STS 1471/2020, 10 de Noviembre de 2020

La Sección 1ª de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional dictó sentencia con fecha 9 de abril de 2019 (recurso nº 434/2017) en la que se desestima el recurso contencioso-administrativo interpuesto por Meydis, S.L. contra la resolución de la resolución del Director de la Agencia Española de Protección de Datos de fecha 12 de junio de 2017 (expediente NUM000) en la que se sanciona a dicha entidad con multa de 60.00 euros, por la comisión de una infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), en relación con el artículo 30 de dicha norma, tipificada como grave en el artículo 44.3.b) de la citada LOPD.

Como indica el fundamento jurídico primero de la propia sentencia, la resolución sancionadora de la AEPD recae en el expediente iniciado a raíz de la denuncia presentada en abril de 2015 por D. Torcuato, por haber recibido una carta publicitaria en la que se le invita a un evento de la entidad Sistemas Médicos Profesionales (en la actualidad Plenisan) a celebrar en el Hotel Leuka, en Alicante, pese a no haber facilitado sus datos y no figurar en las guías telefónicas. En dicha carta se informa que los datos utilizados para la campaña tienen su origen en los ficheros de la empresa Macro Select Print S.L. fijando el apartado de correos 61012 para el ejercicio de los derechos ARCO.

Considera la AEPD que Meydis es responsable del tratamiento de los datos del denunciante sin su consentimiento en la campaña de marketing llevada a cabo por Plenisan y razona sobre el carácter instrumental de la entidad Macro Select Print respecto de Meydis. La resolución de la Agencia Española de Protección de Datos declara a Meydis responsable de una infracción grave prevista en el artículo 44.3.b/ de la LOPD por vulneración del artículo 6 de la citada Ley, preceptos que protegen el principio del consentimiento del titular en el tratamiento de los datos personales.

Los argumentos de impugnación que aducía la demandante en el proceso de instancia los sintetiza el fundamento jurídico segundo de la sentencia en estos términos:

(...) SEGUNDO.- La actora sustenta su pretensión impugnatoria en los siguientes motivos:

- Ilicitud de la reapertura de nuevo expediente sancionador en materia de protección de datos tras caducar las actuaciones previas de investigación. Cuando la Administración abre un procedimiento sancionador sobrepasado el plazo de 12 meses, la consecuencia es el archivo por caducidad de las actuaciones previas, sin que quepa abrir otras nuevas actuaciones previas de investigación con base en esos mismos hechos, pues en esta materia de protección de datos, cualquier nueva actuación previa de investigación que se incoase tras la caducidad de las anteriores con base en la denuncia original estaría caducada.

-Improcedencia de la reapertura de diligencias previas tras un procedimiento sancionador caducado. La jurisprudencia sentada por el Tribunal Supremo en relación con la reapertura de expedientes caducados no es aplicable en el caso del artículo 122.4 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD).

-Incumplimiento de las condiciones fijadas por la jurisprudencia para la reapertura de los procedimientos sancionadores caducados. La AEPD declaró la caducidad de las actuaciones previas y ordenó la reapertura de un nuevo expediente basándose exclusivamente en esas mismas diligencias previas que se habían declarado caducadas, sin llevar a cabo ninguna actuación de investigación en el marco del nuevo expediente abierto, con infracción de lo establecido en la STS de 6 de noviembre de 2012.

- Vulneración del artículo 75.1 de la Ley 30/1992, al acordar la Resolución R/01439/2016 de la AEPD, en un mismo acto, la declaración de caducidad del procedimiento y el inicio de nuevas actuaciones previas dirigidas a la apertura de un nuevo expediente sancionador.

- Infracción continuada. Al incoar el procedimiento sancionador se habían tramitado ante la AEPD varios expedientes por hechos idénticos respecto de las mismas empresas, por lo que se trataría de una infracción continuada al concurrir los presupuestos establecidos para ello en el artículo 29.6 de la LRJSP. Ello es además contrario a determinados precedentes administrativos (PS 621/2012) y vulnera el principio de igualdad de trato en la actuación de las Administraciones Públicas ( art 103 CE) así como el principio de confianza legítima.

- Ilicitud de las actuaciones previas de inspección. La inspección efectuada por la AEPD en la sede de la actora el 7 de abril de 2016 fue realizada de forma fraudulenta, habiéndose realizado amparándose en una autorización de inspección que por su antigüedad y circunstancias no es valida para practicar dicha inspección.

- Indefensión vulneradora del artículo 24.2 CE, basada en las siguientes irregularidades:

Falta de puesta de manifiesto del expediente en fase de audiencia, no habiendo podido acceder al expediente en fase de audiencia y tras la práctica de pruebas, pese a insistir en ello a la AEPD, lo que le produjo una patente indefensión.

Falta de incorporación al expediente de documentos aportados o solicitados por la parte y obrantes en otros expedientes de la AEPD, que fueron omitidos.

Denegación indebida de pruebas, pues la AEPD denegó indebidamente las pruebas solicitada por Meydis en su escrito de alegaciones.

- Errónea consideración de la entidad actora como responsable del tratamiento de los datos. La actora intervino en la ejecución de la campaña de marketing objeto de la resolución recurrida, pero no adoptó ninguna decisión sobre el tratamiento de los datos personales del denunciante, limitándose a cumplir las instrucciones de sus clientes, produciéndose su participación como encargada del tratamiento.

- Prevalencia de la presunción de inocencia. Errónea aplicación de la prueba indiciaria. Los vínculos entre MSP y Meydis no evidencian que Meydis tuviera poder de disposición sobre los ficheros de MSP y menos aún que tomara decisiones sobre los datos del denunciante en la campaña que recibió.

- Aplicación de la teoría del levantamiento del velo. La AEPD entiende que MSP era absolutamente dependiente de Meydis, de modo que las decisiones que correspondían a aquellas eran tomadas por ésta, como si MSP fuera una sociedad puramente instrumental que Meydis controlaría por completo. Para aplicar la teoría del levantamiento del velo es indispensable una prueba real del fraude y los hechos en que se basa la AEPD para considerar el supuesto fraude de MSP no revelan fraude alguno.

- Atipicidad sobrevenida tras la entrada en vigor del nuevo Reglamento General de Protección de Datos, por aplicación retroactiva de la norma más favorable, tomando en consideración que a tenor de lo preceptuado en el artículo 6.f) y considerandos 47 y 70 de dicho Reglamento (UE) 2016/679, del Parlamento y del Consejo, de 27 de abril, el tratamiento de datos con fines de mercadotecncia es lícito

.

Los diversos motivos de impugnación que esgrimía la demandante son examinados -y desestimados- en los fundamentos jurídicos tercero a undécimo de la sentencia. Prescindiendo ahora de aquellos apartados en los que se abordan cuestiones sobre las que no se ha suscitado debate en casación, de la fundamentación de la sentencia recurrida que extraemos aquí, por ser de interés para la resolución del presente recurso de casación, los siguientes fragmentos:

(...) TERCERO.- Siguiendo el orden establecido en la demanda se va a examinar, en primer lugar y de forma conjunta, los dos primeros motivos de impugnación que aluden a la ilicitud de la reapertura de nuevo expediente sancionador en materia de protección de datos tras caducar las actuaciones previas y a la improcedencia de incoar nuevas actuaciones previas tras la incoación de un procedimiento sancionador archivado por caducidad de las actuaciones previas anteriores.

Al respecto, debe tomarse como punto de partida que la denuncia interpuesta ante la AEPD por D. Torcuato, en abril de 2015, fue tramitada en el marco del expediente de actuaciones previas E/05014/2015 por el que se abrió el PS/00223/2016 con fecha 28 de abril de 2016, que fue archivado respecto a Meydis S.L. nada más abrirse, mediante resolución de 9 de junio de 2016 por caducidad de las actuaciones previas, al tiempo que acordaba la realización de la correspondiente investigación en el marco de actuaciones previas E/002737/2016, al no haber prescrito la presunta infracción cometida respecto de Meydis S.L.

Cabe recordar que en relación con la caducidad de las actuaciones previas, esta Sala ha señalado en reiteradas sentencias en las SSAN de 25 de febrero de 2013 (Rec. 617/2011) y 10 de julio de 2013 (Rec. 323/2012), entre otras muchas, que la declaración de caducidad de las actuaciones previas por haber transcurrido el plazo máximo de 12 meses a que se refiere el artículo 122.4 del Real Decreto 1720/2007, de 21 de diciembre, que aprueba el Reglamento de desarrollo de la L.O. de Protección de Datos (RLOPD), no impide que la AEPD pueda iniciar otras actuaciones u otro expediente por los mismos hechos, siempre claro está que la infracción no hubiera prescrito. Ha tomado en consideración a tal fin, que el artículo 92 de la LRJPAC, al que se remite el artículo 44.2 de la misma Ley, al prever la caducidad de los procedimientos en los que la Administración ejercite potestades sancionadoras, entre otros, establece los efectos de la caducidad que, con independencia de provocar el archivo del procedimiento "no producirá por si sola la prescripción de las acciones del particular o de la Administración pero los procedimientos caducados no interrumpirán la prescripción".

Y en estos casos, como hemos señalado en la SAN de 14 de octubre de 2016 (Rec. 684/2015) " el cómputo del dies "a quo" del plazo de caducidad previsto en el art. 122 RLOPD, en este supuesto, no puede venir determinado por la fecha de entrada de la denuncia en la Agencia, sino que hay que interpretar, conforme a lo anteriormente expuesto, y conforme señala la SAN de 25 octubre 2013 (Rec. 322/2013 ) dictada en un supuesto similar al presente, que es desde que se dictó el Auto de archivo del primer procedimiento sancionador y se acordó la incoación de actuaciones previas".

Es decir, conforme al criterio reiterado de la Sala en supuestos como el presente, no existe obstáculo para la incoación de nuevas actuaciones previas o de nuevo expediente sancionador, salvo que la infracción objeto de investigación hubiera prescrito, prescripción que ni siquiera invoca la actora.

CUARTO.- Denuncia la actora, que una vez caducadas las actuaciones previas y ordenada la apertura de un nuevo expediente no se ha llevado a cabo ninguna actuación en el marco del nuevo expediente, sino que se ha tomado como único fundamento las actuaciones previas que habían sido declaradas caducadas, produciendo como efecto que la declaración de caducidad deviene en un mero trámite formal sin consecuencias prácticas para la propia Administración, vulnerando la doctrina jurisprudencial establecida en la sentencia del Tribunal Supremo de 6 de noviembre de 2012.

La invocada en la demanda STS de 6 de noviembre de 2012 (Rec. 3558/2011), no viene sino a reiterar los criterios establecidos en la precedente STS de 24 de febrero de 2004 (Rec. 3754/2001) sobre el valor en el procedimiento sancionador de las actuaciones practicadas en el procedimiento caducado, sentencia citada y tomada en consideración por la resolución impugnada.

Así, argumenta la resolución recurrida en su Fundamento de Derecho II, al hilo de la citada STS de 24 de febrero de 2012, que es correcto que el nuevo procedimiento sancionador se apoye en los mismos documentos que determinaron la incoación del procedimiento sancionador caducado y que también lo es que surtan efecto en el nuevo procedimiento sancionador, si se decide su incorporación al mismo, aquellos actos que son independientes del procedimiento caducado, estos es, que no surgieron dentro de él, aunque también fueron incorporados a éste.

Y prosigue, por eso, en el presente caso, se incorporaron al E/02737/2016 (del que deriva el procedimiento sancionador que nos ocupa) tanto la denuncia formulada por la persona afectada como las actuaciones de investigación practicadas por los servicios de inspección en el curso de la investigación realizada y cuya documentación obra en los servicios de inspección de la Agencia. De manera que en tanto esos documentos son independientes respecto del PS/00223/2016 respecto del cual la Directora de la Agencia acordó su archivo, no hay obstáculo para que sean incorporados al nuevo expediente de investigación como así se hizo. Lo que explica que fueran esos documentos y no otros los que la Agencia estableció a efectos de acordar el nuevo procedimiento sancionador.

Abundando en lo expuesto, cabe añadir, que en el procedimiento sancionador que nos ocupa, se ha abierto un periodo probatorio, constando resolución del Instructor de 14 de marzo de 2017 -folios 335 y 336- dando por reproducida la documentación que allí se detalla, que se trajo de las actuaciones previas caducadas, así como la documentación obrante en los archivos de la AEPD de manera especial, en los procedimientos sancionadores PS/00047/2016, PS/000/53/2016, PS/000/107/2016, PS/000/121/2016, PS/000/124/2016, PS/000/190/2016 y PS/00436/2016.

Por todo lo cual, no cabe apreciar vulneración de la doctrina jurisprudencial invocada, que ha sido correctamente aplicada por la resolución recurrida.

QUINTO.- Se imputa también infracción del artículo 75.1 de la Ley 30/1992 por la resolución de 9 de junio de 2016, al acordar en un mismo acto la declaración de caducidad del procedimiento y el inicio de nuevas actuaciones previas dirigidas a la apertura de un nuevo expediente sancionador, lo que implicaría, a su juicio, que las diligencias previas que dieron lugar a la resolución recurrida se incoaron de modo ilegal y da lugar a la nulidad de la resolución recurrida.

La citada resolución de la AEPD de 9 de junio de 2016, como se expresa en la demanda fue recurrida por la actora en esta vía jurisdiccional dando lugar al Rec. 538/2016, tramitado en esta Sección, en el que también se alegaba la vulneración del artículo 75.1 de la Ley 30/1992, y recayó sentencia de 10 de mayo de 2018, que ha ganado firmeza con fecha 26 de julio de 2018, declarando la inadmisibilidad del recurso contencioso interpuesto por Meydis, al considerar que al impugnarse la decisión de una nueva apertura de actuaciones previas es un acto de trámite.

Así las cosas y habiéndose ya razonado en el Fundamento de Derecho tercero sobre la viabilidad de la incoación de nuevas diligencias previas por la citada resolución, sin que suponga ninguna irregularidad invalidante acordar en la misma resolución su incoación tras decretar el archivo por caducidad del expediente sancionador, procede desestimar el citado motivo de impugnación.

SEXTO.- Se alega también la violación del artículo 4.6 del Real Decreto 1398/1993, de 4 de agosto, que dispone: "No se podrán iniciar nuevos procedimientos sancionadores por hechos o conductas tipificados como infracciones en cuya comisión el infractor persista de forma continuada, en tanto no haya recaído una primera resolución sancionadora de los mismos, con carácter ejecutivo. Asimismo, será sancionable, como infracción continuada, la realización de una pluralidad de acciones u omisiones que infrinjan el mismo o semejantes preceptos administrativos, en ejecución de un plan preconcebido o aprovechando idéntica ocasión".

Aunque este Reglamento ha sido derogado por la Ley 39/2015, de 1 de octubre (Disposición Derogatoria Única), que incorpora el contenido de su primer párrafo en el artículo 63.3., resultaría de aplicación al procedimiento administrativo ratione temporis a tenor de lo dispuesto en la Disposición Transitoria Tercera de la Ley 39/2015, que aún no había entrado en vigor en la fecha de la resolución aquí impugnada.

Motivo de impugnación que resulta idéntico al planteado por la misma entidad en anteriores procedimientos y al que se ha dado respuesta en las Sentencias de esta Sala y Sección de fecha 12 de febrero de 2019 dictadas en los Rec. 810/2016 y 811/2016, en el sentido siguiente:

" La alegación no puede ser estimada; en primer lugar, como ha declarado el Tribunal Supremo en su sentencia de 28 de junio de 2013 R. 1947/2010 , que cita otra anterior de 30 de noviembre de 2004 (R. 6573/2001), "[...] para apreciar la infracción continuada en el ámbito del Derecho administrativo sancionador, que constituye una transposición de los contornos jurídicos de esta institución referidos en el artículo 74 del Código Penal , se exige que concurran con carácter general los siguientes requisitos:

a) La ejecución de una pluralidad de actos por el mismo sujeto responsable, próximos en el tiempo, que obedezcan a una práctica homogénea en el modus operandi por la utilización de medidas, instrumentos o técnicas de actuación similares.

b) La actuación del responsable con dolo unitario, en ejecución de un plan previamente concebido que se refleja en todas las acciones plurales que se ejecutan o con dolo continuado, que se proyecta en cada uno de los actos ejecutados al renovarse la voluntad infractora al presentarse una ocasión idéntica a la precedente.

Y c) La unidad del precepto legal vulnerado de modo que el bien jurídico lesionado sea coincidente, de igual o semejante naturaleza [...]".

La concurrencia de estos requisitos ha de ser debidamente acreditada por quien pretende la aplicación de la norma por serle más beneficiosa, lo que no ha sucedido en este caso en que únicamente cabría admitir el cumplimiento de lo dispuesto en los apartados a) y c); hay que tener en cuenta, además, la particular naturaleza del bien jurídico protegido por las normas, que son los datos personales de las personas físicas, que, como ha declarado el Tribunal Constitucional en su sentencia 292/2000, de 30 de noviembre , es un derecho fundamental, consagrado en el artículo 18.4 de la Constitución Española que, a diferencia del derecho a la intimidad del art. 18.1 CE , con el que comparte el objetivo de ofrecer una eficaz protección constitucional de la vida privada personal y familiar, persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino, con el propósito de impedir su tráfico ilícito y lesivo para la dignidad y derechos del afectado.

En este sentido, la utilización sin consentimiento de los datos personales constituye una infracción individualizada, con independencia de que esa utilización o tratamiento de datos se lleve a cabo en el marco de una campaña publicitaria contratada entre diversas empresas, como las sancionadas en este procedimiento, y en otros muchos de los que ha conocido esta Sala, con múltiples destinatarios seleccionados en función de las características del producto y de las personales de los destinatarios; todo lo más, cabría apreciar la existencia de infracción continuada si, en el marco de tal campaña, los datos personales de un mismo titular fueran objeto de tratamiento inconsentido en diferentes ocasiones próximas en el tiempo, no, como ahora se trata, de diferentes destinatarios dentro de la misma o diferentes campañas, a los que no resulta de aplicación la figura de la infracción continuada.

De tal forma lo ha entendido esta Sala en asuntos similares, siguiendo el criterio del Tribunal Supremo; así, en las sentencias de 4-07-2017, R. 1770/2015 y de 10-07-2018, R. 550/2016 , dictadas en recursos frente a resoluciones sancionadoras por publicidad comercial encubierta en las que se rechazó la pretensión de considerar las diferentes infracciones como una sola continuada, conforme a la sentencia del Tribunal Supremo de 30 de julio de 2013 , citando la SAN objeto del recurso de casación (...).

El ejemplo que se propone en la demanda (procedimiento de la AEPD PS/621/2012) no puede fundamentar la infracción de los principios de igualdad, seguridad jurídica y confianza legítima que se alega; en primer lugar no se aportan todos los datos que permitirían establecer adecuadamente la comparación, siendo insuficiente, a este respecto, el hecho de que en ese expediente y en el aquí analizado se trataba de campañas de marketing directo en las que, como aquí, intervenían varias compañías, pues hay que demostrar que concurren en ambos casos todos los elementos que exige la jurisprudencia citada antes; en segundo lugar porque, aún admitiendo la similitud, la actuación que se considera correcta y conforme a la doctrina es la que rechaza, en estos casos, la consideración, como continuada, de la infracción, a la que no se ajustaría la actuación administrativa propuesta como comparación.

Esta conclusión excluye la infracción de los principios que alegan (...)".

[...]

UNDÉCIMO.- Invoca por último Meydis la atipicidad sobrevenida como consecuencia de la entrada en vigor del Reglamento (UE) 2016/679, del Parlamento Europeo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), en aplicación de lo dispuesto en el artículo 9.3 de la Constitución y 128.2 de la Ley 30/1992, de 26 de noviembre, que consagran la retroactividad de las disposiciones que favorezcan al sancionado. Ello de conformidad con el artículo 6.f) de tal RGPD que considera lícito el tratamiento de datos que sea necesario "para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales...". Se argumenta a tal efecto que la conducta que imputa a la actora la Resolución recurrida, aun si fuese cierta, no sería típica, puesto que dicho tratamiento es lícito, al basarse en el interés legítimo que tiene el anunciante (Plenisan) en promocionar y comercializar sus productos, interés derivado del derecho a la libertad de empresa ( artículo 38 CE).

Cuestión asimismo resuelta por las SSAN de 12 de febrero de 2019, Rec. 810/2016 y 811/2016 de tanta cita, en las que consideramos que:

Conviene precisar, en primer lugar, que aunque el RGPD entró en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea, no es de aplicación sino a partir del 25 de mayo de 2018 (art. 99 RGPD), lo que no sería óbice para su aplicación retroactiva si, ciertamente, considerase como lícito un tratamiento de datos como el realizado por la demandante, lo que no es así, como se expone a continuación.

El artículo 6.1 RGPD establece que "el tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones: f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño".

Ahora bien, esta norma ni establece una presunción de legitimidad del tratamiento ni puede contemplarse de forma aislada, por una parte, de las obligaciones que establece el propio Reglamento respecto de quien realiza el tratamiento y, por otra, de los derechos del titular de los datos.

En cuanto a lo primero porque, como dice el Considerando 47, Exposición de Motivos: "El interés legítimo de un responsable de tratamiento [...] puede constituir una base jurídica para el tratamiento, siempre que no prevalezcan los intereses o los derechos y libertades del interesado, teniendo en cuenta las expectativas razonables de los interesados basadas en su relación con el responsable. [...] En cualquier caso, la existencia de un interés legítimo requeriría una evaluación meticulosa [...] En particular, los intereses y los derechos fundamentales del interesado podrían prevalecer sobre los intereses del responsable del tratamiento cuando se proceda al tratamiento de los datos personales en circunstancias en las que el interesado no espere razonablemente que se realice un tratamiento ulterior. [...] El tratamiento de datos personales con fines de mercadotecnia puede considerarse realizado por interés legítimo".

En cuanto a lo segundo, en el Considerando 70 se dice que: "Si los datos personales son tratados con fines de mercadotecnia directa, el interesado debe tener derecho a oponerse a dicho tratamiento [...] y ello en cualquier momento y sin coste alguno. Dicho derecho debe comunicarse explícitamente al interesado y presentarse claramente y al margen de cualquier otra información".

Por ello, el artículo 21. 1 RGPD dispone que el interesado tendrá derecho a oponerse cuando el tratamiento tenga por objeto la mercadotecnia directa, derecho que tiene su reflejo en la correlativa obligación del responsable del tratamiento de facilitar al titular de los datos, en el momento en que éstos se obtengan, toda la información que establece el artículo 13, en relación con el artículo 6.1 f), cuáles sean los intereses legítimos de tal responsable o de un tercero y, además, debe facilitar la información establecida en el párrafo 2 de dicho artículo 13, que se refiere, entre otros extremos, al plazo durante el cual se conservarán los datos personales y a la existencia de los derechos de acceso, rectificación cancelación limitación del tratamiento y oposición, así como el derecho a la portabilidad de los datos. Por último, el artículo 14 regula similar obligación cuando los datos personales no se hayan obtenido del interesado.

Pues bien, la pretensión de la recurrente no se justifica con la prueba del cumplimiento de las obligaciones derivadas de la aplicación del Reglamento, que podría dar lugar a su aplicaciónretroactiva que, como se ha expuesto, no autoriza sin más las operaciones de mercadotecnia, como la que es objeto de la resolución sancionadora, y cuyo objeto principal, enunciado en su artículo 1, es la protección de las personas físicas en lo que respecta al tratamiento de los datos personales".

Por todo ello la Sala de la Audiencia Nacional termina desestimando el recurso contencioso administrativo.

CUARTO.- Notificada la sentencia a las partes, preparó recurso de casación contra ella la representación de Meydis, S.L., siendo admitido a trámite el recurso por auto de la Sección Primera de esta Sala de 31 de enero de 2020 en el que asimismo se acuerda la remisión de las actuaciones a la Sección Tercera, con arreglo a las normas sobre reparto de asuntos.

En la parte dispositiva del auto de admisión del recurso se acuerda, en lo que ahora interesa, lo siguiente:

(....) 2°/ Declarar que la cuestión planteada en el recurso que presenta interés casacional objetivo para la formación de la jurisprudencia consiste en determinar si, conforme al artículo 6.1.f) del Reglamento (UE) 2016/679 , interpretado a la luz de los Considerandos 47 in fine y 70 del mismo Reglamento, puede considerarse lícito el tratamiento de datos personales con fines de mercadotecnia directa cuando, a pesar de no haber otorgado el interesado su consentimiento, concurriere un interés legítimo en el responsable del tratamiento.

3º/ Identificar como normas jurídicas que, en principio, serán objeto de interpretación: los artículos 6.1.f) del Reglamento (UE) 2016/679, de 27 de abril , interpretado a luz de los considerandos 47 in fine y 70 del mismo, en relación con el artículo 72.1.b) de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los derechos digitales; y los artículos 6.1 , 44.3.b ) y 45 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (...)

.

La representación de Meydis, S.L. formalizó la interposición de su recurso de casación mediante escrito presentado el 8 de mayo de 2020 en el que la parte recurrente aduce, en síntesis, los siguientes motivos de impugnación:

1. Infracción de los artículos 6.1 del Reglamento UE 2016/679 del Parlamento y del Consejo, de 27 de abril de 2016 (RGPD) y 72.1. b) de la Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD). Falta de aplicación retroactiva de dichas normas.

2. Infracción del artículo 4.6 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora, por no haberse apreciado la existencia de una infracción continuada.

3. Vulneración del principio de proporcionalidad como consecuencia de la infracción del artículo 4.6 del Real Decreto 1398/1993, de 4 de agosto.

4. Infracción del artículo 12 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora, y del artículo 122 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Así como de la jurisprudencia relativa a las actuaciones previas de investigación, desde la perspectiva del artículo 6.4 del Código Civil.

Termina el escrito de la recurrente solicitando que se « (...) acuerde la anulación de la sentencia impugnada, casándola y dejando sin efecto la sanción impuesta a mi mandante por la Agencia Española de Protección de Datos, con expresa condena en las costas de la instancia a la Administración demandada».

Recibidas las actuaciones en esta Sección Tercera, se dictó providencia con fecha 29 de mayo de 2020 en la que se tuvo por interpuesto el recurso y se acordó dar traslado a la parte recurrida para que pudiese formular su oposición.

La representación procesal de la Administración del Estado formalizó su oposición mediante escrito fechado a 8 de junio de 2020 en el que, tras formular sus alegaciones en contra de lo aducido por la recurrente, termina solicitando la desestimación del recurso de casación y la fijación de la doctrina que resulta de dicha desestimación, declarando que la simple finalidad de mercadoctenia no justifica el tratamiento de los datos personales sin el consentimiento del titular de los mismos.

Mediante providencia de 16 de junio de 2020 se acordó no haber lugar a la celebración de vista y quedaron las actuaciones pendientes de señalamiento para votación y fallo; fijándose finalmente al efecto el día 27 de octubre de 2020, fecha en que tuvo lugar la deliberación y votación.

El presente recurso de casación nº 4738/2019 lo interpone la representación de Meydis, S.L. contra la sentencia de la Sección 1ª de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional de 9 de abril de 2019 (recurso nº 434/2017) en la que se desestima el recurso contencioso- administrativo interpuesto por Meydis, S.L. contra la resolución de la resolución del Director de la Agencia Española de Protección de Datos de fecha 12 de junio de 2017 (expediente NUM000) en la que se sanciona a dicha entidad con multa de 60.00 Euros, por la comisión de una infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), en relación con el artículo 30 de dicha norma, tipificada como grave en el artículo 44.3.b) de la citada LOPD.

En el antecedente segundo hemos dejado reseñados los hechos que motivaron la imposición de la sanción, así como las cuestiones debatidas en el proceso de instancia y las razones que se exponen en la sentencia recurrida -en lo que interesa al presente recurso de casación- para fundamentar la desestimación del recurso contencioso-administrativo.

Procede entonces que entremos a examinar las cuestiones suscitadas en casación, en particular la señalada en el auto de la Sección Primera de esta Sala de 31 de enero de 2020.

Como vimos (antecedente tercero), en el citado auto de admisión se declara que la cuestión planteada en el recurso que presenta interés casacional objetivo para la formación de la jurisprudencia consiste en determinar si, conforme al artículo 6.1.f) del Reglamento (UE) 2016/679, interpretado a la luz de los Considerandos 47 in fine y 70 del mismo Reglamento, puede considerarse lícito el tratamiento de datos personales con fines de mercadotecnia directa cuando, a pesar de no haber otorgado el interesado su consentimiento, concurriere un interés legítimo en el responsable del tratamiento.

Por lo demás, el propio auto de admisión identifica las normas jurídicas que, en principio, serán objeto de interpretación: los artículos 6.1.f) del Reglamento (UE) 2016/679, de 27 de abril, interpretado a luz de los considerandos 47 in fine y 70 del mismo, en relación con el artículo 72.1.b) de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los derechos digitales; y los artículos 6.1, 44.3.b) y 45 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.

Sobre la posible aplicación retroactiva del Reglamento comunitario 2016/679 y de la Ley Orgánica de Protección de Datos de 2018.

La primera de las alegaciones de la recurrente, que ha dado pie a la admisión del asunto por su interés casacional, se refiere a la posible aplicación retroactiva del de los artículos 6.1 del Reglamento UE 2016/679 del Parlamento y del Consejo, de 27 de abril de 2016 y 72.1. b) de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos, que viene a trasponer aquel Reglamento UE al derecho nacional.

La tesis de la recurrente es que ha existido un cambio fundamental al dejar de constituir el consentimiento la única causa que legitimaba el tratamiento de datos personales, salvo que concurriera alguno de los supuestos eximentes contemplados en el artículo 6.2 de la Ley Orgánica de Protección de Datos de 1999. La nueva regulación, por el contrario, establece un listado de supuestos legitimadores del tratamiento de datos, en el que el consentimiento es uno más sin prioridad alguna y que incluye entre ellos la existencia de interés legítimo de quien efectúa el tratamiento (apartado 1.f del artículo 6 del Reglamento).

Sostiene también la recurrente que la interpretación del supuesto legitimador del interés legítimo ha sido hecha ya por el legislador comunitario en el parágrafo 47 de los considerandos del preámbulo del Reglamento, de acuerdo con el cual en los supuestos de prevención del fraude y del tratamiento con fines de mercadotecnia ha hecho ya la ponderación de intereses en favor de quien trata los datos sobre los intereses del afectado, siempre que los datos se traten para los fines indicados. En consecuencia, el responsable del tratamiento "no necesita efectuar una ponderación de los intereses que concurren para valorar cuál de ellos debe prevalecer conforme a la regla del artículo 6.1.f), sino que siempre que los datos se utilicen para alguna de las finalidades indicadas, el tratamiento puede basarse en el interés legítimo. Y, entre esas finalidades, se incluye el "envio de comunicaciones comerciales".

La protección de los datos por parte del interesado vendría, afirma la recurrente, por la inscripción en listas de exclusión de comunicaciones comerciales, de obligada consulta por quien desee enviar publicidad ( artículos 3 y 4 de la Ley Orgánica 3/2018) y por el derecho de oposición a recibir comunicaciones comerciales previsto en el artículo 21 y en el considerando 71 del Reglamento comunitario.

En definitiva, la parte considera, a partir de la entrada en vigor del Reglamento comunitario "...su artículo 6.1.f), interpretado conforme al considerando 47 in fine, permite el tratamiento de datos para fines de mercadotecnia directa basándose en la existencia de un interés legítimo y, por tanto, sin que sea necesario el previo consentimiento del afectado, sin perjuicio de su derecho a utilizar los mecanismos legales para impedir que se le envíe publicidad".

Por otra parte, la recurrente rechaza el argumento de la Sala de instancia en el que se niega la aplicación del Reglamento comunitario por no haber cumplido los requisitos contemplados en el citado Reglamento, porque la norma no estaba en vigor y, por tanto, difícilmente puede exigírsele su cumplimiento.

La argumentación que se ha expuesto supone que la conducta sancionada, el tratamiento de datos personales para fines de mercadotecnia sin haber recabado el previo consentimiento del afectado, ha dejado de ser una conducta típica en la nueva regulación comunitaria y nacional, por lo que ésta habría de ser aplicada retroactivamente como norma más favorable y la sanción debería ser anulada.

El planteamiento de la recurrente no puede ser acogido.

No cabe duda de que el Reglamento comunitario y la Ley Orgánica 3/2018 han cambiado de manera sustancial la regulación de protección de datos. Es cierto, como señala la recurrente, que conforme al Reglamento de la Unión Europea es posible el tratamiento de datos personales sin contar con el consentimiento expreso y previo del afectado, estableciendo otros supuestos habilitantes para el tratamiento de datos, entre ellos, cuando sea " necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero" (artículo 6.1.f). Y también es cierto que el tratamiento de datos para la mercadotécnica directa tiene la consideración de un interés legítimo, según dispone el considerando 47 in fine y en el artículo 21 dedicado al derecho de oposición al tratamiento por parte del sujeto interesado.

Ahora bien, para cumplir ese fin legitimo el uso de los datos personales exige, según el Reglamento de la Unión, que el interesado haya tenido la oportunidad de oponerse a dicho tratamiento, y que este derecho se le haya comunicado explícitamente (vid. considerando 70 y artículo 21 antes citados del Reglamento UE).

Para poder aplicar de forma retroactiva el Reglamento de la Unión, al considerar que la conducta por la que fue sancionada habría dejado de ser típica, es preciso verificar si la consideración global del reglamento comunitario permite llegar a la conclusión de que en la aplicación al caso concreto es, en realidad, una norma más favorable desde la perspectiva sancionadora en que nos encontramos. Existe una jurisprudencia reiterada en la que hemos sostenido que la apreciación de que una norma sancionadora es más favorable ha de provenir de una consideración global y sistemática de la misma en su aplicación al caso concreto, no de una interpretación parcial de alguno de sus preceptos o de una consideración abstracta de las normas. Como señala la sentencia de esta Sala, Sección 5ª, de 30 de octubre de 2009 (recurso contencioso-administrativo 334/2006, F.J. 6º) « (...) la aplicación retroactiva de la norma más beneficiosa ha de hacerse determinando qué disposición es más favorable, mediante el contraste entre ambas, anterior y posterior, consideradas de modo global, no tomando lo que resulte más beneficioso de una y otra para crear, en realidad, una nueva disposición». Y en el mismo sentido se expresa la sentencia, también de la Sección 5ª, de 9 de marzo de 2010 (recurso contencioso-administrativo 553/2007, F.J. 6º).

Pues bien, tal y como señala la sentencia de instancia, en el caso que nos ocupa no consta que se le diese ocasión al interesado de manifestar su oposición al tratamiento de sus datos, como requiere el apartado 4 del propio artículo 21 del Reglamento ("a más tardar en el momento de la primera comunicación con el interesado, el derecho indicado en los apartados 1 y 2 será mencionado explícitamente al interesado y será presentado claramente y al margen de cualquier otra información"), por lo que el recurrente no acredita haber cumplido las exigencias impuestas por el Reglamento de la Unión para aplicar este supuesto.

Frente a ello, no puede admitirse la justificación alegada por la recurrente de que al no estar entonces en vigor el Reglamento no se le podría exigir el cumplimiento de sus exigencias. De acuerdo con lo antes dicho, el Reglamento comunitario no estaba en vigor ni para lo favorable ni para lo adverso, pero la consideración de si es o no una norma más favorable que la vigente en el momento de los hechos deriva de su aplicación in toto al caso concreto de que se trate, pues solo así constituye realmente una norma más favorable para dicho supuesto.

Por tanto, ni se pidió al interesado el consentimiento expreso y previo, como requería la Ley nacional de protección de datos de 1999, ni se le comunicó debidamente la utilización de sus datos en una campaña de mercadotecnia al objeto de que pudiera manifestar su oposición, tal como prevé el Reglamento comunitario en el citado artículo 21.4 y recoge también la Ley española de 2018 en su artículo 18.

Por todo ello, frente a lo que pretende la recurrente, no procede considerar aplicable retroactivamente el Reglamento comunitario 2016/679 a fin de excluir la tipicidad de la conducta sancionada.

La alegación sobre existencia de infracción continuada.

Como hemos visto en el antecedente cuarto, en el escrito de interposición del recurso de casación la recurrente alega que la sentencia recurrida incurre en infracción del artículo 4.6 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora, por no haber apreciado la existencia de una infracción continuada; y que como consecuencia de ello se ha vulnerado el principio de proporcionalidad.

Recordemos que el artículo 4.6 del Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora, aprobado por Real Decreto 1398/1993, de 4 agosto, dispone lo siguiente:

"No se podrán iniciar nuevos procedimientos sancionadores por hechos o conductas tipificados como infracciones en cuya comisión el infractor persista de forma continuada, en tanto no haya recaído una primera resolución sancionadora de los mismos, con carácter ejecutivo.

Asimismo, será sancionable, como infracción continuada, la realización de una pluralidad de acciones u omisiones que infrinjan el mismo o semejantes preceptos administrativos, en ejecución de un plan preconcebido o aprovechando idéntica ocasión".

La cuestión ya fue suscitada en el proceso de instancia, donde la parte actora aducía -como hace también en casación- que al incoarse el procedimiento la Agencia Española de Protección de Datos ya tramitaba otros expedientes sancionadores que estaban aún sin resolver, todos ellos por infracción de los mismos artículos 6 y 44.3.b/ de la LOPD y por hechos idénticos.

Ahora en casación la recurrente insiste en su alegato de que en la fecha de incoación del expediente (12 de abril de 2016) ya se encontraban en tramitación seis procedimientos sancionadores con ese mismo objeto (PS 47/2016, PS 53/2016, PS 107/2016 y PS 121/2016, PS 127/2016 y PS 128/2016) sin que hubiese recaído en ellos resolución, por lo que la iniciación del expediente que aquí nos ocupa (PS 190/2016) infringió lo dispuesto en el artículo 4.6 del Real Decreto 1398/93, entonces aplicable. Según la recurrente, no se debió incoar nuevo procedimiento sancionador hasta que se hubiera dictado resolución sancionadora en el primero de los iniciados.

Sostiene la recurrente que, al no haberlo apreciado así la Sala de instancia, ha resultado vulnerado el principio de proporcionalidad pues el modo en que procedió la Agencia Española de Protección de Datos supone una multiplicación desproporcionada de las sanciones impuestas que, en lugar de ser una sola, incluso en cuantía más elevada, determinó la imposición de una multa por infracción grave en cada uno de los procedimientos sancionadores. Así, Agencia incoó un total de quince procedimientos sancionadores contra la recurrente por idénticos hechos, dando lugar a un montante total de sanciones de 830.000 euros, cuando, apreciando la existencia de una única infracción continuada, el importe de la sanción habría debido oscilar entre los 40.001 y los 300.000 euros, conforme preveía la derogada LOPD para las infracciones graves.

Pues bien, el planteamiento de la recurrente no puede ser acogido; y ello por las razones que pasamos a exponer.

No hay infracción continuada ni, por tanto, vulneración del principio de proporcionalidad.

Como hemos visto en el antecedente segundo, la Sala de la Audiencia Nacional desestima el argumento de la recurrente invocando la sentencia de esta Sala del Tribunal Supremo de 28 de junio de 2013 (casación 1947/2010), en la que se indica que "[...] para apreciar la infracción continuada en el ámbito del derecho administrativo sancionador, que constituye una transposición de los contornos jurídicos de esta institución referidos en el artículo 74 del Código Penal, se exige que concurran con carácter general los siguientes requisitos: a/ La ejecución de una pluralidad de actos por el mismo sujeto responsable, próximos en el tiempo, que obedezcan a una práctica homogénea en el modus operandi por la utilización de medidas, instrumentos o técnicas de actuación similares. b/ La actuación del responsable con dolo unitario, en ejecución de un plan previamente concebido que se refleja en todas las acciones plurales que se ejecutan o con dolo continuado, que se proyecta en cada uno de los actos ejecutados al renovarse la voluntad infractora al presentarse una ocasión idéntica a la precedente. Y c) La unidad del precepto legal vulnerado de modo que el bien jurídico lesionado sea coincidente, de igual o semejante naturaleza [.]".

Partiendo de esa jurisprudencia, la Sala de la Audiencia Nacional señala que la concurrencia de los tres requisitos ha de ser acreditada por quien pretende la aplicación de la norma por serle más beneficiosa, lo que no ha sucedido en este caso pues únicamente cabría admitir el cumplimiento de lo dispuesto en los apartados a/ y c/. Además, señala la sentencia recurrida, hay que tener en cuenta la particular naturaleza del bien jurídico protegido por las normas, que son los datos personales de las personas físicas, que, como ha declarado el Tribunal Constitucional en su sentencia 292/2000, de 30 de noviembre, es un derecho fundamental, consagrado en el artículo 18.4 de la Constitución Española que, persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino, con el propósito de impedir su tráfico ilícito y lesivo para la dignidad y derechos del afectado. Así, dice la sentencia recurrida, « (...) la utilización sin consentimiento de los datos personales constituye una infracción individualizada, con independencia de que esa utilización o tratamiento de datos se lleve a cabo en el marco de una campaña publicitaria contratada entre diversas empresas, como las sancionadas en este procedimiento, y en otros muchos de los que ha conocido esta Sala, con múltiples destinatarios seleccionados en función de las características del producto y de las personales de los destinatarios; todo lo más, cabría apreciar la existencia de infracción continuada si, en el marco de tal campaña, los datos personales de un mismo titular fueran objeto de tratamiento inconsentido en diferentes ocasiones próximas en el tiempo, no, como ahora se trata, de diferentes destinatarios dentro de la misma o diferentes campañas, a los que no resulta de aplicación la figura de la infracción continuada» (F.J. 5º, vid. que antes hemos transcrito) .

Esa fundamentación de la sentencia de instancia requiere alguna puntualización.

Comenzando por este último punto al que acabamos de referirnos, no queda debidamente explicada en la sentencia recurrida la afirmación un tanto apodíctica que en ella se hace de que "...la utilización sin consentimiento de los datos personales constituye una infracción individualizada, con independencia de que esa utilización o tratamiento de datos se lleve a cabo en el marco de una campaña publicitaria contratada entre diversas empresas" (F.J. 5º). El alcance de esa formulación debe ser matizado, o si se prefiere, corregido, pues no cabe entender que en el ámbito de la protección de datos de carácter personal quede excluida, ni particularmente restringida, la posible apreciación de infracciones continuadas. Baste señalar que tanto el artículo 45.4.a/ de la anterior Ley Orgánica 15/1999, de 13 de diciembre -que es la norma aplicable al caso- como el artículo 76.2.a/ de la ahora vigente Ley Orgánica 3/2018, de 5 de diciembre, se refieren a " el carácter continuado de la infracción" como el primero de los criterios a tomar en consideración para la graduación de las sanciones.

Pero, una vez hecha esa puntualización, lo cierto es que en el caso que examinamos no cabe apreciar la existencia de una infracción continuada.

Según hemos visto, la sentencia de la Audiencia Nacional admite que concurren en este caso dos de los elementos que, según la jurisprudencia que cita, deben darse para que pueda apreciarse una infracción continuada (ejecución de una pluralidad de actos por el mismo sujeto responsable, próximos en el tiempo, que obedezcan a una práctica homogénea en el modus operandi; y unidad del precepto legal vulnerado de modo que el bien jurídico lesionado sea coincidente, de igual o semejante naturaleza); y, en cambio, considera la Sala de instancia que no ha quedado acreditada la concurrencia del tercer requisito exigible, esto es, que la actuación del responsable se haya llevado a cabo con dolo unitario, en ejecución de un plan previamente concebido, que se refleja en todas las acciones que se ejecutan, o con dolo continuado, que se proyecta en cada uno de los actos ejecutados.

La sentencia recurrida no abunda en explicaciones sobre la razón de ser de tales apreciaciones; pero, en efecto, admitiendo que en este caso tuvo lugar la ejecución de una pluralidad de actos por el mismo sujeto responsable, lo cierto es que no cabe considerar acreditada la existencia de un dolo unitario, en ejecución de un plan previamente concebido o de un dolo continuado.

Los distintos procedimientos sancionadores a que alude la recurrente tienen en común que se refieren a conductas llevadas a cabo por la entidad Meydis, S.L. con ocasión de campañas de mercadotecnia directa en las que se infringe el artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, por no haberse recabado el consentimiento de las personas afectadas. Pero, una vez constatados esos elementos de coincidencia, los datos que figuran en el apartado de hechos probados de las resoluciones sancionadoras dictadas por la Agencia Española de Protección de Datos en esos procedimientos ponen de manifiesto que se trata de campañas distintas, en las que los destinatarios de las misivas son convocados para que asistan a actos determinados, distintos en cada caso, y en lugares y fechas diferentes. Así:

- El expediente sancionador nº PS/00190/2016 -al que se refiere el presente recurso de casación- tiene su origen en una carta con los datos personales del denunciante (nombre, apellidos y dirección postal completa) en la que se le convocaba para un acto de objeto indeterminado, en el que se procedería al regalo de "un juego de sartenes cerámicas de cinco piezas", que tendría lugar el día 19 de febrero de 2015 en el Hotel Meliá María Pita de A Coruña.

- El expediente nº NUM001 (del que trae causa el recurso de casación nº 4454/2019) la denuncia se refiere a una misiva personalizada recibida en el domicilio del allí denunciante en la que se le convocaba a un evento (demostración comercial) que se realizaría el 16 de marzo de 2015 en el restaurante el Racó dén Binu, en La Roca del Vallés (Barcelona).

- El expediente nº NUM000 (que se examina en el recurso de casación 4738/2019) tiene su origen en la denuncia presentada por una persona distinta a las anteriores que recibió en su domicilio una carta personalizada en la que se le convocaba a una demostración comercial (sin especificar) que tendría lugar el día 21 de abril de 2015 en el Hotel Leika de Alicante.

- El expediente NUM002 (recurso de casación 4039/2019) se refiere a una convocatoria para un acto promocional en el Eurostars Hotel de la Reconquista, de Oviedo, el 26 de mayo de 2015.

- En el expediente sancionador NUM003 (recurso de casación 4377/2019) se denuncia la recepción de una carta personalizada en la que se convoca para un acto promocional en el restaurante Casa de los Navarros, en Barcelona, el 4 de marzo de 2015.

- El expediente NUM004 (recurso de casación 4697/2019) se refiere a una convocatoria en el Hotel Meliá Palas Atenea, en Palma de Mallorca, el 4 de marzo de 2015.

- El expediente nº NUM005 (recurso de casación nº 4756/2019) tiene su origen en la carta personalizada en la que se le convocaba al allí denunciante a un evento promocional ("productos de hogar y descanso") que se realizaría el 20 de julio de 2015 en el Hotel Bienestar, en Moaña (Pontevedra).

- El expediente NUM006 (recurso de casación 4713/2019) se refiere a una convocatoria en el Hotel Exe Puerta de Castilla, en Madrid, el 4 de marzo de 2015.

- El expediente nº NUM007 (que se examina en el recurso de casación 5082/2019) tiene su origen en la denuncia presentada por una persona distinta a las anteriores que recibió en su domicilio sendas cartas en las que se le convocaba actos acto que tendrían lugar los días 10 de junio y 11 de noviembre de 2015 en el restaurante Montemayor de Moguer.

- El expediente sancionador NUM008 (recurso de casación 5479/2019) se refiere a la convocatoria para un acto de "promoción para parejas y personas viudas" en el Hotel Ágora Juan de Austria, en Madrid, el 15 de octubre de 2015.

- El expediente sancionador NUM009 (recurso de casación 5285/2019) se refiere a una convocatoria en el Hotel Sercotel Gran Bilbao, en Bilbao, el 15 de enero de 2015.

Es cierto que el modus operandi de la empresa Meydys, S.L., que resultó sancionada en los citados expedientes de la Agencia Española de Protección de Datos, es similar en todos los casos; y, por ello mismo, las diligencias de investigación y trámites realizados en los diferentes procedimientos sancionadores son en parte coincidentes. Pero los datos que hemos consignado indican que los hechos a los que se refieren aquellos expedientes se incardinan en campañas de mercadotecnia distintas, en las que mediante cartas personalizadas se convoca a los destinatarios a actos distintos y en lugares y fechas diferentes.

Pese a que hay similitudes en el modo de proceder de la empresa infractora, nada indica que aquellas actuaciones formen parte de una única campaña de mercadotecnia o que respondan siquiera a un único designio o a un plan preconcebido. Y, como oportunamente recuerda la Sala de la Audiencia Nacional, quien alega que estamos en presencia de una infracción continuada es quien debe acreditar que se trata de una pluralidad de acciones que, además de infringir el mismo precepto, han sido realizadas con unidad de propósito y responden a un plan preconcebido, acreditación ésta que, como señala la sentencia recurrida, no se ha producido.

Por todo ello debemos concluir que no cabe apreciar en este caso la existencia de una infracción continuada; y, como consecuencia, no ha existido la vulneración que se alega del principio de proporcionalidad.

Sobre la infracción que se alega del artículo 12 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora, y del artículo 122 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, así como de la jurisprudencia relativa a las actuaciones previas de investigación, desde la perspectiva del artículo 6.4 del Código Civil (fraude de ley).

La recurrente sostiene que la sentencia recurrida vulnera dichos preceptos al no haber apreciado el uso fraudulento de las potestades de investigación previa que se reconocen a la Administración, por haberse prolongado de forma injustificada, incurriendo en el supuesto contemplado en el artículo 6.4 del Código Civil.

Esta Sala comparte el criterio del Tribunal de instancia, que, con base en la jurisprudencia representada por nuestra sentencia de 4 de noviembre de 2013 (casación 251/2011), considera que la práctica de las actuaciones previas por los Servicios de Inspección de la Agencia Española de Protección de Datos está plenamente justificada, pues los actos de investigación preliminares acordados resultaban pertinentes para recabar información sobre los hechos denunciados, referidos a una cesión de los datos personales del denunciante a una empresa, que determinó que recibiera en su dirección postal una convocatoria para participar en un acto promocional que tendría lugar el día 21 de abril de 2015 en el Hotel Leika de Alicante.

Entendemos que carece de fundamento la alegación de la recurrente sobre la utilización fraudulenta de las actuaciones previas de investigación por parte de los servicios de inspección de la Agencia Española de Protección de Datos, pues las irregularidades procedimentales denunciadas -haberse prolongado injustificadamente las actuaciones previas y de haberse finalizado éstas súbitamente- no están avaladas, como pone de relieve el Tribunal de instancia, por pruebas que acrediten que los actos de investigación no estuvieran justificados o se realizasen con intención fraudulenta.

Es oportuno citar aquí nuestra sentencia de 4 de noviembre de 2013 (casación 251/2011), en la que, acerca de las actuaciones previas, recordábamos que su incoación es potestativa, esto es, que la Administración no está obligada a abrir actuaciones previas pues puede, si así lo considera, acordar la incoación directa del procedimiento sancionador. También señalábamos en aquella sentencia que el artículo 122 del Reglamento de Desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, contempla la realización de actuaciones previas destinadas a determinar, con la mayor precisión posible, los hechos que pudieran justificar la incoación del procedimiento, identificar la persona u órgano que pudiera resultar responsable y fijar las circunstancias relevantes que pudieran concurrir en el caso, lo que indica que tales actuaciones tienen una naturaleza informativa de la que, sin duda, puede prescindir la Administración. En fin, el propio artículo 122, al expresar que "Con anterioridad a la iniciación del procedimiento sancionar se podrán realizar actuaciones previas ", corrobora el carácter potestativo de su incoación.

Tales consideraciones resultan plenamente aplicables al caso que ahora nos ocupa, pues en las actuaciones previas que fueron acordadas (petición de información y documentación a Correos, requerimientos de información al Hotel Leika de Alicante y a las entidades Macro Select Print, S.L., Meydis, S.L. y Plenisan, S.L.), así como en los términos temporales en que fueron practicadas, no se descubre ninguna irregularidad procedimental subsumible en las causas de nulidad de los actos administrativos, lo que determina que descartemos este motivo impugnatorio formulado contra la sentencia recurrida.

Conclusión. La cuestión jurídica en la que el auto de admisión del presente recurso apreció la concurrencia de interés casacional queda respondida con las consideraciones que hemos expuesto en el fundamento jurídico segundo.

Por tales razones, y por lo que hemos expuesto en los fundamentos jurídicos tercero a quinto de esta sentencia con relación a las demás cuestiones suscitadas por la parte recurrente, procede que declaremos no haber lugar al presente recurso de casación.

De conformidad con lo dispuesto en los artículos 93.4, 139.1 y 139.4 de la Ley reguladora de esta Jurisdicción, entendemos que no procede la imposición de las costas derivadas del recurso de casación a ninguna de las partes, abonando cada una las causadas a su instancia y las comunes por mitad. Y en cuanto a las costas del proceso de instancia, debe mantenerse el pronunciamiento que hizo al respecto la Sala de la Audiencia Nacional.

Vistos los preceptos citados, así como los artículos 86 a 95 de la Ley de esta Jurisdicción,

No comparto la decisión mayoritaria de afrontar en esta sentencia el examen y resolución de las cuestiones que fueron expresamente rechazadas por la Sección de Admisión de esta Sala Tercera.

(i) El auto dictado por la Sección de Admisión en fecha 5 de diciembre de 2019 en el RCA 3753/2019 (el primero de los doce recursos a que ahora nos referiremos) rechazó expresamente dos de las cuestiones de interés casacional propuestas por la parte recurrente (las relativas al carácter continuado de la infracción y al uso indebido o fraudulento de las actuaciones previas) y admitió exclusivamente la cuestión referida a si puede considerarse lícito el tratamiento de datos personales con fines de mercadotecnia directa cuando, a pesar de no haber otorgado el interesado su consentimiento, concurriere un interés legítimo en el responsable del tratamiento.

Posteriormente, los autos de admisión dictados en los recursos números 4037/2019, 4039/2019, 4377/2019, 4697/2019, 4756/2019, 5082/2019 (todos ellos de fecha 13/12/19), 4713/2019 y 5285/2019 ( ambos de fecha 17/1/2020), 4454/2019 y 4738/2019 ( los dos de fecha 31/1/2020) y 5479/2019 ( de fecha 13/3/2020) se pronunciaron en idéntico sentido, aunque la redacción empleada no fuera exactamente la misma en todos ellos, llegando incluso en los RCA 4037/2019, 4697/2019, 4454/2019, 4713/2019, 5285/2019 y 5479/2019 a efectuarse una referencia a la identidad de las cuestiones planteadas en ellos con "las suscitadas en el RCA 3753/2019, que hemos inadmitido en ATS de fecha 5 de diciembre de 2019", lo que justificaba que en esas ocasiones se llegara a la misma conclusión (si bien conviene señalar, para mayor precisión, que en los RRCA 5285/2019 y 5479/2019 solo una de las cuestiones en ellos planteadas y rechazadas era coincidente con las suscitadas en el RCA 3753/2019).

(ii) No es éste el momento para dilucidar si la Sección de Admisión puede o no rechazar o inadmitir cuestiones que la parte recurrente proponga por estimar que tienen interés casacional o si, en realidad, lo que debería ser admitido o inadmitido por la Sección de Admisión es exclusivamente el recurso de casación y no las indicadas cuestiones. Lo relevante es que en este caso -al margen de la mayor o menor precisión jurídica de la fórmula utilizada- la Sección de Admisión rechazó expresamente las dos cuestiones al principio mencionadas en virtud de auto firme en todos y cada uno de los recursos citados.

Por tanto, siendo esto así, considero que la decisión mayoritaria de examinar y resolver en esta sentencia esas dos cuestiones rechazadas o inadmitidas expresamente por la Sección de Admisión significa incurrir, cuando menos, en una grave contradicción de criterio con otra Sección de la misma Sala, circunstancia que en nada se compadece con la necesaria seguridad jurídica que los órganos jurisdiccionales y, con mayor motivo, el Tribunal Supremo, estamos obligados a proporcionar a los ciudadanos en general y a los profesionales del derecho en particular.

De aquí la necesidad de unificar criterios al respecto en el seno de la Sala Tercera porque, incluso aunque se aceptara la argumentación de que, por vía de interpretación de la normativa reguladora del actual recurso de casación, fuera admisible la posibilidad de examinar en sentencia cuestiones expresamente inadmitidas o rechazadas por la Sección de Admisión, considero que ello no debería nunca hacerse de manera unilateral por una de las Secciones de la Sala Tercera, al margen de las restantes Secciones de la Sala.

Por el contrario, entiendo que, incluso en tal hipótesis, sería siempre preferible, para lograr la mayor efectividad posible del principio de seguridad jurídica, someter esta cuestión polémica a la consideración del Pleno -por cualquiera de las vías previstas legalmente al efecto-, propiciando de este modo que todas las Secciones de la Sala pudieran adoptar una solución uniforme a este respecto y garantizando así la igualdad en la aplicación de la ley, fuera cual fuese la solución que se adoptara mayoritariamente en el Pleno.

A mi entender, no representa un obstáculo definitivo para ello el hecho de que el asunto ya hubiera comenzado a deliberarse. La deliberación termina cuando se firma la sentencia por todos los magistrados y no son pocas las veces en que, tras una primera aproximación a la solución del caso enjuiciado, son necesarias varias sesiones para precisar o matizar definitivamente la solución provisionalmente adoptada, o para ajustar los términos en que deba quedar redactada la sentencia.

Pero, incluso aunque se entendiese que una vez comenzada la deliberación ya no es posible elevar un asunto al Pleno jurisdiccional ( artículo 92 LJCA), no aprecio obstáculo procesal ni orgánico para interrumpir o suspender provisionalmente la deliberación comenzada y someter en abstracto la cuestión controvertida -esto es, si cabe o no examinar y resolver en sentencia cuestiones previamente inadmitidas o rechazadas en la fase de admisión- a un Pleno no jurisdiccional, cuya decisión podría ser tenida en consideración por esta Sección, a la que después correspondería retomar y continuar hasta su conclusión la deliberación interrumpida aunque, eso sí, ajustándose en el extremo controvertido al criterio mayoritario que hubiera adoptado el Pleno de la Sala.

Esta posibilidad aun cobra mayor sentido cuando, como en este caso, nos encontramos ante una serie de doce recursos sustancialmente idénticos en cuanto a las cuestiones que en ellos se suscitan, que han sido señalados para su deliberación y fallo en diferentes días, de manera que, respecto de aquéllos cuya deliberación todavía no hubiera comenzado por no haber llegado el día señalado al efecto, aun sería menos dificultoso someter la cuestión controvertida a un Pleno, fuera éste jurisdiccional o no jurisdiccional.

(iii) Conviene resaltar, por otra parte, que no estamos ante un supuesto en el que la Sección de Admisión haya admitido expresamente sólo una de las cuestiones planteadas en la instancia y en el escrito de preparación de la casación, habiendo guardado silencio sobre el resto de las referidas cuestiones. En ese supuesto, a mi entender, no habría obstáculo definitivo para que la Sección de Enjuiciamiento examinase y resolviese las otras cuestiones planteadas, sobre todo cuando tales cuestiones estuviesen tan íntimamente relacionadas con la que fue expresamente admitida que fuera necesario efectuar un pronunciamiento sobre aquéllas para poder decidir sobre ésta.

Pero ese no es el caso ahora, porque, en realidad, no necesitábamos resolver las dos cuestiones expresamente rechazadas por la Sección de Admisión para poder dictar el pronunciamiento correspondiente a la cuestión que sí fue admitida en este recurso.

(iv) Por otra parte, parece evidente que si se aceptara el planteamiento que se propugna mayoritariamente en la sentencia -poder entrar a enjuiciar en sentencia cuestiones expresamente inadmitidas o rechazadas por la Sección de Admisión-, la aplicación de dicho planteamiento debería hacerse de manera uniforme y generalizada, no pudiendo dejarse su aplicación o no aplicación en cada supuesto a la decisión discrecional de esta Sección (o de las otras Secciones de enjuiciamiento) sin que previamente se hubieran acordado y dado a conocer públicamente los criterios utilizados al efecto para ello porque, en caso contrario, padecería gravemente el principio de seguridad jurídica.

En este sentido -y, aunque sólo lo expongo ahora a modo de reflexión, dado que en el supuesto examinado hemos desestimado el recurso de casación por decisión unánime- no es desdeñable el riesgo que conlleva en la práctica la aplicación de ese planteamiento del que discrepo. Tal aplicación podría dar lugar a que se estimase un recurso de casación tras examinarse y resolverse en sentencia una cuestión expresamente inadmitida o rechazada por la Sección de Admisión en virtud de un auto firme. Y ello podría significar que la Sección de enjuiciamiento incurriera en una vulneración del derecho a la tutela judicial efectiva por incumplimiento del artículo 118 CE, que perjudicaría a la parte recurrida, al adoptarse una decisión no previsible y que, materialmente, habría dejado sin efecto la decisión de inadmisión de la cuestión previamente adoptada en el auto firme dictado por la Sección de Admisión.

En definitiva, tras valorar conjuntamente las razones expuestas, considero que la Sección no debería haber entrado a resolver en sentencia las cuestiones que fueron en su día rechazadas por la Sección de Admisión, ni -menos aún- debería haber procedido al enjuiciamiento de aquéllas sin intentar someter previamente esa posibilidad a la consideración del Pleno de la Sala.

Sin perjuicio de lo anterior y, aunque comparto la decisión mayoritaria de no apreciar en este caso la existencia de infracción continuada, discrepo con parte de la fundamentación de la sentencia referida a ese extremo, en concreto con la contenida en los siguientes párrafos:

"(...) Es cierto que el modus operandi de la empresa Meydis, S.L., que resultó sancionada en los citados expedientes de la Agencia Española de Protección de Datos, es similar en todos los casos; y, por ello mismo, las diligencias de investigación y trámites realizados en los diferentes procedimientos sancionadores son en parte coincidentes. Pero los datos que hemos consignado indican que los hechos a los que se refieren aquellos expedientes se incardinan en campañas de mercadotecnia distintas, en las que mediante cartas personalizadas se convoca a los destinatarios a actos distintos y en lugares y fechas diferentes.

Pese a que hay similitudes en el modo de proceder de la empresa infractora, nada indica que aquellas actuaciones formen parte de una única campaña de mercadotecnia o que respondan siquiera a un único designio o a un plan preconcebido. Y como oportunamente recuerda la Sala de la Audiencia Nacional, quien alega que estamos en presencia de una infracción continuada es quien debe acreditar que se trata de una pluralidad de acciones que, además de infringir el mismo precepto, han sido realizadas con unidad de propósito y responden a un plan preconcebido, acreditación ésta que, como señala la sentencia recurrida, no se ha producido".

Mi discrepancia se basa en las siguientes consideraciones, que estimo relevantes a este respecto:

(i) En primer lugar, considero que la infracción continuada puede existir, aunque la actuación infractora (el tratamiento inconsentido de datos) se proyecte sobre varias campañas de mercadotecnia y no sobre una sola, y aunque los destinatarios de las misivas de esas campañas diversas sean convocados para asistir a actos determinados, distintos en cada caso y en lugares y fechas diferentes.

La ley no exige que estemos ante una única campaña para poder apreciar la existencia de una infracción continuada, ni limita la posibilidad de su apreciación a los supuestos en que los destinatarios de las misivas sean convocados para asistir a un solo acto promocional, en un mismo lugar y en idéntica fecha.

A mi juicio, para poder apreciar si en el caso examinado ha existido o no un designio único, un plan preconcebido, o el aprovechamiento de idéntica ocasión, hay que tener en cuenta cuándo se realiza la conducta típica. Dado que ésta consiste en el tratamiento de datos sin autorización, la infracción se habría materializado y consumado cuando, sin la autorización de los destinatarios, se consignaron los datos personales de los que éstos eran titulares en los respectivos sobres, se introdujo en ellos la publicidad o la convocatoria correspondiente y se formalizaron los envíos.

Si se hubiera acreditado que, bien en un momento anterior o, al menos, en el momento en que se produjo la consumación de la infracción concurría esa unidad de propósito en el sujeto infractor, y que éste proyectaba ese único designio infractor sobre las distintas campañas a realizar (aunque en cada una de éstas hubiere múltiples destinatarios, convocados para asistir a diversos actos promocionales, en fechas y lugares diferentes), no existiría obstáculo alguno, a mi juicio, para poder apreciar la existencia de una infracción continuada.

Lo que ocurre, sin embargo, es que en este caso no ha quedado acreditado que existiera ese designio infractor único con anterioridad ni, tampoco, en el momento de comisión de la infracción y en ello coincido con el parecer mayoritario.

Es más, en realidad, ni siquiera se ha demostrado la fecha o fechas concretas en que se materializó cada una de las utilizaciones inconsentidas de los datos de los destinatarios de las diferentes campañas, ni se ha probado que tales utilizaciones inconsentidas de los datos relativos a las diferentes campañas se produjeran en el mismo momento, en unidad de acto.

(ii) En segundo lugar, considero que no es asumible el razonamiento empleado en la sentencia para rechazar la alegación de la parte recurrente referida a la procedencia de imponer en este caso la sanción correspondiente a la infracción continuada, concretamente en cuanto establece que "(...) quien alega que estamos en presencia de una infracción continuada es quien debe acreditar que se trata de una pluralidad de acciones que, además de infringir el mismo precepto, han sido realizadas con unidad de propósito y responden a un plan preconcebido (...)".

En el supuesto enjuiciado nos movemos en el ámbito del Derecho administrativo sancionador, al que son aplicables, con matices, los principios del Derecho penal. Así lo recuerda nuestra reciente sentencia nº 1.382/2020, de 22 de octubre, con cita de las SSTC nº 9/2018, 1/2020 y 47/2020. Éstas, a su vez, invocan la doctrina sentada en otras sentencias precedentes en relación con la vigencia en el seno del procedimiento administrativo sancionador de un amplio abanico de garantías del artículo 24 de la Constitución, incluyendo entre ellas, sin ánimo de exhaustividad, el derecho a la presunción de inocencia, que implica que la carga de la prueba de los hechos constitutivos de la infracción recaiga sobre la Administración, así como el derecho a no declarar contra sí mismo.

Con base en esta doctrina, es claro que la Administración que pretenda sancionar una conducta que estima constitutiva de infracción es quien debe desarrollar su actividad investigadora con el alcance y en la forma previstos en la ley y, también, que a esa Administración cabe exigirle, en definitiva, la prueba de la infracción, siendo ella, por tanto, la que debe aportar los datos que demuestren la concurrencia de los elementos objetivo y subjetivo de la infracción.

En esa tarea la Administración debe actuar con objetividad e imparcialidad, tomando en consideración y aportando al expediente sancionador tanto lo que sea favorable como lo que sea desfavorable al sujeto presuntamente infractor. Así se infiere del artículo 103 de la Constitución cuando establece en su apartado 1 que " La Administración Pública sirve con objetividad los intereses generales y actúa de acuerdo con los principios de eficacia, jerarquía, descentralización, desconcentración y coordinación, con sometimiento pleno a la ley y al Derecho", añadiendo en su apartado 3 que "La ley regulará el estatuto de los funcionarios públicos...y las garantías para la imparcialidad en el ejercicio de sus funciones".

Por tanto, desde una perspectiva conceptual, no cabe desplazar hacia el sujeto sancionado la carga de demostrar -a modo de condición para poder apreciar la existencia de una infracción continuada- que en la realización de los diversos actos típicos actuó con unidad de propósito infractor, pues dicha exigencia comporta ineludiblemente la contravención de los principios que informan el derecho administrativo sancionador a los que antes nos referimos.

Cosa distinta es que en el presente caso la solicitud de aplicación del carácter continuado de la infracción efectuada por el sujeto sancionado no pueda atenderse porque, pese a que esa solicitud comporte implícitamente el reconocimiento de la concurrencia de los elementos objetivo y subjetivo de la infracción de carácter continuado (incluido, por tanto, el propósito infractor único), no conste la existencia de otros datos concordantes que pudieran avalar, objetivamente, la concurrencia de ese designio infractor unitario en el momento de la comisión de la infracción o en un momento anterior.

Y la falta de constancia de esos datos nos permite deducir que, en realidad, ese reconocimiento tácito del sujeto sancionado estaba exclusivamente guiado por el ánimo interesado de conseguir la imposición de una sanción más favorable para él que la que resulta de sumar las diversas sanciones que le han sido impuestas en los diferentes procedimientos sancionadores seguidos contra él.

Por ello, en consecuencia, coincido con el parecer mayoritario en que no cabe apreciar en este caso la comisión de una infracción continuada, aunque esta conclusión esté basada en razonamientos distintos de los expresadas en la sentencia.

En Madrid, en la misma fecha de la sentencia.

D. Fernando Román García

PUBLICACIÓN.- Leída y publicada fue la anterior sentencia, estando constituida la Sala en Audiencia Pública, lo que certifico