Sentencia Contencioso-Administrativo Audiencia Nacional. Sala de lo Contencioso-Administrativo. Sección Primera, Rec. 1587/2020 de 20 de septiembre del 2023

PRIMERO.- Constituye el objeto del presente recurso contencioso-administrativo, la resolución de la Directora de la Agencia Española de Protección de Datos (AEPD) de fecha 23 de julio de 2020 (expediente NUM000), que confirma en reposición la resolución de 3 de junio de 2020, que tras el análisis de los documentos aportados y las circunstancias concurrentes, acordó inadmitir la reclamación presentada por Nicolasa frente a AXA y Jose Luis, al amparo del artículo 65.2 de la Ley Orgánica 3/2018, de 5 de diciembre por no apreciar indicios racionales de la existencia de una infracción en el ámbito competencial de la Agencia Española de Protección de Datos, ya que el tratamiento de los datos personales relativos a la parte contraria en un litigo es subsumible en el derecho de los ciudadanos a utilizar todos los medios pertinentes para su defensa, en ejercicio de sus derechos e intereses legítimos.

En dicha reclamación, recibida en la AEPD el 2 de junio 2020, se alegaba que AXA, aseguradora de su vehículo y que se hizo cargo de la asistencia médica prestada por las lesiones sufridas en el accidente de tráfico que tuvo lugar en octubre de 2014, con ocasión del procedimiento civil (PO 552/17 del Juzgado de Primera Instancia e Instrucción nº 3 de Betanzos) seguido frente al responsable del siniestro y la aseguradora de dicho vehículo, Zurich España, cedió los datos médicos de la denunciante, sin su autorización expresa, al perito médico de Zurich, Sr. Jose Luis, quien procedió al tratamiento de dichos datos médicos para una finalidad no compatible para la que fueron recogidos. Hechos que considera encuadrables en las infracciones muy graves descritas en el artículo 72 de la citada Ley Orgánica, habiéndose producido también una clara vulneración del principio de confidencialidad.

Ante la inadmisión a trámite de dicha reclamación, se interpuso recurso de reposición por la hoy demandante, con base en que la resolución impugnada incurre en error al no haber tenido en cuenta que AXA, es ajena al procedimiento judicial y habría facilitado información médica de la afectada a un tercero no autorizado, el médico de la aseguradora Zurich, sin su consentimiento y sin justificación alguna, vulnerando la normativa de protección de datos.

Recurso desestimado por la resolución recurrida al entender que las manifestaciones efectuadas y la documentación aportada resultan insuficientes para acreditar una vulneración del deber de confidencialidad y/o una falta de aplicación de las medidas de seguridad apropiadas por parte de AXA, ya que no consta prueba documental alguna que haga suponer una revelación de la información médica de la afectada por parte de dicha entidad a terceros no legitimados. Por otro lado, subraya que a la información en cuestión se hizo referencia en el seno de un procedimiento judicial, sin que conste, que el Juez al que corresponde determinar su procedencia y valoración hubiera declarado ilícita la documentación aportada como prueba o la hubiera inadmitido al apreciar que su admisión vulneraría los derechos fundamentales del afectado.

Añade la AEPD, que tampoco consta un tratamiento ilícito de los datos de carácter personal aludidos por el médico de la aseguradora en el marco del PO 552/2017, ni que dichos datos se hayan utilizado posteriormente fuera de los límites establecidos.

SEGUNDO.- En la demanda se insiste en los hechos relatados en vía administrativa, incidiendo en que si bien el doctor Jose Luis no aportó en el procedimiento civil los informes médicos de la recurrente que AXA ilícitamente le tuvo que proporcionar, pues la clínica O Burgo en la que fue tratada manifestó no contar con ellos por habérselos remitido a AXA, si la manejó para la realización del informe que presentó en dicho procedimiento civil como perito de Zurich, procedimiento en el que ningún interés tenía AXA.

En suma, sostiene que se han facilitado datos médicos a un tercero con quien no habría ningún tipo de relación, no legitimado y, por tanto, ilícitamente. Cuestiona también que se diga que dicha documentación no fue declarada ilícita, por cuanto al no acompañarse a las actuaciones no pudo ser declarada ilícita, sino que fue utilizada por el citado médico para la emisión de un informe pericial, pero sin acompañarla al mismo.

Considera, por ella que dichos hechos vulneran lo preceptuado en la LO 37/2018 y el Reglamento (UE) 2016/679, toda vez que el responsable de la custodia de los datos médicos de la recurrente los cedió a un tercero sin justificación alguna y se los negó a ella sin justificación alguna y son conductas constitutivas de infracciones de dicha Ley, con transcripción de los artículos 4, 5, 6, 67, 71, 72, 73 y 74 de la misma y 5 y 6 del Reglamento General de Protección de datos.

Añade, que la AEPD ha procedido a inadmitir la denuncia presentada sin haber practicado la más mínima investigación, llegando incluso a conclusiones erróneas a las que, a su entender, debería llegarse tras el examen de la documentación aportada, por lo que en todo caso debiera declararse la nulidad de la resolución recurrida y proceder a la investigación de los hechos, al haberse producido una vulneración del artículo 122 del Reglamento de desarrollo de la Ley Orgánica 15/1999.

Frente a dicha pretensión opone el Abogado del Estado que del escrito de denuncia y de la documentación adjunta a la misma facilitada por la recurrente, no existe indicio alguno de la conducta sancionable y atribuible a los reclamados.

Así, señala que no hay indicio de la cesión por AXA de los informes médicos al perito de Zurich. Pero, además esgrime, tratándose de aportación de pruebas ante el Juzgado, en el curso de un proceso judicial abierto, es indudable el interés legítimo que asiste a quien las aporta, aunque sea de un tercero, como forma de hacer efectivo su derecho a la tutela judicial efectiva, con arreglo a lo dispuesto en el artículo 6.1.f) del RGPD.

Finalmente hace referencia a la SAN de 12 de octubre 2010, que señala que no se comete infracción de la LOPD cuando el destinatario de los datos sea un órgano judicial, aunque no exista consentimiento del afectado.

La codemandada AXA Seguros alega, en primer lugar, la falta de legitimación activa de la demandante.

En cuanto al fondo aduce que la actora obvia un hecho relevante, como es que civilmente ha exigido a AXA una indemnización de 50.000 € en el Juzgado de Primera Instancia nº 4 de Betanzos (PO 604/2020), habiendo recaído sentencia desestimatoria, que aporta, en cuyo Fundamento de Derecho tercero se entró a conocer la relación existente con la demandante y la corrección de la actuación de la aseguradora, ya que para dar cumplimiento a la póliza de seguro suscrita y cobertura contratada, AXA efectuó en nombre de la recurrente reclamación de indemnización ante Zurich (la aseguradora causante), lo que determina que debía darle traslado de la documentación médica relativa al accidente al objeto de recibir propuesta indemnizatoria adecuada y justificar la reclamación. Actuación realizada en el marco de una relación negocial de aseguramiento que tenía en vigor con la demandante al solo objeto de dar cumplimiento a la misma y no para otros fines distintos, que está exenta de la necesidad del consentimiento previo del afectado ex artículo 11.2.c) de la Ley 15/1999, vigente a la fecha de los hechos, esto es cuando AXA formuló la reclamación de indemnización a Zurich, cita también el artículo 9.2.f) del Reglamento 2016/679.

TERCERO.- En primer lugar, se va a examinar la causa de inadmisión opuesta por la codemandada AXA por falta de legitimación activa de la demandante, de acuerdo con el artículo 69.b) de la Ley de la Jurisdicción, al carecer la parte recurrente de un derecho subjetivo o interés legítimo a la imposición de una sanción en materia de protección de datos.

A tal fin, debemos tomar como punto de partida, que la legitimación constituye un presupuesto inexcusable de proceso, disponiendo el artículo 19. 1. a) de la LJCA, que " Están legitimados ante el orden jurisdiccional contencioso- administrativo: a) Las personas físicas o jurídicas que ostenten un derecho o interés legítimo".

El Tribunal Supremo en Sentencia de 9 de junio 2014 (Rec. 526/2011), estimó aplicable la doctrina jurisprudencial de dicha Sala recaída en relación con expedientes sancionadores del Consejo General del Poder Judicial, que también ha sido aplicada en el ámbito que nos ocupa del ejercicio de las potestades sancionadoras de la AEPD, por la STS de 24 de enero 2013 (Rec. 51/2010), que "reconoce legitimación al denunciante para demandar el desarrollo de la actividad investigadora que resulte conveniente para la debida averiguación de los hechos que hayan sido denunciados, pero no para que esa actividad necesariamente finalice en una resolución sancionadora y esto último porque la imposición de una sanción a la persona denunciada, al no producir efecto positivo alguno en la esfera jurídica del denunciante, ni elimina carga ni gravamen de clase alguna en dicha esfera, no encarna el interés real que resulta necesario para que pueda ser apreciada la legitimación que, como inexcusable presupuesto del proceso contencioso administrativo exige el artículo 19 de la Ley Jurisdiccional ." Criterio que se reitera en las posteriores SSTS de 18 de mayo de 2015 (Rec. 277/2013) y 1 de enero de 2018 (Rec. 2368/2016) recaídas en esta misma materia de protección de datos.

Aduce AXA que la recurrente carece de un derecho subjetivo o interés legítimo para la imposición de una sanción en materia de protección de datos.

Sin embargo, en el caso de autos en que la AEPD no realizó actuaciones de comprobación, no se solicita la incoación de un expediente sancionador o la imposición de una sanción, sino que " se proceda a la admisión de la reclamación planteada y por parte de la AEPD se inicie el oportuno procedimiento por vulneración de la normativa de protección de datos y se proceda a la realización de una completa investigación de los hechos denunciados, y una vez finalizada adopte la resolución que estime procedente".

En consecuencia, en el presente caso, no se puede negar la existencia de un interés legítimo en la demandante y procede rechazar su falta de legitimación activa.

CUARTO.- Sentado lo anterior y en cuanto al fondo es un hecho acreditado que con ocasión de un accidente de tráfico en octubre de 2014, en el que resultó lesionada la recurrente cuyo vehículo estaba asegurado en AXA, dicha compañía facilitó documentación médica de la misma, exclusivamente referida a dicho accidente, a la aseguradora del vehículo contrario, Zurich (no al Dr. Jose Luis). Así lo reconoce la propia AXA en la contestación a la demanda, al igual que hizo en el PO 604/2020, del Juzgado de Primera Instancia nº 4 de Betanzos, seguido también a instancia de la aquí recurrente contra dicha aseguradora y el Dr. Jose Luis, sobre tutela del derecho a la intimidad personal y familiar, como resulta de la Sentencia de 10 de marzo de 2022 dictada en dicho procedimiento (documento 1 de la contestación de AXA) y a la que se omite toda referencia en la demanda.

Ello obedecía a que AXA tenía suscrita una póliza de seguro con la demandante (documento 2 de la contestación), entre cuyas coberturas figura la reclamación de daños del conductor del vehículo asegurado y para dar cumplimiento a dicha cobertura, facilitó exclusivamente la documentación médica de la recurrente circunscrita al accidente, a Zurich, al objeto de que esta aseguradora del vehículo contrario estuviera en disposición de efectuar una propuesta indemnizatoria a la hoy demandante, propuesta que le fue trasladada y que rechazó, según el documento 3 de la contestación de dicha codemandada.

Interesa destacar que cuando la recurrente se sometió al tratamiento médico de las lesiones del accidente en la Clínica O Burgo, firmó un documento el 23/10/2014 (documento 4 de la contestación de la codemandada) en el que consta que sus datos solo se usarían por la clínica con absoluta confidencialidad para prestarle el servicio solicitado y que el firmante autoriza a la clínica para que se comuniquen los datos a la citada aseguradora AXA. Por tanto, otorgó con su firma el consentimiento para el tratamiento de dichos datos médicos por parte de la aseguradora en cuestión, que los comunicó a la aseguradora del vehículo contrario, en el marco de un contrato de seguro que tenía suscrito con la demandante y exclusivamente con la finalidad de dar cumplimiento al mismo, esto es, cumplir con la obligación de reclamar la indemnización a la aseguradora contraria y no para otros fines distintos de éste.

De otra parte, no existe indicio alguno de cesión por parte de AXA de los citados informes médicos al perito de Zurich, obrando en el procedimiento no solo la documentación aportada con la denuncia en vía administrativa sino la aportada por la AXA. Hay que tener en cuenta que dicha aseguradora cerró la gestión del accidente en junio de 2015 (documento 3 de su contestación), cuando se le informa que la recurrente tenía letrado particular, sin que conste que la Sra. Nicolasa formulara reclamación contra ella hasta 2020, con ocasión del PO 604/2020, ante el Juzgado de Primera Instancia nº 4 de Betanzos, que terminó con la sentencia desestimatoria ya citada de 10 de marzo de 2022.

Así las cosas y teniendo en cuenta el momento en que se facilitaron dichos informes médicos a Zurich, resulta de aplicación por razones temporales la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.

En consecuencia, la conducta de AXA, realizada exclusivamente con la finalidad de dar cumplimiento al contrato de seguro suscrito con la recurrente, y en las circunstancias expuesta, no requería el consentimiento previo de la afectada, ex artículo 11.2.c) de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.

Respecto al Dr. Jose Luis, perito de Zurich, su participación consistió en la elaboración de un informe pericial para su incorporación al juicio civil (PO 552/17 del Juzgado de Primera Instancia e Instrucción nº 3 de Betanzos) interpuesto por la Sra. Nicolasa, en reclamación de una indemnización por daños y perjuicios derivados de accidente de tráfico, frente al responsable del siniestro y la aseguradora de dicho vehículo (Zurich), y para realizar dicho informe el perito se valió de la documentación facilitada por la aseguradora que le encomendó el encargo.

Cabe recordar, como señala la Sentencia de 10 de marzo de 2022 del Juzgado de Primera Instancia nº 4 de Betanzos, que el citado perito se vio en la necesidad de fundamentar su informe en la documentación médica de la clínica O Burgo, porque la demandante " se negó a ser reconocida por aquel tal y como consta en diligencia de 22 de octubre de 2018 dictada por el Juzgado de Primera Instancia número 3 de este partido judicial en el marco del Juicio Ordinario 552/2017".

Además, debemos tener en cuenta que una de las causas que excluye la necesidad de consentimiento para la cesión de datos personales, es que la comunicación que deba efectuarse tenga por destinatarios a los Jueces o Tribunales ( art. 11.2.d) de la LOPD). Excepción en la que, como hemos dicho en la SAN de 8 de marzo de 2012 (Rec. 779/2010 y hemos reiterado en la SAN de 6 de abril de 2018 (Rec. 842/2016), podemos incluir aquellos supuestos en que se trata de pruebas que, si bien no han sido solicitadas por el Juez o Tribunal, sino aportadas por las partes, con posterioridad no consta que las mismas hayan sido rechazadas.

Y en el caso de autos en el procedimiento civil no se ha rechazado la citada prueba, siendo cosa distinta que no la tomara en consideración en cuanto al periodo de duración de las lesiones y los días de incapacidad, precisamente por no constar los informes médicos de la clínica O Burgo a los que se hace referencia en el citado informe.

Dijimos en la SAN de 14 de diciembre 2017 (Rec. 111/2016), y en igual sentido en la de 10 de octubre de 2017 (Rec. 961/2015) " Comoha declarado esta Sala en diversas ocasiones, la previsión legal del artículo 11.2 LOPD constituye uno de los límites del derecho de protección de datos, que presupone la prevalencia del derecho a la defensa y a la tutela judicial efectiva sobre aquel otro derecho constitucional, con el que entra, en este caso, en conflicto, en la ponderación que de tales derechos fundamentales hace el propio legislador, y habilita el legítimo destino dado al informe pericial presentado como prueba en un proceso judicial, ( sentencias de esta Sala de 6 de mayo de 2014 (Rec. 163/2012 ) y de 28 de enero de 2016 (Rec. 48/2014 )".

En la actualidad, en similar sentido al artículo 11.2.d) LOPD se pronuncia el artículo 9.2.f) del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, RGPD, aplicable, según su artículo 99.2, a partir del 25 de mayo de 2018. Artículo 9 citado, relativo al "Tratamiento de categorías especiales de datos personales", que permite, en su apartado 2.f) el tratamiento de los datos de salud, entre otros, " cuando el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial", por lo que con la aplicación de cualquiera de los textos legales se llegaría a idéntica conclusión.

En definitiva, a la vista de las concretas circunstancias expuestas y de la documentación existente sin que se considere necesario la realización de otras actuacioness, procede desestimar el recurso contencioso administrativo.

QUINTO.- De conformidad con lo dispuesto en el artículo 139.1 de la Ley Jurisdiccional, procede la imposición de costas a la parte actora.