Sentencia Contencioso-Administrativo Audiencia Nacional. Sala de lo Contencioso-Administrativo. Sección Primera, Rec. 11/2022 de 12 de enero del 2024

PRIMERO. - El presente recurso tiene por objeto la Resolución de la Directora de la Agencia Española de Protección de Datos, de 10 de noviembre de 2021, que inadmite la reclamación presentada por la recurrente.

SEGUNDO. - La demandante solicita que se deje sin efecto la resolución impugnada, revocándola, declarando la procedencia de la admisión a trámite de la reclamación efectuada por esta representación como consecuencia de la no cumplimentación en forma legal por parte del responsable del tratamiento IBERDROLA CLIENTES S.A.U. al haber ocultado la cesión o comunicación antijurídica y no ajustada a derecho de sus datos personales a un tercero.

En defensa de su pretensión alega que el día 19 de junio de 2021 la ahora denunciante tuvo conocimiento de que, por parte de tercera persona, se estaba en posesión de las facturas de consumo de energía eléctrica que la denunciante consumía sobre la base del Contrato número NUM000 suscrito con la Compañía de Electricidad IBERDROLA CLIENTES S.A.U.

A través de dicho Contrato, la compañía Iberdrola suministra energía eléctrica a la vivienda que es el domicilio de la denunciante; la tenencia de dichas facturas y de los datos personales asociados a la denunciante por parte de tercero, se debe exclusivamente a una cesión de datos no consentida por la misma, por parte de la Compañía Iberdrola en favor de dicho tercero, que no es titular de derecho alguno sobre el indicado Contrato de suministro de energía eléctrica del que es titular exclusiva la denunciante, ni tampoco esta autorizado a acceder a la información dimanante de dicho contrato. Ante la constancia más que evidente de que se había producido dicha cesión de datos personales, por la denunciante se ejercitó de forma inmediata, concretamente el día 21 de junio de 2021, el correspondiente derecho de acceso y la respuesta de IBERDROLA CLIENTES S.A.U. a dicho derecho de acceso silencia completamente la cesión de datos producida, por lo cual reclamó ante la Agencia de Protección de Datos pidiendo que, previas las investigaciones correspondientes, se incoara el correspondiente expediente administrativo sancionador, por medio del cual se procediera a depurar las responsabilidades en que hubieran podido incurrir como consecuencia de la infracción de la normativa vigente en materia de protección de datos personales, que inadmitió la reclamación por considerar que el responsable había atendido correctamente el derecho de acceso ejercitado.

Fundamenta sus alegaciones en los artículos 5 y 15 del Reglamento General de Protección de Datos (RGPD) y en el artículo 18.4 CE ya que se ha vulnerado su derecho a la intimidad causándole daños morales y psicológicos que le han hecho que tenga que estar en medicación antidepresiva; además, la información ha sido objeto de utilización por el mencionado tercero en un procedimiento de divorcio seguido ante un Juzgado de Primera Instancia e Instrucción nº 3 de Pozuelo de Alarcón (Madrid).

TERCERO. - La representación de la Administración demandada, por su parte, opone que resulta del expediente administrativo facilitado y, en particular, de la respuesta dada por la reclamada a la actora en el ejercicio por parte de ésta de su derecho de acceso, que la recurrente recibió toda la información que le era debida conforme al artículo 15 RGPD y no hubo vulneración del derecho de acceso, por lo que solicita la inadmisión del recurso o su desestimación.

La sociedad codemandada, opone la inadmisibilidad del recurso por falta de legitimación de la demandante en aplicación del artículo 69 b) en relación con el 19.1. a) de la Ley de la Jurisdicción Contenciosa. En cuanto al fondo señala que no ha existido cesión inconsentida de datos personales, ya que la factura electrónica emitida en virtud del contrato de suministro de energía celebrado entre las partes, se remitió a la dirección de correo electrónico facilitada por la actora en comunicación por SMS a uno de los dos números de teléfono facilitados por ella; por todo ello solicita que se acuerde la inadmisión del recurso o, subsidiariamente, su desestimación.

CUARTO. - El artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDPGDD), ordena a la Agencia Española de Protección de Datos evaluar la admisibilidad de las reclamaciones que se presenten e inadmitir las que "no versen sobre cuestiones de protección de datos personales, carezcan manifiestamente de fundamento, sean abusivas o no aporten indicios racionales de la existencia de una infracción".

La resolución impugnada acuerda inadmitir la reclamación por no apreciar indicios racionales de la existencia de infracción en el ámbito de las normas de protección de datos y llega a tal conclusión tras examinar la denuncia y los documentos acompañados, así como las circunstancias del caso.

Conviene examinar en primer lugar la causa de inadmisibilidad planteada por la parte codemandada, por falta de legitimación activa de la demandante para interponer el presente recurso.

Esta Sala ha declarado en diferentes sentencias (por todas St de 24 de febrero de 2023, R. 31/2022) que "quien presenta una denuncia ante un órgano administrativo carece de legitimación activa para impugnar ante los tribunales de esta jurisdicción la decisión de aquél, cuando acuerda archivar la denuncia y no iniciar un procedimiento sancionador; considera también que el recurso carece de objeto porque no se ha iniciado procedimiento alguno. El Alto Tribunal ha ido matizando su criterio y su aplicación en diferentes ámbitos, como el del ejercicio de la potestad sancionadora por el Consejo General del Poder Judicial o por la Agencia Española de Protección de Datos, que se plasma por ejemplo en la sentencia de 18 de mayo de 2015 (R. 277/2013), en los siguientes términos:

"En nuestra sentencia de 9 de junio de 2014 (recurso 5215/2011), distinguíamos entre resoluciones de la AEPD que acuerdan el archivo "a limine" de la denuncia, sin llevar a cabo ninguna actividad tendente a la comprobación de los hechos denunciados, de aquellas otras en las que la AEPD había realizado actuaciones dirigidas a la averiguación de los hechos objeto de denuncia, de suerte que la decisión de archivo del expediente fue adoptada por la AEPD tras esa actividad investigadora y de comprobación de los hechos y como consecuencia de la misma.

En dicha sentencia estimamos aplicable la doctrina jurisprudencial recogida en las sentencias que se indicaban, recaídas en relación con expedientes sancionadores del Consejo General del Poder Judicial, que también ha sido aplicada en el ámbito que nos ocupa del ejercicio de las potestades sancionadoras de la AEPD, por la sentencia de este Tribunal de 24 de enero de 2013 (recurso 5172010), que "reconoce legitimación al denunciante para demandar el desarrollo de la actividad investigadora que resulte conveniente para la debida averiguación de los hechos que hayan sido denunciados, pero no para que esa actividad necesariamente finalice en una resolución sancionadora: y esto último, porque la imposición de una sanción a la persona denunciada, al no producir efecto positivo alguno en la esfera jurídica del denunciante, ni eliminar carga o gravamen de clase alguna en dicha esfera, no encarna el interés real que resulta necesario para que pueda ser apreciada la legitimación que, como inexcusable presupuesto del proceso contencioso administrativo, exige el artículo 19 de la Ley Jurisdiccional ".

Las causas de inadmisibilidad del recurso contencioso han de ser objeto de una interpretación restrictiva para facilitar el examen de fondo de la pretensión y la plena efectividad de la tutela. En este caso, en la denuncia se pedía directamente la apertura de un procedimiento sancionador que en este contencioso se reitera al solicitar que la Agencia admita a trámite su reclamación; por lo tanto es aplicable la anterior doctrina pues, ejercitado el derecho de acceso y supresión, la responsable del tratamiento facilitó los datos personales de que disponía y suprimió la dirección de correo electrónico anteriormente facilitada para acceder a la factura; esta respuesta se estima correcta por parte de la Agencia, en cuya valoración no se aprecia la existencia de error o infracción de las normas que cita la demanda, arts. 5 y 15 LOPD.

En definitiva, la demandante carece de interés, a estos efectos, en que se inicie un procedimiento sancionador y, en general, para que se considere la vulneración de la normativa de protección de datos, lo que no puede tener lugar sin el previo procedimiento sancionador y de esa declaración depende la posibilidad de solicitar una indemnización en aplicación del artículo 82.2 RGPD en reparación de los perjuicios relatados en la demanda.

QUINTO. - Por otra parte, la presentación de una reclamación ante la Agencia Española de Protección de Datos no determina, sin más, la iniciación de alguno de los procedimientos contemplados en la LOPDGDD sino que, conforme a lo dispuesto en el artículo 65.1, la Agencia está obligada ("deberá" dice el texto legal) a evaluar su admisibilidad y está obligada a inadmitir determinada clase de reclamaciones (art. 65.2) o puede inadmitir otras (art. 65.3).

Así, una decisión de inadmisión no supone necesariamente dejación de funciones o falta de uso de los poderes atribuidos por el artículo 47 de la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales, en relación con los artículos 57 y 58 del RGPD, a la Agencia de Protección de Datos, pues tales poderes y facultades han de ejercitarse en la forma establecida en dichas normas; al respecto, el art. 57.4 del Reglamento permite adoptar una decisión de no actuar en relación a las solicitudes que sean manifiestamente infundadas; por su parte, el artículo 64.2 de la LOPDGDD dispone que, "si el procedimiento se fundase en una reclamación formulada ante la AEPD, con carácter previo ésta decidirá sobre su admisión a trámite".

En este marco, las reclamaciones presentadas deben aportar cuantos datos puedan apoyar su realidad, las circunstancias de hecho que las rodean y su relación con la normativa de protección de datos de modo que la Agencia disponga de los elementos necesarios para hacer esa evaluación previa a la que le obliga la ley; por su parte, la Agencia debe resolver de manera motivada e individualizada las inadmisiones que decida y, aunque existan elementos comunes que puedan ser aplicables a varias resoluciones, se deben adaptar a las circunstancias concretas de cada caso.

En este caso la denuncia considera que se ha producido una cesión no consentida de sus datos personales contenidos en la factura correspondiente de consumo de energía según el contrato celebrado con Iberdrola en 2016 y en el que constan dos números de teléfono de contacto facilitados por la demandante; remitido a uno de ellos una comunicación de la empresa en 2018 sobre la posibilidad de activar la factura electrónica, se aceptó facilitando una dirección de correo electrónico que en la demanda se considera una cesión a tercero no autorizado.

En la denuncia se pide a la Agencia que se dicte acuerdo de incoación de expediente sancionador para investigar y depurar presuntas responsabilidades de la denunciada como consecuencia de la cesión inconsentida de datos personales; no pide, sin embargo, la práctica de otras diligencias de investigación aparte de los documentos que presenta, como tampoco en este recurso ha solicitado la práctica de prueba salvo la reproducción del expediente administrativo y la aportación con la demanda de los documentos consistentes en la factura de electricidad recibida en junio de 2021 y los que reflejan su ejercicio del derecho de acceso ante la compañía y la respuesta de ésta, así como la reclamación ante la AEPD y la resolución objeto de este recurso.

En estas circunstancias, la decisión de la Agencia, si bien escuetamente motivada, no ha producido indefensión al demandante, que ha podido utilizar los argumentos y medios de prueba en relación con su reclamación administrativa, cuyo contenido prácticamente se reproduce en la demanda del posterior recurso contencioso en el que se ha admitido y considerado toda la prueba propuesta, sin que se aprecie que esa valoración sea errónea cuando considera que no hay indicios de infracción en materia de protección de datos personales, quedando fuera lo relativo a la infracción del derecho a la intimidad mencionado en la demanda, cuya defensa habrá de realizarse por los medios y en las instancias competentes.

En cuanto a la petición principal de la demanda, consistente en que por la Agencia se admita a trámite la denuncia que pide que se inicie un procedimiento sancionador de la conducta infractora de las normas de protección de datos, no puede ser admitida pues no estaría legitimado el demandante, según se ha expuesto antes, conforme a una reiterada doctrina del Tribunal Supremo, reflejada, por ejemplo, en la sentencia de 5 de febrero de 2018 (R.2029/2016), «[...] La pretensión de la defensa de la legalidad ---al margen de su regulación en el ámbito del derecho penal--- requiere, en el ámbito que nos afecta del derecho administrativo, de una específica y concreta habilitación que no se percibe ni se acredita en la materia de la protección de datos de carácter personal, debiendo recordarse que el poder punitivo pertenece únicamente a la Administración que es quien tiene encomendada la correspondiente potestad sancionadora ---en este caso, la Agencia Española de Protección de Datos---, y, por consiguiente, sólo la Administración tiene un interés tutelado por el Ordenamiento jurídico en que el infractor sea sancionado; lo contrario implicaría sustituir a la Administración en el ejercicio de la potestad sancionadora [...]». En ese caso el recurso sería inadmisible por falta de legitimación activa.

QUINTO. - En virtud de lo anterior procede inadmitir el recurso y, en aplicación del art. 139.1. de la propia Ley, imponer las costas a la parte demandante, cuyas pretensiones han sido totalmente desestimadas, en cuantía que no podrá exceder por todos los conceptos de 1.500 euros.