Encabezamiento
A U D I E N C I A N A C I O N A L
Sala de lo Contencioso-Administrativo
SECCIÓN PRIMERA
Núm. de Recurso:0000421/2015
Tipo de Recurso:PROCEDIMIENTO ORDINARIO
Núm. Registro General:00921/2015
Demandante:SISTEMAS MÉDICOS PROFESIONALES, SL.
Procurador:Dª BEATRIZ GONZÁLEZ RIVERO
Letrado:D. ERNESTO JOSÉ MUÑOZ CORRAL
Demandado:AGENCIA PROTECCIÓN DE DATOS
Abogado Del Estado
Ponente IImo. Sr.:D. EDUARDO MENÉNDEZ REXACH
S E N T E N C I A Nº:
IImo. Sr. Presidente:
D. EDUARDO MENÉNDEZ REXACH
Ilmos. Sres. Magistrados:
Dª. FELISA ATIENZA RODRIGUEZ
Dª. LOURDES SANZ CALVO
D. FERNANDO DE MATEO MENÉNDEZ
Dª. NIEVES BUISAN GARCÍA
Madrid, a veinticuatro de octubre de dos mil dieciocho.
Visto el recurso contencioso administrativo que ante esta Sala de lo Contencioso Administrativo de la Audiencia Nacional ha promovidoSistemas Médicos Profesionales, SL, representada por la Procuradora Dª Beatriz González Rivero,contra la Administración General del Estado, representada por el Abogado del Estado, sobre sanción por infracción grave de la Ley de Protección de Datos. Ha sido Ponente el Presidente de esta Sección Iltmo. Sr. D. EDUARDO MENÉNDEZ REXACH .
Antecedentes
PRIMERO.-El acto impugnado procede del Director de la Agencia Española de Protección de Datos y es la Resolución de 22 de octubre de 2014.
SEGUNDO.-Interpuesto recurso contencioso administrativo ante la Sala de lo Contencioso Administrativo de esta Audiencia Nacional, después de admitido a trámite y reclamado el expediente administrativo, se dio traslado al recurrente para que formalizara la demanda, solicitando en el suplico la estimación del recurso.
TERCERO.-Presentada la demanda, se dio traslado de la misma al Abogado del Estado, con entrega del expediente administrativo para que la contestara y, formalizada dicha contestación, solicitó en el suplico que se desestimaran las pretensiones del recurrente y que se confirmara el acto impugnado por ser conforme a Derecho.
CUARTO.-Contestada la demanda se recibió el pleito a prueba, practicándose la propuesta y admitida a instancia del actor, con el resultado que obra en autos; finalizada la tramitación, quedaron los autos conclusos para sentencia, señalándose para votación y fallo el día 9 de octubre de 2018 en el que, efectivamente, se votó y falló.
Fundamentos
PRIMERO.- El presente recurso tiene por objeto la Resolución de 22 de octubre de 2014, confirmada en reposición por otra de 17 de diciembre del mismo año, del Director de la Agencia Española de Protección de Datos (AEPD), por la que se impuso a la demandante una sanción de 2.000 euros por infracción grave del art. 6.1., en relación con el 44.3.b ) y 45, todos de la LOPD .
SEGUNDO.-La recurrente solicita que se anule la resolución.
Alega que el 1 de abril de 2012 suscribió un contrato de servicios con Mega Data Integral Services, que suministraría los datos personales de una campaña de marketing directo, sin intervención de la demandante y debiendo dar cumplimiento a las exigencias de la Ley de Protección de Datos, pero la documentación utilizada fue objeto de denuncia ante la Agencia de Protección de Datos que terminó en la resolución sancionadora aquí impugnada.
Fundamenta sus alegaciones en que no trató datos personales ni fue responsable de su tratamiento, como resulta del contrato suscrito con Mega Data, por lo que no existe culpabilidad en su conducta y se le ha producido indefensión al valorar la prueba; añade que existen precedentes administrativos en que no se han sancionado conductas idénticas, en aplicación del principio de confianza legítima y cita al respecto el procedimiento de la AEPD PS 52/2012.
TERCERO.-La representación de la Administración demandada, por su parte, opone que la demandante no aporta ningún dato que satisfaga lo dispuesto en el artículo 46.3 del Reglamento de Protección de Datos y rechaza la validez de la comparación propuesta con otro expediente sancionador, al no darse las mismas circunstancias; por todo ello solicita la desestimación del recurso, con imposición de las costas a la demandante.
CUARTO.-La Resolución impugnada, contiene la siguiente declaración de hechos probados:
'UNO.- En fecha de 18/03/2013 el denunciante recibe en, su domicilio una carta en la que se publicita un evento que tendrá lugar en fecha de 26/03/2013 en el que constan los datos personales de éste consistentes en nombre y apellidos, el domicilio con piso y puerta. (folio 8)
DOS.- En 1a leyenda del envío comercial consta lo siguiente: 'La información utilizada para este envío publicitario procede de ficheros propiedad de MEGA DATA INTEGRAL SERVICES S. L. - Apartado de Correos 10012 - 48080 BILBAO, donde usted podrá ejercer sus derechos de acceso, rectificación, cancelación y oposición (folio 8)
TRES.- En fecha de 19./03/2013 el denunciante ejerce su derecho de acceso y cancelación frente a MEGA DATA INTEGRAL SERVILES, S.L., siendo recibido dicho escrito en fecha de 08/04/2013 ( Folios 12 a 14)
CUATRO.- Mediante escritos fechados en abril de 2013 y recibidos por el denunciante en fecha de 15/05/2013 (folios 17 a 19 y 23) MEGA DATA INTEGRAL SERVILES, S.L contesta al denunciante informando que ha procedido a la cancelación dé sus datos personales y que (...) en ningún caso, nuestra empresa es responsable de las campañas que realicen nuestros clientes (...) y respecto del origen de los datos manifiesta que 'se obtienen de listados accesibles al público: páginas blancas, páginas amarillas, QDQ, repertorios de servicios de telecomunicaciones (11811, 11850, 11888, etc.), revistas u otros medios de comunicaciones, nombramientos oficiales, diarios oficiales, etc.- los cuales han sido sujetos a un proceso. de normalización, a fin de unificar criterios y nomenclaturas de nombre propios, apellidos, nombres de vías, direcciones y poblaciones. (...)...
CINCO.- En el envío publicitario se promociona un evento y consta en la parte superior izquierda de dicha carta: SISTEMAS MEDICOS PROFESIONALES, S.L. y figura como remitentes de dicho envío SISTEMAS MÉDICOS PROFESIONALES, S.L.
SEXTO: Los datos personales del denunciante no constan en, el repertorio de abonados a servicios telefónicos'.
En los Fundamentos de Derecho, que rechazan motivadamente las alegaciones de la demandante, se considera acreditada la existencia de una infracción grave prevista en el artículo 6.1, que recoge el principio del consentimiento en el tratamiento de los datos personales; de dicha infracción se considera autora a la demandante y se le impone la multa en la cuantía mencionada en aplicación del art. 45. 4 LOPD .
QUINTO.-El art. 6.1., dispone que'el tratamiento de datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa'y añade, en su apartado segundo, los supuestos en los que no será preciso dicho consentimiento, entre los que se encuentra el supuesto en que los datos se refieran a las partes de un contrato o precontrato de una relación negocial.
El art.3 h) de la LOPD define el'consentimiento del interesado'como'toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen'.
Como ha recordado esta Sala en su sentencia de 13 de septiembre de 2013, recurso 65/12 : '[...] El principio del consentimiento expresado conllevará, por tanto, la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, permitiéndose así a aquel ejercer efectivo control sobre dichos datos y garantizando su poder de disposición sobre los mismos. Dicho consentimiento podrá prestarse de forma expresa, oral o escrita, o de manera tácita, mediante actos reiterados y concluyentes que revelen su existencia [...]' añadiendo que: '[...] el consentimiento ha de ser necesariamente 'inequívoco'. De modo que ha de aparecer como evidente, o, lo que es lo mismo, que no admite duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar el consentimiento.
Por otro lado, la carga de acreditar la existencia del 'consentimiento inequívoco', a que hace referencia el art. 6.1 de la LOPD , recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos ( Sentencia de esta Sección de 8 noviembre 2012 -recurso nº. 789/2010 -)[...]'.
Por su parte, el art. 46 del Reglamento LOPD , que se ocupa del tratamiento de datos en campañas publicitarias, dice que'2. En caso de que una entidad contrate o encomiende a terceros la realización de una determinada campaña publicitaria de sus productos o servicios, encomendándole el tratamiento de determinados datos, se aplicarán las siguientes normas:
a) Cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que contrate la campaña, ésta será responsable del tratamiento de los datos.
b) Cuando los parámetros fueran determinados únicamente por la entidad o entidades contratadas, dichas entidades serán las responsables del tratamiento.
c) Cuando en la determinación de los parámetros intervengan ambas entidades, serán ambas responsables del tratamiento.
3. En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento.
4. A los efectos previstos en este artículo, se consideran parámetros identificativos de los destinatarios las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma'.
En la resolución impugnada se considera a la demandante responsable del tratamiento -y a Mega Data responsable del fichero-, por lo que, conforme al artículo 12 del Reglamento citado, le corresponde la prueba de la existencia del consentimiento del afectado, lo que no ha realizado en este recurso; conocía, además, por la existencia de un procedimiento anterior (PS 52/2010), los problemas derivados del contrato con Mega Data, por lo que no es aceptable la alegación consistente en la creencia de estar obrando dentro de la legalidad o que ese precedente sirva para excluir la responsabilidad en este caso, en aplicación del principio de confianza legítima.
Esta conclusión se estima acorde con los datos que figuran en el expediente, sin que en su valoración se aprecie error ni, menos aún, pueda haber causado indefensión material a la demandante, quien ha podido defenderse y presentar prueba para justificar su pretensión respecto de la validez y vigencia de los contratos presentados y, en particular, sobre la tardía presentación de un contrato de fecha 1 de abril de 2012, frente al presentado al inicio del procedimiento administrativo que era de fecha posterior (1 de abril de 2013) al envío de la comunicación comercial (18 de marzo de 2013). Además, la obligación de demostrar la existencia de consentimiento en supuestos como el presente de campañas publicitarias, consiste en la adopción de medidas para comprobar que la comercializadora actúa en cumplimiento de las normas de protección de datos a que se alude de forma genérica en el contrato que figura a los folios 117 a 119 del expediente.
En cuanto al precedente invocado, rechazado explícitamente en la resolución al ser diferentes las circunstancias de hecho en uno y otro caso, esta Sala ha rechazado, en la sentencia de 30 de abril de 2015 (R. 242/2015 ), la utilización de ese mismo precedente para fundar la infracción del principio de confianza legítima, en los siguientes términos:
'[...] Por otro lado, se alude por la parte actora a la conculcación del principio de confianza legítima al existir precedentes administrativos, en concreto, en el procedimiento sancionador PS 52/2012, incoado por la Agencia contra Todo Data Integral Services, S.L., en que no se han sancionado conductas idénticas a la de la parte actora.
En relación con la doctrina de los actos propios resultan de interés lo declarado en las Sentencias del Tribunal Supremo de 28 de diciembre 2012 -recurso nº. 273/2009 - y 3 julio 2013 -recurso nº. 2.511/2011 -, entre otras, que tratan sobre la infracción del principio de vinculación por actos propios, doctrina, surgida originariamente en el ámbito del derecho privado, que significa la vinculación del autor de una declaración de voluntad al sentido objetivo de la misma y la imposibilidad de adoptar después un comportamiento contradictorio, estando la misma doctrina estrechamente ligada al principio de buena fe y de protección de la confianza legítima, positivizados en el artículo 3.1 de la Ley 30/1992 , de 216 de noviembre, y que ha sido acogida igualmente por la jurisprudencia del Tribunal Supremo ( SS.TS. de 1 de febrero de 1990 ; 13 de febrero y 4 de junio de 1992 ; 28 de julio de 1997 ). En consecuencia, tal doctrina, indican las citadas Sentencias, supone que la actuación de las Administraciones Públicas no puede ser alterada arbitrariamente, y añaden: < esta Sala de 26 de febrero de 2001, RC 5453/1995 dijimos que 'Tanto la doctrina del Tribunal Constitucional como la Jurisprudencia de este Alto Tribunal (STS de 1 de febrero de 1999 ) considera que el principio de buena fe protege la confianza que fundadamente se puede haber depositado en el comportamiento ajeno e impone el deber de coherencia en el comportamiento propio. Lo que es tanto como decir que dicho principio implica la exigencia de un deber de comportamiento que consiste en la necesidad de observar de cara al futuro la conducta que los actos anteriores hacían prever y aceptar las consecuencias vinculantes que se desprenden de los propios actos, constituyendo un supuesto de lesión a la confianza legítima de las partes 'venire contra factum propium'. Ahora bien, este principio no puede invocarse para crear, mantener o extender, en el ámbito del Derecho público, situaciones contrarias al ordenamiento jurídico, o cuando del acto precedente resulta una contradicción con el fin o interés tutelado por una norma jurídica que, por su naturaleza, no es susceptible de amparar una conducta discrecional por la Administración que suponga el reconocimiento de unos derechos y/u obligaciones que dimanen de actos propios de la misma. O, dicho en otros términos, la doctrina invocada de los 'actos propios' sin la limitación que acaba de exponerse podría introducir en el ámbito de las relaciones de Derecho público el principio de la autonomía de la voluntad como método ordenador de materias reguladas por normas de naturaleza imperativa, en las que prevalece el interés público salvaguardado por el principio de legalidad; principio que resultaría conculcado si se diera validez a una actuación de la Administración contraria al ordenamiento jurídico por el solo hecho de que así se ha decidido por la Administración o porque responde a un precedente de ésta".
Con la alegación de la parte actora, de la existencia de precedentes administrativos, lo que se pretende es extender, en el ámbito del Derecho público, situaciones contrarias al ordenamiento jurídico, pues, en el caso que nos ocupa, como hemos analizado, cabe apreciar en la conducta de la parte actora la infracción del art. 6.1 de la LOPD en relación con el art. 46 del RDLOPD, siendo indiferente al respecto que en otros supuestos, la Agencia Española de Protección de Datos, no haya sancionado a la entidad que contrataba la campaña de publicidad'.
Por tanto, cabe apreciar falta de diligencia en la actuación de la parte actora, constituyendo los hechos imputados una infracción del art. 6 de la LOPD en relación con el art. 46 del RDLOPD, tipificada como grave en el art. 44.3.b) de dicha Ley , sin que quepa apreciar falta de culpabilidad [...]'.
Por las mismas razones procede desestimar esta última alegación, lo que comporta la desestimación del recurso en su integridad.
SEXTO.-En aplicación del art. 139.1. de la Ley de esta Jurisdicción , imponer las costas a la demandante cuyas pretensiones han sido totalmente desestimadas.
Fallo
PRIMERO.-Desestimar el presente recurso nº 421/2015, interpuesto por la Procuradora Sra. González Rivero, en la representación que ostenta, contra la Resolución de la Agencia Española de Protección de Datos descrita en el primer Fundamento de Derecho, que se confirma, por ser conforme a derecho.
SEGUNDO.-Imponer a la demandante las costas del recurso.
La presente sentencia es susceptible de recurso de casación que deberá prepararse ante esta Sala en el plazo de 30 días contados desde el siguiente al de su notificación; en el escrito de preparación del recurso deberá acreditarse el cumplimiento de los requisitos establecidos en el artículo 89.2. de la Ley de la Jurisdicción justificando el interés casacional objetivo que presenta.
Así, por esta nuestra sentencia, testimonio de la cual se remitirá junto con el expediente administrativo a su oficina de origen para su ejecución, lo pronunciamos, mandamos y firmamos.
PUBLICACIÓN.-Dada, leída y publicada fue la anterior sentencia en audiencia pública. Doy fe. En Madrid, a
LA LETRADA DE LA ADMINISTRACIÓN DE JUSTICIA
