ATS, 20 de Julio de 2022

La Sección Primera de la Sala de lo Contencioso-administrativo de la Audiencia Nacional ha dictado sentencia, con fecha 28 de febrero de 2022, por la que se desestima el recurso n.º 1811/2019 interpuesto la representación procesal de D. Silvio, Dª María, D. Valentín, D. Jose Ignacio, Dª Paloma, D. Jose Pablo, Dª Paulina, D. Carlos Ramón, D. Carlos Miguel, Dª Remedios, D. Luis Pedro, D. Luis Pablo, D. Jesús Carlos, Dª Sabina y Dª Salome, contra la resolución de la Directora de la Agencia Española de Protección de Datos (AEPD) de 12 de julio de 2019, desestimatoria de recurso de reposición interpuesto contra resolución de 27 de febrero de 2019, por la que se acuerda archivar las actuaciones incoadas a raíz de la denuncia presentada por los demandantes.

La Sala de instancia comienza por señalar los hechos acaecidos: que el origen de lo suscitado está en una denuncia de los demandantes presentada ante al AEPD el 11 de abril de 2017, en la que denunciaban al Ministerio del Interior y al diario "La Razón" por la publicación de una noticia titulada "la conspiración de los 33 jueces soberanistas", en relación con un manifiesto firmado por Magistrados de diversos tribunales, en la que se contenía el nombre y apellidos de los denunciantes, su destino judicial y una fotografía de cada uno, no facilitada por ellos ni autorizada su difusión. Que, iniciado expediente de actuaciones por la AEPD, y tras la práctica de determinadas diligencias, acordó el archivo del mismo, decisión que fue confirmada en reposición. Que, interpuesto recurso contencioso-administrativo contra dicha resolución de archivo, el mismo fue estimado por sentencia de la misma Sala de 30 de mayo de 2018 (recurso n.º 608/2016), al apreciar que la investigación efectuada por la AEDP no era la conveniente para la debida averiguación de los hechos denunciados, pues, aunque formalmente se realizaron unas actuaciones de investigación, éstas no abarcaron todos los preceptos de la Ley supuestamente vulnerados conforme a la denuncia presentada. Que, a la vista de la anterior sentencia, la AEPD inició el expediente NUM000, en el que se practicaron actuaciones en el Área de Informática de la Dirección General de la Policía, tras las cuales levantó acta en la que se recogía el resultado de tales actuaciones. Que, teniendo en cuenta el contenido del acta, la AEPD resolvió, el 27 de febrero de 2019, archivara las actuaciones, al entender que "la DGP cumplía las medidas de seguridad establecidas en la normativa de protección de datos en el momento de los hechos denunciados y también en el momento actual, ya que ha ido actualizando el documento de seguridad dictando instrucciones dirigidas al cumplimiento y conocimiento de las medidas de seguridad por parte del personal, y realizando auditorías para verificar el cumplimiento de las medidas".

A continuación, y tras exponer que los recurrentes fundan su recurso en que la sentencia de 30 de mayo de 2018 no ha sido debidamente ejecutada, la Sala concluye que la lectura de la sentencia, puesta en relación con las nuevas actuaciones de investigación practicadas, llevan a una conclusión diferente, y ello porque, en primer lugar, la citada sentencia se centra en la inexistencia de investigación sobre la denunciada infracción del artículo 9 LOPD (seguridad de los datos), pues las actuaciones inspectoras se habían centrado en la autoría de la filtración, sobre la que se siguieron diligencias penales archivadas por el Juzgado de Instrucción n.º 15 de Madrid, y no en las medidas de seguridad que incumben a los responsables del fichero o las que deben observar los responsables de ficheros públicos, no condicionadas por el resultado del procedimiento penal; y, en segundo lugar, porque el examen del contenido del acta de inspección revela que las nuevas actuaciones se centraron precisamente en esos aspectos, no sólo con expresión de los protocolos o instrucciones existentes al respecto en relación con el sistema de información del DNI (fichero ADDNIFIL), sino también en los hechos denunciados.

Por ello, concluye la sentencia que la AEPD dio cumplimiento a lo ordenado en la sentencia de 30 de mayo de 2018, llevándose a cabo la investigación ordenada por la anterior sentencia, y que la discrepancia de los demandantes no versa sobre tales actuaciones sino sobre su valoración, pero sin que dicha discrepancia se apoye en otros elementos de hecho que no hayan sido ya considerados en los expedientes administrativos, y sin que en el recurso se haya propuesto prueba alguna en apoyo a su criterio.

La representación procesal de los demandantes en la instancia ha preparado recurso de casación contra la anterior sentencia, denunciando, en primer lugar, la infracción de los artículos 103.2 LJCA, 17.2 LOPJ, 24 CE y 6 CEDH, y de la jurisprudencia, ya que la sentencia recurrida contradice y opone con la dictada el 30 de mayo de 2018, pues ésta determinó que se investigara cada una de las vulneraciones de la legislación de protección de daos denunciadas, cosa que no se ha cumplido. En segundo lugar, la vulneración de la jurisprudencia al derecho a la investigación de los hechos denunciados que tiene el denunciante, alegando que, en este caso, resulta evidente que la investigación no ha sido conveniente ni idónea, ya que no se ha analizado ninguno de los hechos denunciados. En tercer lugar, la infracción de los artículos 18.1 CE, 4, 7, 9, y 22 LOPD y 8 CEDH, así como de la jurisprudencia, alegando que aún cuando en la actualidad han sido derogados los citados preceptos de la LOPD, salvo el artículo 22, sin embargo, siguen vigentes como principios básicos de la protección y tratamiento de datos por la legislación vigente del Reglamento actual, manifestando que dichas infracciones se producen al no haberse efectuado la investigación de los hechos denunciados, y que el informe policial sobre la opinión e ideología de sus representados, titulado "Nota Interna", plantea si se ha realizado un tratamiento, si ha sido adecuado y pertinente en relación con el ámbito y finalidades explicitas y legítimas para las que se haya obtenido y no excesivos; añade que, al tratarse de datos especialmente protegidos por relacionarse con la ideología y opinión de sus representados, se ha vulnerado el artículo 7 LOPD, sin que concurra la excepción del artículo 22 ni la legitimidad de la finalidad de su tratamiento, como exige el artículo 4.1 LOPD. En cuarto lugar, la infracción del principio de independencia y privacidad de los jueces y magistrados, artículos 13, 14 y 400 LOPJ y 6 CEDH, ya que la vulneración de la privacidad tiene una especial trascendencia en el presente caso que afecta a 33 jueces y magistrados, ya que la garantía de privacidad afecta en este caso a su independencia.

Por lo que concierne al interés casacional objetivo del recurso, invoca la concurrencia de la presunción del artículo 88.3.a) LJCA, alegando que no existe jurisprudencia sobre el artículo 22.2 en relación con el articulo 4.1 LOPD "[...] en relación al límite del tratamiento policial de datos en los casos de investigaciones e informes realizados mediante el tratamiento de datos personales, como en el caso del informe que nos ocupa, al entender de esta parte se extralimita de las funciones autorizadas en base a la prevención o investigación de delitos, cosa que como manifestaron los agentes que los elaboraron no era su objeto". También invoca la presunción del artículo 88.3.b) LJCA, pues la sentencia recurrida se aparta de la jurisprudencia relativa al contenido del derecho de tutela judicial efectiva que implica la ejecución de las sentencias en sus estrictos términos. Por último, invoca la presunción del artículo 88.3.d) LJCA, al tratarse de un recurso sobre una resolución de la autoridad estatal de control, Agencia Española de Protección de Datos.

La Sala de instancia tuvo por preparado el recurso por auto de 31 de mayo de 2022, ordenando el emplazamiento de las partes para su comparecencia dentro del plazo de treinta días ante esta Sala, así como la remisión de los autos originales y del expediente administrativo.

Se ha personado ante esta Sala la procuradora D.ª María Dolores Girón Arjonilla, en representación de D. Silvio, D.ª María, D. Valentín, D. Jose Ignacio, D.ª Paloma, D. Jose Pablo, D.ª Paulina, D. Carlos Ramón, D. Carlos Miguel, D.ª Remedios, D. Luis Pedro, D. Luis Pablo, D. Jesús Carlos, D.ª Sabina, y D.ª Salome. Se ha personado, asimismo, como parte recurrida, el Abogado del Estado, quien se opone a la admisión del recurso.

Es Magistrado Ponente la Excma. Sra. D.ª María Isabel Perelló Doménech, Magistrada de la Sala.

La sentencia contra la que se prepara el presente recurso de casación desestima el recurso al considerar que la AEPD dio cumplimiento a lo ordenado en la sentencia de 30 de mayo de 2018, llevándose a cabo la investigación ordenada por la misma, que se en la inexistencia de investigación sobre la denunciada infracción del artículo 9 LOPD, mientras que la parte recurrente en casación considera que la sentencia de 30 de mayo de 2018 determinó que se investigara cada una de las vulneraciones de la legislación de protección de datos denunciadas, cosa que no se ha cumplido.

En el escrito de preparación se invocan las presunciones de interés casacional objetivo prevista en el artículo 88.3.a), b) y d) LJCA.

Por lo que respecta al pretendido apartamiento deliberado de la jurisprudencia, no sólo no se justifica debidamente, sino que no concurre. Conviene recordar en este sentido que, como hemos manifestado en múltiples ocasiones, para que opere dicha presunción es preciso que el apartamiento de la jurisprudencia del Tribunal Supremo por parte de la resolución recurrida sea consciente y explícito ( hecho a propósito); esto es, que el órgano de instancia haga mención a la jurisprudencia de la que se separa, que señale que la conoce y la valore jurídicamente y que se aparte de ella por considerarla errónea -auto de 10 de abril de 2017 (RCA 981/2017)- sin que baste su mera inaplicación o una eventual contradicción -por todos, auto de 24 de abril de 2017 (RCA 611/2017)-. Circunstancias que, no concurren en el presente caso.

Por lo que respecta a las presunciones contempladas en los apartados a) y d) del artículo 88.3 LJCA, debemos también recordar que no tienen un carácter absoluto pues el propio artículo 88.3, in fine, permite inadmitir (mediante "auto motivado") los recursos inicialmente beneficiados por la misma cuando este Tribunal Supremo "aprecie que el asunto carece manifiestamente de interés casacional objetivo para la formación de jurisprudencia".

Esta carencia manifiesta supone que la cuestión suscitada por la parte en su recurso de casación anuda el interés casacional objetivo a infracciones normativas circunscritas a las concretas vicisitudes del caso litigioso sin trascender a cuestiones dotadas de un mayor contenido de generalidad o con posible proyección a otros litigios -en el mismo sentido, ATS de 6 de marzo de 2017 (RCA 150/2016)-. Y ello ha de ser perceptible de forma directa o sin complejos razonamientos jurídicos.

Conviene recordar, asimismo, que incluso cuando se invoca una presunción, el recurrente tiene la obligación de fundamentar el interés casacional objetivo del recurso en los términos previstos en el artículo 89.2 LJCA. La mera mención de la concurrencia de una de las circunstancias (incluso presunciones) previstas en el artículo 88 LJCA, o las alusiones genéricas a la necesidad de un pronunciamiento, no resultan suficientes para entender cumplimentada la carga procesal que impone el citado precepto.

Conforme a estas premisas, debe señalarse, por una parte, que la doctrina de esta Sala, recogida entre otras muchas en las sentencias de 9 de junio de 2014 y 10 de julio de 2015 ( recursos 5216/2011 y 3099/2013, respectivamente). establece que:"A) el interés de un denunciante puede verse satisfecho en las decisiones de archivo siempre que estas se funden en una motivación que por ser razonable sea jurídicamente asumible,y B) que las decisiones de la AEPD de no incoar actuaciones inspectoras y no iniciar procedimiento sancionador a la vista de una denuncia formuladas, deben examinarse bajo el prisma de que resulten acordes y proporcionadas con las funciones que le atribuyen la LOPD y su Reglamento". Y por otra parte, que es cierto que la sentencia, en atención a los hechos concurrentes, considera que la AEPD ha realizado ya las diligencias de investigación apropiadas, por lo que podría entenderse una cuestión meramente casuística la determinación de si eran exigibles otras diferentes (o un mayor número) a las practicadas.

Ahora bien, lo que subyace en el recurso preparado no es solo la disconformidad de la parte recurrente con la conclusión a la que llega la Sala de instancia en el sentido de que la resolución de la AEPD de 27 de febrero de 2019 - confirmada en reposición por resolución de 12 de julio de 2019- da pleno cumplimiento a lo acordado en la sentencia de 30 de mayo de 2018, en cuyo caso, de admitirse el recurso, el mismo quedaría constreñido al examen del fallo de la sentencia y de los razonamientos que lo justifican con lo resuelto como ejecución de dicho fallo, cuestión de orden meramente casuístico, referida al caso litigioso. Y decimos que lo que subyace en el recurso no es solo lo anteriormente expuesto, pues lo que se cuestiona por los recurrentes es la redacción de un informe titulado "Nota Interna" elaborado sobre la ideología de sus representados con datos del DNI que incluye las fotografías, juntamente con otros datos de distinta procedencia, y la legalidad de este informe, que consideran que sobrepasa las excepciones dadas por la LOPD en su artículo 22, y el hecho evidente de su transferencia a terceros. Al respecto, y aparte de las consideraciones de la parte recurrente en el sentido de que la nueva resolución no cumplió el requerimiento de la primera sentencia de que se abriera una nueva investigación que se extendería sobre todos y cada uno de los hechos de la denuncia que se referían a la posible vulneración de los principios y disposiciones de los artículos 4, 7.2, 9, 15, 22 y 23 de la LOPJ, y no sólo respecto del artículo 9, también se alega que solamente se analizó las medidas de seguridad de acceso del DNI, y no la falta de seguridad al transferirse con posterioridad el informe elaborado con estos y otros datos a un periódico que lo publicó, cuando el artículo 9 establece la obligación de seguridad de los datos como una obligación de resultado, como interpreta el TS en la sentencia 7359, de 8 de abril, añadiendo que la jurisprudencia en materia de seguridad de datos es reiterada y pacífica en el sentido de considerarla una obligación de resultado que se entiende incumplida sí, como en este caso, se produce una fuga de estos datos, al ser publicado este informe en el periódico de La Razón.

Pues bien, debe señalarse que en la STS de 15 de febrero de 2022 (RCA 7359/2020) hemos dicho que "[...] la obligación que recae sobre el responsable del fichero y sobre el encargado del tratamiento respecto a la adopción de medidas necesarias para garantizar la seguridad de los datos de carácter personal no es una obligación de resultado sino de medios, sin que sea exigible la infalibilidad de las medidas adoptadas.". Ahora bien en la STS de 15 de febrero de 2021 (RCA 1916/2020) -que traía causa del recurso interpuesto contra una resolución que sancionó al Ayuntamiento de San Sebastián por la comisión de una infracción grave en materia de protección de datos, a un procedimiento sancionador seguido contra un Agente de Movilidad del Ayuntamiento de San Sebastián, facilitados por un miembro de la Corporación Local al filtrar datos de carácter personal a los que hubiera tenido acceso y le hubieran sido facilitados por el Ayuntamiento para el correcto desarrollo de sus funciones-, concluimos que "[...] compartimos enteramente el parecer de la Sala de instancia cuando señala (F.J. 6º de la sentencia recurrida) que "(...) la responsabilidad de la Administración titular y encargada del fichero [Ayuntamiento de San Sebastián] no puede excusarse en su actuación diligente, separadamente de la actuación de sus empleados o cargos, sino que es la actuación "culpable" de éstos, consecuencia de la violación de las mencionadas obligaciones de protección del carácter reservado de los datos personales la que fundamenta la responsabilidad de la primera en el ámbito sancionador de cuya aplicación se trata; por actos "propios" de sus empleados o cargos, no de terceros,..."". Es cierto que en el caso examinado en la segunda sentencia citada no se cuestionaba que estaba acreditada la existencia de la conducta que dio origen al procedimiento sancionador, fundándose la razón de decidir en que correspondía al propio Ayuntamiento "[...] proporcionar a los órganos administrativos que han intervenido en la sustanciación del expediente un principio de prueba, por mínimo que fuera, que permitiera hacerles pensar que la infracción de la norma no le era reprochable".

En el presente caso, no se cuestiona ni por la primera sentencia -de 30 de mayo de 2018- ni por la sentencia objeto de esta sanción, que el informe policial titulado "Nota interna" supuso un tratamiento de datos efectuado sin autorización de los interesados y que revela datos atinentes a su ideología, y que dicho informe fue filtrado al periódico la Razón. La primera sentencia razona que "[...] toda la actividad investigadora de la AEPD, según se hace constar en las dos resoluciones impugnadas, fue dirigida a la averiguación de la autoría de los hechos, y que la decisión de archivo, se motiva en el resultado de la investigación judicial y la resolución adoptada por el Juzgado de Instrucción 15 de Madrid, que acordó el archivo provisional de las actuaciones, por no poder atribuir a ninguna persona determinada los hechos investigados. Nótese que los hechos investigados en vía penal, eran exclusivamente la publicación de datos personales de los denunciantes en un medio de comunicación, acompañados de sus fotografías que, según declara el Juzgado, " son coincidentes con las utilizadas para la confección por parte de los Servicios y Fuerzas de seguridad del estado del DNI" y que el órgano judicial consideraba que de la instrucción realizada " cabe extraer que los hechos investigados son constitutivos de infracción penal", añadiendo que " no se deducen identidades que permitan la imputación de los hechos perseguidos a persona determinada alguna, teniendo en cuenta que al Director del medio le ampara el secreto profesional", concluyendo la sentencia, como fundamento para estimar el recurso, que "[...] La investigación efectuada por la AEPD no era la conveniente para la debida averiguación de los hechos denunciados, pues aunque formalmente se realizaron unas actuaciones de investigación, éstas no abarcaron todos los preceptos de la Ley supuestamente vulnerados, conforme a la denuncia presentada", pues "[...] el objeto de la denuncia presentada por los hoy recurrentes, era más amplia, pues comprendía la vulneración del otros preceptos de la LOPD ( arts 4, 7.4, 9, 15, 22 y 23 de la LOPD ), entre los que se encuentra el articulo 9, relativo a la seguridad de los datos, y la responsabilidad del responsable del fichero, cuestión que no ha sido ni siquiera mencionada en las resoluciones de la AEPD, que ha basado todos sus argumentos en la falta de identificación del autor de la filtración, procediendo a adoptar un acuerdo conforme a la declaración de sobreseimiento provisional del órgano judicial". Y la segunda sentencia, objeto de esta casación, se centra en las medidas de seguridad que incumben a los responsables de fichero o las que deben observar los responsables de ficheros públicos.

De todo lo anteriormente expuesto podemos concluir que no cuestionándose que hubo un tratamiento de datos de carácter personal efectuado sin autorización de los interesados y que hubo una filtración de dichos datos a un medio de comunicación, esta Sala considera que no carece manifiestamente de interés casacional objetivo para la formación de jurisprudencia y que, por tanto, debe admitirse el recurso de casación, el determinar si, ante tales circunstancias, está justificada la decisión de archivo y, en consecuencia, la no iniciación de procedimiento sancionador, con el argumento de si se habían adoptado las medidas necesarias de seguridad que incumben a los responsables del fichero o las que deben observar los responsables de ficheros públicos.

La decisión de admisión se refuerza, además, con el hecho de que el Tribunal Europeo de Derechos Humanos, según el comunicado de prensa de 28 de junio de 2022, ha considerado, en la demanda 36584/17, que tenía por objeto los mismos hechos que fueron juzgados por el Juzgado de Instrucción 15 de Madrid, que la mera existencia de informes policiales sin alguna conexión con un delito había supuesto una infracción del artículo 8 de la Convención Europea de Derechos Humanos; infracción que también considera que se ha producido por el hecho de que, no cuestionándose que las fotos y alguna otra información filtrada a un medio de comunicación provienen de la base de datos de identificación de la policía, no se ha producido una efectiva investigación de la filtración.

Las normas que, en principio serán objeto de interpretación son los artículos 18.1 CE, 4, 7, 9, y 22 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y 8 del Convenio Europeo de Derechos Humanos, sin perjuicio de que la sentencia pueda extenderse, ex artículo 90.4 LJCA, a otras cuestiones o preceptos si así lo exigiera el debate finalmente trabado en el recurso.

Conforme a lo dispuesto por el artículo 90.7, este auto se publicará íntegramente en la página web del Tribunal Supremo.

Procede comunicar inmediatamente a la Sala de instancia la decisión adoptada en este auto, como dispone el artículo 90.6 LJCA y conferir a las actuaciones el trámite previsto en los artículos 92 y 93 LJCA, remitiéndolas a la Sección Tercera de esta Sala, competente para su sustanciación y decisión de conformidad con las reglas de reparto.