STS, 20 de Mayo de 2011

La Sentencia recurrida contiene parte dispositiva del siguiente tenor literal: "FALLAMOS: DESESTIMAR el recurso contencioso administrativo interpuesto por la representación procesal del Colegio Oficial de Pilotos de la Aviación Comercial (COPAC) frente a la resolución de la Agencia de Protección de Datos de 12 de septiembre de 2005, que desestima el recurso de reposición frente a la anterior resolución de 21 de julio de 2005, en cuanto impone a dicha entidad recurrente una multa de 300.506,05 euros, resoluciones que declaramos conformes a Derecho, sin imposición de costas a ninguna de las partes" .

Notificada la anterior Sentencia, la representación procesal del Colegio Oficial de Pilotos de la Aviación Comercial (COPAC), presentó escrito ante la Sala de lo Contencioso Administrativo de la Audiencia Nacional, Sección Primera, preparando recurso de casación contra la referida resolución. Por providencia, la Sala tuvo por preparado en tiempo y forma el recurso de casación, emplazando a las partes para que comparecieran ante el Tribunal Supremo.

Recibidas las actuaciones y el expediente administrativo ante este Tribunal, la parte recurrente se personó ante esta Sala y formuló escrito de interposición del recurso de casación, expresando los motivos en que se amparaba, suplicando que se tuviera por interpuesto el recurso de casación y que, previos los trámites legales, se dictara Sentencia "... casando y anulando la anteriormente mencionada, con arreglo a los motivos y pretensiones expresados en el presente recurso, en particular:

1. Declarar la nulidad de la sanción de trescientos mil quinientos seis euros, con seis céntimos de euro impuesta al COPAC, con expresa imposición de las costas causadas a la Administración demandada en aplicación de lo previsto en el art. 139 de la Ley Jurisdiccional .

2. Subsidiariamente al petitum principal y sólo en el supuesto que la Excma. Sala no estimase la anulación de la sanción interesada, reducir la cuantía de la sanción, aplicando, al amparo del artículo 45.4º de la vigente LOPD , la escala de las infracciones graves en su cuantía mínima" .

Teniendo por interpuesto y admitido el recurso de casación por esta Sala, se emplazó a las partes recurridas para que en el plazo de treinta días formalizaran sus escritos de oposición, verificándolo en tiempo y forma el Abogado del Estado, en el nombre y representación que ostenta, y la Procuradora doña Ana Alberdi Berriatua, en nombre y representación de don Marcial , en virtud de las razones que estimaron procedentes, suplicando el Abogado del Estado que la Sala dictara Sentencia "... que lo desestime confirmando la sentencia recurrida por ser conforme a Derecho, con imposición de las costas causadas" , y la representación procesal de don Marcial , que "... en su día dicte sentencia por la que se desestime íntegramente el recurso de casación interpuesto por el COPAC y se le condene expresamente en costas, valorándose además las manifestaciones que de forma expresa mi representado ha querido formular".

Conclusas las actuaciones, se señaló para votación y fallo la audiencia del día DIECIOCHO DE MAYO DE DOS MIL ONCE , en cuyo acto tuvo lugar, habiéndose observado las formalidades legales referentes al procedimiento

Siendo Ponente el Excmo. Sr. D. Juan Carlos Trillo Alonso , .

Es objeto de impugnación en el presente recurso de casación la sentencia dictada por la Sección Primera de la Sala de lo Contencioso Administrativo de la Audiencia Nacional el 9 de mayo de 2007 , interpuesto por el Colegio Oficial de Pilotos de la Aviación Comercial (COPAC), contra resolución de la Agencia de Protección de Datos de 12 de septiembre de 2005, desestimatoria del recurso de reposición deducido contra otra de 21 de julio anterior, que impuso a dicho Colegio una sanción de multa de 3000.506,06 euros, por una infracción del artículo 11 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal , tipificada como muy grave en el artículo 44.4 .b) de igual texto legal.

La sentencia recurrida, tal como resulta de los antecedentes de hecho precedentemente expresados, desestima el recurso contencioso administrativo.

Refiere el Tribunal de instancia en su fundamento de derecho primero los hechos que se declaran probados en las resoluciones administrativas recurridas de la forma siguiente:

"PRIMERO. El denunciante aportó el 9 de agosto de 2004 un sobre cerrado dirigido a su domicilio que le había sido remitido por MBNA Direct, Apartado nº 249 28230 Las Rozas (Madrid).

SEGUNDO. COPAC alego que los datos utilizados para la realización del envío postal recibido por el denunciante, y que constan preimpresos en el formulario de solicitud de la tarjeta VISA COPAC que se incluyen en el mismo proceden del fichero denominado COPAC MDB que almacena los datos de los colegiados. EL COPAC facilitó en marzo de 2003 dichos datos a la empresa británica MBNA Direct, en un fichero en soporte CD.

COPAC había suscrito dos contratos con MBNA Direct con fechas de 20 de diciembre de 2002 y 22 de enero de 2003... MBNA Direct tiene su sede en Reino Unido y forma parte del Grupo MBNA España. Dichos contratos tienen como objeto, respectivamente, la prestación de servicios de marketing por parte de MBNA Direct a COPAC y la confidencialidad en el tratamiento de los datos entregados por COPAC para la realización de campañas publicitarias.

TERCERO. El COPAC es responsable del fichero denominado «COPAC. MDB», inscrito como fichero privado en el Registro General de Protección de Datos con el código NUM000 y descrito como «Datos de los Colegiados y relativos a la profesión».

CUARTO. En el Acta de la reunión de la Junta de Gobierno del COPAC de fecha 14 de noviembre de 2002, se hace constar: Área de atención al Colegiado. Tarjetas MBNA: no depende de ningún banco en particular. Ofrecen tarjeta a colegiados personalizada con logo COPAC. La petición de dicha tarjeta no supone cargo alguno. MBNA se encarga de todo el marketing. El Colegio recibiría trimestralmente informe sobre los movimientos de dinero efectuados por los que poseen dicha tarjeta. El Colegio percibe en beneficio económico estipulado en la presentación por renovación tarjetas, alta tarjetas y movimientos globales. Se aprueba por unanimidad la creación y formato de la tarjeta MBNA VISA.

QUINTO. Con fecha 25 de noviembre de 2002 se firmó un contrato entre COPAC y MBNA España en el que se acuerda ofertar a los miembros de COPAC un programa de tarjetas de crédito affinitty, emitido y gestionado por MBNA España.

SEXTO. El 1 de noviembre de 2002 se suscribió entre MBNA España y MBNA Direct el contrato de «Prestación de servicio de apoyo a la gestión» por el que la segunda se compromete a prestar a la primera, entre otros servicios de apoyo a la gestión, el de ejecución de campañas de marketing.

SÉPTIMO. Durante la visita de Inspección, los Inspectores de la Agencia solicitan a los representantes del COPAC las facturas emitidas por MBNA DIREC en relación con los servicios encargados por el Colegio que se especifican en los contratos mencionados. A este respecto los representantes del COPAC manifiestan que la colaboración entre ambas entidades no ha devengado pagos por parte del Colegio, aunque la colaboración del Colegio con MBNA ESPAÑA le ha supuesto al COPAC un beneficio económico, en función del número de tarjetas VISA COPAC emitidas y los movimientos realizados por los titulares. Como documento nº 14 se adjunta copia de la notificación de anotación en cuenta bancaria relativa a la transferencia dineraria realizada por MBNA ESPAÑA a favor del COPAC con fecha 12 de febrero de 2004, por importe de 361 euros, figurando como concepto «MBNA VP310001770».

Los Inspectores de la Agencia solicitan a los representantes del COPAC los informes trimestrales referidos en el apartado 7 del Acta de la reunión de la Junta de Gobierno de 14 de noviembre de 2002, sobre «los movimientos de dinero efectuados por los que poseen dicha tarjeta». Los representantes del COPAC muestran el único informe emitido al respecto por MBNA ESPAÑA, con fecha 17 de noviembre de 2003, donde se presentan los datos globales acerca de la actividad desarrollada en virtud de la colaboración con el Colegio hasta el 30 de septiembre de 2003, así como de la remuneración devengada.

OCTAVO. Durante la visita de Inspección se solicita a los representantes del COPAC una copia del CD remitido en el mes de marzo de 2003 a MBNA DIREC con los datos de los colegiados. Los representantes del COPAC manifiestan que en la actualidad no conservan copia del fichero enviado en su día, ni tampoco el albarán de entrega del CD, aunque, tras conversación telefónica con un representante de MBNA ESPAÑA, confirman que la recepción se realizó en la sede británica de la Compañía el 11 de marzo de 2003. Como documento nº 13 se adjunta copia de tres documentos remitidos a MBNA ESPAÑA por el COPAC, con fechas de 22 de mayo y 30 de julio de 2003, en los que se incluye el listado de colegiados «que han mostrado su voluntad de no ceder sus datos a terceros ajenos al COPAC». Los Inspectores verifican que entre ellos no figuran los datos relativos al denunciante.

En dichos escritos dirigidos a MBNA ESPAÑA en C/ José Echegaray, nº 6, 8230- Las Rozas (Madrid) se comunica: «De conformidad con el Contrato de Agencia y Tratamiento de Datos suscrito entre MBNA DIREC LIMITED y el COLEGIO OFICIAL DE PILOTOS DE LA AVIACION COMERCIAL el pasado 20 de diciembre de 2002, así como el Contrato de Confidencialidad anexo al mismo, y en cumplimiento de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal , y con el fin de actualizar la Base de Datos de los Colegiados del COPAC en posesión de MBNA DIRECT LIMITED, les damos traslado de los Colegiados que han mostrado su voluntad de NO CEDER SUS DATOS A TERCEROS AJENOS AL COPAC.

En consecuencia, rogamos procedan a la CANCELACIÓN de los colegiados de la base de datos del COPAC que en su día les fue entregada, y que constan en la relación adjunta: ...».

NOVENO. COPAC remitió a sus colegiales un escrito fechado el 16 de diciembre de 2002 en el que les solicitaba autorización para la cesión de sus datos. Tal y como se informa en el escrito, se entendía que se autorizaba la cesión en el caso de que no se manifestara lo contrario. En dicho escrito se manifestaba literalmente:

...Por otro lado, y a fin de dar cumplimiento a las exigencias contenidas en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal , rogamos lea con detenimiento la presente carta para imponerse de su contenido.

Los datos de carácter personal de los Colegiados pasarán a formar parte de un Fichero de Tratamiento Automatizado de Datos cuyo titular es el COPAC, hallándose inscrito en el Registro General de Protección de Datos con el Código de Inscripción nº NUM000 , al amparo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal .

Todo Colegiado tendrá, en cualquier momento derecho de acceso, modificación o cancelación de los mismos. Usted consiente que tratemos sus datos personales con la finalidad de promocionarle productos y servicios propios o de terceras empresas, de los sectores financieros, de seguros o de cualquier otro relacionado con los fines de la Institución colegial, en caso de aprobación por la Junta de Gobierno, como órgano de dirección y de gestión del COPAC.

Para el caso de que UD. NO desee que sus datos sean cedidos para el desarrollo de los fines que la Junta de Gobierno pudiera aprobar, marque con una X la casilla siguiente.

En caso de no manifestar lo contrario en el plazo de 30 días naturales desde la recepción de esta comunicación, entenderemos que Ud. autoriza dicho tratamiento para las finalidades indicadas

.

A este respecto el COPAC no dispone de documentación acreditativa de la recepción efectiva de este escrito por parte del denunciante.

DÉCIMO. El denunciante comunica que desde su pertenencia al COPAC ha venido recibiendo publicidad de empresas ajenas al citado Colegio sin que medie consentimiento por su parte, que autorice al Colegio al tratamiento de sus datos personales, para la remisión de dichos escritos publicitarios ni para la cesión de sus datos personales a empresas alguna.

UNDÉCIMO. COPAC ha manifestado en la visita de Inspección que, de acuerdo con el modelo de autorización que actualmente figura en el impreso «Solicitud de Colegiación», en enero de 2004, se actualizó en el fichero «COPAC. MDB» el campo «Cesión Datos a Terceros» de tal forma que todos los colegiados hasta esa fecha (incluido el denunciante) pasaron a figurar con ese campo en blanco, es decir, con autorización negativa para la cesión de sus datos y para su tratamiento con fines comerciales. Según este mismo criterio, desde esa fecha todos los colegiados constan con la autorización positiva sólo si expresamente así lo manifiestan."

Y después de expresar en el fundamento de derecho segundo las consideraciones en las que COPAC sustenta su pretensión, en los siguientes (tercero a sexto), razona su rechazo en los siguientes términos:

"TERCERO. Por lo que se refiere, en primer termino, a la argumentación de la demanda de que la naturaleza jurídico pública del COPAC impide la imposición de una sanción a la misma, tal y como se deriva de los Art. 1 y 2 de la Ley 35/1998, de 27 de octubre , en relación con el artículo 46.1 LOPD , es necesario poner de manifiesto lo siguiente:

Efectivamente el artículo 46 LOPD establece que en aquellos casos en que las infracciones del artículo 44 se cometan en ficheros de los que sean responsables las Administraciones Públicas el Director de la Agencia dictará una resolución estableciendo las medidas que proceda adoptar para que cesen o se corrijan los efectos de la infracción.

Esta Sala, no obstante, en otros supuestos en los que distintos Colegios Oficiales (de Médicos, de Arquitectos, de Fisioterapeutas...) han sido sancionados por la AEPD, ha confirmado o anulado las respectivas sanciones, considerando que a dichas corporaciones no les afecta lo preceptuado en el artículo 46 LOPD. Y en alguna ocasión en la que tales Colegios Oficiales han esgrimido idéntica naturaleza de Administración Publica a efectos de ser excluidos de la imposición de sanciones la Sala les ha contestado que conforme a criterio jurisprudencial pacífico, los actos de los Colegios Profesionales sólo pueden tener la consideración de actos de una Administración Pública cuando ejercen auténticas potestades administrativas sobre sus miembros conferidas por las Leyes y Reglamentos, vinculadas al ejercicio por la corporación de potestades de imperium sobre sus miembros, siendo evidente, que la cesión de datos personales de miembros ajenos al Colegio, no han sido realizadas en ejercicio de dichas funciones públicas. ( SAN 21 -6-2002, Rec.1064/ 2000 , entre otras).

CUARTO. El Colegio Oficial de Pilotos de la Aviación Comercial (COPAC) impugna la sanción de 300.506,06 euros impuesta por la AEPD, por la comisión de la infracción muy grave del artículo 44.4.b) de la Ley Orgánica 15/1999, de 13 de diciembre , que sanciona como tal «La comunicación o cesión de los datos de carácter personal, fuera de los casos en los que estén permitidas».

Es el artículo 11.1 de tal LOPD el que determina que «Los datos de carácter personal objeto de tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y cesionario con el previo consentimiento del interesado».

Precepto ha de ser completado con el artículo 1.2 del RD 1332/1994, de 20 de junio , que referido a ficheros automatizados, define la cesión como toda obtención de datos resultante de la consulta a un fichero, la publicación de los datos contenidos en un fichero, su interconexión con otros ficheros y la comunicación de datos realizada por una persona distinta de la afectada.

Y también con la Directiva 95/46 /CE, que se refiere a la cesión dentro de la definición referida al tratamiento y la conceptúa como comunicación por transmisión, difusión o cualquier otra forma que facilite el acceso de los datos, cotejo o interconexión.

El fundamento de la figura jurídica de la cesión de datos personales se expone en la STC 292/2000, de 30 de noviembre , que razona que el derecho fundamental a la intimidad no aporta por sí solo una protección suficiente frente a las amplias posibilidades que la informática ofrece, dado que una persona puede ignorar no sólo qué datos suyos se hallan recogidos en un fichero, sino también si se han trasladado a otro y con qué finalidad. Y ello, según el mismo Tribunal Constitucional (F J 13º) porque «... el derecho a consentir la recogida y el tratamiento de los datos personales (Art. 6 LOPD ) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho a la protección de tales datos. Y por tanto la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aun cuando puedan ser compatibles con éstos (Art. 4.2 LOPD ), supone una nueva posesión y un uso que requiere el consentimiento del interesado. ........ De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias, como del destino de éstos, pues solo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos personales. Para lo que no basta que conozca que tal cesión es posible según la disposición que ha creado o modificado el fichero, sino también las circunstancias de cada cesión concreta. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos».

Por otra parte, es tal cesión de datos personales, conforme a reiterada doctrina de esta Sala de la Audiencia Nacional, un concepto jurídico de gran amplitud y así, cualquier revelación o manifestación de datos a un tercero, distinto del interesado, constituye cesión o comunicación de los mismos a efectos de la LOPD. Las SSAN, Secc. 1ª, 21-6-2002 (Rec. 990/2000 ), 19-5-2004 (Rec. 259/2003 ) y 18-5-2006 (Rec. 429/2004 ), entre otras, razonan que dicho concepto de cesión no puede ser más amplio, pues se entiende por tal toda revelación de datos realizada a una persona distinta del interesado. Suponiendo que determinados datos se encuentren en poder del titular o responsable del fichero, cualquier comunicación de los mismos a una persona distinta del interesado o afectado, constituye cesión en sentido técnico. Exigiéndose, como requisito de necesaria concurrencia para que sea válida la revelación de los datos a un tercero, que dicho consentimiento del interesado sea previo (a diferencia del requerido, con carácter general, para el tratamiento de los datos).

Otra de las notas definitorias de la cesión de datos es la trascendencia que el consentimiento del interesado, válidamente otorgado, posee en todo el marco regulador de la figura, lo cual enlaza, directamente, con la previsión que del «consentimiento inequívoco del afectado» contiene el artículo 6 LOPD , esencial en materia de protección de datos.

Ha señalado igualmente esta Sala (SAN 30-6-2004, Rec. 625/2002 ) que inequívoco, conforme al Diccionario de la Real Academia de la Lengua, es lo que no admite duda o equivocación, y, por contraposición a equívoco, lo que no puede entenderse o interpretarse en varios sentidos, o que no puede dar ocasión a juicios diversos.

Ello significa que si bien no puede requerirse para la obtención del consentimiento de los afectados, a la hora de tratar o ceder sus datos personales, que tal consentimiento se otorgue de forma escrita, pues no lo exige así ningún precepto de la Ley, la entidad que pretenda obtener tal consentimiento deberá arbitrar los medios necesarios para que el mismo se preste de tal manera que no quepa ninguna duda de que efectivamente ha sido prestado, es decir, que la cesión de los datos ha sido consentida de modo tan clara que no pueda interpretarse en otro sentido.

Entendemos que dicha interpretación es la que de modo más correcto se acomoda a lo dispuesto de la Directiva 95/46 / CE del Parlamento Europeo y del Consejo de 24 de octubre de 1995, artículos 2 .h) y 7 de la misma.

Añadir, por último, que la cesión ha de entenderse producida, no solo cuando materialmente se da el dato, sino también cuando se permite el acceso al sistema que permite la obtención del dato, es decir, acceder a su contenido, tal y como establece la SAN Secc. 1ª, 9-11-2001 (Rec. 565/2000 ). Y ello porque como «ceder» es toda comunicación o revelación de datos, y constituye por tanto una acción, su apreciación no requiere que los datos pasen a formar parte de un fichero del cedente, sino que es suficiente con que se traten dichos datos a favor del tercero y que éste (el cesionario) trate dichos datos: SAN Secc. 1ª, 18-5-2006 (Rec. 429/2004 ).

QUINTO. Lleva razón la parte recurrente en cuanto que, de los razonamientos de la resolución de la AEPD ahora impugnada, parece desprenderse una inversión de la carga de la prueba, pues se parte de la presunción de que el COPAC ha infringido la normativa de protección de datos. Así se deduce especialmente del fundamento jurídico VII de tal Resolución de 21 de julio de 2005, al razonarse, en su párrafo segundo, que «Las principales dudas sobre el correcto funcionamiento del contrato firmado entre COPAC y MBNA Direct, de 20 de diciembre de 2002 vienen motivadas por varias circunstancias....» y, con mayor énfasis, del último párrafo del mismo fundamento jurídico, que señala que: «Ante la ausencia de unas pruebas claras y determinantes por parte de MBNA España y COPAC de que no se ha producido vulneración de la normativa sobre protección de datos...».

Esta Sala, sin embargo, aplicando las pertinentes y generales reglas en materia de carga de prueba, conforme a la doctrina expuesta en el fundamento jurídico anterior y su aplicación a los hechos enjuiciados, ha de pronunciarse ahora sobre si el COPAC cedió o no los datos personales de sus colegiados fuera de los casos en que dicha comunicación esta permitida, es decir, y relacionando el artículo 44.1 b) de la Ley 15/1999 con el articulo 11.1 de la misma, si el Colegio demandante cedió tales datos personales para fines ajenos a las relaciones jurídicas de cedente y cesionario, y sin consentimiento previo de su titular.

Para ello es necesario, a pesar del complejo entramado de relaciones jurídicas entre las tres empresas implicadas en los hechos, poner de manifiesto, aun de modo resumido y por orden cronológico, los contratos, acuerdos y/o autorizaciones suscritos entre las mismas:

El 1 de noviembre de 2002 las entidades MBNA España y MBNA Direct firmaron un Contrato de «prestación de servicios de apoyo a la gestión» a cuyo tenor la segunda se comprometía a prestar a la primera, entre otros servicios de apoyo a la gestión, los de «Ejecución de campañas publicitarias».

El 22 de noviembre de 2002 COPAC y MBNA España firmaron un Contrato de Afinidad, en el que se acuerda ofrecer a los miembros del Colegio Oficial un programa de tarjetas de crédito affinitty, gestionado por MBNA España por su experiencia «en la emisión y gestión de programas de tarjetas de crédito».

Es la cláusula 3.2 de dicho contrato la que se refiere a la materia de protección de datos y en la que se indica que «el agente de Marketing (MBNA) utilizará las listas de marketing únicamente con la finalidad de dirigirse a los miembros para solicitar su participación en el programa y que no las empleará con otros fines, tratando la información en ellas contenida con arreglo a la normativa de protección de datos de carácter personal».

Con fecha de 20 de diciembre de 2002 el COPAC lleva a cabo dos distintas actuaciones.

De un lado firma un contrato con MBNA Direct, a tenor del artículo 12 de la LOPD , cuyo objeto es el establecimiento de la actividad de Agencia a prestar por parte de dicha MBNA Direct a COPAC, y las condiciones generales que regularan la promoción del programa en interés de COPAC, precisando para ello de la gestión informativa y tratamiento automatizado de datos personales. Es la Cláusula 7 de dicho contrato la que contempla la transmisión del derecho.

De otra parte COPAC emite una autorización a favor de MBNA Direct, para que se sirva de MBNA España para la realización de los servicios de: Alquiler de un apartado de correos e Intermediación en las relaciones entre COPAC y MBNA Direct designando un representante que facilitará la intermediación «trasladando al personal de MBNA Direct las instrucciones precisas en relación con las listas de colegiados».

Pues bien, a pesar de dicha sofisticada interrelación jurídica entre las tres empresas implicadas en los hechos, y la confusión que en realidad existe entre las empresas MBNA Direct y MBNA España (obsérvese, por ejemplo, que el contrato de MBNA Direct de 20 de diciembre de 2002 lo firma una persona española, con domicilio en Las Rozas, que coincide exactamente con el domicilio que de MBNA España figura en la primera pagina del contrato de 25 de noviembre de 2002 de la misma: folios 43 y 295 del expediente administrativo), necesariamente se ha de concluir, al igual que entiende la AEPD que efectivamente ha tenido lugar una cesión de datos personales prohibida por la normativa de aplicación.

De un lado la comunicación de los datos personales de los colegiados por parte de COPAC a las otras dos empresas intervinientes resulta ajena a las finalidades legitimas de cedente y cesionario, pues en definitiva, entre las finalidades de un Colegio Profesional, que son aquellas para las que los colegiados autorizan el tratamiento de sus datos personales, y contrariamente a la argumentación de la demanda, no se comprende la emisión de una tarjeta de crédito.

De otra parte, y además de la información que, contundentemente, figura en la solicitud de tarjeta que se adjunta como folio 14 del expediente: le informamos de que sus datos han sido incorporados a nuestro fichero de promociones con la finalidad de ofertarle nuestros productos y/o servicios. Vd puede ejercer sus derechos de acceso rectificación, cancelación y oposición dirigiéndose a MBNA España. Apartado nº 245, Las Rozas Madrid.

Se observa que la autorización se dirige a MBNA Direct, pero no a su domicilio en el Reino Unido, sino al domicilio en Las Rozas donde, precisamente, tiene su sede MBNA España.

Asimismo, y a pesar del gran numero de contratos celebrados por COPAC con las empresas encargadas de la promoción y gestión de la Visa COPAC, se desprende también de las actuaciones que con fecha de 16 de diciembre de 2002 dicha entidad recurrente remitió un escrito a todos y cada uno de sus colegiados, solicitándoles autorización para la cesión de sus datos personales, siendo en enero de 2004 cuando se actualizó dicho fichero de cesión de datos a terceros, en el sentido de que todos los colegiados pasaron a figurar con autorización negativa para dicha cesión y tratamiento con fines comerciales, constando, sólo, con autorización positiva, los colegiados que así expresamente lo manifiestan.

De igual manera, lleva razón la resolución recurrida en cuanto que con fecha de 20 de diciembre de 2002 se convierte a MBNA Direct en encargada de tratamiento de COPAC pero, a la vez, se autoriza a aquella para que se sirva de la empresa MBNA, España atribuyéndola un poder de disposición que solamente corresponde al responsable del fichero, es decir, a COPAC. Por ello, con esta «autorización», se está vulnerando el contrato de confidencialidad suscrito entre COPAC y MBNA Direct el 23 de enero de 2003.

En definitiva, los datos personales del denunciante fueron cedidos a MBNA España por parte del Colegio Oficial de Pilotos de la Aviación Comercial sin que tal Colegio contara con el consentimiento del afectado, ni sus datos provinieran de una fuente de acceso público, por lo que se ha producido una cesión inconsentida de dichos datos (artículo 11 LOPD ) por parte de tal entidad recurrente, cesión tipificada como muy grave en el artículo 44.4.b) de la Ley Orgánica 15/1999 a la que por tanto corresponde, la sanción de 300.506,05 euros impuesta (en su grado mínimo), sanción que necesariamente ha de ser confirmada en esta sentencia.

SEXTO. Pretende por último el COPAC en la demanda, aún sin denominarlo así expresamente, que se aplique el principio de proporcionalidad que, en la normativa de protección de datos se contempla en el artículo 45.5 LOPD y que permite la disminución, en grado, de la cuantía de la sanción a imponer. Para ello esgrime dos distintas argumentaciones: la altísima complejidad de interpretación de la normativa sobre protección de datos aplicable al caso, y la ajustada situación económica de dicho Colegio Oficial.

De un lado y lo que sí ha revestido altísima complejidad, ha sido todo el entramado de contratos, negocios y autorizaciones celebrados entre las empresas intervinientes en los hechos. Por otro lado y las circunstancias que permiten la atenuación en grado de la cuantía de la multa son, por mor de dicho artículo 45.5 LOPD , exclusivamente, «una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho». La Sala ha reiterado en múltiples ocasiones que la presente regla debe aplicarse con exquisita ponderación, y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto, de forma que repugne a la sensibilidad jurídica, siempre guiada por el valor justicia, la imposición de la sanción correspondiente al grado. Lo cual, insistimos, puede darse, por excepción, en casos muy extremos (de aquí la expresión «especialmente cualificada») y concretos.

Aplicando dicha doctrina al supuesto enjuiciado, y tomando en consideración las circunstancias concurrentes en él, es claro que en el presente caso, por las razones invocadas, no existen motivos para la aplicabilidad de tal precepto, máxime cuando tambien es posible considerar cometida la comunicación contraria a la normativa de protección de datos, como esta Sala ha señalado en diversas ocasiones, no sólo intencionada o dolosamente por el cedente, sino también de modo negligente por el mismo ( SAN Secc. 1ª, 25-6-2003 (Rec. 1099/2000 ), por todas)" .

Disconforme COPAC con la sentencia interpone, previa su preparación, el recurso de casación que ahora nos ocupa con apoyo en tres motivos, todos al amparo de la letra d) del artículo 88.1 de la Ley Jurisdiccional .

Por el primero denuncia la infracción de los artículos 11 y 12 de la Ley Orgánica 15/1999 , con el argumento de que no ha cedido los datos ni a MBNA Direct ni a MBNA España.

Por el segundo aduce la infracción del artículo 24 de la Constitución, en el entendimiento de que desde el inicio de las actuaciones ha sufrido una falta absoluta de determinación de los hechos imputados.

Por el tercero sostiene la infracción del artículo 131 de la Ley 30/1996, de 29 de octubre, de Régimen Jurídico de las Administraciones Públicas y Procedimiento Administrativo Común, concretamente, el principio de proporcionalidad de la sanción.

Un orden lógico jurídico de enjuiciamiento aconseja examinar en primer lugar el motivo casacional segundo, por el que se denuncia por el colegio recurrente indefensión, con el argumento de que desde el inicio de las actuaciones ha sufrido una falta absoluta de determinación de los hechos imputados y de que al día de la fecha de la formulación del escrito de interposición del recurso de casación aún no tiene claro cual es el hecho que se considera constitutivo de la infracción por la que se le impone la sanción.

El mandato específico de motivación del acto administrativo sancionador que se contiene en el artículo 138 de la Ley de Régimen Jurídico de las Administraciones Públicas y Procedimiento Administrativo Común obedece a la necesidad de permitir la defensa, y su infracción, además de suponer una vulneración formal del deber de motivación, implica también una vulneración sustantiva, cual es la merma de los derechos de defensa.

Así lo expresamos recientemente en sentencia de 5 de octubre de 2010 -recurso de casación 3132/2007 - significándose que "Resulta imposible defenderse adecuadamente si no se conoce con exactitud qué se le imputa a uno" .

Dijimos en dicha sentencia y reiteramos ahora que no es ocioso recordar que el artículo 24.2 de la Constitución reconoce que todos tienen derecho "a ser informados de la acusación formulada contra ellos" y que reiterada jurisprudencia del Tribunal Constitucional puntualiza que las garantías procedimentales proclamadas por el citado precepto constitucional son, en principio, plenamente aplicables en materia de sanciones administrativas ( Sentencias 205/2003 y 54/2004 , entre otras muchas).

Dicho lo anterior es de advertir que la alegación del motivo relativa a la inconcrección de la imputación constituye una cuestión nueva.

Ello es así porque en el escrito de demanda no se observa ninguna mención a la indefinición que de los hechos objeto de imputación ahora aduce. Lejos de ello se advierte de su lectura que el Colegio recurrente ha tenido claro cual es el hecho que da origen a la acusación, a saber, la cesión por su parte a MBNA ESPAÑA de los datos personales de sus colegiados.

El fundamento de derecho segundo de la sentencia recurrida recoge, en síntesis, las consideraciones formuladas por el Colegio en su escrito de demanda para sustentar su pretensión impugnatoria, reveladores de un conocimiento absoluto por su parte de los hechos determinantes de la acusación.

Dice así el indicado fundamento:

"La parte actora sustenta su pretensión impugnatoria de la demanda, en síntesis, en las siguientes consideraciones:

No hay prueba alguna que acredite que MBNA España ha tenido acceso a los datos de los colegiados del Colegio Oficial de Pilotos de la Aviación Civil, ni tampoco de la cesión de dichos datos por parte de COPAC a MBNA España. La recurrente decidió la creación de una Visa, para la que negoció con diferentes financieras y seleccionó a MBNA España, suscribiendo con ella un contrato de afinidad. A través de dicho contrato le atribuyó, además de la responsabilidad de asesoramiento, una licencia de uso de sus marcas y distintivos, y el derecho en exclusiva a emitir la Visa. Mas era dicho COPAC quien mantenía la iniciativa y control de la promoción de la tarjeta ofreciéndola exclusivamente, en principio, a los colegiados.

La AEPD duda de la realidad del contrato de afinidad de 25 de noviembre de 2002, al no aportarse en el momento de la Inspección. Falta de aportación, sin embargo, que se justifica por la reciente sustitución de los responsables de la primera Junta de Gobierno de la entidad, y por el cambio de sede social, y consiguiente proceso de mudanza que dicho traslado implicó. En cualquier caso, además, el contrato de afinidad ya apareció anunciado en la Junta del Colegio celebrada el 14.11.2002.

En definitiva MBNA España es un mero prestador de servicios, fundamentalmente de servicios de consultoría, y de garantía de financiación frente al COPAC.

Durante la negociación de la tarjeta, MBNA España presentó al Colegio recurrente a MBNA Direct, formalizando las relaciones mediante el «Acuerdo de Prestación de Servicios de Apoyo a la Gestión» que consta en el expediente. Se acordó que MBNA España anticiparía los pagos a MBNA Direct, y en contraprestación, la comisión a que tenía derecho COPAC por la emisión de las tarjetas, se vería reducida. Resulta, por ello, que contrariamente a lo argumentado por la Agencia, el Colegio Oficial sí que abonó dichas campañas a MBNA Direct, si bien no directamente, sino mediante una compensación materializada en las comisiones pactadas con MBNA España.

COPAC no ha cedido los datos de los colegiales a MBNA España a través de MBNA Direct, ya que con arreglo a los contratos que vinculan al prestador de los servicios, celebrados a tenor de lo establecido en el Art. 12 LOPD, MBNA Direct no podía realizar tales comunicaciones de datos. Lo que ocurrió es que ante la ausencia de una sucursal en España de MBNA Direct, y dadas las dificultades idiomáticas, a través del documento de 20 de diciembre de 2002 COPAC autorizó a esta última para que se sirviera de MBNA España como representante cuyo en España.

La preimpresión de los datos del denunciante en el formulario de solicitud, incluida por MBNA Direct, a iniciativa de COPAC, sirve para que el Banco reconozca las solicitudes de tarjetas realizadas mediante las campañas de marketing directo en que MBNA España adelanta los gastos, a fin de calcular la comisión oportuna. Por otra parte, y el que dicho formulario contenga la afirmación de que los datos se habían incorporado al fichero MBNA España, es una afirmación que debe entenderse por no puesta, pues se debe a un error en la selección del material de imprenta.

Asimismo, y en contra de lo argumentado en la resolución impugnada, la dirección de MBNA España que consta en el reverso del sobre sirve para que el servicio de correos pueda devolver tal sobre al remitente, sin que la lista de cancelación fuera remitida a MBNA España, sino a MBNA Direct.

Lo único que ha hecho COPAC ha sido generar un producto de merchandising y promocionarlo entre sus colegiados, auxiliándose de la consultoría de una empresa experta en este tipo de productos, obteniendo la garantía de que la tarjeta serviría de medio de pago y contratando, también, los servicios de una empresa de marketing directo pero sin ceder los datos a ninguna entidad.

La AEPD, en la resolución impugnada, ha invertido la carga de la prueba.

La naturaleza jurídico pública del COPAC implica que la sanción impuesta por la AEPD infrinja el artículo 46.1 LOPD , de conformidad con la doctrina del Tribunal Constitucional según la cual las corporaciones sectoriales, si bien se constituyen para defender, primordialmente, los intereses privados de sus miembros, también atienden a finalidades de interés público.

MBNA España ha auxiliado a MBNA Direct en los servicios que ésta había contratado con COPAC, haciendo de intermediaria entre ambas y subarrendando un apartado de correos. Actuación que sí supone un acceso a los datos de los colegiados, pero que se encuentra amparada por el Art. 12 LOPD , y que no constituye cesión. Además de que la subcontratación en la prestación de servicios se admite por la AEPD en la Memoria de 2003, siempre que el responsable del tratamiento la autorice, en el contrato de prestación de servicios de 20 de diciembre de 2002 (entre MBNA Direct y el COPAC) las partes previeron la posibilidad de subcontratar en la cláusula 7 . Y en ejecución de dicha cláusula, el COPAC envió una carta de autorización a MBNA Direct para que se sirviera de la empresa MBNA sucursal España para prestarle los servicios de alquiler de un apartado de correos en España, y de intermediación de las relaciones entre COPAC y MBNA Direct" .

Podrá el Colegio recurrente mostrar su disconformidad con que los hechos imputados constituyan la infracción por la que se le sanciona, pero lo que no es viable procesalmente es aducir ahora "ex novo" una falta de concreción de dichos hechos y con base en ello argüir una indefensión en absoluto inexistente.

Por lo expuesto, el motivo debe desestimarse, debiéndose indicar a mayor abundamiento que causa sorpresa el posicionamiento del recurrente cuando también aduce inconcreción en la sentencia recurrida en la determinación de los hechos. En los dos últimos párrafos de su fundamento de derecho quinto el Tribunal expresa categóricamente la vulneración del contrato de confidencialidad suscrito entre COPAC y MBNA Direct, con la autorización que el Colegio confiere a esta para que se sirva de MBNA España y, en definitiva, la cesión de datos a ésta última, sin consentimiento del afectado.

La argumentación de que COPAC no ha cedido los datos ni a MBNA Direct ni a MBNA España, expresada en el motivo casacional primero, se apoya en la relación jurídica que a su juicio sostuvieron las tres entidades y que describe en el escrito de interposición como preliminar a los motivos casacionales en la siguiente forma:

"Dentro de su actividad, el COPAC decidió realizar una campaña de intensificación de su presencia entre los colegiados, reconocimiento de la institución y promoción de sus propias funciones, creando, entre otros, un medio promocional que incorporara los distintivos del colegio, este medio promocional consistía en una tarjeta a la que, en virtud de acuerdos con una entidad financiera, se le dotaría de la capacidad de servir de medio de pago.

Para esto, firmó un contrato con la entidad financiera, en virtud del cual la entidad emitiría las tarjetas que le solicitaran los colegiados estampando en ellas los distintivos del COPAC, conforme a las instrucciones del propio Colegio. Dado que la emisión de tarjetas iba a repartir beneficios a la entidad financiera, en dicho contrato se acordaron ciertas comisiones a beneficio del COPAC.

Para efectuar la promoción de las tarjetas entre los colegiados, dado que el COPAC no tenía el consentimiento para la cesión de datos, se reservó el propio COPAC la actividad de distribuir la información acerca de la tarjeta y las condiciones económicas del medio de pago acordadas con la entidad financiera, evitando así que fuera el banco quien tomara contacto con ellos. De este modo, los interesados en solicitarla se dirigirían personalmente al banco mediante un formulario específico. Así, el COPAC nunca ha cedido los datos de los colegiados a MBNA España para la promoción de la tarjeta y no consta prueba alguna en el expediente que contradiga esta afirmación.

A su vez, el COPAC llegó a un acuerdo con un Agente de Marketing para que ejecutara en nombre y por cuenta del COPAC las campañas de promoción de la tarjeta.

Al pertenecer dicho Agente al mismo grupo empresarial que el banco, estas campañas promocionales, sin perjuicio de ser encargadas exclusivamente por el COPAC, no se le facturaban, sino que se compensaba su precio con el importe de las comisiones a recibir por el COPAC a resultas de la emisión de las tarjetas.

Por otra parte, dado que el Agente de Marketing es una entidad Inglesa del grupo empresarial de la propia entidad financiera, existen personas en la entidad financiera con poderes de representación del Agente de Marketing y, a su vez, existe un acuerdo de colaboración entre ambas empresas por el que la entidad financiera sirve de intermediador entre el Agente de Marketing y sus clientes (el COPAC entre otros), recibiendo comunicaciones, documentos, instrucciones, etc. Esta intermediación no supone ninguna confusión entre empresas, sino una mera colaboración que facilita enormemente las relaciones de los clientes con su proveedor de servicios.

Todos estos hechos fueron comprobados por la Agencia durante la instrucción del expediente sancionador y por el juzgado de instancia en el recurso contencioso administrativo, y no existe elemento probatorio alguno que los contradiga, cabiendo resaltar que la propia descripción que se relata en la sentencia impugnada coincide con ellos, si bien no distingue debidamente las diferentes relaciones, lo que dificulta entender con claridad la relación entre las empresas."

La lectura de los hechos declarados como probados en las resoluciones administrativas, recogidas en el fundamento de derecho primero de la sentencia recurrida y trascrito en el homónimo de la nuestra, presenta una realidad bien distinta a la que aduce el Colegio recurrente. En el apartado octavo de esos hechos probados se hace mención a varios documentos que acreditan que el listado de colegiados fue igualmente facilitado a MBNA España, afirmándose que carecería de todo sentido la solicitud del Colegio recurrente de la cancelación de los datos facilitados de quienes han mostrado su voluntad de no ceder sus datos, si previamente no se hubieran facilitado.

Y nada de lo expuesto se le escapa al Tribunal de instancia, como bien puede comprobarse con la lectura del trascrito fundamento de derecho quinto en el que aún reconociendo una sofisticada interrelación jurídica entre las tres empresas implicadas en los hechos y la confusión existente entre MBNA y MBNA España, tiene por probada la comunicación de datos de los colegiados de COPAC y por parte de éste a las otras dos empresas intervinientes, en concreto a MBNA España.

El motivo, en consecuencia con lo expuesto, debe desestimarse, pues lo que realmente en el se denuncia no es una aplicación errónea por la Sala de instancia de los artículos 11 y 12 de la Ley Orgánica 15/1999 , y sí una equivocada valoración de la prueba, cuyo acceso a casación es restringido de conformidad con una reiterada doctrina jurisprudencial que recuerda que en casación han de respetarse los hechos de la resolución recurrida, salvo que se alegue el quebrantamiento de las formas esenciales del juicio en relación con la proposición o la práctica de prueba; la incongruencia o falta de motivación de la sentencia; se invoque oportunamente como infringida una norma que deba ser observada en la valoración de la prueba ya se trate de las normas que afectan a la eficacia de un concreto medio probatorio, o de las reglas que disciplinan la carga de la prueba o la formulación de presunciones; o, finalmente, se alegue que el resultado de ésta es arbitrario, inverosímil o falto de razonabilidad, pues en este caso debería estimarse infringido el principio del ordenamiento jurídico que obliga al juzgador a apreciar la prueba sujetándose a las reglas de la sana crítica.

Si los hechos probados recogidos en las resoluciones recurridas describieran las relaciones jurídicas de las tres empresas implicadas en los hechos en la forma que sostiene el Colegio recurrente, podría cuestionarse que no se ha producido una cesión de datos en los términos en que se define en el artículo 3.i) de la Ley Orgánica 15/1999 , o afirmarse, como afirma COPAC, que su relación con las otras dos entidades es la de un contrato de prestación de servicios encuadrable en el artículo 12 , pero como los hechos declarados probados y no combatidos en forma son otros, el motivo irremediablemente debe desestimarse.

Insistir que en el penúltimo párrafo del fundamento de derecho quinto de la sentencia recurrida se afirma que la autorización por parte del Colegio recurrente a MBNA Direct para que se sirva de la empresa MBNA España, atribuye un poder de disposición que solamente corresponde al responsable del fichero y que con la autorización se vulnera el contrato de confidencialidad suscrito entre el Colegio y MBNA Direct el 23 de enero de 2003.

Tampoco puede acogerse el motivo tercero por el que se cuestiona la aplicación que la Sala de instancia ha hecho del artículo 45.5 de la Ley Orgánica 15/99, de 13 de diciembre , según el cual "si, en razón de las circunstancias concurrentes, se apreciara una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho, el órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate".

La propia redacción del precepto remite, para su aplicación, a una valoración de las circunstancias fácticas del caso en cuanto pongan de manifiesto esa disminución de la culpabilidad o de la antijuridicidad, con relevancia para moderar la cuantía de la sanción, en adecuada proporcionalidad a la entidad de los hechos sancionados. Como tales apreciaciones fácticas su fijación o determinación corresponde a la Sala de instancia lo que obliga a atenerse a la apreciación de la prueba hecha por ésta, salvo que se alegue alguna de las causas que permiten el acceso a casación de la valoración de la prueba, a las que ya hicimos mención en el fundamento de derecho cuarto, lo que no sucede en el caso de autos.

Con total acierto se sostiene en la Sala de instancia que la complejidad que de la interpretación de la normativa aplicable aduce el Colegio recurrente es inexistente para apreciar una cualificada disminución de la culpabilidad y de la antijuridicidad, con la indicación, no menos acertada, que si alguna complejidad hay es el entramado de contratos, negocios y autorizaciones entre las empresas intervinientes.

La desestimación del recurso conlleva la imposición de las costas a la parte recurrente (art. 139.2 LRJCA ), si bien, en atención a la complejidad del tema de debate, y haciendo uso de la facultad que al Tribunal confiere el apartado 3 del indicado artículo, se fija como cuantía máxima a reclamar por cada uno de los Letrados de las partes recurridas, en concepto de honorarios, la cantidad de 3.000 euros.