Sentencia Administrativo Audiencia Nacional, Sala de lo Contencioso, Sección 1, Rec 594/2009 de 06 de Junio de 2012

Encabezamiento

Procedimiento: CONTENCIOSO

SENTENCIA

Madrid, a seis de junio de dos mil doce.

Visto por la Sección Primera de laSala de lo Contencioso-Administrativode la Audiencia Nacional el recurso contencioso administrativo número594/2009interpuesto porSABERLOTODO INTERNET S.L.representada por el Procurador Sr. Calleja García contra la resolución del Director de la Agencia Española de Protección de Datos de fecha 1 de junio de 2009 dictada en el PS/00629/2008; ha sido parte en autos, la Administración demandada, representada y defendida por el Abogado del Estado.

Antecedentes

PRIMERO.- Interpuesto el recurso Contencioso-administrativo ante esta Sala de lo Contencioso administrativo de la Audiencia Nacional y turnado a esta Sección, fue admitido a trámite, reclamándose el expediente administrativo, para, una vez recibido emplazar a la actora para que formalizara la demanda, lo que así se hizo en escrito en el que tras exponer los hechos y fundamentos de derecho que consideró oportunos, terminó suplicando que se dicte sentencia que estimando íntegramente la demanda, anule las sanciones impuestas por ser contrarias a derecho y se condene en costas por su temeridad a la demandada.

SEGUNDO.-El Abogado del Estado, en su escrito de contestación a la demanda, tras alegar los hechos y fundamentos de derecho qué consideró aplicables, postuló una sentencia por la que se desestime el recurso interpuesto, confirmando la resolución impugnada por ser conforme a derecho, con imposición de costas a la demandante.

TERCERO.-Recibido el recurso a prueba y practicada la admitida, se planteó por la representación procesal de Saberlotodo Internet S.L. incidente de recusación contra los Magistrados de esta Sección, que tras su tramitación, con suspensión de la tramitación del procedimiento hasta su resolución, fue resuelto por auto del instructor designado a tal fin de fecha 21 de febrero de 2012, alzándose la suspensión. Evacuado el trámite de conclusiones, se señaló para votación y fallo el día 30 de mayo de 2012, en que tuvo lugar.

La cuantía del recurso se ha fijado como indeterminada.

Ha sido Ponente la Magistrada Ilma. Sra.Dª. LOURDES SANZ CALVO.

Fundamentos

PRIMERO.- Se impugna en el presente recurso contencioso-administrativo la resolución del Director de la Agencia Española de Protección de Datos de fecha 8 de enero de 2009 dictada en el PS/00629/2008 que sanciona a la entidad Saberlotodo Internet S.A. por una infracción del artículo 6.1 LOPD , tipificada como grave en el artículo 44.3.d) LOPD , con una multa de 60.101.21 € y por una infracción del artículo 11.1 LOPD tipificada como muy grave en el artículo 44.4.b) LOPD , con una multa de 300.506,05 €.

Considera la AEPD que Saberlotodo Internet S.L. registró en sus ficheros automatizados los datos de los denunciantes, sin que haya acreditado que contara con su consentimiento y sin que concurriera ninguna de las circunstancias previstas en el artículo 6.2, por lo que vulneró el principio del consentimiento recogido en el artículo 6 LOPD . Señala que el censo electoral y el padrón municipal no son fuente de acceso público, de modo que la utilización y cesión de los datos provenientes de las mismas efectuadas por Saberlotododo no se ajusta a las previsiones de la LOPD. Además se incorporan a este fichero datos de carácter personal facilitados por la entidad Detectives Lucentum S.L., que le presta servicios para la elaboración de informes de solvencia, sin que conste acreditado que las investigaciones encargadas por Saberlotodo estén motivadas y justificadas por un interés legítimo que, además, guarde relación con las personas investigadas y con la obtención de información sobre conductas o hechos privados, conforme a lo establecido en el artículo 19 de la Ley 23/1992, de Seguridad Privada . Indica que Saberlotodo para justificar el consentimiento de los afectados, esgrime que con anterioridad a la incorporación de sus datos a sus ficheros, les remitió una comunicación informándoles de dicha inclusión, por lo que si no ejercen sus derechos para oponerse a dicho tratamiento entiende que prestan el consentimiento. Sin embargo, la AEPD considera que no se ha acreditado que los afectados recibieran dichas notificaciones y en todo caso, la información facilitada no permite considerar válidamente prestado el consentimiento.

En cuanto a la cesión inconsentida de datos, señala la AEPD que Saberlotodo tiene como objeto social la explotación de datos que pone a disposición de sus clientes a través de Internet, concretamente a través del sitio web 'sabelotodo.com'. Para ello dicha entidad formaliza con sus clientes un contrato de suministro de información, vía Internet, que permite a estos clientes acceder a la información contenida en el fichero 'Domicilios' a través del mencionado sitio web y mediante la utilización de una clave de usuario. Saberlotodo tiene en sus ficheros los datos de los denunciantes DRH, MJ y CCL y cedió éstos a Multigestión Ibérica y Gispert, sin que conste que estos denunciantes hubieran dado su consentimiento y sin que concurriera ninguno de los requisitos contemplados en el artículo 11.2 LOPD , estas entidades accedieron en varias ocasiones al citado fichero y los utilizaron para actuaciones de recobro.

SEGUNDO.-Para la resolución del presente procedimiento se estima de interés señalar los siguientes hechos probados:

D. Abilio (DRH), David (MJ) y D.ª Florinda (CCL) denunciaron ante la AEPD a las entidades Multigestión Iberia S.A., en los dos primeros casos, a Caixa D'Estalvis de Catalunya (Caixa Catalunya) y a Gispert en el último caso, por haber utilizado sus respectivos datos de carácter personal para requerirles de pago de una deuda, mediante escritos dirigidos a sus domicilios. Los denunciantes niegan haber facilitado dichos datos y en dos de los tres casos, señala que la deuda requerida no les corresponde. DHR añadió que el pago de la deuda en cuestión también le fue solicitado mediante grabación de mensajes en un contestador automático, en un domicilio y número de línea telefónica que no había facilitados.

Mutigestión Iberia y Gispert, intervenían en dichos hechos en nombre de las entidades titulares Caixa de Catalunya y Finanmadrid, en virtud de los contratos suscritos en cada caso para la prestación de servicios de gestión y cobro de deuda, por los cuales las entidades titulares de las deudas facilitan a las prestadoras del servicio de recobro los datos relativos a los deudores disponibles en sus ficheros para el envío de los correspondientes requerimientos de pago.

En los casos denunciados ante la imposibilidad de contactar con los supuestos deudores en las direcciones facilitadas por los titulares de las deudas, las entidades Multigestión Ibérica y Gispert realizaron una búsqueda de nuevos datos relativos a los mismos, obteniendo otras direcciones y teléfonos a través el sitio Web 'saberlotodo.com', que les permitió la realización de nuevas actuaciones de recobro.

Multigestión Iberia accede vía Internet a 'saberlotodo.com' en virtud del contrato que mantiene con la entidad Saberlotodo, titular de dicha base de datos.

Así mismo en relación con el denunciante DRH, Multigestión Iberia informó que obtuvo un domicilio del mencionado sitio web y además aportó copia de un acceso a los datos de DRH a través de 'saberlotodo.com' realizado en fecha 12/3/2007, en el que figuran datos relativos a nombre, apellidos, fecha de nacimiento y domicilio, en el consta la indicación relativa al piso y puerta del mismo. Aporta también un listado de 'búsquedadomicilio' realizado a través del citado sitio Web, en la fecha indicada, con cuatro registros en los que figuran el nombre y apellidos de terceros, y otro acceso a través de 'saberlotodo.com'a datos y teléfonos de una de las personas que aparece en el listado anterior (nombre, apellidos, domicilio y teléfono), comprobándose que el domicilio y el teléfono coincide con los asociados a DRH.

Respecto al denunciante MJ, Multigestión Iberia aportó impresión de pantalla de la búsqueda de los datos relativos al mismo realizada igualmente a través del portal de Internet 'saberlotodo.com', en el que figuran los datos personales relativos a nombre, apellidos, dirección postal (con indicación del piso y puerta) y fecha de nacimiento. En el pie de la impresión de pantalla consta como dirección de acceso (URL) la siguiente: https://www.saberlotodo.com/SaberloTodo/acción/censo/mostrardomicilio.do?id= 977....

Asimismo, D. Leandro (JFA), D. Sergio (JGC) y D. Ángel Daniel (LIA) denunciaron también a Saberlotodo en escrito presentado ante la AEPD en fecha 7 de marzo 2008, por utilizar una base de datos cuyo contenido procede, presuntamente, del censo electoral.

La entidad Saberlotodo consta inscrita en el Registro Mercantil Central y tiene como objeto social la explotación electrónica de datos por cuenta de terceros, a saber: la prestación de servicios de estudio y análisis de procesos para su tratamiento mecánico, de programación para equipos electrónicos. Dicha entidad aparece inscrita en fecha 5/6/2006, con inicio de sus operaciones en fecha 15/6/2006, figurando como Administrador único D. Desiderio (JVLF), constando también una inscripción de 28/1/2008 por la que se nombra a Dª María del Pilar como apoderado de la entidad.

Los ficheros inscritos por Saberlotodo en el Registro General de Protección de Datos son: Guía electrónica telefónica, Autónomos, Clientes, Empleados, Domicilios, Incidencias Jurídicas.

El fichero Domicilios aparece inscrito como 'Datos obtenidos de fuentes accesibles al público, que sólo podrán ser consultados por empresarios acreditados con usuario y contraseña facilitados por la empresa, previo pago de la cuenta'.Consta que el número de registros en dicho fichero era de 36.812.617 a fecha 30/6/2008, disponiendo todos ellos de fecha de nacimiento y de los que 3.442.902 disponían del dato relativo al DNI.

Por otra parte, el representante de Saberlotodo manifestó que las tablas denominadas 'domicilio 2004' y 'domicilio 2003' de la base de datos Domicilios, se corresponden con los domicilios actual y anterior, respectivamente, de cada persona registrada en la misma y que los datos relativos a piso y puerta de los domicilios disponibles en sus bases de datos son facilitados por la entidad Detectives Lucentum S.L. que le presta servicio.

Según las manifestaciones de D. Desiderio , Administrador de Saberlotodo, que aparecen recogidas en el acta de inspección de 30 de julio de 2007, los datos registrados en los ficheros de la entidad proceden de las siguientes fuentes: Informes comerciales realizados por dicho Sr. con anterioridad a 1980 (aproximadamente 22.000 informes); Censo de Población adquirido en 1990 y Padrones Municipales; Boletines Provinciales accedidos a través de Internet, de los que se extrae información del tipo de DNI, matriculas de vehículos, incidencias judiciales etc; Repertorios de abonados telefónicos realizados por la Comisión del Mercado de las Telecomunicaciones (CMT), en base a la autorización de fecha 17/11/2004 concedida por ésta a Saberlotodo; datos obtenidos por medio de la entidad 'Detectives Lucentum S.L.', con la que desde el año 2003 tiene suscrito un contrato de renovación anual, en virtud del cual Detectives Lucentum se comprometía a la realización de 'informes de solvencia con el fin de investigar un presunto fraude'.

Saberlotodo manifestó en contestación al requerimiento efectuado para que justificara la prestación del consentimiento de los afectados registrados en el fichero Domicilios para el tratamiento de sus datos personales, que se remitieron cartas a los registrados en el fichero Domicilios, informando de los datos que les constaban de ellos para incorporar a su base de datos, de la posibilidad de ejercitar los derechos de acceso, oposición, rectificación y cancelación y ante quien. Y que dichas cartas se enviaron por la entidad Gestión y Cobro del Mediterráneo S.L., según contrato de fecha 15/1/2004 suscrito con ella por el Sr. Desiderio , sin que conste la recepción de las citadas cartas por los afectados.

La información contenida en los ficheros de Saberlotodo es accesible para las empresas que previamente han suscrito con la misma un contrato de suministro de información vía Internet, utilizando protocolo seguro y clave de usuario con contraseña.

Con fecha 7/6/2004, JVLF en nombre y representación de Saberlotodo suscribió con Multigestión Iberia un 'Contrato de prestación de servicios entre Saberlotodo y Multigestión S.A.', en virtud del cual Multigestión Iberia obtiene a través de la Web 'saberlotodo.com', información registrada en las bases suministradas por Saberlotodo en las que se contienen datos de carácter personal.

En los ficheros de Saberlotodo aparecen registrados datos de los denunciantes relativos a nombre, apellidos, DNI (en dos casos: DRH y LIA), fecha de nacimiento y domicilio, con indicación de piso y puerta del mismo.

Realizada la búsqueda de los datos personales de los seis denunciantes (JHR, GHV, AGR, JIC, PHS, ANL, JRM y JDF) en las páginas blancas de abonados al servicio telefónico, únicamente se encontraron datos relativos a uno de ellos (LIA), si bien no aparece en las citadas páginas blancas la información correspondiente al piso y puerta que se muestra en el sitio Web 'saberlotodo.com'.

TERCERO.-La actora fundamenta su pretensión impugnatoria en los siguientes motivos:

1. Excepción de falta de litisconsorcio pasivo por cuanto la propiedad del fichero Domicilios pertenece a D. Desiderio , que es el responsable del mismo y como tal inscrito en la AEPD a su nombre, por lo que el procedimiento sancionador debería haberse seguido también contra el propietario y responsable del tratamiento de dicho fichero.

2. Caducidad del procedimiento ya que la denuncia presentada por D. Abilio lo fue el 12 de febrero 2007 y el acuerdo de inicio del procedimiento sancionador es de 5 de diciembre de 2008 y en el interin toda la actuación de la AEPD se limita a dar trámite de alegaciones a Multigestión Iberia y a la recurrente sin que medie actuación alguna desde el informe de inspección de 30 de abril de 2007.

3. Indefensión ex artículo 24.2 CE generadora de nulidad del procedimiento, por cuanto no tuvieron conocimiento de la denuncia interpuesta por D. Sergio , D. Leandro y D. Ángel Daniel presentada ante la AEPD el 7 de marzo de 2008 hasta el 11 de diciembre de 2008, en que se notificó el informe de actuaciones previas. Además indica que el día 16 julio 2008, con anterioridad a la inspección practicada el 30 de julio 2008, comparece D. Sergio ante la AEPD al objeto de realizar una demostración sobre los datos disponibles por Saberlotodo a través de la página web saberlotodo.com y accede a la citada base de datos con unas claves pertenecientes a un tercero cliente de Saberlotodo, la entidad Abando Asesores S.L., que no dio su consentimiento, sin que la AEPD hubiera comprobado si dicho Señor estaba habilitado para realizar dicho acceso, habiendo denegado la AEPD los requerimientos de información solicitados referentes a esclarecer porque no se requirió al Sr. Sergio su habilitación legal para acceder a dicho portal Web, lo que aduce le ha generado una indefensión manifiesta.

También considera que existe indefensión conculcando lo dispuesto en el artículo 6.1 LOPD por cuanto la AEPD está exigiendo la prestación del consentimiento del afectado por escrito, lo que constituye un requisito no exigido por la LOPD y por la reunión en una sola resolución de procedimientos que nada tienen que ver unos con otros y que deberían haber sido sustanciados en procedimientos autónomos.

CUARTO.-Por lo que respecta a la excepción de falta de litisconsorcio pasivo necesario, conviene señalar que constituye doctrina consolidada de la Sala 3ª del Tribunal Supremo (véase STS 10-6-2008, Rec. 32/2005 , que cita Jurisprudencia anterior) que lo característico del litisconsorcio pasivo necesario, y lo que provoca la extensión de cosa juzgada, es que se trate de la misma relación jurídico-material sobre la que se produce la declaración. Doctrina de plena aplicación con los debidos matices al procedimiento administrativo, ya que también es obligado para la Administración entender los procedimientos con todos los interesados necesarios conocidos, entre los que están los que sean titulares de derechos que pudieran resultar afectados por el acto ( Art. 31, 1º b de la LPAC ). Esta obligación, que no tiene trascendencia anulatoria cuando se trata de un simple requerimiento, sí alcanza eficacia invalidante cuando se pretende pasar a imponer la ejecución sustitutoria de la Administración, imponiendo las cargas económicas derivadas de la misma al único copropietario requerido.

En el presente supuesto, frente a tal excepción invocada en la demanda, indicar, como pone de relieve el Abogado del Estado en el escrito de contestación a la demanda, lo anómalo que resulta que sea la parte actora, y no la parte demandada, la que oponga dicha excepción procesal, pues es dicha parte recurrente la que articula la relación jurídica procesal.

Esgrime Saberlotodo que la titularidad del fichero Domicilios corresponde a D. Desiderio quien tiene escrito el fichero a su nombre en la AEPD y ha cedido a Saberlotodo la explotación comercial del citado fichero en virtud de contrato de cesión de derechos de 30 de junio de 2006. Sin embargo obra al expediente un informe de situación de inscripción en el Registro General de Protección de Datos de los ficheros, en el que figura Saberlotodo Internet S.L., como responsable del fichero Domicilios (con número de inscripción 2041130227), no el Sr. Desiderio . Según el artículo 3 LOPD responsable del fichero es la persona física o jurídica, que decida sobre la finalidad contenido y uso del tratamiento. La asunción de responsabilidad del fichero por Saberlotodo Internet S.L. deriva de sus propios actos al reconocer ante la AEPD, a través del alta del fichero, su condición de responsable, sin que se haya modificado dicho registro por quien ahora afirma ser propietario del mismo. Criterio el aquí expuesto que ha sido sostenido por esta Sala, entre otras, en las SSAN, de 30 de abril 2010 (Rec. 428/2009) y28 de octubre de 2010 (Rec. 177/2009)en los que también se desestimó la citada excepción.

QUINTO.-En cuanto a la invocada caducidad del procedimiento, en realidad se refiere la actora a la caducidad de las actuaciones previas que han precedido al acuerdo de inicio del procedimiento sancionador de fecha 5 de diciembre de 2008 y contempladas en el artículo 12 del RD 1398/1993 , por el que se aprueba el Reglamento para el ejercicio de la potestad sancionadora, que es el aquí aplicable por razones temporales, que no establece plazo de caducidad para su práctica.

Así, aduce la recurrente, que la denuncia presentada por D. Abilio lo fue el 12 de febrero 2007 y que desde dicha fecha hasta el acuerdo de inicio del procedimiento sancionador (5 de diciembre de 2008), la AEPD se limitó a dar trámite de alegaciones a Multigestión Iberia sin que mediara actuación alguna desde el informe de inspección de 30 de abril de 2007, produciéndose una utilización fraudulenta y espuría de las actuaciones previas, invocando en dicho sentido la SAN de 20 noviembre de 2008 .

El Abogado del Estado alega en el escrito de contestación a la demanda, que el retraso producido en la tramitación de las actuaciones previas está claramente justificado en el importantísimo incremento de asuntos tramitados en la AEPD, no acompañado de los medios materiales y temporales, por lo que no se ha producido para evitar la caducidad del expediente sancionado, lo que excluye cualquier atisbo de actuación fraudulenta por parte de la AEPD, citando en este sentido las SSAN dictadas en los recursos 71/2008 y 92/2008 , así como en el Rec. 44/2008 interpuesto por la misma entidad aquí recurrente.

Efectivamente, esta Sala señaló en la SAN, de 17 de octubre de 2007 (Rec. 180/2006)que cuando la demora en incoar el procedimiento sancionador se produce, durante un largo periodo de tiempo en el que no se está investigando la pertinencia o no de dicha iniciación, sino que no se lleva a cabo ninguna actuación y no existe justificación alguna para tal demora, se incurre en una utilización espuria y fraudulenta de lo previsto tanto en el artículo 12 del RD 1398/1993 como en el artículo 69.2 de la LRJ- PAC , que conlleva la nulidad del procedimiento sancionador.

Sin embargo con posterioridad, señaló entre otras, en la SAN, de 19 de noviembre de 2008 (Rec. 90/2008)que una vez acreditado por el Abogado del Estado el importantísimo aumento del volumen de trabajo en la AEPD, a través de la documentación adjuntada con la contestación a la demanda, necesariamente ha de quebrar el presupuesto básico para entender existente tal Fraude de Ley, al concurrir un motivo que si bien no justifica tal paralización de la fase previa, si al menos excluye que pueda conceptuarse la misma como fraudulenta, al no ser posible sostener dado el llamativo incremento del número de asuntos registrados y resueltos por la AEPD, que la en definitiva la prolongación de la duración de las repetidas actuaciones preliminares responda a la intención antijurídica de evitar la caducidad del expediente sancionador.

Argumentación que conlleva que la anterior doctrina de la Sala no pueda ser aplicada en el presente caso, al que tampoco resulta aplicable por razones temporales, el plazo máximo de duración que para las actuaciones previas se fija ex novo, en doce meses, en el artículo 122 del Real Decreto 1720/2007, de 21 de diciembre , por el que se aprueba el Reglamento de Desarrollo de la LOPD, a tenor de lo dispuesto en la Disposición transitoria quinta del citado Reglamento.

SEXTO.-Sobre las irregularidades generadoras de indefensión invocadas por la actora, cabe indicar que es reiterada la jurisprudencia del Tribunal Supremo - SSTS, Sala 3ª, de 12 de Julio de 2007 (Rec. 92/2003),31 de mayo de 2010 (Rec. 1945/2006)entre otras- según la cual no cualquier anomalía formal o procedimental tiene efectos invalidantes, sino que es necesario que se produzca una vulneración de las garantías constitucionales previstas en el artículo 24 de la Constitución y que vaya acompañada de una real producción de indefensión. En el mismo sentido ha reiterado el Tribunal Constitucional ( SSTC 155/1988, de 22 de julio,212/1994, de 13 de julioy78/1999, de 26 de abril ) que para que el defecto procedimental comporte la nulidad del acto recurrido, es preciso que no se trate de meras irregularidades procedimentales, sino de defectos que causen una situación de indefensión de carácter material, no meramente formal, esto es, que las mismas hayan originado al recurrente un menoscabo real de su derecho de defensa, produciéndole un perjuicio real y efectivo. Es decir, esa indefensión no equivale a la propia falta de trámites sino que ha de ser una disminución efectiva, real y trascendente de garantías.

Así, resulta que ni la LOPD ni su Reglamento de desarrollo obligan a la AEPD a notificar al denunciado las denuncias presentadas, pues corresponde a dicha AEPD, en virtud del artículo 37.a) LOPD , velar por el cumplimiento dela legislación sobre protección de datos y controlar su aplicación, así como ejercer la potestad sancionadora en los términos previstos en el Titulo VII ( Art. 37.g), procedimiento sancionador que se iniciara siempre de oficio (bien por propia iniciativa o en virtud de denuncia de un afectado o afectados), a tenor del Art. 18 del RD 1332/1994 , en el caso de la supuesta comisión de alguna de las infracciones reguladas en dicho Titulo VII.

De otro lado, es cierto que en fecha 16 de julio de 2008 se realizó un acceso a los datos registrados en el fichero Domicilios disponibles en el sitio Web 'saberlotodo.com' utilizando para ello un código de usuario y contraseña del denunciante JGC, que según la actora utilizó las claves pertenecientes a la entidad Abando Asesores S.L. cliente de Saberlotodo, sin embargo el hecho de que las citadas claves pudieran corresponder a dicha sociedad no implica que el denunciante no pudiera estar habilitado por la misma para realizar tal acceso, debiendo recalcarse que fue dicho denunciante quien introdujo las claves sin que la AEPD llegara a tener conocimiento de las mismas.

Pero es que además, y con independencia de lo anterior, el 30 de julio 2008 se realizó una inspección en los locales de la entidad recurrente, previo aviso a la misma y con asistencia de su Administrador D. Desiderio , realizándose comprobaciones por los inspectores a través de la Web 'saberlotodo.com' previa autenticación mediante un usuario introducido por los representantes de la entidad, accediendo a los datos asociados a los denunciantes JFA, JGC y LIA y realizándose una búsqueda de los datos asociados a diez apellidos seleccionados al azar. Se trata de una prueba realizada con todas las garantías y que despliega plena eficacia probatoria, debiendo añadir, que las actas de inspección gozan de presunción de veracidad pues, tal y como esta Sala ha declarado con reiteración (SAN de 30 de marzo de 2006 Rec. 561/2004 , y 30 de abril 2010 Rec.428/2009 esta última dictada en un recurso en el que también la entidad Saberlotodo era la recurrente), aunque el contenido de las Actas de Inspección no se caracteriza como una presuncióniuris et de iure, ya que expresamente admite la prueba en contrario, sí tiene la consideración de medio probatorio válido en derecho y constituye un primer medio de prueba sobre los hechos que constan en ella.

Respecto de la tramitación conjunta en un solo procedimiento de las seis denuncias interpuestas contra Saberlotodo por hechos similares y que guardan conexión, señalar que no se alcanza a comprender la indefensión invocada en la demanda por la citada acumulación, que lejos de perjudicar, no viene sino a favorecer a la recurrente.

En definitiva, con independencia de lo que luego se dirá al examinar el fondo del asunto respecto a la existencia del consentimiento de los afectados para el tratamiento de los datos de carácter personal incluidos en el fichero Domicilios, no puede apreciarse la indefensión que invoca la actora.

SÉPTIMO.-Se imputa a la entidad recurrente dos infracciones, una por vulneración del principio del consentimiento consagrado en el artículo 6.1 LOPD 'El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa'.Vulneración del citado principio que se encuentra sancionada como infracción grave en el artículo 44.3.d) LOPD y que se fundamenta en haber tratado los datos de los denunciantes en sus ficheros sin su consentimiento y sin concurrir ninguna de las circunstancias del artículo 6.2 LOPD que exima de su prestación. La otra infracción consiste en la cesión inconsentida de datos del artículo 11.1 LOPD al haber cedido los datos de los denunciantes DRH, MJ y CCL tratados en sus ficheros a las entidades Multigestión Iberia y Gispert, también sin su consentimiento y sin que concurra ninguno de los supuestos contemplados en el artículo 11.1 LOPD , infracción calificada como muy grave en el artículo 44.4.b) LOPD en la redacción existente a la fecha de dictarse la resolución impugnada.

En cuanto al consentimiento y a la forma de prestar ese consentimiento 'inequívoco', que es en lo que pone el acento la demanda, es doctrina reiterada de esta Sala ( SSAN, Sec. 1ª, de 20 de septiembre 2006 (Rec. 626/2004)y 1 de febrero 2006 (Rec.250/2004 ), que la LOPD no exige que dicho consentimiento inequívoco se manifieste de forma expresa ni por escrito, sino que se puede producir de forma expresa (oral o escrita), o por actos reiterados del afectado que revelen que, efectivamente, ha dado ese consentimiento con los requisitos expuestos, es decir, por actos presuntos, o por el silencio del afectado, consentimiento tácito (o impropiamente llamado silencio positivo, como se dice en la SAN, Sec. 1ª, de14-4-2000 (Rec.103/1999 ). Reiterándose en la SAN, Sec.1ª, de 28-2-2007 (Rec. 236/2005 ), que«cualquiera que sea la forma que revista el procedimiento - expreso, presunto o tácito- éste ha de aparecer como evidente, inequívoco -que no admite duda o equivocación- pues éste y no otro es el significado del adjetivo utilizado para calificar el consentimiento...'.

Argumenta la actora a efectos de tratar de acreditar la existencia de dicho consentimiento, que ha aportado Acta Notarial de fecha 1 de agosto de 2008 en la que se recoge como se realiza el envío de cartas recabando el consentimiento, envío que se realiza por la entidad Gestión y Cobro del Mediterráneo que se dedica al buzoneo de cartas. Señala que además en dicha Acta Notarial se recoge un listado de envíos remitido por esta empresa entre los que figuran los referentes a las personas a que se refiere el presente procedimiento, indicando el día en que fueron realizados, suscrito por el Jefe de Reparto de la citada mercantil.

Sin embargo ha venido exigiéndose con reiteración para que una 'solicitud' de consentimiento tácito enviada por correo cumpla con los requisitos legales, que la misma se realice de modo que quede garantizada la efectiva recepción de dicho escrito por el afectado.

Y, sin necesidad de entrar a valorar si los referidos escritos, informando a los denunciantes de la inclusión de sus datos en el fichero de Saberlotodo cumplían o no los requisitos del articulo 5.4 de la LOPD , lo cierto es que la única acreditación de tal comunicación consiste en un listado de envíos de la empresa Gestión y Cobro del Mediterráneo, S.L. en el que figura como remitidos a los afectados en el presente procedimiento y la fecha en que fue realizado. Listado que como ha reiterado la Sala entre otras, en sentencias de fechas 25 de marzo de 2009 (Rec. 358/2008 ) y 15 de abril de 2009 (Rec. 44/2008 ), referentes también a la misma entidad aquí recurrente, en ningún caso puede ser conceptuado como prueba suficiente de tal envío, y mucho menos de su recepción por el destinatario, por lo que carece de virtualidad probatoria en tal sentido.

Consta también acreditado (e incluso se reconoce en la inspección realizada por el responsable de Saberlotodo), que los datos personales registrados en el citado fichero Domicilios no se recaban directamente de los propios afectados sino que proceden, entre otras fuentes, del censo de población y de padrones municipales de habitantes o bien han sido facilitados a Saberlotodo por la entidad detectives Lucentum SL o recabados por el propio representante de ésta con anterioridad a 1980, en el ejercicio de una actividad privada que no ha justificado.

Tanto el Tribunal Supremo como esta Sala han reiterado, que ni el censo electoral ( STS de 7 de mayo 2006, Rec. 1728/2002,20 de febrero 2007, Rec. 732/2003),ni el Padrón Municipal ( SAN 6-4-2006, Rec.389/2004 ) son fuentes accesibles al público. En cuanto a los repertorios telefónicos, que sí constituyen fuentes accesibles al público ex artículo 6.j) LOPD , cabe señalar que no figuran en ellos de acuerdo con su normativa específica, ni el piso ni la puerta del domicilio del abonado, que en cambio si figuran en el citado fichero con respecto al denunciante LIA, de la que también consta el número de DNI, al igual que también aparece registrado el DNI del denunciante DHR y la fecha de nacimiento de la denunciante MJ.

Es más, Saberlotodo posibilita incluso la obtención de información asociada a determinadas personas registradas en el fichero Domicilios, como es el caso del denunciante DHR, con detalle de las personas que conviven en el mismo domicilio que ella, afectando gravemente a los derechos fundamentales de los titulares de los datos.

En cuanto a las investigaciones encargadas por la recurrente a la Agencia de Detectives Lucentum, señalar, en línea con lo ya reiterado por esta Sala, que no consta en el caso concreto que estén justificadas por un interés legítimo que, además guarde relación con las personas investigadas y con la obtención de información sobre conductas o hechos privados, o con la investigación de delitos solo perseguibles a instancia de parte, por lo que, a tenor del articulo 19 de la Ley 23/19902, de Seguridad Privada, por lo que tampoco cumplen los requisitos para otorgar validez a la obtención de dichos datos personales a través de la referida agencia de detectives.

OCTAVO.-Vía de conclusiones, invoca la actora la sentencia del Tribunal de Justicia de la Unión Europea de fecha 24 de noviembre de 2011 y sus consecuencias en lo concerniente a lo dispuesto en el artículo 7 f) de la Directiva 95/46 de efecto directo sobre la legislación española. Alega que en el citado artículo 7 f) de la Directiva se recogen los dos requisitos legales para el tratamiento de datos personales por terceros: el interés legítimo y que dicho tratamiento no vulnere derechos y libertades fundamentales del afectado y que la entidad recurrente ha cumplido lo establecido en el citado precepto.

El artículo 6.2 de la LOPD citado por la resolución impugnada, exime de la necesidad de prestación del consentimiento del afectado para el tratamiento de sus datos de carácter personal, entre otros supuestos, 'cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el tercero al que se comuniquen los datos'.En términos similares se pronuncia el artículo 10.2.b) del Real Decreto 1720/2007 que aprueba el Reglamento de Desarrollo de la LOPD (RDLOPD).

Por su parte el artículo 7 de la mencionada Directiva 95/46 dispone:'Los Estados miembros dispondrán que el tratamiento de datos personales sólo pueda efectuarse si: (...) f) es necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, siempre que no prevalezca el interés o los derechos y libertades fundamentales del interesado que requieran protección con arreglo al apartado 1 del Art. 1 de la presente Directiva'.

Teniendo en cuenta el contenido de los preceptos expuestos, se desprende una importante conclusión, como ha señalado esta Sección en la SAN, de 15 de marzo de 2012 (Rec. 390/2010),cual es que tal excepción a la prestación del consentimiento en los supuestos en que los datos personales se contengan en fuentes accesibles al público (que son las previstas en el artículo 3.j) de la LOPD ) se contiene en nuestra normativa interna de protección de datos, pero sin que se encuentre prevista de forma expresa, como excepción a la prestación del consentimiento para tal tratamiento, en la normativa comunitaria de aplicación.

La invocada por la actora sentencia del Tribunal de Justicia de la Unión Europea de 24 de noviembre de 2011 , dictada en una cuestión prejudicial planteada por el Tribunal Supremo respecto a la adecuación o no al derecho comunitario del artículo 10.2.b) del RDLOPD, contiene los siguientes pronunciamientos:

'1. Se opone alartículo 7.f) de la Directiva 95/46la normativa nacional que, para permitir el tratamiento de datos, sin consentimiento, y necesario para la satisfacción de un interés legítimo (del responsable o del cesionario) exige que se respeten los derechos y libertades del interesado, y además que dichos datos figuren en fuentes accesibles al público, excluyendo de forma categórica y generalizada todo tratamiento que no figure en dichas fuentes.

2. Elartículo 7, letra f) de la Directiva 95/46tiene efecto directo'.

Pronunciamiento que se sustenta, entre otras, en las siguientes consideraciones:

'El artículo 7, letra f) establece dos requisitos acumulativos para legitimar el tratamiento de datos:

Necesario para satisfacer un interés legítimo.

Que no prevalezcan derechos y libertades fundamentales del interesado (Que requieran protección con arreglo al apartado 1 del Art. 1 de la presente Directiva).

El segundo requisito exige una ponderación de los derechos e intereses en conflicto que dependerá de las circunstancias concretas, teniendo en cuenta los artículos 7 y 8 de la Carta de Derechos Fundamentales de la Unión Europea.

A efectos de tal ponderación la lesión de los derechos fundamentales del afectado por el tratamiento puede variar en función de que los datos figuren ya, o no, en fuentes accesibles al público.

Los tratamientos que figuren en fuentes no accesibles al público implican necesariamente que el responsable o el cesionario del tratamiento dispondrán en lo sucesivo de cierta información sobre la vida privada del interesado. Lesión, más grave, de los derechos del interesado consagrados en los artículos 7 y 8 de la Carta que debe ser apreciada en su justo valor, contrarrestándola con el interés legítimo del responsable o del tercero'.

Es decir, conforme a la citada sentencia del Tribunal de la Unión Europea, en orden a evaluar la procedencia del tratamiento de datos personales sin consentimiento del afectado, a los efectos del citado artículo 7.f) de la Directiva 95/45 que tiene efecto directo, deben ponderarse dos elementos fundamentales:

El primero, si el tratamiento de los datos es necesario para satisfacer un interés legítimo (del responsable de los datos o del cesionario).

El segundo, si han de prevalecer o no los derechos fundamentales del interesado esencialmente referidos a la protección de sus datos personales.

Ponderación de intereses en conflicto, que como ya ha señalado esta Sección en la citada sentencia de 15 de marzo de 2012 , dependerá de la circunstancias concretas de cada caso y en la que, no obstante, puede tomarse en consideración, como un elemento más de ponderación, el hecho de que los datos figuren ya en fuentes accesibles al público.

En el caso de autos, los datos de los denunciantes se encuentran registrados sin su consentimiento en un fichero denominado 'Domicilios' que según la información actualizada a fecha 30 de junio de 2008 dispone de un número total de 36.812.617 registros, disponiendo todos ellos de fecha de nacimiento y de los que 3.442.902 disponen del dato del DNI -folios 180 a 184-. Dicho fichero aparece descrito en el Registro General de Protección de Datos como 'Datos obtenidos de fuentes accesibles al público que sólo podrán ser consultados por empresarios acreditados con usuario y contraseña facilitados por la empresa previo pago de la cuenta'.

Se trata, por tanto de un fichero en el que se incluyen datos personales referentes a treinta y siete millones de afectados, en los que asociados a la mayoría de ellos figuran datos de gran importancia y trascendencia, como el DNI y la fecha de nacimiento, que no figuran en fuentes accesibles al público y, además, un domicilio actual y uno anterior y, en algunos casos, incluso información de las personas que conviven en el mismo domicilio que la que aparece registrada en el fichero, que tampoco figuran en fuentes accesibles al público.

La AEPD dictó en su día resolución que acuerda la inmovilización del citado fichero Domicilios, del que es responsable Saberlotodo y que obliga a la misma, a cesar en la utilización y cesión de los datos de carácter personal registrados en dicho fichero, así como a adoptar las medidas oportunas para que el acceso a la información que contiene quede imposibilita. Inmovilización que se acordó al amparo del artículo 49 LOPD , precepto que dispone 'En los supuestos, constitutivos de infracción muy grave, de utilización o cesión ilícita de los datos de carácter personal en que se impida gravemente o se atente de igual modo contra el ejercicio de los derechos de los ciudadanos y el libre desarrollo de la personalidad que la Constitución y las leyes garantizan, el Director de la Agencia Española de Protección de Datos podrá, además de ejercer la potestad sancionadora, requerir a los responsables de ficheros de datos de carácter personal, tanto de titularidad pública como privada, la cesación en la utilización o cesión ilícita de los datos. Si el requerimiento fuera desatendido, la Agencia Española de Protección de Datos podrá, mediante resolución motivada, inmovilizar tales ficheros a los solos efectos de restaurar los derechos de las personas afectadas'.Esta Resolución ha sido declarada ajustada a derecho por esta Sección en la SAN, de fecha 30 de abril de 2010 (Rec. 428/2009).

La Sala, a la vista de las circunstancias concurrentes expuestas, considera que debe prevalecer el derecho a la protección de datos de los denunciantes afectados incluidos en el citado fichero Domicilios, frente a los intereses particulares de la recurrente en explotar la citada base de datos que contiene nada menos que 37.000.000 de registros de datos personales, con la información asociada a los mismos ya indicada y recogida de la forma expuesta.

En efecto, no es lo mismo que una determinada empresa necesite averiguar el domicilio de una persona de la que es acreedora, a efectos de poder efectuar el cobro de la deuda (para lo cual y a efectos de satisfacer ese interés legítimo puede utilizar los medios adecuados y lícitos tendentes a averiguar ese nuevo domicilio y poder tratarlo en orden a dicha finalidad), que el hecho de la creación de un mega fichero como el que nos ocupa (que se reitera contiene 37.000.000 de registros de datos personales), con el fin de poder comercializarlo y ofrecer esa información obtenida. Además, como también se ha expuesto en algunos casos la información se asocia o abarca a las personas que conviven en el mismo domicilio que la que aparece registrada en el fichero, lo que conculca el derecho de protección de datos de los afectados.

Por tanto, debe concluirse que no concurre el interés legítimo alegado por la entidad recurrente (que obviamente no es la persona física o jurídica que puede tener interés en el cobro de las posibles deudas) para tratar y, en correlación, ceder dichos datos de carácter personal, debiendo prevalecer el derecho de los afectados a la protección de datos, por lo que deben entenderse cometidas las infracciones apreciadas por la resolución impugnada.

NOVENO.-Ahora bien, con posterioridad a dictarse la resolución impugnada, se ha publicado la Ley 2/2011, de 4 de marzo, de Economía Sostenible (BOE de 5 de marzo 2011), cuya Disposición final quincuagésima sexta viene a modificar diversos artículos de la LOPD , entre otros y por lo que aquí nos interesa, el artículo 45.2 que dispone'Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 €'y el artículo 44 . 3, que tipifica como infracción grave en su apartado k ' La comunicación o cesión de los datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Leyy sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave'.Precepto éste que hay que conectar con el apartado b) del citado artículo 44.4 LOPD que conceptúa como infracción muy grave 'b) Tratar o ceder los datos de carácter personal a los que se refieren losapartados 2,3y5 del artículo 7 de esta Leysalvo en los supuestos en que la misma lo autoriza o violentar la prohibición contenida en el apartado 4 del artículo 7

Es decir, se reducen los límites mínimo y máximo de la sanción de multa asignada a las infracciones graves, y se tipifica como infracción grave la cesión inconsentida de datos, salvo en el supuesto que se trate de datos especialmente protegidos, modificación que ha entrado en vigor al día siguiente de la publicación de la Ley en el BOE (Disposición final sexagésima ).

Viene considerando la Sala, que de acuerdo con lo dispuesto en el artículo 128.1 de la LRJPAC y reiterada jurisprudencia del TS en materia administrativa sancionadora procede la aplicación retroactiva de la norma más favorable para el presunto infractor, pues como señala la STS, 17 de abril de 2008 (Rec. 4209/2002) constituye una garantía implícitamente consagrada en elart. 9.3 CE, el cual limita la prohibición de la retroactividad de las normas sancionadoras a las 'no favorables' y, con ello, admite que la seguridad jurídica, en relación con el principio de legalidad penal y en materia sancionadora (art. 25 de la Constitución), suponga la retroactividad de la norma sancionadora más favorable',

Aplicación retroactiva de la citada norma más beneficiosa que venía considerando la Sala que podía realizarse directamente por este órgano judicial, criterio que es confirmado por la reciente STS de 30 de enero de 2012 (Rec. 6116/2008)dictada en esta específica materia de protección de datos, por cuanto la aplicación retroactiva de la norma administrativa sancionadora más favorable, como ya habían señalado las SSTS de 24 de enero de 2006 (Rec. 419/2002 ), 31 de enero de 2007 (Rec. 8873/2003 ) y 13 de febrero de 2008 (Rec.2110/2004 ), 'debe llevarse a cabo en cualquier instancia administrativa o judicial donde se encuentre pendiente de enjuiciamiento o ejecución una resolución sancionadora, ya que no tendría sentido confirmar judicialmente la legalidad de una resolución administrativa, según la normativa vigente cuando fue dictada, para que la Administración proceda a dictar seguidamente otra que aplique retroactivamente la nueva norma sancionadora más favorable, resolución esta última que podría ser objeto de un nuevo recurso judicial.'

Por tanto, en el caso de autos, procede la aplicación de la citada modificación de la LOPD operada por la LES, al ser más beneficiosa para la entidad recurrente.

Por tanto, en el caso de autos, procede la aplicación de la citada modificación de la LOPD operada por la LES, al ser más beneficiosa para la entidad recurrente, y la imposición de una multa de 40.001 €, no sólo por el tratamiento inconsentido de datos sino también por la cesión inconsentida al estar no sólo aquella sino también ésta infracción calificada ahora como grave.

DÉCIMO.-De conformidad con lo dispuesto en el artículo 139.1 de la Ley Jurisdiccional , no se aprecian motivos para una imposición de costas.

Fallo

ESTIMAR PARCIALMENTEel recurso contencioso-administrativo interpuesto porSABERLOTODO INTERNET S.L.representada por el Procurador Sr. Calleja García contra la resolución del Director de la Agencia Española de Protección de Datos de fecha 1 de junio de 2009 dictada en el PS/00629/2008, resoluciones que se anulan parcialmente en el sentido de rebajar las sanciones de multa impuestas a 40.001 € cada una de ellas; sin imposición de costas.

Así por esta nuestra sentencia, lo pronunciamos, mandamos y firmamos.

Notifíquese a las partes con indicación de que no cabe contra ella recurso de casación.

PUBLICACIÓN.- Dada, leída y publicada fue la anterior sentencia en audiencia pública. Doy fe. Madrid a

LA SECRETARIA JUDICIAL