Iustel
El Abogado del Estado reconoce que la entidad únicamente cedió los datos de nombres de trabajadores, teléfono y fecha de baja, sin incluir entre los datos cedidos los diagnósticos médicos. No obstante, considera que la fecha de baja es un dato de salud y por tanto, al haber incluido el fichero este dato debería estimarse procedente la sanción inicialmente impuesta. Sin embargo, el TS coincide con la apreciación de la Sala de instancia de que el solo dato de la fecha de baja, sin ningún otro añadido o explicación, no puede considerarse como dato de salud, ya que en sí solo considerado no permite deducir que se refiera a una situación de enfermedad. Respecto a la cuantía de la sanción, el TS, aplicando el principio de retroactividad de las normas sancionadoras en cuanto favorezcan al presunto infractor, reduce su importe, al encontrarse en vigor la nueva redacción dada al art. 45.2 de la LOPD por la Ley 2/2011.
Tribunal Supremo
Sala de lo Contencioso-Administrativo
Sentencia de 05 de marzo de 2012
RECURSO DE CASACIÓN Núm: 1104/2009
Ponente Excmo. Sr. JOSÉ MARIA DEL RIEGO VALLEDOR
En la Villa de Madrid, a cinco de Marzo de dos mil doce.
Vistos por la Sección Sexta de la Sala Tercera del Tribunal Supremo, constituida por los Señores al margen anotados, el presente recurso de casación número 1104/09, interpuesto por el Abogado del Estado en representación de la Administración General del Estado, contra la Sentencia de fecha 17 de diciembre de 2008, dictada por la Sección Primera de la Sala de lo Contencioso Administrativo de la Audiencia Nacional, en el recurso contencioso administrativo número 139/2007, sobre protección de datos, siendo parte recurrida Medicina Laboral Interactiva S.L. representada por el Procurador D. José Antonio Sandín Fernández
ANTECEDENTES DE HECHO
PRIMERO.- La parte dispositiva de la sentencia impugnada efectúa los siguientes pronunciamientos:
"Que estimando parcialmente el recurso contencioso administrativo interpuesto por la representación procesal de Medicina Laboral Interactiva SL frente la resolución de la Agencia Española de Protección de Datos de 17 de enero de 2007, que confirma en reposición la anterior resolución de 23 de noviembre de 2006, revocamos parcialmente dichas resoluciones en cuanto anulamos la sanción de 300.506, 05 euros que, por una infracción muy grave del artículo 44.4.c) LOPD, se impone a dicha entidad recurrente, a la que procede imponer en su lugar una sanción de 60.101,21 euros por la comisión de una infracción grave del articulo 44.3.d) de tal LOPD, sin expresa imposición de costas a ninguna de las partes."
SEGUNDO.- El Abogado del Estado, presentó escrito ante la Sección Primera de la Sala de lo Contencioso Administrativo de la Audiencia Nacional, preparando recurso de casación contra la referida resolución, y la Sala de instancia tuvo por preparado en tiempo y forma el recurso de casación en providencia de 30 de enero de 2009, emplazando a las partes para que comparecieran ante el Tribunal Supremo.
TERCERO.- Recibidas las actuaciones y el expediente administrativo ante este Tribunal, la parte recurrente se personó ante esta Sala y con fecha 3 de abril de 2009 formuló escrito de interposición del recurso de casación, expresando los motivos en que se amparaba, y suplicando que se tuviera por interpuesto el recurso de casación y, previos los trámites legales acuerde casar la sentencia impugnada.
CUARTO.- La Sala tuvo por interpuesto el recurso de casación y emplazó a la parte recurrida para que formalizara su oposición, lo que verificó por escrito de 22 de diciembre de 2009, en el que se opuso al recurso de casación, manifestando su conformidad punto por punto con la sentencia recurrida, solicitando su íntegra confirmación.
QUINTO.- Por providencia de 20 de enero de 2012 se dio traslado a las partes para alegaciones sobre los efectos en el presente recurso de la modificación efectuada en el régimen sancionador de la Ley Orgánica de Protección de Datos por la Ley 2/2011, habiendo presentado escrito el Abogado del Estado el 10 de febrero de 2012.
SEXTO.- Se señaló para votación y fallo la audiencia del día 28 de febrero de 2012, en cuyo acto tuvo lugar, habiéndose observado las formalidades legales referentes al procedimiento.
Siendo Ponente el Excmo. Sr. D. José Maria del Riego Valledor, Magistrado de la Sala.
FUNDAMENTOS DE DERECHO
PRIMERO.- Se interpone por el Abogado del Estado recurso de casación contra la sentencia dictada por la Sección 1.ª de la Sala de lo contencioso administrativo de la Audiencia Nacional, de fecha 18 de diciembre de 2008, que estimó en forma parcial el recurso interpuesto por Medicina Laboral Interactiva, S.L. (MLI), frente a la Resolución sancionadora de la Agencia Española de Protección de Datos (AEPD), de 23 de noviembre de 2006, confirmada por la Resolución desestimatoria del recurso de alzada, de 17 de enero de 2007.
Las indicadas Resoluciones sancionadoras de la AEPD impusieron a la sociedad recurrente una multa de 300.506,05 euros, por una infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD ), tipificada como falta muy grave por el artículo 44.4.c) de dicha norma.
La estimación parcial del recurso por la sentencia impugnada supuso la anulación de la sanción de 300.506,05 euros por la infracción muy grave del artículo 44.4.c) LOPD, y la imposición en su lugar de una sanción de 60.101,21 euros, al calificar los hechos como una infracción grave del artículo 44.3.d) LOPD.
SEGUNDO.- El Abogado del Estado formula su recurso de casación al amparo del artículo 88.1.d) de la Ley de la Jurisdicción, basándolo en un único motivo, por infracción por la sentencia recurrida del artículo 44.4.c) LOPD, en relación con el artículo 7.3 del mismo texto legal, la jurisprudencia aplicable al caso y el artículo 3 del Código Civil, sobre interpretación de las normas jurídicas, que son aplicados incorrectamente por la sentencia impugnada, al considerar que el dato de encontrarse una persona en situación de baja temporal y la fecha de inicio de esta no son datos relativos a la salud.
TERCERO.- El artículo 44.4.c) LOPD, en la redacción vigente en el momento de los hechos, y el mismo precepto en su letra b) en la nueva redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, tipifican como infracción muy grave recabar y tratar los datos referidos en el artículo 7.3 LOPD. Por su parte, este precepto establece que los datos de carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual sólo podrán ser recabados, tratados y cedidos cuando así lo disponga una ley o el afectado lo haya consentido expresamente.
La Resolución sancionadora de la AEPD considera que MLI había incurrido en la infracción muy grave que acabamos de describir porque, con anterioridad al 3 de marzo de 2005, incorporó datos identificativos de trabajadores de la empresa Tecnatom y los datos relativos a los diagnósticos médicos que originaron las bajas laborales de los mismos, a un fichero denominado "Pacientes", sin contar con el consentimiento expreso de dichos trabajadores, según señala en sus Fundamentos de Derecho VIII y IX la Resolución sancionadora de la AEPD de 23 de noviembre de 2006, reproducidos en la Resolución desestimatoria del recurso de alzada de 17 de enero de 2007.
Sin embargo, la sentencia impugnada no acepta los anteriores hechos, porque son contradictorios con lo actuado en el expediente y con la misma narración de hechos probados de la resolución sancionadora de la AEPD. Por ello, tras explicar las razones de la discrepancia con las conclusiones probatorias de la AEPD, la sentencia impugnada construye su propia y alternativa narración de hechos probados:
Pues bien, esta Sala no esta conforme con tal razonamiento de la AEPD, en cuanto contradictorio con el resultado de las pruebas practicadas en las actuaciones y contradictorio con lo que la misma resolución sancionadora ( y la que la confirma en reposición) expresamente hace constar en el hecho probado cuarto, en el que textualmente se indica que:
La operativa de funcionamiento del "Servicio de Gestión Médica" de MLI consiste en que desde las empresas a las que se da servicio (entre ellas TECNATOM), se comunica a MLI, usualmente mediante correo electrónico o fax, una relación de las bajas laborales que se han producido. Los datos remitidos son los necesarios para contactar con los trabajadores (nombre y apellidos y numero de teléfono), así como la fecha de inicio de la baja. El personal médico de MLI cuenta con un fichero automatizado al que se han incorporado los datos de identificación y contacto telefónico de todos los trabajadores de las diferentes empresas, en la cual quedan registradas todas las acciones realizadas por los facultativos de la entidad. El facultativo encargado de cada caso realiza un primer contacto telefónico en el que se le solicitan datos referidos a su situación médica, momento en el que se procede a leer al trabajador una cláusula de información en la que el facultativo de MLI informa al trabajador, a la vez que solicita el consentimiento para el tratamiento automatizado de sus datos de salud. Igualmente se le informa de la forma de ejercer los derechos reconocidos en la LOPD. En el caso de que el trabajador se niegue a ser asesorado, no se realiza ninguna acción, tan sólo se comunica a la empresa. El seguimiento médico del trabajador prosigue hasta que éste causa alta, pudiendo además finalizar por indicación de la empresa. Los facultativos de MLI sólo realizan seguimientos en caso de bajas por enfermedad común. Los facultativos responsables registran las actuaciones practicadas, incorporándose el diagnóstico de la enfermedad una vez que se cuenta con él. Estos datos son igualmente automatizados.
Hecho probado que incluso identifica la documentación de la que extrae el mismo folios 28 a 31 del expediente administrativo, folios en los que se documenta el Acta de Inspección y a los que se acompañan (como folios 32 a 36 del mismo expediente) la documentación que el representante de MLI incorpora a dicho Acta de Inspección a efectos acreditativos de sus manifestaciones.
Así pues, ha resultado probado en el presente caso, en contra de lo considerado por la Agencia en la fundamentación de las resoluciones combatidas, que los datos personales de los trabajadores que Tecnatom cedió a MLI fueron, además del nombre, apellidos y número de teléfono, exclusivamente la fecha de inicio de la baja (véanse folios 32 y 33 del expediente), pues el diagnóstico médico sólo era incorporado a los ficheros de MLI una vez se contaba con él, siendo el medio ordinario para recabar tal diagnostico médico la conversación telefónica que el correspondiente facultativo de MLI tenia con el trabajador que iniciaba la baja, conversación en la que se le leía una cláusula de información (véase folio 36 del expediente) y se le solicita el consentimiento para el tratamiento de sus datos de salud.
La diferencia sustancial entre la narración de hechos acreditados que realiza la Resolución sancionadora de la AEPD y la efectuada por la sentencia de la Audiencia Nacional radica en si entre los datos de sus trabajadores que la empresa Tecnatom comunicó a MLI se encontraban, junto con el nombre, teléfono y fecha de baja, el diagnóstico médico. Para la Resolución sancionadora de la AEPD, el diagnóstico médico si figuraba entre los datos cedidos, mientras la sentencia impugnada llegó a la tesis contraria, y consideró acreditado, a la vista de los documentos del expediente que se identifican en la sentencia impugnada (folios 32 y 33 del expediente administrativo), que el diagnóstico médico no se comunicó por Tecnatom a MLI, sino que se transmitió directamente a MLI por los trabajadores afectados, previa lectura de una cláusula de información y solicitud de consentimiento expreso del trabajador para el tratamiento de los datos (folio 36 del expediente administrativo). Como consecuencia de lo anterior, para la sentencia impugnada la empresa recurrente MLI sólo pudo incorporar a su archivo de "Pacientes", sin consentimiento de los afectados, los datos recibidos de Tecnatom de nombre, teléfono y fecha de baja de trabajadores, pero no los datos de diagnóstico médico.
CUARTO.- El Abogado del Estado no cuestiona ni impugna en su recurso de casación la narración de hechos probados de la sentencia impugnada, sino que acepta que Tecnatom cedió a MLI únicamente los datos de nombres de trabajadores, teléfono y fecha de baja, sin incluir entre los datos cedidos los diagnósticos médicos. No obstante, considera el Abogado del Estado que la fecha de baja es un dato de salud y por tanto, al haber incluido MLI en su fichero este dato, continúa existiendo una infracción muy grave del artículo 44.4.c) LOPD de tratamiento de datos especialmente protegidos, sin el consentimiento del afectado.
El artículo 7.3 de la ley 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD) se refiere a los datos de salud para considerarlos especialmente protegidos, limitando la posibilidad de recabar, tratar y ceder tales datos a los casos en los que lo disponga una ley o el afectado consiente expresamente, pero no delimita el concepto de dato de salud.
El apartado 45 de la Memoria Explicativa del Convenio 108 del Consejo de Europa (Estrasburgo, 28.I.1981), para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, considera que los datos de carácter personal relativos a la salud abarcan "las informaciones concernientes a la salud pasada, presente y futura, física o mental, de un individuo". Añade el citado apartado que "la información puede referirse a una persona de buena salud, enfermo o fallecido " y que debe entenderse que esta categoría de datos "también comprenden aquellos relativos al abuso de alcohol o al consumo de drogas".
También en el ámbito del Consejo de Europa, la Recomendación R (97) 5, adoptada por el Comité de Ministros del 13 de febrero de 1.997, señala que la expresión "datos médicos" hace referencia a " todos los datos de carácter personal relativos a la salud de una persona. Afecta igualmente a los datos manifiesta y estrechamente relacionados con la salud, así como con las informaciones genéticas".
Tales conceptos han tenido acogida en el RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, que en su artículo 5.1, letra g ) define los datos de carácter personal relacionados con la salud como "las informaciones concernientes a la salud pasada, presente y futura, física o mental, de un individuo. En particular, se consideran datos relacionados con la salud de las personas los referidos a su porcentaje de discapacidad y a su información genética."
A la vista de las anteriores definiciones, coincidimos con la apreciación de la Sala de instancia de que el sólo dato de la fecha de baja, sin ningún otro añadido o explicación, no puede considerarse como dato de salud, al menos en el contexto del presente recurso.
La Resolución sancionadora de la AEPD apreció la cesión de datos de salud y su tratamiento por MLI cuando los hechos probados contemplaban la comunicación de la fecha de baja acompañada del diagnóstico médico, datos estos que indiscutiblemente aportan información sobre la salud de la persona a que se refieren, pero cuando los hechos probados son distintos y limitan la comunicación al dato de la fecha de la baja, sin ninguna mención ni directa ni indirecta a un diagnóstico médico, no puede mantenerse la misma calificación original, pues falta el dato determinante que aportaba información sobre la salud, mientras que el dato de "fecha de baja", en si solo considerado, no aporta información sobre la salud, ya que ni siquiera permite deducir que se refiera a una situación de enfermedad.
Se considera por tanto que en la narración de hechos probados de la sentencia impugnada, que no es cuestionada por el Abogado del Estado, que contempla el tratamiento por MLI de datos consistentes en el nombre de los trabajadores, número de teléfono y fecha de baja, no están afectados datos de salud, ni por tanto los hechos descritos pueden ser calificados como infracción muy grave del artículo 44.4.c) LOPD, sino que han de ser calificados -como acertadamente hace la sentencia impugnada- como infracción grave del artículo 44.3.d) LOPD, al referirse el tratamiento a datos de carácter personal que no incluyen datos especialmente privilegiados del artículo 7.3 LOPD.
Los anteriores razonamientos llevan a la desestimación del motivo único del recurso de casación.
QUINTO.- La sentencia impugnada calificó los hechos, según hemos visto, como infracción grave del artículo 44.3.d) LOPD, en la redacción vigente en el momento de los hechos y en la fecha de la sentencia, y de conformidad con el artículo 45.2 LOPD, en la redacción también vigente en dichos momentos, impuso la sanción de multa, en la cuantía mínima prevista para dicha clase de infracciones, de 60.101,21 euros.
Sin embargo, con posterioridad a la fecha de la sentencia impugnada, y en el curso de la tramitación del presente recurso de casación, la disposición final 56.ª de la ley 2/2011, de 4 de marzo, de Economía Sostenible, modificó entre otros el artículo 45.2 LOPD, que en su nueva redacción establece que "las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros".
De esta manera, tras la entrada en vigor de la reforma operada en la LOPD por la ley 2/2011, la sanción mínima establecida para las faltas graves se reduce de 60.121,21 euros a 40.001 euros.
De acuerdo con el artículo 128.2 de la ley 30/1992, de 28 de noviembre, las disposiciones sancionadoras producirán efecto retroactivo en cuanto favorezcan al presunto infractor.
Esta Sala ha señalado en sentencias de 24 de enero de 2006 (recurso 419/2002 ), 31 de enero de 2007 (recurso 8873/2003 ) y 13 de febrero de 2008 (recurso 2110/2004 ), que el principio de retroactividad de las normas administrativas sancionadoras obliga a aplicar retroactivamente dichas normas en todo aquello que pudiera ser más beneficioso para el presunto infractor, y "...tal aplicación debe llevarse a cabo en cualquier instancia administrativa o judicial donde se encuentre pendiente de enjuiciamiento o ejecución una resolución sancionadora, ya que no tendría sentido confirmar judicialmente la legalidad de una resolución administrativa, según la normativa vigente cuando fue dictada, para que la Administración proceda a dictar seguidamente otra que aplique retroactivamente la nueva norma sancionadora más favorable, resolución esta última que podría ser objeto de un nuevo recurso judicial."
En aplicación del anterior criterio jurisprudencial procede que, no obstante la desestimación del recurso de casación, apliquemos de forma retroactiva el nuevo régimen sancionador de la LOPD, más favorable para el recurrente, declarando como sanción procedente la establecida por el artículo 45.2 LOPD para dichas faltas, en su cuantía mínima de 40.001 euros, al no haber apreciado la resolución sancionadora la concurrencia de ningún criterio de graduación.
SEXTO.- Al declararse no haber lugar al recurso de casación, procede condenar a la parte recurrente en las costas del mismo, de conformidad con la regla del artículo 139.2 LJCA, si bien, la Sala haciendo uso de la facultad que le confiere el apartado tercero del citado precepto, limita el importe máximo a reclamar por ese concepto en la cantidad de 3.000 € en concepto de honorarios del Letrado de la parte recurrida.
FALLAMOS
NO HABER LUGAR al presente recurso de casación número 1104/2009, interpuesto por el Abogado del Estado contra la Sentencia de fecha 17 de diciembre de 2008, dictada por la Sección Primera de la Sala de lo Contencioso Administrativo de la Audiencia Nacional, en el recurso contencioso administrativo número 139/2007, con imposición de costas del recurso de casación a la parte recurrente, hasta el límite, respecto de la minuta de Letrado, señalado en el último Fundamento de Derecho.
No obstante lo anterior, por aplicación retroactiva del régimen sancionador más favorable resultante de la reforma efectuada en la Ley Orgánica 15/1999 por la ley 2/2011, de 4 de marzo, de Economía Sostenible, la cuantía de la sanción por la falta grave apreciada en la sentencia impugnada queda reducida al importe de 40.001 euros, como se indica en el Fundamento de Derecho Quinto de esta sentencia.
Así por esta nuestra sentencia, que se publicará en la colección legislativa, lo pronunciamos, mandamos y firmamos.
PUBLICACIÓN.- Leída y publicada ha sido la anterior sentencia por el Excmo. Sr. Magistrado Ponente D. José Maria del Riego Valledor, estando la Sala celebrando audiencia pública en el mismo día de su fecha, de lo que, como Secretario, certifico.
