ATS, 17 de Mayo de 2019
| Ponente | FERNANDO ROMAN GARCIA |
| ECLI | ES:TS:2019:5280A |
| Número de Recurso | 1644/2019 |
| Procedimiento | Recurso de Casación Contencioso-Administrativo (L.O. 7/2015) |
| Fecha de Resolución | 17 de Mayo de 2019 |
| Emisor | Tribunal Supremo - Sala Tercera, de lo Contencioso-Administrativo |
TRIBUNAL SUPREMO
SALA DE LO CONTENCIOSO-ADMINISTRATIVO
SECCIÓN: PRIMERA
A U T O
Fecha del auto: 17/05/2019
Tipo de procedimiento: R. CASACION
Número del procedimiento: 1644/2019
Materia: AGENCIA ESPAÑOLA DE PROTECCION DE DATOS
Submateria:
Fallo/Acuerdo: Auto Admisión
Ponente: Excmo. Sr. D. Fernando Roman Garcia
Letrada de la Administración de Justicia: Ilma. Sra. Dña. M. Concepción Riaño Valentín
Secretaría de Sala Destino: 003
Transcrito por:
Nota:
R. CASACION núm.: 1644/2019
Ponente: Excmo. Sr. D. Fernando Roman Garcia
Letrada de la Administración de Justicia: Ilma. Sra. Dña. M. Concepción Riaño Valentín
TRIBUNAL SUPREMO
SALA DE LO CONTENCIOSO-ADMINISTRATIVO
SECCIÓN: PRIMERA
A U T O
Excmos. Sres. y Excma. Sra.
D. Rafael Fernandez Valverde
Dª. Maria del Pilar Teso Gamella
D. Wenceslao Francisco Olea Godoy
D. Francisco Jose Navarro Sanchis
D. Fernando Roman Garcia
En Madrid, a 17 de mayo de 2019.
El Procurador de los tribunales D. Luis Mellado Aguado, en nombre y representación de la mercantil TTI Finance S.A.R.L, interpuso recurso ante la sala de lo Contencioso-administrativo de la Audiencia Nacional contra la resolución de la Agencia de Protección de Datos de Carácter Personal (AEPD), de 13 de febrero de 2017, que confirma en reposición la previa resolución, de 20 de octubre de 2016, por la que se le impuso una multa de 50.000 € por la comisión de una infracción grave consistente en el incumplimiento de lo dispuesto en el artículo 4.3 la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal , en relación con el artículo 29.4 de la misma norma y con los artículos 38 y 39 del Reglamento de desarrollo de la citada Ley Orgánica.
La Sala de la Audiencia Nacional (Sección Primera) dictó sentencia estimatoria en el recurso contencioso-administrativo n.º 246/2017, el 7 de noviembre de 2018 , considerando que la AEPD es incompetente para imponer la sanción a la recurrente, entidad mercantil cuya sede social se encuentra en Luxemburgo.
La fundamentación jurídica de la sentencia se remite íntegramente a la sentencia de 25 de octubre de 2017 (procedimiento ordinario 99/2016), dictada en una cuestión sustancialmente idéntica, que se transcribe en el fundamento derecho segundo. En la sentencia transcrita, la Sala, tomando como punto de partida la regulación contenida en el artículo 2 de la Ley 15/1999 , de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), el artículo 3.1.a) del Real Decreto 1720/2007, de 21 de diciembre , de desarrollo de la LOPD y el artículo 4.1.a) de la Directiva 95/46/CE, de 24 de octubre de 1995 , concluye que "tener un apartado de correos y una cuenta bancaria en España no puede considerarse el ejercicio real y efectivo de una actividad y no se corresponde con el concepto legal de establecimiento". Cita, en apoyo de su argumentación, la Sentencia del Tribunal Supremo, de 27 de junio de 2016 , así como otros procedimientos en los que se ha seguido el mismo criterio, allanándose el representante del Estado a la demanda.
Las razones anteriores conducen a la sala, de la misma manera que en el supuesto resuelto en la sentencia de 25 de octubre de 2017 (recurso 99/2016 ) y sin necesidad de otras consideraciones, a estimar la demanda.
Notificada la sentencia, el Abogado del Estado, en la representación que legalmente ostenta, ha preparado recurso de casación solicitando la interpretación del criterio de establecimiento a efectos de aplicación de la LOPD. Alega la infracción del artículo 2.1.a) LOPD en relación con el artículo 3.1 a) del RLOPD y con el artículo 4.1.a) de la Directiva 95/46/CE en su interpretación por el Tribunal de Justicia de la Unión Europea en las Sentencias de 1 de octubre de 2015 ( Weltimmo, C-230/14 ) y de 28 de junio de 2016 ( Amazon, C- 191/15 ).
Identificadas así las infracciones y realizado el juicio de relevancia, sostiene en su escrito el representante del Estado la concurrencia de la presunción de interés casacional prevista en el apartado f) del art. 88. 2 LJCA . Alega, en este sentido, que las sentencias del TJUE citadas interpretan el concepto de establecimiento partiendo de que esa actividad económica real y efectiva puede ser mínima, sin necesidad de que exista una sucursal o una filial, porque "responde a una concepción flexible que rechaza cualquier enfoque formalista". De hecho, añade el abogado del Estado, la Sentencia Weltimmo tuvo en cuenta, como factores que revelaban la existencia de un establecimiento en Hungría, que la sociedad había abierto una cuenta bancaria destinada al cobro de sus créditos en dicho país y que utilizaba un apartado de correos en dicho territorio para la gestión de sus asuntos. Lo importante, para el TJUE, es garantizar una protección eficaz y completa de las libertades y de los derechos fundamentales de las personas físicas y por ello la expresión "en el marco de las actividades de un establecimiento" no puede interpretarse de forma restrictiva; el concepto de establecimiento ha de interpretase referido a un ejercicio efectivo y real de una actividad estable (sin que la forma jurídica sea determinante); y el grado de estabilidad de la actividad ha de determinarse tomando en cuenta la naturaleza específica de las actividades económicas y de las prestaciones de los servicios -y, de ahí que, en atención a objetivo de la Directiva, la presencia de un único representante pueda bastar para constituir una instalación estable-.
La sentencia recurrida se aparta de la doctrina del TJUE sin justificar dicho apartamiento lo que, con arreglo a la doctrina constitucional ( STC 232/2015 ) puede suponer una selección irrazonable y arbitraria de la norma aplicable al proceso que puede suponer una vulneración del derecho a la tutela judicial efectiva.
También bajo el prisma de la circunstancia prevista en el artículo 89.2 f) LJCA , el Abogado del Estado considera que es preciso determinar si la utilización por el recurrente de un fichero de morosos en España tiene alguna influencia en la decisión a adoptar. Sostiene que en el tratamiento de datos de morosos existen dos responsables del tratamiento: el acreedor (TTI) que decide la inclusión de datos personales del moroso en el fichero de incumplimiento de obligaciones dinerarias y, por otro lado, el responsable del fichero común de solvencia (Badexcug) que no es, en ningún caso, el encargado del tratamiento del acreedor. En estos casos, por tanto, cuando se incluye a un cliente en un fichero de morosos en España siempre habrá un responsable del tratamiento en España.
En segundo lugar, invoca el Abogado del Estado la concurrencia de los supuestos de interés objetivo casacional previstos en los apartados b ) y c) del artículo 88. 2 LJCA , pues la doctrina sentada por la Sala conduce a la inaplicación de la normativa sobre protección de datos que tiene como objetivo garantizar la protección de derechos de las personas físicas -en particular el derecho a la intimidad- y puede trascender a casos semejantes en los que la conducta infractora se imputa a una sociedad residente en otro país.
Finalmente indica que la existencia del interés casacional objetivo en este asunto ha sido ya declarada en el auto de 6 de abril de 2018 (RCA 627/2018 ) que admitió el recurso preparado contra la sentencia de la Audiencia Nacional dictada en el recurso 99/2016 que transcribe la sentencia ahora recurrida.
La Sala de instancia tuvo por preparado el recurso por auto de 15 de febrero de 2019, ordenando el emplazamiento de las partes para su comparecencia dentro del plazo de treinta días ante esta Sala, así como la remisión de los autos originales y del expediente administrativo.
Ha comparecido ante esta Sala en tiempo y forma, en calidad de recurrente, el Abogado del Estado. Ha comparecido, asimismo, en calidad de parte recurrida el procurador D. Luís Mellado Aguado, en nombre y representación de TTI Finance S.A.R.L.
Es Magistrado Ponente el Excmo. Sr. D. Fernando Roman Garcia, Magistrado de la Sala.
Como pone de manifiesto el Abogado del Estado en su escrito de preparación, un asunto idéntico fue admitido por auto de esta Sala y Sección de 6 de abril de 2018 (RCA 627/2018 ) en el que declaramos que la cuestión planteada en el recurso que presenta interés casacional objetivo para la formación de la jurisprudencia consiste en "interpretar el concepto de establecimiento previsto el artículo 2.1 a) LOPD y en el artículo 3.1 a) del RLOPD en relación con el artículo 4.1 a) de la Directiva 95/46/CE , y la jurisprudencia del TJUE que lo interpreta, a fin de esclarecer si un tratamiento de datos personales realizado en España, en el marco de las actividades de una empresa con sede en un tercer Estado miembro (en este caso Luxemburgo), que es titular de una cuenta bancaria y un apartado de correos en nuestro país para el desarrollo de su actividad, está sujeto a la normativa española de protección de datos de carácter personal". Consideramos entonces que concurrían las circunstancias de interés casacional previstas en el artículo 88.2.b), c ) y f) LJCA que había invocado el Abogado del Estado.
Partiendo de lo anterior no es posible obviar que esta Sala, en sentencia de 5 de febrero de 2019, ha resuelto la cuestión suscitada en el mencionado RCA 627/2018 fijando la siguiente jurisprudencia:
"A los efectos de considerar si es aplicable la normativa de protección de datos de carácter personal, de un Estado miembro de la Unión Europea a una empresa responsable del tratamiento de datos personales, en aquellos supuestos en que la sede principal esté ubicada en el territorio de otro Estado miembro de la Unión Europea, pero que realice actividades en otros Estados miembros, el concepto de establecimiento a que se refiere el artículo 2.1.a) de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal , así como el artículo 3.1.a) del Real Decreto 1720/2007, de 21 de diciembre , por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, en consonancia con lo dispuesto en el artículo 4.1.a) dela Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995 , relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, debe interpretarse de forma flexible y antiformalista, en el sentido de que resultan comprendidos el tratamiento de datos personales que se realiza en el marco o en el contexto de la actuación desarrollada en un Estado miembro de la Unión Europea (distinto a donde tiene la sede o administración principal) a través de la utilización de medios instrumentales que se revelen idóneos y eficaces en el tratamiento de datos personales".
La aplicación de la mencionada jurisprudencia al caso enjuiciado comportó la desestimación del recurso contencioso-administrativo interpuesto por TTI Finance y la declaración de conformidad a derecho de la resolución de la Directora de la AEPD que impuso la sanción por infracción del artículo 4.3 LOPD es conforme a derecho.
En la mencionada sentencia de esta Sala y Sección, de 5 de febrero de 2019 , pusimos también de manifiesto que "(...) Debe hacerse referencia, en último término, a la circunstancia de que el artículo 2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal -objeto de interpretación en este recurso de casación- ha sido derogado por la disposición derogatoria única de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, que entró en vigor el 7 de diciembre de 2018, que establece en el artículo 2 el ámbito de aplicación territorial de la citada norma (...)".
De lo anterior se deduce que cuando el Abogado del Estado preparó el presente recurso de casación se había producido la derogación sobrevenida de la norma cuya interpretación reclama: el artículo 2.1.a) de la Ley 15/1999 , de 13 de diciembre, de transposición de la Directiva 95/46/CE, sin que el tenor de este precepto coincida literalmente con el nuevo artículo 2 de la Ley Orgánica 3/2018, de 5 de diciembre . No obstante lo anterior, la cuestión que materialmente se suscita es idéntica; en particular, la determinación de si la normativa de protección de datos de carácter personal de un Estado miembro de la Unión Europea es aplicable al tratamiento de datos por parte de una empresa responsable cuya sede principal está ubicada en otro Estado miembro, pero que realiza actividades en otros Estados miembros.
Y desde esa perspectiva no puede obviarse que el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 , de aplicación directa a todos los Estados miembros, establece su ámbito territorial en los siguientes términos:
"Artículo 3. Ámbito territorial.
-
El presente Reglamento se aplica al tratamiento de datos personales en el contexto de las actividades de un establecimiento del responsable o del encargado en la Unión, independientemente de que el tratamiento tenga lugar en la Unión o no.
-
El presente Reglamento se aplica al tratamiento de datos personales de interesados que residan en la Unión por parte de un responsable o encargado no establecido en la Unión, cuando las actividades de tratamiento estén relacionadas con: a) la oferta de bienes o servicios a dichos interesados en la Unión, independientemente de si a estos se les requiere su pago, o b) el control de su comportamiento, en la medida en que este tenga lugar en la Unión. 3. El presente Reglamento se aplica al tratamiento de datos personales por parte de un responsable que no esté establecido en la Unión sino en un lugar en que el Derecho de los Estados miembros sea de aplicación en virtud del Derecho internacional público".
Teniendo en cuenta los razonamientos anteriores y el hecho de que la sentencia ahora recurrida fue dictada con anterioridad a la fijación de jurisprudencia por esta Sala, habiéndose resuelto el recurso en el sentido pretendido por el Abogado del Estado, procede la admisión del presente recurso de casación a fin de -dada la sucesión temporal de normas que se ha puesto de manifiesto- matizar, reafirmar o concretar la jurisprudencia sentada en nuestra sentencia de 5 de febrero de 2019 sobre el concepto de establecimiento a efectos de la aplicación de la normativa de protección de datos de carácter personal.
En debido cumplimiento de lo previsto en el artículo 90.4 LJCA , declaramos que la cuestión planteada por la parte recurrente presenta interés casacional objetivo consiste en matizar, reafirmar o concretar nuestra jurisprudencia sobre el concepto de establecimiento a los efectos de la aplicación de la normativa de protección de carácter personal; en particular, en lo concerniente a si la normativa de protección de datos de carácter personal española resulta aplicable al tratamiento de datos por parte de una empresa responsable cuya sede principal está ubicada en otro Estado miembro pero realiza actividades en España.
Conforme a lo dispuesto por el artículo 90.7 LJCA este auto se publicará íntegramente en la página web del Tribunal Supremo.
Procede comunicar inmediatamente a la Sala de instancia la decisión adoptada en este auto, como dispone el artículo 90.6 de la LJCA y conferir a las actuaciones el trámite previsto en los artículos 92 y 93 de la LJCA , remitiéndolas a la Sección Tercera de esta Sala, competente para su sustanciación y decisión de conformidad con las reglas de reparto.
La Sección de Admisión
-
) Admitir el recurso de casación n.º 1644/2019 preparado por el Abogado del Estado, en la representación que legalmente ostenta, contra la sentencia de la Audiencia Nacional (Sección Primera) de fecha 7 de noviembre de 2018, dictada en el recurso contencioso-administrativo n.º 246/2017 .
-
) Declarar que la cuestión planteada en el recurso que presenta interés casacional objetivo para la formación de la jurisprudencia consiste en matizar, reafirmar o concretar nuestra jurisprudencia sobre el concepto de establecimiento a los efectos de la aplicación de la normativa de protección de carácter personal; en particular, en lo concerniente a si la normativa de protección de datos de carácter personal española resulta aplicable al tratamiento de datos por parte de una empresa responsable cuya sede principal está ubicada en otro Estado miembro pero realiza actividades en España.
-
) Ordenar la publicación de este auto en la página web del Tribunal Supremo.
-
) Comunicar inmediatamente a la Sala de instancia la decisión adoptada en este auto.
-
) Para la sustanciación del recurso, remítanse las actuaciones a la Sección tercera de esta Sala Tercera, a la que corresponde con arreglo a las normas sobre reparto de asuntos.
Así lo acuerdan y firman.
D. Rafael Fernandez Valverde Dª. Maria del Pilar Teso Gamella D. Wenceslao Francisco Olea Godoy
D. Francisco Jose Navarro Sanchis D. Fernando Roman Garcia
