STS 1476/2020, 10 de Noviembre de 2020

En el proceso contencioso-administrativo número 810/2016, la Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional dictó sentencia el 12 de febrero de 2019, cuyo fallo dice literalmente:

"PRIMERO.- Desestimar el presente recurso n° 810/2016 interpuesto por la Procuradora Sra. González Rivero, en la representación que ostenta, contra la Resolución de la Agencia Española de Protección de Datos descrita en el primer Fundamento de Derecho, que se confirma por ser conforme a derecho.

Imponer a la demandante las costas del recurso.".

El pronunciamiento desestimatorio del recurso contencioso-administrativo se basó en la exposición de las siguientes consideraciones jurídicas:

"[...] Se alega en la demanda la violación del artículo 4.6 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento de procedimiento para el ejercicio de la potestad disciplinaria que dispone que "No se podrán iniciar nuevos procedimientos sancionadores por hechos o conductas tipificados como infracciones en cuya comisión el infractor persista de forma continuada, en tanto no haya recaído una primera resolución sancionadora de los mismos, con carácter ejecutivo.

Asimismo, será sancionable, como infracción continuada, la realización de una pluralidad de acciones u omisiones que infrinjan el mismo o semejantes preceptos administrativos, en ejecución de un plan preconcebido o aprovechando idéntica ocasión".

Aunque este Reglamento ha sido derogado por la Ley 39/2015, de 1 de octubre (Disposición Derogatoria Única), que incorpora el contenido de su primer párrafo en el artículo 63.3., resultaría de aplicación al procedimiento administrativo ratione temporis en aplicación de lo dispuesto en la Disposición Transitoria Tercera de la Ley 39/2015, que aún no había entrado en vigor en la fecha de la resolución aquí impugnada.

Así, a juicio de la demandante, al incoarse el procedimiento ya tramitaba la Agencia expedientes sancionadores aún sin resolver, por infracción de los mismos artículos 6 y 44.3 b) LOPD, por hechos idénticos, consistentes en el envío de documentación comercial de PLENISAN con datos de ficheros de Macro Select Print para la convocatoria de un acto de promoción de productos de aquélla; tal infracción la coloca en una posición jurídica mucho más gravosa al suponer la imposición de una multa por cada denuncia y vulnera el principio de igualdad, al actuar de forma distinta a como lo ha hecho en casos análogos, de los que cita, como ejemplo, el PS/621/2012, en que se acumularon cinco denuncias en un solo procedimiento, y considera infringido, también, el principio de seguridad jurídica y el de confianza legítima.

La alegación no puede ser estimada; en primer lugar, como ha declarado el Tribunal Supremo en su sentencia de 28 de junio de 2013 R. 1947/2010, que cita otra anterior de 30 de noviembre de 2004 (R. 6573/2001), "[...] para apreciar la infracción continuada en el ámbito del Derecho administrativo sancionador, que constituye una transposición de los contornos jurídicos de esta institución referidos en el artículo 74 del Código Penal, se exige que concurran con carácter general los siguientes requisitos:

1. La ejecución de una pluralidad de actos por el mismo sujeto responsable, próximos en el tiempo, que obedezcan a una práctica homogénea en el modus operandi por la utilización de medidas, instrumentos o técnicas de actuación similares.

2. La actuación del responsable con dolo unitario, en ejecución de un plan previamente concebido que se refleja en todas las acciones plurales que se ejecutan o con dolo continuado, que se proyecta en cada uno de los actos ejecutados al renovarse la voluntad infractora al presentarse una ocasión idéntica a la precedente.

Y c) La unidad del precepto legal vulnerado de modo que el bien jurídico lesionado sea coincidente, de igual o semejante naturaleza [...]".

La concurrencia de estos requisitos ha de ser debidamente acreditada por quien pretende la aplicación de la norma por serle más beneficiosa, lo que no ha sucedido en este caso en que únicamente cabría admitir el cumplimiento de lo dispuesto en los apartados a) y c); hay que tener en cuenta, además, la particular naturaleza del bien jurídico protegido por las normas, que son los datos personales de las personas físicas, que, como ha declarado el Tribunal Constitucional en su sentencia 292/2000, de 30 de noviembre, es un derecho fundamental, consagrado en el artículo 18.4 de la Constitución Española que, a diferencia del derecho a la intimidad del art. 18.1 CE, con el que comparte el objetivo de ofrecer una eficaz protección constitucional de la vida privada personal y familiar, persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino, con el propósito de impedir su tráfico ilícito y lesivo para la dignidad y derechos del afectado.

En este sentido, la utilización sin consentimiento de los datos personales constituye una infracción individualizada, con independencia de que esa utilización o tratamiento de datos se lleve a cabo en el marco de una campaña publicitaria contratada entre diversas empresas, como las sancionadas en este procedimiento, y en otros muchos de los que ha conocido esta Sala, con múltiples destinatarios seleccionados en función de las características del producto y de las personales de los destinatarios; todo lo más, cabría apreciar la existencia de infracción continuada si, en el marco de tal campaña, los datos personales de un mismo titular fueran objeto de tratamiento inconsentido en diferentes ocasiones próximas en el tiempo, no, como ahora se trata, de diferentes destinatarios dentro de la misma o diferentes campañas, a los que no resulta de aplicación la figura de la infracción continuada.

De tal forma lo ha entendido esta Sala en asuntos similares, siguiendo el criterio del Tribunal Supremo; así, en las sentencias de 4-07-2017, R. 1770/2015 y de 10-07-2018, R. 550/2016, dictadas en recursos frente a resoluciones sancionadoras por publicidad comercial encubierta en las que se rechazó la pretensión de considerar las diferentes infracciones como una sola continuada, conforme a la sentencia del Tribunal Supremo de 30 de julio de 2013, citando la SAN objeto del recurso de casación, que señala:

"[...] La sanción, como una única infracción, de un conjunto de actos de promoción publicitaria produciría un directo incremento, exponencial si se quiere, de la utilidad económica que tiene su comisión para la empresa de que se trate, al tiempo que producirá una gradual y paralela reducción de sus costes (sancionadores). Con ello, al obtener mayor beneficio las empresas cuantos más actos de inserción publicitaria produzcan y, al tiempo, al minimizar sus costes sancionadores de modo correlativo, la aplicación de la norma en la manera que la recurrente pretende serviría para fomento de la infracción en lugar de cauce de prevención. Y todo ello, además, elevando los daños para los ciudadanos, para su información objetiva y para su libertad de consumo, que son precisamente los bienes jurídicos que la norma pretende tutelar [...]".

Y concluye :

"[...] Como conclusión el Tribunal estima inaplicable, al presente caso, el artículo 4.6 del Real Decreto 1398/1993 porque comportaría contravención de la necesaria proporcionalidad entre la infracción y la sanción; porque, por la singular naturaleza económica de la actividad, iría en fomento de la infracción en lugar de operar el principio de prevención (general y especial); y porque incluso, en los casos límite, pueden verse afectados bienes de carácter personal como la libertad referida a los actos de consumo [...]".

El ejemplo que se propone en la demanda (procedimiento de la AEPD PS/621/2012) no puede fundamentar la infracción de los principios de igualdad, seguridad jurídica y confianza legítima que se alega; en primer lugar no se aportan todos los datos que permitirían establecer adecuadamente la comparación, siendo insuficiente, a este respecto, el hecho de que en ese expediente y en el aquí analizado se trataba de campañas de marketing directo en las que, como aquí, intervenían varias compañías, pues hay que demostrar que concurren en ambos casos todos los elementos que exige la jurisprudencia citada antes; en segundo lugar porque, aún admitiendo la similitud, la actuación que se considera correcta y conforme a la doctrina es la que rechaza, en estos casos, la consideración, como continuada, de la infracción, a la que no se ajustaría la actuación administrativa propuesta como comparación.

Esta conclusión excluye la infracción de los principios que alegan porque, como se expuso en la sentencia de 30 de abril de 2015 (R. 242/2013), "[...] En relación con la doctrina de los actos propios resultan de interés lo declarado en las Sentencias del Tribunal Supremo de 28 de diciembre 2012 -recurso nº. 273/2009- y 3 julio 2013 -recurso nº. 2.511/2011-, entre otras, que tratan sobre la infracción del principio de vinculación por actos propios, doctrina, surgida originariamente en el ámbito del derecho privado, que significa la vinculación del autor de una declaración de voluntad al sentido objetivo de la misma y la imposibilidad de adoptar después un comportamiento contradictorio, estando la misma doctrina estrechamente ligada al principio de buena fe y de protección de la confianza legítima, positivizados en el artículo 3.1 de la Ley 30/1992, de 216 de noviembre, y que ha sido acogida igualmente por la jurisprudencia del Tribunal Supremo ( SS.TS. de 1 de febrero de 1990; 13 de febrero y 4 de junio de 1992; 28 de julio de 1997). En consecuencia, tal doctrina, indican las citadas Sentencias, supone que la actuación de las Administraciones Públicas no puede ser alterada arbitrariamente, y añaden: ‹ ‹En concreto, en la STS de esta Sala de 26 de febrero de 2001, RC 5453/1995 dijimos que "Tanto la doctrina del Tribunal Constitucional como la Jurisprudencia de este Alto Tribunal (STS de 1 de febrero de 1999 ) considera que el principio de buena fe protege la confianza que fundadamente se puede haber depositado en el comportamiento ajeno e impone el deber de coherencia en el comportamiento propio. Lo que es tanto como decir que dicho principio implica la exigencia de un deber de comportamiento que consiste en la necesidad de observar de cara al futuro la conducta que los actos anteriores hacían prever y aceptar las consecuencias vinculantes que se desprenden de los propios actos, constituyendo un supuesto de lesión a la confianza legítima de las partes "venire contra factum propium". Ahora bien, este principio no puede invocarse para crear, mantener o extender, en el ámbito del Derecho público, situaciones contrarias al ordenamiento jurídico, o cuando del acto precedente resulta una contradicción con el fin o interés tutelado por una norma jurídica que, por su naturaleza, no es susceptible de amparar una conducta discrecional por la Administración que suponga el reconocimiento de unos derechos y/u obligaciones que dimanen de actos propios de la misma. O, dicho en otros términos, la doctrina invocada de los "actos propios" sin la limitación que acaba de exponerse podría introducir en el ámbito de las relaciones de Derecho público el principio de la autonomía de la voluntad como método ordenador de materias reguladas por normas de naturaleza imperativa, en las que prevalece el interés público salvaguardado por el principio de legalidad; principio que resultaría conculcado si se diera validez a una actuación de la Administración contraria al ordenamiento jurídico por el solo hecho de que así se ha decidido por la Administración o porque responde a un precedente de ésta».

Con la alegación de la parte actora, de la existencia de precedentes administrativos, lo que se pretende es extender, en el ámbito del Derecho público, situaciones contrarias al ordenamiento jurídico, pues, en el caso que nos ocupa, como hemos analizado, cabe apreciar en la conducta de la parte actora la infracción del art. 6.1 de la LOPD en relación con el art. 46 del RDLOPD, siendo indiferente al respecto que en otros supuestos, la Agencia Española de Protección de Datos, no haya sancionado a la entidad que contrataba la campaña de publicidad [...]".

[...] Íntimamente relacionada con la alegación anterior está la que califica de fraudulenta la incoación de actuaciones previas por parte de la AEPD, que no eran necesarias, y cuyo propósito único era burlar la aplicación de lo dispuesto en el artículo 122.4 ReglLOPD, es decir, la caducidad de las actuaciones inspectoras, cuyo resultado ha sido empeorar considerablemente la situación jurídica de la demandante.

La alegación carece de fundamento pues, aunque se admitiera que las actuaciones se concluyeran con cierta precipitación -el agotamiento del plazo máximo de doce meses es un hecho, como se ha visto al tratar de la caducidad-, ello no quiere decir que no estuvieran justificadas, como dice la demandante.

A este respecto conviene señalar que la práctica de estas actuaciones es de la exclusiva competencia de la Agencia para determinar si concurren circunstancias que justifican la apertura del procedimiento sancionador (artículo 122.1 y 2. ReglLOPD).

Como ha declarado el Tribunal Supremo en la sentencia de 4 de noviembre de 2013 (R. 251/2011) ante una alegación similar, "[...] Interesa destacar en primer lugar que su incoación es potestativa, esto es, que la administración no está obligada a abrir actuaciones previas; puede, si así lo considera, acordar la incoación directa del procedimiento sancionador. Orientadas, conforme expresa el artículo 122 del Reglamento de Desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, a determinar, con la mayor precisión posible, los hechos que pudieran justificar la incoación del procedimiento, identificar la persona u órgano que pudiera resultar responsable y fijar las circunstancias relevantes que pudieran concurrir en el caso, tiene una naturaleza informativa de la que sin duda puede prescindir la Administración. El propio artículo 122, al expresar que "Con anterioridad a la iniciación del procedimiento sancionar se podrán realizar actuaciones previas" , corrobora el carácter potestativo de su incoación.

[...]

Pues bien, orientadas las actuaciones previas, conforme precedentemente advertimos, a determinar, con la mayor precisión posible los hechos y la persona responsable, y ello con la finalidad de decidir si procede o no acordar la incoación del expediente sancionador, aún admitiendo que se desnaturaliza su finalidad cuando su incoación, tal como se reconoce en la sentencia recurrida, se justifica esencialmente en el volumen de trabajo de la agencia, aún así el motivo debe desestimarse.

La razón para alcanzar la conclusión anunciada estriba precisamente en el carácter potestativo e informativo de las actuaciones previas, en conexión con que la caducidad del procedimiento sancionador tiene lugar por el transcurso del plazo previsto entre la incoación del mismo y la notificación al interesado de la resolución final. Así como el tiempo transcurrido en la práctica de las actuaciones previas no se computa a los efectos de paralizar el plazo de prescripción, tampoco debe considerarse para apreciar la caducidad del procedimiento sancionador, debiéndose resaltar que la normativa de aplicación no obliga a la Administración demandada a incoar el procedimiento sancionador en un plazo determinado, salvo aquel que surge del instituto de la prescripción e insistir en que tampoco está compelida a la incoación de las actuaciones previas [...]".

Por otra parte, no se ha aportado ningún elemento de prueba que permita apoyar la afirmación de que el objetivo de la Agencia no era determinar si había existido una actuación contraria a la norma, sino que se limitó a mantenerlas abiertas durante casi doce meses y, justo antes de que transcurriese el año, acordó iniciar el procedimiento sancionador; la simple lectura de los antecedentes de hecho primero y segundo de la resolución permiten comprobar las actuaciones realizadas en esa fase, su variada naturaleza y, en particular, su pertinencia para justificar la iniciación del procedimiento, por lo que esta alegación debe ser desestimada.

[...] Al amparo del artículo 24.2 de la Constitución, se alega indefensión derivada de la denegación indebida de prueba solicitada, por omisión del trámite de alegaciones complementarias y por no consideración de sus alegaciones e incongruencia omisiva de la Resolución; esta última se refiere a la presentación de un escrito ante la Agencia, el 24 de mayo de 2016, que no fue integrado en el expediente, en el que se pedía que se considerase atípica la conducta al resultar así del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016; esta observación, no obstante, no se contiene en el posterior escrito de alegaciones a la propuesta de resolución de 5 de agosto de 2016, lo que justificaría que no se tratase en la resolución; no obstante, como se formula también en la demanda, será examinada posteriormente.

En cuanto a la denegación de prueba, consistente en la realización de determinadas comprobaciones sobre una dirección de IP que Meydis reputaba como verdadera, para demostrar cuál era la dirección a la que se conectaba Macro Select para depositar sus ficheros, frente a aquella sobre la que se habían realizados comprobaciones por la inspección de la Agencia y que tenía por objeto verificar que la primera no era la que permitía acceder a la FTP de la empresa, sino una IP interna de su red local, según resultaba, a juicio de la demandante, del informe pericial por ella aportado.

La denegación de la prueba, precedida por las aclaraciones aportadas por el inspector que realizó las comprobaciones, se razona detalladamente en la resolución (Fundamentos de derecho III y VII) en las que se lee que la razón por la que se realizaron las pruebas en la dirección IP 192.148.100.92, fue, sencillamente, porque es la que proporciono Meydis durante la inspección, y el informe pericial analiza las circunstancias del sistema en un momento posterior a la realización de la inspección, por lo que difícilmente podía tener valor alguno sobre lo comprobado in situ por los inspectores; añade que durante la inspección estuvo presente el director comercial y de tecnología de Meydis, que no formuló ninguna observación sobre que la dirección fuese incorrecta.

Estas explicaciones parecen razonables y, desde luego, excluyen la indefensión alegada, que tampoco cabe apreciar por la omisión del trámite de actuaciones complementarias con el mismo objeto anterior, consistente ahora en que se solicitase a los operadores de telecomunicaciones los datos de conexión y tráfico correspondientes a las conexiones realizadas a la IP; también en la resolución se explica de modo exhaustivo lo sucedido (Fundamento de derecho VII, páginas 70, 71 y 72) que se resume en que Meydis inicialmente negó la autorización para solicitar la información a los operadores y que la fecha pretendida por Meydis (15 de marzo de 2015) no tendría efecto material alguno, dado que los operadores no estaban obligados a guardar la información más allá del plazo de un año, conforme a la Ley 25/2007, de 28 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones.

[...] Se invoca como infringida la doctrina del levantamiento del velo, ya que la resolución se basa en meras sospechas para afirmar que Macro Select era absolutamente dependiente de Meydis; esta doctrina tiene su fundamento "[...] en la equidad y en el principio de buena fe ( artículo 7º1 del Código Civil), en la superación del «fraus legis» en perjuicio de interés legítimo de terceros ( art. 6º 4 del Código Civil), en evitar el abuso de derecho, y el ejercicio antisocial del mismo ( art. 7.2 del Código Civil) y por último en la simulación de los actos y contratos [...]" (St TS de 21 de septiembre de 2010 (R.4347/2005), y en virtud de ella se "[...] autoriza a los jueces a penetrar en el verdadero sustrato personal de las entidades y sociedades con el propósito de evitar que, en fraude de ley (prohibido también por el artículo 6.4 del repetido Título Preliminar [del Código civil]), hagan uso de su personalidad jurídica independiente para causar perjuicios a intereses públicos o privados [...]" (St Ts 16 de noviembre de 2009 (R. 2800/2003).

En realidad, la alegación se plantea contra la utilización que se hace en la resolución de la prueba de presunciones para demostrar la responsabilidad de la demandante en el tratamiento inconsentido de datos como autora de tal tratamiento.

Para llegar a esa conclusión la Resolución analiza el contrato existente entre Macro Select y Meydis y entre ésta y Plenisan y, tras constatar que las únicas comunicaciones que constan son entre Plenisan y Meydis, sin que se haya probado la existencia de instrucciones de Macro Select, como encargada del tratamiento, a Meydis, le lleva a sostener que ésta es responsable del tratamiento, para lo que se basa en los numerosos indicios demostrados tras la práctica de las diferentes pruebas, que detalla para acreditar los hechos ciertos de los que se desprende la consecuencia que se pretende demostrar y que expone en el Fundamento jurídico VII D., páginas 79-86 de la Resolución.

Respecto de la prueba de presunciones y su virtualidad para desvirtuar el derecho a la presunción de inocencia, el Tribunal Supremo, en su sentencia de 26 de junio de 2013, R. 1947/2010, que cita otra anterior, ha declarado que: "[...] c onforme a la doctrina del Tribunal Constitucional, contenida en reiteradas sentencias (SSTC 174/1985, 175/1985, 229/1988), y a la jurisprudencia de esta Sala (sentencias de 18 de noviembre de 1996 , 28 de enero de 1999 , 6 de marzo de 2000 ) puede sentarse que el derecho a la presunción de inocencia no se opone a que la convicción judicial pueda formarse sobre la base de una prueba indiciaria; pero para que esta prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados-no puede tratarse de meras sospechas-y se debe explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, se ha llegado a la conclusión de que el imputado realizó la conducta infractora; pues, de otro modo, ni la subsunción estaría fundada en Derecho ni habría manera de determinar si el producto deductivo es arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria puede entenderse de cargo.

En la sentencia constitucional 172/2005, se afirma que por lo que se refiere en concreto al derecho a la presunción de inocencia este Tribunal ha declarado que la presunción de inocencia sólo se destruye cuando un Tribunal independiente, imparcial y establecido por la Ley declara la culpabilidad de una persona tras un proceso celebrado con todas las garantías ( art. 6.1 y 2 del Convenio europeo para la protección de los derechos humanos y de las libertades fundamentales , al cual se aporte una suficiente prueba de cargo, de suerte que la presunción de inocencia es un principio esencial en materia de procedimiento que opera también en el ejercicio de la potestad administrativa sancionadora ( SSTC 120/1994, de 25 de abril, F. 2 ; 45/1997, de 11 de marzo , F. 4, por todas). En la citada STC 120/1994 añadíamos que "entre las múltiples facetas de ese concepto poliédrico en que consiste la presunción de inocencia hay una, procesal, que consiste en desplazar el onus probandi con otros efectos añadidos". En tal sentido ya hemos dicho -se continúa afirmando la mencionada Sentencia- que la presunción de inocencia comporta en el orden penal stricto sensu cuatro exigencias, de las cuales sólo dos, la primera y la última, son útiles aquí y ahora, con las necesarias adaptaciones mutatis mutandis por la distinta titularidad de la potestad sancionadora. Efectivamente, en ella la carga de probar los hechos constitutivos de cada infracción corresponde ineludiblemente a la Administración pública actuante, sin que sea exigible al inculpado una probatio diabólica de los hechos negativos. Por otra parte la valoración conjunta de la prueba practicada es una potestad exclusiva del juzgador, que éste ejerce libremente con la sola carga de razonar el resultado de dicha operación. En definitiva, la existencia de un acervo probatorio suficiente, cuyas piezas particulares han de ser obtenidas sin el deterioro de los derechos fundamentales del inculpado y de su libre valoración por el Juez, son las ideas básicas para salvaguardar esa presunción constitucional y están explícitas o latentes en la copiosa doctrina de este Tribunal al respecto (SSTC 120/1994, de 25 de abril, F. 2 ; 45/1997, de 11 de marzo , F. 4).

De otra parte hemos mantenido que el derecho a la presunción de inocencia, incluso en el ámbito del Derecho administrativo sancionador ( SSTC 45/1997, de 11 de marzo; 237/2002, de 9 de diciembre, F. 2), no se opone a que la convicción del órgano sancionador se logre través de la denominada prueba indiciaria, declaración parecida a la efectuada por el Tribunal Europeo de Derecho Humanos, que también ha sostenido que no se opone al contenido del art. 6.2 del Convenio la utilización de la denominada prueba de indicios ( STEDH de 25 de septiembre de 1992, caso Phan Hoang c. Francia, § 33; de 20 de marzo de 2001, caso Telfner c. Austria, § 5). Mas cuando se trata de la denominada prueba de indicios la exigencia de razonabilidad del engarce entre lo acreditado y lo que se presume cobra una especial trascendencia, pues en estos casos es imprescindible acreditar, no sólo que el hecho base o indicio ha resultado probado, sino que el razonamiento es coherente, lógico y racional. En suma, ha de estar asentado en las reglas del criterio humano o en las reglas de la experiencia común. Es ésa, como hemos dicho, la única manera de distinguir la verdadera prueba de indicios de las meras sospechas o conjeturas, debiendo estar asentado el engarce lógico en una "comprensión razonable de la realidad normalmente vivida y apreciada conforme a los criterios colectivos vigentes" ( SSTC 45/1997, de 11 de marzo, F. 5; 237/2002, de 9 de diciembre, F. 2; 135/2003, de 30 de junio, F. 2, por todas)" [...]".

Aplicada la doctrina anterior a los hechos del presente caso resulta que los indicios de los que parte la resolución se encuentran plenamente acreditados y el razonamiento que le lleva a considerar, a partir de tales indicios, que la demandante es la responsable del tratamiento se expone minuciosamente, sin que se observe error en su conclusión, que expone al final del Fundamento de Derecho VII (página 89 de la Resolución).

[...] Rechazadas las alegaciones de la demandante -sobre la aplicación del Reglamento General de la Unión Europea se tratará más adelante-, de los hechos probados de la Resolución se deduce que, en el presente caso, la demandante ha realizado un tratamiento de los datos personales de la denunciante en las campañas publicitarias, sin acreditar debidamente la existencia de un consentimiento válido prestado por la titular de los datos y que las campañas se realizasen observando las normas sobre protección de datos y, en particular, lo dispuesto en el artículo 46 ReglLOPD.

En cuanto al elemento subjetivo de la infracción, la culpa de la demandante deriva de los numerosos indicios antes aludidos de los que resulta su condición de responsable del tratamiento de los datos en la campaña publicitaria y no como simple encargada de los mismos, como trataba de presentarse, lo que en sí revela una conducta cuando menos culposa en su actuar.

[...] Finalmente alega la demandante que la entrada en vigor del Reglamento (UE) 2016/679, del Parlamento Europeo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en adelante Reglamento General de Protección de Datos, RGPD), habría privado de tipicidad a la conducta sancionada, en aplicación de lo dispuesto en el artículo 9.3 de la Constitución y 128.2 de la Ley 30/1992, de 26 de noviembre, que consagran la retroactividad de las disposiciones que favorezcan al sancionado; ello es así porque, a su juicio, el artículo 6.f) del citado Reglamento considera lícito el tratamiento de datos como el supuestamente realizado por la recurrente y sancionado por la Agencia.

Conviene precisar, en primer lugar, que aunque el RGPD entró en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea, no es de aplicación sino a partir del 25 de mayo de 2018 (art. 99 RGPD), lo que no sería óbice para su aplicación retroactiva si, ciertamente, considerase como lícito un tratamiento de datos como el realizado por la demandante, lo que no es así, como se expone a continuación.

El artículo 6.1 RGPD establece que " el tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones: f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño".

Ahora bien, esta norma ni establece una presunción de legitimidad del tratamiento ni puede contemplarse de forma aislada, por una parte, de las obligaciones que establece el propio Reglamento respecto de quien realiza el tratamiento y, por otra, de los derechos del titular de los datos.

En cuanto a lo primero porque, como dice el Considerando 47, Exposición de Motivos: "El interés legítimo de un responsable de tratamiento [...] puede constituir una base jurídica para el tratamiento, siempre que no prevalezcan los intereses o los derechos y libertades del interesado, teniendo en cuenta las expectativas razonables de los interesados basadas en su relación con el responsable. [...] En cualquier caso, la existencia de un interés legítimo requeriría una evaluación meticulosa [...] En particular, los intereses y los derechos fundamentales del interesado podrían prevalecer sobre los intereses del responsable del tratamiento cuando se proceda al tratamiento de los datos personales en circunstancias en las que el interesado no espere razonablemente que se realice un tratamiento ulterior. [...] El tratamiento de datos personales con fines de mercadotecnia puede considerarse realizado por interés legítimo".

En cuanto a lo segundo, en el Considerando 70 se dice que: "Si los datos personales son tratados con fines de mercadotecnia directa, el interesado debe tener derecho a oponerse a dicho tratamiento [...] y ello en cualquier momento y sin coste alguno. Dicho derecho debe comunicarse explícitamente al interesado y presentarse claramente y al margen de cualquier otra información".

Por ello, el artículo 21. 1 RGPD dispone que el interesado tendrá derecho a oponerse cuando el tratamiento tenga por objeto la mercadotecnia directa, derecho que tiene su reflejo en la correlativa obligación del responsable del tratamiento de facilitar al titular de los datos, en el momento en que éstos se obtengan, toda la información que establece el artículo 13, en relación con el artículo 6.1 f), cuáles sean los intereses legítimos de tal responsable o de un tercero y, además, debe facilitar la información establecida en el párrafo 2 de dicho artículo 13, que se refiere, entre otros extremos, al plazo durante el cual se conservarán los datos personales y a la existencia de los derechos de acceso, rectificación cancelación limitación del tratamiento y oposición, así como el derecho a la portabilidad de los datos. Por último, el artículo 14 regula similar obligación cuando los datos personales no se hayan obtenido del interesado.

Pues bien, la pretensión de la recurrente no se justifica con la prueba del cumplimiento de las obligaciones derivadas de la aplicación del Reglamento, que podría dar lugar a su aplicación retroactiva que, como se ha expuesto, no autoriza sin más las operaciones de mercadotecnia, como la que es objeto de la resolución sancionadora, y cuyo objeto principal, enunciado en su artículo 1, es la protección de las personas físicas en lo que respecta al tratamiento de los datos personales.

Por las razones anteriores procede rechazar esta última alegación.".

Contra la referida sentencia preparó la representación procesal de la mercantil MEYDIS, S.L. recurso de casación, que la Sección Primera de la Sala de lo Contencioso- Administrativo de la Audiencia Nacional tuvo por preparado mediante Auto de 6 de junio de 2019 que, al tiempo, ordenó remitir las actuaciones al Tribunal Supremo, previo emplazamiento de los litigantes.

Recibidas las actuaciones y personadas las partes, la Sección Primera de la Sala de lo Contencioso-Administrativo del Tribunal Supremo, dictó Auto el 13 de diciembre de 2019, cuya parte dispositiva dice literalmente:

"1.º Admitir a trámite el recurso de casación n.º 4377/2019 preparado por la representación procesal de la entidad Meydis, S.L. contra la sentencia de 12 de febrero de 2019, dictada por la Sección Primera de la Sala de lo Contencioso-administrativo de la Audiencia Nacional en el recurso n.º 810/2016.

2. Declarar que la cuestión planteada en el recurso que presenta interés casacional objetivo para la formación de la jurisprudencia consiste en determinar si, conforme al artículo 6.1.f) del Reglamento (UE) 2016/679, interpretado a la luz de los considerandos 47 in fine y 70 del mismo Reglamento, puede considerarse lícito el tratamiento de datos personales con fines de mercadotecnia directa cuando, a pesar de no haber otorgado el interesado su consentimiento, concurriere un interés legítimo en el responsable del tratamiento.

3. Identificar como normas jurídicas que, en principio, serán objeto de interpretación los artículos 6.1.f) del Reglamento (UE) 2016/679, de 27 de abril, interpretado a luz del considerando 47 in fine del mismo, en relación con el artículo 72.1.b) de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los derechos digitales; y los artículos 6.1, 44.3.b) y 45 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.

4. Publicar este auto en la página web del Tribunal Supremo, haciendo referencia al mismo.

5. Comunicar inmediatamente a la Sala de instancia la decisión adoptada en este auto.

6. Para la sustanciación del recurso, remítanse las actuaciones a la Sección Tercera de esta Sala Tercera, a la que corresponde con arreglo a las normas sobre reparto de asuntos.".

Por diligencia de ordenación de 24 de enero de 2020, recibidas las presentes actuaciones procedentes de la Sección Primera de esta Sala de lo Contencioso-Administrativo del Tribunal Supremo, se acuerda que una vez interpuesto el recurso de casación o que transcurra el plazo de treinta días que el artículo 92.1 de la Ley de esta Jurisdicción establece para la presentación, se acordará. La procuradora doña Beatriz González Rivero, en representación de la mercantil MEYDIS, S.L. presentó escrito de interposición del recurso de casación el 2 de septiembre de 2019, en el que tras exponer los motivos de impugnación que consideró oportunos, lo concluyó con el siguiente SUPLICO:

"Que se tenga por presentado este escrito y por hechas las manifestaciones que en él se contienen, y, resolviendo las cuestiones y pretensiones deducidas en el proceso, acuerde la anulación de la sentencia impugnada, casándola y dejando sin efecto la sanción impuesta a mi mandante por la Agencia Española de Protección de Datos, con expresa condena en las costas de la instancia a la Administración demandada.

Por Otrosí manifiesta que, teniendo en cuenta que la primera de las alegaciones contenida en este escrito implica la necesidad de interpretar normas complejas de derecho comunitario, para evitar que los preceptos invocados puedan ser objeto de aplicaciones distintas en el ámbito de la UE, esta parte considera pertinente que la Sala formule ante el Tribunal de Justicia cuestión prejudicial, para que se pronuncie sobre los siguientes aspectos:

1. Si el artículo 6.1.f) RGPD, en relación con el último inciso del Considerando 47, permite tratar datos personales con fines de mercadotecnia directa basándose en la existencia de un interés legítimo, siempre que el interesado no haya manifestado su voluntad en contra y, por tanto, permitiendo el envío publicitario sin necesidad de haber obtenido su previo consentimiento.

2. Si, como manifestación de lo anterior, los artículos art. 6.1 RGPD y el 72.1.b) LOPDGDD deben ser interpretados en el sentido de que, por aplicación de la retroactividad de las normas favorables, debe dejarse sin efecto una resolución dictada por una autoridad de control nacional, actualmente recurrida, en la que, por una infracción del art. 6.1 de la derogada LOPD, tipificada en su art. 44.3.d), se impuso una multa a una empresa por enviar una comunicación comercial sin el consentimiento del afectado, pero sin que durante el procedimiento sancionador la AEPD analizase si concurrían o no otras bases legitimadoras del art. 6.1 RGPD (en particular la del art. 6.1.f) y, por tanto, sin que se acreditase que estas no existiesen.".

Por Providencia de 26 de febrero de 2020, de conformidad con lo previsto en el artículo 92.5 dela Ley jurisdiccional, se tiene por interpuesto recurso de casación, y se acuerda dar traslado del escrito de interposición a la parte recurrida y personada, la ADMINISTRACIÓN DEL ESTADO, para que puedan oponerse al recurso en el plazo de treinta días, lo que efectuó el Abogado del Estado, en escrito presentado el 9 de marzo de 2020, en el que tras manifestar lo que consideró oportuno lo concluyó con el siguiente SUPLICO:

"que tenido por presentado este escrito de oposición al recurso de casación, lo admita y tras la tramitación pertinente dicte sentencia desestimatoria del recurso, confirmando la sentencia recurrida y fijando la doctrina que resulta de dicha desestimación, declarando que la simple finalidad de mercadoctenia no justifica el tratamiento de los datos personales sin el consentimiento del titular de los mismos.

Por Otrosí manifiestas que no se considera necesaria la celebración de vista pública dado lo bien delimitado de la cuestión planteada.".

Por providencia de 22 de mayo de 2020, se acuerda, de conformidad con lo previsto en el artículo 92.6 de la Ley jurisdiccional, no haber lugar a la celebración de vista pública, al considerarla innecesaria atendiendo a la índole del asunto, quedando el recurso concluso y pendiente de señalamiento de la misma cuando por turno corresponda.

Por providencia de 6 de julio de 2020, se designa Magistrado Ponente al Excmo. Sr. D. JOSÉ MANUEL BANDRÉS SÁNCHEZ-CRUZAT, y se señaló para la votación y fallo el día 13 de octubre de 2020, fecha en que tuvo lugar el acto.

Sobre el objeto y el planteamiento del recurso de casación: El asunto litigioso y la sentencia impugnada dictada por la Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional de 12 de febrero de 2019 .

El recurso de casación que enjuiciamos, interpuesto por la representación procesal de la mercantil MEYGIS, S.L., al amparo del artículo 86 y siguientes de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en la redacción introducida por la disposición final de la Ley Orgánica 7/2015, de 21 de julio, tiene por objeto la pretensión de que se revoque la sentencia de la Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional de 12 de febrero de 2019, que desestimó el recurso contencioso-administrativo formulado contra la resolución de la Directora de la Agencia Española de Protección de Datos de 23 de agosto de 2016, que impuso a la citada compañía una multa de 60.000 euros, como responsable de la infracción del artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, tipificada como grave en el artículo 44.3 b) del citado texto legal.

La sentencia impugnada, cuya fundamentación jurídica hemos trascrito en los antecedentes de hecho de esta sentencia, confirma el criterio de la Agencia Española de Protección de Datos, respecto de que el Reglamento (UE) 2016/679, no ha privado de tipicidad a la conducta sancionada, ni puede aplicarse retroactivamente, en este supuesto, con base en el principio de retroactividad de las normas sancionadoras más favorables, tal como propugnaba la defensa letrada de la sociedad mercantil recurrente, puesto que de dicha normativa comunitaria y, singularmente, del artículo 6.1 f) del citado Reglamento, se desprende que, si los datos personales son objeto de tratamiento con fines de mercadotecnia, el responsable del tratamiento debe cumplir con la obligación de comunicar explícitamente al interesado la información relativa al tratamiento de datos, de modo que permita ejercer el derecho a oponerse, así como debe comunicarle cuáles son los intereses legítimos que aduce el responsable del tratamiento de los datos, lo que, en el presente proceso, no se ha justificado con la prueba aportada.

El recurso de casación se fundamenta en el argumento de que la sentencia infringe el artículo 6.1 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, así como del artículo 72.1 b) de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, por la falta de aplicación retroactiva de dichas disposiciones.

Se aduce que la sentencia impugnada yerra al confirmar la sanción impuesta por infracción del artículo 6.1 de la entonces vigente Ley Orgánica 15/1999, que se encontraba tipificada como grave en su artículo 44.3 b), pues no toma en consideración que cuando se impone dicha sanción estaba vigente el Reglamento (UE) 2016/679, que ya no mantiene la necesidad del consentimiento del afectado, en los casos en que el tratamiento de datos personales se realice con fines de mercadotecnia, como ha quedado reflejado en la nueva Ley Orgánica 3/2018, de 5 de diciembre, que, al tipificar el tratamiento ilícito de datos personales, no alude ya a la ausencia de consentimiento sino al tratamiento de datos cuando no concurren alguna de las condiciones de licitud del tratamiento establecida en el artículo 6 del citado Reglamento (UE).

Sobre el marco normativo aplicable y acerca de la doctrina jurisprudencial que resulta relevante para resolver el recurso de casación.

Antes de abordar las cuestiones jurídicas planteadas por la parte recurrente en el presente recurso de casación, procede recordar el marco jurídico aplicable, así como la doctrina jurisprudencial formulada respecto del alcance y límites del derecho a la protección de datos de carácter personal.

A) El Derecho de la Unión Europea.

El artículo 16.1 del Tratado de Funcionamiento de la Unión Europea prescribe:

"Toda persona tiene derecho a la protección de los datos de carácter personal que le conciernan.".

El artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea, bajo la rúbrica "Protección de datos de carácter personal", dispone:

"1. Toda persona tiene derecho a la protección de los datos de carácter personal que la conciernan. 2. Estos datos se tratarán de modo leal, para fines concretos y sobre la base del consentimiento de la persona afectada o en virtud de otro fundamento legítimo previsto por la ley. Toda persona tiene derecho a acceder a los datos recogidos que la conciernan y a su rectificación. 3. El respeto de estas normas quedar· sujeto al control de una autoridad independiente.".

El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), bajo la rúbrica "Principios relativos al tratamiento", en su artículo 5, dispone:

"1. Los datos personales serán:

1. tratados de manera lícita, leal y transparente en relación con el interesado ("licitud, lealtad y transparencia");

2. recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales ("limitación de la finalidad");

3. adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados ("minimización de datos"); d) exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan ("exactitud");

5. mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado ("limitación del plazo de conservación");

6. tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas ("integridad y confidencialidad").

   2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo ("responsabilidad proactiva").".

   En el artículo 6 del citado Reglamento (UE), bajo la rúbrica "Licitud del tratamiento", se establece:

   "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:

1. el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos

2. el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;

3. el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;

4. el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;

5. el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;

6. el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.

   Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.

   2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras c) y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX.

   3. La base del tratamiento indicado en el apartado 1, letras c) y e), deberá ser establecida por:

1. el Derecho de la Unión, o

2. el Derecho de los Estados miembros que se aplique al responsable del tratamiento.

   La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido.

   4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:

1. cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;

2. el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;

3. la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;

4. las posibles consecuencias para los interesados del tratamiento ulterior previsto; e) la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización.".

   En el considerando 47 del citado Reglamento (UE), se afirma:

   "El interés legítimo de un responsable del tratamiento, incluso el de un responsable al que se puedan comunicar datos personales, o de un tercero, puede constituir una base jurídica para el tratamiento, siempre que no prevalezcan los intereses o los derechos y libertades del interesado, teniendo en cuenta las expectativas razonables de los interesados basadas en su relación con el responsable. Tal interés legítimo podría darse, por ejemplo, cuando existe una relación pertinente y apropiada entre el interesado y el responsable, como en situaciones en las que el interesado es cliente o está al servicio del responsable. En cualquier caso, la existencia de un interés legítimo requeriría una evaluación meticulosa, inclusive si un interesado puede prever de forma razonable, en el momento y en el contexto de la recogida de datos personales, que pueda producirse el tratamiento con tal fin. En particular, los intereses y los derechos fundamentales del interesado podrían prevalecer sobre los intereses del responsable del tratamiento cuando se proceda al tratamiento de los datos personales en circunstancias en las que el interesado no espere razonablemente que se realice un tratamiento ulterior. Dado que corresponde al legislador establecer por ley la base jurídica para el tratamiento de datos personales por parte de las autoridades públicas, esta base jurídica no debe aplicarse al tratamiento efectuado por las autoridades públicas en el ejercicio de sus funciones. El tratamiento de datos de carácter personal estrictamente necesario para la prevención del fraude constituye también un interés legítimo del responsable del tratamiento de que se trate. El tratamiento de datos personales con fines de mercadotecnia directa puede considerarse realizado por interés legítimo.".

   En el considerando 69 del Reglamento (UE), se dice:

   "En los casos en que los datos personales puedan ser tratados lícitamente porque el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento o por motivos de intereses legítimos del responsable o de un tercero, el interesado debe, sin embargo, tener derecho a oponerse al tratamiento de cualquier dato personal relativo a su situación particular. Debe ser el responsable el que demuestre que sus intereses legítimos imperiosos prevalecen sobre los intereses o los derechos y libertades fundamentales del interesado.".

   En el considerando 70 del Reglamento (UE), se manifiesta:

   "Si los datos personales son tratados con fines de mercadotecnia directa, el interesado debe tener derecho a oponerse a dicho tratamiento, inclusive a la elaboración de perfiles en la medida en que esté relacionada con dicha mercadotecnia directa, ya sea con respecto a un tratamiento inicial o ulterior, y ello en cualquier momento y sin coste alguno. Dicho derecho debe comunicarse explícitamente al interesado y presentarse claramente y al margen de cualquier otra información.".

   B) El Derecho estatal.

   El artículo 18.4 de la Constitución española de 27 de diciembre de 1978 establece que "la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos".

   La Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal traspone a nuestro Derecho la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.

   En el artículo 6 de la citada Ley Orgánica 15/1999, de 13 de diciembre, bajo la rúbrica "Consentimiento del afectado", dispone:

   "1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa.

   2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.

   3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos.

   4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado.".

   El artículo 44 de la citada Ley Orgánica en su apartado 3 b), establece que son infracciones graves:

   "Proceder a la creación de ficheros de titularidad privada o iniciar la recogida de datos de carácter personal para los mismos con finalidades distintas de las que constituyen el objeto legítimo de la empresa o entidad".

   El artículo 72.1 b) de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, bajo la rúbrica "Infracciones consideradas muy graves", dispone:

   "b) El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.".

Sobre las infracciones del ordenamiento jurídico en que se funda el recurso de casación, referidas a que la vulneración del artículo 6.1 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo de 27 de abril de 2016 , relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales, y del artículo 72.1 b) de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.

La cuestión sobre la que esta Sala de lo Contencioso-Administrativo del Tribunal Supremo debe pronunciarse, con el objeto de la formación de jurisprudencia, se ciñe a determinar si, en relación con el tratamiento de datos personales con fines de mercadotécnica directa, cabe considerar lícito el tratamiento de los datos personales por obedecer a la satisfacción de un interés legítimo perseguido por el responsable, de conformidad con lo dispuesto en el artículo 6.1 f) del Reglamento (UE) 2016/679, y en el artículo 72.1 b) de la Ley Orgánica 3/2018, en la medida que dicho interés no prevalezca sobre los derechos y libertades fundamentales del interesado que requiere la protección de datos.

En términos más precisos, tal como se refiere en el Auto de la Sección Primera de esta Sala de lo Contencioso-Administrativo del Tribunal Supremo de 13 de diciembre de 2019, la cuestión planteada en el recurso de casación que presentan interés casacional objetivo para la formulación de jurisprudencia, consiste en interpretar si, conforme al artículo 6.1 f) del Reglamento (UE) 2016/679, interpretado a la luz de los considerandos 47 in fine y 70 del mismo Reglamento, puede considerarse lícito el tratamiento de datos personales con fines de mercadotecnia directa cuando, a pesar de no haber otorgado el interesado su consentimiento, concurriere un interés legítimo en el responsable del tratamiento.

A tal efecto, resulta pertinente poner de manifiesto que la respuesta jurisdiccional que demos a estas cuestiones comporta resolver si, tal como propugna la defensa letrada de la mercantil recurrente, la sentencia de la Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional impugnada ha infringido el artículo 6.1 f) del Reglamento (UE) 2016/679, y el artículo 72.1 b) de la Ley Orgánica 3/2018, al considerar que, en este supuesto, no cabe aplicar retroactivamente el citado Reglamento (UE) 2016/679, que considera lícito el tratamiento de datos cuando, entre otras condiciones, sea necesario para la satisfacción de un interés legítimo perseguido por el responsable, y en la medida que no se ha justificado que se hubieran cumplido las obligaciones derivadas de la aplicación del referido Reglamento, a pesar de que -a su juicio-, el Reglamento introduce una nueva base jurídica legitimadora del tratamiento de datos personales, sustentada en la existencia de un interés legítimo, modificando el esquema del anterior régimen legal de protección de datos, que se sustentaba en la necesidad de recabar el consentimiento del afectado.

En lo que concierne a la posible aplicación retroactiva del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), y de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, esta Sala sostiene que la primera de las alegaciones que se han enumerado y que ha dado pie a la admisión del asunto por su interés casacional plantea la posible aplicación retroactiva del Reglamento comunitario 2016/679, del Parlamento y del Consejo, de 27 de abril, así como de la vigente Ley Orgánica de Protección de Datos Personales (LO 3/2018, de 5 de diciembre), que viene a trasponer aquél al derecho nacional. La tesis argumental de la recurrente es que ha existido un cambio fundamental en la regulación de la materia al dejar de constituir el consentimiento la única causa que legitimaba el tratamiento de datos personales, salvo que concurriera alguno de los supuestos eximentes contemplados en el artículo 6.2 de la Ley Orgánica de Protección de Datos de 1999. La nueva regulación, por el contrario, establece un listado de supuestos legitimadores del tratamiento de datos, en el que el consentimiento es uno más sin prioridad alguna e incluye, entre tales supuestos, la existencia de interés legítimo de quien efectúa el tratamiento (apartado 1.f del artículo 6 del Reglamento comunitario).

Sostiene también la demandante que la interpretación del supuesto legitimador del interés legítimo ha sido hecha ya por el legislador comunitario en el parágrafo 47 de los considerandos del Reglamento citado. Según la demandante, de acuerdo con dicho parágrafo, en los supuestos de prevención del fraude y del tratamiento con fines de mercadotecnia la ponderación de intereses se inclina a favor de quien trata los datos sobre los intereses del afectado, siempre que los datos se traten para los fines indicados. En consecuencia, el responsable del tratamiento "no necesita efectuar una ponderación de los intereses que concurren para valorar cuál de ellos debe prevalecer conforme a la regla del art. 6.1.f), sino que siempre que los datos se utlicen para alguna de las finalidades indicadas, el tratamiento puede basarse en el interés legítimo. Y, entre esas finalidades, se incluye el "envío de comunicaciones comeciales"".

La protección de los datos por parte del interesado vendría, afirma la recurrente, por la inscripción en listas de exclusión de comunicaciones comerciales, de obligada consulta por quien desee enviar publicidad ( arts. 3 y 4 LO 3/2018) y por el derecho de oposición a recibir comunicaciones comerciales previsto en el artículo 21 y en el considerando 71 del Reglamento comunitario.

En definitiva, considera la parte, a partir de la entrada en vigor del Reglamento comunitario "su artículo 6.1.f), interpretado conforme al considerando 47 in fine, permite el tratamiento de datos para fines de mercadotecnia directa basándose en la existencia de un interés legítimo y, por tanto, sin que sea necesario el previo consentimiento del afectado, sin perjuicio de su derecho a utilizar los mecanismos legales para impedir que se le envíe publicidad".

Por otra parte la recurrente rechaza el argumento empleado por la Sala de instancia para rechazar la aplicación del Reglamento comunitario de que no ha cumplido los requisitos contemplados en el mismo, ya que la norma no estaba en vigor, por lo que difícilmente podía exigírsele su cumplimiento.

La argumentación que se ha expuesto supone que la conducta sancionada, el tratamiento de datos personales para fines de mercadotecnia sin haber recabado el previo consentimiento del afectado ha dejado de ser una conducta típica en la nueva regulación comunitaria y nacional. En consecuencia, esta regulación habría de ser aplicada retroactivamente como norma más favorable y la sanción debería ser anulada.

La Sala no asume el razonamiento que se ha expuesto.

No cabe la menor duda de que el Reglamento comunitario y la Ley Orgánica española de 2018 ha cambiado de manera sustancial la regulación de protección de datos, dándole una mayor flexibilidad. Es cierto, como expone la recurrente, que el artículo 6.1 enumera ahora seis distintos supuestos habilitantes para el tratamiento de datos y que el enunciado en la letra f) del apartado consiste en que el mismo sea "necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero". Y también es cierto que el tratamiento de datos para la mercadotécnica directa es objeto de atención expresa en el considerando 47 in fine y en el artículo 21, dedicado éste al derecho de oposición al tratamiento por parte del sujeto interesado.

Ahora bien, el uso de los datos personales para cumplir ese fin legitimo exige, según el Reglamento de la Unión, que el interesado haya tenido la oportunidad de oponerse a dicho tratamiento, y que este derecho se le haya comunicado explícitamente, tal como se dispone en el considerando 70 y en el art. 21 de dicha norma.

Para poder aplicar de forma retroactiva el Reglamento de la Unión por considerar que la conducta por la que fue sancionada habría dejado de ser típica, es preciso verificar si la consideración global del reglamento comunitario permite llegar a la conclusión de que en la aplicación al caso concreto es, en realidad, una norma más favorable desde la perspectiva sancionadora en que nos encontramos. Existe una jurisprudencia reiterada en la que hemos sostenido que la apreciación de que una norma sancionadora es más favorable ha de provenir de una consideración global y sistemática de la misma en su aplicación al caso concreto, no de una interpretación parcial de alguno de sus preceptos o de una consideración abstracta de las normas. Como señala la sentencia de esta Sala de 30 de octubre de 2009 (recurso contencioso-administrativo 334/2006, F.J. 6º) "[...] la aplicación retroactiva de la norma más beneficiosa ha de hacerse determinando qué disposición es más favorable, mediante el contraste entre ambas, anterior y posterior, consideradas de modo global, no tomando lo que resulte más beneficioso de una y otra para crear, en realidad, una nueva disposición". Y en el mismo sentido se expresa la sentencia de 9 de marzo de 2010 (recurso contencioso-administrativo 553/2007, F.J. 6º).

Pues bien, tal y como señala la sentencia de instancia, en el caso que nos ocupa no consta que se le diese ocasión al interesado de manifestar su oposición al tratamiento de sus datos, como requiere el apartado 4 del propio artículo 21 del Reglamento ("a más tardar en el momento de la primera comunicación con el interesado, el derecho indicado en los apartados 1 y 2 será mencionado explícitamente al interesado y será presentado claramente y al margen de cualquier otra información"), por lo que el recurrente no acredita haber cumplido las exigencias impuestas por el Reglamento de la Unión para aplicar este supuesto.

Frente a ello, no puede admitirse la justificación dada por dicha sociedad de que al no estar entonces en vigor el Reglamento no se le podría exigir el cumplimiento de sus exigencias. De acuerdo con lo antes dicho, el Reglamento comunitario no estaba en vigor ni para lo favorable ni para lo adverso, pero la consideración de si es o no una norma más favorable que la vigente en el momento de los hechos deriva de su aplicación in toto al caso concreto de que se trate, pues solo así se le puede considerar de manera efectiva una norma más favorable para dicho supuesto.

Pues bien, ni se le pidió al interesado el consentimiento expreso y previo, como requería la Ley nacional de protección de datos de 1999, ni se le comunicó debidamente la utilización de sus datos en una campaña de mercadotecnia al objeto de que pudiera manifestar su oposición tal como prevé el Reglamento comunitario en el citado artículo 21.4 y recoge la Ley española de 2018 en su artículo 18.

Por todo ello, no procede realizar una aplicación retroactiva del Reglamento comunitario 2016/679 con el fin de eliminar la tipicidad de la conducta sancionada.

En lo que respecta a la alegación sobre existencia de infracción continuada, esta Sala consideramos que no hay infracción continuada ni, por tanto, vulneración del principio de proporcionalidad.

Como hemos visto en el antecedente segundo, la Sala de la Audiencia Nacional desestima el argumento de la recurrente invocando la sentencia de esta Sala del Tribunal Supremo de 28 de junio de 2013 (casación 1947/2010), en la que se indica que "[...] para apreciar la infracción continuada en el ámbito del derecho administrativo sancionador, que constituye una transposición de los contornos jurídicos de esta institución referidos en el artículo 74 del Código Penal, se exige que concurran con carácter general los siguientes requisitos: a/ La ejecución de una pluralidad de actos por el mismo sujeto responsable, próximos en el tiempo, que obedezcan a una práctica homogénea en el modus operandi por la utilización de medidas, instrumentos o técnicas de actuación similares. b/ La actuación del responsable con dolo unitario, en ejecución de un plan previamente concebido que se refleja en todas las acciones plurales que se ejecutan o con dolo continuado, que se proyecta en cada uno de los actos ejecutados al renovarse la voluntad infractora al presentarse una ocasión idéntica a la precedente. Y c) La unidad del precepto legal vulnerado de modo que el bien jurídico lesionado sea coincidente, de igual o semejante naturaleza [.]".

Partiendo de esa jurisprudencia, la Sala de la Audiencia Nacional señala que la concurrencia de los tres requisitos ha de ser acreditada por quien pretende la aplicación de la norma por serle más beneficiosa, lo que no ha sucedido en este caso pues únicamente cabría admitir el cumplimiento de lo dispuesto en los apartados a/ y c/. Además, señala la sentencia recurrida, hay que tener en cuenta la particular naturaleza del bien jurídico protegido por las normas, que son los datos personales de las personas físicas, que, como ha declarado el Tribunal Constitucional en su sentencia 292/2000, de 30 de noviembre, es un derecho fundamental, consagrado en el artículo 18.4 de la Constitución Española que, persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino, con el propósito de impedir su tráfico ilícito y lesivo para la dignidad y derechos del afectado. Así, dice la sentencia recurrida, « (...) la utilización sin consentimiento de los datos personales constituye una infracción individualizada, con independencia de que esa utilización o tratamiento de datos se lleve a cabo en el marco de una campaña publicitaria contratada entre diversas empresas, como las sancionadas en este procedimiento, y en otros muchos de los que ha conocido esta Sala, con múltiples destinatarios seleccionados en función de las características del producto y de las personales de los destinatarios; todo lo más, cabría apreciar la existencia de infracción continuada si, en el marco de tal campaña, los datos personales de un mismo titular fueran objeto de tratamiento inconsentido en diferentes ocasiones próximas en el tiempo, no, como ahora se trata, de diferentes destinatarios dentro de la misma o diferentes campañas, a los que no resulta de aplicación la figura de la infracción continuada» (F.J. 5º, vid. que antes hemos transcrito) .

Esa fundamentación de la sentencia de instancia requiere alguna puntualización.

Comenzando por este último punto al que acabamos de referirnos, no queda debidamente explicada en la sentencia recurrida la afirmación un tanto apodíctica que en ella se hace de que "...la utilización sin consentimiento de los datos personales constituye una infracción individualizada, con independencia de que esa utilización o tratamiento de datos se lleve a cabo en el marco de una campaña publicitaria contratada entre diversas empresas" (F.J. 5º). El alcance de esa formulación debe ser matizado, o si se prefiere, corregido, pues no cabe entender que en el ámbito de la protección de datos de carácter personal quede excluida, ni particularmente restringida, la posible apreciación de infracciones continuadas. Baste señalar que tanto el artículo 45.4.a/ de la anterior Ley Orgánica 15/1999, de 13 de diciembre -que es la norma aplicable al caso- como el artículo 76.2.a/ de la ahora vigente Ley Orgánica 3/2018, de 5 de diciembre, se refieren a " el carácter continuado de la infracción" como el primero de los criterios a tomar en consideración para la graduación de las sanciones.

Pero, una vez hecha esa puntualización, lo cierto es que en el caso que examinamos no cabe apreciar la existencia de una infracción continuada.

Según hemos visto, la sentencia de la Audiencia Nacional admite que concurren en este caso dos de los elementos que, según la jurisprudencia que cita, deben darse para que pueda apreciarse una infracción continuada (ejecución de una pluralidad de actos por el mismo sujeto responsable, próximos en el tiempo, que obedezcan a una práctica homogénea en el modus operandi; y unidad del precepto legal vulnerado de modo que el bien jurídico lesionado sea coincidente, de igual o semejante naturaleza); y, en cambio, considera la Sala de instancia que no ha quedado acreditada la concurrencia del tercer requisito exigible, esto es, que la actuación del responsable se haya llevado a cabo con dolo unitario, en ejecución de un plan previamente concebido, que se refleja en todas las acciones que se ejecutan, o con dolo continuado, que se proyecta en cada uno de los actos ejecutados.

La sentencia recurrida no abunda en explicaciones sobre la razón de ser de tales apreciaciones; pero, en efecto, admitiendo que en este caso tuvo lugar la ejecución de una pluralidad de actos por el mismo sujeto responsable, lo cierto es que no cabe considerar acreditada la existencia de un dolo unitario, en ejecución de un plan previamente concebido o de un dolo continuado.

Los distintos procedimientos sancionadores a que alude la recurrente tienen en común que se refieren a conductas llevadas a cabo por la entidad Meydis, S.L. con ocasión de campañas de mercadotecnia directa en las que se infringe el artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, por no haberse recabado el consentimiento de las personas afectadas. Pero, una vez constatados esos elementos de coincidencia, los datos que figuran en el apartado de hechos probados de las resoluciones sancionadoras dictadas por la Agencia Española de Protección de Datos en esos procedimientos ponen de manifiesto que se trata de campañas distintas, en las que los destinatarios de las misivas son convocados para que asistan a actos determinados, distintos en cada caso, y en lugares y fechas diferentes.

- Así, en el expediente sancionador nº PS/00190/2016 -al que se refiere el presente recurso de casación- se trataba de una carta con los datos personales del denunciante (nombre, apellidos y dirección postal completa) en la que se le convocaba para un acto de objeto indeterminado, en el que se procedería al regalo de "un juego de sartenes cerámicas de cinco piezas, que tendría lugar el día 19 de febrero de 2015 en el Hotel Meliá María Pita de A Coruña.

- El expediente nº PS/00127/2016 (del que trae causa el recurso de casación nº 4454/2019) tiene su origen en la misiva personalizada recibida en el domicilio del allí denunciante en la que se le convocaba a un evento (demostración comercial) que se realizaría el 16 de marzo de 2015 en el restaurante el Racó dén Binu, en La Roca del Vallés (Barcelona).

- El expediente nº PS/00033/2017 (que se examina en el recurso de casación 4738/2019) tiene su origen en la denuncia presentada por una persona distinta a las anteriores que recibió en su domicilio una carta personalizada en la que se le convocaba a una demostración comercial (sin especificar) que tendría lugar el día 21 de abril de 2015 en el Hotel Leika de Alicante.

- El expediente PS/00417/2016 (recurso de casación 4039/2019) se refiere a una convocatoriapara un acto promocional en el Eurostars Hotel de la Reconquista, de Oviedo, el 26 de mayo de 2015.

- En el expediente sancionador PS/00107/2019 (recurso de casación 4377/2019) se denuncia la recepción de una carta personalizada en la que se convoca para un acto promocional en el restaurante Casa de los Navarros, en Barcelona, el 4 de marzo de 2015.

- El expediente PS/00128/2016 (recurso de casación 4697/2019) se refiere a una convocatoria en el Hotel Meliá Palas Atenea, en Palma de Mallorca, el 4 de marzo de 2015.

- El expediente nº PS/00381/2016 (recurso de casación nº 4756/2019) tiene su origen en la carta personalizada en la que se le convocaba al allí denunciante a un evento promocional ("productos de hogar y descanso") que se realizaría el 20 de julio de 2015 en el Hotel Bienestar, en Moaña (Pontevedra).

- El expediente PS/00121/2016 (recurso de casación 4713/2019) se refiere a una convocatoria en el Hotel Exe Puerta de Castilla, en Madrid, el 4 de marzo de 2015.

- El expediente nº PS/00013/2017 (que se examina en el recurso de casación 5082/2019) tiene su origen en la denuncia presentada por una persona distinta a las anteriores que recibió en su domicilio sendas cartas en las que se le convocaba actos acto que tendrían lugar los días 10 de junio y 11 de noviembre de 2015 en el restaurante Montemayor de Moguer.

- El expediente sancionador PS/00464/2016 (recurso de casación 5479/2019) se refiere a la convocatoria para un acto de "promoción para parejas y personas viudas" en el Hotel Ágora Juan de Austria, en Madrid, el 15 de octubre de 2015.

- El expediente sancionador PS/00047/2016 (recurso de casación 5285/2019) se refiere a una convocatoria en el Hotel Sercotel Gran Bilbao, en Bilbao, el 15 de enero de 2015.

Es cierto que el modus operandi de la empresa Meydys, S.L., que resultó sancionada en los citados expedientes de la Agencia Española de Protección de Datos, es similar en todos los casos; y, por ello mismo, las diligencias de investigación y trámites realizados en los diferentes procedimientos sancionadores son en parte coincidentes. Pero los datos que hemos consignado indican que los hechos a los que se refieren aquellos expedientes se incardinan en campañas de mercadotecnia distintas, en las que mediante cartas personalizadas se convoca a los destinatarios a actos distintos y en lugares y fechas diferentes.

Pese a que hay similitudes en el modo de proceder de la empresa infractora, nada indica que aquellas actuaciones formen parte de una única campaña de mercadotecnia o que respondan siquiera a un único designio o a un plan preconcebido. Y, como oportunamente recuerda la Sala de la Audiencia Nacional, quien alega que estamos en presencia de una infracción continuada es quien debe acreditar que se trata de una pluralidad de acciones que, además de infringir el mismo precepto, han sido realizadas con unidad de propósito y responden a un plan preconcebido, acreditación ésta que, como señala la sentencia recurrida, no se ha producido.

Por todo ello debemos concluir que no cabe apreciar en este caso la existencia de una infracción continuada; y, como consecuencia, no ha existido la vulneración que se alega del principio de proporcionalidad.

En último término, en relación con la alegada infracción del artículo 12 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora, así como del artículo 122 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, que se fundamenta en el argumento de que la sentencia recurrida vulnera dichos preceptos, al no haber apreciado el uso fraudulento de las potestades de investigación previa que se reconocen a la Administración, por haberse prolongado de forma injustificada, incurriendo en el supuesto contemplado en el artículo 6.4 del Código Civil, esta Sala comparte el criterio del Tribunal de instancia, que, con base en la doctrina jurisprudencial del Tribunal Supremo expuesta en la sentencia de 4 de noviembre de 2013 (RC 251/2011), considera que la práctica de las actuaciones previas por los Servicios de Inspección de la Agencia Española de Protección de Datos estaba plenamente justificada, pues los actos de investigación preliminares acordados resultaban pertinentes para recabar información sobre los hechos denunciados por Montserrat Roig Timoneda, referidos a una cesión de sus datos personales a una empresa, que determinó que recibiera en su dirección postal una convocatoria para participar en una demostración comercial a realizar en el restaurante Casa de los Navarros, en Barcelona, el día 4 de marzo de 2015.

En efecto, rechazamos que no se ajuste a la regulación de las actuaciones previas, establecida en el Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora y en el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, el pronunciamiento de la sentencia impugnada, referido a que carece de fundamento la alegación formulada en el escrito de demanda, respecto de la utilización fraudulenta de las actuaciones previas de investigación por parte de los Servicios de Inspección de la Agencia Española de Protección de Datos, pues, el reproche que se realiza, consistente en haberse prolongado injustificadamente las actuaciones previas y de haberse finalizado súbitamente, no resulta convincente para sostener la pretensión de que se declare la invalidez de la sanción impuesta, ya que las irregularidades procedimentales denunciadas en esta fase previa a la incoación del procedimiento sancionador no están avaladas -como pone de relieve el Tribunal de instancia- de prueba acreditativa de que los actos de investigación no estuvieran orientados a determinar, con la mayor precisión posible, los hechos susceptibles de motivar la iniciación del procedimiento sancionador, identificar la persona o personas u órganos o entidades que pudieran resultar responsables, y fijar las circunstancias relevantes que concurran.

En este sentido, cabe reseñar la doctrina jurisprudencial que hemos formulado en la sentencia de esta Sala de 4 de noviembre de 2013 (RC 251/2011), relativa a determinar la naturaleza y finalidad de las actuaciones previas, en que sostuvimos que su incoación es potestativa, esto es, que la Administración no está obligada a abrir actuaciones previas; puede, si así lo considera, acordar la incoación directa del procedimiento sancionador, y así mismo significamos que el propio artículo 122 del Reglamento de Desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, a determinar, con la mayor precisión posible, los hechos que pudieran justificar la incoación del procedimiento, identificar la persona u órgano que pudiera resultar responsable y fijar las circunstancias relevantes que pudieran concurrir en el caso, tiene una naturaleza informativa de la que sin duda puede prescindir la Administración, y, subrayamos que el propio artículo 122, al expresar que "Con anterioridad a la iniciación del procedimiento sancionar se podrán realizar actuaciones previas" , corrobora el carácter potestativo de su incoación, y su sometimiento únicamente su tramitación, desde la perspectiva conceptual, a un plazo de caducidad de doce meses..

Entendemos, al respecto, que esta doctrina resulta plenamente aplicable a la presente litis, en la medida que, en relación a la naturaleza de las actuaciones previas acordadas (petición de información y documentación a correos, requerimientos de información al restaurante Casa de los Navarros, a las entidades Macro Select Print, S.L., Meydis, S.L. y Plenisan, S.L.), y los términos temporales en que fueron practicadas, no se descubre ninguna irregularidad procedimental subsumible en las causas de nulidad de los actos administrativos, lo que determina que descartemos este motivo impugnatorio formulado contra la sentencia recurrida.

Sobre la formación de jurisprudencia acerca de la interpretación del artículo 6.1 f) del Reglamento (UE) 2016/679 , en relación con lo dispuesto en el artículo 72.1 b) de la Ley Orgánica 3/2018 .

Conforme a los razonamientos jurídicos expuestos en el precedente fundamento jurídico, esta Sala, dando respuesta a la cuestión planteada en este recurso de casación, que presentan interés casacional objetivo para la formación de jurisprudencia, declara que, habida cuenta de la no aplicación al caso de la normativa que suscita la cuestión de interés casacional, por las razones expresadas en el fundamento de derecho tercero, nos remitimos a las consideraciones efectuadas en el mismo.

Por otra parte, no teniendo dudas la Sala sobre la no aplicabilidad al caso del Reglamento comunitario 2016/679, de 27 de abril, no procede formular cuestión prejudicial como solicita la recurrente.

En consecuencia con lo razonado, debemos rechazar la pretensión revocatoria deducida y declarar no haber lugar al recurso de casación interpuesto por la representación procesal de la mercantil MEYDIS, S.L., contra la sentencia de la Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional de 12 de febrero de 2019, dictada en el recurso contencioso-administrativo número 810/2016.

Sobre las costas procesales.

De conformidad con lo dispuesto en los artículos 93.4 y 139.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, no procede la imposición de las costas de casación a ninguna de las partes, manteniéndose el pronunciamiento de condena en costas efectuada en la sentencia de instancia.

Declarar no haber lugar al recurso de casación interpuesto por la representación procesal de la mercantil MEYDIS, S.L., contra la sentencia de la Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional de 12 de febrero de 2019, dictada en el recurso contencioso-administrativo número 810/2016.

Segundo.- No efectuar expresa imposición de las costas procesales causadas en el presente recurso de casación, manteniéndose, en referencia a las costas de instancia, el pronunciamiento de la sentencia impugnada.

Notifíquese esta resolución a las partes e insértese en la colección legislativa.

Así se acuerda y firma.

Eduardo Espín Templado José Manuel Bandrés Sánchez-Cruzat Eduardo Calvo Rojas

María Isabel Perelló Doménech José María del Riego Valledor

Diego Córdoba Castroverde Fernando Ramón García

No comparto la decisión mayoritaria de afrontar en esta sentencia el examen y resolución de las cuestiones que fueron expresamente rechazadas por la Sección de Admisión de esta Sala Tercera.

(i) El auto dictado por la Sección de Admisión en fecha 5 de diciembre de 2019 en el RCA 3753/2019 (el primero de los doce recursos a que ahora nos referiremos) rechazó expresamente dos de las cuestiones de interés casacional propuestas por la parte recurrente (las relativas al carácter continuado de la infracción y al uso indebido o fraudulento de las actuaciones previas) y admitió exclusivamente la cuestión referida a si puede considerarse lícito el tratamiento de datos personales con fines de mercadotecnia directa cuando, a pesar de no haber otorgado el interesado su consentimiento, concurriere un interés legítimo en el responsable del tratamiento.

Posteriormente, los autos de admisión dictados en los recursos números 4037/2019, 4039/2019, 4377/2019, 4697/2019, 4756/2019, 5082/2019 (todos ellos de fecha 13/12/19), 4713/2019 y 5285/2019 (ambos de fecha 17/1/2020), 4454/2019 y 4738/2019 (los dos de fecha 31/1/2020) y 5479/2019 (de fecha 13/3/2020) se pronunciaron en idéntico sentido, aunque la redacción empleada no fuera exactamente la misma en todos ellos, llegando incluso en los RCA 4037/2019, 4697/2019, 4454/2019, 4713/2019, 5285/2019 y 5479/2019 a efectuarse una referencia a la identidad de las cuestiones planteadas en ellos con "las suscitadas en el RCA 3753/2019, que hemos inadmitido en ATS de fecha 5 de diciembre de 2019", lo que justificaba que en esas ocasiones se llegara a la misma conclusión (si bien conviene señalar, para mayor precisión, que en los RRCA 5285/2019 y 5479/2019 solo una de las cuestiones en ellos planteadas y rechazadas era coincidente con las suscitadas en el RCA 3753/2019).

.

(ii) No es éste el momento para dilucidar si la Sección de Admisión puede o no rechazar o inadmitir cuestiones que la parte recurrente proponga por estimar que tienen interés casacional o si, en realidad, lo que debería ser admitido o inadmitido por la Sección de Admisión es exclusivamente el recurso de casación y no las indicadas cuestiones. Lo relevante es que en este caso -al margen de la mayor o menor precisión jurídica de la fórmula utilizada- la Sección de Admisión rechazó expresamente las dos cuestiones al principio mencionadas en virtud de auto firme en todos y cada uno de los recursos citados.

Por tanto, siendo esto así, considero que la decisión mayoritaria de examinar y resolver en esta sentencia esas dos cuestiones rechazadas o inadmitidas expresamente por la Sección de Admisión significa incurrir, cuando menos, en una grave contradicción de criterio con otra Sección de la misma Sala, circunstancia que en nada se compadece con la necesaria seguridad jurídica que los órganos jurisdiccionales y, con mayor motivo, el Tribunal Supremo, estamos obligados a proporcionar a los ciudadanos en general y a los profesionales del derecho en particular.

De aquí la necesidad de unificar criterios al respecto en el seno de la Sala Tercera porque, incluso aunque se aceptara la argumentación de que, por vía de interpretación de la normativa reguladora del actual recurso de casación, fuera admisible la posibilidad de examinar en sentencia cuestiones expresamente inadmitidas o rechazadas por la Sección de Admisión, considero que ello no debería nunca hacerse de manera unilateral por una de las Secciones de la Sala Tercera, al margen de las restantes Secciones de la Sala.

Por el contrario, entiendo que, incluso en tal hipótesis, sería siempre preferible, para lograr la mayor efectividad posible del principio de seguridad jurídica, someter esta cuestión polémica a la consideración del Pleno -por cualquiera de las vías previstas legalmente al efecto-, propiciando de este modo que todas las Secciones de la Sala pudieran adoptar una solución uniforme a este respecto y garantizando así la igualdad en la aplicación de la ley, fuera cual fuese la solución que se adoptara mayoritariamente en el Pleno.

A mi entender, no representa un obstáculo definitivo para ello el hecho de que el asunto ya hubiera comenzado a deliberarse. La deliberación termina cuando se firma la sentencia por todos los magistrados y no son pocas las veces en que, tras una primera aproximación a la solución del caso enjuiciado, son necesarias varias sesiones para precisar o matizar definitivamente la solución provisionalmente adoptada, o para ajustar los términos en que deba quedar redactada la sentencia.

Pero, incluso aunque se entendiese que una vez comenzada la deliberación ya no es posible elevar un asunto al Pleno jurisdiccional ( artículo 92 LJCA), no aprecio obstáculo procesal ni orgánico para interrumpir o suspender provisionalmente la deliberación comenzada y someter en abstracto la cuestión controvertida -esto es, si cabe o no examinar y resolver en sentencia cuestiones previamente inadmitidas o rechazadas en la fase de admisión- a un Pleno no jurisdiccional, cuya decisión podría ser tenida en consideración por esta Sección, a la que después correspondería retomar y continuar hasta su conclusión la deliberación interrumpida aunque, eso sí, ajustándose en el extremo controvertido al criterio mayoritario que hubiera adoptado el Pleno de la Sala.

Esta posibilidad aun cobra mayor sentido cuando, como en este caso, nos encontramos ante una serie de doce recursos sustancialmente idénticos en cuanto a las cuestiones que en ellos se suscitan, que han sido señalados para su deliberación y fallo en diferentes días, de manera que, respecto de aquéllos cuya deliberación todavía no hubiera comenzado por no haber llegado el día señalado al efecto, aun sería menos dificultoso someter la cuestión controvertida a un Pleno, fuera éste jurisdiccional o no jurisdiccional.

(iii) Conviene resaltar, por otra parte, que no estamos ante un supuesto en el que la Sección de Admisión haya admitido expresamente sólo una de las cuestiones planteadas en la instancia y en el escrito de preparación de la casación, habiendo guardado silencio sobre el resto de las referidas cuestiones. En ese supuesto, a mi entender, no habría obstáculo definitivo para que la Sección de Enjuiciamiento examinase y resolviese las otras cuestiones planteadas, sobre todo cuando tales cuestiones estuviesen tan íntimamente relacionadas con la que fue expresamente admitida que fuera necesario efectuar un pronunciamiento sobre aquéllas para poder decidir sobre ésta.

Pero ese no es el caso ahora, porque, en realidad, no necesitábamos resolver las dos cuestiones expresamente rechazadas por la Sección de Admisión para poder dictar el pronunciamiento correspondiente a la cuestión que sí fue admitida en este recurso.

(iv) Por otra parte, parece evidente que si se aceptara el planteamiento que se propugna mayoritariamente en la sentencia -poder entrar a enjuiciar en sentencia cuestiones expresamente inadmitidas o rechazadas por la Sección de Admisión-, la aplicación de dicho planteamiento debería hacerse de manera uniforme y generalizada, no pudiendo dejarse su aplicación o no aplicación en cada supuesto a la decisión discrecional de esta Sección (o de las otras Secciones de enjuiciamiento) sin que previamente se hubieran acordado y dado a conocer públicamente los criterios utilizados al efecto para ello porque, en caso contrario, padecería gravemente el principio de seguridad jurídica.

En este sentido -y, aunque sólo lo expongo ahora a modo de reflexión, dado que en el supuesto examinado hemos desestimado el recurso de casación por decisión unánime- no es desdeñable el riesgo que conlleva en la práctica la aplicación de ese planteamiento del que discrepo. Tal aplicación podría dar lugar a que se estimase un recurso de casación tras examinarse y resolverse en sentencia una cuestión expresamente inadmitida o rechazada por la Sección de Admisión en virtud de un auto firme. Y ello podría significar que la Sección de enjuiciamiento incurriera en una vulneración del derecho a la tutela judicial efectiva por incumplimiento del artículo 118 CE, que perjudicaría a la parte recurrida, al adoptarse una decisión no previsible y que, materialmente, habría dejado sin efecto la decisión de inadmisión de la cuestión previamente adoptada en el auto firme dictado por la Sección de Admisión.

En definitiva, tras valorar conjuntamente las razones expuestas, considero que la Sección no debería haber entrado a resolver en sentencia las cuestiones que fueron en su día rechazadas por la Sección de Admisión, ni -menos aún- debería haber procedido al enjuiciamiento de aquéllas sin intentar someter previamente esa posibilidad a la consideración del Pleno de la Sala.

Sin perjuicio de lo anterior y, aunque comparto la decisión mayoritaria de no apreciar en este caso la existencia de infracción continuada, discrepo con parte de la fundamentación de la sentencia referida a ese extremo, en concreto con la contenida en los siguientes párrafos:

"(...) Es cierto que el modus operandi de la empresa Meydis, S.L., que resultó sancionada en los citados expedientes de la Agencia Española de Protección de Datos, es similar en todos los casos; y, por ello mismo, las diligencias de investigación y trámites realizados en los diferentes procedimientos sancionadores son en parte coincidentes. Pero los datos que hemos consignado indican que los hechos a los que se refieren aquellos expedientes se incardinan en campañas de mercadotecnia distintas, en las que mediante cartas personalizadas se convoca a los destinatarios a actos distintos y en lugares y fechas diferentes.

Pese a que hay similitudes en el modo de proceder de la empresa infractora, nada indica que aquellas actuaciones formen parte de una única campaña de mercadotecnia o que respondan siquiera a un único designio o a un plan preconcebido. Y como oportunamente recuerda la Sala de la Audiencia Nacional, quien alega que estamos en presencia de una infracción continuada es quien debe acreditar que se trata de una pluralidad de acciones que, además de infringir el mismo precepto, han sido realizadas con unidad de propósito y responden a un plan preconcebido, acreditación ésta que, como señala la sentencia recurrida, no se ha producido".

Mi discrepancia se basa en las siguientes consideraciones, que estimo relevantes a este respecto:

(i) En primer lugar, considero que la infracción continuada puede existir, aunque la actuación infractora (el tratamiento inconsentido de datos) se proyecte sobre varias campañas de mercadotecnia y no sobre una sola, y aunque los destinatarios de las misivas de esas campañas diversas sean convocados para asistir a actos determinados, distintos en cada caso y en lugares y fechas diferentes.

La ley no exige que estemos ante una única campaña para poder apreciar la existencia de una infracción continuada, ni limita la posibilidad de su apreciación a los supuestos en que los destinatarios de las misivas sean convocados para asistir a un solo acto promocional, en un mismo lugar y en idéntica fecha.

A mi juicio, para poder apreciar si en el caso examinado ha existido o no un designio único, un plan preconcebido, o el aprovechamiento de idéntica ocasión, hay que tener en cuenta cuándo se realiza la conducta típica. Dado que ésta consiste en el tratamiento de datos sin autorización, la infracción se habría materializado y consumado cuando, sin la autorización de los destinatarios, se consignaron los datos personales de los que éstos eran titulares en los respectivos sobres, se introdujo en ellos la publicidad o la convocatoria correspondiente y se formalizaron los envíos.

Si se hubiera acreditado que, bien en un momento anterior o, al menos, en el momento en que se produjo la consumación de la infracción concurría esa unidad de propósito en el sujeto infractor, y que éste proyectaba ese único designio infractor sobre las distintas campañas a realizar (aunque en cada una de éstas hubiere múltiples destinatarios, convocados para asistir a diversos actos promocionales, en fechas y lugares diferentes), no existiría obstáculo alguno, a mi juicio, para poder apreciar la existencia de una infracción continuada.

Lo que ocurre, sin embargo, es que en este caso no ha quedado acreditado que existiera ese designio infractor único con anterioridad ni, tampoco, en el momento de comisión de la infracción y en ello coincido con el parecer mayoritario.

Es más, en realidad, ni siquiera se ha demostrado la fecha o fechas concretas en que se materializó cada una de las utilizaciones inconsentidas de los datos de los destinatarios de las diferentes campañas, ni se ha probado que tales utilizaciones inconsentidas de los datos relativos a las diferentes campañas se produjeran en el mismo momento, en unidad de acto.

(ii) En segundo lugar, considero que no es asumible el razonamiento empleado en la sentencia para rechazar la alegación de la parte recurrente referida a la procedencia de imponer en este caso la sanción correspondiente a la infracción continuada, concretamente en cuanto establece que "(...) quien alega que estamos en presencia de una infracción continuada es quien debe acreditar que se trata de una pluralidad de acciones que, además de infringir el mismo precepto, han sido realizadas con unidad de propósito y responden a un plan preconcebido (...)".

En el supuesto enjuiciado nos movemos en el ámbito del Derecho administrativo sancionador, al que son aplicables, con matices, los principios del Derecho penal. Así lo recuerda nuestra reciente sentencia nº 1.382/2020, de 22 de octubre, con cita de las SSTC nº 9/2018, 1/2020 y 47/2020. Éstas, a su vez, invocan la doctrina sentada en otras sentencias precedentes en relación con la vigencia en el seno del procedimiento administrativo sancionador de un amplio abanico de garantías del artículo 24 de la Constitución, incluyendo entre ellas, sin ánimo de exhaustividad, el derecho a la presunción de inocencia, que implica que la carga de la prueba de los hechos constitutivos de la infracción recaiga sobre la Administración, así como el derecho a no declarar contra sí mismo.

Con base en esta doctrina, es claro que la Administración que pretenda sancionar una conducta que estima constitutiva de infracción es quien debe desarrollar su actividad investigadora con el alcance y en la forma previstos en la ley y, también, que a esa Administración cabe exigirle, en definitiva, la prueba de la infracción, siendo ella, por tanto, la que debe aportar los datos que demuestren la concurrencia de los elementos objetivo y subjetivo de la infracción.

En esa tarea la Administración debe actuar con objetividad e imparcialidad, tomando en consideración y aportando al expediente sancionador tanto lo que sea favorable como lo que sea desfavorable al sujeto presuntamente infractor. Así se infiere del artículo 103 de la Constitución cuando establece en su apartado 1 que " La Administración Pública sirve con objetividad los intereses generales y actúa de acuerdo con los principios de eficacia, jerarquía, descentralización, desconcentración y coordinación, con sometimiento pleno a la ley y al Derecho", añadiendo en su apartado 3 que "La ley regulará el estatuto de los funcionarios públicos...y las garantías para la imparcialidad en el ejercicio de sus funciones".

Por tanto, desde una perspectiva conceptual, no cabe desplazar hacia el sujeto sancionado la carga de demostrar -a modo de condición para poder apreciar la existencia de una infracción continuada- que en la realización de los diversos actos típicos actuó con unidad de propósito infractor, pues dicha exigencia comporta ineludiblemente la contravención de los principios que informan el derecho administrativo sancionador a los que antes nos referimos.

Cosa distinta es que en el presente caso la solicitud de aplicación del carácter continuado de la infracción efectuada por el sujeto sancionado no pueda atenderse porque, pese a que esa solicitud comporte implícitamente el reconocimiento de la concurrencia de los elementos objetivo y subjetivo de la infracción de carácter continuado (incluido, por tanto, el propósito infractor único), no conste la existencia de otros datos concordantes que pudieran avalar, objetivamente, la concurrencia de ese designio infractor unitario en el momento de la comisión de la infracción o en un momento anterior.

Y la falta de constancia de esos datos nos permite deducir que, en realidad, ese reconocimiento tácito del sujeto sancionado estaba exclusivamente guiado por el ánimo interesado de conseguir la imposición de una sanción más favorable para él que la que resulta de sumar las diversas sanciones que le han sido impuestas en los diferentes procedimientos sancionadores seguidos contra él.

Por ello, en consecuencia, coincido con el parecer mayoritario en que no cabe apreciar en este caso la comisión de una infracción continuada, aunque esta conclusión esté basada en razonamientos distintos de los expresadas en la sentencia.

En Madrid, en la misma fecha de la sentencia.

D. Fernando Román García

PUBLICACIÓN.- Leída y publicada fue la anterior sentencia, estando constituida la Sala en Audiencia Pública, lo que, como Letrada de la Administración de Justicia, certifico.