Sentencia ADMINISTRATIVO Audiencia Nacional, Sala de lo Contencioso, Sección 1, Rec 467/2018 de 24 de Abril de 2019

Encabezamiento

A U D I E N C I A N A C I O N A L

Sala de lo Contencioso-Administrativo

SECCIÓN PRIMERA

Núm. de Recurso:0000467/2018

Tipo de Recurso:PROCEDIMIENTO ORDINARIO

Núm. Registro General:03729/2018

Demandante: Emilia

Procurador:ANA BELEN GARCIA ISABEL

Demandado:AGENCIA PROTECCIÓN DE DATOS

Abogado Del Estado

Ponente IIma. Sra.:Dª. LOURDES SANZ CALVO

S E N T E N C I A Nº:

IImo. Sr. Presidente:

D. EDUARDO MENÉNDEZ REXACH

Ilmos. Sres. Magistrados:

Dª. LOURDES SANZ CALVO

D. FERNANDO DE MATEO MENÉNDEZ

Dª. NIEVES BUISAN GARCÍA

Madrid, a veinticuatro de abril de dos mil diecinueve.

Visto por la Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional el recurso contencioso administrativo número467/2018interpuesto por la Procuradora de los Tribunales Dª Ana Belén García, en nombre y representación deDª. Emilia , frente la resolución de la Directora de la Agencia Española de Protección de Datos de fecha 20 de abril de 2018, dictada en el expediente de Tutela de Derechos, TD/00157/2018, que confirma en reposición la resolución de 26 de enero de 2018; ha sido parte en autos, la Administración del Estado demandada representada y defendida por el Abogado del Estado.

Antecedentes

PRIMERO.- Interpuesto el recurso Contencioso-administrativo ante esta Sala de lo Contencioso administrativo de la Audiencia Nacional y turnado a esta Sección, fue admitido a trámite, reclamándose el expediente administrativo, para, una vez recibido emplazar a la actora para que formalizara la demanda, lo que así se hizo en escrito en la que tras exponer los hechos y fundamentos de derecho qué consideró oportunos, terminó suplicando que se dicte sentencia por la que: 1º) se revoque la resolución recurrida; 2º) se prosiga la instrucción de la denuncia con los actos que sean necesarios hasta la finalización; 3) se inicien cuantos expedientes sancionadores sean necesarios si resulta que Iberdrola ha incumplido las obligaciones respecto de los derechos que asisten a la recurrente, entre otros, de acceso y rectificación; 4) se inicien cuantos expedientes sancionadores sean necesarios contra las mencionadas empresas por su negligente comportamiento y mala práctica comercial.

SEGUNDO.-El Abogado del Estado, en su escrito de contestación a la demanda, tras alegar los hechos y fundamentos de derecho qué consideró aplicables, postuló se dicte sentencia desestimatoria de la demanda, confirmando íntegramente la resolución impugnada por ser ajustada a Derecho.

TERCERO.-Re cibido el recurso a prueba, admitida la documental y evacuado el trámite de conclusiones, se señaló para votación y fallo el día 9 de abril de 2019, en que tuvo lugar.

Ha sido Ponente la Magistrada Ilma. Sra. Dª. LOURDES SANZ CALVO.

Fundamentos

PRIMERO.- La demandante impugna la resolución de la Directora de la Agencia Española de Protección de Datos (AEPD) de fecha 20 de abril de 2018 dictada en el procedimiento TD/00157/2018, que confirma en reposición la de 26 de enero de 2018, que de acuerdo con lo previsto en los artículos 18 y 37.1.d) de la Ley Orgánica 15/1999, de Protección de Datos de carácter personal (LOPD) inadmitió la reclamación formulada.

Dª Emilia presentó escrito en fecha 12 de enero de 2018 ante la AEPD, en el que relata que al haber sido informada verbalmente por su banco que sus datos personales figuraban en el fichero Asnef por una supuesta deuda con Iberdrola, en fecha 15 de noviembre de 2016 envió las correspondientes solicitudes de acceso y, en su caso, cancelación de datos personales, tanto a Iberdrola Clientes SAU como Asnef. Que Asnef respondió a la solicitud de cancelación formulada pero Iberdrola no, habiéndose negado a atender las solicitudes formuladas sin justificar suficientemente tales negativas, pese a que la inclusión de sus datos en dicho fichero se había efectuado con incumplimiento de lo dispuesto en el artículo 29.2 LOPD y en los artículos 38 y 40 del R Real Decreto 1720/2007 , por el que se aprueba el Reglamento de desarrollo de la LOPD (RLOPD). Solicitaba la tutela de la AEPD por vulneración del artículo 16 de la LOPD y de los artículos 29.2, 38, 39 y 40 del RLOPD y que ordene que tanto Iberdrola como Asnef procedan a cancelar los datos personales de Dª Emilia , procediendo además a iniciar cuantos expedientes sancionadores sean necesarios contra las mencionadas empresas por su negligente comportamiento y mala práctica.

Reclamación a la que recayó la resolución de 26 de enero de 2018, confirmada en reposición por la resolución de 20 de abril de 2018, aquí impugnada. Argumenta la AEPD, en esencia, que la afectada presenta reclamación de tutela de derechos contra Equifax Ibérica S.L. (como responsable del fichero Asnef) e Iberdrola Clientes SAU, por no haber atendido las solicitudes de cancelación sin justificar suficientemente tales negativas. Que examinada la documentación aportada con la reclamación, resulta que Equifax Ibérica (responsable del fichero Asnef) contestó a la afectada con fecha 28 de diciembre de 2016, informándole que había dado traslado de su solicitud a Iberdrola Clientes SAU y que ésta contestó confirmando la existencia de la deuda y, en consecuencia la permanencia de los datos en el fichero Asnef. Por tanto, considera que se ha atendido la solicitud de ejerció del derecho de la afectada según lo previsto en la LOPD y en el Título III de su Reglamento de desarrollo.

SEGUNDO.-La actora alega, que ejercitados los derechos de acceso y cancelación de datos personales ante los titulares de los ficheros Iberdrola y Equifax Ibérica, en los que se habían incluido los datos personales de la recurrente, sin cumplir los requisitos exigidos legalmente, se negaron a atender las correspondientes solicitudes, sin justificar tales negativas e Iberdrola sin contestar siquiera a dicha solicitud.

Esgrime que la resolución recurrida es nula de pleno derecho, por infracción del artículo 16.1 de la LOPD en relación con el artículo 32.2 del RLOPD, al no haberse requerido a Iberdrola para que acredite el cumplimiento de su deber de contestar a la solicitud de acceso y cancelación de datos formulada. Señala que la inclusión de los datos de Dª Emilia por Iberdrola se llevó a cabo con infracción del articulo 38.1.a) y c) del RLOPD, por cuanto ni existe deuda cierta, ni fue requerida previamente de pago, y la AEPD debió requerir a Ibedrola para que acreditara dichas circunstancias, por lo que al no haberlo hecho debe proseguirse con la instrucción de la denuncia. Incumplimiento de la legislación de protección de datos que también imputa la actora al responsable del fichero de solvencia patrimonial Asnef.

Frente a dicha pretensión opone el Abogado del Estado que el derecho de cancelación ejercitado por la recurrente ha sido debidamente atendido tanto por Asnef como por Iberdrola.

Así señala que Asnef contestó la solicitud formulada por la ahora recurrente mediante carta de 28 de diciembre de 2016, en la que comunicaba que Iberdrola Clientes SAU había confirmado la existencia de la deuda y por tanto la permanencia de los datos en el fichero, por lo que el derecho de cancelación ejercido respecto a Asnef ha sido puntualmente atendido, siendo cosa distinta que no proceda a la cancelación de sus datos.

En cuanto a Iberdrola, manifiesta que comunicó a Asnef la existencia y vigencia de la deuda anotada, por lo que el derecho de la actora debe entenderse también atendido por parte de su acreedora.

TERCERO.-Para el análisis del recurso interpuesto, debemos tomar como punto de partida que el artículo 29 de la LOPD autoriza el tratamiento de datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actué por su cuenta o interés. Ahora bien, solo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos.

Por su parte, el artículo 16 de la LOPD atribuye, con carácter general, al responsable del tratamiento de los datos de carácter personal la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días. Además dispone, que serán rectificados o cancelados en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la citada Ley y, en particular, cuando tales datos resulten inexactos o incompletos.

Igualmente, establece que si los datos rectificados o cancelados hubieran sido comunicados previamente, el responsable del tratamiento deberá notificar la rectificación o cancelación efectuada a quien se hayan comunicado, en el caso de que se mantenga el tratamiento por este último, que deberá proceder también a la cancelación.

Y el artículo 17 de la LOPD dispone que los procedimientos para ejercitar el derecho de oposición, acceso, así como los de rectificación y cancelación serán establecidos reglamentariamente.

En consonancia con lo expuesto, el artículo 18 de la LOPD reconoce al interesado al que se deniegue, total o parcialmente los derechos de oposición, acceso, rectificación o cancelación, a ponerlo en conocimiento de la Agencia Española de Protección de Datos, que deberá asegurarse de la procedencia o improcedencia de la denegación.

Los derechos tanto de acceso como de cancelación son derechos personalísimos, y su ejercicio se encuentra sometido a lo dispuesto en el artículo 44 del RLOPD. El apartado 2, se refiere al ejercicio del derecho de acceso en relación con la inclusión de sus datos en un fichero regulado en el artículo 29.2 de la LOPD y señala, que si la solicitud se dirigiera al titular del fichero común, éste deberá comunicar al afectado todos los datos relativos al mismo que obren en el fichero y además deberá facilitar las evaluaciones y apreciaciones que sobre el afectado se hayan comunicado en los últimos seis meses y el nombre y dirección de los cesionarios.

El apartado 3, del citado artículo 44 LOPD , señala que cuando el interesado ejercite sus derechos de rectificación o cancelación en relación con la inclusión de sus datos en un fichero regulado en el artículo 29.2 de la LOPD , se tendrán en cuenta, por lo que aquí nos interesa, las siguientes reglas:

1. Si la solicitud se dirige al titular del fichero común, éste tomara las medidas oportunas para trasladar dicha solicitud a la entidad que haya facilitado los datos, para que sea ésta la que resuelva. En el caso de que el responsable del fichero común no haya recibido contestación por parte de la entidad en el plazo de 7 días procederá a la rectificación o cancelación cautelar de los mismos.

2. Si la solicitud se dirige quien haya facilitado los datos al fichero común procederá a la rectificación o cancelación de los mismos en sus ficheros y a notificarlo al titular del fichero común en el plazo de 10 días, dando asimismo respuesta al interesado en los términos previstos en el artículo 33 de este Reglamento.

Por tanto, presentada la solicitud de cancelación de datos ante el titular del fichero común, éste se encuentra obligado tan solo a trasladar dicha solicitud a la entidad que haya facilitado los datos, para que ésta resuelva al respecto. De modo que no le corresponde al responsable del fichero común decidir si procede o no tal rectificación y sólo en el caso de que no recibiera contestación por esta última entidad en el plazo de 7 días, habría de proceder a la rectificación o cancelación 'cautelar' de los mismos.

Corresponde al acreedor (o quien actúe por su cuenta o interés) que solicita la inclusión de los datos del deudor relativos al incumplimiento de obligaciones dinerarias en un fichero de solvencia patrimonial y de crédito, asegurarse de que concurren los requisitos establecidos en los artículos 38 y 39 del RLOPD, conforme establece el artículo 43 del citado Reglamento, o lo que es igual, comprobar la exactitud y veracidad de los mismos e instar su cancelación cuando la deuda sea inexistente o se encuentre cancelada, o no se hayan cumplido.

Razón por la cual corresponde a la entidad que facilita los datos al fichero común proceder a la rectificación o cancelación de los datos cuyo tratamiento no se ajuste a lo dispuesto en la LOPD, criterio reiterado por esta Sala y Sección, entre otras, en sentencias de 26 de enero de 2012 (Rec. 196/2011 ), 1 de octubre de 2012 (Rec. 231/2011 ), 2 de octubre de 2013 (Rec. 355/2012 ).

CUARTO.-En el presente caso, según consta de la documentación aportada con la reclamación ante la AEPD, la demandante ejercitó ante Asnef Equifax su derecho de acceso y cancelación de todos sus datos personales, de conformidad con los artículos 16 de la LOPD y artículos 31 , 32 , 38 y 44 del Reglamento de desarrollo de la LOPD . Equifax Ibérica S.L. es la entidad responsable del fichero Asnef, en el que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias y en el que constaban incluidos los datos de las denunciante asociados a una deuda de electricidad gas de Iberdrola Clientes.

Dicho escrito, datado el 11 de noviembre de 2016, fue recibido por Equifax el 18 de noviembre de 2016, según el acuse de recibo de Correos aportado como documento nº 8 en vía administrativa.

Equifax respondió el 28 de diciembre de 2016 a dicha solicitud formulada por Dª Emilia de acceso, cancelación de sus datos, que al estar sus datos incluidos en el fichero Asnef a instancia de la entidad Sierra Capital, Iberdrola Clientes SAU, había trasladado su solicitud a la citada entidad Sierra Capital, Iberdrola Clientes SAU, procediendo la misma a confirmar la existencia de la deuda y por tanto la permanencia de los datos en el fichero. Equifax le remite acceso formal al fichero Asnef con objeto de que pueda comprobar los datos que se encuentran actualmente registrados y asimismo le adjuntan lo que denominan como Histórico de Consultas, que consiste en toda la información relativa a entidades que, en su caso, hayan consultado sus datos en los últimos seis meses.

Le indican, que ante cualquier duda o cuestión que pueda surgir en relación al ejercicio de derechos en cuestión, están a su entera disposición y que en caso de no estar conforme con lo señalado en dicho escrito, de acuerdo con el artículo 33 del Reglamento de Desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de carácter personal, tiene la posibilidad de recabar la tutela efectiva de su derecho ante la Agencia Española de Protección de Datos.

Finalmente le informan sobre los usos y finalidades previstos del citado fichero.

Es decir, Equifax ha dado cumplida respuesta tanto al derecho de acceso como al de cancelación ejercitado, en el que no se hacía ninguna referencia al artículo 40 del RLOPD, sin que le sea exigible otra conducta que no fuere la de denegar la cancelación, pues, como se ha dicho no le corresponde a él verificar el cumplimiento de los requisitos exigidos en los artículos 38 y 39 del RLOPD. Por tanto la respuesta adoptada por la resolución impugnada en relación con Asnef-Equifax resulta inobjetable

Cosa distinta cabe decir en relación con Iberdrola Clientes SAU, ante quien la demandante (documento número 5 de los aportados ante la AEPD) ejercitó su derecho de cancelación de todos sus datos personales, de conformidad con los artículos 16 de la LOPD y artículos 31 , 32 , 38 y 44 del Reglamento de desarrollo de la LOPD .

Dicho escrito, datado también el 11 de noviembre de 2016, fue entregado en fecha 21 de noviembre de 2016 según el acuse de recibo de Correos. Sin embargo, y a diferencia de lo que sucede con Equifax no consta que Iberdrola haya dado respuesta al mismo ni en el plazo de 10 días a que se refiere el artículo 32.2 de RLOPD ni con posterioridad, por lo que no cabe compartir la decisión adoptada de inadmitir la reclamación de tutela contra dicha entidad, sin que el hecho de haber manifestado a Equifax la existencia y vigencia de la deuda anotada, pueda eximirla de responder a la petición de cancelación por la recurrente.

Pero es que además en la denuncia se alude al incumplimiento de los requisitos establecidos en el artículo 38.1.a) y c) del RLOPD y se señala que la denunciante no ha tenido conocimiento de la existencia de la deuda, no habiendo habido ningún requerimiento previo de pago como obliga el art 38.c) del citado Reglamento, antes de la inclusión de sus datos en el fichero Asnef, sin que la AEPD se haya pronunciado sobre el particular ni se haya practicada ninguna actuación para esclarecer dichos hechos, por lo que se considera necesario recabar la versión de Iberdrola sobre el particular, pudiendo la AEPD, en su caso, practicar las actuaciones que considere necesarias a tal fin, y a su vista resolver lo que considere procedente.

En definitiva, procede estimar parcialmente el recurso interpuesto.

QUINTO.-De conformidad con lo dispuesto en el artículo 139.1 de la Ley Jurisdiccional , no procede efectuar imposición de costas.

Vistos los artículos citados y demás de pertinente y general aplicación

Fallo

ESTIMAR PARCIALMENTEel recurso contencioso-administrativo interpuesto por la Procuradora de los Tribunales Dª Ana Belén García, en nombre y representación deDª. Emilia , frente a la resolución de la Directora de la Agencia Española de Protección de Datos de fecha 20 de abril de 2018, dictada en el expediente de Tutela de Derechos, TD/00157/2018, que confirma en reposición la resolución de 26 de enero de 2018, resoluciones que se anulan parcialmente en lo que respecta a la inadmisión de la tutela de derechos formulada respecto de Iberdrola Clientes SAU, confirmándose en relación con Asnef-Equifax, debiéndose practicar las actuaciones necesarias a los efectos señalados en el penúltimo párrafo del Fundamento de Derecho cuarto; sin imposición de costas.

La presente sentencia es susceptible de recurso de casación ante el Tribunal Supremo que deberá prepararse ante esta Sala en el plazo de 30 días contados desde el siguiente al de sunotificación; en el escrito de preparación del recurso deberá acreditarse el cumplimiento de los requisitos establecidos en el artículo 89.2 de la Ley de la Jurisdicción justificando el interés casacional que presenta.

Así por esta nuestra sentencia, lo pronunciamos, mandamos y firmamos.

PUBLICACIÓN.- Dada , leída y publicada fue la anterior Sentencia en audiencia pública. Doy fe. Madrid a.

LA LETRADA DE LA ADMINISTRACIÓN DE JUSTICIA.