STS, 9 de Junio de 2014

La Sección Primera de la Sala de lo Contencioso Administrativo de la Audiencia Nacional, dictó sentencia el 1 de abril de 2011 , con los siguientes pronunciamientos en su parte dispositiva:

"Que inadmitimos el recurso contencioso administrativo interpuesto en nombre y representación de doña Amanda frente a la resolución de la Agencia Española de Protección de Datos de 27 de noviembre de 2009 que desestima el recurso de reposición frente a la anterior resolución de 24 de julio de 2009 que acuerda el archivo de actuaciones, resolución que se confirma, sin expresa condena en costas."

Notificada la sentencia, se presentó escrito por la representación procesal de Dª. Amanda , ante la Sala de lo Contencioso Administrativo de la Audiencia Nacional, manifestando su intención de interponer recurso de casación, y la Secretaria Judicial, por diligencia de ordenación de 1 de septiembre de 2011, tuvo por preparado el recurso, con emplazamiento de las partes ante esta Sala del Tribunal Supremo.

Con fecha 3 de noviembre de 2011, la parte recurrente presentó escrito de interposición del recurso de casación, en el que expuso los motivos en que se fundamentaba y solicitó a esta Sala que dicte sentencia por la que: a) se revoque y case la de instancia, ordenando a la Audiencia Nacional que resuelva sobre el fondo del recurso, y b) subsidiariamente, en caso de que la Sala lo considere conveniente, revoque la sentencia de instancia, y entre a conocer sobre el fondo del recurso, por razones de economía procesal.

Con fecha 19 de julio de 2012, la Sección 1ª de esta Sala del Tribunal Supremo dictó auto que declaró la inadmisión de los motivos primero y tercero del recurso de casación, y la admisión a trámite del resto de motivos del escrito impugnatorio.

Se dio traslado del escrito de interposición a las partes recurridas, para que manifestaran su oposición al recurso, lo que verificó el Abogado del Estado, en escrito de 26 de octubre de 2012, en el que solicitó a la Sala que dicte sentencia que desestime el recurso y confirme la sentencia recurrida, o subsidiariamente, en el caso de estimar esta casación, proceda a desestimar el recurso contencioso-administrativo interpuesto, y la representación del Banco Santander S.A., en escrito de 2 de noviembre de 2012, en el que solicitó a la Sala que dicte sentencia por la que desestime el recurso y confirme íntegramente la sentencia impugnada.

Conclusas las actuaciones, se señaló para votación y fallo el día 3 de junio de 2014, fecha en que tal diligencia ha tenido lugar.

Siendo Ponente el Excmo. Sr. D. Jose Maria del Riego Valledor, Magistrado de la Sala.

Se interpone recurso de casación contra la sentencia de la Sección 1ª de la Sala de lo Contencioso Administrativo de la Audiencia Nacional, de 1 de abril de 2011 , que inadmitió el recurso contencioso administrativo interpuesto por la representación de Dª. Amanda , aquí también parte recurrente, frente a la resolución de la Agencia Española de Protección de Datos, de 27 de septiembre de 2009, que desestimó el recurso de reposición contra la resolución de 24 de julio de 2009, que acordó no incoar actuaciones inspectoras y no iniciar procedimiento sancionador.

Hacemos una referencia a los antecedentes de la sentencia impugnada, para una mejor comprensión de las cuestiones planteadas.

Dña. Amanda presentó el 22 de abril de 2009 un escrito ante la Agencia Española de Protección de Datos (AEPD), en el que formuló denuncia contra el Banco de Santander por unos hechos que, resumidamente, consistieron en que la denunciante era titular de una cuenta corriente en una sucursal en Madrid del Bando de Santander, y empleados de la indicada entidad bancaria facilitaron los movimientos de dicha cuenta, sin su consentimiento, a su padre, que también era cliente del Banco de Santander, ocasionando dicha comunicación un gran disgusto familiar, a lo que añadió la denunciante que, con posterioridad a tales hechos, solicitó del Banco de Santander que le facilitara el acceso a sus ficheros, sin haber recibido contestación alguna.

El 19 de junio de 2009, Dña. Amanda presentó escrito de ampliación de hechos ante la AEPD, en el que puso en su conocimiento que en el mes de junio de 2008, una empleada del Banco de Santander efectuó otra comunicación a su padre, relativa a la posición deudora de la cuenta corriente de la denunciante, procediendo este a hacer un abono por transferencia desde su cuenta por el importe de la cantidad adeudada.

En resolución de 24 de julio de 2009, el Director de la AEPD acordó no incoar actuaciones inspectoras y no iniciar procedimiento sancionador, en base a diversos razonamientos, entre los que figuraba el siguiente: "en este sentido y para este caso, debemos determinar que no se han aportado en su escrito de denuncia elementos probatorios que nos permitan establecer de forma fehaciente que se hayan producido los hechos denunciados. Por tanto, en aplicación del principio "in dubio pro reo", en caso de duda respecto de un hecho concreto y determinante, no cabría activar un procedimiento sancionador, al no poder acreditarse suficientemente vulneración alguna de la LOPD" .

La denunciante interpuso recurso de reposición contra la anterior resolución, indicando que con su denuncia se acompañó documentación suficiente para acreditar el inadecuado proceder del Banco de Santander, sin que le sea exigible la aportación de elementos probatorios que permitan establecer de forma fehaciente que se hayan producido los hechos denunciados, pues a dicha prueba solo se puede llegar por un proceso de inspección de la AEPD.

El indicado recurso de reposición fue desestimado por la resolución del Director de la AEPD de 17 de noviembre de 2009, que insistió en que los escritos de denuncia y ampliación solo realizan manifestaciones sobre los hechos, sin aportar prueba alguna sobre la revelación a terceros que era el objeto de la denuncia, añadiendo respecto de la manifestación relativa al derecho de acceso, que podía la recurrente, si lo estimaba oportuno, solicitar la tutela de tal derecho ante la Agencia.

Dña. Amanda interpuso recurso contencioso administrativo contra la anterior resolución de la AEPD, solicitando en el suplico de su demanda la revocación de la misma y que se ordenara a la AEPD la apertura del expediente sancionador contra el Banco de Santander, o subsidiariamente, la realización de las actuaciones previas a que se refiere el artículo 122 del Reglamento de Desarrollo de la Ley Orgánica de Protección de Datos.

La sentencia de la Sección 1ª de la Sala de lo Contencioso Administrativo de la Audiencia Nacional, de 1 de abril de 2011 , acogió la excepción de falta de legitimación activa opuesta por el codemandado Banco de Santander e inadmitió el recurso contencioso administrativo.

El recurso de casación formulado por Dª. Amanda se articula en siete motivos, formulados al amparo de los apartados c ) y d) del artículo 88.1 de la Ley de la Jurisdicción , si bien, como hemos indicado con anterioridad, la Sección 1ª de esta Sala declaró, por auto de 19 de julio de 2012 , la inadmisión de los motivos primero y tercero, y la admisión a trámite del resto de los motivos.

El motivo segundo del recurso denuncia, por el cauce de la letra c) del artículo 88.1 LJCA , la incongruencia omisiva de la sentencia, que no ha resuelto las cuestiones planteadas en la demanda.

El motivo cuarto, amparado en la letra d) del artículo 88.1 LJCA , aduce vulneración del artículo 19.1 LJCA , al efectuar la sentencia recurrida una interpretación restrictiva de la legitimación activa de la parte recurrente.

El motivo quinto denuncia vulneración por inaplicación de los artículos 1 y 2 LJCA , ya que la resolución de la AEPD es un acto administrativo y, por tanto, revisable en vía contencioso administrativa.

El motivo sexto alega la infracción por inaplicación del artículo 7, apartados 1 y 2 LOPJ , en conexión con los artículos 24 y 53.2 CE , sobre el derecho a la tutela judicial efectiva, en su vertiente de acceso a la jurisdicción y a obtener una resolución fundada en derecho, vulnerados por la sentencia que inadmite el recurso.

El motivo séptimo denuncia la infracción por inaplicación del artículo 7.3 LOPJ , al no haber protegido la Sala de instancia los derechos e intereses legítimos de la recurrente.

Como hemos indicado, el motivo segundo del recurso de casación denuncia, al amparo del motivo de la letra c) del artículo 88.1 LJCA , que la sentencia recurrida incurrió en incongruencia, porque al haberse inadmitido de forma contraria a derecho el recurso, la sentencia recurrida no resolvió las cuestiones planteadas en la demanda, con vulneración por tanto del artículo 67.1 LJCA , que dispone que las sentencias decidirán todas las cuestiones controvertidas en el proceso, y con vulneración también del artículo 24 CE .

El motivo no puede tener acogida, pues en este caso la Sala de instancia ha apreciado la concurrencia de una causa de inadmisión del recurso, por falta de legitimación de la parte que lo interpuso, prevista en el apartado b) del artículo 69 de la Ley de la Jurisdicción , siendo el efecto de las causas de inadmisibilidad, que cuestionan la concurrencia de los presupuestos del proceso, en caso de que prosperen, la de constituir un óbice que impide el examen y pronunciamiento por el órgano judicial sobre los problemas de fondo planteados en autos.

En este sentido el Tribunal Constitucional ha señalado con reiteración, entre otras muchas en las SSTC 61/2000 y 17/2011 , que el derecho a la tutela judicial efectiva consagra el derecho fundamental a que un Tribunal resuelva de forma razonada y fundada en derecho sobre las pretensiones oportunamente deducidas ante él, si bien se trata de un derecho prestacional de configuración legal, cuyo ejercicio y dispensación están supeditados a la concurrencia de los presupuestos y requisitos que haya establecido el legislador, de forma que el derecho a la tutela judicial efectiva "se satisface igualmente cuando los órganos judiciales pronuncian una decisión de inadmisión o meramente procesal, apreciando razonadamente la concurrencia de un óbice fundado en un precepto expreso de la ley que, a su vez, sea respetuoso con el contenido esencial del derecho fundamental."

Por las razones anteriores, procede la desestimación de este motivo segundo del recurso de casación.

Examinamos conjuntamente los motivos cuarto y séptimo del recurso, por encontrarse estrechamente relacionados. El motivo cuarto considera infringido el artículo 19.1 LJCA , por la apreciación por la sentencia recurrida de la falta de legitimación de la recurrente para impugnar la resolución de la AEPD, y en relación con la interpretación restrictiva del concepto de interesado efectuada por la sentencia recurrida, el motivo séptimo del recurso resalta que la recurrente no solicitó en la instancia la imposición de una sanción al Banco de Santander, sino simplemente que la Agencia iniciara, como era su obligación legal, las actuaciones inspectoras, no que archivara de plano, sin más, es decir, no solicitaba la imposición de una sanción, sino que el órgano administrativo abriera las actuaciones pertinentes, como le obliga la LOPD y su Reglamento y, una vez tramitadas, dicte la resolución correspondiente.

La sentencia impugnada, tras la cita de las sentencias de esta Sala de 16 de diciembre de 2008 (recurso 6339/2004 ) y 6 de octubre de 2009 (recurso 4712/2005 ), y después de analizar las pretensiones de la recurrente deducidas en la demanda, llegó a la conclusión de que "la denunciante carece tanto de un derecho subjetivo como de un interés legítimo a que el Banco denunciado pueda ser considerado infractor de la LOPD, por lo que deviene aplicable la excepción de falta de legitimación activa del Art. 69.b) de la Ley 29/1998 " .

Para la sentencia recurrida (FD 3º), las pretensiones que la recurrente formuló en su demanda fueron "que se declare que el Banco codemandado ha cometido una infracción, por considerar que su intervención en los hechos en que se sustentó el procedimiento que finalizó mediante la resolución de archivo combatida, vulnera la legislación de protección de datos, concretamente el deber de secreto del articulo 10 LOPD " .

La Sala aprecia que la sentencia recurrida ha cometido una equivocación al ponderar la pretensión que la parte recurrente dedujo en su demanda, pues esta no fue, como recoge la sentencia impugnada, la de obtener de la Sala de instancia una declaración de que el Banco codemandado cometió una infracción por vulnerar la legislación de protección de datos, sino más precisamente, lo que la parte recurrente pretendía en el recurso, según expone en el suplico de la demanda, fue que la Sala de instancia dictara sentencia que revocara la resolución impugnada de la AEPD, "ordenando a la misma la apertura de expediente sancionador contra el Banco de Santander SA o, subsidiariamente la actuación previa recogida en el artículo 122 del Reglamento de Desarrollo ."

La jurisprudencia que cita la sentencia impugnada, como fundamento de su decisión de inadmisión del recurso por falta de legitimación activa de la parte recurrente, está constituida por las sentencias de esta Sala de 16 de diciembre de 2008 (recurso 6339/2004 ) y 6 de octubre de 2009 (recurso 4712/2005 ), que recayeron en recursos que presentan como característica que, en la vía administrativa, tras la interposición de una denuncia, la AEPD realizó actuaciones dirigidas a la constatación de los hechos objeto de denuncia, de suerte que la decisión de archivo del expediente fue adoptada por la AEPD tras esa actividad investigadora y de comprobación de los hechos, y como consecuencia de ella.

En este contexto que acabamos de exponer, es decir, en supuestos en los que la Administración había desarrollado una actuación de averiguación y comprobación de los hechos denunciados, las sentencias de esta Sala, citadas por la sentencia recurrida, efectuaron las declaraciones de que el denunciante no tiene un derecho subjetivo ni un interés legítimo a que el denunciado sea sancionado. En concreto, la STS de 15 de diciembre de 2008 declaró que el denunciante carecía de legitimación para la pretensión ejercitada en el recurso, que había sido era la de obligar a la AEPD a sancionar a la entidad denunciada por falta grave, y la STS de 29 de septiembre de 2009 estimó que la sentencia impugnada había incurrido en incongruencia, porque el suplico de la demanda se limitó a pedir la nulidad de la resolución de la AEPD y la sentencia impugnada fue más allá y ordenó la retroacción de actuaciones a fin de imponer la sanción administrativa que corresponda.

Pero la anterior doctrina jurisprudencial que niega que el denunciante, en los casos examinados, tuviera un derecho subjetivo o interés legítimo a que el denunciado fuera sancionado, no es aplicable en el presente caso, en el que, como antes se ha dicho, la pretensión ejercitada por la parte recurrente no era la de que el denunciado fuera sancionado, sino la distinta de que la AEPD iniciara el procedimiento sancionador o las actuaciones previas al mismo, previstas en el artículo 122 del Reglamento de Desarrollo de la Ley Orgánica de Protección de Datos, aprobado por RD 1720/2007, de 21 de diciembre.

A diferencia de los supuestos examinados en las sentencias de esta Sala citadas por la sentencia de instancia, en la que como hemos repetido la AEPD había realizado actuaciones de investigación y comprobación en relación con los hechos denunciados, en el caso de autos la AEPD acordó a limine el archivo de la denuncia, sin llevar a cabo ninguna actividad tendente a la comprobación de los hechos denunciados.

En tal situación, es de aplicación la doctrina jurisprudencial de esta Sala, recogida en las sentencias de 17 de marzo de 2010 (recurso 322/2009 ), 10 de noviembre de 2010 (recurso 66/2010 ), 10 de octubre de 2012 (recurso 367/2011 ), 14 de noviembre de 2012 (recurso 192/2012 ), 8 y 9 de mayo de 2013 ( recursos 266/2012 y 412/2012 ), y otras muchas, recaídas en relación con expedientes sancionadores del Consejo General del Poder Judicial, que también ha sido aplicada en el ámbito que nos ocupa del ejercicio de las potestades sancionadoras de la AEPD, en sentencia de 24 de enero de 2013 (recurso 51/2010 ), que "reconoce legitimación al denunciante para demandar el desarrollo de la actividad investigadora que resulte conveniente para la debida averiguación de los hechos que hayan sido denunciados, pero no para que esa actividad necesariamente finalice en una resolución sancionadora: y esto último porque la imposición de una sanción a la persona denunciada, al no producir efecto positivo alguno en la esfera jurídica del denunciante, ni eliminar carga o gravamen de clase alguna en dicha esfera, no encarna el interés real que resulta necesario para que pueda ser apreciada la legitimación que, como inexcusable presupuesto del proceso contencioso administrativo, exige el artículo 19 de la Ley Jurisdiccional ."

De acuerdo con lo anterior, a la vista de cual fue la pretensión deducida por la parte recurrente en su demanda, y en aplicación de la citada doctrina jurisprudencial de esta Sala, que reconoce legitimación al denunciante para demandar el desarrollo de la actividad investigadora que resulte conveniente para la debida averiguación de los hechos denunciados, se estiman los motivos cuarto y séptimo del recurso de casación.

La estimación de dichos motivos hace innecesario el examen de los motivos quinto y sexto del recurso de casación.

De conformidad con el artículo 95.2.d) LJCA , al haberse estimado los indicados motivos del recurso de casación, procede que la Sala resuelva lo que corresponda dentro de los términos en que hubiera quedado planteado el debate.

No cabe acoger la causa de inadmisibilidad del recurso contencioso administrativo, opuesta por el codemandado Banco de Santander, en aplicación del reiterado criterio jurisprudencial de esta Sala, citado en el Fundamento de Derecho anteior.

El reconocimiento de la legitimación de la parte recurrente circunscribe el recurso a la cuestión de dilucidar si la AEPD realizó una actividad investigadora que resultara acorde o proporcionada con los hechos que fueron denunciados.

En el primer escrito de denuncia, la recurrente puso en conocimiento de la AEPD dos hechos distintos, por un lado, la comunicación sin su consentimiento por el Banco denunciado de los movimientos de su cuenta corriente a un tercero (a su padre), y por otro lado, la falta de contestación del Banco denunciado a su solicitud de acceso a sus datos personales.

En la resolución de la AEPD, que resolvió el recurso de reposición de la denunciante contra la decisión de no incoar actuaciones inspectoras ni iniciar procedimiento sancionador, se efectúa la indicación de que el archivo se refiere a la denuncia de la comunicación a terceros de los movimientos de la cuenta bancaria, y que en relación con el ejercicio del derecho de acceso, podía la denunciante solicitar la tutela de tal derecho ante la propia AEPD, lo que verificó la denunciante en escrito de 23 de diciembre de 2009, de solicitud de tutela de la AEPD al amparo del artículo 18 LOPD , incoándose el expediente NUM000 , en el que recayó resolución del Director de la AEPD de estimación de la reclamación, instando al Banco de Santander para que remitiera a la reclamante certificación en la que se facilite el acceso completo a sus datos, procediendo el Banco de Santander, conforme con lo requerido por la AEPD, a comunicar a la recurrente los datos de carácter personal existentes en sus ficheros, como resulta de la documentación aportada por el Banco codemandado en la pieza de prueba del recurso contencioso administrativo.

Por tanto, en lo que interesa al presente recurso, los hechos objeto de denuncia que hemos de tomar como referencia en nuestra indagación sobre la respuesta de la AEPD, son los relativos a la comunicación por el Banco denunciado a un tercero, sin autorización de la denunciante, de determinados movimientos de su cuenta corriente.

Como hemos indicado con anterioridad, tras la denuncia de los citados hechos, la única actuación de la AEPD fue el acuerdo de "no incoar actuaciones inspectoras y no iniciar el procedimiento sancionador" .

Desde luego, y como se ha dicho por esta Sala en sentencia de 27 de junio de 2012 (recurso 252/2008 ), el interés del denunciante se ve satisfecho también en las decisiones de archivo, pero siempre que estas se funden en una motivación que, por ser razonable, sea jurídicamente asumible.

La decisión de la AEPD de no incoar actuaciones inspectoras ni iniciar el procedimiento sancionador no cuestiona la falta de contenido de la denuncia, pues reconoce que la misma refiere la comunicación indebida a un tercero de datos personales de la denunciante por parte de la entidad bancaria denunciada, sino que se basa dicha decisión de archivo en la circunstancia de no haberse aportado con el escrito de denuncia "elementos probatorios que nos permitan establecer de forma fehaciente que se hayan producido los hechos denunciados" .

Sin embargo, la denuncia aporta datos suficientes para la identificación de fechas, autores y lugar de los hechos a que se refiere, sin que la exigencia de la AEPD de elementos probatorios en la propia denuncia, que acrediten de forma fehaciente los hechos denunciados, pueda estimarse conforme con las funciones que el artículo 37.1, letras a), d ) y g) de la LOPD asigna a la AEPD de velar por el cumplimiento de la legislación sobre protección de datos, atender las peticiones y reclamaciones formuladas por las personas afectadas y ejercer la potestad sancionadora, ni con el diseño del procedimiento sancionador en el Reglamento de Desarrollo de la LOPD, ya citado, que en el artículo 122 prevé la realización de actuaciones previas a la iniciación del procedimiento sancionador, con el objeto de determinar, "con la mayor precisión posible, los hechos que pudieran justificar la incoación del procedimiento, identificar la persona u órgano que pudiera resultar responsable y fijar las circunstancias relevantes que pudieran concurrir en el caso", atribuyendo el artículo 123 del Reglamento la realización de estas actuaciones previas a los inspectores de la AEPD, a quienes el articulo 124 autoriza para recabar cuantas informaciones precisen para el cumplimiento de sus cometidos.

Por tanto, la decisión de la AEPD de no incoar actuaciones inspectoras y no iniciar el procedimiento sancionador no puede estimarse acorde ni proporcionada con las funciones que le reconoce la LOPD y su Reglamento de Desarrollo, en relación con la concreta denuncia formulada por la recurrente, que daba noticia de unos hechos que la propia resolución de archivo la AEPD no consideró carentes de contenido -en principio- contrario a la legislación de protección de datos personales, por lo que procede la estimación del recurso contencioso administrativo, con la consecuencia de la anulación de las resoluciones de la AEPD de 24 de julio de 2009, que acordó no incoar actuaciones inspectoras y no iniciar procedimiento sancionador, y de 27 de septiembre de 2009, de desestimación del recurso de reposición, para que la AEPD lleve a cabo la actividad procedente para llegar a la resolución que corresponda.

Por disposición de los apartados 1 y 2 del artículo 139 LJCA , al haber sido estimado el recurso de casación no procede la imposición de las costas ocasionadas en el mismo, sin que proceda tampoco la imposición de las costas de la instancia, al no apreciarse temeridad o mala fe.