No considerándose necesaria la celebración de vista pública, se dio traslado para conclusiones a las partes, trámite que evacuaron por su orden, primero la defensa del actor y después el Abogado del Estado, mediante escritos en los que concretaron y reiteraron sus pedimentos.
PRIMERO. - Se interpone el presente recurso contencioso-administrativo frente a la Resolución de la Agencia Española de Protección de Datos de 10 de diciembre de 2020 que impone a la Agencia Estatal de Administración Tributaria, por la infracción del artículo 5 1 d) del RGPD, tipificada en el artículo 83.5 punto a de dicho Reglamento, una sanción de apercibimiento.
Resolución que se sustenta en la siguiente declaración de hechos probados de mayor trascendencia:
Primero: el 20 de mayo de 2019 tiene entrada en la Agencia Española de Protección de Datos escrito del reclamante, que se dirige contra la AEAT, porque al dar de alta en la Seguridad Social a una trabajadora y solicitar la reducción de su cotización, fue denegada por la TGSS, informando al reclamante que no estaba al corriente de sus obligaciones fiscales ya que en los ficheros de la AEAT consta la anotación " delito fiscal". El reclamante se dirigió al Delegado de Protección de Datos (DPD) de la AEAT solicitado explicaciones, y éste responde el 1 de abril de 2019 que los datos que obran en los ficheros de la AEAT son correctos si bien, en la aplicación Asistencia Jurídica no se completó un campo, motivando la emisión del certificado erróneo con el resultado negativo de la solicitud ante la TGSS.
Segundo: Consta aportada diligencia de comparecencia en la Delegación Especial de la AEAT en Madrid de 22 de marzo de 2019, en la que se solicita explicación sobre la situación creada por el certificado expedido e identificación del funcionario actuante.
Tercero: En escrito dirigido al DPD de la AEAT el 8 de febrero de 2019, el reclamante solicita explicaciones sobre la incidencia ocurrida, objeto de la presente reclamación.
Cuarto: La respuesta del DPD de 20 de mayo de 2019 señala que:
"Cuando lo ha solicitado a la TGSS, aunque el sentido de este certificado es negativo, se ha facilitado como causa de la denegación: "M Delito Fiscal" para su traslado y que pudiera solicitar una revisión ante la Agencia Tributaria. Hay que reconocer que el término Delito Fiscal es desafortunado y hubiera sido preferible un mensaje del tipo: "Acuda a su oficina tributaria para que revisen la situación" y que "Una vez analizado su caso e identificadas las causas que han provocado la situación que ha descrito, se ha procedido a actualizar la aplicación de Asistencia jurídica". De esta forma, a partir de ahora y mientras no cambien las circunstancias, el sentido de certificado tributario será el mismo, independientemente de que se solicite ante la Agencia Tributaria o a través de un organismo integrado en el sistema de suministros de información donde se ofrecen los certificados de estar al corriente en el pago de obligaciones tributarias. Esta modificación ha tenido efectos desde el día 26 de marzo de 2019".
SEGUNDO. - La parte actora sustenta su pretensión impugnatoria de la demanda, en síntesis, en las siguientes consideraciones:
Mi cliente aparecía en los ficheros de la AEAT, al menos, desde que solicitó el alta de su empleada en abril de 2018, como incurso en delito fiscal, aunque le fue ocultada esta circunstancia hasta el 11 de noviembre de 2018, pero nadie en la Agencia Tributaria corrigió la inexactitud del dato.
Ante tan insólita situación, dirigió escrito al Delegado de Protección de Datos de la AEAT el 1 de abril de 2019, que recibió respuesta absolutamente insatisfactoria, pues deniega la petición de identificación de los responsables y encargados del tratamiento de los datos fiscales y se limita a justificar lo sucedido como si se tratara de un cúmulo de circunstancias casuales y un error en las máquinas y no las personas. Es contra este escrito del DPD de la Agencia Tributaria, contra el que mi cliente presenta ante la AEPD la reclamación, solicitando la apertura de expediente sancionador del que trae causa la presente demanda.
Los hechos que referimos en lo sucesivo no son ya de la AEAT sino de la AEPD con arreglo a la documentación que constituye el expediente del que se nos ha hecho entrega, y donde se contiene la resolución de la Directora de la AEPD que nunca nos fue notificada y que solo conocimos por su traslado en el expediente.
En nuestro caso, el responsable o responsables han tenido varias oportunidades de corregir la inexactitud del dato del delito fiscal, y se han negado a corregirlo, por lo que el tema de fondo de esta demanda no es ya si se cometió o no un error en 2012, sino que no ha sido corregido sin dilación desde marzo de 2012 hasta marzo de 2019.
Además, tanto una como otra Agencia eluden, sistemáticamente, cualquier referencia a la inspección fiscal soportada por mi representado, cuando es un hecho de trascendental importancia, en cuanto desmonta la excusa aducida por la Agencia Tributaria para justificar la inexactitud del dato y su ausencia de corrección a lo largo de 7 años.
En conclusión, el argumento de la antigüedad de los datos no vale, pues aparece referido a la mejora de la aplicación "asistencia jurídica" desde el año 2015 en adelante, por lo que ser el dato inexacto de 2012 se justifica por la Administración que no haya sido actualizado.
La resolución de la AEPD encubre a los responsables y encargados del ilegal manejo de datos que denunciamos, al sancionar a la Agencia Tributaria como organismo, pero no a ellos, y al decir que, una vez corregida la inexactitud y tomadas las medidas para que no vuelva a suceder, no proceden más actuaciones.
Se razona en la fundamentación jurídica de la demanda sobre que no fue notificada al actor ni su imputación en enero de 2012, ni el sobreseimiento en marzo del mismo año, ni en ningún momento ulterior hasta noviembre de 2019, como ya se ha mencionado. Debiendo la AEAT aportar documentos acreditativos de tal notificación. Razonándose a continuación respecto de la necesaria identificación de los responsables y encargados del tratamiento y sobre la necesidad, por último, de incoar actuaciones disciplinarias.
TERCERO. - Ha biéndose planteado en la contestación a la demanda, por el Abogado del Estado, la inadmisibilidad del recurso por falta de legitimación activa del demandante para su interposición, causa de inadmisibilidad basada en el artículo 69.b) de la Ley de la Jurisdicción, al carecer dicho recurrente de un derecho subjetivo o interés legítimo en la imposición de una sanción en materia de protección de datos, la misma ha de ser examinada con carácter previo.
A tal fin deviene necesario traer a colación la STS de 16 de diciembre de 2008 (Rec. 6339/2004) dictada también respecto de una resolución del Director de la AEPD que acordó el archivo de un procedimiento incoado en virtud de una denuncia formulada por los allí recurrentes, y que apreció tal falta de legitimación activa, al no justificar dichos actores que ni la apertura del expediente disciplinario ni la sanción de la entidad denunciada pudieran producir un efecto positivo en la esfera jurídica de los mismos, o eliminar una carga o gravamen en esa esfera.
Sentencia que, entre otras, contiene las siguientes consideraciones:
(...) en relación con la legitimación en materia sancionadora y respecto de los denunciantes, esta Sala viene señalando algunos criterios que conforman doctrina jurisprudencial y que permiten determinar la concurrencia de tal requisito procesal.
Así se señala de manera reiterada, que se trata de justificar la existencia de una utilidad, posición de ventaja o beneficio real, o más concretamente, si la imposición de una sanción puede producir un efecto positivo en la esfera jurídica del denunciante o puede eliminar una carga o gravamen, en esa esfera (S. 23-5-2003, 28-11-2003, 30-11-2005, entre otras).
Que por ello el problema de la legitimación tiene un carácter casuístico, lo que no permite una respuesta indiferenciada para todos los casos, siendo preciso examinar en cada uno de ellos el concreto interés legítimo que justifique la legitimación , incumbiendo su alegación y prueba a quien se lo arrogue ( SS. 21-11-2005 , 30-11-2005 ), señalando la sentencia de 3 de noviembre de 2005 que:(...)no es aconsejable ni una afirmación ni una negación indiferenciadas para todos los casos, la Sala entiende que la existencia de la legitimación viene ligada a la de un interés legítimo de la parte que se la arroga, siendo la clave para determinar si existe o no ese interés legítimo en el proceso de impugnación de una resolución (...) el dato de si la imposición de una sanción puede producir un efecto positivo en la esfera jurídica del denunciante o puede eliminar una carga o gravamen en esa esfera, y será así, en cada caso, y en función de lo pretendido, como pueda darse la contestación adecuada a tal cuestión, no siéndolo que la imposición de la sanción constituye por sí misma la satisfacción de un interés (...) Así, si bien no existe legitimación para pretender en abstracto la imposición de una sanción y, por tanto, para incoar un expediente sancionador, no puede excluirse que en determinados asuntos el solicitante pueda resultar beneficiado en sus derechos o intereses como consecuencia de la apertura de un expediente sancionador (reconocimiento de daños, derecho a indemnizaciones), lo que le otorgaría legitimación para solicitar una determinada actuación inspectora o sancionadora ( Sentencia de 14/12/2005 Rec. 101/2004 ).
No obstante, la jurisprudencia identifica en tales sentencias el alcance de ese interés legítimo del denunciante, considerando como tal(...)el reconocimiento de daños o derecho a indemnizaciones y entendiendo que no tiene tal consideración la alegación de que "la imposición de la sanción constituye por sí misma la satisfacción de un interés" señalando la sentencia de 26 de noviembre de 2002 que: "el denunciante ni es titular de un derecho subjetivo a obtener una sanción contra los denunciados, ni puede reconocérselo un interés legítimo a que prospere su denuncia, derecho e interés que son los presupuestos que configuran la legitimación , a tenor del artículo 24,1 de la Constitución y artículo 31 de la Ley 30/1992 , sin que valgan como sostenedores de ese interés los argumentos referidos a que se corrijan las irregularidades, o a que en el futuro no se produzcan, o a la satisfacción moral que comportaría la sanción, o la averiguación de los hechos, para el denunciante (...) "
CUARTO. - En la misma línea, y con mayor contundencia, hemos de referir también la doctrina de las SSTS de 6 de octubre de 2009 (Rec. 4712/2005), y de 12 de mayo de 2015 (Rec. 277/2013), dictadas en supuestos de gran similitud con el ahora analizado, asimismo en materia de protección de datos, en las que se concluye lo siguiente:
(...) quien denuncia hechos que considera constitutivos de infracción de la legislación de protección de datos carece de legitimación activa para impugnar en vía jurisdiccional lo que resuelva la Agencia. Así se desprende de las sentencias de esta Sala de 6 de noviembre de 2007 y, con mayor nitidez aún, de 10 de diciembre de 2008 . La razón es, en sustancia, que el denunciante carece de la condición de interesado en el procedimiento sancionador que se puede incoar a resultas de su denuncia. Ni la Ley Orgánica de Protección de Datos ni su Reglamento de desarrollo le reconocen esa condición. Y por lo que se refiere a los principios generales del derecho administrativo sancionador, aunque en algunas ocasiones esta Sala ha dicho que el denunciante puede impugnar el archivo de la denuncia por la Administración, no se admite que el denunciante pueda impugnar la resolución administrativa final. El argumento crucial en esta materia es que el denunciante, incluso cuando se considere a sí mismo "víctima" de la infracción denunciada, no tiene un derecho subjetivo ni un interés legítimo a que el denunciado sea sancionado. El poder punitivo pertenece únicamente a la Administración que tiene encomendada la correspondiente potestad sancionadora -en este caso, la Agencia Española de Protección de Datos- y, por consiguiente, sólo la Administración tiene un interés tutelado por el ordenamiento jurídico en que el infractor sea sancionado. Es verdad que las cosas no son así en el derecho penal propiamente dicho, donde existe incluso la acción popular; pero ello es debido a que hay normas que expresamente establecen excepciones al monopolio público sobre el ejercicio del ius puniendi; excepciones que no aparecen en el derecho administrativo sancionador y, por lo que ahora específicamente interesa, en la legislación sobre protección de datos. Es más: aceptar la legitimación activa del denunciante no sólo conduciría a sostener que ostenta un interés que el ordenamiento jurídico no le reconoce ni protege, sino que llevaría también a transformar a los tribunales contencioso-administrativos en una especie de órganos de apelación en materia sancionadora. Esto último supondría dar por bueno que pueden imponer las sanciones administrativas que no impuso la Administración, lo que chocaría con el llamado "carácter revisor" de la jurisdicción contencioso-administrativo. En otras palabras, los tribunales contencioso-administrativos pueden y deben controlar la legalidad de los actos administrativos en materia sancionadora; pero no pueden sustituirse a la Administración en el ejercicio de las potestades sancionadoras que la ley encomienda a aquélla.
Cuanto se acaba de decir debe ser objeto de una precisión: el denunciante de una infracción de la legislación de protección de datos carece de legitimación activa para impugnar la resolución de la Agencia en lo que concierne al resultado sancionador mismo (imposición de una sanción, cuantía de la misma, exculpación, etc.); pero, llegado el caso, puede tener legitimación activa con respecto a aspectos de la resolución distintos del específicamente sancionador siempre que, por supuesto, pueda mostrar algún genuino interés digno de tutela.
STS de 12 de mayo de 2015, que cita otra anterior de 9 de junio de 2014 (Rec. 5215/2011), donde el Alto Tribunal distingue: "(...)entre resoluciones de la AEPD que acuerdan el archivo "a limine" de la denuncia, sin llevar a cabo ninguna actividad tendente a la comprobación de los hechos denunciados, de aquellas otras en las que la AEPD había realizado actuaciones dirigidas a la averiguación de los hechos objeto de denuncia, de suerte que la decisión de archivo del expediente fue adoptada por la AEPD tras esa actividad investigadora y de comprobación de los hechos y como consecuencia de la misma(...)" , y concluye que: "(...)En tal situación, es de aplicación la doctrina jurisprudencial de esta Sala, recogida en las sentencias de 17 de marzo de 2010 (recurso 322/2009 ), 10 de noviembre de 2010 (recurso 66/2010 ), 10 de octubre de 2012 (recurso 367/2011 ), 14 de noviembre de 2012 (recurso 192/2012 ), 8 y 9 de mayo de 2013 ( recursos 266/2012 y 412/2012 ), y otras muchas, recaídas en relación con expedientes sancionadores del Consejo General del Poder Judicial, que también ha sido aplicada en el ámbito que nos ocupa del ejercicio de las potestades sancionadoras de la AEPD, en sentencia de 24 de enero de 2013 (recurso 51/2010 ), que "reconoce legitimación al denunciante para demandar el desarrollo de la actividad investigadora que resulte conveniente para la debida averiguación de los hechos que hayan sido denunciados, pero no para que esa actividad necesariamente finalice en una resolución sancionadora: y esto último porque la imposición de una sanción a la persona denunciada, al no producir efecto positivo alguno en la esfera jurídica del denunciante, ni eliminar carga o gravamen de clase alguna en dicha esfera, no encarna el interés real que resulta necesario para que pueda ser apreciada la legitimación que, como inexcusable presupuesto del proceso contencioso administrativo, exige el artículo 19 de la Ley Jurisdiccional (...)"
Criterio que se reitera en las SSTS de 18 de mayo de 2015 (Rec. 277/2013) y de 1 de enero de 2018 (Rec. 2368/2016) recaídas también en asuntos de protección de datos.
QUINTO. - Dada la necesaria aplicación de tal doctrina del Alto Tribunal al presente supuesto resulta que en él, lo que pretende y solicita la parte actora, según resulta del súplico de la demanda, consiste de un lado en que "se anule y deje sin efecto la Resolución del Delegado de Protección de Datos de la Agencia Tributaria de 4 de abril de 2019", condenándose a dicha Agencia Tributaria "a promover expediente disciplinario contra los responsables y encargados autores de la infracción y a imponerles la sanción que corresponda", cuestiones ajenas a la presente litis y para las que esta Sala carece de competencia, tomando en consideración que la Resolución objeto del presente recurso jurisdiccional ha sido dictada por la Agencia Española de Protección de Datos, siendo a la misma, por tanto, conforme al carácter revisor de esta Jurisdicción, a la que debemos delimitar el presente pronunciamiento.
Circunscribiéndonos a dicha Resolución de la AEPD combatida, lo que se solicita en la demanda es que se declare "nula la sanción impuesta a la Agencia Española de Administración Tributaria ( por parte de dicha AEPD) al haber confundido a los sujetos pasivos de dicha sanción", lo que en definitiva conlleva la declaración explícita o implícita de que se ha cometido una infracción, por considerar producidas una serie de irregularidades a lo largo de la tramitación del expediente ante la Agencia Tributaria, que se consideran vulneradoras del derecho de protección de datos personales del recurrente, según resulta de la fundamentación de dicha demanda.
Además de la jurisprudencia mencionada en el fundamento de derecho anterior, ha de traerse también a colación lo razonado en la sentencia del Tribunal Supremo de 5 de febrero de 2018 (R.2029/2016), en la que se afirma que: «(...) La pretensión de la defensa de la legalidad (al margen de su regulación en el ámbito del derecho penal) requiere, en el ámbito que nos afecta del derecho administrativo, de una específica y concreta habilitación que no se percibe ni se acredita en la materia de la protección de datos de carácter personal, debiendo recordarse que el poder punitivo pertenece únicamente a la Administración que es quien tiene encomendada la correspondiente potestad sancionadora (en este caso, la Agencia Española de Protección de Datos) y, por consiguiente, sólo la Administración tiene un interés tutelado por el Ordenamiento jurídico en que el infractor sea sancionado; lo contrario implicaría sustituir a la Administración en el ejercicio de la potestad sancionadora (...)».
El otorgamiento de legitimación en estos casos, por tanto, supondría dar por bueno que se pueden imponer sanciones administrativas que no impuso la Administración, lo que chocaría con el "carácter revisor" de la jurisdicción contencioso- administrativa. En otras palabras, los tribunales contencioso-administrativos pueden y deben controlar la legalidad de los actos administrativos en materia sancionadora, pero no pueden sustituir a la Administración en el ejercicio de las potestades sancionadoras que la Ley encomienda a aquellas.
De todo lo cual ha de concluirse que procede inadmitir el recurso, por falta de legitimación activa del Artículo 69.b) de la Ley 29/1998 y, sin necesidad de mayores consideraciones, de acuerdo con la doctrina del Tribunal Supremo que ha sido expuesta, el presente recurso ha de ser inadmitido.
SEXTO. - Conforme a lo establecido en el artículo 139.1 de la LJCA, procede imponer las costas causadas a la parte actora, costas cuyo importe máximo, por todos los conceptos, no pueden exceder de 1500 euros.
Vistos los preceptos legales citados y demás de general y pertinente aplicación,
