Sentencia Contencioso-Administrativo Nº 383/2019, Tribunal Superior de Justicia de Pais Vasco, Sala de lo Contencioso, Sección 1, Rec 968/2019 de 30 de Diciembre de 2019

Encabezamiento

TRIBUNAL SUPERIOR DE JUSTICIA DEL PAÍS VASCO
SALA DE LO CONTENCIOSO ADMINISTRATIVO
RECURSO DE APELACIÓN N.º 968/2019
SENTENCIA NÚMERO 383/2019
ILMOS. SRES.
PRESIDENTE:
D. LUIS ÁNGEL GARRIDO BENGOETXEA
MAGISTRADOS:
D. LUIS JAVIER MURGOITIO ESTEFANÍA
D. JUAN ALBERTO FERNÁNDEZ FERNÁNDEZ
En la Villa de Bilbao, a treinta de diciembre de dos mil diecinueve.
La Sección 1ª de la Sala de lo Contencioso-administrativo del Tribunal Superior de Justicia del País Vasco,
compuesta por los Ilmos. Sres. antes expresados, ha pronunciado la siguiente SENTENCIA en el recurso
de apelación, contra la sentencia dictada el 2 de septiembre de 2019 por el Juzgado de lo Contencioso-
administrativo n.º 3 de Donostia en el recurso contencioso-administrativo número 48/2019, en el que se
impugna la Resolución de 8 de noviembre de 2018 de la Agencia Vasca de Protección de datos por la que
declara que el Ayuntamiento de Donostia cometió una infracción grave en materia de protección de datos
dictada en el expediente PI 18-010.
Son parte:
- APELANTE: La AGENCIA VASCA DE PROTECCIÓN DE DATOS, representada y dirigida por el SERVICIO
JURÍDICO CENTRAL DEL GOBIERNO VASCO.
- APELADO: El AYUNTAMIENTO DE DONOSTIA, representado por el Procurador Don PABLO BUSTAMANTE
ESPARZA y dirigido por la ASESORÍA JURÍDICA DEL AYUNTAMIENTO DE DONOSTIA.
Ha sido Magistrado Ponente el Ilmo. Sr. D. JUAN ALBERTO FERNÁNDEZ FERNÁNDEZ.

Antecedentes

PRIMERO.- Contra la sentencia identificada en el encabezamiento, se interpuso por la AGENCIA VASCA DE PROTECCIÓN DE DATOS recurso de apelación ante esta Sala, suplicando se dictase sentencia.



SEGUNDO.- El Juzgado admitió a trámite el recurso de apelación, dando traslado a la otra parte para que en el plazo de quince días pudiera formalizar la oposición al mismo, y en su caso, la adhesión a la apelación.



TERCERO.- Tramitada la apelación por el Juzgado, y recibidos los autos en la Sala, se designó Magistrado Ponente, y no habiéndose solicitado el recibimiento a prueba, ni la celebración de vista o conclusiones, se señaló para la votación y fallo el día 19 de diciembre de 2019, en que tuvo lugar la diligencia, quedando los autos conclusos para dictar la resolución procedente.



CUARTO.- Se han observado las prescripciones legales en la tramitación del presente recurso de apelación.

Fundamentos

PRIMERO.- El recurso de apelación se ha presentado contra la sentencia dictada el 2-09-2019 por el Juzgado de lo Contencioso-Administrativo nº 3 de Donostia en el procedimiento ordinario 48/2019, que estimó el recurso interpuesto por el Ayuntamiento de San Sebastián contra la Resolución de 8-11-2018 de la Directora de la Agencia Vasca de Protección de Datos que declaró que dicho Ayuntamiento había cometido una infracción muy grave, tipificada por la legislación de protección de datos de carácter personal.

La antedicha Resolución había acordado: 1º.- Declarar que el Ayuntamiento de Donostia- San Sebastián ha infringido lo dispuesto en el artículo 10 de la Ley Orgánica 15/1999 de 11 de diciembre de protección de datos de carácter personal, lo que supone una conducta tipificada como muy grave en el artículo 22.3 f) de la Ley 2/2004 de 25 de febrero, de ficheros de datos de carácter personal de titularidad pública y de creación de la Agencia Vasca de Protección de Datos.

2º.- Requerir al Ayuntamiento para que mantenga las medidas organizativas de orden interno tendentes a evitar en el futuro situaciones como las referidas en este procedimiento.

La conducta, así, tipificada había consistido en la divulgación de información a través de ' El Diario Vasco' (edición del 7-02-2018) sobre la incoación de expediente sancionador a D.G.I.L. por acuerdo de la Junta de Gobierno del Ayuntamiento donostiarra.



SEGUNDO.- El Ayuntamiento de San Sebastián ha alegado la inadmisibilidad del recurso de apelación porque la sanción, no pecuniaria, impuesta a esa entidad por la AVPD, consistente en la aplicación de medidas organizativas que impidan que en el futuro pueda producirse una nueva infracción no supera la cuantía (30.000 ) de acceso al recurso de apelación, establecida por el artículo 81.1 a) en relación a los artículos 41.1 y 42.1 de la LJCA que, por otra parte, corresponde acreditar a la apelante.

Se citan el auto de 27-01-2005 del Tribunal Supremo (Rec. 8400/2002) y la sentencia de 12-03-2014 del TSJ de Galicia; Rec. 312/2013.

El apelante (Gobierno Vasco) se ha opuesto a la antedicha alegación en razón a lo siguiente: 1º.- La declaración de comisión de la infracción tipificada por la Resolución recurrida, sin la imposición propiamente de una sanción, no es susceptible de valoración económica.

2º.- Ambas partes (AVPD y Ayuntamiento de Donostia), además, de su condición de Administración Pública, han ejercido potestades administrativas: el Ayuntamiento ha cometido la infracción en el ámbito de una relación jurídica de ese carácter, consecuencia del ejercicio de su potestad sancionadora, y la AVPD ha actuado en el ámbito establecido por el artículo 2 de la Ley 2/2004 de ficheros de datos de carácter personal de titularidad pública y de creación de la AVPD.



TERCERO.- No es ya que la sanción o medida correctora impuesta por la Resolución recurrida no sea susceptible de evaluación económica, aun sea indirectamente, por referencia al límite de acceso al recurso de apelación, establecido por el articulo 81.1 a de la LJCA (v.g. sanciones no pecuniarias como la suspensión del ejercicio profesional, a que se refiere el auto del TS citado por el apelado; las de amonestación o apercibimiento, impuestas por infracciones de la misma gravedad o inferior a las sancionadas con multas no recurribles en apelación por no superar los 30.000 euros) sino que, como también ha sostenido la apelante, hay que aplicar al caso la cláusula del apartado 2 c) del mismo precepto: 'Las que resuelvan litigios entre Administraciones Públicas'.

Y es que, en efecto, la conducta sancionada se ha producido en un ámbito de actuación de potestades públicas por parte del Ayuntamiento de San Sebastián, como responsable de un fichero de datos de carácter personal creado o gestionado para el ejercicio de potestades públicas (en lo que hace al caso la sancionadora) y la AVPD ha ejercido sus facultades o competencias, no discutidas, en la materia.



CUARTO.- El recurso de apelación se funda en los siguientes motivos: 1.- No cabe diferenciar entre empleados públicos (personal laboral y funcionarial) y miembros (concejales) de la Corporación local: el artículo 10 de la LOPD alude al responsable del fichero (el Ayuntamiento) y a las personas que intervengan en cualquier fase del tratamiento de los datos; por lo tanto, no excluye a la persona jurídica en cuyo seno las segundas realicen sus funciones (v.g. el artículo 77.3 3/ 2018).

2.- El distinto carácter de la responsabilidad interna del empleado o cargo que haya infringido la normativa de protección de datos no excluye la de la Administración pública (el Ayuntamiento) responsable del fichero frente al titular del derecho fundamental afectado por la infracción, cualquiera que sea la persona física que, dentro de dicho ámbito, haya intervenido en el tratamiento indebido de los datos.

3.- La falta de identidad entre el supuesto examinado en la sentencia de la Audiencia Nacional de 24-09-2009 (Rec. 658/2008) en que se funda la apelada y el planteado en las presentes: la acción examinada en la primera se había producido en el ámbito de actuación política del cargo electo al que se imputó la divulgación indebida de un dato de carácter personal.



QUINTO.- El apelado, Ayuntamiento de San Sebastián, se ha opuesto a la estimación del recurso por los siguientes motivos: 1.- La infracción del deber de guardar secreto sobre los datos de carácter personal no puede imputarse al Ayuntamiento cuando tal conducta no haya sido realizada por un empleado de esta entidad sino por uno de sus concejales: el artículo 10 de la LOPD no establece la responsabilidad solidaria o mancomunada del responsable del fichero respecto del encarado del tratamiento de los datos que por haber incumplido sus obligaciones debe responder personalmente de la infracción cometida ( artículos 12.4 y 19 LOPD).

2.- Los concejales están sometidos al deber de secreto del artículo 10 de la LOPD y, así, responden personal y directamente del incumplimiento del incumplimiento de dicha obligación (Art. 11.5).

Se citan el Dictamen CN10-001 de 8 de febrero de la AVPD; Informes de la AEPD y su conformidad con el criterio sostenido en la sentencia de 24-09-2008 de la Audiencia Nacional (Rec. 658/2008).

3.- La responsabilidad directa de los grupos políticos de las Corporaciones Locales, diferenciada de la responsabilidad de las entidades que integran la Administración local , según el artículo 77.3, 1 c) y k), amén de su inaplicación al caso, y de no tener los concejales la condición de empleados públicos ( artículo 8 EBEP/ artículos 73 y siguientes de la LBRL).

4.- El derecho a la presunción de inocencia: no se ha acreditado la culpabilidad del Ayuntamiento de Donostia respecto a la conducta sancionada, esto es, que por falta de diligencia imputable a esa Administración se hubiera producido la difusión del dato personal referido a uno de sus funcionarios; por el contrario, el Ayuntamiento había implantado todas las medidas exigibles para la protección del fichero 'Acuerdo de Gobierno y Administración', además de haber actuado diligentemente en la tramitación del expediente disciplinario.

Se citan entre otras sentencias de la Audiencia Nacional, la de 13-05-2015, Rec. 96/2014.

5.- El deber del Ayuntamiento de facilitar a sus empleados y concejales los datos de carácter personal cuyo conocimiento sea necesario para el ejercicio de sus funciones, (de participación política ex artículo 23 CE en el caso de los segundos) sin perjuicio del deber de secreto 'individual'.



SEXTO.- La sentencia de instancia considera que no habiéndose acreditado que la divulgación en prensa escrita de un dato de carácter personal, esto es, la incoación de expediente disciplinario a un funcionario del Ayuntamiento de San Sebastián, se debiera a la intervención en su tratamiento de un empleado laboral o funcionario de esa entidad local, no puede imputarse la infracción del deber de secreto establecido por el artículo 10 de la Ley Orgánica 15/1999 de 13 de Diciembre, declarada por la Resolución recurrida de la AVPD.

Esa conclusión se ampara en la sentencia de 24-09-2009 de la Audiencia Nacional (Rec. 658/2008). Pero en el supuesto examinado en esa sentencia se había identificado al autor de la filtración del dato de carácter personal, esto es, un diputado provincial y no, así, en el expediente en que la AVPD declaró la infracción tipificada como grave por el artículo 22.3 f) de la Ley 2/2004 de 25 de febrero de ficheros de datos de carácter personal de titularidad pública y de creación de esa Agencia.

Además, y tal como sostiene la apelante, la identificación del empleado o autoridad que hubiese intervenido en el tratamiento indebido del dato indebidamente divulgado no excluía la del Ayuntamiento sancionado ya que así el responsable del fichero como quienes intervengan en el tratamiento de los datos de carácter personal están obligados a guardar secreto respecto a esos datos y tienen el deber de guardarlos, según dispone el artículo 10 de la L.O. 15/1999.

Por el contrario, si tales obligaciones se individualizasen en quienes intervengan en el tratamiento de los datos, con exclusión de la entidad responsable del fichero, no tendría sentido aludir a este último como sujeto de tales obligaciones y, por ende, de la infracción constituida por su incumplimiento.

N el artículo 10 de la L.O. 15/1999 distingue entre empleados al servicio de la Administración Pública comprendidos en el ámbito del EBEP (artículo 8 del vigente texto refundido) y sus autoridades o cargos, ni puede admitirse tal distinción sin dejar impune la vulneración del derecho fundamental a la protección de los datos de carácter personal en los supuestos en que no se identificara al responsable directo de la infracción del deber de secreto o tal infracción fuera cometida por un cargo representativo.

Tampoco tiene razón de ser tal diferenciación, entre empleados y cargos de representación públicos, a efectos de aplicación del régimen de responsabilidad por infracción de la legislación de protección de datos de carácter personal ya que, aunque en virtud de distintos títulos, unos y otros se integran en la Administración Pública ( aquí, el Ayuntamiento de Donostia) responsable del fichero. Y, con mayor razón, si cabe, el alcalde y concejales de esa entidad local en cuanto órganos de representación, administración y gobierno de la misma ( Artículos 19 y concordantes de la LBRL).

Unos y otros, según decimos, actúan en el ámbito del responsable del fichero con idénticos deberes de secreto y custodia de los datos personales incorporados al mismo y, así, la actuación de tal responsable (persona jurídico-pública) no puede desvincularse de la actuación de quienes en su ámbito de organización, ya no digamos como integrantes de esta, intervienen en el tratamiento de los datos incluidos en el fichero en el desempeño de las funciones de su puesto (de empleado laboral o funcionario) o de su cargo de representación (Alcalde, concejales).

Y es por esa misma razón de vinculación de la responsabilidad de la persona jurídica a la actuación de sus empleados, dependientes o miembros de sus órganos de administración, que no puede equipararse el régimen sancionador previsto por la legislación de protección de datos al régimen sancionador en general, o en particular, al disciplinario de los empleados públicos en que la infracción y sus consecuencias se individualizan en el autor (persona física) de la infracción.

Item, la responsabilidad de la Administración titular y encargada del fichero no puede excusarse en su actuación diligente, separadamente de la actuación de sus empleados o cargos, sino que es la actuación 'culpable' de estos, consecuencia de la violación de las mencionadas obligaciones de protección del carácter reservado de los datos personales, la que fundamenta la responsabilidad de la primera en el ámbito sancionador de cuya aplicación se trata; por actos 'propios' de sus empleados o cargos, no de terceros, amén de otras que solo pueden imputarse 'personalmente' al encargado del tratamiento ( art. 12.4 LOPD).

Y es que el acceso de los concejales a los datos de carácter personal para el ejercicio de sus funciones de gobierno, como miembros de un órgano de representación política, no puede equipararse a la cesión o comunicación de esos mismos datos a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario, lo que requiere el previo consentimiento del interesado y sujeta al cesionario al cumplimiento de las mismas obligaciones legales ( Artículo 11.1 y 5 de la LOPD; idem, artículo 15.1 de la Ley 19/2013 de 9 de diciembre de transparencia, acceso a la información y buen gobierno) Dicho lo cual, no pueden estimarse las alegaciones del apelado sobre el régimen de responsabilidad directa, personal y excluyente de los concejales, bien por no tener la condición de empleados públicos bien como cesionarios de los datos, y sobre el derecho a la presunción de inocencia del responsable (el Ayuntamiento) del fichero o falta de acreditación de una acción imputable a ese sujeto a título de culpa.

SÉPTIMO.- Podrá admitirse, si acaso, un régimen de responsabilidad diferenciada entre las entidades integrantes de la Administración Local y los grupos políticos que se constituyan en su seno al socaire del artículo 77.3 de la L.O. 3/2018 de inaplicación ' ratione temporis', pero a condición de que la infracción se individualice en el grupo o en uno de sus miembros, lo que tampoco es el caso. Y esto al margen de que, según dispone el mismo precepto: 'Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos en la resolución en la que se imponga la sanción se incluirá una amonestación con la denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda'.

OCTAVO.- La estimación del recurso de apelación y consiguiente desestimación del recurso contencioso comporta la imposición de las costas de la primera instancia al Ayuntamiento recurrente y que no se haga pronunciamiento de condena respecto a las causadas en la apelación ( artículo 139.1 y 2 de la Ley Jurisdiccional).

Fallo

Que, previa desestimación de la causa de inadmisibilidad alegada por el apelado, debemos estimar y estimamos el recurso de apelación presentado por el Servicio Jurídico Central del Gobierno Vasco en nombre de la AGENCIA VASCA DE PROTECCIÓN DE DATOS contra la sentencia dictada el 2 de septiembre de 2019 por el Juzgado de lo Contencioso-administrativo n.º 3 de Donostia en el recurso contencioso- administrativo número 48/2019 y con revocación de esa sentencia, debemos desestimar y desestimamos el recurso interpuesto por el Ayuntamiento de Donostia contra la mencionada Resolución de la Agencia Vasca de Protección de Datos; e imponer a dicho Ayuntamiento las costas de la primera instancia.

Notifíquese esta resolución a las partes, advirtiéndoles que contra la misma cabe interponer RECURSO DE CASACIÓN ante la Sala de lo Contencioso - administrativo del Tribunal Supremo, el cual, en su caso, se preparará ante esta Sala en el plazo de TREINTA DÍAS ( artículo 89.1 LJCA), contados desde el siguiente al de la notificación de esta resolución, mediante escrito en el que se dé cumplimiento a los requisitos del artículo 89.2, con remisión a los criterios orientativos recogidos en el apartado III del Acuerdo de 20 de abril de 2016 de la Sala de Gobierno del Tribunal Supremo, publicado en el BOE n.º 162, de 6 de julio de 2016.

Quien pretenda preparar el recurso de casación deberá previamente consignar en la Cuenta de Depósitos y Consignaciones de este órgano jurisdiccional en el Banco Santander, con n.º 4697 0000 01 0968 19, un depósito de 50 euros, debiendo indicar en el campo concepto del documento resguardo de ingreso que se trata de un 'Recurso'.

Quien disfrute del beneficio de justicia gratuita, el Ministerio Fiscal, el Estado, las Comunidades Autónomas, las entidades locales y los organismos autónomos dependientes de todos ellos están exentos de constituir el depósito ( DA 15.ª LOPJ).

Así por esta nuestra Sentencia de la que se llevará testimonio a los autos, lo pronunciamos, mandamos y firmamos.

PUBLICACIÓN.- Leída y publicada fue la anterior sentencia por el Iltmo. Sr. Magistrado Ponente de la misma, estando celebrando audiencia pública la Sala de lo Contencioso Administrativo del Tribunal Superior de Justicia del País Vasco, en el día de su fecha, de lo que yo la Letrada de la Administración de Justicia doy fe en Bilbao, a 30 de diciembre de 2019.