Órgano: Audiencia Nacional. Sala de lo Contencioso
Sede: Madrid
Sección: 1
Fecha: 12/03/2020
Nº de Recurso: 157/2018
Nº de Resolución:
Procedimiento: Procedimiento ordinario
Ponente: MARIA LUZ LOURDES SANZ CALVO
Tipo de Resolución: Sentencia
AUDIENCIA NACIONAL
Sala de lo Contencioso
SENTENCIA
Madrid, a doce de marzo de dos mil veinte.
Visto por la Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional el recurso contencioso administrativo número 157/2018 interpuesto por el AYUNTAMIENTO DE VALENCIA representado por el Procurador de los Tribunales Sr. Sorribes Calle, frente a la resolución de la Directora de la Agencia Española de Protección de Datos de fecha 22 de enero de 2018 (AP/00036/2017); ha sido parte en autos, la Administración demandada, representada y defendida por el Abogado del Estado.
ANTECEDENTES DE HECHO
PRIMERO.- Interpuesto el recurso Contencioso-administrativo ante esta Sala de lo Contencioso administrativo de la Audiencia Nacional y turnado a esta Sección, fue admitido a trámite, reclamándose el expediente administrativo, para, una vez recibido emplazar a la actora para que formalizara la demanda, lo que así se hizo en escrito en el que tras exponer los hechos y fundamentos de derecho qué consideró oportunos, terminó suplicando que se dicte sentencia estimatoria anulando la resolución recurrida, con todos los pronunciamientos favorables al Ayuntamiento recurrente, incluida la condena en costas.
SEGUNDO.- El Abogado del Estado, en su escrito de contestación a la demanda, tras alegar los hechos y fundamentos de derecho qué consideró aplicables, solicitó se dicte sentencia por la que se desestime el recurso, confirmando íntegramente la resolución impugnada por ser conforme a Derecho, con imposición de costas a la parte recurrente.
TERCERO.- No se solicitó el recibimiento del recurso a prueba y evacuado el trámite de conclusiones, se señaló para votación y fallo el día 21 de enero de 2020, en que tuvo lugar.
Ha sido Ponente la Magistrada Ilma. Sra. D.ª. María Lourdes Sanz Calvo.
FUNDAMENTOS DE DERECHO
PRIMERO.- Se impugna en el presente recurso contencioso-administrativo la resolución de la Directora de la Agencia Española de Protección de Datos de fecha 22 de enero de 2018 (AP/00036/2017) que declara que el Ayuntamiento de Valencia ha infringido lo dispuesto en el artículo 7.2 de la de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), infracción tipificada como muy grave en el artículo 44.4.b) de la citada Ley.
Considera la Agencia Española de Protección de Datos (AEPD) que el Ayuntamiento de Valencia, en nombre y por cuenta del cual actuaba la entidad Invest, con la que contrató la realización de estudios mediante encuestas sobre la percepción social del colectivo fallero con relación al proceso de patrimonialización de la fiesta de las Fallas, ha incurrido en dicha infracción al haber tratado los datos de ideología y religión de los afectados participantes en dicha encuesta, sin contar con su consentimiento expreso, escrito e informado, lo que determina la existencia de un tratamiento de datos especialmente protegidos que no respeta lo previsto en el artículo 7.2 de la LOPD.
SEGUNDO.- Para la resolución del pleito, es conveniente poner de relieve los siguientes hechos derivados de las actuaciones:
1. Tras la declaración de las Fallas como Patrimonio inmaterial de la Humanidad por la UNESCO, el Ayuntamiento de Valencia impulsó y aprobó la realización de un Plan Estratégico de las Fallas, con objeto de analizar los distintos vectores de impacto que tiene la Fiesta sobre su entorno para determinar las claves sobre la fiesta y su futuro.
De dicho Plan Estratégico formaba parte la realización de un estudio sociológico sobre el colectivo fallero mediante encuestas, que el Ayuntamiento de Valencia contrató a la empresa Invest Group Investigación de Mercados S.L (Invest).
2. Con fecha 25 de abril de 2017 el Ayuntamiento de Valencia e Invest suscribieron el "Contrato de servicios de realización de estudios mediante encuestas sobre la percepción social del colectivo fallero con relación al proceso de patrimonialización de la fiesta de las Fallas".
Según dicho contrato Invest actúa como encargado de tratamiento en la prestación del servicio.
En la cláusula primera del mismo, se indica que el contrato tiene por objeto establecer las condiciones conforme el Encargado del Tratamiento durante la prestación de los Servicios, realizará el tratamiento de los datos personales necesarios " para llevar a cabo la encuesta confeccionada por el AYUNTAMIENTO".
La prestación del servicio se concreta en la misma cláusula, en la realización de 1100 encuestas personales de captación aleatoria en calle, utilizando un cuestionario de estructura cerrada, adaptación de cuestionario a lenguaje digital para recogida de información, una supervisión de al menos un 15% de las encuestas realizadas, depuración de cuestionarios, codificación de cuestionarios.
El público objetivo de la encuesta lo constituían falleros/integrantes de comisiones falleras, sin necesidad de que fueran miembros directivos de las mismas.
Por su parte, el encargado del tratamiento se obligaba (cláusula quinta), a:
" Tratar los datos de carácter personal que con motivo de la prestación de servicios tenga acceso, con sujeción y siguiendo en todo momento las instrucciones que el AYUNTAMIENTO le proporcione en el tiempo y la forma oportunos, y a abstenerse de emplear los datos con fines distintos a los establecidos.
- Utilizar los datos de carácter personal a los que tenga acceso, única y exclusivamente para cumplir sus obligaciones contractuales para con el Ayuntamiento.
- Adoptar las medidas de seguridad exigidas por la LOPD y RLOPD a fin de garantizar la confidencialidad, secreto, integridad y disponibilidad, evitar el acceso o tratamiento no autorizado de tales datos. Ambas partes convienen en que las medidas de seguridad que corresponden a la naturaleza de los datos tratados son de nivel alto.
- No revelar, transferir, ceder o comunicar los datos, ni siquiera para su conservación a ningún tercero.
- Destruir o devolver al Ayuntamiento los datos de carácter personal.
3. La encuesta se realizó entre el 18 de mayo y el 13 de junio de 2017, fecha en que se paralizó al publicarse en prensa diversas noticias relacionadas con la misma, habiéndose cumplimentado a dicho momento 963 de las 1100 encuestas previstas.
Los encuestadores debían mostrar a los encuestados, antes de iniciar la encuesta, un documento en el que se informa de la finalidad de la recogida de los datos. En el documento se resalta, en mayúsculas y negrita, el estudio del que el cuestionario forma parte: "CARACTERÍSTICAS Y OPINIÓN DE LOS FALLEROS SOBRE DIVERSOS ASPECTOS RELACIONADOS CON LA FIESTA DE LAS FALLAS DE VALENCIA TRAS SU DECLARACION COMO PATRIMONIO CULTURAL INMATERIAL DE LA HUMANIDAD POR LA UNESCO".
En el mencionado documento se cita que la información recopilada será utilizada única y exclusivamente con fines de investigación, siendo analizada de forma conjunta y global, así como que Invest garantiza la seguridad y la confidencialidad de los datos de carácter personal facilitados.
4. Para la realización de la encuesta se utilizaron tablets y móviles inteligentes que incorporaban una aplicación que implementa el cuestionario y recoge la información.
La aplicación instalada en el dispositivo móvil, mostraba las preguntas, y las respuestas alternativas en su caso, en orden secuencial, y a lo largo de varias pantallas. Durante la encuesta, una vez que el encuestador pasa de pantalla, no puede volver hacia atrás para visualizar los datos facilitados. Tampoco puede acceder a las respuestas una vez finalizada la encuesta.
5. Entre las preguntas que integraban la encuesta figuran las siguientes:
- Pregunta 6. Identidad territorial. Personalmente se siente...(Leer opciones):
Solo valenciano? Mas valenciano que español? Tan valenciano como español? Más español que valenciano? Sólo español? Ns/Nc.
- Pregunta 8. Definición religiosa del encuestado. ¿Cómo se define Vd en materia religiosa? Leer opciones:
Católico /a practicante.
Católico no practicante.
Creyente de otra religión.
No creyente.
Ateo/a.
N.C. (No contesta).
- Pregunta 9. Comportamiento lingüístico. En general, respecto al valenciano ¿Vd Personalmente? (leer opciones):
Solo habla valenciano.
Habla valenciano siempre o casi siempre y en ocasiones el castellano.
Habla por igual valenciano y castellano.
Habla castellano siempre o casi siempre y en ocasiones el valenciano.
Habla otro idioma Ns/Nc.
- Pregunta 11. Utilización del valenciano en las Fallas. De las siguientes opciones que le leo ¿Cuál es su opinión sobre la utilización del valenciano en las fiestas de las Fallas? Opciones:
El valenciano debería ser la lengua vehicular (única) de las Fallas.
El valenciano debería tener mayor presencia que la actual en las Fallas.
El valenciano debería tener la misma presencia que la actualidad en las Fallas.
El valenciano debería tener menor presencia que la actual en las Fallas.
El valenciano debería tener una escasa presencia en las Fallas.
- Pregunta 23. Con que partido o coalición de partidos políticos se siente más identificado y también se le pregunta por el partido o coalición que le gustaría que ganase ante unas elecciones al Ayuntamiento de Valencia, figurando una relación de partidos, otros partidos/coaliciones, ninguno y como última opción, NS/NC.
- Pregunta 24. Se dice que para expresar el grado de acuerdo con una serie de ideas, que se sitúe en una escala del 1 al 10, siendo 1 extrema izquierda y 10 extrema derecha, contemplándose también la opción NS/NC.
6. Al finalizar la encuesta, la aplicación solicitaba nombre, dirección y teléfono móvil del encuestado, siendo solo el dato de teléfono móvil un campo obligatorio. En caso de no querer facilitar este dato el encuestado, se rellenaba con números al azar o el número de la oficina de Invest, debido a que no se obliga al encuestado a facilitarlo y a que la aplicación no permitía finalizar la encuesta si no se rellena ese campo del teléfono móvil.
Estos datos se recababan al objeto de poder cumplir con la obligación de supervisión del 15% de las encuestas, que se realizaba llamando telefónicamente al número de teléfono móvil facilitado, y eliminando de los resultados de la encuesta las respuestas de cuestionarios no validados. En total se realizaron 169 llamadas de validación.
Realizada la encuesta, los datos quedan cifrados en el dispositivo móvil, hasta que son descargados en la oficina de Invest, borrándose del dispositivo.
7. Los datos de las respuestas de las encuestas eran incorporados en un fichero y los datos que pueden identificar a la persona (nombre, dirección, teléfono móvil) en otro fichero separado, de tal forma que los datos de cada encuesta realizada se almacenaban de forma disociada.
Se asocia un identificador de resultado de encuesta a cada una de ellas al objeto de poder eliminar las encuestas no validadas. Este identificador de resultado de encuesta se asocia asimismo a los datos identificativos de los que se dispone, a efectos de supervisión y validación de los resultados (cuando una persona es llamada durante la supervisión del 15% de las encuestas, y no reconoce haber realizado la encuesta, se revierte la disociación y la encuesta se elimina).
Durante la inspección realizada el 29 de junio de 2017 en las dependencias de la Delegación de Cultura Festiva del Ayuntamiento de Valencia con la asistencia, entre otros, de la Jefa de Servicio de Cultura Festiva de dicho Ayuntamiento y de la Directora de Invest Group, los inspectores de la AEPD solicitan a los representantes de Invest que les faciliten impresiones de pantalla de la estructura del fichero de resultados de las encuestas donde se muestra el campo CUEST_ID, así como del fichero de datos identificativos donde se muestra igualmente el campo CUEST_ID.
Los datos identificativos se borraron el 19 de junio de 2017.
8. Una vez realizadas las encuestas, Invest realizó un informe de resultados con cuatro bloques de información que incluyen estadísticas de los perfiles característicos de los falleros, valoración de la dimensión patrimonial de las fallas, opinión sobre otros aspectos de la fiesta de las fallas, y el perfil sociológico de la Comunidad Festiva. Este informe no contiene datos personales y es el producto que se facilita al Ayuntamiento.
TERCERO.- La actora esgrime en apoyo de su pretensión impugnatoria, en esencia, los siguientes alegatos:
- La voluntad del Ayuntamiento de cumplir con la normativa de protección de datos se evidencia con la suscripción de un contrato con una empresa especializada, Invest, con el fin de proteger los datos de carácter personal tratados en la encuesta y dar cumplimiento a lo dispuesto en el art. 12 de la LOPD, en el que adoptó todas las precauciones debidas, indicando que el censo facilitado a Invest fue con datos estadísticos anonimizados, habiendo realizado todas las previsiones que le exige la normativa de protección de datos.
- Inexistencia de datos especialmente protegidos, atendiendo a que las preguntas formuladas eran de libre respuesta; el limitado uso de los datos personales para la validación del 15% de las encuestas, pero en ningún caso para trazar al ciudadano con sus respuestas, quedando anonimizados desde el primer momento de la recogida.
- La responsabilidad, en su caso, es del encargado del tratamiento, en función de las obligaciones contractuales asumidas.
- Inexistencia de infracción de la LOPD, reiterando que el Ayuntamiento ha actuado con todo rigor, y que cuando se le reprocha no haber recogido en el contrato que el encargado del tratamiento pida el consentimiento por escrito, se está ignorando que ha exigido al encargado la obligación de adoptartodas las medidas precisas para un nivel alto de seguridad en la protección de los datos que se traten, sin que sea el Ayuntamiento responsable de actuación alguna susceptible de sanción.
El Abogado del Estado opone en la contestación a la demanda, que la responsabilidad última de la redacción del cuestionario corresponde al Ayuntamiento, conforme a lo dispuesto al folio 17 del expediente.
Indica que la encuesta afectaba a datos de ideología y religión de los encuestados, que son datos especialmente protegidos. Que los datos de las respuestas de las encuestas eran incorporados en un fichero y los datos que podían identificarlos (nombre, dirección, teléfono móvil) en otro, pero con el mismo identificador al objeto de poder eliminar las encuestas que no hayan sido validadas, por lo que existe un fichero de datos personales y se recoge información que durante un periodo de tiempo puede asociarse a personas físicas identificadas.
Sin embargo, esgrime, no consta que las personas físicas encuestadas prestaran su consentimiento expreso y por escrito para el tratamiento de sus datos en el ámbito de la citada encuesta, como preceptúa el artículo 7.2 de la LOPD, por lo que el Ayuntamiento como responsable del tratamiento ha infringido el citado precepto, ya que Invest trabajaba por cuenta y en nombre de dicho Consistorio, especificándose en el contrato suscrito que el encargado del tratamiento seguirá en todo momento las instrucciones que el Ayuntamiento le proporcione.
CUARTO.- A la vista del planteamiento de las partes, la cuestión suscitada se centra en dilucidar si se ha producido un tratamiento inconsentido de datos especialmente protegidos del artículo 7.2 de la LOPD y en su caso, si el Ayuntamiento recurrente es responsable de dicha infracción.
La infracción imputada a la parte actora, es la tipificada como muy grave en el artículo 44.4.b) LOPD, que considera como tal, "el tratar o ceder los datos de carácter personal a los que se refieren los apartados 2, 3 y 5 del artículo 7 de esta Ley salvo en los supuestos en que la misma lo autoriza o violentar la prohibición contenida en el apartado 4 del artículo 7".
Contempla el artículo 7 de la LOPD una categoría especial de datos personales a los que etiqueta bajo la denominación común de "Datos especialmente protegidos", también conocidos como datos sensibles, en cuanto se prevé para ellos una protección reforzada, pues por la información que expresan, al afectar a los aspectos más íntimos de la personalidad, deben ser objeto de una especial protección. Son datos delicados que contienen una información personal cualificada, ligada al núcleo fundamental de la persona, que configuran su personalidad y reciben el más alto nivel de protección establecido.
En concreto, establece el citado artículo 7, en sus apartados 1 y 2 lo siguiente:
" 1. De acuerdo con lo establecido en el apartado 2 del artículo 16 de la Constitución, nadie podrá ser obligado a declarar sobre su ideología, religión o creencias. Cuando en relación con estos datos se proceda a recabar el consentimiento a que se refiere el apartado siguiente, se advertirá al interesado acerca de su derecho a no prestarlo.
2. Sólo con el consentimiento expreso y por escrito del afectado podrán ser objeto de tratamiento los datos de carácter personal que revelen la ideología, afiliación sindical, religión y creencias (...)".
Es decir, se exige un consentimiento expreso y por escrito para el tratamiento de los datos de ideología y religión, reforzando así el consentimiento a prestar, pues lo que se trata es de no dejar resquicio alguno al respecto.
En el caso de autos, consta en el expediente -folio 6- que el objetivo genérico de la realización de un estudio sociológico sobre el colectivo fallero es radiografiar los perfiles y actitudes de sus integrantes, a partir de sus valoraciones en distintos temas como la cultura, la identidad, la ideología o la religión entre otros aspectos.
A tal fin, en la encuesta realizada se pregunta, entre otros temas, sobre la definición religiosa del encuestado, su autoubicación ideológica, etc, como se recoge en el Fundamento de Derecho segundo, de lo que se deriva un tratamiento de datos de ideología y religión o creencias de las personas que cumplimentaron la encuesta.
Por tanto, para el tratamiento de dichos datos de ideología y religión o creencias, debe concurrir un consentimiento "expreso y escrito" del afectado. Sin embargo, las comprobaciones realizadas por los Servicios de Inspección de la AEPD han acreditado que en las encuestas en que se recabaron datos personales de los encuestados no consta su consentimiento expreso mediante su firma, sin que tampoco figure en los formularios casilla alguna para que los encuestados pudieran manifestar su consentimiento expreso y por escrito.
Sostiene la actora, que no puede hablarse de datos especialmente protegidos porque las preguntas eran de libre respuesta, pero como ya dijimos en la SAN de 31 de enero de 2003 (Rec. 53472001) "aunque es cierto que fueron dados de forma voluntaria (....) se precisa, de acuerdo con el artículo 7.2 de la Ley 15/1999 el consentimiento "expreso y por escrito" del afectado para el tratamiento de los datos de carácter personal que releven la ideología, afiliación sindical, religión y creencia... En definitiva, no bastaba con el consentimiento tácito de los afectados, sino que estos datos a los que la Ley otorga una protección especial, precisan para su tratamiento el consentimiento expreso de la persona..." Señala también dicha parte, que las encuestas estaban anonimizadas, pero lo cierto es que los datos de las respuestas de las encuestas eran incorporados en un fichero y los que podían identificar al encuestado (nombre, dirección, teléfono móvil) en otro fichero separado, pero con un identificador que es el mismo en ambos ficheros, como se comprobó por los Servicios de Inspección de la AEPD. Ello al objeto de supervisión y validación de los resultados, (cuando una persona es llamada al número de teléfono móvil facilitado para la supervisión del 15% de las encuestas y no reconoce haber realizado la encuesta, se revierte la disociación y se eliminan de los resultados de la encuesta las respuestas de cuestionarios no validados), no revirtiéndose la disociación para ninguna otra finalidad.
Es decir, si bien la información recogida se registra en dos ficheros distintos, al tener un identificador común, puede asociarse a personas físicas identificadas, al menos hasta que se efectuaron las validaciones y se destruyó el fichero de datos personales.
Por tanto, se han tratado datos personales especialmente protegidos sin que conste el consentimiento expreso y escrito de los afectados, con vulneración del artículo 7.2 de la LOPD.
QUINTO.- Esgrime el Ayuntamiento que no es responsable de dicha infracción por cuanto ha realizado todas las previsiones que le exige la normativa de protección de datos, firmando un contrato para dar cumplimiento a lo establecido en el artículo 12 LOPD con una empresa especializada que está adherida y actúa conforme a un Código tipo de autorregulación de Asomar. Añade, que no puede reprochársele no haber recogido en el contrato que el encargado del tratamiento pida el consentimiento por escrito, cuando se le ha exigido la obligación de adoptar todas las medidas precisas para un nivel alto de seguridad en la protección de los datos que se trate.
Consta en el expediente -folios 48 y siguientes según el número manuscrito que consta en los mismos- el contrato suscrito en fecha 25 de abril de 2017 entre el Ayuntamiento de Valencia e Invest Group Investigación de Mercados S.L, denominado "Contrato de servicios de realización de estudios mediante encuestas sobre la percepción social del colectivo fallero con relación al proceso de patrimonialización de la fiesta de las Fallas".
Según dicho contrato (exponendos II y III), Invest actuará como encargado de tratamiento acorde al artículo 12 de la LOPD y realizará la encuesta acorde al contrato aprobado por el Ayuntamiento.
El artículo 12 de la LOPD, que lleva por título "Acceso a los datos por cuenta de terceros", regula las relaciones entre el responsable del fichero o tratamiento y el encargado de tratamiento y permite que el responsable del tratamiento habilite el acceso material a datos de carácter personal por parte de la entidad que va a prestarle un servicio -encargado del tratamiento-, sin que por mandato expreso de la Ley, pueda considerarse dicho acceso como una cesión inconsentida de datos.
La cláusula primera del citado contrato, referente al "OBJETO", recoge que el contrato tiene por objeto establecer las condiciones conforme el Encargado del Tratamiento durante la prestación de los Servicios, realizará el tratamiento de los datos personales necesarios " para llevar a cabo la encuesta confeccionada por el AYUNTAMIENTO". Consta que el servicio se concreta en la realización de 1100 encuestas personales, con cuestionario de estructura cerrada, adaptación del cuestionario a la estructura digital para recogida de la información, supervisión de al menos un 15% de las encuestas realizadas, depuración y codificación de cuestionarios, informe de resultados valenciano y castellano.
Cláusula que está en línea con la propuesta de "Estudio sociológico sobre el colectivo fallero en Valencia" formulada por Invest, donde consta - folio 17 del expediente- que corresponde a la empresa " la elaboración del cuestionario, en coordinación con los responsables del Plan Estratégico de las Fallas". Es decir, corresponde al Ayuntamiento la responsabilidad última de la redacción del cuestionario.
En el contrato se especifican las obligaciones del encargado del tratamiento, cláusula quinta, estableciéndose que seguirá en todo momento las instrucciones que el Ayuntamiento le proporcione, entre las que no figura la de obtener el consentimiento expreso y por escrito de los afectados para el tratamiento de sus datos de ideología y religión o creencias como exige el citado artículo 7.2 de la LOPD.
El hecho de que en dicha cláusula quinta se establezca que las medidas de seguridad que corresponden a la naturaleza de los datos tratados son las de nivel alto, no exime de la exigencia por parte del responsable al encargado del tratamiento de recabar el consentimiento expreso y escrito de los afectados para el tratamiento de sus datos personales de ideología y religión o creencias, sin que pueda entenderse englobada la exigencia de dicho consentimiento en la adopción de medidas de seguridad de nivel alto.
Téngase en cuenta que el Ayuntamiento de Valencia ostenta en dicho contrato la condición de responsable del tratamiento, esto es, quien decide sobre la finalidad, contenido y uso del tratamiento según la definición del artículo 3.d) de la LOPD), constando acreditado que el Ayuntamiento resolvió sobre la celebración de la encuesta, el perfil del encuestado, las materias sobre las que se iba a preguntar, el contenido concreto del cuestionario etc, y pese a saber que se trataban datos especialmente protegidos, no dio instrucciones al encargado del tratamiento para que recabara el consentimiento expreso y por escrito del encuestado para el tratamiento de dichos datos.
Por tanto, independientemente de quien recabó y trató los datos contenidos en la encuesta, que durante un periodo de tiempo estaban ligados a datos personales, como señala la resolución recurrida, el responsable del tratamiento inconsentido de datos especialmente protegidos es el Ayuntamiento, ya que Invest trabajaba o actuaba por cuenta y en nombre de dicho Consistorio. Y precisamente como responsable del tratamiento le incumbía asegurarse que se llevaba cabo según la normativa de protección de datos, por lo que debió dar las instrucciones correspondientes a Invest para que el tratamiento de dichos datos especialmente protegidos se efectuara con el consentimiento expreso y por escrito de los afectados, lo que no hizo.
Finalmente añadir, que el invocado por la actora apartado 7 de la cláusula quinta del contrato no establece una exención de responsabilidad al responsable del tratamiento, en lo que aquí nos interesa, pues dicho apartado se circunscribe a recoger la obligación del encargado del tratamiento de " Conservar debidamente bloqueados, los datos en tanto pudieran derivarse responsabilidades de su relación con el responsable del tratamiento", lo que carece de incidencia en la cuestión debatida.
SEXTO.- Considera la actora que no existe infracción del artículo 44.4.b) de la LOPD, pues el Ayuntamiento ha actuado con absoluto respeto a las normas de protección de datos, cumpliendo lo establecido en el artículo 12 de la LOPD, sin que quepan interpretaciones extensivas en el ámbito sancionador.
Ahora bien, como ya se ha dicho, Invest actúa por cuenta y en nombre del Ayuntamiento, como encargado del tratamiento, tal y como figura en el contrato suscrito en fecha 25 de abril de 2017, y se obliga a tratar los datos conforme a las instrucciones que el Ayuntamiento le proporcione, que ostenta la condición de responsable del tratamiento. Por lo que en dicha condición, corresponde al Ayuntamiento asegurarse que el tratamiento de los datos de ideología y religión o creencias, en atención a la naturaleza de dichos datos, se realiza con el consentimiento expreso y por escrito de los afectados exigido por el artículo 7.2 de la LOPD y a tal fin debió impartir las correspondientes instrucciones a Invest.
Téngase en cuenta, que el artículo 12.2 de la LOPD establece que la realización de tratamiento por cuenta de terceros deberá estar regulada en un contrato, en el que se establezca que el encargado del tratamiento únicamente tratara los datos conforme a las instrucciones del responsable del tratamiento etc. Instrucciones que lógicamente estarán en función de las circunstancias de cada caso.
Sin embargo, en el supuesto de autos, el responsable del tratamiento que resolvió sobre la celebración de la encuesta, el perfil del encuestado, las materias sobre las que se iba a preguntar, el contenido concreto del cuestionario etc, no impartió instrucción alguna a Invest, como era su obligación, para que recabara el consentimiento expreso y por escrito de los afectados para el tratamiento de sus datos de ideología y religión o creencias, por lo que ha incurrido en la infracción apreciada por la resolución recurrida, sin que quepa hablar de interpretación extensiva de la norma.
Por otro lado, respecto a la invocada ausencia de culpabilidad, recordar que el principio de culpabilidad que como señaló la STC 246/1991, de 19 de diciembre, constituye un principio estructural básico del Derecho administrativo sancionador, aparece reconocido en el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público al disponer que: " Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas o jurídicas (...) que resulten responsables de los mismos a título de dolo o culpa".
A lo expuesto debe añadirse, siguiendo las SS.TS. de 9 de octubre de 2009 (Rec. 5.285/2005) y de 23 de octubre de 2010 (Rec. 1.067/2006), que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa".
En el caso de autos, concurre también una conducta culpable por parte del Ayuntamiento de Valencia.
Conducta que configura el ilícito administrativo - artículo 44.4.b) LOPD, en relación con el artículo 7.2 de la misma- que requiere la existencia de culpa y se concreta en el tratamiento de datos de ideología y religión o creencias sin el consentimiento expreso y por escrito de los afectados. Falta de diligencia que configura el elemento de culpabilidad de la infracción administrativa y resulta imputable a la parte recurrente, al que correspondía asegurarse que el tratamiento de datos especialmente protegidos de los afectados se llevaba a cabo con el consentimiento expreso y por escrito de los afectados, debiendo haber otorgado a tal fin las instrucciones correspondientes al encargado del tratamiento.
El hecho de que Invest esté adherida al Código Tipo de autorregulación Asomar para la práctica de la investigación de Mercados, Opinión Social y del análisis de Datos, carece de la trascendencia que pretende la actora, al no eximirla del cumplimiento de la citada obligación.
Por todo lo cual, y en definitiva, el recurso contencioso administrativo debe ser desestimado.
SÉPTIMO.- La desestimación del recurso conlleva la imposición de costas a la recurrente ex artículo 139.1 de la Ley de la Jurisdicción.
Vistos los artículos citados y demás de general aplicación.
FALLAMOS
DESESTIMAR el recurso contencioso-administrativo interpuesto por el AYUNTAMIENTO DE VALENCIA representado por el Procurador de los Tribunales Sr. Sorribes Calle, frente a la resolución de la Directora de la Agencia Española de Protección de Datos de fecha 22 de enero de 2018 (AP/00036/2017); con imposición de costas a la actora.
La presente sentencia es susceptible de recurso de casación ante el Tribunal Supremo que deberá prepararse ante esta Sala en el plazo de 30 días contados desde el siguiente al de su notificación; en el escrito de preparación del recurso deberá acreditarse el cumplimiento de los requisitos establecidos en el artículo 89.2 de la Ley de la Jurisdicción justificando el interés casacional que presenta.
Así por esta nuestra sentencia, lo pronunciamos, mandamos y firmamos.
PUBLICACIÓN.- Dada, leída y publicada fue la anterior Sentencia en Audiencia Pública. Doy fe.
