Sentencia Administrativo Audiencia Nacional, Sala de lo Contencioso, Sección 1, Rec 827/2010 de 28 de Noviembre de 2012

Encabezamiento

SENTENCIA

Madrid, a veintiocho de noviembre de dos mil doce.

Visto por la Sección Primera de la Sala de lo Contencioso-Administrativode la Audiencia Nacional el recurso contencioso administrativo número 214/2010 interpuesto por la entidad EXPERIAN BUREAU DE CREDITO S.A.,representada por el Procurador Sr. Cayuela Castillejo contra la resolución del Director de la Agencia Española de Protección de Datos de fecha 6 de septiembre de 2010, dictada en el expediente sancionador PS/00036/2010; ha sido parte en autos, la Administración demandada, representada y defendida por el Abogado del Estado.

Antecedentes

PRIMERO.- Interpuesto el recurso Contencioso-administrativo ante esta Sala de lo Contencioso administrativo de la Audiencia Nacional y turnado a esta Sección, fue admitido a trámite, reclamándose el expediente administrativo, para, una vez recibido emplazar a la actora para que formalizara la demanda, lo que así se hizo en escrito en el que tras exponer los hechos y fundamentos de derecho qué consideró oportunos, terminó suplicando que se dicte sentencia por la que se anule la resolución recurrida.

SEGUNDO.-El Abogado del Estado, en su escrito de contestación a la demanda, tras alegar los hechos y fundamentos de derecho qué consideró aplicables, postuló una sentencia por la que se desestime el recurso interpuesto, confirmando la resolución impugnada por ser conforme a derecho, con imposición de costas a la parte actora.

TERCERO.-Recibido el recurso a prueba y practicada la admitida y evacuado el trámite de conclusiones, se señaló para votación y fallo el día 14 de noviembre de 2012, en que tuvo lugar.

La cuantía del recurso se ha fijado en 60.101,21 Euros.

Ha sido Ponente la Magistrada Ilma. Sra. Dª. LOURDES SANZ CALVO.

Fundamentos

PRIMERO.- Se impugna en el presente recurso contencioso-administrativo la resolución del Director de la Agencia Española de Protección de Datos de fecha 6 de septiembre de 2010, dictada en el expediente sancionador PS/00036/2010, que impone a la entidad Experian Bureau de Crédito S.A., por una infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal , tipificada como grave en el artículo 44.3.g) de la citada Ley Orgánica.

La resolución impugnada también sanciona a France Telecom España S.A. y a Vodafone España S.A.U., por sendas infracciones del artículo 4.3 en relación con el 29.4 y del artículo 16 LOPD , tipificadas como graves en los artículos 44.3.d ) y 44.3.f) respectivamente de la LOPD , con multas de 60.101,21 € por cada una de dichas infracciones, pero el presente recurso contencioso administrativo se circunscribe a la impugnación de la infracción del deber de secreto impuesta a Experian Bureau de Crédito S.A.

Considera la AEPD que Experian ha incurrido en la citada infracción del deber de secreto al haber comunicado al denunciante - D. Remigio - los datos de carácter personal relativos a un tercero -D. Jose Francisco - que se encontraban incorporados en el fichero de solvencia patrimonial y crédito Badexcug, datos de cuya custodia es responsable Experian como responsable del citado fichero de morosidad, sin que conste que Experian haya obtenido el consentimiento para ello, ni existe norma legal que justifique dicha revelación de datos.

SEGUNDO.-De los hechos probados que reseña la resolución impugnada, cabe destacar como relevantes para el presente procedimiento los siguientes:

1. Con fecha 27/03/2009 se recibió en la Agencia Española de Protección de Datos la denuncia presentada por D. Remigio , DNI-NIF NUM000 , por la inclusión de sus datos personales en los ficheros de solvencia patrimonial y crédito Asenf y Badexcug y por la negativa a la cancelación de sus datos en estos ficheros.

2. En los ficheros de France Telecom España S.A. figura como cliente D. Jose Francisco , con domicilio en DIRECCION000 NUM001 , NUM002 NUM003 28850 Torrejón de Ardoz, con dos líneas de teléfono móvil y con el DNI-NIF NUM000 (del denunciante), habiendo aportado copia de los contratos y copia del DNI con el nombre, apellidos y DNI anteriores, constando dos facturas impagadas.

3. En los ficheros de Vodafone España S.AU figura una línea a nombre de D. Remigio con DNI-NIF NUM000 y otra línea a nombre de D. Jose Francisco , NIF NUM000 con domicilio en DIRECCION000 NUM001 , NUM002 NUM003 28850 Torrejón de Ardoz habiendo aportado copia del contrato y del DNI con nombre, apellidos y DNI anteriores. También ha aportado Vodafone ante la AEPD copia de la denuncia presentada por D. Jose Francisco en la Dirección General de la Policía el 20/11/2007 en la que manifestaba el extravío de su cartera que incluía DNI con número ilegible. En los citados ficheros de Vodafone figuraban dos facturas pendientes de pago de la línea a nombre de Jose Francisco NIF NUM000 .

4. En el fichero de solvencia patrimonial y crédito Badexcug figura una incidencia a nombre de D. Jose Francisco , NIF NUM000 , a instancia de France Telecom España S.A con fecha de alta 11/0372009 y fecha de baja 16712/2009. También constan dos incidencias a nombre de D. Remigio NIF NUM000 , a instancia de Vodafone, la primera con fecha de alta 26/4/2009 y fecha de baja 23/3/2009 (a consecuencia del ejercicio del derecho de cancelación) y una segunda con posterioridad.

5. D. Remigio ejerció el derecho de acceso y de cancelación ante Experian Bureau de Crédito S.L. con fecha 20/03/2009.

6. Experian remitió un escrito al denunciante con fecha 23/3/2009 con la siguiente contestación:

En respuesta a su escrito recibido en nuestras oficinas el día 20/3/2008, en el que nos solicita cancelación de los datos asociados al localizador NUM000 tras realizar las comprobaciones pertinentes le comunicamos lo siguiente:

Hemos procedido la cancelación en nuestro fichero Badexcug de las operaciones indicadas a continuación: Número de operación 0918540191. Entidad Vodafone.

Lamentamos no poder proceder a la cancelación de los datos que se adjunta continuación por haber sido confirmados por la entidad informante del mismo al fichero Badescug.

Nombre de operación: Jose Francisco

Dirección: DIRECCION000 NUM001

Nº de operación: NUM004

Tipo de intervención: titular

Importe financiado: 301,21 €

Informante: Orange

Fecha de alta: 11/03/2009

Impagado en alta: 301,29 €.

TERCERO.-La actora efectúa en la demanda una referencia previa al elevado número de derechos de acceso, cancelación o rectificación que se han ejercitado relativos a su fichero Badexcug, sin que haya sancionada Experian, como responsable del citado fichero, en materia relacionada con la atención a dichos derechos, a excepción del presente procedimiento y del que ha dado lugar al recurso 681/2010 de esta misma Sección, por hechos prácticamente idénticos al presente. Además señala que a raíz de estos hechos, ha implantado un procedimiento que evitará en lo sucesivo que se pueda comunicar a una persona que ejerce un derecho, la información que figura en Badexcug asociado a su DNI pero con otro nombre diferente.

Tras destacar la importancia del número de identificador (DNI, NIE o NIF) en los ficheros de solvencia patrimonial, por cuanto para realizar una consulta es preciso introducir dicho localizador, que es único para cada interviniente, esgrime los siguientes motivos de impugnación:

1. Infracción de las normas que rigen el procedimiento sancionador: cambio de imputación.

2.Infracción de procedimiento: falta de notificación del acuerdo de práctica de prueba.

3.Inexistencia de infracción, porque los datos son del denunciante.

4.Legitimidad de entregar a un afectado todos los datos que figuran bajo su DNI en un fichero automatizado, tanto si se trata de un derecho de acceso como de cancelación.

5.Inexistencia de revelación de datos: la información revelada no corresponde a una persona realmente existente y además el afectado ya conocía la información revelada.

6.Vulneración del principio de confianza legítima por cambio de criterio de la AEPD que venía considerando dichas conductas como no punibles. que la conducta consistente en facilitar a un afectado información objeto de tratamiento automatizado vinculado a su DNI pero con otro nombre diferente no era punible, por lo que con la resolución impugnada se ha producido un cambio de criterio.

7.Aplicación 45.5 LOPD.

8.Reducción de la sanción como consecuencia de la modificación operada por la Ley 2/2011, de Economía Sostenible.

CUARTO.-Considera la actora que se ha producido un cambio de imputación por cuanto en el acuerdo de inicio del procedimiento sancionador se decía que los hechos podían ser constitutivos de una infracción del deber de secreto del artículo 10 LOPD tipificada como leve en el artículo 44.2.e) de la LOPD y, en cambio, en la propuesta de resolución se califica la infracción como grave del artículo 44.3.g) LOPD . Cambio que considera infringe el principio acusatorio, por cuanto la calificación de la infracción como grave debería haberse efectuado en el acuerdo de apertura del procedimiento sancionador y no en la propuesta de resolución, estimando que se ha vulnerado el artículo 135 LRJPAC.

Para analizar dicha cuestión conviene recordar que en materia sancionadora, el Tribunal Constitucional ha establecido como uno de los pilares básicos para la interpretación del derecho Administrativo Sancionador que los principios y garantías básicas presentes en el ámbito del derecho penal son aplicables, con ciertos matices, en el ejercicio de cualquier potestad sancionadora de la Administración Pública ( STC76/1990, de 26 de abril , STS de 23 de enero de 1998 (Rec de casación 1650/1995 etc).

En este sentido, la STC 18/1981 (fundamento jurídico segundo in fine), ya había señalado que ' los principios esenciales reflejados en el artículo 24 de la Constitución , en materia de procedimiento, han de ser aplicables a la actividad sancionadora de la Administración, en la medida necesaria para preservar los valores esenciales que se encuentran en la base del precepto y la seguridad jurídica que garantiza el artículo 9 de la Constitución , porque la garantía del orden constitucional exige que el acuerdo se adopte a través de un procedimiento en el que el presunto inculpado tenga oportunidadde aportar y proponer pruebas y alegar lo que a su derecho convenga'.

La concreción de este principio general ha sido resumida en el fundamento jurídico 2º in fine de la STC 71/1998 , la cual tras recordar que dicha traslación viene condicionada a que se trate de garantías que 'resulten compatibles con la naturaleza del procedimiento administrativo sancionador ( STC 197/1995 )' cita como aplicables, entre otros y por lo que aquí nos interesa, ' el derecho a la defensa que proscribe cualquier indefensión ( SSTC 4/1982 , 125/1983 , 181/1990 , 93/1992 , 229/1993 , 95/1995 y 143/1995 ), el derecho a ser informado de la acusación ( SSTC 31/1986 , 29/1989 , 145/1993 , 297/1993 , 195/1995 , 120/1996 ) con la ineludible consecuencia de la inalterabilidad de los hechos imputados ( SSTC 98/1989 , 145/1993 , 160/1994 )'.Por ello, la imposición de las sanciones administrativas ha de verificarse a través de un procedimiento que respete los principios esenciales reflejados en el mencionado artículo 24 de la Constitución .

Sin embargo en el caso de autos no se ha producido ninguna vulneración procedimental y menos aún generadora de indefensión, por cuanto los hechos imputados han permanecido invariables a lo largo de todo el procedimiento, sin que nada obste a que esos mismos hechos calificados como infracción del deber de secreto, de carácter leve, en el acuerdo de inicio del procedimiento sancionador, puedan luego ser calificados como infracción del deber de secreto, pero de carácter grave en la propuesta de resolución.

Propuesta de resolución que constituye uno de los trámites esenciales del procedimiento sancionador, que se regula en el artículo 18 del Reglamento para el Ejercicio de la Potestad Sancionadora aprobado por Real Decreto 1398/2003 cuyo contenido faculta para modificar la calificación jurídica de la infracción, pues como señala la STS, de 17 de julio de 2003 (Rec. 11460/1998 )fija los hechos que se consideran probados y su exacta calificación jurídica. Téngase en cuenta, que es a través de la notificación de la propuesta de resolución, mediante la que se satisface en el derecho administrativo sancionador el derecho a ser informado de la acusación, que con la categoría de fundamental se garantiza en el artículo 24.2 de la Constitución , pues es en la propuesta de resolución donde se contiene un pronunciamiento preciso acerca de la responsabilidad que se imputa ( SSTS, de 21 de abril y 6 de junio de 1997 , 16 de marzo de 1998 , 24 de abril de 1999 , 16 de noviembre de 2001 , STC29/1989, de 6 de febrero etc ).

QUINTO.-En cuanto a la infracción de procedimiento, alega que con posterioridad a un primer acuerdo de práctica de prueba, el instructor acordó la práctica de una nueva diligencia de prueba consistente en recabar testimonio de unas Diligencias Previas del Juzgado de Instrucción nº 1 de Illescas, documentación que fue aportada al expediente con posterioridad a la propuesta de resolución, sobre la que no pudo efectuar alegación alguna y que pudiera tener alguna influencia en la resolución de los hechos debatidos, generándola indefensión.

Se trata de un alegato efectuado en términos genéricos pues la parte ni siquiera concreta en que forma le ha afectado o cual es la indefensión material generada por no haber podido efectuar alegaciones sobre dicha documentación, sin que nada razone sobre la trascendencia de dicha documentación en relación con la infracción a ella imputada.

Cabe recordar, que según reiterada jurisprudencia del Tribunal Supremo - SSTS, Sala 3ª, de 12 de Julio de 2007 (Rec. 92/2003 ), 31 de mayo de 2010 (Rec. 1945/2006 )entre otras- no cualquier anomalía formal o procedimental tiene efectos invalidantes, sino que es necesaria que se produzca una vulneración de las garantías constitucionales previstas en el artículo 24 de la Constitución y que vaya acompañada de una real producción de indefensión, que en el presente caso y como se ha expuesto más arriba, no se ha generado al recurrente.

SEXTO.-A continuación, entrando en el fondo del asunto, se van a examinar de forma conjunta y debido a la conexión existente los dos siguientes motivos de impugnación.

Alega la actora que los datos revelados pertenecen al denunciante D. Remigio porque están vinculados a su propio DNI y por lo tanto son datos que le conciernen y si según el ordenamiento jurídico español, el único criterio de identificador válido es el número de DNI, 'identificador numérico personal de carácter general' ex artículo 1.3 del Real Decreto 1553/2005 , la aparición del DNI de una persona en un registro de datos convierten dichos datos en información concerniente a esa persona, que pasa a ser el 'afectado' o 'interesado'.

Señala, que el denunciante ejercitó simultáneamente los derechos de acceso y cancelación ante Experian, la cual contestó ambas solicitudes con una sola respuesta, estando legitimada al amparo de los artículos 29.3 y 44.2.1 del Reglamento de la LOPD para facilitar al afectado toda la información que figuraba en el fichero Badexcug asociada a su número de DNI, incluidos el nombre y apellidos que aparecían vinculados a su DNI, pues precisamente eso era lo que quería conocer el afectado, si sus datos incluidos en el fichero eran erróneos.

Finalmente, añade, que la conducta de facilitar a un afectado la información vinculada a su DNI, aunque en ella figure un nombre y apellidos diferente, es tan carente de reproche jurídico que jamás se ha abierto un procedimiento sancionador ni se ha sancionado a nadie por hacerlo, sea un responsable del fichero común, sea una entidad acreedora (también obligada a facilitar el acceso ex artículo 42.2 del Reglamento de desarrollo de la LOPD ).

A la vista del planteamiento efectuado por la recurrente, cabe reseñar que el derecho de acceso, ejercitado conjuntamente con el de cancelación por el denunciante ante Experian, regulado en el artículo 15 de la LOPD , está también reconocido por la Directiva 95/2046 CE en su artículo 12 que dispone ' Los Estados miembros garantizarán a todos los interesados el derecho de obtener del responsable del tratamiento: a) Libremente, sin restricciones y con una periodicidad razonable y sin retrasos ni gastos excesivos: - la confirmación de la existencia o inexistencia del tratamiento de datos que le concierne, así como la información por lo menos de los fines de dichos tratamientos, las categorías de datos a que se refieran y los destinatarios o categorías de destinatarios a quienes se comuniquen dichos tratamientos, así como toda la información disponible sobre el origen de los datos(...)'.

Se encuentra desarrollado dicho derecho de acceso, con carácter general, en los artículos 27 y siguientes del Reglamento de desarrollo de la LOPD , y de forma específica, cuando se ejercita en relación con la inclusión de datos en un fichero regulado por el artículo 29.2 de la L.O. 15/1999 , en el artículo 44.2 del citado Reglamento, que establece ' Si la solicitud se dirigiera al titular del fichero común éste deberá comunicar al afectado todos los datos relativos al mismo que obren en su fichero'.

En el caso de autos y al amparo de la citada normativa Experian, como responsable del fichero Badexcug, facilitó al denunciante ( Remigio ) en respuesta al derecho de acceso y cancelación ejercitados simultáneamente, todos los datos que figuraban en el fichero Badexcug asociados o vinculados a su DNI, que es el identificador sobre el que estructuran su sistema de información los ficheros de solvencia patrimonial como el que nos ocupa. Así, figuraba en el citado fichero, como titular de la operación cuyo impago motivó su inclusión en el mismo: Jose Francisco , y la dirección: DIRECCION000 NUM001 y estos datos, en cuanto aparecen en el fichero en cuestión conectados al DNI del que es titular el denunciante, son datos que le atañen. Debe recordarse que el derecho de acceso es presupuesto para el ejercicio de otros derechos, como el de rectificación o cancelación (aunque en este caso se ejercitaran dichos derechos de forma conjunta) y que para poder rectificar o cancelar aquellos datos cuyo tratamiento no se ajusta a lo dispuesto en la LOPD se precisa conocer el contenido de los datos que obren en el citado fichero vinculados a su DNI, pues se trata de datos que se asocian con el titular del citado DNI y que por esta razón le atañen directamente.

Por tanto la entidad recurrente al responder a la solicitud de acceso/cancelación formulada por el denunciante, estaba legitimada al amparo de la normativa expuesta más arriba, para comunicarle los datos que figuraban en el citado fichero de morosidad Badexcug asociados a su DNI, incluido el nombre y apellidos que figuraban vinculados al mismo en el citado fichero, aunque estos no coincidan con los del denunciante.

SÉPTIMO.-El Art. 10 de la LOPD , que la resolución recurrida considera infringido, regula el deber de secreto de quienes tratan datos personales.

Dispone el citado artículo 10 ' El responsable del fichero y quienes intervengan en cualquier fase de tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero, o, en su caso, con el responsable del mismo'.

Este deber de secreto trata de salvaguardar o tutelar el derecho de las personas a mantener la privacidad de sus datos de carácter personal y en definitiva el poder de control o disposición sobre sus datos. Pretende, en definitiva, que los datos personales no puedan conocerse por terceros, fuera de los casos autorizados por la Ley.

Deber de sigilo que como hemos señalado en las SSAN, de 14 de septiembre 2002 (Rec. 196/2000 ), 13 de abril 2005 (Rec. 230/2003 ), 18 de julio de 2007 (Rec. 377/2005 ), 2 de abril de 2008 (Rec. 67/2007 )etc, ' es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000 (...) Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de los derechos fundamentales, como la intimidad o el derecho a la protección de datos que recoge el artículo 18.4 de la CE (...)'.

En el presente caso, como ya se ha dicho, se facilita al denunciante ( Remigio ) en respuesta al derecho de acceso y cancelación ejercitado en relación con la inclusión de sus datos en el fichero de solvencia patrimonial Badexcug, los datos que figuran asociados en el citado fichero a su DNI, entre los que se incluyen el nombre, apellidos y domicilio, del titular de la operación ( Jose Francisco ) y estos datos, en cuanto aparecen en el fichero en cuestión vinculados al DNI del que es titular el denunciante, aunque no coincidan con los suyos, son datos que le atañen y que la entidad recurrente, responsable de dicho fichero está legitimada a facilitarle, conforme se ha razonado en el Fundamento de Derecho precedente.

En consecuencia, no cabe apreciar la infracción del deber de secreto por el que ha sido sancionada la entidad recurrente.

OCTAVO.-De conformidad con lo dispuesto en el artículo 139.1 de la Ley Jurisdiccional , no se aprecian motivos para una imposición de costas.

Fallo

ESTIMARel recurso contencioso-administrativo interpuesto por la entidad EXPERIAN BUREAU DE CREDITO S.A.,representada por el Procurador Sr. Cayuela Castillejo contra la resolución del Director de la Agencia Española de Protección de Datos de fecha 6 de septiembre de 2010, dictada en el expediente sancionador PS/00036/2010, resolución que se anula dejando sin efecto la sanción impuesta; sin imposición de costas.

Notifíquese esta resolución a las partes con indicación de que no cabe contra ella recurso de casación.

Así por esta nuestra sentencia, lo pronunciamos, mandamos y firmamos.

PUBLICACIÓN.- Dada, leída y publicada fue la anterior sentencia en audiencia pública. Doy fe. Madrid a

LA SECRETARIA JUDICIAL