Sentencia Contencioso-Administrativo Audiencia Nacional. Sala de lo Contencioso-Administrativo. Sección Primera, Rec. 2058/2021 de 10 de noviembre del 2023

PRIMERO : La parte recurrente, la entidad CLÍNICA MEDICA TONJES SL, interpone recurso contencioso administrativo contra la resolución de la Agencia Española de Protección de Datos de 28 junio 2021. Esta resolución recoge que se formuló ante la Agencia Española de Protección de Datos reclamación el 31 diciembre 2020 por la Clínica Dental Albatat SL por supuesta vulneración del art. 32 RGPD, art. 5.1. f) RGPD. Y manifiesta que en el inmueble que ha alquilado se ha encontrado una documentación abandonada, cajas que contienen expedientes e historiales médicos y moldes de yesos de los pacientes de la entidad que desarrolló anteriormente su actividad en ese inmueble, e informados los profesionales sanitarios de ello no han llevado a cabo ninguna actuación. De esta reclamación se dio traslado a la Clínica Dental Albatat para que diera respuesta en el plazo de 1 mes y procediera a su análisis y se solicitó a la parte reclamada que informara a la Agencia Española de Protección de Datos sobre tales extremos. La Clínica Dental Albatat dio respuesta. Esta Clínica manifestó en su respuesta que en fecha 30 julio 2019 suscribió un contrato de arrendamiento con la entidad reclamante, arrendataria. Que esa documentación y moldes de yeso tiene una antigüedad de más de 10 años o más, no estaban abandonados, sino archivados y protegidos en el interior de un armario de obra, tapiado y sin acceso físico a él, excepto si se derribaba la pared. La arrendataria tenía intención de abrir una clínica médica y solicitó la posibilidad de hacer obras para adaptar el inmueble, informándole de forma expresa que esa pared no debería derribarse pues tras ella se encontraba un armario tapiado con documentación y objetos personales de la propiedad a los que no podían tener acceso salvo que se derribase la pared. La documentación ha sido recuperada y se adoptaran medidas para que no vuelva a suceder.

La Agencia Española de Protección de Datos manifiesta que una vez tenidas en cuenta las alegaciones de la reclamada no procede el inicio de un procedimiento sancionador al haber sido atendida la reclamación, acordándose el archivo.

Contra esta resolución se interpone el presente recurso contencioso administrativo.

SEGUNDO : La parte actora en su demanda señala que formuló denuncia ante la Agencia Española de Protección de Datos por vulneración de los arts. 5.1.f y 32 RGPD. Los hechos que motivan la denuncia consisten en que tras arrendar el local que iba a ser destinado a la realización e la actividad de la entidad denunciante, se comprobó que en el local arrendado se encontraba abandonada gran cantidad de documentación, información de pacientes de quienes habían ejercitado su actividad profesional como Clínica Dental Albalat SL en ese local, negándose los arrendadores a hacerse cargo de esa documentación que incluía datos sensibles, por lo que previamente a poner los hechos en conocimiento de la Agencia Española de Protección de Datos se denunciaron los hechos ante la policía local de Valencia que se personó en el local y levantó parte de esa intervención con el nº NUM000.

La Agencia Española de Protección de Datos admitió la denuncia y dio traslado a los denunciados por el plazo de 1 mes que expusieron lo que creyeron conveniente. La Agencia Española de Protección de Datos reiteró la solicitud de información en mayo 2021 para que se les remitiera en el plazo de 5 días información detallada de las medidas que se iban a adoptar en materia de protección de datos para regularizar la situación y en un futuro evitar hechos similares, solicitando los denunciados una ampliación de plazo, pero transcurrido el nuevo plazo la Agencia Española de Protección de Datos sin más trámite dicto el acuerdo de archivo sin que los arrendadores cumplieran con la solicitud.

La demanda considera que la resolución recurrida no se ajusta a derecho debiendo anularse y dictar otra que acuerde el inicio del procedimiento sancionador. Que la respuesta ofrecida por el reclamado no informa de las medidas a adoptar. El responsable del tratamiento, en este caso, no solo no ha adoptado ninguna medida, sino que ha hecho caso omiso a la solicitud de la Agencia Española de Protección de Datos que no ha contrastado lo alegado por la parte reclamada con el acta levantada por la policía local y las fotografías. Que existen indicios suficientes para tener por vulnerado el principio de confidencialidad del art. 5.1.f RGPD y art. 32 del mismo Reglamento. Y suplica que se tenga por formulada demanda en el presente recurso contencioso administrativo y se dicte sentencia:

A) Que declare ser contraria a derecho la resolución de la Agencia Española de Protección de Datos de 28 junio 2021, dejando sin efecto el archivo acordado, procediendo el inicio del procedimiento para el ejercicio de la potestad sancionadora de dicha Agencia.

B) Que se condene en constas a la Administración demandada.

El Abogado del Estado en su escrito de contestación a la demanda se opuso a la misma con imposición de costas a la parte demandante. Añade que aun cuando la actora lo omite se interpuso recurso de reposición contra esa resolución de archivo de la Agencia Española de Protección de Datos pero se formuló, no obstante, recurso contencioso administrativo. Y considera que es conforme a derecho la resolución impugnada.

TERCERO : La cuestión a tratar consiste en la falta de legitimación activa y así debemos señalar al respecto que el criterio de esta Sala puede resumirse en que: «[...]quien denuncia hechos que considera constitutivos de infracción de la legislación de protección de datos carece de legitimación activa para impugnar en vía jurisdiccional lo que resuelva la Agencia. La razón es que ni la Ley Orgánica de Protección de Datos ni su Reglamento de desarrollo reconocen al denunciante la condición de interesado en el procedimiento sancionador que se pueda incoar a resultas de su denuncia [...]» (St de esta Sala y sección de 20 de octubre de 2014, nº 419/13).

En la propia sentencia se realiza una importante matización, acorde con la doctrina del Tribunal Supremo, contenida, por ejemplo, en la sentencia de 6 de octubre de 2009, (recurso 4712/2005), así como en la más reciente de 12 de mayo de 2015, (recurso 277/2013), resumida en dos precisiones: «[...]a) el denunciante puede impugnar el archivo de la denuncia por la Administración para demandar la debida averiguación de los hechos denunciados, y b) aunque el denunciante de una infracción de la legislación de protección de datos carece de legitimación activa para impugnar la resolución de la Agencia en lo que concierne al resultado sancionador mismo (imposición de una sanción, cuantía de la misma, exculpación, etc.), puede tener legitimación activa con respecto a aspectos de la resolución distintos del específicamente sancionador siempre que, por supuesto, pueda mostrar algún genuino interés digno de tutela [...]».

En la sentencia citada, de 12 de mayo de 2015, que cita otra anterior de 9 de junio de 2014, (recurso 5215/2011), el Alto Tribunal distingue: «[...]entre resoluciones de la AEPD que acuerdan el archivo "a limine" de la denuncia, sin llevar a cabo ninguna actividad tendente a la comprobación de los hechos denunciados, de aquellas otras en las que la AEPD había realizado actuaciones dirigidas a la averiguación de los hechos objeto de denuncia, de suerte que la decisión de archivo del expediente fue adoptada por la AEPD tras esa actividad investigadora y de comprobación de los hechos y como consecuencia de la misma[...]» , y concluye que: «[ (]En tal situación, es de aplicación la doctrina jurisprudencial de esta Sala, recogida en las sentencias de 17 de marzo de 2010 (recurso 322/2009), 10 de noviembre de 2010 (recurso 66/2010), 10 de octubre de 2012 (recurso 367/2011), 14 de noviembre de 2012 (recurso 192/2012), 8 y 9 de mayo de 2013 ( recursos 266/2012 y 412/2012), y otras muchas, recaídas en relación con expedientes sancionadores del Consejo General del Poder Judicial, que también ha sido aplicada en el ámbito que nos ocupa del ejercicio de las potestades sancionadoras de la AEPD, en sentencia de 24 de enero de 2013 (recurso 51/2010), que "reconoce legitimación al denunciante para demandar el desarrollo de la actividad investigadora que resulte conveniente para la debida averiguación de los hechos que hayan sido denunciados, pero no para que esa actividad necesariamente finalice en una resolución sancionadora: y esto último porque la imposición de una sanción a la persona denunciada, al no producir efecto positivo alguno en la esfera jurídica del denunciante, ni eliminar carga o gravamen de clase alguna en dicha esfera, no encarna el interés real que resulta necesario para que pueda ser apreciada la legitimación que, como inexcusable presupuesto del proceso contencioso administrativo, exige el artículo 19 de la Ley Jurisdiccional[...]».ceso contencioso administrativo, exige el artículo 19 de la Ley Jurisdiccional[...]».

La aplicación de la doctrina anterior al caso ahora analizado determina la inadmisión, como resulta claramente de la petición de la parte demandante antes transcrita. En estas condiciones, el recurrente carece de legitimación para solicitar la apertura de expediente sancionador, conforme a la doctrina jurisprudencial mencionada, confirmada por la sentencia del Tribunal Supremo de 5 de febrero de 2018 (R.2029/2016), en la que se afirma que: «[...] La pretensión de la defensa de la legalidad ---al margen de su regulación en el ámbito del derecho penal--- requiere, en el ámbito que nos afecta del derecho administrativo, de una específica y concreta habilitación que no se percibe ni se acredita en la materia de la protección de datos de carácter personal, debiendo recordarse que el poder punitivo pertenece únicamente a la Administración que es quien tiene encomendada la correspondiente potestad sancionadora ---en este caso, la Agencia Española de Protección de Datos---, y, por consiguiente, sólo la Administración tiene un interés tutelado por el Ordenamiento jurídico en que el infractor sea sancionado; lo contrario implicaría sustituir a la Administración en el ejercicio de la potestad sancionadora [...]».

En definitiva, su petición no es admisible pues no se aprecia qué efecto positivo produciría en la esfera jurídica del demandante la tramitación del expediente sancionador.

CUARTO : En virtud de lo anterior procede inadmitir el recurso y, en aplicación del art. 139.1. de la propia Ley, se hace imposición de costas a la actora en cuantía de 1000 euros.

Vistos los preceptos legales citados y demás de general y pertinente aplicación;