patrimonial y crédito, tanto la redacción actual del precepto como la original, requiere al inicio del apartado 1.a) que la deuda sea cierta, exigencia que responde al principio de veracidad y exactitud de los datos recogido en el artículo 4.3 de la LOPD al expresar que 'Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado'.

Por ello viene considerando la Sala, también con la redacción actual del citado artículo 38.1.a del RDLOPD tras la sentencia del Tribunal Supremo de 15 de julio 2010 , que en supuestos como el presente en que consta una reclamación instada ante la SETSI por la disconformidad del denunciante con la facturación correspondiente a un periodo posterior a la fecha en que solicitó la baja de los servicios y penalización por baja anticipada y en definitiva para dirimir la certeza de la deuda, no concurre el requisito de deuda cierta exigido por el citado artículo 38.1.a) para la inclusión de los datos en los ficheros de solvencia patrimonial y crédito. Es decir la citada reclamación veda que pueda hablarse de deuda cierta e impide su inclusión en los ficheros de solvencia patrimonial y crédito.

Y esto, con independencia del resultado del laudo arbitral que con posterioridad pudiera dictarse, pues como se ha señalado en la SAN de 30 de mayo 2012 ( Rec. 664/2010)la certeza de la deuda constituye un requisito para que los datos personales puedan tener acceso a los citados ficheros ex artículo 38.1.a) RDLOPD, de tal forma que si se incluye una deuda que en ese momento no es cierta se infringe el principio de calidad de datos, por lo que al haberse ya perfeccionado la conducta típica resulta irrelevante a efectos de la existencia de la infracción, el posterior resultado de la reclamación o laudo arbitral.

En el caso de autos se ha acreditado, como ya se ha dicho, que en fechas 11 de diciembre de 2008 y 12 de diciembre de 2008 France Telecom tuvo conocimiento de la reclamación efectuada ante la SETSI, pese a lo cual y por falta de diligencia, incluyó los datos de la denunciante en el fichero Asnef con fecha 29 de diciembre de 2008, esto es, 17 días después de la recepción de la primera solicitud de información de la SETSI y no los excluyó hasta el 28 de enero de 2009, mes y medio después.

Por otra parte, respecto del contenido de la resolución de la SETSI de fecha 16 de abril de 2010 al que también se alude en la demanda, señalar que, por un lado, estima las pretensiones de la denunciante en lo relativo a la baja no tramitada de las líneas en cuestión, pues recordemos que el denunciante había impugnado la facturación posterior a esa fecha de baja, inhibiéndose respecto a la pretensión del operador de cobrar un importe de penalización por baja anticipada, uno de los conceptos por los que fue facturado.

Por tanto, resulta acreditada la vulneración del principio de calidad de datos y en definitiva la infracción apreciada.

CUARTO.-También invoca la aplicación del artículo 45.5 LOPD en la redacción operada por la Ley 2/2011, de Economía Sostenible, normativa que considera más favorable no sólo en lo que respecta a dicho precepto sino en general y por esa razón postula su aplicación en virtud del principio de retroactividad de las normas sancionadoras.

Viene considerando la Sala, con respecto a la modificación de diversos artículos de la LOPD efectuada por la Ley 2/2011 (BOE de 5 de marzo 2011), de Economía Sostenible (Disposición final quincuagésima sexta) entre otros y por lo que aquí nos interesa el artículo 45.2 que dispone'Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 €',reforma operada con posterioridad a dictarse la resolución impugnada, que de acuerdo con lo dispuesto en el artículo 128.1 de la LRJPAC y reiterada jurisprudencia del TS en materia administrativa sancionadora procede la aplicación retroactiva de la norma más favorable para el presunto infractor, pues como señala la STS, 17 de abril de 2008 (Rec. 4209/2002) constituye una garantía implícitamente consagrada en elart. 9.3 CE, el cual limita la prohibición de la retroactividad de las normas sancionadoras a las 'no favorables' y, con ello, admite que la seguridad jurídica, en relación con el principio de legalidad penal y en materia sancionadora (art. 25 de la Constitución), suponga la retroactividad de la norma sancionadora más favorable'.

Aplicación retroactiva de la citada norma más beneficiosa que viene reiterando también la Sala que puede realizarse directamente por este órgano judicial, criterio que es confirmado por la reciente STS de 30 de enero de 2012 (Rec. 6116/2008)dictada en esta específica materia de protección de datos, por cuanto la aplicación retroactiva de la norma administrativa sancionadora más favorable, como ya habían señalado las SSTS de 24 de enero de 2006 (Rec. 419/2002 ), 31 de enero de 2007 (Rec. 8873/2003 ) y 13 de febrero de 2008 (Rec.2110/2004 ), 'debe llevarse a cabo en cualquier instancia administrativa o judicial donde se encuentre pendiente de enjuiciamiento o ejecución una resolución sancionadora, ya que no tendría sentido confirmar judicialmente la legalidad de una resolución administrativa, según la normativa vigente cuando fue dictada, para que la Administración proceda a dictar seguidamente otra que aplique retroactivamente la nueva norma sancionadora más favorable, resolución esta última que podría ser objeto de un nuevo recurso judicial.'

Postula la recurrente la aplicación del artículo 45.5 LOPD con base en la adopción de las medidas documentadas en las actas E/19952/2006-1/1/2006 para evitar este tipo de situaciones, circunstancia que ha sido tomada en consideración por la AEPD y la propia Sala para apreciar dicho precepto.

Es cierto que la AEPD aplicó en un determinado momento el citado precepto con base en las medidas adoptadas en dicha Acta y también lo hizo la Sala en sentencia de 1 de octubre 2008 (Rec. 282/2006 ). Sin embargo, la Sala reconsideró posteriormente dicha postura, véase entre otras SAN, Sec. 1ª, de 29 de octubre 2008 (Rec. 84/07),argumentando que la adopción de medidas para la perfecta identificación de los clientes no puede constituir un elemento de atenuación de la responsabilidad sino que supone el cumplimiento de una obligación ordinaria exigible a las empresas que trabajan con grandes volúmenes de datos de carácter personal, sin que pueda considerarse la adopción de dichas medidas como base para apreciar disminución cualificada de la culpabilidad o de la antijuridicidad.

La aplicación del criterio expuesto, efectuado de forma generalizada, tendría el efecto no deseado por la norma, de beneficiar al infractor reincidente, y el artículo 45.4 LOPD ya ha tomado en consideración la reincidencia a efectos de graduar la cuantía de la sanción a imponer. Por tanto la aplicación de citado artículo 45.5 LOPD debe ser por el contrario, individualizada, atendiendo a las circunstancias del caso concreto, en el que habrá que analizarse si concurren los presupuestos para su aplicación, o lo que es igual, circunstancias que pongan de manifiesto esa cualificada disminución de la culpabilidad o antijuridicidad requerida por el precepto.

El artículo 45.5 LOPD en la reforma operada por la LES, dispone que el órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos, invocados por la actora: 'a) Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo, b) cuando la entidad infractora haya regularizado la situación irregular de forma diligente'.

Así en cuanto a la circunstancia a) y en relación con la ausencia de intencionalidad, señalar que la infracción apreciada se puede cometer de forma culposa y que en este caso la falta de diligencia de la recurrente ha sido patente, pues pese a recibir solicitud de información de la SETSI sobre la reclamación formulada por la denunciante en fecha 11 de diciembre de 2008 y 22 de diciembre de 2008 incluyó sus datos en el fichero Asnef en fecha 29 de diciembre de 2008 y no los excluyó hasta el 28 de enero de 2009. Por otra parte, en cuanto al volumen de tratamientos, la recurrente es una entidad que por su actividad está en permanente contacto y trata gran volumen de datos de carácter personal. Finalmente señalar que resulta difícil hablar de inexistencia de perjuicios al denunciante, en supuestos como el presente.

Tampoco cabe apreciar diligencia alguna en la conducta de France Telecom, a efectos del citado apartado b) del artículo 45.5 LOPD , por cuanto los datos de la denunciante fueron dados de baja en el fichero Asnef con fecha 28 de enero de 2008 en virtud del derecho de cancelación ejercitado ante la responsable del fichero Asnef, que fue quien con carácter cautelar dio de baja los citados datos, a pesar de la confirmación de France Telecom.

Procede, en definitiva por mor de la repetida aplicación, al supuesto, de dicha modificación de la LOPD operada por la Ley de Economía Sostenible, la imposición de una multa de 40.001 euros.

QUINTO.-De conformidad con lo dispuesto en el artículo 139.1 de la Ley Jurisdiccional , no se aprecian motivos para una imposición de costas.

Fallo

ESTIMAR PARCIALMENTEel recurso contencioso-administrativo interpuesto porFRANCE TELECOM ESPAÑA,representada por la Procuradora Sra. Sánchez García contra la resolución del Director de la Agencia Española de Protección de Datos de fecha 11 de febrero de 2011 dictada en el PS/00251/2010 que confirma en reposición la resolución de 5 de noviembre 2010, resoluciones que se anulan parcialmente en el sentido de rebajar la sanción de multa impuesta a 40.001 €; sin imposición de costas.

Así por esta nuestra sentencia, lo pronunciamos, mandamos y firmamos.

Notifíquese a las partes con indicación de que no cabe contra ella recurso de casación.

PUBLICACIÓN.- Dada, leída y publicada fue la anterior sentencia en audiencia pública. Doy fe. Madrid a

LA SECRETARIA JUDICIAL