Se señaló para deliberación y fallo el día 12 septiembre 2023.
PRIMERO : La parte recurrente, Dª Dulce, interpone recurso contencioso administrativo contra la resolución de la Agencia Española de Protección de Datos de fecha 4 agosto 2021 que no admite a trámite la reclamación formulada por la actora. En esta resolución se hace constar que Dª Dulce el 17 mayo 2021 presentó reclamación referida al Colegio DIRECCION000 por vulneración del art. 32 RGPD, art. 5.1.f RGPD. Refiere en la reclamación que la profesora de su hijo menor de edad (6 años) remitió, el 29 de abril de 2021, un correo electrónico en el que se trataban asuntos vinculados con el comportamiento en clase del menor, contenía asuntos dirigidos exclusivamente la familia del menor, pero que se remitió a otras 117 direcciones de correo electrónico, figurando el nombre de todos los destinatarios. Expone la reclamante que no tiene constancia de que el centro educativo reclamado haya aplicado medidas para poner remedio y mitigar los efectos negativos ni que haya realizado la correspondiente notificación a la autoridad de la violación de seguridad. Aporta copia del email remitido y de las contestaciones recibidas tras el mismo. Con carácter previo a la admisión se dio traslado de la reclamación al Colegio citado para que informara de lo sucedido en el plazo de 1 mes. El Colegio respondió que a consecuencia de un error humano se produjo una brecha de seguridad en relación a los datos personales contenidos en el mensaje del correo electrónico y de forma inmediata el responsable del tratamiento se hizo cargo de la situación adoptando las medidas necesarias para evitar/minimizar el alcance e impacto y se notificó el incidente a los afectados con toda brevedad. Todos los destinatarios erróneos comprendieron la situación y aceptaron las disculpas. Este tipo de brecha, continúa la resolución, podría tener impacto en la reputación del afectado, y con el objetivo de mitigar esa pérdida de confidencialidad el centro implantó medidas de seguridad desde el punto de vista técnico y humano, minimizando la probabilidad de que se produjese alguna filtración de este tipo de datos. Y añade que: " Particularidades del supuesto: el hecho de que la información filtrada sea, no solo pública y conocida por todo el entorno del afectado (sus compañeros), sino que el comportamiento que revela sea propio de un niño de esa edad (6 años), disminuyen fehacientemente la posibilidad de que se materialice un daño reputacional con impacto significativo en el afectado.
- Medidas adoptadas: la rápida reacción del centro a la hora de abordar el incidente, llamando a todos los destinatarios, explicando el error y requiriendo la eliminación directa del mensaje, ha limitado el alcance del daño de forma efectiva y, en consecuencia, el posible riesgo o impacto de la filtración.
Se realizaron las siguientes actuaciones de forma simultánea:
- Contacto con el servicio de atención al cliente y servicio técnico de la plataforma del Grupo SM.
- La docente se puso en contacto por teléfono con los destinatarios que, por error, habían recibido el correo electrónico pidiendo disculpas, explicando lo sucedido y requiriendo la eliminación directa del mensaje.
- La docente intentó ponerse en contacto por vía telefónica en varias ocasiones con la reclamante y, ante la imposibilidad de contactarla, le mandó un correo electrónico pidiéndole disculpas.
En cumplimiento del requerimiento efectuado, se acompaña la Evaluación de Impacto en la Privacidad de expedientes académicos. Se acompaña Registro de Actividad de gestión de expedientes académicos de los alumnos y de gestión de clientes (padres y titulares de la patria potestad de los alumnos).
Sobre la notificación de la violación de seguridad a la Autoridad de Control, la evaluación del posible impacto que podría generar en los afectados la brecha de seguridad acaecida arrojó una probabilidad residual y su impacto, de generarse, sería mínimo o muy limitado. En consecuencia, los presentes hechos se hallaban expresamente excluidos de los supuestos en los que surgía tal deber, siendo el análisis expuesto lo que motivó la no comunicación de los hechos a la autoridad competente. Sobre las medidas a adoptar, se expone la revisión de protocolos y la adopción de nuevas medidas para minimizar el riesgo de que pueda volver a suceder un caso similar.
Trasladar a la denunciante una vez más nuestras más sinceras disculpas por el error cometido y reiterar nuestro firme compromiso con la protección de datos y la privacidad de nuestros alumnos".
En consecuencia, la Agencia Española de Protección de Datos no admite a trámite la reclamación.
SEGUNDO : En la demanda la parte recurrente manifiesta que el 29 abril 2021 recibió un correo electrónico de la profesora del colegio DIRECCION000 donde acudía el menor, referido al comportamiento de dicho menor, describiendo la profesora la conducta en clase del niño, utilizando palabras que podrían considerarse duras si se tiene en cuenta que se trata de un niño de 6 años. El correo contenía un mensaje dirigido exclusivamente a la actora, madre del menor, pero el correo se envió a 117 personas del colegio, familiares de otros niños del mismo centro. La profesora y el Director del colegio remitieron con posterioridad un breve correo a la actora disculpándose por el daño ocasionado por esta emisión masiva del mensaje. A partir de entonces la situación en el colegio fue insostenible, además el menor padece DIRECCION001 lo que constituye un dato de salud y que es el trastorno que justifica esas conductas y la situación de hostigamiento creada a raíz de este correo provocó un cambio de colegio y la asistencia a psicólogos del menor. La Agencia Española de Protección de Datos ha inadmitido a trámite la reclamación argumentando que el colegio ha adoptado medidas sin tener en cuenta que con ese comportamiento el colegio ha ocasionado un importante daño psicológico al menor, unos daños morales que le han ocasionado secuelas. Alega la falta de fundamentación de la resolución. Infracción del art. 4.1 RGPD, art. 9.1 RGPD y falta de implementación de las medidas oportunas.
Por todo ello, de conformidad con el artículo 83.4 y 5 del RGPD y el artículo 72.a) y 73.a), f) y g) de la LOPDGDD, lo ocurrido en este caso constituye una infracción grave o, incluso, muy grave, que debería conllevar la imposición de una multa administrativa al Colegio de hasta 20.000 000 euros o de una cuantía equivalente hasta el 4% del volumen de negocio total anual global del ejercicio financiero anterior. Para su imposición, de acuerdo con el art. 76.2.f), se deben considerar factores como la afectación a los derechos del Menor y la falta de implementación de todas las medidas que deberían haberse aplicado en un supuesto como el que nos afecta. Refiere la existencia de alguna resolución de la Agencia Española de Protección de Datos que admite a trámite la reclamación formulada. Los daños causados al menor están motivados por la falta de implementación de las medidas adecuada, y se le causaron daños psicológicos y emocionales, descenso del rendimiento escolar.
Y suplica que se tenga por presentada la demanda con los documentos que lo acompañan, se tenga por formulada en tiempo y forma ESCRITO DE DEMANDA en el presente recurso, se admita y, a la vista de los hechos y fundamentos que se razonan, previos los trámites procesales oportunos, se dicte SENTENCIA por la que estimando el recurso contencioso-administrativo interpuesto por la actora:
(a) Declare contraria a Derecho y nula -o subsidiariamente anulable- la Resolución de la AEPD notificada el 4 de agosto de 2021, en el marco del expediente nº NUM000, por la que se acuerda la no admisión a trámite de la reclamación presentada el 17 de mayo de 2021, en representación del hijo menor de edad, revocándola y dejándola sin efecto; y
(b) Declare como situación jurídica individualizada el derecho de mi mandante a que se admita a trámite por la AEPD la reclamación por ella presentada el 17 de mayo de 2021, debiéndose incoar por esta el correspondiente procedimiento sancionador a los efectos de depurar las infracciones en materia de protección de datos que el referido Colegio pudiera haber cometido por los hechos expuestos y la determinación de los daños y perjuicios sufridos por el Menor.
TERCERO : El Abogado del estado en su escrito de contestación a la demanda se opuso a su estimación con imposición de costas a la parte actora. Se alega inadmisibilidad por falta de legitimación activa, art. 69 b) LJCA. Y en caso contrario, de manera subsidiaria no ha existido vulneración del RGPA por parte del centro escolar.
El codemandado, Colegio DIRECCION000 " SUPLICO A LA SALA, que tenga por presentado este escrito, se sirva de admitirlo y, con arreglo a lo expuesto en el mismo, tenga por evacuado el traslado conferido y dicte en su día Sentencia por la que se estime la excepción procesal de falta de legitimación activa o, subsidiariamente, se desestime la demanda confirmando la resolución administrativa impugnada por ser conforme a Derecho, en todo caso, con imposición de costas a la parte recurrente y declarando su mala fe a todos los efectos."
CUARTO : La parte actora en su escrito de conclusiones al abordar la cuestión suscitada por el Abogado del Estado de falta de legitimación activa se opone a la misma manifestando en dicho escrito que "en ningún caso ha solicitado la imposición de sanciones ni mucho menos estas son determinadas en el escrito de demanda: lo que esta parte solicita, más allá de (i) la declaración de la nulidad (o, subsidiariamente, la anulabilidad) de la resolución recurrida por la que se inadmite la reclamación por ella presentada, es (ii) la declaración como situación jurídica individualizada del derecho de mi mandante a que se admita la reclamación por ella presentada y que en consecuencia se lleve a cabo por la AEPD la oportuna investigación de los hechos acaecidos -dado que, a la vista de la mera lectura de la resolución recurrida y su falta de motivación se puede constatar que dicha investigación ha sido mínima o inexistente-, (iii) que, en su caso, se inicie un procedimiento sancionador -como consecuencia necesaria de dicha actividad investigadora, pero sin que se solicite ninguna sanción concreta para el Colegio denunciado, sino solamente reiteramos, como consecuencia de dicha actividad investigadora de la AEPD- y, cuestión que obvian las partes codemandadas, (iv) que se determinen los daños y perjuicios sufridos por el Menor."
Es importante resaltar que conforme a la LJCA, art. 56, en los escrito de demanda y de contestación se deben consignar con la debida separación los hechos, los fundamentos de derecho y las pretensiones que se deduzcan. Y en el suplico de la demanda se pide:
(a) Declare contraria a Derecho y nula -o subsidiariamente anulable- la Resolución de la AEPD notificada el 4 de agosto de 2021, en el marco del expediente nº NUM000, por la que se acuerda la no admisión a trámite de la reclamación presentada el 17 de mayo de 2021, en representación del hijo menor de edad, revocándola y dejándola sin efecto; y
(b) Declare como situación jurídica individualizada el derecho de mi mandante a que se admita a trámite por la AEPD la reclamación por ella presentada el 17 de mayo de 2021 , debiéndose incoar por esta el correspondiente procedimiento sancionador a los efectos de depurar las infracciones en materia de protección de datos que el referido Colegio pudiera haber cometido por los hechos expuestos y la determinación de los daños y perjuicios sufridos por el Menor .
El escrito de demanda, por consiguiente, tiene una pretensión concreta como se aprecia y no es otra que la admisión a trámite de la reclamación por parte de la Agencia Española de Protección de Datos y que se incoe el procedimiento sancionador, y esa pretensión no es susceptible de ser modificada en el escrito de conclusiones, ni tan siquiera matizada cuando los términos de la pretensión son claros y no admiten lugar a dudas.
Por ello, como advierte el Abogado del Estado, la actora no está legitimada para esta pretensión.
QUINTO : La legitimación es presupuesto inexcusable de proceso, disponiendo el art. 19.1.a) de la Ley de la Jurisdicción, que: "Están legitimados ante el orden jurisdiccional contencioso-administrativo: a) Las personas físicas o jurídicas que ostenten un derecho o interés legítimo". El citado precepto alude así al interés legítimo como superador del inicial interés directo, al que hacía referencia la antigua Ley de la Jurisdicción de 1956 que, en el orden contencioso-administrativo, había sido reiteradamente declarado tanto por la jurisprudencia del Tribunal Supremo como por el Tribunal Constitucional.
En el ámbito propio de protección de datos cabe citar la Sentencia del Tribunal Supremo de 6 de octubre de 2009 -recurso nº.4.712/2005-, que señala que, "quien denuncia hechos que considera constitutivos de infracción de la legislación de protección de datos carece de legitimación activa para impugnar en vía jurisdiccional lo que resuelva la Agencia. Así se desprende de las sentencias de esta Sala de 6 de noviembre de 2007 y, con mayor nitidez aún, de 10 de diciembre de 2008 ".
La razón de dicha falta de legitimación radica, según la citada sentencia del TS de fecha 6 octubre 2009, en que el denunciante carece de la condición de interesado en el procedimiento sancionador que se puede incoar a resultas de su denuncia, pues en la normativa de protección de datos, no le reconocen esa condición. Y por lo que se refiere a los principios generales del derecho administrativo sancionador, prosigue la citada Sentencia "aunque en algunas ocasiones esta Sala ha dicho que el denunciante puede impugnar el archivo de la denuncia por la Administración, no se admite que el denunciante pueda impugnar la resolución administrativa final. El argumento crucial en esta materia es que el denunciante, incluso cuando se considere a sí mismo "víctima" de la infracción denunciada, no tiene un derecho subjetivo ni un interés legítimo a que el denunciado sea sancionado. El poder punitivo pertenece únicamente a la Administración que tiene encomendada la correspondiente potestad sancionadora -en este caso, la Agencia Española de Protección de Datos- y por consiguiente, sólo la Administración tiene un interés tutelado por el ordenamiento jurídico en que el infractor sea sancionado. Es verdad que las cosas no son así en el derecho penal propiamente dicho, donde existe incluso la acción popular, pero ello es debido a que hay normas que expresamente establecen excepciones que no aparecen en el derecho administrativo sancionador y, por lo que ahora específicamente interesa, en la legislación sobre protección de datos. Es más: aceptar la legitimación activa del denunciante no sólo conduciría a sostener que ostenta un interés que el ordenamiento jurídico no le reconoce ni protege, sino que llevaría también a transformar a los tribunales contencioso- administrativos en una especie de órganos de apelación en materia sancionadora. Esto último supondría dar por bueno que pueden imponer las sanciones administrativas que no impuso la Administración, lo que chocaría con el llamado "carácter revisor" de la jurisdicción contencioso administrativo. En otras palabras, los tribunales contencioso- administrativos pueden y deben controlar la legalidad de los actos administrativos en materia sancionadora; pero no pueden sustituir a la Administración en el ejercicio de las potestades sancionadoras que la ley encomienda a aquélla.
Cuanto se acaba de decir debe ser objeto de una precisión: el denunciante de una infracción de la legislación de protección de datos carece de legitimación activa para impugnar la resolución de la Agencia en lo que concierne al resultado sancionador mismo (imposición de una sanción, cuantía de la misma, exculpación, etc); pero llegado el caso, puede tener legitimación activa con respecto a aspectos de la resolución distintos del específicamente sancionador siempre que, por supuesto, pueda mostrar algún genuino interés digno de tutela".
Por otro lado, en la Sentencia del Tribunal Supremo de 9 de junio de 2014 -recurso nº. 5.216/2011-, se declara que: "La jurisprudencia que cita la sentencia impugnada, como fundamento de su decisión de inadmisión del recurso por falta de legitimación activa de la parte recurrente, está constituida por las sentencias de esta Sala de 16 de diciembre de 2008 (recurso 6339/2004 ) y 6 de octubre de 2009 (recurso 4712/2005 ), que recayeron en recursos que presentan como característica que, en la vía administrativa, tras la interposición de una denuncia, la AEPD realizó actuaciones dirigidas a la constatación de los hechos objeto de denuncia, de suerte que la decisión de archivo del expediente fue adoptada por la AEPD tras esa actividad investigadora y de comprobación de los hechos, y como consecuencia de ella.
En este contexto que acabamos de exponer, es decir, en supuestos en los que la Administración había desarrollado una actuación de averiguación y comprobación de los hechos denunciados, las sentencias de esta Sala, citadas por la sentencia recurrida, efectuaron las declaraciones de que el denunciante no tiene un derecho subjetivo ni un interés legítimo a que el denunciado sea sancionado. En concreto, la STS de 15 de diciembre de 2008 declaró que el denunciante carecía de legitimación para la pretensión ejercitada en el recurso, que había sido era la de obligar a la AEPD a sancionar a la entidad denunciada por falta grave, y la STS de 29 de septiembre de 2009 estimó que la sentencia impugnada había incurrido en incongruencia, porque el suplico de la demanda se limitó a pedir la nulidad de la resolución de la AEPD y la sentencia impugnada fue más allá y ordenó la retroacción de actuaciones a fin de imponer la sanción administrativa que corresponda".
En el presente caso, se advierte del suplico de la demanda que la pretensión de la actora no consiste tan solo en que se realicen actuaciones de investigación, se pretende "(b) Declare como situación jurídica individualizada el derecho de mi mandante a que se admita a trámite por la AEPD la reclamación por ella presentada el 17 de mayo de 2021, debiéndose incoar por esta el correspondiente procedimiento sancionador a los efectos de depurar las infracciones en materia de protección de datos que el referido Colegio pudiera haber cometido por los hechos expuestos y la determinación de los daños y perjuicios sufridos por el Menor".
En definitiva, la pretensión de la parte recurrente no es otra que el ejercicio de la potestad sancionadora y como señala la Sentencia del Tribunal Supremo de 1 de febrero de 2018 -recurso nº. 2.368/2016-: "La pretensión de la defensa de la legalidad ---al margen de su regulación en el ámbito del derecho penal---requiere, en el ámbito que nos afecta del derecho administrativo, de una específica y concreta habilitación que no se percibe ni se acredita en la materia de la protección de datos de carácter personal, debiendo recordarse que el poder punitivo pertenece únicamente a la Administración que es quien tiene encomendada la correspondiente potestad sancionadora ---en este caso, la Agencia Española de Protección de Datos--, y, por consiguiente, sólo la Administración tiene un interés tutelado por el Ordenamiento jurídico en que el infractor sea sancionado; lo contrario implicaría sustituir a la Administración en el ejercicio de la potestad sancionadora".
Es por ello que procede la inadmisión del recurso contencioso administrativo, confirmando la resolución impugnada.
SEXTO : Por último, no existe falta de motivación. La resolución impugnada analiza los hechos y entiende que procede la no admisión a trámite de la reclamación presentada, explicando que el centro educativo adoptó medidas humanas y técnicas para evitar hechos como el acontecido. Y reseñar que cuando se ha tratado la cuestión de la falta de legitimación activa no se está vulnerando el principio pro actione. No se conculca con la resolución de inadmisión el derecho de acceso a la justicia por cuanto la resolución no incurre en arbitrariedad o irracionabilidad ni en un error patente. La respuesta que se le está ofreciendo al actor referida a la inadmisibilidad está basada en la aplicación de derecho y jurisprudencia sobre la misma.
Por todo lo expuesto, procede desestimar el presente recurso contencioso administrativo con imposición de costas a la parte actora en cuantía de 1500 euros.
Vistos los preceptos legales citados y demás de general y pertinente aplicación;
