STS 1364/2021, 23 de Noviembre de 2021

En el procedimiento ordinario núm. 717/2018, la Sala de lo Contencioso Administrativo (Sección Quinta) de la Audiencia Nacional, con fecha 7 de octubre de 2020, dictó sentencia cuyo fallo es del siguiente tenor:

"DESESTIMAR el recurso contencioso-administrativo interpuesto por la representación procesal de D. Bruno, bajo la dirección letrada de D. José Miguel Pérez Pérez, contra la resolución de 5 de septiembre de 2018, del Director General de la Policía, por delegación del Ministro del Interior, resolución que, en los extremos examinados, es conforme a Derecho.

Sin imposición de costas.".

Contra la referida sentencia la representación procesal de don Bruno preparó recurso de casación, que por la Sala de lo Contencioso Administrativo (Sección Quinta) de la Audiencia Nacional se tuvo por preparado mediante auto de 11 de diciembre de 2020, que, al tiempo, ordenó remitir las actuaciones al Tribunal Supremo, previo emplazamiento a las partes.

Recibidas las actuaciones y personadas las partes, la Sección Primera de la Sala de lo Contencioso Administrativo del Tribunal Supremo, con fecha 18 de marzo de 2021, dictó auto en cuya parte dispositiva se acuerda:

"1º) Admitir a trámite el recurso de casación nº 7919/20, preparado por la representación procesal de D. Bruno, contra la sentencia -7 de octubre de 2020- de la Sala de lo Contencioso Administrativo (Sección Quinta) de la Audiencia Nacional, desestimatoria del P.O 717/2018.

2. ) Precisar que la cuestión que presenta interés casacional objetivo para la formación de jurisprudencia consiste en determinar:

   Si el art. 15 de la Ley 5/2014, de 4 de abril, de Seguridad Privada constituye título habilitante para el acceso directo por la Dirección General de la Policía, sin consentimiento del afectado, a los datos obrantes en el Registro Central de Penados y Rebeldes relativos a los antecedentes penales del personal de seguridad privada, a fines de control del cumplimiento de los requisitos necesarios para la obtención o mantenimiento de la habilitación profesional de dicha actividad.

3. ) Identificar como normas jurídicas que, en principio, serán objeto de interpretación, sin perjuicio de que la sentencia haya de extenderse a otras si así lo exigiere el debate finalmente trabado en el recurso, las siguientes: Arts. 2.3.d) de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal; 6 del Real Decreto 95/2009, de 6 de febrero, por el que se regula el Sistema de Registros Administrativos de apoyo a la Administración de Justicia; 15 apdos. 1 y 2 y 28.1.e) de la Ley 5/2014, de 4 de abril, de Seguridad Privada y 53.d) del Reglamento de Seguridad Privada, Real Decreto 2364/1994, de 9 de diciembre.

   (...)".

La representación procesal de don Bruno interpuso recurso de casación en el que ejercitó las siguientes pretensiones:

"La pretensión deducida en este recurso consiste en que se declare haber lugar al recurso de casación y se case la Sentencia dictada por la Audiencia Nacional, Sala de lo Contencioso-administrativo, Sección 5ª de fecha 7 de octubre de 2020, (Recurso Contencioso-administrativo -P.O.- nº 717/2018), anulándola y dejándola sin efecto.

Consecuentemente, se estime el Recurso Contencioso-administrativo, ya que la infracción jurídica producida ha conllevado la vulneración del derecho fundamental del actor a la protección de la intimidad personal del art. 18.1 y 4 de la Constitución, en relación con el art. 8.1 del Convenio para la Protección de los Derechos Humanos y de las Libertades Fundamentales de 4-11-19950 y, consecuentemente, debe declararse la nulidad del acto recurrido en virtud del art. 47.1.a) de la Ley 39/2015, de 1 de octubre."

Y termina suplicando a la Sala que "... se dicte Sentencia por la que, casando y anulando la Sentencia recurrida ya referenciada, se estime el recurso contencioso-administrativo.".

La Abogacía del Estado se opuso al recurso de casación interpuesto de contrario mediante escrito en el que termina suplicando a la Sala que "... dicte sentencia desestimatoria del recurso, confirmando la sentencia recurrida y fijando la doctrina que resulta de dicha desestimación, de acuerdo con lo expuesto."

Mediante providencia de 20 de julio de 2021, se señaló el presente recurso para votación y fallo el día 16 de noviembre de 2021, fecha en que tuvo lugar.

La sentencia recurrida.

La sentencia de 7 de octubre de 2020, dictada por la Sección Quinta de la Sala de lo Contencioso Administrativo de la Audiencia Nacional, desestima el recurso contencioso administrativo interpuesto por don Bruno contra la resolución de 5 de septiembre de 2018, del Director General de la Policía (por delegación del Ministro del Interior) que acordó extinguir su habilitación profesional como vigilante de seguridad.

La extinción obedece a que la condena en sentencia firme del Juzgado de Primera Instancia e Instrucción número 2 de Melilla, por un delito de amenazas leves, supuso la pérdida del requisito de carecer de antecedentes penales contemplado en el art. 28.1.e) de la Ley 5/2014, de 4 de abril, de seguridad privada (LSP), en relación con el art. 53.d) del Real Decreto 2364/1994, de 9 de diciembre, por el que se aprueba el Reglamento de Seguridad Privada (RSP).

El debate en la instancia, que ahora se trae a casación, se ceñía a la licitud de la forma en la que se había obtenido por la Dirección General de la Policía la información sobre los antecedentes penales del recurrente ya que, como se explica en la sentencia, "[E]n este caso, en el expediente administrativo, consta el "acceso directo" a la base de datos del Registro Central de Penados por un funcionario de la policía nacional, cuyos datos, han sido tachados, si bien el documento contiene impresa la leyenda "documento informativo obtenido directamente por (tachado) de POLICÍA NACIONAL el día 26/06/2018 14:02 y exclusivamente para los fines que tiene encomendados (capítulo II del Real Decreto 95/2009 [....] y conforme a lo establecido en la LO 15/99, de 13 de diciembre, de Protección de Datos de Carácter Personal). Hay una remisión directa a la regulación del artículo 6 indicado [ art. 6 del Real Decreto 95/2009, de 6 de febrero, por el que se regula el Sistema de registros administrativos de apoyo a la Administración de Justicia.]".

Entiende la Sala que este acceso directo al Registro Central de Penados no está amparado por los arts. 6 (acceso directo) y 16 (solicitud de certificaciones) del Real Decreto 95/2009, que regula dicho Registro:

"... en la regulación del Real Decreto 95/2009, el Cuerpo Nacional de Policía no tiene con carácter general "acceso directo" a las bases de datos del Registro Central de Penados, sino que están legitimados los funcionarios, autorizados -encargados del tratamiento de datos de determinadas unidades policiales: a) policía judicial; b) unidades responsables de la expedición del pasaporte; c) unidades responsables del control de entrada y salida del territorio nacional, y solo, en todos los casos, en relación con los fines que tienen encomendados....

La posibilidad de solicitud de "certificaciones" al Encargado del Registro Central de Penados por cualquier órgano de las Administraciones Públicas requiere una serie de condiciones, como son (i) que se tramite un procedimiento en el que sea preceptivo este certificado para acceder a un derecho o adquirir una condición determinada, (ii) que haya consentimiento del interesado, salvo que una norma con fango de Ley lo exceptúe, y (iii) que la información se limite únicamente a los datos relativos al interesado en el procedimiento.

(...)

La invocación del artículo 16 del Real Decreto 95/2009 obvia que en este caso no se trató de una solicitud de "certificación, de datos inscritos", sino de "acceso directo", aparte que el procedimiento de extinción de la habilitación se incoa por la Comisaría General de Seguridad Ciudadana, Unidad de Seguridad Privada, Sección de Personal, una vez recibido el documento informativo de antecedentes penales. Además, el procedimiento se incoa para la extinción de la habilitación y, por tanto para lo contrario de "acceder a un derecho o adquirir una condición" por el afectado, y no puede considerarse, como alega la defensora de la Administración, que el consentimiento - de haberse dado- al participar en la convocatoria para el acceso a las pruebas de selección de vigilante de seguridad se extienda temporalmente más allá de dicho momento inicial, ni que pueda admitirse un consentimiento tácito."

Descarta, no obstante, la sentencia recurrida que se haya producido un acceso ilícito por parte de la Dirección General de la Policía a los datos personales del recurrente contenidos en el Registro Central de Penados por las siguientes razones:

"Llegados a este punto, cabría distinguir: si los datos fueron obtenidos por quien podía hacerlo, esto es, por quien se hallaba legitimado en su calidad de autorizado para el acceso; si en la comunicación de los datos de antecedentes penales a dicha unidad de personal dentro de la misma Policía Nacional, se actuaba legítimamente y en el ejercicio de sus funciones o si una ley así lo autoriza.

Lo primero parece ser así, al haberse obtenido por un funcionario de policía nacional autorizado para consultar el Registro, si bien entre los fines para los que exclusivamente se permite el acceso directo a la información del Registro de Penados en dicho artículo 6 reglamentario, no se encuentra el caso de extinción de la habilitación de un vigilante de seguridad, expediente que, como hemos dicho en multitud de ocasiones no tiene carácter sancionador.

Respecto a si el destinatario de esos datos podía acceder a ellos porque una ley así se lo autoriza, debe tenerse en cuenta que los antecedentes penales son datos de carácter personal que están sujetos al deber de confidencialidad, su conocimiento no es público, y se trata de datos protegidos por el derecho fundamental a la protección de datos que emana tanto del artículo 18.1 y 4 de la CE como del artículo 8 del Convenio Europeo de Derechos Humanos (respeto a la vida privada y familiar).

Al respecto, dispone el artículo 136.4 del Código Penal: "Las inscripciones de antecedentes penales en las distintas secciones del Registro Central de Penados y Rebeldes no serán públicas. Durante su vigencia solo se emitirán certificaciones con las limitaciones y garantías previstas en sus normas específicas y en los casos establecidos por la ley. En todo caso, se librarán las que soliciten los jueces o tribunales, se refieran o no a inscripciones canceladas, haciendo constar expresamente esta última circunstancia."

En la demanda se aduce solo el derecho fundamental a la intimidad del artículo 18.1 CE, cuya función es la de proteger frente a cualquier invasión que pueda realizarse en aquel ámbito de la vida personal y familiar que la persona desea excluir del conocimiento ajeno y de las intromisiones de terceros en contra de su voluntad (por todas STC 144/1999 , de 22 de julio, FJ 8), es decir, el poder de resguardar su vida privada de una publicidad no querida " SSTC 134/1999 , 98/2000, 115/2000 y 292/2000". En realidad, los antecedentes penales no son datos íntimos cuya publicidad esté limitada, sino que son datos personales públicos cuyo poder de disposición se garantiza en general por el derecho a la protección de datos del artículo 18.4 CE, que se traduce en un derecho de control sobre los datos relativos a la propia persona insertos en un programa informático (habeas data) y comprende, entre otros aspectos, la oposición del ciudadano a que determinados datos personales sean utilizados para fines distintos de aquel legítimo que justificó su obtención ( SSTC 11/1998, FJ 5, 94/1998, FJ 4).

Pues bien, la doctrina constitucional también ha declarado que el derecho a la protección de datos no es ilimitado, y aunque la Constitución no le imponga expresamente límites específicos, ni remita a los Poderes Públicos para su determinación como ha hecho con otros derechos fundamentales, no cabe duda de que han de encontrarlos en los restantes derechos fundamentales y bienes jurídicos constitucionalmente protegidos, pero la Constitución ha querido que la Ley, y sólo la Ley, pueda fijar los límites a un derecho fundamental. Esas limitaciones han de estar justificadas en la protección de otros derechos o bienes constitucionales ( SSTC 104/2000 , de 13 de abril, FJ 8 y las allí citadas) y, además, han de ser proporcionadas al fin perseguido con ellas ( SSTC 11/1981, 196/1987, y 292/2000).

Es preciso tener en cuenta que el artículo 10 de Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y por el que se deroga la Directiva 95/46/ CE (Reglamento general de protección de datos), dispone: " Tratamiento de datos personales relativos a condenas e infracciones penales. El tratamiento de datos personales relativos a condenas e infracciones penales o medidas de seguridad conexas sobre la base del artículo 6, apartado 1 , sólo podrá llevarse a cabo bajo la supervisión de las autoridades públicas o cuando lo autorice el Derecho de la Unión o de los Estados miembros que establezca garantías adecuadas para los derechos y libertades de los interesados. Solo podrá llevarse un registro completo de condenas penales bajo el control de las autoridades públicas."

A su vez, el artículo 10 de la actual Ley Orgánica 3/2018 de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, sobre el tratamiento de datos de naturaleza penal señala:

"1. El tratamiento de datos personales relativos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas, para fines distintos de los de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, solo podrá llevarse a cabo cuando se encuentre amparado en una norma de Derecho de la Unión, en esta ley orgánica o en otras normas de rango legal.

2. El registro completo de los datos referidos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas a que se refiere el artículo 10 del Reglamento (UE) 2016/679 , podrá realizarse conforme con lo establecido en la regulación del Sistema de registros administrativos de apoyo a la Administración de Justicia."

Por tanto, sólo los poderes públicos pueden ser titulares de los ficheros que pudiesen contener los datos referidos a condenas penales, y el tratamiento de dichos datos para fines distintos a la prevención investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales sólo puede realizarse cuando esté amparado por una Ley.

La Ley 5/2014, de 4 de abril, de Seguridad Privada, establece en su artículo 15, sobre el acceso a la información por las Fuerzas y Cuerpos de Seguridad: " Se autorizan las cesiones de datos que se consideren necesarias para contribuir a la salvaguarda de la seguridad ciudadana". La discusión estaría entonces en entender si dicho precepto legal permitiría el acceso y la cesión de datos personales por las Fuerzas y Cuerpos de Seguridad del Estado en el ámbito de la seguridad privada, sin consentimiento del afectado. Ha de ponerse en relación con el artículo 11.2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal - aplicable temporalmente- que permitía la cesión para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario, entre otros supuestos, cuando la cesión está autorizada en una ley, o cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros, en cuyo caso, la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique. Más concretamente, el artículo 22 de la Ley permite la recogida y tratamiento para fines policiales de datos de carácter personal por las Fuerzas y Cuerpos de Seguridad sin consentimiento de las personas afectadas, aunque limitado a aquellos supuestos y categorías de datos que resulten necesarios para la prevención de un peligro real para la seguridad pública o para la represión de infracciones penales, debiendo ser almacenados en ficheros específicos establecidos al efecto, que deberán clasificarse por categorías en función de su grado de fiabilidad.

Esta Sala y Sección en multitud de sentencias sobre la anterior cancelación de la habilitación por tener antecedentes penales, ahora extinción de la habilitación, ha venido razonando que la garantía de la seguridad es una actividad esencial ligada a la existencia misma del Estado moderno, que se ejerce, en régimen de monopolio, por el poder público, por lo que los servicios privados de seguridad, como servicios complementarios de ese monopolio estatal, están sujetos a un conjunto de controles e intervenciones administrativas que condicionan este ejercicio de las actividades de seguridad por los particulares, y que por lo que ahora interesa, sujetan la prestación de servicios a una autorización administrativa, que no procede cuando se tienen antecedentes penales. "Entre otras, sentencia de 12 de enero de 2012, (recurso 1424/2009), 2 de diciembre de 2015 (recurso 235/2014), 1 de julio de 2015 (recurso 24/2014)), de 27 de septiembre de 2017 (recurso 331/2016)".

La propia Exposición de Motivos de la Ley de Seguridad Privada señala que la seguridad no es solo un valor jurídico sino también un "valor social" y la seguridad privada se perfila "como la forma en la que los agentes privados contribuyen a la minoración de posibles riesgos asociados a su actividad industrial o mercantil, obtienen seguridad adicional más allá de la que provee la seguridad pública o satisfacen sus necesidades de información profesional con la investigación de asuntos de su legítimo interés". Por tanto, la seguridad privada se configura como una actividad con entidad propia, pero a la vez "como parte integrante de la seguridad pública (...). No solo en España sino fundamentalmente en nuestro entorno europeo, la seguridad privada se ha convertido en un verdadero actor de las políticas globales y nacionales de seguridad". Añade, que la proyección de la Administración del Estado sobre la prestación de servicios de seguridad por entidades privadas y sobre su personal se basa en el hecho de que los servicios que prestan forman parte del núcleo esencial de la competencia exclusiva en materia de seguridad pública atribuida al Estado por el artículo 149.1.29.ª de la Constitución, y en la misión que, según el artículo 104 del propio texto fundamental, incumbe a las Fuerzas y Cuerpos de Seguridad, bajo la dependencia del Gobierno, de proteger el libre ejercicio de los derechos y libertades y garantizar la seguridad ciudadana. " A partir de ahí, se establece un conjunto de controles e intervenciones administrativas que condicionan el ejercicio de las actividades de seguridad por los particulares."

La competencia para la habilitación e inhabilitación del personal de seguridad privada la confiere el artículo 12 de esa misma la Ley de Seguridad Privada, en su apartado 1 c), a la Administración General del Estado, a través del Ministerio del Interior y, en su caso, de las Delegaciones y Subdelegaciones del Gobierno. La habilitación de todo el personal de seguridad privada corresponde a la Dirección General de la Policía, excepto la de los guardas rurales y sus especialidades que corresponde a la Dirección General de la Guardia Civil, conforme al artículo 27 de la Ley, que exige que para el ejercicio de las funciones de seguridad privada el personal -entre ellos los vigilantes de seguridad- habrá de obtener previamente la correspondiente habilitación del Ministerio del Interior, en los términos que reglamentariamente se determinen.

De este modo, la exigencia de la carencia de antecedentes penales para el ejercicio de las funciones de vigilante de seguridad, de conformidad con el artículo 28.3 de la Ley de Seguridad Privada, se configura como una condición exigible no solo para acceder a esta actividad, sino [...] en todo momento del desempeño de las mismas, en cuanto se establece que "La pérdida de alguno de los requisitos indicados producirá la extinción de la habilitación, y la cancelación de oficio de la inscripción en el Registro Nacional" También el artículo 53 del Reglamento de Seguridad Privada señala entre los requisitos generales la carencia de antecedente penales "para la habilitación del personal y en todo momento para la prestación de servicios de seguridad privada ....". De modo que tan pronto que la Administración tenga el conocimiento fehaciente de la existencia de antecedentes penales deberá tramitar el correspondiente procedimiento administrativo para extinguir las habilitaciones que fueron concedidas, que es lo que aquí ha ocurrido. " Entre las últimas, sentencia de 13 de marzo de 2019, (recurso 712/2017) y 19 de febrero de 2020 (recurso 335/2019)".

Es, por tanto, en base a dicha competencia de la Dirección General de la Policía de control del cumplimiento de los requisitos necesarios para mantener la habilitación del personal de seguridad privada, que estaría amparada por la Ley de Seguridad Privada el acceso para fines policiales de datos de carácter personal sin consentimiento de los vigilantes de seguridad.

(...)"

El auto de admisión del recurso.

Precisa que la cuestión en la que aprecia interés casacional objetivo para la formación de jurisprudencia consiste en determinar si el art. 15 de la Ley 5/2014, de 4 de abril, de Seguridad Privada, constituye título habilitante para el acceso directo por la Dirección General de la Policía, sin consentimiento del afectado, a los datos obrantes en el Registro Central de Penados y Rebeldes relativos a los antecedentes penales del personal de seguridad privada, a fines de control del cumplimiento de los requisitos necesarios para la obtención o mantenimiento de la habilitación profesional de dicha actividad.

E identifica como normas jurídicas que, en principio, debemos interpretar, sin perjuicio de que la sentencia haya de extenderse a otras si así lo exigiera el debate finalmente trabado en el recurso, arts. 2.3.d) de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal; 6 del Real Decreto 95/2009, de 6 de febrero, por el que se regula el Sistema de Registros Administrativos de apoyo a la Administración de Justicia; 15 apdos. 1 y 2 y 28.1.e) de la Ley 5/2014, de 4 de abril, de Seguridad Privada y 53.d) del Reglamento de Seguridad Privada, Real Decreto 2364/1994, de 9 de diciembre.

El escrito de interposición.

Entiende que la ubicación sistemática del art. 15 LSP en el Título I de la Ley, denominado "Coordinación", y las consideraciones contenidas en su Preámbulo en relación con el mismo revelan que la coordinación a que se refiere es la que ha de llevarse a cabo entre las Fuerzas y Cuerpos de Seguridad del Estado y las empresas de seguridad, los despachos de detectives y el personal de seguridad privada (esto es, los servicios de seguridad privada).

Por tanto, la "cesión de datos" que se autoriza en el art. 15.1 solo cabe predicarla de los datos que las empresas de seguridad privada hayan obtenido en el ejercicio de sus funciones y cuya cesión se "considere necesaria para la salvaguarda de la seguridad ciudadana", lo que se refuerza con el resto del párrafo, referido, esta vez, a ciertos "sistemas instalados" por tales empresas.

La consecuencia necesaria de lo anterior es que el precepto no autoriza el acceso directo por parte de las Fuerzas y Cuerpos de Seguridad del Estado al Registro Central de Penados, que es un Registro Administrativo cuyos datos, obviamente, no han sido obtenidos o almacenados por los servicios de seguridad privada y que, además, se someten a la normativa de protección de datos de carácter personal.

Por tanto, hemos de acudir a la normativa general que regula el susodicho Registro Central, que se rige por sus propias disposiciones en virtud del art. 2.3.d) de la L.O. 15/1999, el cual, así como las normas reguladoras de ese registro, son aplicables al caso "ratione temporis", y en concreto al RD 95/2009, cuyo art. 6 no ampara el acceso por parte de la Policía Nacional al registro central de penados para comprobar si un vigilante de seguridad privada tiene antecedentes penales a fin de dejar sin efecto su habilitación.

Y sin embargo, eso es lo que ha ocurrido en el caso de autos, en el que se accede directamente, y de forma por tanto ilícita, por un miembro de la Policía Nacional al registro en cuestión, y el resultado de dicho acceso es determinante (de hecho es el único elemento probatorio) para la pérdida de la habilitación profesional del actor, pese a que el propio documento en el que se refleja tal acceso, expresamente afirma que el acceso lo es exclusivamente para los fines del art. 6 del Real Decreto 95/2009, de 6 de febrero, por el que se regula el Sistema de registros administrativos de apoyo a la Administración de Justicia.

En conclusión: la sentencia recurrida en casación infringe el art. 15 de la Ley 5/2014, de 4 de abril, de Seguridad Privada, por cuanto el mismo no constituye título habilitante bastante para el acceso directo de la Dirección General de la Policía, sin consentimiento del afectado, a los datos obrantes en el Registro Central de Penados, relativos a los antecedentes penales del personal de seguridad privada, a fines de control del cumplimiento de los requisitos necesarios para mantener la habilitación expedida para el desempeño de tal actividad, entre los que se encuentra -ex art. 28.1.e) y 28.3 de la citada Ley- el carecer de antecedentes penales por delitos dolosos; acceso que únicamente puede realizarse en los términos del art. 6 del Real Decreto 95/2009, de 6 de febrero, por el que se regula el Sistema de registros administrativos de apoyo a la Administración de Justicia.

El escrito de oposición.

La Abogacía del Estado entiende que el art. 15 de la LSP constituye título habilitante suficiente para el acceso directo por la Dirección General de la Policía, sin consentimiento del afectado, a los datos obrantes en el Registro Central de Penados y Rebeldes relativos a los antecedentes penales del personal de seguridad privada, para los fines de control del cumplimiento de los requisitos necesarios para la obtención o mantenimiento de la habilitación profesional para el ejercicio de dicha actividad.

Destaca que la carencia de antecedentes penales es un requisito indispensable no sólo para acceder al ejercicio de las funciones de vigilante de seguridad, sino también para el desempeño de las mismas ( art. 28, apartados1.e/ y 3 LSP), y entiende que, en la medida en que el art. 15 LSP autoriza las cesiones de datos que se consideren necesarias para contribuir a la seguridad ciudadana, dentro de tales cesiones han de entenderse incluidas las relativas al cumplimiento de los requisitos necesarios para poder desempeñar las funciones de vigilante de seguridad, pues éstos constituyen una pieza clave de la seguridad ciudadana, tal y como se recoge en la exposición de motivos de la LSP, siendo imprescindible que el Estado mantenga los correspondientes controles que garanticen su correcto funcionamiento, entre los que se encuentra que mantengan los requisitos que les permiten la habilitación todo el tiempo que desempeñan sus funciones.

Por ello, debe entenderse de aplicación al presente caso la previsión contenida en el art. 11.2.a) LOPD 15/1999, de 13 de diciembre (cesiones de datos sin consentimiento autorizada en una ley). Sin perjuicio de que el supuesto deba también considerarse incluido en el apartado c) de dicho artículo, el cual se refiere a aquellos supuestos en los que "el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros."

Además, la limitación que ello supone es absolutamente proporcionada y razonable y resulta indispensable para la preservación del bien que se trata de salvaguardar, que es el correcto funcionamiento de la seguridad ciudadana mediante la exigencia del cumplimiento de los requisitos legales establecidos para quienes hayan de actuar como agentes de seguridad privados.

Ello está, además, en plena sintonía con lo dispuesto en los arts. 10 y 23 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo de 27 de abril de 2016.

Por último, entiende que la excepción a la necesidad del consentimiento del interesado se funda también en el art. 6.2 LOPD.

La cuestión que presenta interés casacional objetivo.

A).- La cuestión que debemos resolver, tal y como ha sido delimitada por el auto de admisión, consiste en determinar si el art. 15 LSP constituye título habilitante para el acceso directo por la Dirección General de la Policía, sin consentimiento del afectado, a los datos obrantes en el Registro Central de Penados y Rebeldes relativos a los antecedentes penales del personal de seguridad privada, a fines de control del cumplimiento de los requisitos necesarios para la obtención o mantenimiento de la habilitación profesional de dicha actividad.

Debe, no obstante, advertirse inmediatamente que nuestro pronunciamiento no puede ceñirse sólo a dicho precepto legal ya que la sentencia recurrida ha sustentado su fallo desestimatorio no sólo en el citado art. 15 LSP -o más precisamente, en el primer inciso de su apartado primero-, sino también en el art. 11.2.a) y c) LOPD 1999, así como en el art. 22.2 de dicha ley orgánica, entendiendo que eran todos esos preceptos, y no sólo el citado en primer lugar, los que amparaban la actuación administrativa impugnada.

Esta actuación es una resolución de la Dirección General de la Policía Nacional por la que se extingue una habilitación profesional como vigilante de seguridad por perder el requisito de carecer de antecedentes penales contemplado en el art. 28.1.e) LSP, en relación con el art. 53.d) RSP, habiéndose tenido conocimiento del antecedente penal tras haberse accedido directamente por un funcionario de la policía nacional al Registro Central de Penados y Rebeldes sin consentimiento del interesado.

La actuación administrativa, como correctamente ha entendido la sentencia impugnada, en la medida en que supone una cesión de datos personales, los antecedentes penales, nos sitúa en el ámbito protegido por el derecho fundamental a la protección de datos de carácter personal (habeas data) reconocido en el art. 18.4 CE, así como en el art. 8, apartado 1, de la Carta de los Derechos Fundamentales de la Unión Europea y en el art. 16, apartado 1, del Tratado de Funcionamiento de la Unión Europea, y se encuentra desarrollado en el derecho interno por la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD 1999), aquí aplicable por razones temporales.

B).- Sobre el contenido sustancial de este derecho fundamental, en lo que aquí nos concierne, los términos de su posible limitación y sobre la configuración misma de los antecedentes penales como dato personal incluido en su círculo de protección, poco cabe añadir a cuanto se razona por la Sala de instancia. Recordaremos, sólo sucintamente tales cuestiones, que no han centrado la discusión entre las partes en esta sede, en la medida en que constituyen el marco necesario de nuestro pronunciamiento.

Y así, los antecedentes penales, si bien no pueden configurarse como datos íntimos ex art. 18.1 CE, constituyen un dato personal protegido por el art. 18.4 CE, su publicidad se encuentra restringida ( art. 136.4 Código Penal), su tratamiento sólo puede llevarse a cabo bajo supervisión de las autoridades públicas ( art. 10 del Reglamento (UE) 2016/679, general de protección de datos), son calificados de "datos especialmente protegidos" por el art. 7.5 LOPD 1999, y de conformidad con el art. 2.3.d) LOPD 1999, los datos del Registro Central de Penados y Rebeldes se rigen por sus normas específicas y por lo especialmente previsto, en su caso, por dicha ley orgánica, habiendo descartado la sentencia recurrida -en pronunciamiento que compartimos y que no es aquí objeto de debate- que las normas que regulan dicho Registro - Real Decreto 95/2009, de 6 de febrero, por el que se regula el Sistema de registros administrativos de apoyo a la Administración de Justicia, arts. 6 y 16.c)- amparen la cesión de datos sin consentimiento del interesado que aquí se ha producido, cesión que se ha realizado, asimismo, en un ámbito ajeno a la prevención, investigación, detección o enjuiciamiento de infracciones penales o ejecución de sanciones de esta naturaleza al que se refiere la Directiva 2016/680, de 27 de abril.

Ubicada la cuestión, en los términos expuestos, en el ámbito protegido por el art. 18.4 CE, hay que recordar, asimismo, que el derecho fundamental a la protección de datos que en dicho precepto se reconoce confiere a su titular el poder de disposición y control sobre sus datos personales -y no sólo íntimos-, sobre su uso y destino, con el propósito de impedir su tráfico ilícito y abarca, entre otras, la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular, y requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro, el poder oponerse a esa posesión y usos ( SSTC 254/1993, FJ 5 y 7, y 292/2000, FJ 7). El consentimiento se sitúa, pues, en el núcleo esencial del derecho.

Y centrados en el ámbito de la cesión de datos en el que nos encontramos, aún debemos advertir que el consentimiento para tal cesión constituye una facultad específica que no puede entenderse incluida en el consentimiento prestado para la recogida y tratamiento de los datos personales al que se refiere el art. 6 LOPD 1999. Como explica la STC 292/2000, FJ 13, "el derecho a consentir la recogida y el tratamiento de los datos personales ( art. 6 LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho fundamental a la protección de tales datos. Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aun cuando puedan ser compatibles con éstos ( art. 4.2 LOPD), supone una nueva posesión y uso que requiere el consentimiento del interesado. Una facultad que sólo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté justificada, sea proporcionada y, además, se establezca por Ley, pues el derecho fundamental a la protección de datos personales no admite otros límites.".

Es, por tanto, necesario el consentimiento específico del interesado para la cesión de sus datos personales a un tercero, aunque cabe la limitación de esta facultad de consentir la cesión de los datos personales a un tercero para su tratamiento con fines distintos de los que ocasionaron su recogida, siempre que se establezca en una ley, que esté justificada para proteger otros bienes o derechos de relevancia constitucional y que sea proporcionada.

A esta posibilidad de limitación de la facultad de consentir la cesión se refiere el art. 11 LOPD 1999, que, tras establecer en su apartado 1 la regla general del consentimiento del interesado en la cesión de datos ("Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado"), enumera en su apartado 2 los supuestos en los que tal consentimiento no será preciso, entre los que se encuentran, por lo que aquí interesa, los de sus apartados a) y c), que se refieren, respectivamente, a "Cuando la cesión está autorizada en una ley" y "Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique.". Sobre la necesidad de previsión legal para el tratamiento de los datos atinentes a condenas e infracciones penales para fines distintos de los de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales se pronuncia el art. 10 de la actualmente vigente Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, aquí no aplicable por razones temporales.

C).- Pues bien, entiende la sentencia recurrida que aquellos preceptos legales, art. 11.2.a) y c) LOPD 1999, en relación con los arts.15.1, primer inciso, LSP y 22.2 LOPD 1999, amparan la cesión sin consentimiento de los antecedentes penales llevada a cabo en el caso de autos.

Dispone el art. 15.1 LSP que "Se autorizan las cesiones de datos que se consideren necesarias para contribuir a la salvaguarda de la seguridad ciudadana, así como el acceso por parte de las Fuerzas y Cuerpos de Seguridad a los sistemas instalados por las empresas de seguridad privada que permitan la comprobación de las informaciones en tiempo real cuando ello sea necesario para la prevención de un peligro real para la seguridad pública o para la represión de infracciones penales.".

Y el art. 22.2 LOPD establece que "La recogida y tratamiento para fines policiales de datos de carácter personal por las Fuerzas y Cuerpos de Seguridad sin consentimiento de las personas afectadas están limitados a aquellos supuestos y categorías de datos que resulten necesarios para la prevención de un peligro real para la seguridad pública o para la represión de infracciones penales, debiendo ser almacenados en ficheros específicos establecidos al efecto, que deberán clasificarse por categorías en función de su grado de fiabilidad.".

Entendemos, sin embargo, que ninguno de estos dos preceptos ampara la cesión inconsentida de los antecedentes penales a la Dirección General de la Policía para controlar el mantenimiento de los requisitos necesarios para conservar la habilitación como vigilante de seguridad.

El primero de estos preceptos, como destaca el recurrente, se refiere a la cesión de datos que opera entre la seguridad privada y las Fuerzas y Cuerpos de Seguridad, y así se desprende de su ubicación sistemática en el Título I de la ley dentro de los preceptos dedicados a la coordinación entre la seguridad privada y las Fuerzas y Cuerpos de Seguridad, abundando en ello la propia Exposición de Motivos en cuyo apartado V se explica: "En el título I se plasma una de las ideas claves que han inspirado la redacción de la ley, como es la coordinación y la colaboración entre los servicios de seguridad privada y las Fuerzas y Cuerpos de Seguridad, con el único objetivo de mejorar la seguridad pública, mediante el intercambio de información siempre con todas las garantías legales,...". Por tanto, se trata de un precepto que se mueve en un ámbito distinto del analizado, pues lo que pretende es regular los flujos o intercambios de información entre la seguridad privada y las Fuerzas y Cuerpos de Seguridad, pero no aborda ninguna cesión de datos del Registro Central de Penados y Rebeldes a las Fuerzas y Cuerpos de Seguridad ni permite tampoco la comunicación de datos de dicho Registro a las fuerzas policiales para el control de los requisitos de la habilitación de los vigilantes de seguridad.

Y tampoco aborda esta cuestión el segundo de los preceptos transcritos que se refiere a la recogida y tratamiento de datos sin consentimiento del interesado por parte de las Fuerzas y Cuerpos de Seguridad para su acceso a ficheros policiales específicos cuando sean necesarios para la prevención de un peligro real para la seguridad pública o para la represión de las infracciones penales. Tampoco este precepto permite a las Fuerzas y Cuerpos de Seguridad del Estado acceder al Registro Central de Penados y Rebeldes con la finalidad aquí analizada.

D).- Es el tercero de los preceptos legales citados en la sentencia recurrida, art. 11.2.c) LOPD 1999, el que entendemos que otorga cobertura a la actuación administrativa impugnada ya que permite prescindir del consentimiento del interesado cuando la cesión de datos personales "responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros" siempre que la comunicación de datos "se limite a la finalidad que la justifique".

Y éste es el supuesto de autos en el que existe una relación jurídica libremente aceptada constituida por la habilitación otorgada por el Ministerio del Interior para poder ejercer como vigilante de seguridad privada ( art. 12.1.c/ LSP) que exige, durante todo el tiempo que se mantenga tal habilitación, como requisito necesario, carecer de antecedentes penales por delito doloso ( art. 28.1.e/ LSP y art. 53.d/ RSP), dato éste cuyo mantenimiento a lo largo de la habilitación debe ser controlado necesariamente por quien la otorga y que obra en un fichero de terceros, como es el Registro Central de Penados y Rebeldes, habiéndose limitado la comunicación de datos a la finalidad que la justifica, comprobar el mantenimiento de aquel requisito y, en su ausencia, privar de tal habilitación.

La proporcionalidad de tal limitación se explica asimismo con toda corrección en la sentencia recurrida.

Y así, su finalidad es constitucionalmente legítima en la medida en que es el Estado el que ostenta el monopolio de la seguridad pública ( arts. 104 y 149.1.29ª CE), de forma que dar cabida en el ejercicio de esa función eminentemente pública a particulares impone un imprescindible control e intervención por parte de la Administración (de "intensa intervención" habla la Exposición de Motivos de la LSP) que son a los que responde la exigencia de habilitación para el ejercicio de la función de vigilante de seguridad ( arts. 12.1.c/ y 27 LSP), el requisito para ello de carecer de antecedentes penales por delito doloso ( art. 28.1.e/ LSP y art. 53.d/ RSP), y la necesidad del control de su mantenimiento a lo largo de su vigencia.

El control efectivo de los requisitos necesarios para mantener la habilitación para prestar servicio como vigilante de seguridad, como garantía del correcto desempeño de su función en el ámbito eminentemente público de la seguridad ciudadana, entre los que cobra especial relevancia el de carecer de antecedentes penales, deviene así obligado en el ejercicio por el poder público de su función esencial de garantizar la seguridad de los ciudadanos, en definitiva, de garantizar la convivencia y proteger el libre ejercicio de los derechos y libertades.

Y el acceso al Registro Central de Penados y Rebeldes con esa finalidad resulta, asimismo, imprescindible para controlar este requisito de carecer de antecedentes penales y lograr así la finalidad última que se trata de salvaguardar, que la colaboración de los particulares en el ejercicio de esta función esencialmente pública se desarrolle con todas las garantías legalmente exigidas.

Por tanto, debemos concluir que el acceso al Registro Central de Penados y Rebeldes por parte de un funcionario de la Policía Nacional en el ejercicio de sus funciones, sin consentimiento del interesado, limitado a la comprobación del mantenimiento de un requisito necesario para la pervivencia de la habilitación para prestar servicios como vigilante de seguridad, carecer de antecedentes penales por delito doloso, está amparado por el art. 11.2.c) LOPD 1999, en cuanto responde a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implica necesariamente la conexión con aquel fichero de terceros, el Registro Central de Penados y Rebeldes, siendo, por tanto, una cesión legítima de datos personales que se encuentra legalmente prevista, responde a una finalidad constitucionalmente legítima y es proporcionada a la salvaguarda de la misma.

Con los matices que acabamos de realizar, la sentencia recurrida se ajusta a la interpretación expuesta y, por ello, debe ser confirmada con la consiguiente desestimación del recurso de casación.

Pronunciamiento sobre costas.

No ha lugar a la imposición de las costas de este recurso al no apreciarse temeridad o mala fe en las partes, de manera que, como determina el art. 93.4 LJCA, cada parte abonara las causadas a su instancia y las comunes por mitad.