STS, 23 de Enero de 2012

La Sección 1ª de la Sala de lo Contencioso Administrativo de la Audiencia Nacional dictó sentencia el 8 de octubre de 2008 , cuyo fallo contiene los siguientes pronunciamientos:

DESESTIMAR el recurso contencioso administrativo interpuesto por la representación procesal de Tecnatom SA frente a la resolución de la Agencia Española de Protección de 22 de diciembre de 2006, que desestima el recurso de reposición frente a la anterior resolución de 23 de noviembre que acuerda imponer a tal entidad recurrente una sanción de 300.506,05 euros, resoluciones que confirmamos, dada su conformidad a Derecho, sin imposición de costas a ninguna de las partes.

Notificada la sentencia, se presentó escrito por la representación procesal de TECNATOM, S.A., manifestando su intención de interponer recurso de casación, y por providencia de 6 de noviembre de 2008 se tuvo por preparado, con emplazamiento de las partes ante esta Sala del Tribunal Supremo.

Con fecha 29 de diciembre de 2008, se presentó escrito de interposición del recurso de casación, en el que la parte recurrente solicitó a la Sala que estime el recurso y case la sentencia impugnada, dictando otra en la que declare: 1) con estimación del primero de los motivos, la nulidad de actuaciones, con retroacción de las mismas al momento en que se dice cometido el motivo de nulidad, lo que provocaría la caducidad del expediente sancionador, 2) subsidiariamente, y con estimación de los motivos de fondo, se declare que no ha existido por parte de la recurrente la infracción apreciada y, por tanto, se deje sin efecto la resolución sancionadora, 3) se indemnice a la recurrente por los gastos de constitución de aval para la suspensión de la ejecución del acto administrativo, y 4) la estimación del recurso conlleva la no imposición de costas del recurso.

Admitido a trámite el recurso, se dio traslado a la parte recurrida, que en escrito de 2 de junio de 2009 manifestó su oposición al recurso, solicitando su desestimación y confirmación de la resolución impugnada.

Por providencia de 8 de noviembre de 2011 se acordó oir a las partes sobre el efecto en el presente recurso de la modificación del régimen sancionador de la LOPD efectuada por ley 2/2011, de 4 de marzo, de Economía Sostenible, y presentados por las partes sus escritos de alegaciones, se señaló para la votación y fallo del recurso el día 17 de enero de 2012, fecha en que la diligencia tuvo lugar.

Siendo Ponente el Excmo. Sr. D. Jose Maria del Riego Valledor, Magistrado de la Sala.

El presente recurso de casación se interpone contra la sentencia de la Sección 1ª de la Sala de lo Contencioso administrativo de la Audiencia Nacional, de 8 de octubre de 2008 , que desestimó el recurso contencioso administrativo interpuesto por TECNATOM, S.A. contra la Resolución de la Agencia Española de Protección de Datos (AEPD) de 22 de diciembre de 2006.

La citada resolución de la AEPD había desestimado un recurso de reposición de la recurrente contra una anterior resolución, de 23 de noviembre de 2008, que le había impuesto una sanción de multa de 300.506,05 euros, por una infracción tipificada como muy grave en el artículo 44.4.b) de la Ley Orgánica 15/1999 , de 13 de diciembre, de Protección de Datos (LOPD).

El recurso de casación se articula en dos motivos, formulados ambos al amparo de la letra d) del artículo 88.1 de la Ley de la Jurisdicción .

El motivo primero denuncia infracción del artículo 62.1.e) de la Ley de Régimen Jurídico de las Administraciones Públicas , en relación con el artículo 20.6 del Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora, y el motivo segundo alega infracción del artículo 11.1 de la LOPD, en relación con el artículo 6 del mismo texto legal .

En su primer motivo de recurso, la parte actora considera que concurre la causa de nulidad del artículo 62.1, apartado e) de la ley 30/1992 (LRJPAC), al haberse prescindido total y absolutamente del procedimiento legalmente establecido, pues la Resolución sancionadora se dictó el último día del plazo con la finalidad de evitar la caducidad del expediente, con omisión del trámite de alegaciones, sin que la recurrente comparta la tesis de la Sala de instancia sobre la no producción de indefensión, porque la situación de indefensión debe juzgarse a la luz de las consecuencias jurídicas que comporta para las partes, y en este caso, de haberse cumplido con el trámite de alegaciones, necesariamente se habría producido la declaración de caducidad del procedimiento.

Los hechos a que se refiere el recurrente, que están narrados en el Fundamento Jurídico segundo de la sentencia impugnada, consistieron -en síntesis- en lo siguiente: el expediente administrativo, al que le es aplicable el plazo máximo de 6 meses establecido por el artículo 42.2 de la ley 30/1992 , se inició por Acuerdo de 23 de mayo de 2006, y la Resolución sancionadora fue dictada y notificada el 23 de noviembre de 2006, esto es, el último día del plazo de 6 meses, fecha en la que también se presentó, a las 10:04 de la mañana, el escrito de alegaciones de TECNATOM, S.A.

También indica la sentencia impugnada que TECNATOM, S.A. interpuso recurso de reposición contra la Resolución de la AEPD de 23 de noviembre de 2006, que fue desestimado por la Resolución de 22 de diciembre de 2006, esta última objeto del recurso contencioso administrativo.

La Sala de instancia se pronunció sobre esta misma alegación de nulidad por haberse prescindido total y absolutamente del procedimiento legalmente establecido, y llegó a la conclusión de que no concurría una causa de nulidad pues el defecto procedimental invocado no había originado indefensión a la parte recurrente. Estos son los razonamientos de la sentencia impugnada:

Lo anterior conforme a reiteradísima doctrina de esta Sala (SSAN 8-3-2006, Rec. 319/2004 , y de 9-7-2008 , 298/2006 ), según la cual, para que el defecto procedimental comporte la nulidad del acto recurrido, es preciso que no se trate de meras irregularidades procedimentales, sino de defectos que causen una situación de indefensión de carácter material, no meramente formal, esto es, que dichas irregularidades hayan originado al recurrente un menoscabo real de su derecho de defensa, causándole un perjuicio real y efectivo (entre otras muchas, SSTC 155/1988, de 22 de julio , 212/1994, de 13 de julio y 78/1999, de 26 de abril ).

Habiéndose argumentado igualmente, conforme a la Jurisprudencia del Tribunal Supremo ( SSTS 16-11-1999 , 30-4-2001 y 23-3- 2004 ) que la indefensión tampoco se produce cuando los interesados han podido exponer en vía jurisdiccional, con total conocimiento del expediente, los motivos y argumentaciones que hayan estimado precisos, idénticos a los que hayan podido formular en el trámite formal de audiencia, en aras al principio de economía procesal.

Aplicando dicha doctrina al supuesto litigioso, se concluye que la nulidad pretendida no puede ser apreciada y ello porque las argumentaciones del escrito de alegaciones son en gran medida coincidentes con los de los demás escritos presentados por la entidad actora, y reproducidos por la misma, esencialmente, tanto en el recurso de reposición que presentó con posterioridad, como asimismo en esta vía judicial, donde ha podido alegar y probar cuanto ha estimado conveniente en defensa de sus derechos e intereses legítimos, tal y como así ha efectuado, por lo que no se ha producido indefensión material.

En efecto, como indica con toda corrección la Sala de instancia, no cabe apreciar que en el presente caso el defecto procedimental denunciado ocasionara indefensión material al recurrente.

Así, en primer lugar, la parte recurrente ha dispuesto de ocasión para efectuar las alegaciones que ha considerado convenientes para su derecho a lo largo del procedimiento sancionador. El procedimiento se inició por Acuerdo del Director de la AEPD, de 23 de mayo de 2006 que, además de designar Instructor y Secretario, con indicación de la posibilidad de recusar a los mismos, identificó a la entidad presuntamente responsable, informó entre otros extremos de los hechos imputados, de la calificación jurídica de tales hechos y de la posible sanción que pudiera imponerse, y concedió un trámite para formular las alegaciones y proponer las pruebas que estimara convenientes, habiendo TECNATOM, S.A. presentado escrito de alegaciones. Una vez concluido el período de prueba, se inició el trámite de audiencia facilitándose a los interesados vista y copia del expediente, y TECNATOM, S.A. presentó nuevo escrito de alegaciones. Tras dicho trámite, se formuló Propuesta de Resolución, notificada a la recurrente a fin de que presentara alegaciones, si bien la AEPD dictó la Resolución final del expediente, como ya hemos indicado el 23 de noviembre de 2006, el mismo día en que la recurrente presentó su escrito de alegaciones.

Interesa destacar, en esta sucesión de actos procedimentales, que los hechos tenidos por probados en la Propuesta de Resolución fueron los mismos que se tuvieron en cuenta en el Acuerdo de inicio del expediente sancionador, de manera que cabe mantener que el recurrente tuvo conocimiento de los hechos por los que se seguía el procedimiento desde su mismo comienzo, y ha dispuesto y utilizado la oportunidad de efectuar las alegaciones que consideró oportunas a su derecho en las dos ocasiones que hemos citado (alegaciones tras el Acuerdo de inicio del expediente y alegaciones tras el periodo de prueba), además de sus alegaciones tras la Propuesta de Resolución.

Pero además, en segundo término, la parte recurrente interpuso recurso de reposición contra la Resolución sancionadora de la AEPD, donde pudo también efectuar las alegaciones que interesaran a su derecho, que fueron examinadas por la AEPD en la Resolución expresa desestimatoria del recurso.

Por tanto, el examen del expediente administrativo sancionador muestra que, además de las alegaciones a la Propuesta de Resolución cuyo trámite considera omitido la parte recurrente porque la Resolución final es de la misma fecha de la presentación de dichas alegaciones, en otras tres ocasiones la parte recurrente presentó escrito de alegaciones, lo que permite descartar la infracción del principio de audiencia o que se haya producido indefensión.

Para resolver el segundo motivo del recurso de casación, que refiere infracción de las normas jurídicas aplicables en la resolución del fondo del asunto, es conveniente reproducir la narración de hechos probados de la sentencia impugnada, que es la siguiente:

PRIMERO: Los trabajadores de Tecnatom, al incorporarse a la empresa, han venido firmando un documento de Declaración de Consentimiento para el tratamiento automatizado de los datos de carácter personal, con el siguiente texto: "Declaro y presto mi consentimiento para que Tecnatom SA, pueda hacer un tratamiento automatizado de mis datos de carácter personal. Así mismo CONSIENTO en la cesión y transmisión de los datos identificativos y de salud (historial clínico y reconocimientos médicos) a los clientes (fundamentalmente centrales termonucleares, del entorno nacional e internacional) con los cuales Tecnatom, S.A. tiene relaciones concretas con el fin de permitir el cumplimiento de los compromisos contractuales adquiridos por la Sociedad.

Dicho consentimiento podré revocarlo cuando exista causa justificada para ello y sin que le pueda atribuir efectos retroactivos.

En prueba de mi conformidad con lo anteriormente expuesto, firmo la presente declaración de consentimiento para el almacenamiento y la cesión de estos datos de carácter personal a los clientes de la Sociedad y para los fines anteriormente expuestos".

SEGUNDO: Medicina Laboral Interactiva (en adelante MLI) realiza, entre otras actividades, la prestación de servicios de apoyo a trabajadores de empresas en situación de baja por incapacidad temporal, facilitando la realización de pruebas diagnósticas y consultas a especialistas, rehabilitación, y demás, en orden a conseguir adelantar el momento de la recuperación, y, por ende, su reincorporación al puesto de trabajo.

TERCERO: La operativa de funcionamiento del "Servicio de Gestión Médica" de MLI consiste en que desde las empresas a las que se da servicio (entre ellas Tecnatom), se comunica a MLI una relación de las bajas laborales que se han producido, en la que consta, además de la fecha de inicio de la baja, el nombre, apellidos y numero de teléfono para contactar con los trabajadores. El personal médico de MLI cuenta con un fichero automatizado al que se han incorporado los datos de identificación y contacto telefónico de todos los trabajadores de las diferentes empresas, y se registran todas las actuaciones realizadas por los facultativos de la entidad. El facultativo realiza un primer contacto telefónico en el que solicita al trabajador los datos referidos a su situación médica, y en el que al mismo tiempo se le lee una cláusula de información y se le solicita el consentimiento para el tratamiento de sus datos de salud. Igualmente se le informa de la forma de ejercer los derechos reconocidos en la LOPD.

Si el trabajador se niega a ser asesorado, no se realiza ninguna acción, tan sólo se comunica a la empresa. El seguimiento médico del trabajador prosigue hasta que éste causa alta, pudiendo además finalizar por indicación de la empresa. Los facultativos responsables registran las actuaciones practicadas, incorporándose el diagnóstico de la enfermedad una vez que se cuenta con él.

CUARTO: MLI presta los servicios del "Servicio de Gestión Médica" a Tecnatom, desde junio de 2004, dentro del contrato marco que MLI mantiene con la Mutua FREMAP. En dicha fecha Tecnatom entregó a MLI una relación de todos sus trabajadores incluyendo nombre y apellidos y teléfono, que MLI incluyó en un fichero. En la fecha de la visita de Inspección (03/02/06), MLI contaba con información de un total de 625 trabajadores de Tecnatom. No existe prueba documental que acredite la existencia del citado contrato de prestación de servicios de MLI a Tecnatom, manifestando que se trató de un contrato verbal.

QUINTO: Con fecha 03/03/05, Tecnatom y MLI formalizaron un "Acuerdo de Confidencialidad" para regular el acceso y tratamiento por parte de MLI (en calidad de encargado del tratamiento) a los datos de carácter personal cuyo responsable es Tecnatom, en los términos establecidos por el artículo 12 de la LOPD , y en razón al servicio prestado por MLI a Tecnatom.

SEXTO. En los ficheros automatizados de MLI se recoge información relativa a bajas de trabajadores de Tecnatom producidas con anterioridad al 03/03/05, en concreto se encuentran datos de un trabajador que causó baja el 14/03/03, y de quince trabajadores más que causaron baja durante el año 2004. En todos los casos, consta en el fichero de "Pacientes" el nombre y apellidos de los trabajadores, fecha de baja y alta, y, en diez de ellos, también consta el diagnóstico médico.

SÉPTIMO: MLI ha aportado declaraciones juradas firmadas por ocho trabajadores de Tecnatom incluidos en el fichero "Pacientes" de MLI, en las que manifiestan haber sido informados por MLI en los términos establecidos por el artículo 5.1 de la LOPD , con carácter previo a la recogida de sus datos, así como haber consentido expresamente el tratamiento de sus datos de salud por parte de MLI para prestarles asistencia sanitaria para acelerar su recuperación.

El segundo motivo del recurso de casación denuncia infracción de lo dispuesto en el artículo 11.1 de la LOPD , en relación con el artículo 6 del mismo texto legal , pues los datos de trabajadores que la recurrente suministró a MLI fueron datos de alta y baja laborales, que son datos administrativos, en los que el consentimiento de los titulares no requiere una declaración expresa y por escrito, como requieren los datos de salud, sino que basta el consentimiento tácito o presunto, siempre que este sea informado y no revocado, para que la cesión de datos sea legítima. En tal sentido, la parte recurrente mantiene que el Comité de Empresa fue debidamente informado de la comunicación de los datos a MLI y los trabajadores habían sido informados por la Web corporativa de la prestación del servicio de MLI.

Es cierto que, como sostiene la parte recurrente, los datos comunicados a MLI eran datos personales de los trabajadores, tales como el nombre, apellidos, número de teléfono y fecha de la baja laboral, que no pueden considerarse datos personales de salud, especialmente protegidos por el artículo 7.3 LOPD , que requieren consentimiento expreso del titular para ser cedidos, pero lo que el recurrente omite es que, por disposición del artículo 6.1 LOPD , el consentimiento del afectado ha de ser " ...inequívoco... ", y en el presente caso no puede sostenerse la presencia de un consentimiento de los afectados de tales características.

La Sala de instancia ha valorado los documentos que invoca la parte recurrente como prueba de la existencia del consentimiento inequívoco del afectado y llega a la conclusión razonada de la inexistencia de un consentimiento de tales características, debiendo mantenerse inalterable tal conclusión probatoria en este recurso de casación, en el que no ha sido eficazmente impugnada por ilógica o arbitraria.

Así, en relación con los documentos suscritos por los trabajadores al inicio de su relación laboral, la sentencia aprecia que los mismos no contienen ninguna autorización a MLI, que es la empresa que prestaba a la recurrente los servicios de gestión médica, y en cuyo poder se encontraron datos de los trabajadores, sino que la autorización se refiere, de manera clara, "...a los clientes (fundamentalmente centrales termonucleares, del entorno nacional e internacional) con los cuales Tecnatom, S.A. tiene relaciones..." , y MLI ni era una central termonuclear, ni era cliente de Tecnatom, sino al contrario, como indica la sentencia impugnada, era Tecnatom S.A. la cliente de MLI que le prestaba servicios de ayuda médica.

Además de no ser ilógica ni arbitraria la conclusión probatoria obtenida por la Sala de instancia, la propia parte recurrente admite en su escrito de recurso de casación que estos documentos "...no reúnen los requisitos para entender otorgado, con carácter general, el consentimiento exigido por la LOPD" (FD 2º del recurso de casación.

Tampoco puede compartirse la tesis del recurrente de que existía un consentimiento tácito que cumplía las exigencias del artículo 11 LPOD, al haberse informado de la comunicación de datos al Comité de empresa y en la web corporativa, sin ninguna objeción por parte de los trabajadores afectados, pues esa falta de oposición, para la que además no consta que se señalara plazo alguno, no puede equipararse a un consentimiento inequívoco de los afectados requerido por el artículo 6.1 LOPD , pues como razona la sentencia impugnada, inequívoco es lo que no admite duda o equivocación, y por contraposición a equívoco, lo que no puede entenderse en varios sentidos, de forma que aunque no sea exigible un consentimiento en forma escrita, al no exigirlo para el supuesto del que tratamos ningún precepto legal, la entidad que pretenda obtener este consentimiento inequívoco deberá arbitrar los medios necesarios para que no queden dudas de la que cesión de los datos ha sido consentida.

Finalmente, razona la Sala de instancia que el consentimiento ha de ser previo, requisito que tampoco reúnen los consentimientos de los trabajadores en los que declaran que consienten expresamente que se trataran sus datos para prestarles la asistencia sanitaria necesaria, todos ellos fechados y firmados con posterioridad al año 2004, por lo que no pueden amparar las cesiones anteriores de datos de trabajadores.

Por los anteriores razonamientos el motivo segundo del recurso de casación no puede ser acogido.

La resolución sancionadora de la APD calificó los hechos como infracción muy grave del artículo 44.4.b) LOPD , en la redacción vigente en el momento de los hecho y, de conformidad con el artículo 45.2 del mismo texto legal , le impuso la sanción de multa en la cuantía mínima de 300.506,05 euros.

El artículo 44.4.b) LOPD aplicado por la resolución sancionadora establecía que era infracción muy grave: "...la comunicación o cesión de los datos de carácter personal, fuera de los casos en que estén permitidas."

Sin embargo, con posterioridad a la fecha de la sentencia impugnada, y en el curso de la tramitación del presente recurso de casación, la disposición final 56ª de la ley 2/2011, de 4 de marzo, de Economía Sostenible , modificó entre otros el artículo 44.4.b) LOPD , que en su nueva redacción califica de infracción muy grave:

Tratar o ceder los datos de carácter personal a los que se refieren los apartados 2 , 3 y 5 del artículo 7 de esta Ley salvo en los supuestos en que la misma lo autoriza o violentar la prohibición contenida en el apartado 4 del artículo 7.

De esta manera, tras la entrada en vigor de la reforma operada en la LOPD por la ley 2/2011, sólo está tipificado como infracción muy grave el tratamiento o cesión que afecte a los datos especialmente protegidos que se identifican en los apartados 2 , 3 y 5 del artículo 7 LOPD .

En el presente caso, la Resolución de la AEPD indica, en relación con TECNATOM, que se le imputa una vulneración del artículo 11 LOPD porque comunicó a MLI los datos de algunos trabajadores, sin contar con su consentimiento, añadiendo que desde este punto de vista, la cuestión relativa a la naturaleza de los datos cedidos no modifica la tipificación de la infracción, por lo que no incorpora como dato acreditado, en relación con dicha empresa, que hubiera cedido datos de salud.

Acabamos de indicar que, en la nueva tipificación de las infracciones que resulta de la ley 2/2011, la cesión o tratamiento de datos sólo es infracción muy grave cuando afecte a datos especialmente privilegiados, como es el caso de los datos de salud, mientras que las demás cesiones que no tenga por objeto esta clase de datos se tipifican como falta grave en el artículo 44.3.k) LOPD , que se refiere a:

La comunicación o cesión de los datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave

De acuerdo con el artículo 128.2 de la ley 30/1992 , de 28 de noviembre, las disposiciones sancionadoras producirán efecto retroactivo en cuanto favorezcan al presunto infractor.

Esta Sala ha señalado en sentencias de 24 de enero de 2006 (recurso 419/2002 ), 31 de enero de 2007 (recurso 8873/2003 ) y 13 de febrero de 2008 (recurso 2110/2004 ), que el principio de retroactividad de las normas administrativas sancionadoras obliga a aplicar retroactivamente dichas normas en todo aquello que pudiera ser más beneficioso para el presunto infractor, y "...tal aplicación debe llevarse a cabo en cualquier instancia administrativa o judicial donde se encuentre pendiente de enjuiciamiento o ejecución una resolución sancionadora, ya que no tendría sentido confirmar judicialmente la legalidad de una resolución administrativa, según la normativa vigente cuando fue dictada, para que la Administración proceda a dictar seguidamente otra que aplique retroactivamente la nueva norma sancionadora más favorable, resolución esta última que podría ser objeto de un nuevo recurso judicial."

En aplicación del anterior criterio jurisprudencial procede que, no obstante la desestimación de los motivos del recurso de casación, apliquemos de forma retroactiva el nuevo régimen sancionador de la LOPD, más favorable para el recurrente al tipificar los hechos como falta grave, declarando procedente la sanción establecida por el artículo 45.2 LOPD para dichas faltas, en su cuantía mínima de 40.001 euros al no haber apreciado la resolución sancionadora la concurrencia de ningún criterio de graduación.

Al declararse no haber lugar al recurso de casación, procede condenar a la parte recurrente en las costas del mismo, de conformidad con la regla del artículo 139.2 LJCA , si bien, la Sala haciendo uso de la facultad que le confiere el apartado tercero del citado precepto, limita el importe máximo a reclamar por ese concepto en la cantidad de tres mil euros (3.000€) en concepto de honorarios del Abogado del Estado.

Por todo ello, en nombre de SM el Rey y en el ejercicio de la potestad que, emanada del pueblo español, nos concede la Constitución.