Encabezamiento
A U D I E N C I A N A C I O N A L
Sala de lo Contencioso-Administrativo
SECCIÓN PRIMERA
Núm. de Recurso:0000396/2017
Tipo de Recurso:PROCEDIMIENTO ORDINARIO
Núm. Registro General:03987/2017
Demandante:ASAMBLEA NACIONAL CATALANA
Procurador:MARÍA JESÚS GONZÁLEZ DÍEZ
Demandado:AGENCIA PROTECCIÓN DE DATOS
Abogado Del Estado
Ponente IIma. Sra.:Dª. NIEVES BUISAN GARCÍA
S E N T E N C I A Nº:
IImo. Sr. Presidente:
D. EDUARDO MENÉNDEZ REXACH
Ilmos. Sres. Magistrados:
Dª. FELISA ATIENZA RODRIGUEZ
Dª. LOURDES SANZ CALVO
D. FERNANDO DE MATEO MENÉNDEZ
Dª. NIEVES BUISAN GARCÍA
Madrid, a diecisiete de mayo de dos mil diecinueve.
Vistos por la Sala, constituida por los Sres. Magistrados reseñados al margen, los autos del recurso contencioso-administrativo número 396/2017, interpuesto por la Procuradora de los Tribunales doña Mª Jesús González Díez, en nombre y representación de Assemblea Nacional Catalana, contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 4 de mayo de 2017. Ha sido parte demandada LA ADMINISTRACIÓN DEL ESTADO, representada por el Abogado del Estado. La cuantía del recurso se fijó en 90.000.- euros.
Antecedentes
PRIMERO.-Por la entidad recurrente se interpuso recurso contencioso administrativo mediante escrito presentado el 10 de julio de 2017, acordándose su tramitación de conformidad con las normas establecidas en la Ley 29/1998, y la reclamación del expediente administrativo.
SEGUNDO.-En el momento procesal oportuno tal entidad actora formalizó la demanda mediante escrito presentado el 3 de octubre de 2017 en el que, tras alegar los hechos y fundamentos de derecho que estimó procedentes, terminó suplicando se dictara sentencia en la cual:
1.Se estime íntegramente la presente demanda y, en consecuencia, se proceda a declarar nulas de pleno derecho la Resolución de la Directora de la AEPD del recurso de reposición de 4 de mayo de 2017 y la Resolución sancionadora de 27 de febrero de 2017, en el PS/00391/2016 incoado contra ASSEMBLEA NACIONAL CATALANA.
2.Su bsidiariamente, se estime parcialmente la demanda y, en consecuencia, se proceda a declarar nulas de pleno derecho la Resolución de la Directora de la AEPD del recurso de reposición de 4 de mayo de 2017 y la Resolución sancionadora de 27 de febrero de 2017 al considerar que:
a. se ha infringido el principio de confianza legítima y culpabilidad
b. se ha infringido el principio de responsabilidad y culpabilidad, y/o
c. se ha infringido el derecho a un procedimiento legalmente preestablecido y a la defensa recogido en el artículo 24.2 CE , y/o
d. se ha infringido el principio de proporcionalidad.
3.Su bsidiariamente, se estime parcialmente la demanda y, en aplicación del principio de responsabilidad previsto en el artículo 28 de la LRJSP , declare a ÒMNIUM CULTURAL y ASSEMBLEA NACIONAL CATALANA coautores y corresponsables solidarios de una infracción del artículo 33 de la LOPD tipificada como muy grave por el artículo 44.4. d) de la LOPD , imponiéndoles la sanción correspondiente al tramo inferior de las infracciones graves de conformidad con el artículo 45.4 y 5 de la LOPD .
TERCERO.-El Sr. Abogado del Estado contestó la demanda mediante escrito presentado el 2 de enero de 2018 en el que, tras alegar los hechos y los fundamentos jurídicos que estimó aplicables, terminó suplicando se dictara sentencia en la que se desestimara el recurso confirmando íntegramente la resolución impugnada por ser conforme a Derecho, con imposición de costas a la parte recurrente.
CUARTO.- No habiéndose solicitado el recibimiento del pleito a prueba, se dio el trámite de conclusiones a las partes, trámite que evacuaron por su orden, primero la defensa de la entidad actora y después el Abogado del Estado, mediante escritos en los que concretaron y reiteraron sus respectivos pedimentos.
QUINTO.-Conclusas las actuaciones, quedaron pendientes de señalamiento para votación y fallo, fijándose para dicha deliberación y votación el día 14 de mayo de 2019, fecha en la que tuvo lugar tal deliberación y votación, habiendo sido ponente la Ilma. Magistrada doña NIEVES BUISAN GARCÍA, quien expresa el parecer de la Sala.
Fundamentos
PRIMERO.- Se impugna en el presente recurso contencioso administrativo por Asamblea Nacional Catalana (ANC) la Resolución dictada por la Directora de la Agencia Española de Protección de Datos de 4 de mayo de 2017 ( PS/391/2016), que desestima el recurso de reposición interpuesto por dicha ANC contra la Resolución de 22 de febrero de 2017 por la que se impone a dicha entidad una sanción de 90.000 euros por la comisión de una infracción del artículo 33 de la LOPD , tipificada como muy grave en el artículo 44.4.d) de dicha LO 15/1999 .
Resoluciones que se basan en los siguientes hechos probados más trascendentes:
-En fecha de 10 de julio de 2014, Omnium Cultural (OC) y Asamblea Nacional Catalana (ANC), como responsables del fichero, firmaron un contrato con la mercantil Blue Stage Digital INC. (BSD), cuya ejecución material suponía que un fichero denominado 'Ahora es la Hora' estuviera alojado en servidores de BSD sitos en Estados Unidos.
-En el Registro General de Protección de Datos, por parte de ANC y OC se inscribió el fichero 'Ahora es la Hora' sin que conste marcado el campo de transferencias internacionales de datos.
- La sentencia del Tribunal de Justicia Europeo número C-362/14 de 6 de octubre de 2015 invalida la decisión de la Comisión 2005/520/CE que considera que las transferencias internacionales de datos a Estados Unidos tenían un nivel adecuado de protección.
- En una comunicación de BSD a OC de fecha 22 de agosto de 2016, en contestación a otra anterior, se pone de manifiesto que los datos alojados en los servidores de BSD serían eliminados a finales de septiembre de 2016.
Se fundamenta el pronunciamiento sancionador de tal AEPD, esencialmente, en que la sentencia del Tribunal de Justicia Europeo de 6 de octubre de 2015 invalida la decisión de la Comisión 2000/520/CE que considera que las transferencias internacionales de datos a Estados Unidos tenían un nivel adecuado de protección. Por lo que a partir de tal sentencia debe entenderse que el esquema de SH (Safe Harbour) no ha proporcionado garantías suficientes para la transferencia de datos desde la Unión Europea a Estados Unidos, lo que afecta al contrato celebrado por la ahora recurrente con BSD. Es decir, las transferencias que se hayan llevado a cabo bajo la Decisión Puerto Seguro después de la sentencia son, en principio, ilegales.
A partir de dicha sentencia es necesario que aquellas entidades que hayan transferido datos a Estados Unidos, entre las que se encuentra la recurrente, ostenten amparo legal para dicha transferencia consistente, a tenor del artículo 33 LOPD , en la autorización expresa del Director General de la AEPD. Asamblea Nacional Catalana que no disponía de dicho amparo legal, y ni siquiera había comunicado la realización de transferencias internacionales al inscribir el fichero, como es preceptivo.
En definitiva, y dado que ANC siguió conservando los datos alojados en los servidores de BSD hasta el mes de septiembre de 2016 en que se hizo efectiva la resolución del contrato con BSD, sin autorización previa de la Directora de la Agencia Española de Protección de Datos, ni amparo legal alguno, la misma incurre en la referida infracción del artículo 33 de la LOPD .
SEGUNDO.-De termina el artículo 33 de la LOPD que:
'1. No podrán realizarse transferencias temporales ni definitivas de datos de carácter personal que hayan sido objeto de tratamiento o hayan sido recogidos para someterlos a dicho tratamiento con destino a países que no proporcionen un nivel de protección equiparable al que presta la presente ley, salvo que además de haberse observado lo dispuesto en ésta, se obtenga autorización previa del Director de la Agencia de Protección de Datos, que sólo podrá otorgarse si se obtienen garantías adecuadas'.
Y el artículo 34 de la misma LOPD dispone que, no será de aplicación lo dispuesto en el artículo anterior 'k) Cuando la transferencia tenga como destino un Estado miembro de la Unión Europea o un Estado respecto del cual la Comisión de las Comunidades Europeas, en el ejercicio de sus competencias, haya declarado que garantiza un nivel de protección adecuado'.
Artículos que se desarrollan en el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD (RLOPD), artículos 65 a 70 , con excepción del 69 que hace referencia a la suspensión temporal de transferencias.
Preceptos conforme a los cuales las transferencias internacionales de datos llevadas a cabo por la entidad recurrente desde el inicio de la relación contractual ( 10 de julio de 2014), con la entidad BSD, radicada en Estados Unidos (EE.UU), se encontraban amparadas en la Decisión de la Comisión 2000/520/CE, que establecía el nivel adecuado de protección de las garantías para las transferencias internacionales de datos desde la Unión Europea a EE.UU ofrecidas por el acuerdo de 'Puerto Seguro' (Safe Harbour).
Situación que cambió con la declaración de invalidez de la Decisión 2000/520/CE, adoptada por la Sentencia del TJUE de 6 de octubre de 2015, C-362/14 , que entendió que el acuerdo de 'Puerto Seguro', no proporcionaba un nivel adecuado de protección de las garantías exigidas por la Directiva 95/46/CE para las transferencias internacionales de datos desde la Unión Europea a Estados Unidos.
La consecuencia de ello es que para las transferencias internacionales de datos del fichero Ara és lÂHora, del que es responsable ANC, a los servidores de BSD en Estados Unidos, se debió acudir al artículo 33 de la LOPD y al resto de la normativa de aplicación relacionada con tal transferencia internacional. En lugar de ello dicha entidad actora, con posterioridad a la citada sentencia del TJUE, siguió conservando los datos alojados en los servidores de BSD en Estados Unidos hasta el mes de septiembre de 2016 en que se hizo efectiva la resolución del contrato con BSD, sin haber recabado autorización de la Directora de la Agencia Española de Protección de Datos. De hecho, ni siquiera había comunicado la realización de transferencias internacionales, ni en la inscripción del fichero, al no marcarse dicha opción en la solicitud de inscripción por ANC del fichero Ahora es la Hora, que figura como activo desde el 8 de agosto de 2014, ni con posterioridad, pese a la exigencia establecida con carácter general para todos los casos por el artículo 66.3 del RLOPD.
TERCERO.La parte actora sustenta su pretensión impugnatoria de la demanda, en síntesis, en las siguientes consideraciones:
-Infracción del derecho a un procedimiento con garantías y de defensa previsto en el artículo 24.2 CE dado que solicitada la prueba Más Documental, consistente en que se librase certificado en el que constara el número de procedimientos sancionadores iniciados por la AEPD entre el 6 de octubre de 2015 y el 1 de agosto de 2016, por infracción del artículo 33 LOPD , al continuar utilizando los servicios de un proveedor situado en EEUU y que hubiera estado adherido al Safe Harbour (Puerto Seguro), tal petición fue inadmitida de hecho, sin motivación ninguna, causando indefensión.
-Infracción del principio de confianza legítima, culpabilidad y seguridad jurídica: tras declararse la invalidez de la Decisión Safe Harbour se produjeron una serie de declaraciones del Grupo del Artículo 29 y de la AEPD sobre las consecuencias que ello comportaba, especialmente una comunicación remitida por la AEPD a finales de octubre de 2015 a los responsables de los ficheros para que antes del 29 de enero informaran sobre las medidas adoptadas respecto de las transferencias internacionales amparadas en la Decisión anulada, comunicación matizada por la propia Agencia en diciembre de 2015, que en ningún momento anunció su intención de incoar procedimientos sancionadores por defecto contra las empresas, sino que se iniciaba una etapa de estudio y evaluación, hasta la aprobación del Privacy Shield el 12 de julio de 2016. Comunicaciones y declaraciones de la AEPD que hicieron confiar a ANC en que la irregular contratación de servicios de BSD no iba a ser objeto de sanción y que la aplicación del bloqueo de los datos como garantía frente a la situación de invalidez de la decisión respondió a la confianza de estar haciendo lo correcto.
-Infracción del principio de responsabilidad dado que la AEPD no entra a valorar el régimen de cotitularidad sobre el fichero Ahora es la Hora y sus consecuencias en el régimen de la atribución de responsabilidades en la presunta infracción. De las definiciones contenidas en los artículos 5.1.q ) y 4.7) del RLOPD en relación con el artículo 2.d) de la Directiva 95/46/CE se desprende que, respecto a un mismo fichero, pueden existir varios responsables cuando de forma conjunta decidan sobre el tratamiento, tal y como sucede en el presente caso, en que Omnium y ANC decidían conjuntamente la determinación de los fines y medios de los datos incorporados en el fichero Ahora es la Hora, manifestándose esta corresponsabilidad en todos los actos externos que han desarrollado ambas entidades.
La resolución impugnada reconoce la existencia de una única infracción atribuyendo a Omnium y a ANC la responsabilidad de la misma en una especie de coautoría, pero sin declararla taxativamente. Pero la coautoría, en el ámbito sancionador conlleva la responsabilidad solidaria entendida en los términos fijados por el TC en su sentencia 76/1990 . Por lo que debe estimarse que existe una responsabilidad solidaria y los hechos son constitutivos de una única infracción de la que deben responder solidariamente ambas entidades, por lo que la imposición de una multa a cada entidad supone la infracción del régimen de corresponsabilidad y comporta la nulidad de pleno derecho de la resolución impugnada.
-Infracción del principio de proporcionalidad por:
1) Actuación diligentes de ANC (45.5.b) LOPD)
2) Carácter continuado de la infracción ( artículo 45.4.a) LOPD )
3) Volumen de tratamientos ( artículo 45.4.b) LOPD )
4) Grado de intencionalidad ( artículo 45.4.f) LOPD )
5) Otras circunstancias relevantes para determinar el grado de antijuridicidad y de culpabilidad ( artículo 45.4.j) LOPD )
6) Arbitrariedad de la AEPD en la graduación de la sanción.
CUARTO.-De scritos en los anteriores fundamentos los antecedentes fácticos de la presente controversia en relación con las principales alegaciones en que se sustenta la demanda, resulta que la cuestión suscitada, sustancialmente idéntica a la planteada por la entidad Ómnium y resuelta en nuestra reciente sentencia de 29 de abril de 2019 dictada por esta misma Sala y Sección en el recurso 397/2017 . Razones de seguridad jurídica y de unidad de doctrina obligan a reiterar aquí los pronunciamientos efectuados en dicha sentencia, en la que razonamos lo siguiente:
En primer lugar, y en cuanto a la pretendida vulneración del derecho a un procedimiento con garantías y de defensa previsto en el artículo 24.2 CE :(...) el derecho a la práctica de la prueba, integrado en el más amplio derecho de defensa, no se configura en nuestro ordenamiento como un derecho absoluto a la práctica de cualquier medio de prueba, y sí, como un derecho a obtener y practicar las pruebas que en cada caso procedan ( SSTC 1/1996, de 15 de enero y 246/2000, de 16 de octubre ). En esta línea, reitera la STC 22/2008, de 31 de enero , que el derecho a utilizar los medios de prueba pertinentes para la defensa no tiene, en todo caso, carácter absoluto o, expresado en otros términos, no faculta para exigir la admisión de todas las pruebas que puedan proponer las partes en el proceso, sino que atribuye únicamente el derecho a la recepción y práctica de aquellas que sean pertinentes.
Por otro lado, según reiterada doctrina constitucional, para apreciar lesión del derecho a utilizar los medios de prueba pertinentes para la defensa ( art. 24.2 CE ) es necesario que la prueba interesada y no practicada resulte decisiva en términos de defensa. Así lo ha afirmado, entre otras, en la STC 129/2005, de 23 de mayo , al señalar en el FJ 4: 'Es necesario, por lo demás -como ya hemos recordado con anterioridad-, que la falta de actividad probatoria se haya traducido en una efectiva indefensión del recurrente, o lo que es lo mismo, que sea `decisiva en términos de defensa, lo que exige que el recurrente haya alegado y fundamentado adecuadamente dicha indefensión materia'.
Así las cosas, la recurrente solicitó la práctica de la citada prueba en vía administrativa, sin indicar la finalidad perseguida o que se pretendía probar con ella, visto que el número de eventuales procedimientos sancionadores iniciados por vulneración del artículo 33 LOPD , ni eliminaba ni modificaba la conducta realizada por la entidad recurrente ni su tipificación.
Sentado lo anterior y aun cuando la prueba se inadmitió sin un pronunciamiento expreso al respecto, sin embargo se considera que ninguna indefensión material se ha generado a la recurrente, puesto que en la resolución sancionadora se razona sobre las causas de la inadmisión, al señala que 'La existencia o no de procedimientos sancionadores por vulneración del art. 33 LOPD , no modula la conducta típica, culpable y antijurídica que se considera que han cometido las entidades denunciadas (...)'.
Por tanto, la omisión de la motivación en cuanto a la inadmisión de la citada prueba, que además era irrelevante, no ha causado indefensión material real y efectiva a la recurrente, ya que además de tratarse de una prueba no pertinente, ha podido formular alegaciones al respecto, tratándose de una irregularidad sin efectos invalidantes.
(...)En este sentido, señala el Tribunal Constitucional que para apreciar la existencia de lesión constitucional, no basta la existencia de un defecto procedimental, sino que es necesario que éste se haya traducido en indefensión material, esto es, en un perjuicio real y efectivo, nunca potencial y abstracto, de las posibilidades de defensa en un procedimiento con las necesarias garantías ( SSTC 15/1995, de 24 de enero y 1/2000, de 17 de enero , entre otras muchas). Sin que, como señala la STC 27/2001, de 29 de enero , exista indefensión material si, a pesar de haberse producido algún quebrantamiento procesal, las partes han podido defender sus derechos e intereses legítimos.
En definitiva, co nsidera esta Sala que no concurre la referida indefensión vulneradora del artículo 24.2 CE , y en cualquier caso, ha podido la parte alegar y probar, en esta vía judicial, cuanto ha estimado conveniente en defensa de sus derechos e intereses legítimos, por lo que ninguna lesión de su derecho de defensa ( artículo 24.2 CE ) puede ser apreciada.
QUINTO.-Respecto a la vulneración del principio de confianza legítima, razona la referida SAN de 29 de abril de 2019 (Rec. 397/2017 ) que:
(...) señala la STS de 3 de marzo de 2016 (Rec. 3012/2014 ) que (...) Conforme a lo declarado por la antes mencionada sentencia de 6 de julio de 2012 el principio de confianza legítima comporta que 'la autoridad pública no pueda adoptar medidas que resulten contrarias a la esperanza inducida por la razonable estabilidad en las decisiones de aquélla, y en función de las cuales los particulares han adoptado determinadas decisiones. (...) como se declara en la sentencia 3 de julio de 2012 (recurso 6558/2010 : '... La protección de la confianza legítima no abarca cualquier tipo de convicción psicológica subjetiva en el particular, siendo tan solo susceptible de protección aquella sobre aspectos concretos, que se base en signos o hechos externos producidos por la Administración suficientemente concluyentes...'.
Pero de las propias decisiones de esta Sala, se ha de concluir en un importante y relevante elemento para configurar la confianza legítima, a saber, que la concreta actuación que se espera en esa confianza sea conforme al Ordenamiento (sentencia últimamente citada), es decir, es preciso que la actuación de la Administración, con su conducta, induzca al administrado 'a creer que la actuación que él desarrolla es lícita y adecuada en Derecho'. En ese mismo sentido se ha declarado que no puede ampararse en la confianza legítima 'la mera expectativa de una invariabilidad de las circunstancias', como se declara en la sentencia de 22 de marzo de 2012 (recurso 2998/2008 , en la que se concluye que no puede mantenerse irreversible un comportamiento que se considera injusto.
Dando un paso más en esa vinculación entre actuación basada en la confianza legítima, la Jurisprudencia viene excluyendo la posibilidad de apreciarla cuando la actuación de la Administración no está sujeta a una potestad discrecional(...)'.
Sobre esta cuestión señalar que los comunicados realizados desde el Grupo de Trabajo del Artículo 29, así como las notas de prensa o publicaciones realizadas de la Agencia Española de Protección de Datos, no modifican la responsabilidad que se atribuye a(en el presente supuesto Asamblea Nacional Catalana)en la comisión que ahora se analiza.
Así, en la nota de prensa de 19 de octubre de 2015, referente a la publicación de una declaración conjunta de las Autoridades Europeas de Protección de Datos en relación con la aplicación se la sentencia del TJUE sobre Puerto Seguro, se advierte claramente que durante el período que se buscan soluciones políticas, jurídicas y técnicas que permitan transferencias de datos al territorio de EEUU respetando los derechos fundamentales, las Autoridades de protección de datos consideran que las Cláusulas Contractuales Tipo y las Normas Corporativas Vinculantes (BCRs) pueden seguir utilizándose. Añadiendo que 'En cualquier caso, esto no impedirá que las Autoridades de protección de datos investiguen casos particulares, por ejemplo a partir de denuncias, y ejerzan sus poderes con el fin de proteger a las personas'.
También en dicha nota, tras precisar que 'las transferencias que aún se estén llevando a cabo bajo la Decisión Puerto Seguro tras la sentencia del TJUE son ilegales.', se indica que 'Con el fin de garantizar que todos los actores están suficientemente informados, las Autoridades de protección de datos de la UE van a poner en marcha campañas de información adecuadas en sus respectivos países. Esto puede incluir información directa a todas las empresas respecto de las que conste que utilizaban la Decisión de Puerto Seguro, así como mensajes generales en los sitios web de las Autoridades.'
Por tanto, se advertía la posibilidad de iniciar actuaciones de investigación en caso de denuncia, tal y como ha ocurrido en este caso a raíz de las denuncias presentadas con fecha 26 de abril de 2016 y en ningún momento desde la AEPD se realizó comunicación que permitiera creer a los afectados que su actuación no podría ser sancionable, advirtiéndoles expresamente de la necesidad de adecuar su actuación a la nueva situación legal creada tras la Sentencia del TJUE. Prueba de ello es la comunicación enviada a los responsables el 29 de octubre de 2015, donde se indica 'Por ello, en el caso de que tenga previsto continuar transferencias internacionales de datos a Estados Unidos...deberán encontrar legitimación e ostros instrumentos como las Cláusulas Contractuales Tipo adoptadas por las decisiones de la Comisión Europea 2001/497/CE, 2004/915/CE y 2010/87/UE y en su caso, en las excepciones previstas en el artículo 34 de la LOPD que pudieran ser aplicables'.
Posteriormente en la comunicación de fecha 9 de diciembre de 2015, sobre la aplicación de la sentencia de Puerto Seguro, la AEPD señalaba que 'El marco temporal definido por las Autoridades europeas de protección de datos se concreta, en el caso de España, en que los responsables informen al Registro General de Protección de Datos de la AEPD antes de finales de enero sobre la continuidad de las transferencias y sobre su adecuación a la normativa de protección de datos. La Agencia en ningún momento ha anunciado su intención de iniciar procedimientos sancionadores por defecto contra las empresas. En la comunicación enviada a los responsables, la AEPD sólo indica que, de no modificarse la base legal para la realización de transferencias, la Agencia podrá iniciar el procedimiento para acordar, en su caso, la suspensión temporal de transferencias.'
La nota de prensa de 3 de febrero de 2016, se facilita por la AEPD 'con el objetivo de ofrecer información a los responsables que realizan transferencias de datos a EEUU' que se limita a señalar que la Comisión Europea y EEUU anuncian un nuevo marco para la realización de transferencias internacionales, advirtiendo, además, que la 'CE ha anunciado que en las próximas semanas prepara un borrador de 'Decisión de adecuación'. Por lo que dicha nota de prensa no modifica en modo alguno la situación anterior, ni exime del cumplimiento a los responsables del tratamiento de obtener la autorización a la que se refiere el artículo 33 de la LOPD .
En consecuencia, no se creó en ningún momento la apariencia de que determinadas conductas no serían sancionadas, sino que por el contrario, se advirtió expresamente a las empresas sobre los riesgos que asumían si realizaban dichas transferencias internacionales, indicando también expresamente la posibilidad de realizar actuaciones investigadoras ante la presentación de denuncias, como aquí ha ocurrido, lo que motiva la intervención de la AEPD. Debe tenerse en cuenta que los datos de carácter personal que contenía el fichero Ahora es la Hora del que es responsable Omnium permanecen en los servidores de BSD en Estados Unidos hasta finales de septiembre de 2016, en que se hace efectiva la resolución del contrato con BSD, es decir casi transcurrido un año de la STJUE de 6 de octubre de 2015.
Por tanto, no cabe apreciar infracción del principio de confianza legítima, seguridad ni culpabilidad asociado a los anteriores. Criterio que es el seguido por esta Sala en la Sentencia de 30 de noviembre de 2018 (Rec. 302/2017), recaída en un supuesto similar al presente (PS/391/2017 de la AEPD), referente también a una infracción del artículo 33 de la LOPD por haberse realizado transferencias internacionales de datos de carácter personal a una entidad radicada en Estados Unidos, entre el 20 de octubre de 2015 y el 29 de marzo de 2016 (con posterioridad a la STJUE), sin mediar autorización previa de la Directora de la Agencia Española de Protección de Datos. En el citado Rec. 302/2017, se invocaba la infracción de la doctrina de los actos propios, estrechamente conectada a la de protección de la confianza legítima, con base en esas notas de prensa o comunicaciones de la AEPD y del Grupo del Artículo 29, infracción de la doctrina de los actos propios que se rechaza, argumentando al respecto en el Fundamento de Derecho quinto in fine de la sentencia 'de las citadas notas de prensa o comunicaciones no se desprende el reconocimiento por la Agencia Española de Protección de Datos de un periodo de transitoriedad como pretende la actora, y, en todo caso, debe prevalecer el interés público salvaguardado por el principio de legalidad'.
SEXTO.-En cuanto al principio de responsabilidad, que asimismo se considera vulnerado por la parte actora, su vulneración también se suscitó en la tantas veces citada SAN de 29 de abril de 2019 , para cuya resolución esta última asimismo se remite a la anterior sentencia de esta Sala y Sección de 2 de diciembre de 2018 dictada en el Rec. 453/2016 , en la que expusimos lo siguiente:
'Respecto de la responsabilidad solidaria que asimismo se sostiene en la demanda, ha de exponerse lo siguiente:
Efectivamente el artículo 2.d) de la Directiva 95/46/CE , al definir la figura del responsable del fichero o tratamiento alude a que la determinación de los fines y los medios del tratamiento de datos personales se puede hacer 'sólo o conjuntamente con otros', y en el mismo sentido el articulo 4.7 RGPD de 2016 conceptúa como 'responsable': 'la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros'.
Aunque el artículo 3, apartado d) LOPD no matiza en tal sentido, la distinción sí aparece en el artículo 5.q) del RD 1720/2007, de 21 de diciembre , que define como tal la persona física o jurídica, de naturaleza pública o privada u órgano administrativo, que solo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento aunque no lo realice materialmente. El 43.1 LOPD determina que 'Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley'.
Es dicho poder de decisión sobre la finalidad y uso del tratamiento donde radica la esencia de la figura del responsable de fichero o tratamiento, responsable que puede venir constituido, a tenor de la normativa expuesta, bien por una persona o bien por varias personas.
A este respecto, resulta esclarecedor el Dictamen 1/2010 del GT29, en el que se indica que: 'En el dictamen de la Comisión sobre la enmienda del PE, la Comisión menciona la posibilidad de que 'varias partes determinen conjuntamente, para una única operación de tratamiento, los fines y los medios del tratamiento que se vaya a llevar a cabo' y, por lo tanto, en tal caso, 'cada uno de estos corresponsables del tratamiento debe considerarse vinculado por las obligaciones impuestas por la Directiva de proteger a las personas físicas cuyos datos se estén tratando''.Se añade que 'la definición de tratamiento contenida en el artículo 2.b) de la Directiva no excluye la posibilidad de que distintos agentes estén implicados en diferentes operaciones o conjuntos de operaciones en materia de datos personales. Estas operaciones pueden producirse simultáneamente o en distintas fases'.Y se concluye que'la participación de las partes en la determinación de los fines y los medios del tratamiento en el contexto del control conjunto puede revestir distintas formas y el reparto no tiene que ser necesariamente a partes iguales... Los distintos grados de control pueden dar lugar a distintos grados de responsabilidad, y desde luego no cabe presumir que haya una responsabilidad solidaria en todos los casos. Por lo demás, es muy posible que en sistemas complejos con varios agentes el acceso a datos personales y el ejercicio de otros derechos de los interesados también los puedan garantizar distintos agentes a diferentes niveles'.
A pesar de lo argumentado en la demanda no puede apreciarse en el supuesto la existencia de una única infracción de la que han de responder solidariamente Omnium y ANC. Conforme a todo lo razonado con anterioridad, ha de declararse una responsabilidad individual y a título 'personal' ( aun tratándose de una persona jurídica) de cada una de ambas personas jurídicas, dada la posibilidad de que varias partes o corresponsables, determinen conjuntamente, para una única operación de tratamiento, los fines y los medios del tratamiento que se vaya a llevar a cabo, tal y como refiere el mencionado Dictamen 1/2010 del GT29 , que alude a la posibilidad de que distintos agentes estén implicados en diferentes operaciones o conjuntos de operaciones en materia de datos personales.'
Ello es lo acontecido también en el presente caso(continúa la SAN de 29/04/2019 )en el que ambas entidades no sólo han decidido conjuntamente, sino que cada una de ellas ha realizado individualmente las acciones constitutivas de la infracción, por lo que la responsabilidad es individual y a título personal.
Así resulta que ANC y OC realizaron cada una en el Registro General de Protección de Datos, sendas inscripciones relativas al fichero Ara és lÂHora, que es el objeto de la transferencia internacional de datos y en el anexo de privacidad del contrato de servicio de alojamiento con la empresa BSD, figuran ambas entidades como firmantes y en calidad de Data Controller, es decir, responsables del tratamiento.
Por tanto, y siguiendo el criterio expuesto en la citada SAN de 2 de diciembre de 2018 (Rec. 453/2016 ), el motivo debe ser desestimado.
SÉPTIMO.-A la infracción del principio de proporcionalidad, que por último se invoca la demanda, también se refiere la SAN dictada en el Rec. 397/2017 , en la que exponemos lo siguiente:
El principio de proporcionalidad de las sanciones, como señalan las SSTS de 3 de diciembre de 2008 (Rec. 6602/2004 ) y 12 de abril de 2012 (Rec. 5149/2009 )es el fundamental que late y preside el proceso de graduación de las sanciones e implica, en términos legales, que debe de existir una 'debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada', como dispone el artículo 131.3 de la LRJPA y en igual sentido el artículo 29.3 de la Ley 40/2015, de Régimen Jurídico del Sector Público .
Dicho principio no puede sustraerse al control jurisdiccional, pues el margen de apreciación que se otorga a la Administración en la imposición de sanciones dentro de los límites legalmente previstos, debe ser desarrollado ponderando en todo caso las circunstancias concurrentes, al objeto de alcanzar la necesaria y debida proporción entre los hechos imputados y la responsabilidad exigida, dado que toda sanción debe determinarse en congruencia con la entidad de la infracción cometida y según un criterio de proporcionalidad en relación con las circunstancias del hecho. De modo que la proporcionalidad constituye un principio normativo que se impone a la Administración y que reduce el ámbito de sus potestades sancionadoras.
En el caso de autos, la resolución sancionadora dedica el Fundamento de Derecho 7 a la determinación de la sanción a imponer, aplica el apartado 5.a) del artículo 45 de la LOPD por la concurrencia significativa de los apartados d) y e) del artículo 45.4, al no tener entre su objetivo como actividad principal la explotación de bases de datos ni otra actividad focalizada en el tratamiento de datos personales y no constando que se hayan obtenido beneficios económicos ni de ninguna clase como consecuencia de la comisión de la infracción.
Respecto a la determinación de la sanción de 90.000 €, dentro del intervalo de las infracciones graves (de 40.001 a 300.000 €), la AEPD considera que operan como agravantes a los efectos de dicha graduación, la concurrencia de los criterios a) carácter continuado de la infracción, b) el volumen de tratamientos efectuados, habiéndose acreditado un volumen de 884.953 registros, f) grado de intencionalidad, y j) la naturaleza de los datos objeto de tratamiento, pues son datos sensibles de ideología.
La actora estima, por el contrario, que debería haberse aplicado el artículo 45.5 b) de la LOPD para descender de escala, en lugar del artículo 45.5.a), de forma que los criterios que la AEPD utilizó para aplicar el artículo 45.5.a) LOPD deberían haber sido tenidos en cuenta en la graduación de la sanción. Igualmente rechaza la apreciación de las circunstancias agravantes tomadas en consideración por la resolución impugnada y postula la nulidad de pleno derecho de la resolución sancionadora ex artículo 62.1.e) de la LRJPAC y subsidiariamente, la reducción de la sanción a su importe mínimo de 40.001 €.
El artículo 45.5 de la LOPD dispone que el órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada: 'b) Cuando la entidad infractora haya regularizado la situación irregular de forma diligente'.
(...) difícilmente cabe apreciar la invocada circunstancia del artículo 45.5.b) LOPD , cuando los datos se mantienen en los servidores de BSD en Estados Unidos, después de la STJUE de 6 de octubre de 2015 hasta que el 22 de agosto de 2016 se inicia el periodo de preaviso de un mes para resolución del contrato con BSD. Es decir, durante casi un año, hasta septiembre de 2016, se mantienen los datos en un servidor ubicado en un país cuyas transferencias requieren la autorización prevista en el artículo 33 LOPD .
Cabe poner de relieve, que la mera tenencia de los datos en un Estado donde las autoridades podían acceder a los datos personales transferidos y tratarlos de manera incompatibles con las finalidades de la transferencia (apartado 90 de la STJU de octubre de 2015), constituye en si mismo un riesgo, que como indica el párrafo 91 de la citada sentencian impide que los afectados 'dispongan de garantías suficientes que permitan proteger eficazmente sus datos personales contra los riesgos de abuso y contra cualquier acceso o utilización ilícita de éstos'.
De tal forma que el bloqueo del acceso al fichero por parte de Omnium no impedía que las autoridades gubernativas de ese tercer Estado pudieran acceder y gestionar sin restricción el fichero, en tanto que cualquier ciudadano que quisiera ejercer los derechos previstos en la LOPD difícilmente podrían hacerlo al estar el fichero bloqueado.
(...)Por todo lo cual y remitiéndonos a lo ya expuesto más arriba sobre la inexistencia de vulneración del principio de confianza legítima, siendo constatable de la mera lectura de la STJUE el riesgo al que estaban sometidos los datos al permanecer en los servidores de una empresa en Estados Unidos, aunque estuvieran bloqueados, no cabe hablar de actuación diligente ni apreciar, en definitiva, la circunstancia propugnada del artículo 45.5.b) de la LOPD .
Se analiza a continuación, en la SAN de 29 de abril de 2019 , la inexistencia de las circunstancias modificativas previstas en las letras a ), b ), f ) y j) del apartado 4 del artículo 45 de la LOPD , en los siguientes términos:
Respecto al criterio a), carácter continuado de la infracción, reiterar que de lo expuesto más arriba se desprende que, con posterioridad a la anulación por el TJUE de la Decisión de la Comisión 2000/50/CE, la entidad recurrente continuó manteniendo los datos en los servidores de BSD en Estados Unidos, sin mediar autorización previa de la Directora de la AEPD, hasta septiembre de 2006. Frente a lo sostenido por la actora, no puede tomarse en consideración como inició de la comisión de la infracción el 22 de enero de 2016, según lo argumentado al tratar de la confianza legítima y siguiendo el criterio de la citada SAN de 30 de noviembre de 2018 (Rec. 302/2017 ), ni como fecha final la del 22 de agosto de 2016 en que se efectuó el preaviso de un mes para la resolución del contrato con BSD, pues durante ese mes los datos siguieron permaneciendo en los ficheros de BSD en Estados Unidos.
En cuanto al criterio b), volumen de tratamientos efectuados, se destaca el elevado número de registros, habiéndose acreditado un volumen de 684.952 registros que fueron objeto de tratamiento durante el tiempo en que se mantuvieron en los servidores de BSD en un tercer país, Estados Unidos, ya que de acuerdo con el artículo 3.c) de la LOPD y 5.1.t) de su Reglamento de desarrollo, se considera tratamiento cualquier operación o procedimiento técnico, que permita la recogida, grabación, conservación,elaboración, bloqueo etc. de datos.
Sobre el criterio f), grado de intencionalidad, insiste la actora en que Omnium(e n este caso ANC)mantuvo una actitud diligente reiterando argumentos expuestos con anterioridad y que no pueden ser aceptados como ya se ha argumentado al rechazar la aplicación de la circunstancia del artículo 45.5.b) de la LOPD y ponen de relieve la existencia de una grave falta de diligencia por parte de la recurrente.
Por lo que se refiere al criterio j), cualquier otra circunstancia relevante para determinar el grado de antijuricidad y tipicidad, habiéndose tomado en cuenta la naturaleza de los datos al considerar que se estaban tratando datos sensibles de ideología, se alega por la actora que no puede confirmarse que se traten de datos de dicha naturaleza por cuanto la resolución recaída en el PS/235/2015 está recurrida ante esta jurisdicción y esa es una de las cuestiones discutidas. Argumento que debe decaer al haberse desestimado el recurso contencioso administrativo interpuesto por Omnium contra la resolución dictada en el citado PS/235/2015 por la ya citada SAN de 2 de diciembre de 2018 (Rec. 453/2016 ), que confirma se tratan de datos personales relativos a ideología.
El hecho de que en el PS/391/2017 seguido por la infracción del artículo 33 LOPD derivada de la invalidez de la Decisión Safe Harbour se sancionara con multa de 45.000 € responde a las circunstancias específicas concurrentes en el citado supuesto, del que ha conocido esta Sala en la SAN de 30 de noviembre de 2018 (Rec. 302/2017 ), derivadas del diferente periodo temporal, la naturaleza de los datos, la no aplicación del grado de intencionalidad como agravante etc, sin que pueda atribuirse, como pretende la actora, a arbitrariedad por parte de la AEPD en orden a los criterios aplicables.
Por todo ello considera también aquí la Sala, al igual que en supuesto anterior al que tantas veces nos hemos remitido en la presente sentencia, que la sanción de 90.000 euros de multa impuesta a ANC resulta ponderada y proporcionada a la gravedad de la infracción cometida y la entidad de los hechos, sin que se aprecien razones que justifiquen su minoración, lo que conlleva la integra desestimación del recurso contencioso administrativo interpuesto.
OCTAVO.-Co nforme a lo dispuesto en el artículo 139.1 de la Ley Jurisdiccional , procede la imposición de las costas procesales a la entidad actora, cuyas pretensiones han sido desestimadas.
Fallo
DESESTIMARel recurso contencioso-administrativo interpuesto por la representación de Assemblea Nacional Catalana, frente a la resolución de la Directora de la Agencia Española de Protección de Datos de 4 de mayo de 2017 dictada en el PS/00391/2016, que confirma en reposición la resolución de 22 de febrero de 2017; con imposición de costas a la parte actora.
La presente sentencia es susceptible de recurso de casación, que deberá prepararse ante esta Sala en el plazo de 30 días contados desde el siguiente al de sunotificación; en el escrito de preparación del recurso deberá acreditarse el cumplimiento de los requisitos establecidos en el art. 89.2 de la Ley de la Jurisdicción justificando el interés casacional objetivo que presenta.
Así por esta nuestra Sentencia, lo pronunciamos, mandamos y firmamos.
PUBLICACIÓN.- Dada , leída y publicada fue la anterior Sentencia en audiencia pública. Doy fe. Madrid a.
LA LETRADA DE LA ADMINISTRACIÓN DE JUSTICIA.
