ATS, 5 de Julio de 2019

La Sala de lo Contencioso-Administrativo de la Audiencia Nacional - Sección Primera- dictó sentencia de fecha 11 de mayo de 2018 , en el procedimiento ordinario n.º 126/2016, por la que se desestimaba el recurso contencioso-administrativo interpuesto contra la resolución de la Agencia Española de Protección de Datos de 21 de enero de 2016 que confirma en reposición la anterior resolución de 24 de noviembre de 2015, por la que se impuso a dicha entidad una multa de 40.001 euros.

La sentencia de la Sala de instancia desestimó el recurso contencioso-administrativo en base a los siguientes argumentos:

En primer lugar, la Sala rechaza la prescripción de la infracción (dos años para la infracción grave que se imputa) por considerar que el dies a quo ha de ser el día en que el denunciante recibió los envíos de publicidad que han dado lugar a las actuaciones en su dirección de correo electrónico, sin que desde dicha fecha hasta la iniciación del procedimiento sancionador en fecha 1 de junio de 2015, haya transcurrido el plazo de prescripción.

En segundo lugar, en lo que respecta al fondo del asunto, la Sala de instancia consideró acreditado que la solicitud formal del ejercicio del derecho de oposición fue formulada por el denunciante el mes de diciembre de 2011, desde cuando no recibió ninguna comunicación publicitaria desde una dirección concreta de la titularidad de Mutua Madrileña en su correo electrónico wanadoo. La Sala tiene, asimismo, por probado que el día 5 de diciembre de 2014, el denunciante recibió en su dirección de correo de gmail una comunicación comercial ofertando seguros de coche y moto comercializados por la aseguradora Mutua Madrileña. Igualmente, consideró acreditado que Mutua Madrileña y la entidad Datono suscribieron un contrato de agencia, con fecha 8 de enero de 2013, conforme al cual esta última entidad comercializaría en territorio español los diferentes productos de seguros de Mutua. Dicho contrato incluía una cláusula conforme el agente utilizaría bases de datos de terceros para realizar envíos de mail, y se advertía que Mutua era totalmente ajena a la obtención y generación de los leads (contactos útiles), siendo responsabilidad del agente el cumplimiento de todos los aspectos derivados de la protección de datos de carácter personal.

Según pone de manifiesto la sentencia de instancia, con fecha 12 de agosto de 2014, Datono y otra entidad denominada Linkemann suscribieron un contrato a fin de realizar una campaña de publicidad en el ámbito de los seguros privados y la entidad Roiandco fue contratada por Linkeman para realizar la campaña de Mutua Madrileña a la que corresponde el correo comercial recibido por el denunciante.

La Sala confirma la resolución sancionadora en base a considerar que Mutua Madrileña debería haber anotado en sus sistemas no solo el dato del correo de wanadoo (que figuraba en sus ficheros como excluido), sino también el terminado en gmail, a los efectos de excluir el tratamiento publicitario de los datos personales del mismo, y que dicha entidad no proporcionó a Datono, a la que encomendó la realización de la campaña de generación de leds, ningún fichero de exclusión creado con arreglo a lo previsto del artículo 48 del Reglamento de la Ley Orgánica de Protección de Datos .

La Sala de instancia expone la doctrina jurisprudencial relativa al "responsable" y al "encargado" del tratamiento de los datos, siendo al responsable a quien la Ley impone las obligaciones derivadas del régimen jurídico de la protección de datos y quien ha de sufrir las sanciones junto con el encargado del tratamiento.

Concluye el órgano a quo que la concurrencia de un encargado del tratamiento (Datono) en absoluto exime de responsabilidad a la entidad Mutua Madrileña, y ello con independencia de las cláusulas del contrato y anexo del mismo, en cuanto los datos personales tratados lo fueron para llevar a cabo una campaña publicitaria respecto de seguros de coche y moto que comercializaba la Mutua Madrileña, siendo, por tanto, tal entidad la que, en último término, determina los fines y medios del repetido tratamiento de datos, por lo que no puede ser exonerada de responsabilidad.

Por el procurador D. Jorge Deleito García, en representación de la entidad Mutua Madrileña Automovilista Sociedad de Seguros a Prima Fija, se presentó escrito de preparación de recurso de casación contra la mencionada sentencia, en la cual, tras razonar sobre la presentación del recurso en plazo, su legitimación y la recurribilidad de la resolución, identificó como normas infringidas:

Los artículos 30.4 , 44.3.e ) y 47 de la Ley Orgánica 15/1999, de Protección de Datos de carácter personal; los artículos 35.3 , 46 , 47 , 48 y 49 del Real Decreto 1720/2007 , por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999; el artículo 38.4 de la Ley 34/2002, de Servicios de la Sociedad de la Información ; y los artículos 24 y 120.3 de la CE y 67 de la LJCA .

Argumenta, en síntesis, la entidad recurrente que no facilitó a Datono Business Process los parámetros identificativos de los envíos ni ningún dato personal de los destinatarios de la campaña, sino que las bases de datos de las que surgieron las direcciones de correos electrónicos a las que se envían las comunicaciones son las de Datono y sus proveedores. Cuestiona la demandante que no sea suficiente con la introducción de cautelas contractuales que disciplinen la actuación de terceros contratantes, sino que sea obligatorio que el operador que contrata la campaña elabore un fichero de exclusión y lo facilite a la contraparte contractual incluso cuando los datos que se emplean son responsabilidad de Datono y no de la entidad demandante.

Tras expresar la entidad recurrente el juicio de relevancia de las infracciones imputadas sobre la decisión adoptada, argumentó que el recurso de casación presenta interés casacional objetivo conforme a los siguientes apartados del artículo 88 de la LJCA :

1. Artículo 88.3.a), por considerar que no existe jurisprudencia sobre los preceptos que considera infringidos, y, en particular sobre la determinación de si en la contratación de campañas con terceros en las que el contratante no facilita los leads , sino que los obtiene de un tercero a partir de sus propias bases de datos, es obligatorio que el contratante elabore y facilite a ese tercero un fichero de exclusión; ni tampoco sobre el modo en el que ha de computarse el plazo de prescripción de la infracción.

2. Artículo 88.2.b), por considerar la parte que la generalización de la doctrina provocaría la generalizada creación y entrega a compañías de marketing de ficheros de datos personales.

Mediante auto de 23 de enero de 2019, la Sala de la Audiencia Nacional tuvo por preparado el recurso de casación, ordenando el emplazamiento de las partes para su comparecencia ante esta Sala de lo Contencioso-Administrativo del Tribunal Supremo en el plazo de treinta días, con remisión a esta Sala de los autos originales y del expediente administrativo, personándose la parte recurrente mediante escrito de 24 de febrero de 2019.

Mediante escrito de fechado el día 3 de abril de 2018 se personó ante esta Sala del Tribunal Supremo, en calidad de recurrido, el Abogado del Estado.

Seguidamente, se pasaron los autos al Excmo. Sr. Magistrado ponente para dictar la resolución procedente.

Es Magistrado Ponente el Excmo. Sr. D. Fernando Roman Garcia, Magistrado de la Sala.

Procede, en primer lugar, poner de manifiesto que el escrito de preparación presentado por la parte cumple con los requisitos formales que prevé el artículo 89.2 de la Ley Jurisdiccional , identificando, en particular, con precisión, las normas que la parte considera infringidas, indicadas más arriba, así como fundamentando, con singular referencia al caso, los supuestos que, con arreglo a los apartados 2 y 3 del artículo 88 de la Ley Jurisdiccional , permiten apreciar el interés casacional objetivo y la conveniencia de un pronunciamiento de la Sala de lo Contencioso-Administrativo del Tribunal Supremo.

La sentencia contra la que se prepara el recurso de casación confirma la decisión de la Administración, al considerar, en síntesis, conforme a Derecho la imputación a la entidad aseguradora Mutua Madrileña de una conducta consistente el impedimento del ejercicio del derecho de oposición del denunciante respecto del uso publicitario de dos cuentas de correo electrónico en cuanto a la campaña de email marketing de generación de contactos útiles, y ello con independencia de la contratación de una entidad encargada del tratamiento de datos, quien llevó a cabo la campaña publicitaria. Además, rechazó la prescripción de la infracción por considerar que el plazo de prescripción ha de computarse desde el recibió de los envíos publicitarios y no desde el momento de ejercicio del derecho de oposición.

Por su parte, la entidad recurrente considera que la existencia de un contrato que discipline la actuación de los terceros contratantes debe eximirle, en el presente caso, de responsabilidad y, además, manifiesta que la infracción habría prescrito al haber transcurrido dos años desde el ejercicio del derecho de oposición.

La Ley Orgánica 7/2015, de 21 de julio, por la que se modifica la Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial, introduce en su disposición final tercera una reforma del recurso casación contencioso-administrativo con la finalidad de intensificar las garantías en la protección de los derechos de los ciudadanos. Tal y como señala en el preámbulo de la Ley "[...] con la finalidad de que la casación no se convierta en una tercera instancia, sino que cumpla estrictamente su función nomofiláctica, se diseña un mecanismo de admisión de los recursos basado en la descripción de los supuestos en los que un asunto podrá acceder al Tribunal Supremo por concurrir un interés casacional [...] . Es, por tanto, carga del recurrente argumentar de forma suficiente las razones por las cuales concurre el interés casacional objetivo para la formación de jurisprudencia, sin que la mera invocación de los supuestos previstos en la norma satisfaga dicha necesidad.

En el escrito de preparación se invoca, entre otras circunstancias, el apartado a) del artículo 88.3 para razonar la concurrencia del interés casacional. Al respecto conviene aclarar que la presunción recogida en este precepto no es absoluta pues el propio artículo 88.3 in fine, permite inadmitir (mediante "auto motivado") los recursos inicialmente beneficiados por la misma cuando este Tribunal Supremo "aprecie que el asunto carece manifiestamente de interés casacional objetivo para la formación de jurisprudencia" . Con relación a este inciso, esta Sección ya ha realizado algunas precisiones:

1. Por tal "asunto" ha de entenderse no tanto el tema litigioso de la instancia, globalmente considerado, sino más bien el que la propia parte recurrente plantea en su escrito de preparación, pues es a este al que se refiere, al fin y al cabo, el juicio sobre el interés casacional que justifica la admisión del recurso; y

2. La inclusión del adverbio "manifiestamente" implica que la carencia de interés ha de ser claramente apreciable sin necesidad de complejos razonamientos o profundos estudios del tema litigioso (así se caracterizó por la jurisprudencia constante esta locución al hilo del antiguo artículo 93.2.d) LJCA en su inicial redacción, que configuraba como causa de inadmisión del recurso de casación la consistente en carecer manifiestamente de fundamento el recurso). Así, el recurso podrá ser inadmitido mediante auto, según lo previsto en el artículo 88.3 in fine , precisamente por carecer manifiestamente de interés casacional objetivo para la formación de la jurisprudencia, si se pretende anudar el interés casacional a infracciones normativas circunscritas a las concretas vicisitudes del caso litigioso sin trascender a cuestiones dotadas de un mayor contenido de generalidad o con posible proyección a otros litigios (así, ATS de 7 de marzo de 2017, RCA 150/2016 ).

Pues bien, en primer lugar, debemos poner de manifiesto que la materia objeto del litigio ha sido objeto de una profunda reforma legislativa plasmada en la Ley Orgánica 3/2016, de 5 de diciembre, de Protección de Datos Personales y garantía de derechos digitales, que ha derogado la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en cuyo artículo 44.3.e ) se encuentra tipificada la infracción apreciada por la Administración. Es cierto, en este sentido, que esta Sección de admisión ha puesto reiteradamente de manifiesto, en ATS, entre otros, de 2 de noviembre de 2017 (RCA 2827/2017 ), que:

"[...] cuando la controversia planteada en el proceso versa sobre la aplicación de normas derogadas, la apreciación del interés casacional pasa por constatar que a pesar de tal derogación, aun así, la resolución del litigio sigue presentando interés, artículo 88.1 LJCA . Por ejemplo, porque la norma derogada ha sido sustituida por otra que presenta -en cuanto importa- el mismo o similar contenido; o porque a pesar de tal derogación la cuestión interpretativa del Derecho planteada resulte susceptible de seguir proyectándose sobre litigios futuros; o cuando el tema debatido en el proceso presenta en sí mismo una trascendencia social y/o económica de tal magnitud que hace preciso su esclarecimiento por este Tribunal Supremo."

Y añadíamos que:

"Cabe incluso convenir que en estos casos, cuando el Derecho que se cita como infringido ha sido sobrevenidamente derogado, constituye carga procesal de la parte recurrente efectuar, a la hora de cumplir con el requisito del artículo 89.2.f) LJCA , un razonamiento convincente que justifique lo que se acaba de razonar. Es decir, que pese a la derogación, la resolución del recurso sigue presentando interés casacional desde el punto de vista para la formación de jurisprudencia."

Sin embargo, la anterior doctrina no puede dar lugar, en el presente caso, a la inadmisión del recurso. En primer lugar, por cuanto la infracción apreciada por la Administración está igualmente contemplada en la vigente legislación, como se constata al examinar los artículos 21 del Reglamento 2016/679/UE, de 27 de abril y el artículo 18 de la Ley Orgánica 3/2018 , regulador del derecho de oposición; así como los artículos 24 y siguientes del Reglamento y 28 y siguientes de la Ley Orgánica, en los que se regula el ámbito de responsabilidad del responsable y del encargado del tratamiento; y el artículo 72.1.k) de la nueva Ley Orgánica, donde se tipifica como infracción muy grave el impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679; y, en segundo lugar, por cuanto el escrito de preparación del recurso es anterior a la entrada en vigor de la nueva Ley Orgánica de Protección de Datos Personales, por lo que no resulta exigible la carga procesal que se ha dejado expuesta.

Despejada, pues, la cuestión relativa a la sobrevenida derogación de las normas implicadas, entendemos que las cuestiones jurídicas suscitadas en este recurso revisten interés casacional objetivo para la formación de la jurisprudencia, pues, además de no existir jurisprudencia sobre los preceptos considerados infringidos, no cabe duda de que trascienden del caso concreto objeto del proceso.

Así, la cuestión suscitada en la preparación del recurso de casación, en lo que se refiere al fondo del asunto, consiste en precisar el sujeto activo de la infracción tipificada en el artículo 44.3.e) de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal , en los supuestos de una entidad responsable del tratamiento de datos personales, ante la que se ha formulado por un interesado el derecho de oposición al mismo, en aquellos casos en los que, mediando un contrato que tiene por objeto una campaña publicitaria de productos y servicios de la primera, la utilización de los datos es llevada a cabo por la entidad contratista, encargada del tratamiento, que ha asumido contractualmente el cumplimiento de la legislación de protección de datos de carácter personal, con correlativa exclusión de la responsabilidad de la entidad responsable de la obtención y generación de los datos. La entidad recurrente sostiene dicha exclusión de responsabilidad, entendiendo que la misma le corresponde exclusivamente a la entidad encargada del tratamiento, mientras que la sentencia de la Sala de instancia considera conforme a derecho la atribución de la infracción a la entidad responsable del tratamiento, por cuanto la campaña publicitaria fue encargada por la misma y se refería a sus productos y servicios.

En consecuencia, la cuestión que presenta interés objetivo casacional, a juicio de esta Sección de Admisión, consiste, en primer lugar, en precisar si una entidad responsable del tratamiento de datos personales está obligada a proporcionar a una entidad contratista, encargada del tratamiento de los datos para una actividad publicitaria de productos y servicios de la primera, un fichero de exclusión del envío de comunicaciones comerciales contemplado en el artículo 48 del Real Decreto 1720/2007, de 21 de diciembre ; y, en segundo lugar, si dicha entidad responsable puede quedar exonerada de la infracción tipificada en el artículo 44.3.e) de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal , en virtud de las cláusulas del contrato celebrado con la entidad encargada del tratamiento de los datos.

La apreciación de interés casacional en la referida cuestión, determinante de la admisión a trámite del recurso, hace innecesario que esta Sección de Admisión se pronuncie sobre el resto de cuestiones suscitadas, sin perjuicio de lo que sobre las mismas resuelva, en su caso, la Sección de enjuiciamiento, conforme establece el artículo 93.1 de la Ley Jurisdiccional .

Por tanto, en virtud de lo dispuesto en los artículos 88.1 y 90.4 de la LJCA , procede admitir a trámite el recurso de casación preparado por el Letrado de la Comunidad de Madrid, contra la sentencia de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional de fecha 1 de diciembre de 2017, dictada en el recurso contencioso- administrativo n.º 1558/2015 .

Y, a tal efecto, precisamos que la cuestión en la que se entiende que existe interés casacional objetivo para la formación de jurisprudencia es la mencionada en el razonamiento anterior, y señalamos que las normas jurídicas que, en principio, deberán ser objeto de interpretación son los artículos 4, apartados 7 ) y 8 ), 24 , 28 y 82.2 del Reglamento 2016/679/UE, de 27 de abril, del Parlamento Europeo ; artículos 3 d ) y g ), 30.4 , y 44.3.e) de la Ley Orgánica 15/1999, de Protección de Datos de carácter personal; y los artículos 5.i) y q ), 35.3 , 46 , 47 , 48 , 49 y 51.1 del Real Decreto 1720/2007 , por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999.

Conforme a lo dispuesto en el art. 90.7 de la LJCA , este auto se publicará en la página web del Tribunal Supremo.

Procede comunicar inmediatamente a la Sala de instancia la decisión adoptada en este Auto, como dispone el artículo 90.6 de la LJCA y conferir a las actuaciones el trámite previsto en los artículos 92 y 93 de la LJCA , remitiéndolas a la Sección Tercera de esta Sala, competente para su sustanciación y decisión de conformidad con las reglas de reparto.