Por auto de fecha 1 febrero 2022 se admitió a prueba el presente recurso contencioso administrativo. Y por diligencia de fecha 13 diciembre 2021 se fijo la cuantía del procedimiento como indeterminada.
Se señaló para deliberación y fallo el día 30 mayo 2023.
PRIMERO : La parte recurrente Dª Adela, interpone recurso contencioso administrativo contra la resolución de la Agencia Española de Protección de Datos de 3 junio 2021 de inadmisión de la reclamación formulada. La demanda formulada señala que el 28 diciembre 2020 dos policías municipales de la población de Socuéllamos se personan en el domicilio de la actora y solicitan el acceso a la vivienda para hacer comprobaciones en el vehículo .... XJL propiedad de la actora. Les permite acceder al garaje y cuando estaban en el mismo los agentes le indican que ese vehículo ha sido utilizado para cometer diversas infracciones de tráfico en la localidad de Socuéllamos, la noche del 26 al 27 diciembre. Que el vehículo se dio a la fuga ante los requerimientos de los agentes. El 27 enero 2021 se le notifica a la actora seis requerimientos de identificación del conductor. Que tales infracciones era imposible que se cometieran con su vehículo que se encontraba en el garaje de su domicilio en el momento de las infracciones. En la prestación de los servicios electrónicos de ese coche se encuentra instalada una tarjeta SIM que posibilita el servicio "Mercedes me connect" servicio que ofrece datos de ubicación y posicionamiento facilitados por la tarjeta SIM para prestar servicios interactivos que permiten a la compañía saber dónde está el vehículo. La actora inicia comunicaciones con la empresa Mercedes Benz España SAU para obtener datos de la tarjeta SIM del vehículo que demuestren que el coche no se movió del garaje, y les comunican que no pueden acceder a esa tarjeta SIM y que el prestador de los servicios de comunicación es Vodafone España SAU. La actora se dirige a Vodafone España para pedirles los datos de la tarjeta SIM que demuestren que el coche no se movió del garaje y se responde en un primer momento que eran insuficientes los datos que facilitada y con posterioridad en una nueva comunicación manifiestan que no es posible facilitar tales datos de la tarjeta a excepción que se les reclame por un Juzgado. Continua la demanda manifestando que considera probado que el vehículo Mercedes Benz GLA 200D matricula .... XJL tiene emplazada una tarjeta SIM que obtiene los datos de su ubicación y de encendido y esa tarjeta SIM de la empresa Vodafone contiene unos datos que deben conservarse durante un año. La actora como titular del vehículo debe tener acceso a los datos de encendido y ubicación de su coche los días 26 y 27 diciembre 2020 pues son datos personales conforme al RGPD, art. 4:
" 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona"; y conforme al art. 14 de dicho RGPD se le deben facilitar esos datos. El art. 15 LO 3/2018 hace referencia al derecho de acceso y en este caso además se ha vulnerado el art. 18.4 CE. Que existe una responsabilidad contractual. Y suplica que: a) Se declare la nulidad de la resolución de la Agencia Española de Protección de Da tos E/07458/2021 dictado en el procedimiento O00007128e2100016071. B) Se inste a la Agencia Española de Protección de Da tos emita resolución que contenga los siguientes extremos:
a. Primero.- Se declare la comisión de una infracción muy grave por parte de Vodafone S.A.U
c. Segundo.- Se dicte requerimiento frente a Vodafone S.A.U. por el cual se le requiera para que facilite los datos de ubicación y encendido del vehículo Mercedes Benz GLA 200D los días 26 y 27 de Diciembre de 2020 que fueron obtenidos por la tarjeta SIM cuyos números de identificación facilitados por Mercedes-Benz España S.A.U figuran en el suplico.
d. Tercero.- Se indemnice a la titular de los datos por los daños y perjuicios ocasionados por la negativa a entregar estos datos voluntariamente infringiendo
así las leyes aplicables en materia de protección de datos.
e. Cuarto.- Se condene en costas a la demandada Vodafone S.A.U
f. Quinto.- Se imponga una sanción acorde con los hechos dentro de las recogidas en el art. 45 de la LOPD.
El Abogado del Estado en su escrito de contestación a la demanda se opuso a la misma con imposición de costas a la parte demandante. Y alega la inadmisibilidad del recurso por falta de legitimación activa, ausencia de interés legítimo, art. 69 b LJCA. Por otra parte, tampoco se podría atender al suplico apartado c) de la demanda dado que la resolución inadmite la reclamación por lo que únicamente se podría atender a una retroacción para admisión a trámite. Y subsidiariamente la conformidad a derecho de la resolución y que los datos reclamados son objeto de regulación en la ley 25/2007.
SEGUNDO : La resolución impugnada de fecha 3 junio 2021 que refiere, en primer término, el derecho de acceso conforme al RGPD art. 15: " Derecho de acceso del interesado:
1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
a) los fines del tratamiento;
b) las categorías de datos personales de que se trate;
c) los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros u organizaciones internacionales;
d) de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
e) la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
f) el derecho a presentar una reclamación ante una autoridad de control;
g)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
h)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado.
2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia.
3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común.
4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros."
Los datos requeridos por la actora son datos objeto de regulación en la Ley 25/2007. La Agencia Española de Protección de Datos en su resolución considera que no se está ante una infracción de ámbito competencial de la misma y conforme al art. 65.2 LO 2/2018 se acuerda la inadmisión de la reclamación.
TERCERO : El artículo 65 de la LO 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales, de adaptación al ordenamiento jurídico español del Reglamento (UE) 2016/679 del Parlamento Europeo y el Consejo, de 27 de abril, a cuyo tenor:
La Agencia Española de Protección de Datos inadmitirá las reclamaciones presentadas cuando no versen sobre cuestiones de protección de datos de carácter personal, carezcan manifiestamente de fundamento, sean abusivas o no aporten indicios racionales de la existencia de una infracción.
Este precepto que contempla una inadmisión a limine, es decir, de oficio y en un momento inicial, sin analizar el fondo de la posible controversia planteada y sin necesidad de ninguna otra actuación, en los supuestos, entre otros, en que no se aporten indicios racionales de la existencia de infracción. La resolución impugnada sí se encuentra suficientemente motivada, en cuanto da adecuada respuesta a las razones que llevan a dicha AEPD a tomar la decisión de inadmitir la reclamación basada, esencialmente, en no existir indicio alguno de un tratamiento ilícito de datos personales del reclamante, conforme a lo previsto en el artículo 6 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril y articulo 20 de la LOPDGDD.
CUARTO: La inadmisibilidad por falta de legitimación activa está motivada por esa solicitud de imponer una sanción a la entidad Vodafone.
El art. 19.1.a) de la Ley de la Jurisdicción, que: "Están legitimados ante el orden jurisdiccional contencioso-administrativo: a) Las personas físicas o jurídicas que ostenten un derecho o interés legítimo".
Ya ha expuesto este tribunal en numerosas ocasiones que para determinar la existencia de legitimación activa siempre se deben analizar los requisitos que exige la jurisprudencia para la legitimación activa y la parte recurrente no precisó en vía administrativa cuáles serían los posibles efectos favorables que la eventual incoación de un expediente sancionador contra la entidad denunciada le podría reportar o, alternativamente, los perjuicios que podría evitar.
Esta sección 1ª Sala de lo Contencioso Administrativo de la Audiencia Nacional ha dicho en diferentes sentencias, por todas la de fecha que:
"En este sentido la Sentencia del Tribunal Constitucional 52/2007, de 12 de marzo , ha precisado que el interés legítimo, al que se refiere el art. 24.1 de la Constitución "se caracteriza como una relación material unívoca entre el sujeto y el objeto de la pretensión (acto o disposición impugnados), de tal forma que su anulación produzca automáticamente un efecto positivo (beneficio) o negativo (perjuicio) actual o futuro pero cierto, debiendo entenderse tal relación referida a un interés en sentido propio, cualificado y específico, actual y real (no potencial o hipotético). Se trata de la titularidad potencial de una ventaja o de una utilidad jurídica, no necesariamente de contenido patrimonial, por parte de quien ejercita la pretensión, que se materializaría de prosperar ésta. O, lo que es lo mismo, el interés legítimo es cualquier ventaja o utilidad jurídica derivada de la reparación pretendida ( SSTC 252/2000, de 30 de octubre, FJ 3 ; 173/2004, de 18 de octubre, FJ 3 ; y 73/2006, de 13 de marzo , FJ 4; con relación a un sindicato, STC 28/2005, de 14 de febrero , FJ 3)".
En el ámbito concreto de los procedimientos sancionadores, se ha señalado en relación con la legitimación en la Sentencia del Tribunal Supremo de 30 de enero de 2001 -recurso nº. 506/1998 - que, "la Sala entiende que la existencia de legitimación viene ligada a la de un interés legítimo de la parte que se lo irroga, siendo la clave para determinar si existe o no ese interés legítimo en el proceso de impugnación de una resolución ... el dato de si la imposición de una sanción puede producir un efecto positivo en la esfera jurídica del denunciante o puede eliminar una carga o gravamen en esa esfera, y será así, en cada caso, y en función de lo pretendido, como pueda darse la contestación adecuada a tal cuestión, no siéndolo la de que la imposición de la sanción constituye por sí misma la satisfacción de un interés".
Más recientemente, ya en el ámbito propio de protección de datos en el que nos encontramos, cabe citar la Sentencia del Tribunal Supremo de 6 de octubre de 2009 -recurso nº.4.712/2005 -, que señala que, "quien denuncia hechos que considera constitutivos de infracción de la legislación de protección de datos carece de legitimación activa para impugnar en vía jurisdiccional lo que resuelva la Agencia. Así se desprende de las sentencias de esta Sala de 6 de noviembre de 2007 y, con mayor nitidez aún, de 10 de diciembre de 2008 ".
La razón de dicha falta de legitimación radica, según la citada Sentencia, en que el denunciante carece de la condición de interesado en el procedimiento sancionador que se puede incoar a resultas de su denuncia, pues en la normativa de protección de datos, no le reconocen esa condición. Y por lo que se refiere a los principios generales del derecho administrativo sancionador, prosigue la citada Sentencia "aunque en algunas ocasiones esta Sala ha dicho que el denunciante puede impugnar el archivo de la denuncia por la Administración, no se admite que el denunciante pueda impugnar la resolución administrativa final. El argumento crucial en esta materia es que el denunciante, incluso cuando se considere a sí mismo "víctima" de la infracción denunciada, no tiene un derecho subjetivo ni un interés legítimo a que el denunciado sea sancionado. El poder punitivo pertenece únicamente a la Administración que tiene encomendada la correspondiente potestad sancionadora -en este caso, la Agencia Española de Protección de Datos- y por consiguiente, sólo la Administración tiene un interés tutelado por el ordenamiento jurídico en que el infractor sea sancionado. Es verdad que las cosas no son así en el derecho penal propiamente dicho, donde existe incluso la acción popular, pero ello es debido a que hay normas que expresamente establecen excepciones que no aparecen en el derecho administrativo sancionador y, por lo que ahora específicamente interesa, en la legislación sobre protección de datos. Es más: aceptar la legitimación activa del denunciante no sólo conduciría a sostener que ostenta un interés que el ordenamiento jurídico no le reconoce ni protege, sino que llevaría también a transformar a los tribunales contencioso- administrativos en una especie de órganos de apelación en materia sancionadora. Esto último supondría dar por bueno que pueden imponer las sanciones administrativas que no impuso la Administración, lo que chocaría con el llamado "carácter revisor" de la jurisdicción contencioso administrativo. En otras palabras, los tribunales contencioso-administrativos pueden y deben controlar la legalidad de los actos administrativos en materia sancionadora; pero no pueden sustituir a la Administración en el ejercicio de las potestades sancionadoras que la ley encomienda a aquélla.
Cuanto se acaba de decir debe ser objeto de una precisión: el denunciante de una infracción de la legislación de protección de datos carece de legitimación activa para impugnar la resolución de la Agencia en lo que concierne al resultado sancionador mismo (imposición de una sanción, cuantía de la misma, exculpación, etc); pero llegado el caso, puede tener legitimación activa con respecto a aspectos de la resolución distintos del específicamente sancionador siempre que, por supuesto, pueda mostrar algún genuino interés digno de tutela".
En el caso que nos ocupa la pretensión esencial de la actora es sancionadora, así lo expuso en la reclamación ante la Agencia Española de Protección de Datos y así se refleja inequívocamente en el suplico de la demanda y entendiendo como consecuencia de esa infracción que se efectué un requerimiento a Vodafone con el contenido que se expone en el suplico. El recurrente, por tanto, está ejercitando una potestad sancionadora que no le corresponde ante un supuesto incumplimiento de la normativa de protección de datos, pero no está legitimada para ello y así la Sentencia del Tribunal Supremo de 1 de febrero de 2018 -recurso nº. 2.368/2016-: "La pretensión de la defensa de la legalidad ---al margen de su regulación en el ámbito del derecho penal---requiere, en el ámbito que nos afecta del derecho administrativo, de una específica y concreta habilitación que no se percibe ni se acredita en la materia de la protección de datos de carácter personal, debiendo recordarse que el poder punitivo pertenece únicamente a la Administración que es quien tiene encomendada la correspondiente potestad sancionadora ---en este caso, la Agencia Española de Protección de Datos--, y, por consiguiente, sólo la Administración tiene un interés tutelado por el Ordenamiento jurídico en que el infractor sea sancionado; lo contrario implicaría sustituir a la Administración en el ejercicio de la potestad sancionadora".
En consecuencia, a tenor de lo expuesto y de acuerdo con la jurisprudencia reseñada, procede la inadmisión del presente recurso contencioso-administrativo por falta de legitimación del demandante, en aplicación del art. 69.b) de la Ley de la Jurisdicción.
De conformidad con lo dispuesto en el art. 139.1 y 3 de la Ley de la Jurisdicción, se hace imposición de costas a la parte recurrente, cuyo importe, por todos los conceptos, no puede superar la cantidad de mil quinientos euros.
VISTOS los artículos citados, y demás de general y pertinente aplicación.
