STS, 15 de Julio de 2010

Por la representación procesal de Experian Bureau de Crédito, S.A., se interpuso recurso contencioso administrativo contra el Real Decreto 1720/07, el cual fue admitido por la Sala, motivando la publicación del preceptivo anuncio en el Boletín Oficial del Estado y la reclamación del expediente administrativo que, una vez recibido se entregó al Procurador Don José Andrés Cayuela Castillejo, para que, en la representación que ostenta, formalizase la demanda dentro del plazo de veinte días, lo que verificó con el oportuno escrito en el que, después de exponer los hechos y alegar los fundamentos de derecho que estimó oportunos, terminó suplicando que: "... tras la legal substanciación del proceso, declare nulos de pleno derecho los siguientes artículos del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal:

1. El inciso > en la rúbrica de la Sección 2ª del Capítulo I del Título IV.

2. El inciso > en el artículo 39. C) El inciso > en el artículo 38.1 a).

4. El artículo 41.1, párrafo segundo .

5. El inciso > del párrafo primero del art. 42.2 y todo el párrafo segundo del art. 42.2 ."

El Abogado del Estado se opuso a la demanda con escrito en el que, después de exponer los hechos y fundamentos de derecho que estimó procedentes, terminó suplicando a la Sala que dicte sentencia "... que desestime el presente recurso contencioso administrativo en su integridad por ser los artículos recurridos del citado RLOPD, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, plenamente conformes a derecho" .

Por auto de fecha 1 de abril de 2009 se acordó el recibimiento a prueba del recurso por término de treinta días comunes a las partes para proponer y practicarla, verificándose la realización de las que fueron admitidas con el resultado que se recoge en las actuaciones.

Acordándose sustanciar este pleito por conclusiones sucintas, se concedió a las partes el término sucesivo de quince días cumplimentándolos con sus respectivos escritos en los que tras alegar lo que estimaron conveniente, terminaron dando por reproducidas las súplicas de demanda y contestación.

Conclusas las actuaciones, se señaló para votación y fallo la audiencia del día VEINTISEIS DE MAYO DE DOS MIL DIEZ, en cuyo acto tuvo lugar su celebración.

Siendo Ponente el Excmo. Sr. D. Juan Carlos Trillo Alonso, .

Es objeto de impugnación en el presente recurso contencioso administrativo el Real Decreto 1720/07, de 22 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal .

Concretamente la impugnación se dirige contra los siguientes artículos: 38.1.a); 39; 41.1, párrafo segundo, y 42.2, párrafos primero y segundo. También se impugna en el escrito de demanda la rúbrica de la Sección Segunda, del Capítulo I, del Título IV.

Previamente al examen singular de las normas reglamentarias cuya declaración de nulidad se insta en el suplico del escrito de demanda, por razones de método, parece oportuno exteriorizar algunas consideraciones que en gran medida han de servir de pauta interpretativa en la exégesis de las disposiciones reglamentarias impugnadas.

En cuanto la Ley Orgánica 15/1999, de 13 de diciembre, al igual que la anterior 5/1992, de 29 de octubre, es desarrollo del artículo 18.4 de la Constitución, en el que se previene que "La Ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos", debe quedar fuera de toda duda que dicho precepto necesariamente ha de servir de instrumento interpretativo a la hora de analizar el alcance no solo de los preceptos de la Ley sino también de los del Reglamento que con el presente recurso se impugnan.

Y al respecto es obligado constatar que el constituyente, con la redacción del artículo 18.4, estableció la necesidad de que una futura ley impusiera limitaciones a eventuales abusos provenientes del uso de la informática, extendido posteriormente a tratamientos manuales, y ello con la finalidad de garantizar el derecho constitucional al honor y a la intimidad personal y familiar de los ciudadanos y al pleno uso de sus derechos (art. 18.4 CE ).

El precepto pretende, como ya tuvo oportunidad de decir el Tribunal Constitucional, proteger la libertad del individuo frente a las potenciales agresiones a la dignidad y a la libertad provenientes del uso ilegítimo de datos mecanizados (STC 254/93, de 20 de julio ).

En el sentido expuesto el artículo 1 de la Ley Orgánica 15/1999 expresa que "La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar" . Y en parecidos términos se pronuncia el artículo 1 de la Directiva 95/46 / CE, de 24 de octubre, al decir, en su apartado 1, que "Los estados miembros garantizarán, con arreglo a las disposiciones de la presente Directiva, la protección de las libertades y de los derechos fundamentales de las personas físicas, y, en particular, del derecho a la intimidad, en lo que respecta al tratamiento de datos personales" .

Al respecto interesa resaltar que el derecho a la protección de datos de carácter personal es reconocido con el carácter indicado en el artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea 2000/C 364/1, previniendo en el apartado 2 que "Estos datos se tratarán de modo leal, para fines concretos y sobre la base del consentimiento de la persona afectada o en virtud de otro fundamento legítimo previsto por la ley", y que "Toda persona tiene derecho a acceder a los datos recogidos que la conciernan y a su rectificación".

De los artículos de mención fácil resulta inferir que tanto la Directiva como la Ley regulan el derecho a la circulación de datos personales en función del nivel de protección que exigen las libertades públicas y los derechos fundamentales de las personas; en definitiva, marcar las reglas que han de regir los conflictos que pueden surgir entre los expresados derechos.

En sentencia del Pleno del Tribunal Constitucional nº 292/2000, de 30 de noviembre, se expresa que "... con la inclusión del vigente art. 18.4 CE el constituyente puso de relieve que era consciente de los riesgos que podría entrañar el uso de la informática y encomendó al legislador la garantía tanto de ciertos derechos fundamentales como del pleno ejercicio de los derechos de la persona. Esto es, incorporando un instituto de garantía >, pero que es también, > (STC 254/1993, de 20 de julio, F.6 )" y que "La garantía de la vida privada de la persona y de su reputación poseen hoy una dimensión positiva que excede del ámbito propio del derecho fundamental a la intimidad (art. 18.1 CE ), y que se traduce en un derecho de control sobre los datos relativos a la propia persona. La llamada > es así derecho a controlar el uso de los mismos datos insertos en un programa informático ( >) y comprende, entre otros aspectos, la oposición del ciudadano a que determinados datos personales sean utilizados para fines distintos de aquel legítimo que justificó su obtención (SSTC 11/1998, F.5, 94/1998, F.4 .)" .

Continúa diciendo el Tribunal Constitucional en la sentencia de referencia que "Este derecho fundamental a la protección de datos, a diferencia del derecho a la intimidad del art. 18.1 CE, con quien comparte el objetivo de ofrecer una eficaz protección constitucional de la vida privada personal y familiar, atribuye a su titular un haz de facultades que consiste en su mayor parte en el poder jurídico de imponer a terceros la realización y omisión de determinados comportamientos cuya concreta regulación debe establecer la Ley, aquella que conforme al art. 18.4 CE debe limitar el uso de la informática, bien desarrollando el derecho fundamental a la protección de datos (art. 81.1 CE ), bien regulando su ejercicio (art. 53.1 CE ). La peculiaridad de este derecho fundamental a la protección de datos respecto de aquel derecho fundamental tan afín como es el de la intimidad radica, pues, en su distinta función, lo que apareja, por consiguiente, que también su objeto y contenido difieran" y precisa en su fundamento jurídico 11 sus límites al expresar que "... el derecho a la protección de datos no es ilimitado, y aunque la Constitución no le imponga expresamente límites específicos, ni remita a los Poderes Públicos para su determinación como ha hecho con otros derechos fundamentales, no cabe duda de que han de encontrarlos en los restantes derechos fundamentales y bienes jurídicos constitucionalmente protegidos, pues así lo exige el principio de unidad de la Constitución (SSTC 11/1981, de 8 de abril, F.7; 196/1987, de 11 de diciembre, F.6 ; y respecto del art. 18, la STC 110/1984, F.5 ). Esos límites o bien pueden ser restricciones directas del derecho fundamental mismo, a las que antes se ha aludido, o bien pueden ser restricciones al modo, tiempo o lugar de ejercicio del derecho fundamental. En el primer caso, regular esos límites es una forma de desarrollo del derecho fundamental. En el segundo, los límites que se fijan lo son a la forma concreta en la que cabe ejercer el haz de facultades que compone el contenido del derecho fundamental en cuestión, constituyendo una manera de regular su ejercicio, lo que puede hacer el legislador ordinario a tenor de lo dispuesto en el art. 53.1 CE. La primera constatación que debe hacerse, que no por evidente es menos capital, es que la Constitución ha querido que la Ley, y sólo la Ley, pueda fijar los límites a un derecho fundamental. Los derechos fundamentales pueden ceder, desde luego, ante bienes, e incluso intereses constitucionalmente relevantes, siempre que el recorte que experimenten sea necesario para lograr el fin legítimo previsto, proporcionado para alcanzarlo y, en todo caso, sea respetuoso con el contenido esencial del derecho fundamental restringido (SSTC 57/1994, de 28 de febrero, F.6; 18/1999, de 22 de febrero, F2)." .

A diferencia de los Reglamentos, con incuestionable alcance general normativo inmediato en los Estados miembros, con carácter obligatorio en todos ellos, expresamente reconocido en el artículo 249 de la versión consolidada del Tratado Constitutivo de la Comunidad Europea y, por ello, de aplicación prevalente con respecto a cualquiera disposición general interna, las Directivas obligan al Estado miembro destinatario, siguiendo el precepto citado del Tratado, "en cuanto el resultado que deba conseguirse, dejando, sin embargo, a las autoridades nacionales la elección de la forma y de los medios" . No tienen por regla general efecto directo y sí la de armonizar o aproximar la legislación de los países de los Estados miembros, condicionando así la labor legislativa de éstos. Solo en aquellos casos en que el Estado miembro no haya introducido en su legislación el resultado pretendido por la Directiva, podría reconocerse, en atención a la definición del artículo 249 del Tratado, un efecto directo a la Directiva.

El retraso en la transposición de una Directiva por los Estados miembros puede tener trascendencia en cuanto, en virtud del llamado efecto útil, que impide que un Estado pueda oponer a los particulares el incumplimiento de las obligaciones que la Directiva impone (sentencias del Tribunal de Justicia de las Comunidades Europeas de 4 de diciembre de 1974 -asunto 41/74, Van Duyn-, 5 de abril de 1979 -asunto 148/1978, Ratti-, 19 de enero de 1982 -asunto 8/1981, Becker-, 10 de septiembre de 2002, -asunto 145/2000, Kügler-), puede considerarse aplicable directamente.

A la necesidad de coordinar o aproximar las legislaciones de los Estados miembros en la concreción del nivel de protección de los derechos y libertades de las personas con relación al tratamiento de datos personales hace mención el "considerando 8" de la Directiva 95/46 /CE, expresando que "... para eliminar los obstáculos a la circulación de datos personales, el nivel de protección de los derechos y libertades de las personas, por lo que se refiere al tratamiento de dichos datos, debe ser equivalente en todos los Estados miembros; que ese objetivo, esencial para el mercado interior, no puede lograrse mediante la mera actuación de los Estados miembros, teniendo en cuenta, en particular, las grandes diferencias existentes en la actualidad entre las legislaciones nacionales aplicables en la materia y la necesidad de coordinar las legislaciones de los Estados miembros para que el flujo transfronterizo de datos personales sea regulado de forma coherente y de conformidad con el objetivo del mercado interior definido en el art. 7 A del Tratado; que, por tanto, es necesario que la Comunidad intervenga para aproximar las legislaciones", para admitir a continuación en el "considerando 9" un cierto grado de maniobra de los Estados miembros al decir que "... a causa de la protección equivalente que resulta de la aproximación de las legislaciones nacionales, los Estados miembros ya no podrán obstaculizar la libre circulación entre ellos de datos personales por motivos de protección de los derechos y libertades de las personas físicas, y, en particular, del derecho a la intimidad; que los Estados miembros dispondrán de un margen de maniobra del cual podrán servirse, en el contexto de la aplicación de la presente Directiva, los interlocutores económicos y sociales; que los Estados miembros podrán, por tanto, precisar en su derecho nacional las condiciones generales de licitud del tratamiento de datos; que al actuar así, los Estados miembros procurarán mejorar la protección que proporciona su legislación en la actualidad; que dentro de los límites de dicho margen de maniobra y de conformidad con el Derecho comunitario, podrán surgir disparidades en la aplicación de la presente Directiva, y que ello podrá tener repercusiones en la circulación de datos tanto en el interior de un Estado miembro como en la Comunidad", y concluir en el 10, que "... las legislaciones nacionales relativas al tratamiento de datos personales tienen por objeto garantizar el respeto de los derechos y libertades fundamentales, particularmente del derecho al respeto de la vida privada reconocido en el art. 8 del Convenido Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales, así como en los principios generales del Derecho comunitario; que, por lo tanto, la aproximación de dichas legislaciones no debe conducir a una disminución de la protección que garantizan sino que, por el contrario, debe tener por objeto asegurar un alto nivel de protección dentro de la Comunidad" .

Para afirmar que el alcance del control judicial del ejercicio de la actividad reglamentaria viene delimitado por una reiterada jurisprudencia de la que es claro exponente la de 10 de marzo de 2009, dictada en el recurso contencioso administrativo nº 85/2007. Dice así en su fundamento de derecho segundo:

"Planteándose en este recurso el control judicial del ejercicio de la potestad reglamentaria, conviene señalar que tal actividad reglamentaria está subordinada a la Ley en sentido material (arts. 97 CE, 51 Ley 30/92 y 23 Ley 50/97 ), en cuanto no podrán regularse reglamentariamente materias objeto de reserva de ley, material y formal, y sin perjuicio de la función de desarrollo o colaboración con respecto a la Ley, los reglamentos no pueden abordar determinadas materias, como las que indica el citado artículo 23 de la Ley 50/97, de 27 de noviembre, del Gobierno (tipificar delitos, faltas o infracciones administrativas, establecer penas o sanciones, así como tributos, cánones u otras cargas o prestaciones personales o patrimoniales de carácter público).

Desde el punto de vista formal el ejercicio de la potestad reglamentaria ha de sujetarse al procedimiento de elaboración legalmente establecido (arts. 24 y 25 Ley 50/97 ), con respeto al principio de jerarquía normativa y de inderogabilidad singular de los reglamentos, así como la publicidad necesaria para su efectividad (art. 9.3 CE ), según establece el art. 52 de la Ley 30/92 .

Las delimitaciones sustantivas y formales de la potestad reglamentaria determinan el ámbito del control judicial de su ejercicio, atribuido por el art. 106 de la Constitución, en relación con el art. 26 de la Ley 50/97 y el art. 1 de la Ley 29/98 a la Jurisdicción Contencioso Administrativa, lo que se plasma en el juicio de legalidad de la disposición general en atención a las referidas previsiones de la Constitución y el resto del ordenamiento, que incluye los principios generales del Derecho (interdicción de la arbitrariedad, proporcionalidad,...), y que conforman las referidas exigencias sustantivas y formales a las que ha de sujetarse, cumplidas las cuales, queda a salvo y ha respetarse la determinación del contenido y sentido de la norma, que corresponde al titular de la potestad reglamentaria que se ejercita y que no puede sustituirse por las valoraciones subjetivas de la parte o del propio Tribunal que controla la legalidad de la actuación, como resulta expresamente del artículo 71.2 de la Ley reguladora de esta Jurisdicción, que aun en el supuesto de anulación de un precepto de una disposición general no permite determinar la forma en que ha de quedar redactado el mismo.

Este alcance del control judicial del ejercicio de la potestad reglamentaria se recoge en la sentencia de 28 de junio de 2004, según la cual: reglamentos (art. 52.2 de la Ley 30/1992 ; LRJ y PAC, en adelante); y el procedimiento de elaboración de reglamentos, previsto en el artículo 105 CE y regulado en el artículo 24 de la Ley 50/97. Y se entiende que son exigencias y límites materiales, que afectan al contenido de la norma reglamentaria, la reserva de ley, material y formal, y el respeto a los principios generales del Derecho. Pues, como establece el artículo 103 CE, la Administración está sometida a la Ley y al Derecho; un Derecho que no se reduce al expresado en la Ley sino que comprende dichos Principios en su doble función legitimadora y de integración del ordenamiento jurídico, como principios técnicos y objetivos que expresan las ideas básicas de la comunidad y que inspiran dicho ordenamiento.

En nuestra más reciente jurisprudencia se ha acogido también, de manera concreta, como límite de la potestad reglamentaria la interdicción de la arbitrariedad, establecida para todos los poderes públicos en el artículo 9.3 CE . Principio que supone la necesidad de que el contenido de la norma no sea incongruente o contradictorio con la realidad que se pretende regular, ni con la "naturaleza de las cosas" o la esencia de las instituciones.

Ahora bien, respetadas tales exigencias, el Gobierno, titular de la potestad reglamentaria (art. 97 CE y 23 de la Ley del Gobierno, Ley 50/1997, de 27 de noviembre ), puede utilizar las diversas opciones legítimas que permite la discrecionalidad que es inherente a dicha potestad. O, dicho en otros términos, nuestro control jurisdiccional, en el extremo que se analiza, se extiende a la constatación de la existencia de la necesaria coherencia entre la regulación reglamentaria y la realidad sobre la que se proyecta, pero no alcanza a valorar, como no sea desde el parámetro del Derecho, los distintos intereses que subyacen en el conflicto que aquélla trata de ordenar, careciendo este Tribunal de un poder de sustitución con respecto a la ponderación efectuada por el Gobierno. Y ni siquiera procede declarar la invalidez de la norma por razón de la preferencia que de aquellos intereses refleje la disposición reglamentaria, como no suponga una infracción del ordenamiento jurídico, aunque sea entendido en el sentido institucional con que es concebido tradicionalmente en el ámbito de esta jurisdicción (arts. 83 de la Ley de la Jurisdicción de 1956, y 70 y 71 de la Ley de 1998 ), y que se corresponde con el sentido del citado artículo 9 de la Constitución (Cfr . SSTS 26 de febrero y 17 de mayo de 1999, 13 de noviembre, 29 de mayo y 9 de julio de 2001, entre otras)>>."

En aplicación de la doctrina expuesta debe admitirse que las disposiciones reglamentarias no solo pueden sino que deben incidir en todo aquello que resulte indispensable para asegurar la correcta aplicación y la plena efectividad de la ley que desarrollan.

El reglamento ejecutivo no puede, sin duda, instaurar "ex novo" o agravar cargas y obligaciones no previstas en la ley que desarrolla, debiendo limitarse a establecer, sin ampliar el ámbito de la ley, aquellas normas indispensables que, bien por motivos técnicos, bien para optimizar el cumplimiento de aquella, sean precisas para asegurar la efectividad de esta. En ningún caso pueden limitar derechos, facultades o posibilidades contenidas en la Ley misma, pero su naturaleza de complemento indispensable para la aplicación de la ley habilita para que incluyan además de normas de organización y procedimiento, aquellas otras que complementen disposiciones vagas o imprecisas o enunciadas en la ley solo a nivel de principios.

El Reglamento impugnado es un Reglamento de desarrollo o ejecución que viene a dar respuesta a la habilitación genérica prevista en la disposición final primera de la Ley 15/1999, en la que se dice, bajo el epígrafe "Habilitación para el desarrollo reglamentario", que "El Gobierno aprobará o modificará las disposiciones reglamentarias necesarias para la aplicación y desarrollo de la presente Ley" . Pero también responde a concretas remisiones o habilitaciones legales específicas, como son las de los artículos 4,5, párrafo tercero, 9.3, 20.1, 26.2, 37.2, párrafo segundo, 38, 39.3, 45.7, 48.1 y las de la disposición transitoria segunda .

Hechas las consideraciones precedentes procede entrar a examinar las concretas disposiciones que del Reglamento son objeto de impugnación por la recurrente, comenzando por la rúbrica de la Sección Segunda del Capítulo I, del Título IV, que, relativa a los ficheros de información sobre solvencia patrimonial y crédito, dice así: "Tratamiento de datos relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés" .

Sostiene la recurrente que interpretada la rúbrica literalmente y en conjunción con el resto de la norma, hace imposible el tratamiento en un fichero de insolvencia privado de datos positivos sin consentimiento del interesado, cuando a su juicio es evidente que la Ley Orgánica permite dicho tratamiento sin necesidad del consentimiento.

La impugnación está abocada al fracaso con solo tener en consideración que el epígrafe o rúbrica de la Sección, al carecer de efectos normativos, no puede ser impugnada. Pero es que además a igual solución conduce la aplicación al caso enjuiciado de la doctrina jurisprudencial delimitadora del alcance de la potestad jurisdiccional que corresponde cuando, como aquí sucede, se denuncia una omisión reglamentaria, cual es la ausencia de regulación en la Sección de los ficheros positivos.

La sentencia de este Tribunal de 28 de junio de 2004, supone una superación de aquella doctrina jurisprudencial que, en atención al carácter revisor de la Jurisdicción y en consideración a que la potestad reglamentaria es una facultad político- normativa de carácter discrecional, negaba o limitaba en gran medida el enjuiciamiento de una omisión normativa. Superada esa concepción, con fundamento en que en el ejercicio de la potestad reglamentaria son diferenciables aspectos reglados y discrecionales, debe reconocerse, y así se hace en la sentencia citada, que "no es rechazable ad limine, sin desnaturalizar la función jurisdiccional, una pretensión de condena a la Administración a elaborar y promulgar una disposición reglamentaria o que esta tenga un determinado sentido, porque el pronunciamiento judicial, en todo caso de fondo, dependerá de la efectiva existencia de una obligación o deber legal de dictar una norma de dicho carácter en un determinado sentido" .

Concluye la sentencia referencia que "únicamente es apreciable una ilegalidad omisiva controlable en sede jurisdiccional cuando el silencio del Reglamento determina la implícita creación de una situación jurídica contraria a la Constitución o al ordenamiento jurídico, o, al menos, cuando siendo competente el órgano titular de la potestad reglamentaria para regular la materia de que se trata, la ausencia de la previsión reglamentaria supone el incumplimiento de una obligación legal establecida por la Ley o la Directiva que el Reglamento trata de desarrollar y ejecutar o de trasponer" .

Y es que en efecto, en aplicación de la doctrina precedentemente expuesta, mal puede sostenerse que la omisión que se imputa al Reglamento sea controlable en sede jurisdiccional. Ni la omisión crea una situación jurídica contraria a la Constitución o a la Ley, pues ni siquiera permite afirmar que implícitamente la omisión supone la negativa a la existencia de los ficheros positivos o de solvencia, ni admitiendo la competencia del Consejo de Ministros para que por vía reglamentaria desarrollara la previsión legal, es posible observar la existencia de una norma de esta naturaleza que imponga la obligación de desarrollo normativo.

No se discute por la Administración demandada, y tampoco se cuestiona por este Tribunal, la relevancia de los ficheros de carácter positivo o de solvencia, lo que afirmamos con las consideraciones precedentes es que la omisión reglamentaria no supone, contrariamente a lo que sostiene la recurrente, una prohibición de los ficheros positivos.

Aunque lo hasta aquí expuesto es motivación suficiente para el rechazo de la impugnación objeto de examen, en respuesta a la argumentación de la recurrente relativa a que el artículo 29.2 de la Ley Orgánica permite la creación de ficheros positivos sin consentimiento de los afectados, indicar que la afirmación de referencia es fruto de una interpretación errónea del citado artículo 29 .

Con el título "Prestación de servicios de información sobre solvencia patrimonial y crédito", los apartados 1 y 2 del precepto legal dicen así:

" 1. Quienes se dediquen a la prestación de servicios de información sobre la solvencia patrimonial y el crédito sólo podrán tratar datos de carácter personal obtenidos de los registros y las fuentes accesibles al público establecidos al efecto o procedentes de informaciones facilitadas por el interesado o con su consentimiento.

2. Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley."

La lectura de dichos apartados permite concluir, en una interpretación lógico-sistemática de los mismos, que el apartado 1 se está refiriendo a los ficheros positivos o de solvencia patrimonial, exigiéndose para el tratamiento de los datos su obtención de los registros y fuentes accesibles al público o de las informaciones facilitadas por el propio interesado o con su consentimiento y que el apartado 2 hace mención a los ficheros negativos o de incumplimiento, como sin dificultad se infiere, pese a la referencia al "cumplimiento o incumplimiento de las obligaciones", de que se trata de datos facilitados por el acreedor o por quien actúe por su cuenta e interés. Lo que no resulta admisible son los ficheros positivos prescindiendo del consentimiento del afectado.

Del artículo 38 impugna la recurrente el apartado 1 .a), pero única y exclusivamente la referencia que en su texto se hace a la reclamación administrativa o a la prevista en el Reglamento de los Comisionados aprobado por Real Decreto 303/2004, de 20 de febrero .

Ubicado el precepto en la Sección Segunda del Capítulo I del Título II, bajo el título "Requisitos para la obtención de los datos", en él se establecen aquellos que son necesarios para la obtención de los de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, exigiendo en el apartado 1.a) la "Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada y respecto de la cual no se haya entablado reclamación judicial, arbitral o administrativa, o tratándose de servicios financieros, no se haya planteado una reclamación en los términos previstos en el Reglamento de los Comisionados para la defensa del cliente de servicios financieros, aprobado por Real Decreto 303/2004, de 20 de febrero " .

Afirma la recurrente que nada tiene que alegar respecto a la imposibilidad de incluir deudas en ficheros de morosidad cuando existe "una reclamación judicial o arbitral", pero que es a todas luces excesivo que con una mera reclamación del deudor ante un órgano administrativo o ante un comisionado de los previstos en el Real Decreto 303/2004, se pueda evitar la inclusión en el fichero. Partiendo de la consideración de que ningún órgano administrativo es competente para decidir sobre una cuestión que corresponde a la jurisdicción civil, de que los comisionados de mención carecen de funciones ejecutivas y de que sus dictámenes carecen de efectos vinculantes para la entidad financiera, sostiene que a diferencia de lo que ocurre cuando se presenta una demanda ante un órgano jurisdiccional -por error refiere "ante un tribunal administrativo" - o arbitral, las reclamaciones ante órganos administrativos o comisionados no es indicio de ninguna disputa real. Y advierte de la facilidad y gratuidad de tales reclamaciones.

Aunque la argumentación de la recurrente es confusa y equivocada cuando afirma que los órganos administrativos carecen de competencia para resolver reclamaciones que se formulan frente a requerimientos de cumplimiento de obligaciones, valga a título de ejemplo las que se producen en el ámbito contractual de las Administraciones Públicas, y cuando aduce que por la naturaleza de las funciones de los Comisionados las reclamaciones ante ellos, al igual que las formuladas ante los órganos administrativos, no son indicio de ninguna disputa real, máxime cuando hace descansar tal aseveración en la facilidad y gratuidad de estas reclamaciones, pues obviamente ninguna de las circunstancias de referencia permiten negar la existencia de un indicio real de disputa, la impugnación del artículo 38..1a ) debe estimarse, en coherencia con lo que resolvemos en sentencia de esta misma fecha, dictada en el recurso ordinario 23/2008 . Decimos en el fundamento de derecho decimoquinto de la sentencia de referencia y debemos reiterar ahora, si bien por razones de congruencia debemos limitar la impugnación a la referencia que en el precepto reglamentario se realiza a las reclamaciones administrativas y ante los Comisionados lo siguiente:

"DECIMOCUARTO.- Del artículo 38 impugna la recurrente los apartados 1.a) y b), 2 y 3 .

Dentro de la Sección Segunda del Capítulo I, del Título I, el precepto dice así:

supuestos en que ya se hubiera efectuado su inclusión en el fichero.

3. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente>>.

Con relación al apartado 1.a) limita la impugnación a la frase >.

Argumenta que la norma con la frase impugnada establece una presunción > de que la deuda no es cierta, ni vencida, ni exigible, y que, en consecuencia, en ningún caso puede ser incluida en los ficheros de incumplimiento de obligaciones dinerarias; que permite dejar en manos del afectado el poder convertir unilateralmente en controvertida una deuda que no lo es, lo que a su juicio va en contra del principio de calidad de dato; que la referencia a los Comisionados fue incorporada al texto nueve días antes de su aprobación por el Consejo de Ministros, sin posibilidad de ser informado por el Consejo de Estado y sin que se hubiera abierto consulta a los interesados, con la consiguiente infracción del artículo 24.1.c) de la Ley 50/1997, de 27 de noviembre, de Organización, Competencia y Funcionamiento del Gobierno; que esa mención a los Comisionados no es acorde con la naturaleza, funciones encomendadas y efectividad de sus informes, ni con el procedimiento regulado para la institución (artículos 1.3, 5, 6, 7 y 8 del Reglamento de los Comisionados para la defensa del cliente de los servicios financieros aprobado por Real Decreto 303/2004, de 20 de febrero, aprobado en desarrollo de la Ley 44/2002, de 22 de noviembre, de Reforma del Sistema Financiero ); que además la inclusión de los Comisionados es discriminatoria con los servicios financieros, en cuanto hay figuras semejantes a los Comisionados en otros sectores como por ejemplo en el de comunicaciones sin que se contemplen las consecuencias previstas en la norma impugnada; que la norma origina inseguridad jurídica; que favorece la morosidad e impide el cumplimiento de las directivas comunitarias en materia de crédito responsable, citando al efecto el considerando 26 y los artículos 8 y 9 de la Directiva 2008/48 / CE del Parlamento Europeo y del Consejo, de 13 de abril de 2008, relativa a los contratos de crédito al consumo.

Iniciado, por razones lógico jurídicas de enjuiciamiento, el examen de la conformidad a derecho del inciso impugnado del artículo 38.1 .a), por la denunciada infracción procedimental del artículo 24.1.c) de la Ley 50/1997, es oportuno recordar, siguiendo jurisprudencia de esta Sala plasmada en numerosas y reiteradas sentencias, que el trámite mediante el que se elabora y aprueba una disposición general constituye un procedimiento especial previsto por el artículo 105, apartado 1, de la Constitución, y regulado con carácter general en el artículo 24 de la Ley 50/1997, al tiempo que un límite formal al ejercicio de la potestad reglamentaria. Su observancia, dice la sentencia de 12 de mayo de 2009 (recurso nº 130/2007 ), con cita de la de 13 de noviembre de 2000 (recurso nº 513/1998), tiene, por tanto, un carácter >, de modo que, su omisión o su defectuoso cumplimiento, traducido en un olvido trascendente para la finalidad a que tiende su exigencia, arrastra la nulidad de la disposición que se dicta.

Con el término trascendente se alude, conforme también se expresa en la sentencia de referencia, con cita de la de 15 de diciembre de 1997 (recurso nº 715/95 ), a una interpretación funcional y teleológica de las garantías procedimentales establecidas para la elaboración de las disposiciones generales, que no se justifican por el puro formalismo sino por la finalidad a que responden y que no es otra que garantizar, como decía el artículo 129 de la Ley de Procedimiento Administrativo de 17 de julio de 1958, la legalidad, acierto y oportunidad de las disposiciones reglamentarias.

Y en efecto es oportuno recordar la doctrina jurisprudencial expuesta, pues al responder la mención a los Comisionados al informe emitido por el Consejo de Estado, es claro que se ha dado cumplimiento a las garantías procedimentales exigibles en función a la finalidad perseguida: legalidad, acierto y oportunidad de la disposición reglamentaria.

En el sentido expresado se pronuncia la sentencia de esta Sala de 7 de octubre de 2008, cuando en ella se expresa que >. Es más, no instándose en el suplico de la demanda la nulidad del procedimiento de elaboración y aprobación del Reglamento, mal podría acogerse, aún cuando se admitiera la comisión de la irregularidad formal denunciada, la nulidad de mención que conllevaría ordenar retrotraer al procedimiento administrativo al momento en que se cometió la irregularidad.

Dicho lo anterior procede indicar que la exigencia al inicio del apartado 1.a) del artículo 38 de que la deuda sea > responde al principio de veracidad y exactitud recogido en el artículo 4.3 de la Ley 15/1999, al expresar que >.

Siendo el adjetivo > sinónimo de irrefutable, incontestable, indiscutible, etc., el tema de debate se circunscribe a si es posible sostener con éxito que, en aquellos casos en que se hubiera entablado con respecto a la deuda un procedimiento de los expresados en el artículo 1 .a), puede hablarse de una deuda cierta antes de que recaiga resolución firme o se emita, en los supuestos previstos en el Reglamento de los Comisionados, el informe correspondiente.

Reconociéndose que la aplicación de la norma puede producir efectos adversos al permitir evitar la inclusión del dato relativo a la deuda en los ficheros de solvencia patrimonial, debe también reconocerse que esos efectos adversos es posible contemplarlos cuando se incluye en un fichero de esa naturaleza la existencia de una deuda inexistente, no vencida o inexigible.

Pero lo relevante no son esos efectos y sí el decidir si el apartado 1.a) del artículo responde a la previsión legal del artículo 4.3, y la respuesta debe ser negativa en atención a la defectuosa redacción del precepto reglamentario por una inconcreción en su texto no solo de aquellos procedimientos que justifican la no inclusión en los ficheros de las deudas a que aquellos se refieren, sino también porque esa vaguedad permite considerar que incluso cuando la reclamación se formule por el acreedor exista la imposibilidad de inclusión de los datos en el fichero.

En contra del parecer del Abogado del Estado, el concepto de >, contemplado en el artículo 70.2 de la Ley Jurisdiccional, comprende aquellos supuestos en que las disposiciones generales, por su falta de concreción, pueden dar origen a efectos no deseados, lo que en efecto sucede con la norma reglamentaria impugnada. Pensemos, y sirva solo a título de ejemplo, en las garantías que ofrece una deuda hipotecaria.

No otra cosa puede decirse si nos atenemos a lo dispuesto en el artículo 6.1.d) de la Directiva que exige que los datos sean exactos y, cuando sea necesario, actualizados, así como que se tomen todas las medidas razonables para que los datos inexactos o incompletos, con respecto a los fines para los que fueran recogidos o para los que fueron tratados posteriormente, sean suprimidos o ratificados, pues mal puede entenderse que unos datos no son exactos y no se encuentran actualizados como consecuencia de una reclamación de cualquier naturaleza en instancias judiciales, arbitrales, administrativas o ante los Comisionados.

La argumentación de la recurrente pone de manifiesto un conflicto de intereses que a la luz de la doctrina constitucional a la que hicimos mención en el fundamento de derecho segundo debe resolverse exigiendo una mayor concreción en el precepto reglamentario que pondere los intereses en presencia en atención a las circunstancias concretas".

Todo ello justifica la estimación de la impugnación del artículo 38.1 .a) en el sentido de eliminar del mismo la frase "... o administrativa, o tratándose de servicios financieros, no se haya planteado una reclamación en los términos previstos en el Reglamento de los Comisionados para la defensa del cliente de servicios financieros, aprobado por Real Decreto 303/2004, de 20 de febrero " .

El artículo 39, ubicado al igual que el anterior y los demás objeto de impugnación en la Sección Segunda del Capítulo I, del Título IV, con el epígrafe "Información previa a la inclusión", prevé que "El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra c) del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias" .

Como la pretensión de la recurrente se reduce a la supresión en el artículo del inciso "o incumplimiento" y ello con remisión a lo expresado para fundamentar la impugnación de la rúbrica de la Sección, para su desestimación damos por reproducido lo indicado en el fundamento de derecho tercero.

Nada cabe objetar al artículo 41, apartado 1, que dice así:

"1. Sólo podrán ser objeto de tratamiento los datos que respondan con veracidad a la situación de la deuda en cada momento concreto.

El pago o cumplimiento de la deuda determinará la cancelación inmediata de todo dato relativo a la misma."

En absoluta armonía con el principio de calidad de datos recogido en el artículo 6 de la Directiva y en el artículo 4 de la Ley, el apartado 1 del artículo 41 del Reglamento se limita a expresar en su párrafo segundo, en concreción y por ello mero desarrollo de la exigencia del artículo 6.1.c) de la Directiva, relativa a que los datos sean exactos y actualizados y a que se proceda a su supresión o rectificación cuando sean inexactos o incompletos, y de la de igual naturaleza establecida en el artículo 4.3 de la Ley cuando previene que los datos de carácter personal sean ciertos y puestos al día de forma que respondan con veracidad a la situación actual del afectado, que una vez extinguida la deuda por su pago o cumplimiento debe procederse a la cancelación inmediata de todo dato relativo a la misma.

Tal como sostiene la recurrente, el artículo 41 del Reglamento se refiere, única y exclusivamente, a los ficheros de incumplimiento o de morosos. En el párrafo primero del apartado 1 se hace mención "a la situación de deuda" ; en el párrafo segundo de dicho apartado "al pago o cumplimiento de la deuda", y en el apartado 2 al "vencimiento de la obligación", sin referencia, ni explícita ni implícita, a los ficheros de solvencia positiva.

Y también ha de reconocerse que el precepto reglamentario, con la frase "cancelación de todo dato" empleada en el apartado 1, párrafo primero, quiere alejar toda duda sobre la posibilidad de conservar el llamado >, dando una respuesta negativa, pero así mismo ha de admitirse que tal respuesta está en total simetría o concordancia con el artículo 29.4 de la Ley que exige, conforme ya expresamos, que los datos respondan con "veracidad" a la situación "actual", requisito el de la actualidad que no se cumpliría con una referencia al pasado de índole negativa cual es que en momento anterior no se estuvo al corriente en el pago de deudas u obligaciones.

El artículo 42 dice así:

"1. Los datos contenidos en el fichero común sólo podrán ser consultados por terceros cuando precisen enjuiciar la solvencia económica del afectado. En particular, se considerará que concurre dicha circunstancia en los siguientes supuestos:

1. Que el afectado mantenga con el tercero algún tipo de relación contractual que aún no se encuentre vencida.

2. Que el afectado pretenda celebrar con el tercero un contrato que implique el pago aplazado del precio.

3. Que el afectado pretenda contratar con el tercero la prestación de un servicio de facturación periódica.

2. Los terceros deberán informar por escrito a las personas en las que concurran los supuestos contemplados en las letras b) y c) precedentes de su derecho a consultar el fichero.

En los supuestos de contratación telefónica de los productos o servicios a los que se refiere el párrafo anterior, la información podrá realizarse de forma no escrita, correspondiendo al tercero la prueba del cumplimiento del deber de informar" .

Ubicado al igual que los anteriores en la Sección Segunda del Capítulo I, del Título IV, la recurrente impugna exclusivamente el apartado 2, al entender que al contemplar como única excepción al deber de informar por escrito los supuestos de contratación telefónica, contraviene los artículos 5 y 29 de la Ley Orgánica, 23.3 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, y 10 y 11 de la Directiva, imponiendo una obligación sin habilitación legal.

Es de significar en primer lugar que el artículo 42 de la disposición reglamentaria se refiere, como el epígrafe del propio artículo indica, al acceso a la información contenida en el fichero, esto es, a una actuación que nada tiene que ver con la de información que para la recogida de datos se contempla en el artículo 5 de la Ley y en los artículos 11 y 12 de la Directiva .

Tampoco nada tiene que ver el precepto impugnado con el artículo 25, apartados 1,2 y 4 de la Ley relativo a la prestación de servicios de información sobre solvencia patrimonial y de crédito. Sólo el apartado 3 al prever que a solicitud del interesado el responsable del tratamiento "comunicará los datos, así como las evaluaciones y apreciaciones que sobre el mismo hayan sido comunicadas durante los últimos seis meses y el nombre y dirección de la persona o entidad a quien se hayan revelado los datos" tiene relación con el precepto reglamentario impugnado.

La argumentación de la recurrente, como con claridad se infiere de su crítica relativa a que la obligación reglamentaria está "pensada exclusivamente para un escenario de relaciones contractuales tradicionales y presenciales, o a la sumo telefónicas" y de la cita que realiza de la Ley 34/2002, parte de una concepción limitada de la manifestación o comunicación escrita en contraposición con la comunicación oral, sin considerar, como es obligado en una adecuada interpretación del precepto reglamentario, que la escrita comprende otras formas distintas a la concepción tradicional de la escritura, como son aquellos que tienen un soporte electrónico.

No se aprecian motivos para hacer un especial pronunciamiento de condena en costas (art. 139.1 LRJCA ).

ESTIMAR en parte el recurso contencioso administrativo interpuesto por la representación procesal de Experian Bureau de Crédito, S.A., del Real Decreto 1720/07, de 22 de diciembre

, por el que se aprueba el Reglamento de Desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal .

Anular por disconforme a derecho la frase del artículo 38.1 .a) "... o administrativa, o tratándose de servicios financieros, no se haya planteado una reclamación en los términos previstos en el Reglamento de los Comisionados para la defensa del cliente de los servicios financieros aprobado por Real Decreto 303/2004, de 20 de febrero ".

Sin hacer especial condena en costas.

Así por esta nuestra sentencia, lo pronunciamos, mandamos y firmamos