Sentencia ADMINISTRATIVO Nº 108/2017, Audiencia Nacional, Sala de lo Contencioso, Sección 1, Rec 298/2014 de 21 de Febrero de 2017

Encabezamiento

A U D I E N C I A N A C I O N A L

Sala de lo Contencioso-Administrativo

SECCIÓN PRIMERA

Núm. de Recurso:0000298 /2014

Tipo de Recurso:PROCEDIMIENTO ORDINARIO

Núm. Registro General:05765/2014

Demandante: Sebastián

Procurador:MARIA ESPERANZA ALVARO MATEO

Demandado:AGENCIA PROTECCIÓN DE DATOS

Abogado Del Estado

Ponente IIma. Sra.:Dª. FELISA ATIENZA RODRIGUEZ

S E N T E N C I A Nº:

IImo. Sr. Presidente:

D. EDUARDO MENÉNDEZ REXACH

Ilmos. Sres. Magistrados:

Dª. FELISA ATIENZA RODRIGUEZ

Dª. LOURDES SANZ CALVO

D. FERNANDO DE MATEO MENÉNDEZ

Dª. NIEVES BUISAN GARCÍA

Madrid, a veintiuno de febrero de dos mil diecisiete.

Vistos los autos del recurso contencioso-administrativo 298/2014 que ante esta Sala de lo Contencioso-Administrativo de la Audiencia Nacional, ha promovido la Procuradora Dª. María Esperanza Álvaro Mateo, en nombre y representación de Sebastián frente a la Administración General del Estado, representada por el Abogado del Estado, contra la Resolución de 29 de enero de 2014 (que después se describirá en el primer Fundamento de Derecho), siendo Ponente la Ilma. Sra. Magistrado Dña FELISA ATIENZA RODRIGUEZ.

Antecedentes

PRIMERO.-Por la parte recurrente se interpuso recurso contencioso-administrativo mediante escrito presentado el 12 de noviembre de 2014, acordándose mediante decreto de 8 de mayo de 2015, su tramitación de conformidad con las normas establecidas en la Ley 29/1998 y la reclamación del expediente administrativo.

SEGUNDO.-En el momento procesal oportuno la parte actora formalizó la demanda mediante escrito presentado el 20 de octubre de 2015, en el que, tras alegar los hechos y fundamentos de derecho que estimó procedentes, terminó suplicando se dictara sentencia estimatoria del recurso, con condena en costas a la Administración demandada.

TERCERO.-El Sr. Abogado del Estado contestó a la demanda mediante escrito presentado el 3 de marzo de 2016, en el que, tras alegar los hechos y los fundamentos de derecho que estimó oportunos, terminó suplicando se dictara sentencia desestimatoria del recurso contencioso-administrativo, confirmándose el acto administrativo impugnado, con expresa condena en costas a la parte actora.

CUARTO.-Por Diligencia de ordenación de 8 de marzo de 2016, se fija la cuantía del procedimiento como indeterminada y se concede el plazo de diez días a las partes a fin de formular sus escritos de Conclusiones.

Por Diligencia de ordenación de 5 de octubre de 2016, se declararon conclusas las actuaciones y pendientes de señalamiento, señalándose para votación y fallo de este recurso el día 7 de febrero de 2017, fecha en que tuvo lugar la deliberación y votación, habiendo sido ponente la Ilma Sra Magistrada Dª FELISA ATIENZA RODRIGUEZ ,quien expresa el parecer de la Sala.

Fundamentos

PRIMERO.-Se impugna en el presente recurso contencioso-administrativo, por la representación procesal de D. Sebastián , la resolución de fecha 29 de enero de 2015, que desestima el recurso de reposición promovido frente a resolución de 23 de julio de 2014, dictada por el Director de la Agencia Española de Protección de Datos, en el procedimiento E/01539/2014, por la que se acuerda no incoar actuaciones inspectoras y no iniciar procedimiento sancionador.

El acto administrativo recurrido da respuesta al escrito del ahora recurrente que tuvo entrada en la Agencia Española de Protección de Datos el 13 de enero de 2014, en el que exponía su condición de Guardia Civil y Presidente de la Asociación-Plataforma de Apoyo a las Víctimas de Terrorismo, y que en los medios de comunicación El Mundo y Cadena Ser, habían publicado datos personales relativos a su salud, obrantes en un expediente administrativo custodiado por la Dirección General de Apoyo a Víctimas del Terrorismo, que podrían configurar un supuesto de infracción muy grave, conforme al articulo 44.4 b) de la LOPD .

En el escrito se exponía que el fichero publico objeto de infracción era 'Asister' , y que los responsables del mismo y del expediente administrativo son los funcionarios de la Dirección General de Apoyo a las Víctimas del Terrorismo, del Ministerio del Interior, y concluía solicitando, al amparo del art. 122 del Reglamento de desarrollo de la LOPD , que la Agencia realizara actuaciones previas con el objeto de determinar si concurrían circunstancias que justifiquen la iniciación de un procedimiento sancionador.

La inicial respuesta del Director de la Agencia se contenía en resolución de 23 de julio de 2014, y acordaba no incoar actuaciones inspectoras y no iniciar procedimiento sancionador.

Y la resolución objeto de recurso, desestimatoria del recurso de reposición interpuesto, ratificaba el mismo criterio y sustentaba su decisión, en síntesis, en que la información periodística a través de la cual fueron expuesto sus datos, carece de una concreta identificación de sus responsables, conteniendo únicamente alusiones generales que impiden determinar la fuente de la misma y que la aportación de datos referentes a su salud fue de forma voluntaria por el denunciante a un expediente administrativo. Se alude, por otra parte, en dicha resolución el carácter relevante del recurrente como Presidente de la Plataforma de Apoyo de Víctimas del terrorismo.

El Abogado del Estado, se pone a la estimación del recurso, entendiendo que debe prevalecer la resolución impugnada, al no existir ninguna evidencia que permita asegurar que los hechos han sucedido como pretende el recurrente. Añade el representante del Estado que, en la medida en que la AEPD consideró que en la persona del recurrente concurría el requisito de relevancia pública suficiente, por su vinculación a la Asociación de Víctimas del Terrorismo, la AEPD ha aplicado correctamente la doctrina jurisprudencial, toda vez que no se puede dudar de la veracidad de los datos publicados, hecho admitido por el recurrente.

SEGUNDO.-La cuestión que debe ser abordada en este procedimiento es si, ante el escrito presentado por el demandante, la Agencia Española de Protección de Datos se hallaba obligada a incoar actuaciones inspectoras y, en su caso, iniciar el procedimiento sancionador correspondiente, o por el contrario, resulta conforme a Derecho la decisión de no incoar actuaciones inspectoras y no iniciar procedimiento sancionador.

La Sala en numerosas ocasiones ha argumentado en términos que resultan oportunos para dar respuesta a la objeción realizada por la AEPD al denunciante y que reiteramos a continuación:

'El artículo 18.4 de la CE reconoce el derecho a la protección de datos de carácter personal frente a uso de la informática y lo hace de forma diferenciada al reconocimiento del derecho al honor y a la intimidad personal y familiar, pues tienen un objeto y alcance distintos. El derecho a la protección de los datos personales se extiende a cualquier dato personal, sea intimo o no, y los preserva del conocimiento ajeno, al tiempo que garantiza a sus titulares el poder de disposición sobre los mismos. Por tanto, la garantía de la vida privada de la persona y su reputación poseen una dimensión positiva que excede del ámbito del artículo 18.1 CE y que se traduce en un derecho de las personas al control sobre sus datos de carácter personal, sobre su uso y destino, con el propósito de impedir su tráfico ilícito y lesivo para su dignidad ( STC 292/2000 ).

El artículo 1 de la Ley Orgánica 15/1999, de 13 diciembre, de Protección de Datos de Carácter Personal , establece como objeto de dicha ley garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor en intimidad personal y familiar. A tal efecto dicha Ley Orgánica crea la Agencia de Protección de Datos, estableciendo entre sus funciones las de velar por el cumplimiento de la legislación sobre protección de datos y ejercer la potestad sancionadora en los términos previstos por el Título VII ( artículo 37 a ) y g) LOPD ).

Consecuentemente, el incumplimiento por parte de los responsables de los ficheros y los encargados de los tratamientos de datos personales de las obligaciones impuestas por esta Ley Orgánica, que fuere constitutivo de alguna de las infracciones previstas en el artículo 44 de la LOPD , habrá de dar lugar a la intervención de la Agencia de Protección de Datos, incoando el correspondiente procedimiento sancionador de oficio, por propia iniciativa o previa denuncia del afectado, y depurando las responsabilidades a que hubiere lugar. Y ello, claro está, con independencia de que dicho organismo no sea competente para resolver cuestiones de índole civil, inherentes a la relación contractual que liga o ha ligado a los interesados, lo que no impide que puedan ser consideradas y convenientemente valoradas para discernir sobre la existencia de las responsabilidades objeto del expediente sancionador'. En este sentido, se pronuncia esta Sala en sus sentencias de 9 de octubre de 2013, rec. 396/2012 , y 26 de marzo de 2014, rec. 103/2013 , entre otras.

TERCERO.-Partiendo del criterio expuesto, estima la Sala que los hechos puestos en conocimiento de la AEPD por el aquí demandante, presentaban suficientes indicios de infracción de la legislación de protección de datos como para merecer, al menos, su investigación a fin de determinar si la publicación de los datos personales del denunciante relativos a su salud y contenidos en un fichero público (Asister), custodiado por la Dirección General de Apoyo a Víctimas del terrorismo, y al que el recurrente había entregado dichos datos con motivo de la incoación de un procedimiento administrativo, publicado en dos medios de comunicación, haciendo constar que la fuente de información procedía del Ministerio del Interior y de los Cuerpos de Seguridad del Estado, constituía una vulneración de la LOPD, en atención a las exigencias impuestas en dicha legislación, y en qué medida se han cumplido las medidas de seguridad que se contienen en el Reglamento de desarrollo de la ley.

En este sentido, establece el artículo 10 de la LOPD : 'El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo'.

Como reiteradamente ha señalado la Sala, este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de los derechos fundamentales, como la intimidad o el derecho a la protección de los datos del artículo 18.4 de la CE . Derecho fundamental que, a tenor de la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre , 'persigue garantizar a la persona un poder de control sobre sus datos personales, sobre su uso y destino', e impide que se produzcan situaciones atentatorias frente a su dignidad.

Deber de secreto profesional que incumbe a los responsables de ficheros, tal y como esta Sala y Sección ha mantenido en sentencias, entre otras, de 10 de enero de 2005 -recurso nº. 178/2004 -, 12 de septiembre de 2007 -recurso nº. 98/2006 - y 7 de mayo de 2008 -recurso nº. 228/2006 - y que comporta que el responsable de los datos almacenados no puede revelar ni dar a conocer su contenido teniendo el deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.

A su vez el Reglamento de desarrollo de la LOPD, aprobado por RD 1720/2007, de 21 de diciembre, establece en sus artículos 80 a 87 , las medidas de seguridad que los responsables de los ficheros deben implantar, calificando dichas medidas en tres niveles, básico, medio y alto, y siendo los datos de salud incluidos en las medidas de nivel alto.

Debe recordarse que la jurisprudencia no ha dudado en reconocer legitimación para demandar de la Administración actuante el desarrollo de la actividad investigadora que resulte conveniente para la debida averiguación de los hechos que hayan sido denunciados, aunque no para que esa actividad necesariamente finalice en un procedimiento disciplinario o sancionador, cuando dicha actividad investigadora no resulta acorde o proporcionada con los hechos que fueron denunciados, y la decisión de archivo no ha sido razonablemente motivada para considerar cumplido en ella el canon constitucional de interdicción de la arbitrariedad de los poderes públicos ( artículo 9.3 CE ). En este sentido se ha manifestado la STS de 14 de noviembre de 2012, Rec. 192/2012 , y esta Sala en sentencia de 15 de octubre de 2013, Rec. 439/2011 .

Por otro lado, y aunque de los artículos 122 y siguientes del RD 1720/2007, de 21 de diciembre , se desprende la posibilidad de llevar a cabo las denominadas diligencias previas,con anterioridad a la iniciación del procedimiento, con el objeto de determinar si concurren motivos que justifiquen tal iniciación, puede haber sin embargo determinados supuestos en los que, a tenor de las circunstancias concurrentes, y desprendiéndose del somero análisis del relato de hechos de la denuncia que los mismos en ningún caso vulneran la Ley de Protección de Datos, ni siquiera sea necesario, ni haya justificación alguna, para iniciar dichas actuaciones previas o de inspección.

Tales actuaciones previas tienen como (único) objeto determinar si concurren circunstancias que justifiquen la iniciación del procedimiento sancionador, es decir, establecer la existencia, o no, de indicios de imputabilidad de la infracción sin que sea posible, en dicho 'tramite', apreciar la concurrencia de infracción alguna.

Debemos también hacer referencia a que los datos personales invocados por el recurrente como indebidamente tratados constituyen datos de salud,datos sensibles y especialmente protegidos, a que se refiere el apartado 2 del Art. 7 LOPD , para cuyo tratamiento se exige el consentimiento expreso del afectado. En este sentido indica la SAN, de 24-3-2006 (Rec. 121/2005 ), entre otras, que: este consentimiento, según el Art. 7.3 de la Ley Orgánica 15/1999 , debe ser expreso, no admitiéndose por tanto ni el consentimiento tácito ni el presunto. Y por consentimiento expreso hemos de entender aquél que se obtiene de una declaración clara e inequívoca por parte del interesado que acepta o rechaza la cesión y uso de sus datos mediante la expresión de su voluntad de forma que permita su constancia y prueba indubitada. La existencia de consentimiento expreso, referido a la cesión y uso de estos datos especialmente sensibles, no debe admitir duda, ni entenderse o interpretarse en varios sentidos, o poder dar ocasión a juicios diversos."

Pues bien, las manifestaciones del denunciante , relativas a la publicación el 17 de diciembre de 2013, en la página web de la Cadena Ser y en la edición de papel del diario El Mundo, conteniendo detalles del procedimiento administrativo iniciado en relación a una subvención a instancias del recurrente para costear un determinado tratamiento psicológico, y en que se contenían datos personales relacionados con su salud mental y otros datos psicológicos del mismo, y que se encontraban en un fichero público cuya custodia correspondía al responsable del fichero, ponen de manifiesto ciertas circunstancias de las que no cabe descartar sin más la posible infracción de la normativa sobre protección de datos .

Por consiguiente, ante los hechos expuestos, considera la Sala que la Agencia Española de Protección de Datos debió, al menos, proceder a incoar actuaciones inspectoras a fin de llevar a cabo las actuaciones previas de investigación necesarias para determinar si concurrían circunstancias que justificaran la iniciación de un procedimiento sancionador, de conformidad con lo dispuesto en el artículo 124 del Real Decreto 1720/2007, de 21 de diciembre , y tramitadas tales actuaciones obrar en consecuencia, no estimando esta Sala razonablemente motivada la resolución recurrida que rechaza siquiera hacer una mínima investigación previa.

Por todo ello, procede estimar parcialmente el recurso contencioso-administrativo, anulando la resolución recurrida y condenando a la Agencia Española de Protección de Datos a incoar actuaciones inspectoras a fin de llevar a cabo las actuaciones previas de investigación necesarias para determinar si concurren circunstancias que justifiquen la iniciación de un procedimiento sancionador en averiguación de los hechos denunciados.

CUARTO.-De conformidad con lo dispuesto en el artículo 139.1 de la Ley Jurisdiccional , procede no imponer las costas causadas en este procedimiento a la parte demandada, habida cuenta de la existencia de serias dudas de hecho y de derecho, como se deduce de los fundamentos anteriores.

En atención a lo expuesto, y en nombre de Su Majestad El Rey, la Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, ha decidido:

Fallo

ESTIMARel recurso contencioso-administrativo interpuesto por la Procuradora doña Esperanza Álvaro Mateo, en nombre y representación de don D. Sebastián , contra la resolución de fecha 29 de enero de 2015, dictada por el Director de la Agencia Española de Protección de Datos, desestimando el recurso de reposición promovido frente a la resolución del mismo órgano de 23 de julio de 2014, en el procedimiento E/01539/2014, por la que se acuerda no incoar actuaciones inspectoras y no iniciar procedimiento sancionador, anulándola por resultar contraria a Derecho, condenando a la Administración demandada a incoar actuaciones inspectoras a fin de llevar a cabo las actuaciones previas de investigación necesarias para determinar si concurren circunstancias que justifiquen la iniciación de un procedimiento sancionador.

No procede imponer costas a ninguna de las partes.

La presente sentencia es susceptible de recurso de casación que deberá prepararse ante esta Sala en el plazo de 30 días contados desde el siguiente al de su notificación; en el escrito de preparación del recurso deberá acreditarse el cumplimiento de los requisitos establecidos en el articulo 89.2 de la Ley de la Jurisdicción justificando el interés casacional objetivo que presenta.

Así por esta nuestra sentencia, lo pronunciamos, mandamos y firmamos.

PUBLICACIÓN.- Dada, leída y publicada fue la anterior sentencia en audiencia pública. Doy fe. Madrid a

EL/LA LETRADO DE LA ADMINISTRACIÓN DE JUSTICIA