SENTENCIA DE LA AUDIENCIA NACIONAL DE 22.10.10
Madrid, a veintidós de octubre de dos mil diez.
Vistos por la Sala, constituida por los Sres. Magistrados relacionados al margen, los autos del presente recurso contencioso administrativo número 17 de diciembre de 2009, interpuesto por la procuradora de los Tribunales doña Susana Sánchez García, actuando en nombre y representación de France Telecom España SA, contra la resolución del Director de la Agencia Española de Protección de datos de 13 de febrero de 2009 por la que se impuso una sanción de multa por importe de 28.000 euros por una infracción grave del art. 44.3.d) de la LOPD. Ha sido parte la Administración del Estado, asistida y representada por el Abogado del Estado.
ANTECEDENTES DE HECHO
PRIMERO. Interpuesto el presente recurso y previos los oportunos trámites, se confirió traslado a la parte actora por término de veinte días para formalizar la demanda, lo que verificó por escrito presentado el 17 de diciembre de 2009 en el que tras exponer los hechos y fundamentos de derecho que estimó pertinentes, solicita sentencia estimatoria del recurso por la que se anule la resolución recurrida.
SEGUNDO. La Administración demandada, una vez conferido el tramite pertinente para contestar la demanda, presentó escrito en el que alegó los hechos y fundamentos de derecho que estimó pertinentes, solicitando una sentencia en la que se declare la conformidad a derecho de las resoluciones impugnadas.
TERCERO. Presentados los oportunos escritos quedaron las actuaciones pendientes de señalamiento para votación y fallo, fijándose al efecto el día 20 de octubre de 2010, fecha en que tuvo lugar la deliberación y votación.
Siendo PONENTE el Magistrado ILMO. SR. D. DIEGO CORDOBA CASTROVERDE.
FUNDAMENTOS JURIDICOS
PRIMERO. El presente recurso tiene por objeto la resolución del Director de la Agencia Española de Protección de datos de 13 de febrero de 2009 por la que se impuso una sanción de multa por importe de 28.000 euros por una infracción grave del art. 44.3.d) de la LOPD.
De los datos obrantes en el expediente, así como de las alegaciones formuladas por las partes resultan probados los siguientes hechos con relevancia para dictar la resolución que nos ocupa:
1.º D. Teofilo contrató con Retevisión Movil SA (Amena) la activación de dos líneas de teléfono con tarifa "contrato libre": la primera n.º NUM000 con fecha de alta 22/12/01 y baja 30/04/04; la segunda n.º NUM001 con fecha de alta 2/09/2003.
2.º El recurrente presentó denuncia ante la Guardia Civil de Sevilla el 30 de diciembre de 2005 por robo de su terminal de teléfono. El 31 de diciembre de 2005 remitió escrito al Servicio de atención al cliente de la empresa Amena Auna comunicando el robo del Terminal marca "Nokia", adjuntando copia de la denuncia presentada ante la Guardia Civil, y solicitaba el bloqueo o suspensión de la línea, un duplicado de la tarjeta y la reposición del Terminal, hechos que afirmaba haber puesto en conocimiento de la compañía por teléfono sin que le diesen una solución a sus peticiones.
3.º El 16 de enero de 2006 envió una nueva carta al Servicio de atención al cliente de Auna una nueva carta en la que se identificaba con el nombre completo y el NIF en la que les comunicaba la baja como cliente en dicha compañía. En dicha se ponía en su conocimiento que "le envió una fotocopia del correspondiente justificante bancario mediante el cual autorizó la baja de la domiciliación en cuenta". Se adjuntaba una copia de la orden girada al banco de baja de la domiciliación del pago de los recibos emitidos por Aena en el que se identificaba al recurrente a la compañía Aena y el número de cuenta completo del cliente dirigido a su entidad bancaria.
4.º La compañía Amena no le dio de baja en esta línea hasta el 28/07/2006 por impago de tres recibos mensuales de 16 de marzo de 2006, 16 de abril de 2006, y 16 de agosto de 2006 en concepto "consumo mensual" por importe de 6,96 # cada mes.
5.º A instancia de Amena el 21 de junio de 2006 se incluyó a D. Teofilo en el fichero de morosos de ASNEF por el impago de una deuda por importe de 20,88 #.
La entidad recurrente alega, en síntesis, que:
1.º Vicio in procedendo, pues de conformidad con el art. 7.2 y 3 del Real Decreto 1398/1993 por el que se aprobó el reglamento de procedimiento para el ejercicio de la potestad sancionara la Agencia de Protección de datos debería haber acordado la suspensión del procedimiento sancionador hasta que hubiese recaído resolución judicial firme referida a la denuncia penal presentada.
2.º Caducidad del expediente en relación con las actuaciones previas de inspección pues desde que se presentó la denuncia (25 de agosto de 2006) y la fecha en que finalizan estas investigaciones previas (el 23 de febrero de 2007) habrían transcurrido habían transcurrido más de los tres meses previstos en el art.
42.3 de la Ley 30/1992. La caducidad de estas actuaciones determina la falta de prueba de cargo al no existir en el expediente posterior otros elementos probatorios diferentes de los recabados en las diligencias previas.
3.º Inexistencia de la infracción del art. 4.3 de la LOPD ni del art. 44.3.d) de esta misma norma.
4.º Subsidiariamente solicita, en aplicación del art. 45.5 de la LOPD, la reducción del importe de la sanción a 6000 # por concurrir circunstancias, al amparo del art. 45.5 de la LOPD, que justifican una cualificada disminución de la culpabilidad, puesto que en otras resoluciones de la agencia la implantación de medidas y la actuación de filial ha justificado esa disminución en el importe de la sanción.
SEGUNDO. Vicio "in procedendo".
La empresa recurrente considera que de conformidad con el art. 7.2 y 3 del Real Decreto 1398/1993 por el que se aprobó el reglamento de procedimiento para el ejercicio de la potestad sancionara, la Agencia de Protección de datos debería haber acordado la suspensión del procedimiento sancionador hasta que hubiese recaído resolución judicial firme referida a la denuncia penal presentada.
La presentación de la denuncia por robo de un teléfono y el subsiguiente procedimiento penal destinado a investigar estos hechos no guarda relación alguna con el procedimiento sancionador que se tramitaba en la Agencia española de protección de datos destinado a investigar la inclusión de los datos de una persona como morosa sin previo requerimiento del pago de la deuda y respecto a una deudas inexistentes, pues este procedimiento no está predeterminado por ningún pronunciamiento que pudiera dictarse en el proceso penal y que obligase a su paralización para conocer el resultado de dicha investigación y eventualmente de la sentencia que pudiera recaer; la existencia o no de un robo o perdida y del posible responsable del mismo no guardaba relación alguna con el procedimiento sancionador que se tramitaba ante la Agencia española de protección de datos, no concurriendo, por tanto, los requisitos previstos en el art. 7 apartados 2 y 3 del Real Decreto 1398/1993 "identidad de sujeto, hecho y fundamento entre la infracción administrativa y la infracción penal que pudiera corresponder".
No se aprecia, por tanto, el invocado vicio "in procedendo" que determine la nulidad del procedimiento administrativo tramitado.
TERCERO. Caducidad de la investigación previa.
Se aduce la caducidad de las actuaciones previas de inspección, al considerar que les resulta aplicable el artículo 42.3 de la Ley 30/92 que fija un plazo general de tres meses para los procedimientos que no tengan establecido un plazo máximo.
Es doctrina reiterada de esta Sala, por otra parte, conocida por la entidad actora, que las llamadas diligencias previas, diligencias de investigación o información previa, reguladas con carácter general, para el procedimiento administrativo sancionador, en el art. 12 del Real Decreto 1398/1993, de 4 de agosto, que aprueba el Reglamento del Procedimiento para el ejercicio de la potestad sancionadora, no estaban sometidas al plazo de caducidad hasta la entrada en vigor del Real Decreto 1720/2007, pues con anterioridad a tal fecha no se había establecido un plazo de caducidad al efecto, no resultando de aplicación el artículo 42.3 de la Ley 30/92, pues las citadas diligencias no forman parte del procedimiento, en sentido estricto, sino que son una fase preliminar anterior a la incoación del procedimiento sancionador. Cuestión distinta es la utilización fraudulenta de las mismas, extremo que no ha sido alegado por la recurrente, procediendo desestimar este motivo de impugnación.
Es por ello que la prueba de cargo obtenida en esta fase previa puede ser utilizada e integrada en el expediente posterior.
CUARTO. Inexistencia de infracción La parte recurrente alega en primer lugar que la solicitud de baja como cliente, por carta enviada a la compañía Amena el 16 de enero de 2006, no podría producir efectos dado que la comunicación no iba acompañada de la acreditación de su identidad, mediante la aportación de la fotocopia del DNI del cliente, inclumpliéndose la cláusula 15 de las condiciones generales de contrato que suscribió con dicho cliente. De modo que solo le dio de baja en el servicio el 28/07/2006 por impago de tres recibos mensuales (de 16 de febrero, 16 de marzo y 16 de abril de 2006 por importe de 6,96 # cada una por la cuota mensual). La conclusión sería que la deuda sería correcta y se justificaría la inclusión en el fichero de morosos.
La cláusula decimocuarta del contrato, bajo el epígrafe "extinción y resolución del contrato", establecía que "el contrato se extinguirá por las causas previstas en las presentes condiciones generales...el cliente tendrá derecho a resolver en cualquier momento el contrato, acreditando para ello su identidad mediante notificación fehaciente por escrito a Amena con una antelación mínima de quince días naturales al momento en que ha de surtir efectos".
La comunicación dirigida por el cliente a la entidad Amena cumplía estas exigencias, pues el cliente comunicó a la compañía por carta con acuse de recibo, y por tanto de forma fehaciente, su baja como cliente, en la que se identificaba con el nombre completo y el NIF. En dicha misiva se ponía en su conocimiento que "le envió una fotocopia del correspondiente justificante bancario mediante el cual autorizó la baja de la domiciliación en cuenta" y se adjuntaba una copia de la orden girada al banco ordenando la baja de la domiciliación del pago de los recibos emitidos por Aena. En este documento que adjuntaba se identificaba al recurrente, a la compañía Aena como emisora de las órdenes de cobro y el número de cuenta corriente y la entidad bancaria en la que tenía domiciliado los recibos correspondientes. Datos suficientes para entender perfectamente acreditada la identidad del cliente y su clara voluntad de darse de baja en la compañía, petición que avalaba sus anteriores comunicaciones, tanto telefónicas como por escrito a la compañía, en la que ponía de manifiesto la falta de la debida atención de la compañía a sus peticiones a raíz del robo de su terminal. Por lo que la compañía debió de darle de baja en el servicio que tenía contratado en los quince días siguientes de la recepción de dicha comunicación sin que pudiera seguir girando los recibos mensuales de dicha línea como si tal comunicación no hubiera existido, máxime cuando anteriormente había notificado a la compañía la sustracción de su terminal y su voluntad de que se bloquease o se suspendiese la línea hasta tanto se le proporcionase un duplicado de la tarjeta y la reposición del terminal.
QUINTO. El artículo 44.3.d) de la LOPD tipifica como infracción grave tratar los datos de carácter personal con conculcación de los principios y garantías establecidas en la ley o "en las disposiciones reglamentarias de desarrollo", regulándose en el artículo 29 de la citada Ley, la prestación de servicios de información en los ficheros de solvencia patrimonial que se caracterizan porque no necesitan del consentimiento del afectado para la obtención y tratamiento de sus datos, lo que supone una excepción a los principios rectores de la LOPD (entre ellos el del consentimiento del afectado en el tratamiento y cesión de sus datos de carácter personal). No obstante, frente a esta excepción, la propia norma articula una serie de contrapesos, como es su limitación a un caso concreto (cumplimiento o incumplimiento de obligaciones dinerarias) y la obligación de notificar a los afectados el hecho de que se han registrado sus datos de carácter personal.
Como ya dijimos en nuestra sentencia de 20 de abril de 2006 "... aquel que utiliza un medio extraordinario de cobro como es el de la anotación de la deuda en un registro de morosos, debe garantizar el cumplimiento de todos los requisitos materiales (exactitud el dato) y formales (requerimiento previo) que permitan el empleo de este modo accesorio para conseguir el cobro de la deuda. No aplicar esta exigencia supondría, por lo contrario, utilizar este medio de presión al recurrente sin el suficiente aseguramiento de las mínimas garantías para los titulares de los datos que son anotados en los registros de morosos." En el presente caso, France Telecom no ha acreditado ni la exactitud del dato, por lo antes afirmado, ni el cumplimiento del requisito de requerimiento previo, ni en vía administrativa ni en sede judicial.
Aduce también la demandante la inexistencia de norma jurídica en vigor que sancionase como infracción grave del artículo 44.3.d) LOPD la conducta de incluir a un deudor en un registro de morosos sin haberle requerido el pago de la deuda. No considera disposición reglamentaria la Instrucción 1/1995 de la AEPD que establece la exigencia del previo requerimiento de pago de la deuda, y, por tanto, no es suficiente para integrar el tipo del artículo 44.3.d), en relación con los artículo 4.3 y 29.4, todos de la LOPD.
Es cierto que es un requisito que no se recoge en la LOPD, sino que procede de la Instrucción 1/1995, de 1 de marzo, publicada en el BOE de 4 de marzo de 1995, que se dictó para adecuar y salvaguardar la calidad de los datos personales que acceden a los ficheros de solvencia patrimonial, en relación con la obligaciones dinerarias a que alude el artículo 29 de la Ley Orgánica 15/1999.
Este Tribunal ya ha tenido ocasión de señalar en numerosas sentencias, entre las más recientes, SAN, Sala Contencioso-administrativo, Sección 1, de 17 de Septiembre del 2010 (rec. 430/2009) que la citada Instrucción 1/1995, se dictó por la Agencia de Protección de Datos, al amparo del artículo 36 LORTAD, que al definir las funciones de la APD incluía en su apartado c) la de dictar en su caso y sin perjuicio de las competencias de otros órganos, las instrucciones precisas para adecuar los tratamientos automatizados a las disposiciones de dicha Ley.
Cobertura para dictar instrucciones que otorga a la Agencia también el artículo 37.c) LOPD, que reproduce el citado artículo 36.c) con la única salvedad de suprimir la referencia al adjetivo "automatizados", al incluir la LOPD en su ámbito de aplicación a los tratamientos automatizados y no automatizados.
En desarrollo de dicho precepto, el artículo 5 c) del Estatuto de la Agencia, aprobado por R.D.
428/1993, le atribuye las funciones de dictar instrucciones y recomendaciones precisas para adecuar los tratamientos automatizados a los principios de la Ley Orgánica. La Disposición Transitoria Tercera de la LOPD declara subsistente el citado Real Decreto 428/1993, en cuanto no se oponga a la LOPD.
Por otra parte, la citada Instrucción 1/1995 ha sido impugnada en vía jurisdiccional ante el Tribunal Superior de Justicia de Madrid, que dictó sentencia en fecha 10 de octubre de 2002 desestimando la impugnación efectuada, sentencia que recurrida en casación ante el Tribunal Supremo ha sido confirmada por la STS, Sala 3.ª, de 16 de febrero de 2007 (rec. 220/2003).
El TS analiza la potestad reglamentaria del Director de la Agencia, efectuando una distinción entre la potestad atribuida a la Agencia de dictar instrucciones y la potestad de desarrollo de la Ley mediante la elaboración de las correspondientes disposiciones generales, en relación con la cual la Agencia solo tiene facultades de informe.
Esa potestad de dictar instrucciones, se argumenta, no consiste en atribuir el desarrollo reglamentario de la Ley a la Agencia, sino que, como Ente Público al que se encomienda el control de aplicación de la Ley, dirija tal aplicación estableciendo las instrucciones precisas para conseguir que el tratamiento de datos se ajuste a los principios que la Ley dispone, aludiendo a la compatibilidad de dichas facultades con la atribución de la potestad reglamentaria al Gobierno por el artículo 97 de la Constitución y el artículo 23.1 de la Ley 50/1997 y cita en este sentido las sentencia del citado Tribunal de 20 de diciembre de 2004 y 1 de febrero de 2006, dictadas en relación con la potestad de dictar Circulares de otro ente público de semejante naturaleza, que utiliza como término de comparación, como es el caso de la Comisión del Mercado de las Telecomunicaciones.
En semejantes circunstancias y con el mismo fundamento que en el supuesto tomado como referencia, considera el Tribunal Supremo que el legislador valorando las características de este sector, establece un Ente Público para el control de la aplicación de la Ley, que actúa con plena independencia en el ejercicio de sus funciones, "a cuyo efecto le atribuye la potestad de dictar Instrucciones que, de un lado, va más allá de la genérica potestad "ad intra" reconocida en el art. 21 de la Ley 30/98 a los órganos administrativos para dirigir las actividades de los órganos jerárquicamente subordinados, en cuanto lo establecido en dichas Instrucciones por la Agencia, como Ente público de control, viene a ordenar la actuación de los operadores en el tratamiento automatizado para su adecuación a los principios establecidos en la Ley, con carácter obligatorio y eficacia "ad extra".... y de otro lado, la potestad atribuida a la Agencia deja a salvo y no alcanza al desarrollo reglamentario de la Ley a través de la elaboración de las correspondientes disposiciones generales, que corresponde al Gobierno en el ejercicio de la potestad reglamentaria".
Tras examinar la impugnación realizada, considera el Tribunal Supremo que el contenido de la Instrucción 1/1995 se ajusta a los límites de la potestad conferida a la Agencia de Protección de Datos.
En definitiva, como ha señalado esta Sala en su sentencia de 12 de febrero de 2008, la Instrucción 1/1995 tiene la consideración de norma reglamentaria a los efectos de integración del tipo infractor previsto en el art. 44.3.d) de la LOPD, no habiéndose traspasado por la citada Instrucción los límites de la habilitación legal conferida, que se ha limitado a precisar y desarrollar el tipo de infracción previamente establecido en la Ley.
Siendo así, es imputable a la recurrente la infracción grave tipificada en el artículo 44.3.d) de la LOPD , como recoge la resolución recurrida.
Considera finalmente el que el propio cliente reconoció implícitamente que le fue requerido el pago de la deuda al afirmar, antes de que se le diese de alta en el fichero de morosos "que ahora me reclaman un importe de 174,29 #" expresión de la que, a su juicio, se deduce el conocimiento previo de una deuda anterior. Lo cierto es que en la carta a la que se refiere la empresa recurrente, obrante en el folio 65 del expediente administrativo, no permite llegar a la conclusión alcanzada por la parte recurrente, pues basta con leer la citada carta para comprender que el cliente tras quejarse de que había comunicado a la compañía ser víctima de un robo, el haber solicitado el bloqueo de la línea y haber solicitado la baja, se le exigía "ahora" el pago de una deuda, contexto que como es evidente no guarda relación alguna con el reconocimiento implícito de una reclamación por las tres mensualidades anteriores que justificaron su inclusión en el fichero de morosos.
SEXTO. Finalmente la compañía alega, en aplicación del art. 45.5 de la LOPD, la reducción del importe de la sanción a 6000 # por concurrir circunstancias, que justifican una cualificada disminución de la culpabilidad, puesto que en otras resoluciones de la agencia la implantación de medidas y la actuación de filial ha justificado esa disminución en el importe de la sanción.
En este punto no procede sino confirmar los razonamientos utilizados en el apartado VII de la resolución impugnada, pues se toma en consideración el tiempo de permanencia del dato en el fichero de morosos, descontando el periodo de adaptación de protocolos, entre ellos los de altas y bajas de clientes, tras la absorción de varias compañías, pero los hechos analizados se mantuvieron más allá de ese periodo que prudentemente se consideró necesario para la adaptación sin que puedan quedar amparadas conductas como las descritas en la actuación posterior de tal compañía, y sin que tampoco se aprecie otras circunstancias de reducción de la culpabilidad distinta de la ya ponderada en la resolución administrativa impugnada, por lo que se considera proporcional y adecuada el importa de la sanción impuesta.
SÉPTIMO. A los efectos previstos en el art. 139 de la Ley reguladora de esta jurisdicción en materia de costas procesales, no se aprecia temeridad o mala fe en ninguno de los litigantes.
VISTOS los preceptos citados y demás normas de procedente aplicación,
FALLAMOS
QUE PROCEDE DESESTIMAR el recurso interpuesto por France Telecom España SA, contra la resolución del Director de la Agencia Española de Protección de datos de 13 de febrero de 2009, sin hacer expresa condena en costas.
Así, por esta nuestra sentencia de la que se llevará testimonio a las actuaciones, lo pronunciamos, mandamos y firmamos.
PUBLICACIÓN.- Dada, leída y publicada fue la anterior sentencia en audiencia pública. Doy fe.
