Sentencia Civil 551/2023 Tribunal Supremo. Sala de lo Civil, Rec. 2139/2019 de 19 de abril del 2023

PRIMERO.- Antecedentes del caso

1.- Galp Energía España S.A.U. (en adelante, Galp) y Partec Representaciones S.L. (en lo sucesivo, Partec) concertaron el 15 de febrero de 2012 un contrato que denominaron "acuerdo de prestación de servicios de fuerza de ventas" que tenía por objeto la prestación por Partec (al que se denominaba "proveedor") de los servicios de "promoción comercial y fuerza de ventas" de los productos y servicios ofrecidos por Galp, relacionados con la introducción de Galp en el mercado de suministro de gas. La promoción comercial se realizaría por el sistema "puerta a puerta" y conllevaría la puesta a disposición de Galp de los datos recabados por Partec, entre los que se encontraban los datos personales de las personas interesadas en los servicios ofertados por Galp.

2.- En el contrato se incluía una cláusula que estipulaba que Partec debería elaborar un protocolo de comunicación con los clientes potenciales y de recogida de los datos de aquellos que estuvieran interesados en convertirse en clientes de Galp que debería ser aprobado por esta con carácter previo a la prestación de los servicios por parte de Partec (punto cuarto de la cláusula segunda). También se incluía una cláusula que estipulaba que Partec debía cumplir las obligaciones previstas en la legislación aplicable al acuerdo y, en particular, con las obligaciones previstas en la legislación sobre protección de datos de carácter personal, siendo el incumplimiento de esta obligación causa de resolución contractual (punto segundo de la cláusula cuarta, "obligaciones del proveedor). Asimismo, se incluían las siguientes estipulaciones:

Cláusula novena, párrafos 3, 4 y 5:

"[...] Los datos de carácter personal que el PROVEEDOR aporte para la prestación de los Servicios, provienen de los datos facilitados por los interesados en la contratación de los servicios de GALP ENERGIA, considerándose al PROVEEDOR como encargado del tratamiento.

" El PROVEEDOR realizará el tratamiento necesario para la prestación de los Servicios conforme a las obligaciones que se derivan de la LOPD, entre otras, la obligación de cumplir con el deber de información y de obtención del consentimiento del afectado al tratamiento de los datos personales que facilite al PROVEEDOR, El PROVEEDOR, en todo caso, mantendrá indemne a GALP ENERGIA de las posibles responsabilidades que pudieran derivarse de la recogida o tratamiento de dichos datos de carácter personal.

" Los datos de carácter personal a los que se refiere la cláusula anterior, serán incluidos en ficheros titularidad de GALP ENERGIA, previa información y consentimiento de los interesados, en el caso en el que se conviertan en clientes de ésta. El PROVEEDOR responderá de las posibles irregularidades en el cumplimiento de las obligaciones establecidas en la LOPD y su normativa de desarrollo para esa incorporación, y mantendrá indemne a GALP ENERGIA de cualquier responsabilidad que le sea exigida".

Cláusula Duodécima, párrafo 1º:

"El PROVEEDOR indemnizará a GALP ENERGIA por los daños y perjuicios que le pudiera ocasionar que resulten de cualquier reclamación judicial o extrajudicial y expedientes sancionadores, promovidos por terceros como consecuencia de la actuación del PROVEEDOR, en relación con la actividad objeto del presente Acuerdo".

Además, se estipulaba que "[e]l presente Acuerdo estará en vigor desde el día de su firma y hasta el 31 de diciembre de 2012".

Partec ya había venido prestando esos servicios para Galp con anterioridad a la suscripción de ese contrato, en virtud de un acuerdo que no estaba documentado por escrito.

3.- La Agencia Española de Protección de Datos (en lo sucesivo, AEPD) impuso a Galp veintiséis sanciones por infracciones de la legislación sobre protección de datos de carácter personal cometidas en la campaña de captación de clientes en la que había intervenido Partec, por un importe total de 740.000 euros. En la mayoría de estos expedientes también se sancionó a Partec. Algunas sanciones se impusieron por hechos acaecidos antes de la firma del contrato de 15 de febrero de 2012 y otras se impusieron por hechos acaecidos con posterioridad.

4.- Galp interpuso una demanda contra Partec en la que le reclamó el pago de 740.000 euros. La demanda se basaba en lo que Galp denominaba "cláusulas de indemnidad" contenidas en el contrato suscrito por las partes, por las que Partec "mantendrá indemne a GALP ENERGIA de las posibles responsabilidades que pudieran derivarse de la recogida o tratamiento de dichos datos de carácter personal", "responderá de las posibles irregularidades en el cumplimiento de las obligaciones establecidas en la LOPD [Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal] y su normativa de desarrollo para esa incorporación, y mantendrá indemne a GALP ENERGIA de cualquier responsabilidad que le sea exigida" e "indemnizará a GALP ENERGIA por los daños y perjuicios que le pudiera ocasionar que resulten de cualquier reclamación judicial o extrajudicial y expedientes sancionadores, promovidos por terceros como consecuencia de la actuación del PROVEEDOR, en relación con la actividad objeto del presente Acuerdo".

5.- Partec se opuso a la demanda. Entre otras razones, argumentó que la mayoría de las sanciones se impusieron por actuaciones realizadas antes de la celebración del contrato de 15 de febrero de 2012, pues Partec venía captando clientes para los suministros de Galp desde el año 2011; que la recogida de datos de carácter personal por parte de Partec se hacía conforme a las instrucciones que le daba Galp y que Galp había enviado un correo electrónico en el que manifestaba que "no se consideraba necesario que el contrato estuviese firmado por el titular del suministro contratado, podía ser firmado por cualquier persona que se encontrase en el domicilio apelando al criterio del comercial (esposa, inquilino, hijo, etc....)" y no es hasta el 31 de mayo de 2012 que Galp exige que conste la autorización del titular de los datos y se aporte la fotocopia de su DNI; que la AEPD ha sancionado a Galp por las infracciones cometidas por esa empresa como responsable del fichero, que son distintas de las cometidas por Partec como encargado del tratamiento, por las que esta ha sido sancionada. Que el art. 12.2 LOPD estipula que "[l]a realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas". Que el motivo por el que Galp no cumplió las obligaciones que le impone la LOPD a quienes van a dar de alta datos de carácter personal en sus archivos fue, según declara en la propia demanda, la de evitar asumir costes excesivos. Y que si Galp hubiese exigido la presentación de copia del DNI para verificar el consentimiento no hubiese sido sancionada, ya que le habría bastado con devolver el contrato que no viniese refrendado por un documento identificativo.

6.- El Juzgado de Primera Instancia desestimó la demanda. Entre otros argumentos, la sentencia declaró lo siguiente:

"La prueba practicada pone de manifiesto que las veintiséis sanciones de multa impuestas por la Agencia Española de Protección de Datos a Galp Energía, lo es por hechos y actos propios de dicha demandante, debidamente concretados y determinados, individualizados, como responsable del fichero de datos de carácter personal y de su tratamiento, conforme a lo establecido por el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Es decir, la demandante no cumplió su obligación legal de efectuar las comprobaciones precisas para determinar el efectivo consentimiento prestado por el cliente y denunciante en cada uno de los veintiséis expedientes sancionadores.

" Tratándose de acto o hecho propio de la demandante, cada una de las veintiséis sanciones de multa, no concurre relación de causa a efecto entre las invocadas por la demandante acción culposa o negligente y el resultado de daño; relación de causa a efecto que integra uno de los presupuestos de la culpa contractual, del artículo antes citado, 1.101 del Código civil. No es el proceder de la demandada, sino la propia omisión de la demandante -no comprobación del consentimiento prestado por cada cliente, contratante-, la circunstancia motivadora de las sanciones impuestas a la actora. Se trata de incumplimiento en la demandante -el a ella atribuido en cada una de las sanciones- de obligación legalmente a ella impuesta por el artículo 6 de la Ley Orgánica de protección de datos de carácter personal. De haber dado cumplimiento la actora a su expresada obligación legal, como titular del fichero de datos personales, no cabría imposición de sanción por la Agencia de Protección de Datos".

7.- Galp apeló la sentencia. La Audiencia Provincial desestimó la apelación, y declaró:

"Las sanciones impuestas a Galp no derivan de la actuación de Partec ni de los incumplimientos imputables a esta, responsable del tratamiento de los datos como no se discute, sino de incumplimientos directamente imputables a Galp como responsable del fichero, destacándose en cada una de las veintiséis resoluciones sancionadoras [...] cuál es la conducta que en cada caso motiva la sanción. En absoluto resulta admisible la pretensión de la apelante de reconducir o desplazar su propio incumplimiento al incumplimiento de las labores propias de Partec, pues esta fue sancionada por la Agencia Española de Protección de Datos en los casos en que apreció incumplimiento atribuible a dicha entidad, sin que ello excluya la responsabilidad de Galp por sus propios incumplimientos".

Y al comentar algunas de las sanciones impuestas a Galp por la AEPD, declaró que las sanciones se impusieron porque Galp "no ha desplegado una mínima actividad diligente tendente a constatar que contaba con el consentimiento inequívoco del titular de los datos, vulnerando con ello el contenido del artículo 6.1 LOPD", "por la desatención continuada de las reclamaciones del afectado en el tratamiento de los datos de carácter personal del mismo", por no disponer de copia o fotocopia del DNI o NIE del afectado ni acreditar actividad alguna de verificación de la identidad del titular de los datos, porque no adoptó las medidas de control y verificaciones correspondientes para asegurarse de que contaba con el consentimiento de los afectados para tratar sus datos de carácter personal. Y concluye:

"Semejantes infracciones constan en las demás resoluciones sancionadoras, siempre referidas a la conducta específica de Galp y a su condición de responsable del fichero, lo que desvirtúa las alegaciones de esta al pretender que sus sanciones derivan de la actuación de Partec. En ningún caso ha probado que fuera así (no analiza ninguna resolución en concreto), quedando desvirtuados sus argumentos exculpatorios con el análisis que se ha hecho, sin intención de exhaustividad, de algunas de las resoluciones sancionadoras. De ahí que no sean aplicables las cláusulas de indemnidad que invoca Galp, por lo que debe desestimarse el recurso".

Recurso extraordinario por infracción procesal

SEGUNDO.- Formulación del recurso extraordinario por infracción procesal

1.- En el encabezamiento del motivo Galp invoca la infracción del art. 24 de la Constitución por errónea valoración de la prueba documental ( arts. 319 y 326 de la Ley de Enjuiciamiento Civil).

2.- La infracción se habría cometido porque las sanciones que la AEPD impuso a Galp en su condición de responsable del fichero demuestran que estas tienen su origen en la actuación y los incumplimientos de Partec, ya de sus obligaciones en materia de protección de datos, ya de su concreta obligación de recabar el consentimiento de los clientes que captaba al tratamiento de sus datos de carácter personal. Un correcto juicio fáctico de las sanciones determinaría la aplicación de las cláusulas de indemnidad del contrato en el presente caso y, con ello, la estimación de la demanda. Y para justificar su impugnación, invoca diversos preceptos de la LOPD y varios apartados del contrato.

TERCERO.- Decisión del tribunal: desestimación del motivo

1.- El error en la valoración de la prueba que excepcionalmente puede ser revisado en el recurso por infracción procesal debe ser un error fáctico y de carácter patente, manifiesto, evidente o notorio, inmediatamente verificable de forma incontrovertible a partir de las actuaciones judiciales. Hemos declarado en las sentencias 123/2022, de 16 de febrero, y 257/2023, de 15 de febrero:

"[...] la existencia de un error patente o arbitrariedad en la valoración realizada por la sentencia recurrida que comporte una infracción del derecho a la tutela judicial efectiva (entre otras, sentencias 326/2012, de 30 de mayo; y 58/2015, de 23 de febrero), se refiere exclusivamente a la valoración realizada en orden a la determinación o fijación de los hechos y no a las valoraciones jurídicas extraídas de los hechos considerados probados ( sentencia 26/2017, de 18 de enero)"

2.- Un error patente en la valoración de la prueba documental consistente en las resoluciones sancionadoras de la AEPD se podría haber producido, por ejemplo, si la Audiencia Provincial hubiera confundido los documentos que contenían esas resoluciones con otros documentos obrantes en los autos, o si hubiera considerado como razonamientos de la administración sancionadora en los que fundaba la sanción lo que no eran sino alegaciones de parte. Esto es, si hubiera atribuido a dichas resoluciones sancionadoras un contenido que no tenían. Pero no es eso lo que denuncia la recurrente en su recurso extraordinario por infracción procesal.

3.- Las cuestiones que la recurrente plantea en este recurso extraordinario por infracción procesal no se refieren por tanto a la fijación de los hechos controvertidos, que es lo que podría haber sido objeto de una valoración de la prueba arbitraria o patentemente errónea, sino a cuestiones de naturaleza jurídica como es la interpretación del contrato suscrito por las partes y la valoración de las conductas descritas en las resoluciones sancionadoras de la AEPD con relación a las obligaciones que la LOPD impone a los distintos intervinientes en el tratamiento de dichos datos personales.

4.- Una valoración de esta naturaleza es jurídica y como tal debería ser impugnada en el recurso de casación, pero no en el recurso extraordinario por infracción procesal.

Recurso de casación

CUARTO.- Formulación del recurso de casación

1.- En el encabezamiento del motivo, Galp invoca la infracción del art. 1091 del Código Civil y del principio pacta sunt servanda.

2.- En el desarrollo del motivo, la recurrente argumenta que la infracción se ha producido porque la Audiencia Provincial ha negado la aplicación de una cláusula pactada libremente entre las partes. Que la sentencia recurrida no ha deslindado debidamente el plano de la responsabilidad administrativa de Galp frente a la Administración sancionadora, y el plano de la responsabilidad civil que nace del incumplimiento de un contrato, en el que las partes han asignado tales responsabilidades mediante las "cláusulas de indemnidad" contenidas en el contrato. Este último sería el plano en que se sitúa la demanda, en la que Galp solo pretende exigir a Partec su responsabilidad contractual por el incumplimiento de las obligaciones a que libre y válidamente se comprometió con Galp. La Audiencia Provincial habría errado al considerar que la mera existencia de las sanciones que la AEPD impuso a Galp por su responsabilidad como responsable del fichero excluye per se la eficacia jurídica a las cláusulas de indemnidad.

QUINTO.- Decisión del tribunal: las cláusulas de indemnidad permiten al responsable del fichero exigir al encargado del tratamiento de datos la indemnización por la exigencia de responsabilidad al responsable del fichero por sanciones derivadas de incumplimientos de la normativa por el encargado del tratamiento, pero no por sus propios incumplimientos

1.- La infracción del art. 1091 del Código Civil se habría producido si la Audiencia Provincial hubiera negado injustificadamente su eficacia a un contrato válido o a algunas cláusulas de ese contrato.

2.- No es eso lo que ha ocurrido en este caso. La Audiencia Provincial ha considerado que los hechos acaecidos no constituyen el supuesto de hecho de las cláusulas que Galp invoca como fundamento de su pretensión.

3.- Los principales argumentos que se reiteran en las resoluciones sancionatorias de la AEPD abonan la corrección de la tesis de la sentencia recurrida. La AEPD recoge en sus resoluciones que fue Galp quien dio instrucciones por correo electrónico a Partec en el sentido de que no era necesario que el contrato estuviese firmado por el titular del suministro contratado, que podía ser firmado por cualquier persona que se encontrase en el domicilio apelando al criterio del comercial (esposa, inquilino, hijo, etc....), y no fue hasta mayo de 2012 que exigió, como constatación de dicho consentimiento inequívoco del afectado, que se hiciera una fotocopia al DNI del cliente que accedía a ceder sus datos al contratar. Esto entronca con el hecho de que, de acuerdo con lo estipulado en el contrato, el protocolo de comunicación de los empleados de Partec con los potenciales clientes debía ser aprobado por Galp con carácter previo a la prestación de los servicios objeto del contrato, por lo que Galp era quien daba las instrucciones a Partec sobre cómo realizar el tratamiento de los datos personales de las personas que intentaba captar como clientes de Galp.

4.- También es significativo otro de los argumentos de las resoluciones sancionadoras de la AEPD: que Galp, en tanto que responsable del fichero, debió adoptar e implementar las medidas de control destinadas a comprobar que contaba con el consentimiento del afectado para tratar sus datos personales, y no lo hizo. No se trata, por tanto, de que en concretos casos denunciados hubieran fallado los controles y no se hubiera detectado el proceder incorrecto de Partec. Se trata de que se le sancionó por un incumplimiento de carácter sistémico de las obligaciones que Galp tenía, en tanto que responsable del fichero, obligaciones que no había transferido ni podía transferir al encargado del tratamiento.

5.- Asimismo, otras conductas sancionadas son completamente ajenas a la actuación de Partec, como es el caso de clientes que habían ejercitado su derecho de cancelación sin que Galp hubiera cancelado el tratamiento de los datos y este hubiera persistido durante varios meses.

6.- A esto habría que añadir que buena parte de las sanciones fueron impuestas en relación con afectados con los que Partec había contactado antes de que se firmara el contrato en el que se incluían esas cláusulas de indemnidad, por lo que Galp no puede pretender que se aplique una regulación contractual inexistente cuando Partec prestó esos servicios. Que además se prestaron incumpliendo la exigencia del art. 12.2 LOPD de que la relación contractual entre el responsable del fichero y el encargado del tratamiento esté "regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento".

7.- No pueden interpretarse tales cláusulas en el sentido de que Galp podía exigir a Partec que le indemnizara por cualquier sanción que le fuera impuesta con relación al tratamiento de datos de carácter personal realizado con motivo de la captación de clientela, con independencia de quién hubiera cometido la infracción de las normas sobre protección de datos, pues no se trataba de un seguro de responsabilidad civil con base en el cual Partec, mediante el cobro de una prima, asegurara la indemnidad de Galp frente a las reclamaciones o sanciones relacionadas con el tratamiento de datos. Tales cláusulas solo cobran sentido en el contexto del contrato del que forman parte. La interpretación sistemática de tales cláusulas permite concluir que, con base en las mismas, Galp podía exigir a Partec que le indemnizara por las reclamaciones y sanciones que le fueran impuestas por infracciones cometidas por Partec, como encargada del tratamiento, en la ejecución del contrato, cuya responsabilidad se extendiera a Galp como responsable de los ficheros, pero no le legitimaba para exigir tal indemnidad cuando las sanciones hubieran sido impuestas por incumplimientos o infracciones imputables a Galp o que fueran consecuencia de las instrucciones dadas por Galp a Partec para la ejecución del contrato.

8.- Como conclusión, no se observa que las sanciones impuestas a Galp se deban a los incumplimientos contractuales que imputa a Partec y que constituirían el supuesto de hecho de la aplicación de las cláusulas de indemnidad, según se argumenta por la recurrente. La Audiencia Provincial ha considerado de forma razonable que tales sanciones tienen por base la propia conducta de Galp y los incumplimientos de la LOPD imputables a Galp y no a Partec, que ha sido sancionada por sus propios incumplimientos.

SEXTO.- Costas y depósitos

1.- De acuerdo con lo previsto en el artículo 398.1 en relación con el 394.1, ambos de la Ley de Enjuiciamiento Civil, las costas de los recursos extraordinario por infracción procesal y de casación.

2.- Procede acordar también la pérdida de los depósitos constituidos de conformidad con la disposición adicional 15.ª, apartado 9, de la Ley Orgánica del Poder Judicial.

Fallo