ATS, 5 de Diciembre de 2019

La Sección Primera de la Sala de lo Contencioso-administrativo de la Audiencia Nacional ha dictado, con fecha 12 de febrero de 2019, en el recurso contencioso- administrativo n.º 811/2016, sentencia cuyo fallo es del siguiente tenor literal: "Desestimar el presente recurso nº 811/2016, interpuesto por la procuradora Sra. González Rivero, en la representación que ostenta, contra la resolución de la Agencia Española de Protección de Datos descrita en el primer fundamento de derecho, que se confirma por ser conforme a derecho".

La resolución administrativa, dictada por el Director de la Agencia Española de Protección de Datos, con fecha 28 de julio de 2016, impuso a la entidad demandante una multa de 60.000 euros como responsable de una infracción grave del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), en relación con el artículo 44.3.b) de la LOPD.

La infracción administrativa apreciada tuvo su origen en la comunicación comercial recibida por un denunciante en su domicilio en relación con la invitación a un evento a celebrar en el Hotel NH Collection Palacio de Avilés de la entidad Sistemas Médicos Profesionales (en la actualidad PLENISAN). Según apreció la Administración, dicha entidad utilizó, para la campaña publicitaria, datos procedentes de un fichero propiedad de la entidad Marco Select Print (MSP). Plenisan tiene un contrato con esta última entidad en cuya ejecución ésta genera un fichero para acciones comerciales, previa segmentación con los criterios proporcionados por Plenisan. La Administración tuvo por probado que MSP es responsable del fichero automatizado donde constan los datos de la denunciante, del cual, tras la determinación por parte de PLENISAN de la localidad donde se realiza el evento comercial, con unos determinados parámetros de registros, MSP genera un fichero sobre el que Meydis realiza un tratamiento de datos para realizar las acciones publicitarias, entre los que se encuentran los del denunciante, cuyo consentimiento no ha podido acreditarse.

La Administración consideró que los hechos son constitutivos de una infracción grave prevista en el artículo 6.1 y 44.3.b) de la LOPD.

La Sala de instancia rechaza, en primer lugar, la caducidad de las actuaciones de investigación previas al expediente sancionador, por cuanto entiende que no ha transcurrido el plazo máximo de doce meses para la duración de las mismas establecido en el artículo 122.4 del Reglamento de desarrollo de la LOPD, atendida la fecha de notificación a la entidad sancionada del acuerdo de incoación.

En segundo lugar, rechaza la infracción del artículo 4.6 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento de procedimiento para el ejercicio de la potestad sancionadora, por entender que no concurren los elementos para apreciar la existencia de una infracción continuada, según doctrina jurisprudencial del Tribunal Supremo, atendida la particular naturaleza del bien jurídico protegido, que son los datos personales de las personas físicas, por lo que la utilización sin consentimiento de los mismos constituye una infracción individualizada, con independencia de que esa utilización o tratamiento de datos se lleve a cabo el marco de una campaña publicitaria contratada entre diversas empresas y con múltiples destinatarios seleccionados, y añade que, a lo sumo, podría apreciarse infracción continuada si los datos de un mismo titular objeto de tratamiento inconsentido en diferentes ocasiones próximas en el tiempo, y no tratándose de diferentes destinatarios dentro de la misma o diferente campaña publicitaria.

En tercer lugar, desestima la infracción relativa a la fraudulenta incoación de las actuaciones previas por parte de la AEPD, argumentando que es de la competencia de la Agencia determinar si concurren o no las circunstancias que justifican la apertura del procedimiento sancionador y razona sobre la pertinencia de las actuaciones contenidas en el expediente, sin que la parte haya aportado prueba alguna que justifique el uso desviado de las mismas.

Desestima, a continuación, la infracción relativa al principio de presunción de inocencia por entender que la denegación de la prueba propuesta por Meydis en el procedimiento sancionador está plenamente argumentada y también rechaza la vulneración de la doctrina del levantamiento del velo, por cuanto la Sala tiene por acreditado, a través de indicios, que la entidad sancionada era la responsable del tratamiento, ya que las únicas comunicaciones que constan son las practicadas entre Plenisan y Meydis, sin que se haya probado la existencia de instrucciones de Macro Select como encargada de tratamiento, por lo que deduce que la verdadera responsable del tratamiento era Meydis.

Rechaza, por último, la aplicación retroactiva del Reglamento (UE) 2016/679, de 27 de abril, por entender que, si bien dicha aplicación retroactiva sería posible en caso de considerarse lícito un tratamiento de datos como el realizado por la recurrente, en este caso no ocurre así. Señala la Sala, en este sentido, que el artículo 6.1.f) del Reglamento europeo no establece una presunción de legitimidad del tratamiento ni puede contemplarse de forma aislada. Y de la interpretación conjunta del mencionado artículo 6.1.f) en relación con el artículo 21.1 del Reglamento de la Unión y de los considerandos 47 y 70 de su Exposición de Motivos se desprende que dicho Reglamento no autoriza sin más las operaciones de mercadotecnia, pues el interesado o afectado debe tener derecho a oponerse a dicho tratamiento; obligaciones cuyo cumplimiento no ha justificado el recurrente a efectos de la eventual aplicación retroactiva del Reglamento.

La procuradora D.ª Beatriz González Rivero, obrando en representación de Meydis, S.L., ha preparado recurso de casación contra la anterior sentencia.

Invoca en su escrito de preparación la infracción del 4.6 del Real Decreto 1398/93, de 4 de agosto, argumentando, en síntesis, que, en la fecha de iniciación del procedimiento sancionador que se impugna, ya se había iniciado otro procedimiento sancionador, y, en segundo lugar, que procedía apreciar la existencia de una infracción continuada, con el consiguiente efecto en el quantum de las sanciones impuestas.

En segundo lugar, alega la infracción de los artículos 12.1 del Real Decreto 1398/93, de 4 de agosto, y 122 del Real Decreto 1720/2007 (Reglamento de Protección de Datos), por entender que la incoación de las actuaciones previas fue fraudulenta, además de concurrir exceso de duración.

En tercer lugar, denuncia la infracción del Reglamento UE/2016/679, del Parlamento, de 27 de abril de 2016, por cuanto, según argumenta, dicho texto habría comportado la pérdida de tipicidad de la conducta sancionada. En concreto, alega que del artículo 6.1.f) de la norma de la Unión Europea, conforme al criterio hermenéutico impuesto por el considerando 47 del Reglamento, se deduce que el "interés legítimo" posibilita el tratamiento de datos cuando concurren "fines de mercadotecnia directa".

Invoca, para la apreciación del interés casacional objetivo, en primer lugar, la letra a) del apartado 2 del artículo 88 LJCA, afirmando que, en cuanto a la no apreciación de una infracción continuada, la sentencia que se pretende recurrir habría llegado a conclusiones opuestas a la sentencia del Tribunal Superior de Justicia de Castilla y León que citaba en su demanda y a la STS de 25 de junio de 2013 (RC 1947/2010). Además, en cuanto a esta misma infracción, invoca la parte la circunstancia contenida en el apartado c) del artículo 88.2 LJCA, pues la doctrina contenida en la sentencia alcanza a procesos y procedimientos sancionadores contra múltiples destinatarios en los que se haya producido la misma infracción.

En cuanto a la segunda de las infracciones, invoca la parte la circunstancia contenida en el apartado b) del artículo 88.2, argumentando que la sentencia impugnada es susceptible de producir un efecto dañoso para los intereses generales, y la prevista en el apartado c) del mismo precepto, por entender que la cuestión puede afectar a un gran número de situaciones.

En lo que respecta a la tercera de las infracciones, alega la recurrente la circunstancia prevista en el artículo 88.2.f), afirmando que se trata de un asunto en que puede ser exigible la intervención del Tribunal de Justicia.

Finalmente, para todas las infracciones apuntadas, la entidad recurrente invocó la circunstancia prevista en el apartado d) del artículo 88.3 LJCA, pues el acto administrativo procede de un organismo de supervisión y su enjuiciamiento corresponde a la Sala de lo Contencioso-administrativo de la Audiencia Nacional.

La Sala de instancia tuvo por preparado el recurso por auto de 27 de mayo de 2019, ordenando el emplazamiento de las partes para su comparecencia dentro del plazo de treinta días ante esta Sala, así como la remisión de los autos originales y del expediente administrativo.

Se han personado ante esta Sala la entidad Meydis, S.L. como recurrente, y, como parte recurrida, la Abogacía del Estado, oponiéndose a la admisión del recurso de casación.

Es Magistrado Ponente el Excmo. Sr. D. Fernando Roman Garcia, Magistrado de la Sala.

La sentencia contra la que se prepara el presente recurso de casación, desestimó el recurso contencioso-administrativo interpuesto contra la resolución dictada por el Director de la Agencia Española de Protección de Datos, con fecha 28 de julio de 2016, que impuso a la entidad demandante una multa de 60.000 euros como responsable de una infracción grave del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD) consistente en el tratamiento de datos personales sin consentimiento del interesado.

La Ley Orgánica 7/2015, de 21 de julio, por la que se modifica la Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial, introduce en su Disposición Final Tercera una reforma del recurso de casación contencioso-administrativo con la finalidad de intensificar las garantías en la protección de los derechos de los ciudadanos. Tal y como se señala en el Preámbulo de la Ley, "[...] con la finalidad de que la casación no se convierta en una tercera instancia, sino que cumpla estrictamente su función nomofiláctica, se diseña un mecanismo de admisión de los recursos basado en la descripción de los supuestos en los que un asunto podrá acceder al Tribunal Supremo por concurrir un interés casacional [...]". Es por tanto carga del recurrente argumentar de forma suficiente las razones por las cuales concurre el interés casacional objetivo para la formación de jurisprudencia, sin que la mera invocación de los supuestos previstos en la norma satisfaga dicha necesidad.

En el escrito de preparación se invoca, entre otras circunstancias, el apartado d) del artículo 88.3 LJCA para razonar la concurrencia del interés casacional. Al respecto conviene aclarar que la presunción recogida en este precepto no es absoluta pues el propio artículo 88.3, in fine, permite inadmitir (mediante "auto motivado") los recursos inicialmente beneficiados por la misma cuando este Tribunal Supremo "aprecie que el asunto carece manifiestamente de interés casacional objetivo para la formación de jurisprudencia".

Así, en lo relativo a la circunstancia invocada y a la eventual inadmisión cuando el Tribunal aprecie que el asunto carece manifiestamente de interés casacional objetivo, procede efectuar algunas consideraciones:

1. ) Por tal "asunto" ha de entenderse no tanto el tema litigioso de la instancia, globalmente considerado, sino más bien el que la propia parte recurrente plantea en su escrito de preparación, pues es a este al que se refiere al fin y al cabo el juicio sobre el interés casacional que justifica la admisión del recurso; y

2. ) La inclusión del adverbio "manifiestamente" implica que la carencia de interés ha de ser claramente apreciable sin necesidad de complejos razonamientos o profundos estudios del tema litigioso (así se caracterizó por la jurisprudencia constante esta locución al hilo del antiguo artículo 93.2.d) LJCA en su inicial redacción, que configuraba como causa de inadmisión del recurso de casación la consistente en carecer manifiestamente de fundamento el recurso). Así, a título de ejemplo, el recurso podría ser inadmitido mediante auto, según lo previsto en el artículo 88.3 in fine LJCA , precisamente por carecer manifiestamente de interés casacional objetivo para la formación de la jurisprudencia, si se pretende anudar el interés casacional a infracciones normativas circunscritas a las concretas vicisitudes del caso litigioso sin trascender a cuestiones dotadas de un mayor contenido de generalidad o con posible proyección a otros litigios [en el mismo sentido, ATS de 6 de marzo de 2017 (RCA 150/2016)].

Pues bien, en primer lugar, en cuanto a las dos primeras infracciones invocadas por la parte, esta Sección de Admisión aprecia que la entidad recurrente, en su preparación, no ha cuestionado o combatido la razón de decidir de la sentencia, más allá de la repetición de los argumentos y motivos esgrimidos en la instancia.

Así, en lo que respecta a la infracción relativa a la no apreciación de la infracción continuada, tanto en lo que se refiere a no iniciar un nuevo procedimiento como en cuanto al quantum de la sanción, la parte no combate el razonamiento contenido en el fundamento jurídico sexto de la resolución, referido a la consideración de infracciones individualizadas y a la naturaleza del bien jurídico protegido.

En relación con la infracción relativa al uso indebido por la Administración de las actuaciones previas, la parte, más allá de calificar las mismas como fraudulentas y de hacer referencia al momento en los que se producen los sucesivos requerimientos de información, no combate el razonamiento del fundamento jurídico séptimo, relativo a la pertinencia de las mismas, atendida la naturaleza de las actuaciones practicadas, y a la inexistencia de prueba alguna de la utilización desviada de tales actuaciones previas. A ello cabe añadir que, conforme al artículo 87 bis LJCA, las cuestiones de hechos están excluidas del recurso de casación, que se limita a las cuestiones de derecho, y así lo ha apreciado reiteradamente esta Sección de Admisión en AATS, entre otros, de 10 de abril de 2017 (RCA 227/2017) y de 8 de marzo de 2017 (RCA 242/2016).

Así, hemos de recordar que es carga de quien prepara el recurso de casación justificar cómo, por qué y en qué forma la infracción denunciada ha sido relevante y determinante del fallo, sin que se pueda aceptar que esa inexcusable carga procesal sea suplida por la colaboración de este órgano jurisdiccional - AATS de 27 de noviembre de 2016 (RQ 396/2017) y 22 de mayo de 2017 (RQ 207/2017)-,pues dicha carga sólo a la recurrente afecta y no ha sido debidamente cumplimentada por ella, al no cuestionar la razón de decidir de la sentencia.

En lo que respecta a la tercera de las infracciones, cierto es que la normativa cuya interpretación por esta Sala Tercera se pretende, a fin de confrontarla con el Reglamento 2016/679/UE, de 27 de abril, ha sido derogada y sustituida por la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos de Personales y garantía de los derechos digitales.

En este sentido, esta Sección de Admisión ha puesto de manifiesto, en asuntos que versan sobre la aplicación de normas derogadas [por ejemplo en el ATS de 2 de noviembre de 2017 (RCA 2827/2017)], que la apreciación del interés casacional pasa por constatar que la resolución del litigio sigue presentando interés, bien porque la norma derogada ha sido sustituida por otra que presenta -en cuanto importa- el mismo o similar contenido; o porque a pesar de tal derogación la cuestión interpretativa del Derecho planteada resulta susceptible de seguir proyectándose sobre litigios futuros; o cuando el tema debatido en el proceso presenta en sí mismo una trascendencia social y/o económica de tal magnitud que hace preciso su esclarecimiento por este Tribunal Supremo. Y fuera de estos supuestos resulta más difícil afirmar la existencia de un interés casacional objetivo para la formación de la jurisprudencia basado en la necesidad de procurar certeza y seguridad jurídica al Ordenamiento.

Sin embargo, en el caso que se nos presenta, no es posible desconocer que el artículo que contiene el tipo infractor correspondiente en la nueva Ley Orgánica 3/2018, de Protección Datos -artículo 72.1.b)- efectúa un reenvío, para la descripción del tipo infractor, al Reglamento (UE) 2016/679 -norma invocada como infringida por la parte recurrente al no haberse aplicado retroactivamente por entenderla favorable- al establecer (en el apartado b) que constituye infracción muy grave el tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679, por lo que bien puede afirmarse la proyección de futuro de la cuestión suscitada.

Por tanto, a efectos de determinar si la cuestión suscitada presenta interés casacional objetivo, conviene traer a colación el artículo 6.1.f) del Reglamento (UE), cuya aplicación reclama la recurrente, según cuyo tenor "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: (...) f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño". Este supuesto de licitud es distinto a los previstos en los otros apartados del precepto y, entre ellos, al previsto en la letra a) relativo al tratamiento basado en el consentimiento previo del interesado que sería, en cierta forma, equivalente al artículo 6.1 de la derogada LOPD de 1999 que exigía el consentimiento inequívoco del afectado.

Por su parte, en el considerando 47 de la Exposición de Motivos del Reglamento (UE) se pone de manifiesto que el interés legítimo de un responsable del tratamiento (o de un tercero) puede constituir esa base jurídica para el tratamiento de datos sin consentimiento, siempre que no prevalezcan los intereses o los derechos y libertades del interesado . Y allí , citando algunos ejemplos, se afirma que "El tratamiento de datos personales con fines de mercadotecnia directa puede considerarse realizado por interés legítimo". En cualquier caso, se sigue afirmando en el mencionado considerando 47, " (...), la existencia de un interés legítimo requeriría una evaluación meticulosa, inclusive si un interesado puede prever de forma razonable, en el momento y en el contexto de la recogida de datos personales, que pueda producirse el tratamiento con tal fin. En particular, los intereses y los derechos fundamentales del interesado podrían prevalecer sobre los intereses del responsable del tratamiento cuando se proceda al tratamiento de los datos personales en circunstancias en las que el interesado no espere razonablemente que se realice un tratamiento ulterior".

En relación con los fines de mercadotecnia, el considerando 70 de la Exposición de Motivos (al que también alude la sentencia recurrida) dispone que: " Si los datos personales son tratados con fines de mercadotecnia directa, el interesado debe tener derecho a oponerse a dicho tratamiento, inclusive a la elaboración de perfiles en la medida en que esté relacionada con dicha mercadotecnia directa, ya sea con respecto a un tratamiento inicial o ulterior, y ello en cualquier momento y sin coste alguno. Dicho derecho debe comunicarse explícitamente al interesado y presentarse claramente y al margen de cualquier otra información".

Consideraciones que la sentencia recurrida vincula a lo dispuesto en el artículo 21.1 del Reglamento (UE), que regula el derecho a la oposición del tratamiento, a efectos de determinar la imposibilidad de entender el tratamiento como lícito y aplicar retroactivamente la norma comunitaria. Dispone el citado artículo 21 del Reglamento (UE), en lo que aquí interesa, que:

"1. El interesado tendrá derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular, a que datos personales que le conciernan sean objeto de un tratamiento basado en lo dispuesto en el artículo 6, apartado 1, letras e) o f), incluida la elaboración de perfiles sobre la base de dichas disposiciones. El responsable del tratamiento dejará de tratar los datos personales, salvo que acredite motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los intereses, los derechos y las libertades del interesado, o para la formulación, el ejercicio o la defensa de reclamaciones.

2. Cuando el tratamiento de datos personales tenga por objeto la mercadotecnia directa, el interesado tendrá derecho a oponerse en todo momento al tratamiento de los datos personales que le conciernan, incluida la elaboración de perfiles en la medida en que esté relacionada con la citada mercadotecnia.

3. Cuando el interesado se oponga al tratamiento con fines de mercadotecnia directa, los datos personales dejarán de ser tratados para dichos fines.

4. A más tardar en el momento de la primera comunicación con el interesado, el derecho indicado en los apartados 1 y 2 será mencionado explícitamente al interesado y será presentado claramente y al margen de cualquier otra información (...)"

Teniendo en cuenta lo anterior no puede obviarse que esta Sección ha admitido ya algunos recursos que suscitan cuestiones relacionadas. Así, por ejemplo, en el ATS de 14 de junio de 2019 (RCA 2134/2019) consideramos de interés casacional objetivo, entre otras cuestiones, la aclaración de en qué términos debe llevarse a cabo la ponderación que prevé el artículo 7.f) de la Directiva 95/46/CE -precedente del artículo 6. 1.f) del Reglamento (UE)- entre el interés legítimo del responsable del tratamiento y la protección de datos de carácter personal del interesado. Y en el ATS de 5 de julio de 2019 (RCA 601/2019), en relación con el ejercicio del derecho de oposición al tratamiento, identificamos como cuestiones de interés casacional objetivo las de "(i) Precisar si una entidad que sea responsable del tratamiento de datos personales y que contrate con otra la publicidad de sus productos y servicios, está obligada a proporcionar a ésta el fichero en el que se reflejen las solicitudes de exclusión del envío de comunicaciones comerciales contemplado en el artículo 48 del Real Decreto 1720/2007, de 21 de diciembre. (ii) Precisar si, en tal caso, aquella entidad -responsable del tratamiento de datos personales- podría quedar exonerada de responsabilidad por la infracción tipificada en el artículo 44.3.e) de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en virtud de las cláusulas del contrato celebrado con la segunda entidad".

A la vista de lo hasta ahora expuesto, y dada la concurrencia de la presunción prevista en el artículo 88.3.d) LJCA, consideramos que lo suscitado en el recurso no carece manifiestamente de interés casacional objetivo para la formación de jurisprudencia. Se trata, en definitiva, de determinar si, conforme al artículo 6.1.f) del Reglamento (UE) 2016/679, interpretado a la luz de los considerandos 47 in fine y 70 del mismo Reglamento, puede considerarse lícito el tratamiento de datos personales con fines de mercadotecnia directa cuando, a pesar de no haber otorgado el interesado su consentimiento, concurriere un interés legítimo en el responsable del tratamiento.

Dicha cuestión reviste interés casacional objetivo para la formación de la jurisprudencia pues, además de no existir jurisprudencia sobre ella, no cabe duda de que trasciende del caso concreto objeto del proceso, sin que quepa afirmar que el asunto carece manifiestamente de interés casacional objetivo para la formación de jurisprudencia, en los términos del artículo 88.3 in fine de la LJCA .

La apreciación en la mencionada cuestión de la existencia de interés casacional objetivo para la formación de jurisprudencia justifica la admisión del recurso. Por tanto, en virtud de lo dispuesto en los artículos 88.1 y 90.4 LJCA, procede admitir a trámite el recurso de casación preparado por la procuradora D.ª Beatriz González Rivero, en representación de la entidad Meydis, S.L., contra la sentencia de la Sección Primera de la Sala de lo Contencioso-administrativo de la Audiencia Nacional de fecha 12 de febrero de 2019, dictada en el recurso contencioso-administrativo n.º 811/2016.

Y, a tal efecto, precisamos que la cuestión en la que se entiende que existe interés casacional objetivo para la formación de jurisprudencia es la mencionada en el razonamiento anterior, y señalamos que las normas jurídicas que, en principio, deberán ser objeto de interpretación son los artículos 6.1.f) del Reglamento (UE) 2016/679, de 27 de abril, interpretado a luz de los considerandos 47 in fine y 70 del mismo, en relación con el artículo 72.1.b) de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los derechos digitales; y los artículos 6.1, 44.3.b) y 45 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.

Conforme a lo dispuesto en el artículo 90.7 de la LJCA, este auto se publicará en la página web del Tribunal Supremo.

Procede comunicar inmediatamente a la Sala de instancia la decisión adoptada en este auto, como dispone el artículo 90.6 LJCA y conferir a las actuaciones el trámite previsto en los artículos 92 y 93 LJCA, remitiéndolas a la Sección Tercera de esta Sala, competente para su sustanciación y decisión de conformidad con las reglas de reparto.

La Sección de Admisión