Sentencia Contencioso-Administrativo Audiencia Nacional. Sala de lo Contencioso-Administrativo. Sección Primera, Rec. 403/2021 de 19 de septiembre del 2023

PRIMERO.- Se interpone le presente recurso contencioso-administrativo por Mutua Madrileña Automovilista, Sociedad de Seguros (MM) frente a la Resolución de la Directora de la Agencia Española de Protección de Datos de 22 de junio de 2021 que acuerda desestimar el recurso de reposición interpuesto por contra la anterior resolución de 9 de diciembre de 2020, en el procedimiento sancionador PS/00586/2017 por la que se le impone una sanción de 20.000 euros, por la vulneración de lo dispuesto en el artículo 6.1 de la LOPD, infracción tipificada como grave en el artículo 44.3 b) de la LOPD, de conformidad con lo establecido en el artículo 45.2 y 4 de la citada LOPD.

Resoluciones que se sustentan en la siguiente declaración de hechos probados:

1. Con fecha 9 de febrero de 2017, tiene entrada en la AEPD escrito de Ignacio en el que pone de manifiesto que un tercero contrató a su nombre, pero sin su consentimiento, un seguro de automóvil con la empresa denunciada.

2. La operadora de MMA, en el momento de tramitar la contratación por vía telefónica, hizo una pregunta sobre un dato que ya obraba en poder de tal Mutua por constar ya el denunciante en la base de datos de clientes (a saber, fecha de obtención del carnet de conducir), la contestación incorrecta a dicha pregunta no se utilizó para interrumpir el proceso de contratación.

3. Así, y tras descubrir operadora, a través de DNI del denunciante, que ya era cliente y concretar los datos de vehículo, le pregunta su fecha de nacimiento, contestando el interlocutor que la que figura en la copia del DNI. A continuación pregunta la fecha de obtención del carnet de conducir, y el interlocutor contesta que "cuando tenía 18 años", la operadora dice que en los sistemas consta junio 2002, a lo que el interlocutor responde "si, puede ser". Le pregunta por código postal, domicilio y población...Finalmente, pide confirmación del nombre completo, respondiente que Maximiliano (el nombre del denunciante es Ignacio).

4. El Juzgado de lo Penal nº 5 de Alcalá de Henares, dictó Sentencia firme nº 31/2019, con fecha de 6 de febrero de 2019, condenando al suplantador de la identidad del reclamante por tres delitos de falsedad.

SEGUNDO.- Se ha de resolver, con carácter prioritario, la caducidad del expediente invocada por la entidad actora como objeción procesal.

A tal efecto determina el artículo 48.3 de la Ley Orgánica 15/1999 (LOPD) que los procedimientos sancionadores tramitados por la Agencia Española de Protección de Datos tendrán una duración máxima de 6 meses. Precepto que ha relacionarse con el artículo 25.1.b) de la Ley 39/2015 de 1 de octubre, y artículo 128.3 del Real Decreto 1720/2007, que aprueba el Reglamento de desarrollo de la LOPD, a cuyo tenor el vencimiento de tal plazo máximo de seis meses "sin que se haya dictado y notificado resolución expresa, producirá la caducidad del procedimiento y el archivo de las actuaciones".

En el presente supuesto, se desprende del expediente administrativo que si bien la AEPD acordó iniciar expediente sancionador por resolución de 19 de enero de 2018, con motivo de las diligencias previas seguidas en el Juzgado de Instrucción nº 3 de Alcalá de Henares, con fecha 15 de febrero de 2018, se acuerda suspender la tramitación del procedimiento al apreciar la existencia de identidad de sujeto, hecho y fundamento entre la presunta infracción administrativa y la infracción penal objeto de tale diligencia penales.

Siendo el siguiente 21 de octubre de 2020 cuando se recibió en la AEPD escrito del Juzgado de Instrucción nº 7 de Arganda del Rey, al que adjunta el Auto de 13 de marzo de 2017 dictado por el mismo, por el que se declara el archivo de las actuaciones DP 1608/2016, En base a ello se acordó la reanudación del presente procedimiento el 4 de noviembre de 2020, siendo dictada la Resolución ( ahora impugnada) el 9 de diciembre de 2020.

Considera a tal efecto Mutua Madrileña que como la sentencia del procedimiento penal de Alcalá de Henares (que condenaba al suplantador) se dictó el 6 de febrero de 2019 siendo notificada a las partes 13 de marzo, es a partir de ese momento cuando el plazo para dictar resolución se reanuda, y vuelve a computarse el plazo máximo de seis meses para dictar resolución. Dado que, la reanudación del procedimiento se ha acordado el 4/11/2020, se debe entender caducado el procedimiento, decretando el archivo de las actuaciones. Se añade que el levantamiento de la suspensión no se realizó de forma correcta por la Administración, pues no se correspondía con el procedimiento que había dado origen a dicha suspensión, en base a que el plazo de caducidad se reanuda cuando la Administración tiene conocimiento de sentencia que pone fin al procedimiento penal motivo de la citada suspensión. Pero la resolución judicial de dicho procedimiento, no la de otro.

Basa su argumento dicha aseguradora actora, por tanto, en que la AEPD tuvo conocimiento de la sentencia dictada por el Juzgado de lo Penal de Alcalá de Henares el 6 de febrero de 2019. Más ni se desprende de toda la documentación del expediente administrativo ni tampoco de la prueba documental practicada en esta vía judicial, que dicha AEPD tuviera conocimiento de la meritada sentencia penal dictada.

Es más, a pesar de que la suspensión del presente procedimiento administrativo por prejudicialidad penal se produjo a instancias de tal MMA (que lo solicitó de la AEPD el 1 de febrero de 2018), tampoco figura que, una vez dictada la sentencia en el procedimiento penal que dio lugar a dicha suspensión, tal entidad actora lo pusiera en conocimiento de la AEPD. Y sí consta en el expediente, en cambio, que la Agencia de Protección de Datos requirió a tal Juzgado de Alcalá de Henares para que informara respecto del procedimiento penal, con fechas de 5 de febrero de 2019 y de 24 de febrero de 2020, ninguno de los cuales fue atendido por tal Juzgado.

Figura también en las actuaciones que como llegó a conocimiento de dicha AEPD que el presente procedimiento estaba relacionado con el seguido ante el Juzgado de Instrucción nº 7 de Arganda del Rey, se solicitó información al mismo el 4/08/2020, información que sí fue remitida por dicho órgano judicial el 21 de octubre de 2020, adjuntando el Auto de 13 de marzo de 2017, por el que se declara el archivo de las actuaciones DP 1608/2016.

En base a todos los antecedentes fácticos descritos, considera la Sala que la excepción de caducidad no puede ser apreciada, al no haberse superado el plazo de seis meses legalmente previsto, cuyo cómputo, una vez suspendido el procedimiento por prejudicialidad penal, solo puede entenderse reanudado a partir de que la AEPD tiene conocimiento del resultado de las actuaciones penales relacionadas con éste procedimiento administrativo sancionador. Y en el presente caso, no consta que la sentencia del Juzgado de lo Penal de Alcalá de Henares se comunicara a tal AEPD, ni por la entidad actora (personada en dicho procedimiento penal) ni tampoco por el propio órgano judicial, y ello a pesar de los dos requerimientos de información efectuados por dicha Agencia.

TERCERO.- Po r lo que se refiere a la infracción imputada a Mutua Madrileña, consistente en el tratamiento de datos personales de la denunciante sin su consentimiento, es la del artículo 44.3.b) de la Ley Orgánica 15/1999 de 13 de diciembre, de Protección de Datos de Carácter Personal, que tipifica como infracción grave: "Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo". Precepto que ha de relacionarse con el artículo 6.1 de dicha LOPD, que requiere el consentimiento inequívoco del afectado para tratar sus datos de carácter personal "salvo que la ley disponga otra cosa."

Consentimiento que se define en la letra h) del Art. 3 LOPD como "toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de los datos personales que le concierne".

Constituye doctrina reiterada y consolidada de esta Sala que la LOPD no exige que dicho consentimiento inequívoco se manifieste de forma expresa ni por escrito ( SSAN 25/06/2009 Rec. 638/2008 y 15/10/2013, Rec. 398/2012, entre otras muchas), dado que tal consentimiento se puede producir de forma expresa, oral o escrita, o por actos reiterados del afectado que revelen que, efectivamente, ha dado ese consentimiento con los requisitos expuestos. En el mismo sentido esta Sala, incidiendo en la exigencia de que el consentimiento sea inequívoco, ha indicado con reiteración que "cualquiera que sea la forma que revista el procedimiento, éste ha de aparecer como evidente, inequívoco (que no admite duda o equivocación) pues éste, y no otro, es el significado del adjetivo utilizado para calificar el consentimiento". Habiendo asimismo declarado en múltiples ocasiones ( SAN 23/04/2015, Rec. 97/2014, por todas), que la concurrencia del consentimiento inequívoco del afectado para el tratamiento de los datos personales por parte de un tercero, en el caso de que el titular de los mismos niegue haberlo otorgado, se ha de acreditar o corresponde su acreditación a quien realiza el tratamiento de dichos datos.

En la actualidad es el artículo 6.1 del Reglamento (UE) 2016/679, de 27 de abril (Reglamento General de Protección de Datos) el que indica que : 1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;

Precepto que se completa con el Considerando 42 del mismo Reglamento (UE) 2016/679, de 27 de abril, a cuyo tenor:

(42) Cuando el tratamiento se lleva a cabo con el consentimiento del interesado, el responsable del tratamiento debe ser capaz de demostrar que aquel ha dado su consentimiento a la operación de tratamiento (...) Para que el consentimiento sea informado, el interesado debe conocer como mínimo la identidad del responsable del tratamiento y los fines del tratamiento a los cuales están destinados los datos personales. El consentimiento no debe considerarse libremente prestado cuando el interesado no goza de verdadera o libre elección o no puede denegar o retirar su consentimiento sin sufrir perjuicio alguno.

Y que en nuestra normativa interna se contiene en el actual artículo 6 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), según el cual: 1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679 , se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen.

En el presente supuesto ha quedado acreditado que la operadora de Mutua Madrileña, en el momento de tramitar la contratación y por constar ya los datos del denunciante en su base de datos de clientes, no utilizó la contestación incorrecta a la pregunta sobre la fecha de obtención del carné de conducir para interrumpir el proceso de contratación. Sin que tampoco apreciara que no había exacta coincidencia entre el nombre del denunciante y el nombre facilitado por el tercero que se hacía pasar por él.

Se desprende de la declaración de hechos probados que antecede, que la empleada de MMA reveló al interlocutor la respuesta correcta a la pregunta que el mismo había contestado incorrectamente, sin haber acreditado con las debidas garantías, en definitiva, la identidad de la persona al otro lado del teléfono.

De todo lo cual se desprende que Mutua Madrileña contrató la póliza de seguro con un tercero sin control ni supervisión suficiente en cuanto no fue capaz de detectar que realmente, la persona que estaba manifestando su voluntad de contratar, no era quien decía ser. De haberse tomado las necesarias precauciones, a fin de asegurar la identidad la persona contratante (para lo que hubiera sido bastante atender a la incorrecta contestación a las preguntas de identificación y verificación del cliente) se hubiera evitado la infracción del artículo 6.1 de la LOPD imputada por la AEPD.

En definitiva, al no haberse actuado con la necesaria diligencia, se trataron los datos del denunciante sin contar con su consentimiento, lo que supone una vulneración de tal esencial principio contenido en el artículo 6.1 LOPD, sin que tampoco concurra en el supuesto ninguna de las circunstancias excepcionales previstas en el artículo 6.2 de la LOPD que eximirían de la necesidad del mismo. De todo lo cual deriva que los hechos descritos revisten entidad suficiente para ser tipificados como infracción grave del artículo 44.3.b) de la LOPD.

Y si bien deriva de dicho precepto que a tal infracción grave le corresponde una multa de 40.001 a 300.000 euros, en el presente supuesto se rebaja el importe de dicha multa a 20.000 euros tomando en consideración la rápida respuesta de tal entidad actora, pues si bien el denunciante Sr. Ignacio descubrió la suplantación de su identidad con fecha 27/10/2016, se puso en contacto con Mutua Madrileña, siendo tal seguro fraudulento dado de baja el 31/10/2016, con fecha de efectos a 25/10/2016.

De todo lo cual se desprende, atendidas las circunstancias concurrentes en el caso, que la sanción de 20.000 euros de multa impuesta resulta ponderada y proporcionada a la gravedad de la infracción cometida, que ha de considerarse adecuada y ponderada, por lo que procede la desestimación del recurso contencioso administrativo interpuesto.

CUARTO.- Co n imposición a la entidad actora de las costas causadas en el proceso, de conformidad con el Art. 139 de la LJCA.