Sentencia ADMINISTRATIVO Audiencia Nacional, Sala de lo Contencioso, Sección 1, Rec 549/2018 de 03 de Enero de 2020

Encabezamiento

A U D I E N C I A N A C I O N A L

Sala de lo Contencioso-Administrativo

SECCIÓN PRIMERA

Núm. de Recurso:0000549/2018

Tipo de Recurso:PROCEDIMIENTO ORDINARIO

Núm. Registro General:04315/2018

Demandante:CAJA RURAL DE GRANADA SCC

Procurador:ANA CARO ROMERO

Demandado:AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS

Abogado Del Estado

Ponente IIma. Sra.:Dª. FELISA ATIENZA RODRIGUEZ

S E N T E N C I A Nº:

IImo. Sr. Presidente:

D. EDUARDO MENÉNDEZ REXACH

Ilmos. Sres. Magistrados:

Dª. FELISA ATIENZA RODRIGUEZ

Dª. LOURDES SANZ CALVO

D. FERNANDO DE MATEO MENÉNDEZ

Dª. NIEVES BUISAN GARCÍA

Madrid, a tres de enero de dos mil veinte.

Vistos los autos del recurso contencioso-administrativo nº 549/2018 que ante esta Sala de lo Contencioso-Administrativo de la Audiencia Nacional, ha promovido la Procuradora Dª Ana Caro Romero, en nombre y representación de CAJA RURAL DE GRANADA frente a la Administración General del Estado, representada por el Abogado del Estado, contra la Resolución de 24 de mayo de 2018 de la Directora de la Agencia Española de Protección de Datos, que confirma en reposición la resolución de 4 de abril de 2018 (que después se describirá en el primer Fundamento de Derecho) siendo ponente la Ilma. Sra. Magistrado Dña. FELISA ATIENZA RODRÍGUEZ.

Antecedentes

PRIMERO.- El presente recurso se interpuso en fecha 19 de julio de 2018, y admitido a trámite y previos los oportunos trámites procedimentales, se confirió traslado a la parte actora para que, en el término de veinte días formalizara la demanda, lo que llevó a efecto mediante escrito presentado el día 29 de octubre de 2018 en el que, tras exponer los hechos y fundamentos de derecho que estimó oportunos, terminó solicitando que se dictara sentencia por la que se acordara:

a) estimando íntegramente la misma, revoque la Resolución recurrida de la Directora de la Agencia Española de Protección de Datos referida en este recurso anulando la misma y absolviendo a mi mandante de la sanción impuesta contra la misma por considerarla contraria a derecho, conforme a lo expuesto, con todos los pronunciamientos legales incluidas costas.

b) Subsidiariamente, apreciando la existencia de circunstancias que, en aplicación del principio de proporcionalidad, exigen una moderación de la sanción, aplique el art. 45.5 LOPD , imponiendo la sanción inferior en grado con la escala económica de las infracciones leves (entre 900 a 40.000 euros) o,

c) también con carácter subsidiario a esta última pretensión, se reduzca la sanción al mínimo de las infracciones graves (40.001 euros).

SEGUNDO.- Formalizada la demanda se dio traslado de la misma a la parte demandada para que la contestara en el plazo de veinte días, lo que realizó mediante escrito de 2 de febrero de 2019, alegando los hechos y fundamentos jurídicos que estimaron pertinentes, solicitando la desestimación del recurso, con expresa imposición de costas a la parte recurrente.

TERCERO.- Quedaron los autos conclusos para sentencia, señalándose para votación y fallo el día 17 de diciembre de 2019, fecha en que tuvo lugar.

Fundamentos

PRIMERO.- Se impugna en el presente recurso contencioso administrativo, la resolución de 24 de mayo de 2018 de la Directora de la Agencia Española de Protección de Datos, que confirma en reposición la resolución de 4 de abril de 2018, recaídas en el procedimiento sancionador nº. PS/00540/2017, por la que se le impone una sanción de 60.000 euros por la infracción del art. 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre (en adelante LOPD), vigente a la sazón, tipificada como grave del art. 44.3.c) de la citada norma.

Los Hechos Probados en que se basa la resolución sancionadora son los siguientes:

1.- El 25/01/12, Sr. Teodulfo realizó un ingreso de un cheque por valor de1.256,97€, en su cuenta corriente abierta en la CR. GRANADA.

2.- El 28/03/12 la CR GRANADA, realizó un cargo de 1.256,97 euros, en la

cuenta del Sr Teodulfo por el valor del cheque al declararle incobrable, aplicando una comisión de 37,71 € por la devolución; 30,00 euros por la comisión de reclamación por descubierto y 10,39 euros por la liquidación cuenta vista, lo que provocó un descubierto en su cuenta de 594,91euros, al no tener fondos suficientes.

3.- El 15/04/16 el denunciante interpone demanda contra la CR GRANADA, ante el Juzgado de 1ª Instancia de Granada al considerar (punto cuarto de la demanda) que las cantidades que ha cargado la entidad en su cuenta son indebidas.

4.- El 30/09/16, se produce una baja cautelar de los datos del fichero BADEXCUG a petición del interesado.

5- El 02/12/16, el Juzgado de 1ª Instancia de Granada admite a trámite la demanda interpuesta contra la Caja Rural y da traslado a las partes.

6.- El 15/12/16, CR GRANADA, tiene conocimiento de la demanda por la devolución del cheque y los gastos ocasionados.

7.- El 11/05/17 CR GRANADA niega la baja cautelar de los datos personales del denunciante del fichero BADEXCUG, a solicitud de éste.

8.- El 25/07/17 CR GRANADA es reclamada por la AEPD para aporte información respecto de la denuncian interpuesta por el Sr Teodulfo.

9.- El 31/07/17 Los datos son personales del denunciante son dados de baja del

fichero Badescug, por última vez, a petición de CR GRANADA.

10.- El 22/11/17, se emite sentencia nº 189/2017 del Procedimiento: Juicio Ordinario 855/16 del Juzgado de 1ª Instancia de Granada , donde se desestima la reclamación interpuesta por el Sr Teodulfo en la demanda.

SEGUNDO.- La infracción imputada a la parte actora deriva de lo previsto en el art. 44.3.c) de la LOPD en relación con el principio recogido en el art. 4 apartado 3 de la citada Ley. El citado art. 44.3.c) de la LOPD tipifica como infracción grave: 'Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave'.

Y el art. 4.3 de la LOPD establece, dentro del principio de calidad de datos, la exigencia de la exactitud y veracidad de los datos: 'Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado'. Además hay que tener en cuenta, el art. 29 de la LOPD, y todo ello con la Instrucción 1/1995, de 1 de marzo, de la Agencia Española de Protección de Datos, relativa a prestación de servicios de información sobre solvencia patrimonial y crédito, que indica, en su norma primera, punto 1 que: 'La inclusión de los datos de carácter personal en los ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias, a los que se refiere'ese art. 29 de la LOPD , 'deberá efectuarse solamente cuando concurran los siguientes requisitos: a) Existencia previa de una deuda cierta, vencida y exigible, que haya resultado impagada. b) Requerimiento previo de pago a quien corresponda, en su caso, el cumplimiento de la obligación'. Y se añade en el punto 3: 'El acreedor o quien actúe por su cuenta e interés deberá asegurarse que concurren todos los requisitos exigidos en el número 1 de esta norma en el momento de notificar los datos adversos al responsable del fichero común'.

Por otra parte, el art. 38 del Reglamento de desarrollo de la LOPD regula los 'requisitos para la inclusión de los datos' en esos ficheros y ha sido impugnado en algunos de sus apartados ante el Tribunal Supremo, habiéndose dictado la STS de 15 de julio 2010 -recurso nº. 23/2008-, que anula entre otros preceptos, por disconformes a derecho, el último inciso del art. 38.1.a) y el apartado 2 del citado art. 38.

Considera el Alto Tribunal que la parte del art. 38.1.a) anulada, que es la que aquí nos interesa, no responde a la previsión legal del art. 4.3 de la LOPD, en atención a la defectuosa redacción del precepto reglamentario por una inconcreción en su texto no solo de aquellos procedimientos que justifican la no inclusión en los ficheros de las deudas a que aquellos se refieren, sino también porque esa vaguedad permite considerar que incluso cuando la reclamación se formule por el acreedor exista la imposibilidad de inclusión de los datos en el fichero.

La redacción del reseñado art. 38 tras la aplicación de la citada Sentencia del Tribunal Supremo de 15 de julio de 2010 es la siguiente: '1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:

a) Existencia previa de una deuda cierta, vencida, exigible que haya resultado impagada.

b) Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación.

c) Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación.

3 El acreedor o quien actué por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo a que se refiere el artículo siguiente'.

TERCERO.-Se sanciona a la parte actora por haber incluido los datos personales del denunciante en el fichero de solvencia patrimonial Badexcug, estando discutida la deuda ante los Tribunales, por lo que la deuda no era cierta y exigible.

Debemos partir, que el 25 de enero de 2012, el denunciante había ingresado un cheque en su cuenta corriente en la entidad denunciante que resultó incobrable, por lo que la entidad cargó en su cuenta el importe de dicho cheque más una comisión de 37,71 euros por la devolución, 30 euros por la comisión de reclamación de descubierto y 10,39 euros por la liquidación cuenta vista, por lo que resultó un descubierto en dicha cuenta de 549,91 euros, al no disponer de fondos suficientes. El denunciante interpuso demanda contra la entidad ante el Juzgado de 1ª Instancia de Granada, de la que tuvo conocimiento la recurrente el 15 de diciembre de 2016. En fecha 11 de mayo de 2017, la entidad bancaria niega la baja cautelar de los datos personales del denunciante del fichero Badescug, que son finalmente retirados del fichero en fecha 31 de julio de 2017, a petición de la propia entidad. En fecha 22 de noviembre de 2017,se emitió sentencia por el órgano jurisdiccional desestimando la reclamación del particular.

La recurrente alega que la deuda era exacta, liquida, vencida y exigible y que la jurisdicción civil desestimó la demanda. Sostiene que en realidad el pleito civil se refería a una reclamación de daños y perjuicios pero no ponía en duda la existencia de la deuda. Denuncia vulneración del criterio de la AEPD y de la Audiencia Nacional, citando sentencias de esta Sala. Pide que se le aplique el nuevo Reglamento de Protección de Datos así como el principio de proporcionalidad y se le rebaje la sanción al mínimo de 40.001 euros.

Pues bien, con independencia del resultado de la sentencia dictada por el Juzgado civil, es lo cierto que, cuando se produce la inscripción en el fichero de solvencia patrimonial de los datos de carácter personal del denunciante, la deuda estaba siendo discutida en vía judicial a instancia del denunciante, no solo reclamando una cantidad en concepto de daños y perjuicios, sino también combatiendo la existencia de la deuda. Se trata, en definitiva, y conforme a lo que constituye doctrina consolidada y reiterada de esta Sala (a pesar de la anulación parcial del art. 38.1.a) del Real Decreto 1.720/2007 por la anteriormente reseñada Sentencia del Tribunal Supremo de 15 de julio de 2010, que se cita en la demanda) de que la deuda informada no era cierta, vencida y exigible. Y ello, tal y como hemos razonado en innumerables ocasiones, porque la impugnación de la deuda, cuestionando su existencia o certeza, ante los órganos administrativos, arbitrales o judiciales competentes para declarar la existencia o inexistencia de la misma, a través de resoluciones de obligado cumplimiento para las partes, impide que pueda hablarse de una deuda cierta, al menos, hasta que recaiga resolución firme.

Debemos recordar que, como esta Sala también ha reiterado en numerosísimas ocasiones, aquél que utiliza un medio extraordinario de cobro, como es el de la anotación de la deuda en un registro de morosos, debe garantizar el cumplimiento de todos los requisitos materiales (exactitud del dato) y formales (requerimiento previo) que permitan el empleo de este modo accesorio para conseguir el abono de la deuda.

CUARTO.-A lo expuesto, hay que añadir que la existencia de culpabilidad resulta clara en el caso de autos por falta de diligencia de la entidad recurrente, pues si dicha parte actora hubiera actuado con la diligencia debida, habría cumplido con los requisitos exigibles para dar de alta al denunciante en el fichero de solvencia patrimonial, por lo que la conducta apreciada le es atribuible a título de culpa, por lo que no puede hablarse de vulneración del principio de culpabilidad.

Ha de tomarse además en consideración que tal entidad demandante, por la actividad que realiza, debe tratar un gran volumen de datos personales en sus ficheros, lo que hace que deba extremar el cuidado en el manejo de dichos datos para lograr una protección eficaz, máxime si se tiene en cuenta que está en juego un derecho fundamental autónomo, el derecho a la protección de datos personales del art. 18.4 de la Constitución.

Por las razones expuestas, la parte actora le es imputable la infracción grave tipificada en el art. 44.3.c) de la LOPD, como recogen la resolución recurrida.

En cuanto a la vulneración del principio de proporcionalidad en relación con la cuantía de la sanción impuesta. Se argumenta que, la baja en el fichero se produjo a instancias de la recurrente y fue anterior a la notificación de la sentencia civil. Por otro lado, sostiene que se deben apreciar la falta de intencionalidad, la actitud diligente de la parte actora, la falta de beneficios económicos obtenidos por la sociedad demandante, y que en supuestos similares la AEPD y también esta Sala ha impuesto sanciones menores e incluso la absolución.

En la resolución recurrida se dice al respecto en relación con el art. 45 de la LOPD, lo siguiente:

'En aplicación del citado precepto señalar que tras las evidencias obtenidas en la fase de investigaciones previas, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el art. 45.4 de la LOPD :

a) el carácter continuado de la infracción, apartado 4 a), pues los datos del denunciante deberían haber sido cancelados de forma cautelar, el 15/12/16, estando inscritos hasta el 31/07/17, (7 meses y 15 días).

b) la vinculación de la actividad del infractor con la realización de tratamientos de carácter personal tanto de clientes como de terceros, (apartado 4.c).

c) El volumen de negocio de la entidad denunciada, (apartado 4.d).

El balance de las circunstancias contempladas en el artículo 45 de la LOPD , permite fijar una sanción de 60.000 (sesenta mil euros)'.

Pues bien, de conformidad con las consideraciones expuestas acerca de la proporcionalidad existente entre la sanción impuesta y la gravedad de la infracción sancionada, y teniendo en cuenta las circunstancias concurrentes en el presente caso, estima la Sala que, atendiendo a las consideraciones expuestas por la recurrente y al precedente de la Sala, resulta más ponderada y proporcionada a la gravedad de la infracción cometida y la entidad de los hechos, imponer la sanción en su cuantía mínima de 40.001 euros.

En consecuencia, procede estimar parcialmente la demanda, en el sentido de reducir la sanción impuesta a 40.001 euros.

QUINTO.-A tenor del art. 139.1 de la Ley de la Jurisdicción no procede imponer las costas procesales a ninguna de las partes.

En atención a lo expuesto y en nombre de Su Majestad el Rey, la Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, ha decidido:

Fallo

ESTIMAR PARCIALMENTE el recurso contencioso-administrativo interpuesto por la Procuradora de los Tribunales Dª Ana Caro Romero, en nombre y representación de CAJA RURAL DE GRANADA, contra la resolución de 24 de mayo de 2018 de la Directora de la Agencia Española de Protección de Datos, que confirma en reposición la resolución de 4 de abril de 2018, recaídas en el procedimiento sancionador nº. PS/00540/2017, por la que se le impone una sanción de 60.000 euros por la infracción del art. 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, tipificada como grave del art. 44.3.c) de la citada norma, declaramos las citadas resoluciones conformes a derecho, salvo en la cuantía de la sanción que se anula y se reduce a la cantidad de 40.001 euros.

Sin hacer expresa imposición de las costas procesales.

La presente sentencia es susceptible de recurso de casación, que deberá prepararse ante esta Sala en el plazo de 30 días contados desde el siguiente al de su notificación; en el escrito de preparación del recurso deberá acreditarse el cumplimiento de los requisitos establecidos en el art. 89.2 de la Ley de la Jurisdicción justificando el interés casacional objetivo que presenta.

Así, por esta nuestra Sentencia, lo pronunciamos, mandamos y firmamos.

PUBLICACIÓN.- Dada, leída y publicada fue la anterior Sentencia en Audiencia Pública. Doy fe.

Madrid a

EL LETRADO DE LA ADMINISTRACIÓN DE JUSTICIA