Sentencia Contencioso-Administrativo Audiencia Nacional. Sala de lo Contencioso-Administrativo. Sección Primera, Rec. 1423/2021 de 05 de diciembre del 2023

PRIMERO. - Se impugna en el presente recurso contencioso-administrativo, por la representación de la Asociación Multisectorial de la Información (ASEDIE), la Resolución de la Directora de la Agencia Española de Protección de Datos de 24 de marzo de 2021, que Acuerda:

Denegar la aprobación del "Código de conducta del Sector Infomediario de Protección de Datos de Carácter Personal" cuyo promotor es la Asociación Multisectorial de la Información (ASEDIE).

Se sustenta tal denegación, esencialmente (fundamento de derecho VI) en el Informe de la Subdirección General del Registro General de Protección de Datos, puesto que algunos de los contenidos no se adecuarían a lo dispuesto en el RGPD o en la LOPDGDD.

Los contenidos del código cuestionados son los relativos al tratamiento de la información sobre solvencia patrimonial con datos obtenidos de fuentes públicas o que el interesado haya hecho manifiestamente públicos (sección 3ª del Anexo II) respecto de los cuales se concluye que no se aprecia prevalencia del interés legítimo del responsable o de terceros sobre los intereses, derechos y libertades de los afectados.

Considerando por tanto la misma Resolución, a modo de conclusión, en el fundamento de derecho IX que:

Del análisis del código de conducta presentado por ASEDIE realizado por la Subdirección General del Registro General de Protección de Datos y el Gabinete Jurídico de esta Agencia Española de Protección de Datos, y acogiendo plenamente el criterio del Gabinete Jurídico (...) procede denegar su aprobación en los términos que se recogen en la conclusión del citado informe que señala que "(...) dada la complejidad del Código, debería haberse acompañado toda la documentación justificativa a la que se ha ido haciendo referencia a lo largo del mismo ( memoria y, en su caso, análisis de riesgos y Estudio de Impacto de Protección de Datos, cuando sea necesario para justificar la adecuación del código a la normativa aplicable) la regulación de los sistemas de información crediticia con datos relativos al cumplimiento de obligaciones dinerarias, financieras o de crédito y de los sistemas de información sobre solvencia patrimonial con datos obtenidos de fuentes públicas o que el interesado haya hecho manifestante públicos , contenida en las secciones 2ª y 3ª del Anexo II, que deberían suprimirse, así como procederse a una profunda revisión del resto del código para su completa adecuación a los principios y normas contenidos en el RGPD y la LOPDGDD".

SEGUNDO. - Se opone en primer término, por el Abogado del Estado en la contestación, la inadmisibilidad del recuso, en base a que el Código de Conducta es un documento integral que se aprueba o no por la autoridad de control en su totalidad, sin que pueda "aprobarlo parcialmente" según deriva del Considerando 98 del RGPD, del artículo 40 de dicho RGPD y del apartado 7.3 epígrafes 45 y 46 de las Directrices 1/2019 del Comité Europeo de Protección de Datos. Lo que se relaciona con la falta de interés legítimo de la entidad recurrente que determina su falta de legitimación activa, conforme a la doctrina de la SAN de 30 de junio de 2021 (Rec. 1/351/2018), basada en Jurisprudencia del Tribunal Supremo. Se añade que también puede considerarse que nos encontramos ante un supuesto de "falta de acción", conforme a la doctrina de la STS, Sala de lo Social 149/2017, de 22 de febrero de 2017.

Lo anterior dado que no existe en el caso una real controversia jurídica que amerite la intervención del Tribunal. La resolución deniega, de manera pura y simple, la aprobación del código de conducta, en su integridad. La entidad recurrente dirige su impugnación de manera confusa, exclusivamente frente a los sistemas de información sobre solvencia patrimonial con datos obtenidos de fuentes públicas o que el interesado haya hecho manifiestamente públicos, contenidos en la sección 3ª del Anexo II de dicho Código. Sin embargo, nada alega ni pretende del resto ( que el Código carece de Memoria, análisis de riesgos o evaluación de impacto, o que ha de realizarse una profunda revisión del resto del código para su completa adecuación a los principios y normas contenidas en el RGPD). Por ello, aunque hipotéticamente el recurrente viera estimado su recurso, todos los demás defectos apreciados por la AEPD seguirían igual, sin que se viesen " remediados" por la estimación, porque el Código seguiría sin poder ser aprobado, al continuar siendo contrario al RGPD. En definitiva, en realidad le está pidiendo a la Sala un dictamen u opinión sobre la interpretación o alcance que debe darse de futuro y en abstracto a determinadas partes de un proyecto de Código que nunca va a poder ser aprobado en este proceso, porque el recurrente ha renunciado a ello.

En relación con ello la parte actora, en la demanda, aclara como tutela judicial que se impetra, lo siguiente:

Se impugna el acto administrativo recurrido, en cuanto al rechazo a los tratamientos de la información sobre solvencia patrimonial con datos obtenidos de fuentes públicas o que el interesado haya hecho manifiestamente públicos recogidos en el Código de Conducta cuya aprobación se ha denegado.

El acto administrativo impugnado es anulable, cuando menos parcialmente en los aspectos referidos, por cuanto incurre en infracción del ordenamiento jurídico, al contravenir el derecho sustantivo aplicable recogido en el RGPD y la LOPDGDD.

A su vez, ASEDIE se ha reservado la posibilidad de presentar una nueva versión del Código de Conducta, exceptuando de su contenido lo relativo a los tratamientos objeto de esta litis, de acuerdo con las facultades que le otorgan, en su apartado 7.3, las Directrices 1/2019, del Comité Europeo de Protección de Datos (CEPD) de 4 de junio de 2019 que contempla la opción de "reconsiderar el proyecto de código con arreglo a los mismos".

Concluyendo a tal efecto la demanda que: no se persigue en la presente litis un pronunciamiento de la Sala que, al revocar el acto impugnado, prescriba a la Administración el dictado de un acto administrativo favorable de aprobación del Código de Conducta presentado sino el pronunciamiento, acorde con lo estipulado por el artículo 71.1.a) de la LJCA, de no ser conforme a Derecho el acto recurrido, anulándolo parcialmente en los aspectos en los que la Resolución citada se discute (...) persiguiendo que la Sala examine si dicho acto es conforme a Derecho, con el pronunciamiento declarativo que se pretende, revocando el acto impugnado en los aspectos a que se ciñe la controversia.

TERCERO. - Se pretende por ASEDIE en el presente recurso contencioso-administrativo la anulación parcial de la Resolución de la Directora de la Agencia Española de Protección de Datos de 24 de marzo de 2021 por la que se deniega la aprobación del "Código de conducta del sector infomediario de protección de datos de carácter personal".

Nos hallamos ante la impugnación de un Código de Conducta, en cuanto mecanismo voluntario de autorregulación previsto por primera vez, al menos en el ámbito de la protección de datos personales, en el Reglamento (UE) 2016/679, de 27 de abril (RGPD) derivado del cambio de paradigma en que se sustenta dicho Reglamento comunitario, basado ahora en el principio de "accountability" o responsabilidad proactiva, constituyendo tales códigos de conducta uno de los principales instrumentos para dar cumplimiento a dicho principio de responsabilidad proactiva.

A tal efecto establece el Considerando 98 del RGPD que : Se debe incitar a las asociaciones u otros organismos que representen a categorías de responsables o encargados a que elaboren códigos de conducta, dentro de los límites fijados por el presente Reglamento, con el fin de facilitar su aplicación efectiva, teniendo en cuenta las características específicas del tratamiento llevado a cabo en determinados sectores y las necesidades específicas de las microempresas y las pequeñas y medianas empresas. Dichos códigos de conducta podrían en particular establecer las obligaciones de los responsables y encargados, teniendo en cuenta el riesgo probable para los derechos y libertades de las personas físicas que se derive del tratamiento.

Códigos de conducta cuya naturaleza y contenido se desarrolla en el artículo 40 de tal RGPD y su aprobación y supervisión en el artículo 41 del mismo Reglamento Europeo.

En nuestro derecho interno es el artículo 38 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, el que establece lo siguiente:

1. Los códigos de conducta regulados por la sección 5.ª del Capítulo IV del Reglamento (UE) 2016/679 serán vinculantes para quienes se adhieran a los mismos.

Dichos códigos podrán dotarse de mecanismos de resolución extrajudicial de conflictos.

2. Dichos códigos podrán promoverse, además de por las asociaciones y organismos a los que se refiere el artículo 40.2 del Reglamento (UE) 2016/679 , por empresas o grupos de empresas, así como por los responsables o encargados a los que se refiere el artículo 77.1 de esta ley orgánica.

(...)La autoridad de protección de datos competente verificará que los organismos o entidades que promuevan los códigos de conducta han dotado a estos códigos de organismos de supervisión que reúnan los requisitos establecidos en el artículo 41.2 del Reglamento (UE) 2016/679 .

3. Los códigos de conducta serán aprobados por la Agencia Española de Protección de Datos o, en su caso, por la autoridad autonómica de protección de datos competente (...)

Regulación que asimismo se contiene en las Directrices 1/2019 del Comité Europeo de Protección de Datos, de 4 de junio de 2019, sobre códigos de conducta y organismos de supervisión con arreglo al Reglamento (UE) 2016/679, especialmente, en lo que afecta al caso, en el epígrafe 7 sobre presentación, admisibilidad y aprobación de dicho Código, dictaminado el apartado 7.3, respecto de tal aprobación que:

"(...) la autoridad de control competente debe redactar un dictamen en un plazo razonable y mantener informados a los titulares del código en cuanto al proceso y al calendario orientativo. El dictamen debe describir los motivos de su decisión de acuerdo con los criterios de aprobación previamente descritos"

Y que "Si la autoridad de control competente decide denegar la aprobación, el proceso se dará por finalizado y serán los titulares del código quienes deberán valorar los resultados del dictamen y reconsiderar el proyecto de código con arreglo a los mismos. También será necesario que los titulares vuelvan a presentar formalmente un proyecto de código actualizado más adelante, si así lo desean.

CUARTO. - La anulación parcial de la Resolución de la AEPD que se pretende en esta litis se circunscribe a la parte de tal Resolución que reputa, como contrarios a la normativa, exclusivamente los tratamientos relativos a la información sobre solvencia patrimonial con datos obtenidos de fuentes públicas o que el interesado haya hecho manifiestamente públicos ( Artículos 7 a 9 y Sección 3ª del Anexo II del Código de Conducta).

La AEPD deniega la aprobación del repetido código de conducta, en base a tres motivos esenciales, que se recogen fundamento de derecho IX de la resolución, y que son:

De un lado porque debería haberse acompañado toda la documentación justificativa a la que se ha ido haciendo referencia a lo largo de la tramitación (Memoria y, en su caso, Análisis de Riesgos y Estudio de Impacto de Protección de Datos, cuando sea necesario para justificar la adecuación del código a la normativa aplicable).

Además, porque la regulación de los sistemas de información crediticia con datos relativos al cumplimiento de obligaciones dinerarias, financieras o de crédito y de los sistemas de información sobre solvencia patrimonial con datos obtenidos de fuentes públicas o que el interesado haya hecho manifestantes públicos, contenida en las secciones 2ª y 3ª del Anexo II, que deberían suprimirse.

Y en tercer lugar porque debería procederse a una profunda revisión del resto del código para su completa adecuación a los principios y normas contenidos en el RGPD y la LOPDGDD".

La parte actora no pretende la revocación del acto impugnado, y en ello se insiste en la demanda, a fin de que la Administración dicte un nuevo acto administrativo favorable de aprobación del Código de Conducta, sino exclusivamente, se reitera, su anulación parcial en la parte que considera, como contrarios al RGPD y la LOPDGDD, los tratamientos relativos a la información sobre solvencia patrimonial con datos obtenidos de fuentes públicas o que el interesado haya hecho manifiestamente públicos.

Ello ha de ponerse además en relación con el hecho, admitido por la propia ASEDIE en la demanda, de que se ha presentado una nueva versión del Código de Conducta (si bien se argumenta que exceptuando de su contenido lo relativo a los tratamientos objeto de esta litis), de acuerdo con las facultades que le otorga el apartado 7.3, las Directrices 1/2019, del Comité Europeo de Protección de Datos (CEPD).

No obstante la falta de antecedentes jurisprudenciales en la materia, novedosa en el ámbito de la jurisdicción contencioso-administrativa, considera la Sala aplicable la doctrina de la Sala de lo Social del Tribunal Supremo, que se invoca por el Abogado del Estado en la contestación, y que se recoge, entre otras, en las SSTS de 18 de julio de 2002 ( Rec. 1289/2001) de 15 de septiembre de 2015 ( Rec. 252/2014) y de 27 de febrero de 2017 ( Rec. 12072016) , Jurisprudencia que se resume en la STSJ (Madrid), de 9 de octubre de 2023 (Rec. 441/2023), entre las más recientes, en los siguientes términos :

"Como señalaba la STS de 14-05-2000 (Casación 95/2008), "la doctrina científica y judicial mayoritaria considera el derecho de acción, como el derecho a acudir a los órganos judiciales y obtener en el proceso un pronunciamiento de fondo sobre los derechos sustantivos de los que el accionante afirma ser titular o tener un interés legítimo respecto de ellos. Ahora bien, ese pronunciamiento de fondo puede no llegar producirse si se alega por la contraparte la denominada, en la praxis, excepción de " falta de acción" y se prueba la inexistencia de la titularidad o de la posición de interés legítimo que en relación con el derecho sustantivo esgrime el accionante para recabar su tutela (...) ".

Y recuerda igualmente la meritada sentencia que " para el ejercicio de acciones declarativas resulta necesario que el titular acredite una lesión actual de su propio interés, lo que presupone la existencia de un derecho insatisfecho, al que se trata de tutelar mediante el ejercicio de la acción. No pueden pues plantearse al Juez cuestiones futuras o hipotéticas, o cuya decisión no tenga incidencia alguna en la esfera de derechos e intereses de la parte demandante, ni cabe solicitarle una mera opinión o consejo. De modo que solo allá donde exista un derecho o interés legítimo digno de tutela, existirá un correlativo derecho a obtenerla de los Jueces y Tribunales (...)"

En el supuesto aquí planteado (...) lo único que se hace es formular una consulta genérica sobre los términos abstractos en los que ha de ser interpretado un precepto convencional, persiguiendo así la obtención de un dictamen jurídico y no la efectiva resolución de un conflicto real y actual entre las partes.

Resume la jurisprudencia de la Sala IV al respecto, la STS 149/2017, de 22 de febrero, diciendo:

"(...) En esa misma línea la STS de 26 de diciembre de 2013 (rec. 28/2013 ) señala, "...En la sentencia de 16 de julio de 2012 se afirma que la denominada falta de acción no tiene un estatuto procesal definido, por lo que su uso, en general impreciso, recoge en algunos casos apreciaciones de falta de jurisdicción, normalmente por ausencia de un conflicto real y actual , mientras que en otras se asocia con situaciones de falta de legitimación activa o incluso con declaraciones de inadecuación de procedimiento o con desestimaciones por falta de fundamento de la pretensión, es decir, con desestimaciones de fondo de la demanda...".

Los términos en los que se ha planteado en el presente caso la demanda de conflicto colectivo reconducen la cuestión a determinar si pudiéramos estar ante una situación jurídica de falta de acción por la naturaleza meramente declarativa de la pretensión ejercitada, carente de cualquier interés real en la resolución de un conflicto actual entre las partes.

(...) Ya señalamos en la STC 71/1991 , y debemos reiterar ahora, que la admisibilidad de las acciones meramente declarativas está condicionada a la existencia de un interés digno de tutela. La acción meramente declarativa como modalidad de tutela jurisdiccional que se agota en la declaración de la existencia, inexistencia o modo de ser de una relación jurídica, no existe como tal si no se da una verdadera necesidad de tutela jurisdiccional cifrable en el interés en que los órganos judiciales pongan fin a una falta de certidumbre en torno a la relación jurídica de que se trate. El interés es, pues, requisito de la acción meramente declarativa, y una resolución judicial que de manera no arbitraria ni irrazonable afirme la inexistencia de la acción meramente declarativa por falta de interés no atenta contra el derecho a la tutela judicial efectiva".

Tal y como ponemos de manifiesto en la STS 15 de septiembre de 2015 (rec. 252/2014 ), son igualmente numerosas las resoluciones en las que precisamos que el ejercicio de acciones declarativas se condiciona "a que la acción esté justificada por la existencia de una verdadera controversia y la concurrencia de una necesidad de protección jurídica. Ello ha de llevar a analizar el supuesto concreto a fin de evitar el planteamiento de cuestiones futuras o hipotéticas (...)

Entre las más recientes, la STS 29/11/2016 (Rcud. 676/2015 ), vuelve a recordar que el ejercicio de acciones declarativas se encuentra condicionado:

1º) "a La existencia de una verdadera controversia: "Por ello, se entiende que no pueden plantearse "cuestiones no actuales ni efectivas, futuras o hipotéticas, o cuya decisión no tenga incidencia alguna en la esfera de derechos e intereses del actor; se requiere que exista un caso o controversia, una verdadera "litis", pero no cabe solicitar del Juez una mera opinión o un consejo" (...)

2º) " La concurrencia de una necesidad de protección jurídica: Se precisa de la "existencia de un derecho insatisfecho, al que se trata de tutelar mediante el ejercicio de la acción " (...)

De lo expuesto se desprende que "la aceptación de las acciones declarativas en el ámbito laboral se ha vinculado a la constatación de la existencia de un conflicto o controversia jurídica que les sirvan de base" ( ST S 15 de septiembre de 2015, rec. 252/2014 ) , lo que obliga a analizar el supuesto concreto a fin de evitar el planteamiento de cuestiones futuras o hipotéticas que no se correspondan con la existencia de una verdadera controversia actual entre las partes, con la consiguiente necesidad de protección jurídica de un derecho insatisfecho que deba ser tutelado mediante el ejercicio de la acción".

QUINTO. - Do ctrina analógicamente aplicable al supuesto aquí debatido, a cuyo tenor, y dado que ASEDIE no está pretendiendo la anulación de la parte dispositiva de la Resolución combatida, sino de una parte de sus consideraciones, ha de concluirse que tal entidad actora no esta planteando en el caso una real controversia jurídica que requiera la intervención de este Tribunal.

Así, al aclarar la demanda que no se persigue un pronunciamiento de la Sala que, al revocar el acto impugnado, prescriba a la Administración el dictado de un acto administrativo favorable de aprobación del Código de Conducta, sino el pronunciamiento de no ser conforme a Derecho una parte del acto recurrido, que procede anular parcialmente, de ello se colige que la acción ejercitada en la demanda tan solo persigue la obtención de una opinión o dictamen de este órgano judicial sobre la interpretación y alcance que deba darse de futuro ,y en abstracto, al contenido de la parte de tal resolución a que se circunscribe el recurso, es decir, exclusivamente respecto de la interpretación jurídica que la AEPD lleva a cabo de la Sección 3ª del Anexo II del Código de Conducta (tratamientos relativos a la información sobre solvencia patrimonial con datos obtenidos de fuentes públicas o que el interesado haya hecho manifiestamente públicos ).

Es decir, lo que ASEDIE pretende con el presente recurso es una consulta genérica sobre los términos en los que ha de ser interpretado una parte de la resolución, persiguiendo así la obtención de un dictamen jurídico y no la efectiva impugnación de tal resolución combatida. Interpretación que además, y dado que se reconoce por tal entidad actora la presentación de una nueva versión del Código de Conducta ante la AEPD, es dudoso que tal interpretación no se esté asimismo suscitando y discutiendo en dicha vía administrativa previa.

La resolución de la AEPD impugnada contiene un solo y único pronunciamiento que no se impugna por la entidad actora, sino que lo que tal recurrente pretende es su anulación parcial, y de una parte de los motivos de la resolución, no de la parte dispositiva de la misma, por lo que ASEDIE carece de acción, en cuanto derecho a acudir a este tribunal recabando la tutela de un derecho e interés, dada la ausencia de dicho interés real y en definitiva de una auténtica controversia jurídica .

Por otra parte, y esto es asimismo relevante, resulta que si se dictara un eventual pronunciamiento estimatorio de la pretensión de la demanda, el Código de Conducta seguiría sin poder ser aprobado, ya que el resto de los defectos apreciados por la AEPD (la falta de memoria y análisis de riesgos y Estudio de Impacto, y , sobre todo la profunda revisión de dicho Código a que obliga la Resolución combatida para adecuarlo a la normativa de protección de datos), que no han sido impugnados por ASEDIE en el presente recurso contencioso-administrativo, no se verían alterados por tal eventual estimación, lo que conduciría a una situación anómala y que asimismo evidencia la inexistencia de una autentica litis o controversia en la pretensión ejercitada por dicha entidad actora, por lo que el recurso ha de ser desestimado.

SEXTO. - Co n imposición a la entidad actora de las costas causadas en el proceso, de conformidad con el Art. 139 de la LJCA.

Vistos los artículos citados y demás de pertinente y general aplicación