STS, 27 de Marzo de 2007

La sentencia de la Sala de lo Contencioso Administrativo de la Audiencia Nacional, de 15 de noviembre de 2002, objeto de este recurso, contiene el siguiente fallo: "DESESTIMAR el presente recurso contencioso administrativo interpuesto por la representación procesal de EUSKATEL SA contra la Resolución del Director de la Agencia de Protección de Datos de fecha 21 de junio de 2000, por el concepto de sanción, a que las presentes actuaciones se contraen, que confirmamos por ser conforme a Derecho.

Sin expresa imposición de costas."

Una vez notificada la citada sentencia, se presentó escrito por la representación procesal de la citada entidad, manifestando su intención de interponer recurso de casación y por providencia de 5 de febrero de 2003 se tuvo por preparado, siendo emplazadas las partes ante esta Sala del Tribunal Supremo.

Con fecha 21 de marzo de 2003 se presentó escrito de interposición del recurso de casación, haciendo valer cuatro motivos al amparo del art. 88.1.d) de la Ley de la Jurisdicción y solicitando que se case y anule la sentencia recurrida, revocando y dejando sin efecto la sanción impuesta.

Admitido a trámite el recurso, se dio traslado a la parte recurrida para que formalizara escrito de oposición, solicitándose por el Abogado del Estado en dicho trámite la desestimación del recurso y la confirmación de la sentencia recurrida.

Conclusas las actuaciones quedaron pendientes de señalamiento para votación y fallo, a cuyo efecto se señaló el día 21 de marzo de 2007, fecha en que tal diligencia ha tenido lugar.

Siendo Ponente el Excmo. Sr. D. Octavio Juan Herrero Pina

La sentencia de instancia objeto de este recurso señala como hechos de partida: "1.-Desde enero de 1998 y hasta junio de 1999, EUSKATEL SA ha estado facilitando a INCRESA una relación automatizada, conteniendo el nombre, apellidos, dirección, teléfono y datos bancarios de sus clientes, para que por INCRESA se realizara una clasificación de la aptitud crediticia de éstos, a través de un procedimiento de scoring o credit scoring consistente en efectuar una valoración del riesgo según los parámetros establecidos y en emitir un resultado de apto o no apto de los clientes. Realizándose este proceso en los propios equipos informáticos de INCRESA.

2. - El 20 de enero de 1998 ASNEF-EQUIFAX y EUSKATEL SA formalizaron un contrato (folios 172 a 175 del expediente). En dicho contrato se pactaba que EUSKATEL facilitaría datos a ASNEF EQUIFAX para realizar servicios a aquella. El servicio se refiera a un proyecto que obra en la oferta adjunta y que no consta en el expediente. No obstante se pacta que los datos entregados para el servicio no se podrán usar para fines distintos a los acordados y no se podrán ceder a terceras personas, ni conservarlos, devolviéndolos a EUSKATEL. Existe un certificado emitido por EQUIFAX IBERICA SA en el que se dice que el contrato pactado tenía como finalidad la prestación de servicios de scoring, si bien los mismos nunca llegaron a efectuarse. Que dichos servicios fueron, sin embargo, realizados por INCRESA SL, entidad perteneciente al grupo EQUIFAX.

3. -Según certificado emitido por INCRESA SL, desde enero de 1998 a junio de 1999 prestaron servicios de scoring a EUSKATEL SA, los cuales se rigieron por las cláusulas fijadas en el contrato al que antes hemos hecho referencia. Que INCRESA SL se subrogó en la posición de ASNEF- EQUIFAX. Que se prestó el servicio con plena sumisión a lo establecido en el contrato. Que por lo tanto, finalizado el tratamiento los datos fueron devueltos, no conservándolos ni cediéndolos a terceros.

4. - INCRESA SL facturó a EUSKATEL SA por la realización de credit scoring y por el período enero de 1998 a junio de 1999 (folios 120 a 143).

5. -En los contratos de EUSKALTEL SA figura una cláusula relativa al tratamiento automatizado de datos. En las mismas no se hace referencia alguna al tratamiento scoring pero si se dice que los datos se utilizarán para "realizar el mantenimiento y la gestión de la relación contractual con el cliente, así como de las labores de información, formación y comercialización del servicio y de actividades relacionadas con el mismo"; añadiendo que "salvo que el cliente disponga expresamente lo contrario, Euskaltel podrá ceder los mismo a entidades de su grupo con la finalidad de remitirles información que considere de su interés".

6. - En el Acuerdo de iniciación existe un primer párrafo que se corresponde con los hechos imputados en la sanción definitiva y un segundo párrafo que, como reconoce la Resolución impugnada, constituye un error pues se imputan hechos que nada tiene que ver con este procedimiento sancionador.

7. - Se dictó Resolución imponiendo a la entidad una sanción de 50.000.001 pts como autora de una infracción del art 11 de la LO 5/1992 en relación con el art 43.4.b) de la Ley ."

Razona la Sala de instancia en relación con el error en los hechos imputados, antes señalado, y si ello supone infracción del art. 18.1 del Real Decreto 1332/1994, que la entidad ha tenido conocimiento de los hechos que se le imputan y ha ejercitado los medios de defensa que ha entendido procedentes, sin que se le haya generado indefensión alguna, por lo que se ha cumplido la regla contenida en el referido art. 18.1 del R.D. 1332/94 .

Ante la alegación de la parte en el sentido de que no estamos ante un supuesto de cesión del art. 11 de la Ley Orgánica 5/92, sino ante un supuesto de prestación de servicios por un tercero al amparo del art. 27 de dicha Ley, la Sala de instancia razona sobre la necesidad de que exista un contrato escrito y señala en cuanto al caso que: "Ciertamente el recurrente aporta un contrato formalizado entre EUSKALTEL y EQUIFAX IBERICA SL, pero no aporta ningún contrato suscrito con INCRESA, ni ningún acuerdo subrogatorio escrito. No siendo admisible que una empresa del grupo EQUIFAX preste servicios de tratamiento de datos sin contrato escrito alguno. Precisamente esto es lo que se trata de evitar, que persona distinta a la especificada como encargado del tratamiento en el contrato trate los datos."

Rechaza la alegación de vulneración del principio de presunción de inocencia y considera que no estamos ante el supuesto del art. 11.2 .c), reiterando lo ya expuesto en sentencias de la misma Sala de 14 de junio y 18 de enero de 2002, en el sentido de que "las relaciones que unen a la entidad sancionada con sus clientes únicamente le facultan para la realización de los tratamientos precisos para la prestación del servicio y para que el cliente abone la contraprestación, no para la elaboración de un perfil de solvencia sobre los mismos, que requiere el consentimiento previo y específico de los afectados y no resulta necesario para el desenvolvimiento del contrato". A lo que cabe añadir como bien razona la Agencia que, en ninguna de las cláusulas contractuales suscritas por los titulares de los datos o afectados, se hace referencia a la posibilidad de destinar los datos recabados para valorar la aptitud crediticia de sus titulares, ni en ella se recaba el consentimiento de éstos para que sus datos puedan ser cedidos a terceros con dicha finalidad".

Frente a dicha sentencia se interpone este recurso de casación, en cuyo primer motivo, formulado como los demás al amparo del art. 88.1.d) de la Ley de la Jurisdicción, se denuncia la infracción del derecho de defensa establecido en el art. 24 de la Constitución y los principios y garantías del procedimiento sancionador, al haberse efectuado en la sentencia de instancia una interpretación y aplicación indebida del art. 135 de la Ley 30/92 y el art. 18 del Real Decreto 1332/94 . Argumenta al efecto sobre la falta de precisión de los hechos que se imputaban, a pesar de los escritos solicitando aclaración, lo que no tuvo lugar sino con la Propuesta de Resolución, concluyendo en la vulneración del derecho a ser informado de la acusación, que debió haber conducido a la declaración de nulidad de pleno derecho (art. 62.1 .e) de la Ley 30/92 ) de la resolución de la Agencia de Protección de Datos.

El motivo no puede prosperar, pues invocándose la infracción de principios y garantías del procedimiento sancionador, no se tiene en cuenta que las infracciones procedimentales sólo tienen relevancia constitucional (se invoca la infracción del art. 24 de la Constitución ), cuando dan lugar a indefensión, impidiendo al interesado el ejercicio de los medios de impugnación y oposición a la actividad sancionadora desplegada, con plenas garantías.

Así lo entendió el Tribunal Constitucional desde el principio, indicando ya en la sentencia 58/1989, de 16 de marzo, que "este Tribunal, efectivamente, ha señalado que las garantías previstas en el art. 24.2 CE son aplicables, además de en el proceso penal, en los procedimientos administrativos sancionadores, con las modulaciones que resulten de su diferente naturaleza. Ahora bien, también este Tribunal ha señalado que no toda infracción de naturaleza procesal o procedimental adquiere relieve constitucional, sino únicamente en el supuesto de que hayan redundado en la efectiva infracción de las garantías procesales constitucionalmente previstas, causando indefensión o privando de otra manera al afectado de tales garantías".

Mas concretamente y en relación con el derecho fundamental a ser informado de la acusación, que en definitiva se plantea en este motivo de casación, el Tribunal Constitucional afirma en la sentencia 117/2002, de 20 de mayo, entre otras, que "ha hecho especial hincapié en el contenido normativo complejo que encierra, pues junto al mandato obvio de poner en conocimiento de quien se ve sometido al ejercicio del ius puniendi del Estado la razón de ello, presupone la existencia de la acusación misma y es, a su vez, instrumento indispensable para poder ejercitar el derecho de defensa pues representa una garantía para evitar la indefensión que resultaría del hecho de que alguien pueda ser condenado por cosa distinta de la que se le acuse y de la que, consecuentemente, no haya podido defenderse (por todas, SSTC 19/2000, de 31 de enero, FJ 4, y 287/2000, de 27 de noviembre, FJ 14 ). Las resoluciones ahora citadas se pronunciaron en relación con el proceso penal, en cuyo ámbito también hemos matizado la sujeción existente entre la condena y la acusación formulada, advirtiendo que no puede llegar tan lejos como para impedir que el órgano judicial modifique la calificación de los hechos enjuiciados en el ámbito de los elementos que han sido o han podido ser objeto de debate contradictorio, operando aquí los conceptos de identidad fáctica y homogeneidad de la calificación jurídica (STC 4/2002, de 14 de enero, FJ 3, que resume la doctrina constitucional en la materia). En conclusión, como ya señaláramos en la STC 225/1997, de 15 de diciembre, FJ 4 in fine, y hemos reiterado nuevamente en la mencionada STC 4/2002, FJ 3, "desde la perspectiva constitucional del derecho de defensa lo que resulta relevante es que la condena no se produzca por hechos o perspectivas jurídicas que de facto no hayan sido o no hayan podido ser plenamente debatidas. La homogeneidad entre la acusación y la condena es, sobre todo, un instrumento útil, extraordinariamente útil, si se quiere, para enjuiciar la posibilidad real de debate". Finalmente, importa advertir que la traslación de estos criterios al ámbito de la potestad sancionadora de las Administraciones públicas ha de efectuarse teniendo en todo momento presentes las diferencias estructurales del procedimiento establecido para su ejercicio, que no conoce una diferenciación orgánica tajante entre acusación, instrucción y decisión ni una nítida frontera entre un período de preparación o instrucción y otro de enjuiciamiento (STC 56/1998, de 16 de marzo, FJ 4, aquí por referencia al derecho a la prueba)."

Pues bien, desde estas consideraciones no puede decirse que en este caso se haya producido una situación de indefensión o falta de garantías procedimentales para la recurrente, que permita apreciar las infracciones que se denuncian en este motivo, como ya se indicó en la sentencia recurrida, pues el error reconocido por la Administración en cuanto a la inclusión en el segundo párrafo del acuerdo de iniciación del procedimiento de hechos distintos de los realmente imputados, que se recogían en el primer párrafo, no le impidió tener conocimiento de estos y ejercitar los medios de defensa adecuados frente a ellos, e incluso la propia parte llegó a entender que la acusación se limitaba a los mismos, según se desprende de su escrito de 16 de marzo de 2000, de alegaciones en trámite de audiencia, identificando en la primera de ellas los hechos que se le imputan, lo que posteriormente se confirma en la Propuesta de Resolución, sin que en ningún momento se justifique que todo ello impidió a la parte ejercitar u orientar adecuadamente su defensa. En consecuencia no cabe apreciar la vulneración del art. 24 de la Constitución ni la interpretación indebida de los arts. 135 de la Ley 30/92 y 18 del Real Decreto 1332/1992, que se denuncian en este motivo de casación, que por lo tanto debe ser desestimado.

En el segundo motivo de casación se denuncia la infracción del art. 27 de la LORTAD, en relación con los arts. 1.254, 1.261 y 1.278 del Código Civil, y de la jurisprudencia civil sobre los requisitos formales en la subrogación o cesión de contratos, defendiendo que el citado art. 27 no exige que este tipo de contratos deba formalizarse necesariamente por escrito, invocando el art. 12 de la actual Ley Orgánica 15/1999, el principio de libertad de forma, art. 1278 CC, en relación con los arts. 1261 y 1254 del mismo Código . No obstante, señala la existencia de un contrato formalizado por escrito entre la recurrente y ASNEFEQUIFAX, en el que posteriormente se subrogó INCRESA, S.L. (sociedad perteneciente al mismo grupo), por lo que ni siquiera puede sostenerse la inexistencia de contrato escrito sino tan solo la inexistencia de constancia por escrito de la cesión de dicho contrato por parte de ASNEF-EQUIFAX a INCRESA, S.L., que entiende no es exigible, por lo que se infringen los preceptos y jurisprudencia invocados.

La cuestión fundamental que se plantea en este motivo, relativa a la forma en que ha de constar el contrato de prestación de servicios para el tratamiento automatizado de datos de carácter personal por cuenta de terceros contemplado en el art. 27 de la Ley Orgánica 5/92, ha sido examinada en sentencia de esta Sala de 1 de marzo de 2006, en la que se mantiene que: "sin negar el principio general de perfección del contrato por el simple consentimiento (artículo 1.258 del Código Civil EDL 1889/1 ), que tampoco niega la sentencia recurrida, es de hacer notar que, de los términos en que está redactado el contenido del artículo 27 que se alega como vulnerado, expresamente resulta la necesidad de que conste plasmado por escrito el fin del contrato de servicios, pues a ello alude y se refiere dicho texto legal cuando prohíbe aplicar o utilizar los datos obtenidos por un tercero "con fin distinto al que figure en el contrato de servicios", lo que evidentemente hace referencia a la necesidad de plasmar por escrito ese fin determinante de la cesión para así excluir la responsabilidad en el cesionario".

A semejante conclusión se llega examinando el art. 12 de la actual Ley Orgánica 15/1999, que expresamente sujeta la realización de tratamiento por cuenta de terceros a la existencia de "un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento,...", lo que necesariamente exige una forma que refleje y deje constancia no sólo de su celebración sino de su contenido, que incluso se especifica en sus cláusulas imprescindibles en el propio precepto, lo que excluye la forma verbal que se invoca por la parte en este caso, que no es hábil para dejar constancia de tal celebración y contenido.

Por otra parte, tales preceptos hacen referencia a contratos celebrados entre del cedente de los datos y el cesionario que efectúa el tratamiento automatizado y que no puede cederlos, ni siquiera para su conservación a otras personas. Por lo que, en el caso de que esta cesión de datos pretenda ampararse en la subrogación o cesión de un contrato previo, será igualmente exigible que ello conste, al igual que el contrato, por escrito o forma que permita dejar constancia de la cesión y su contenido, para lo cual y como ya hemos indicado antes, no es hábil la forma verbal que se invoca por la recurrente en este proceso.

Tal interpretación responde a la finalidad de la norma de garantizar que el acceso de terceros a los datos de carácter personal, objeto de tratamiento automatizado, se produzca únicamente en los casos y con las limitaciones legalmente establecidas, plasmándose las condiciones, finalidad y alcance de la cesión de forma que resulte controlable en su desarrollo y cumplimiento, lo que no resulta compatible con cesiones o subrogaciones verbales, que impiden tener constancia de las mismas y, por lo tanto, comprobar si responden a supuestos amparados en la norma o son ajenos a sus previsiones.

Por todo ello ha de concluirse que resulta conforme al ordenamiento jurídico la interpretación y aplicación que la Sala de instancia hace del art. 27 de la LORTAD, cuya infracción se denuncia en este motivo de casación, que por lo tanto debe ser desestimado.

En el tercer motivo de casación se denuncia la infracción de los arts. 11, 27 y 43.4.b) de la LORTAD, en relación con el art. 12 de la Ley Orgánica 15/1999 y el art. 2, apartados e) y f) de la Directiva 95/46 / CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de datos de las personas físicas, al tipificar incorrectamente la conducta como cesión o comunicación de datos (sometidos al previo consentimiento del afectado), en lugar de tipificarla como una prestación de servicios de tratamiento automatizado de datos prevista en el art. 27 de la LORTAD, cuya validez y eficacia no depende de su constancia en un documento escrito, argumentando sobre la existencia de tal relación jurídica con la entidad INCRESA,S.L. y como consecuencia de ello la entidad no puede considerarse tercero, según resulta de los apartados 2.e) y f) de la citada Directiva 95/46 /CE, por lo que la relación existente con la recurrente no se configura como una cesión de datos personales.

El planteamiento de este motivo descansa en la consideración de que la cesión de datos por la recurrente a INCRESA, S.L. viene amparada por un contrato de los previstos en el art. 27 de la LORTAD, que no necesita forma escrita, con lo cual se subordina a la decisión sobre el motivo anterior, en el que ya se ha rechazado tal planteamiento de la recurrente, concluyendo que la cesión de datos en cuestión a INCRESA, S.L. no viene amparada en un contrato celebrado en las condiciones y con los requisitos exigidos en el citado art. 27, lo que afecta tanto a la posición jurídica de la entidad cedente como de la cesionaria, en cuanto no pueden invocar el indicado precepto para justificar la cesión y el tratamiento de los datos en cuestión. Con lo que decae la fundamentación de este motivo tercero, que debe por ello ser desestimado.

Lo mismo sucede respecto del cuarto motivo, en el que se denuncia la infracción del art. 43.4.b) de la LORTAD, por indebida aplicación del mismo, con infracción de la jurisprudencia constitucional relativa a la aplicación a las infracciones y sanciones administrativas, del principio de legalidad penal y el de tipicidad, con interdicción de una interpretación extensiva o analógica, alegando que aun admitiendo a efectos meramente dialécticos, que la sustitución de INCRESA, S.L. en la posición de ASNEF-EQUIFAX ha de formalizarse por escrito, lo cierto es que ni el art. 43.4.b) de la LORTAD tipifica la ausencia de constancia por escrito de esa relación jurídica ni lo hace la LORTAD en el catálogo de infracciones que contiene en su art. 43 . Abunda en tales argumentos sobre los principios de legalidad y tipicidad, con cita de sentencias del Tribunal Constitucional y de este Tribunal Supremo y concluye en la infracción de los mismos.

Tampoco este motivo puede prosperar, pues la recurrente parte de una deficiente identificación de la conducta sancionada, que no es "la ausencia de constancia por escrito de esa relación jurídica" (se refiere a la que invoca con INCRESA, S.L.) sino, como expresa la propia resolución sancionadora de 21 de junio de 2000, el hecho de que "EUSKALTEL,S.A. cedió datos de sus clientes a INCRESA para la realización de credit scoring sin el consentimiento previo de las citadas personas, vulnerando con ello la prohibición contenida en el artículo 11 de la Ley Orgánica 5/1992 ", conducta que se considera constitutiva de la infracción prevista en el art. 43.4.b) de dicha ley, según el cual se considera infracción muy grave: "La comunicación o cesión de datos de carácter personal, fuera de los casos en que estén permitidas".

A dicha conducta se llega como consecuencia de que, tal y como se ha indicado al resolver los anteriores motivos, la cesión de datos de la recurrente a INCRESA,S.L. no viene amparada por un contrato en los términos del art. 27 de la LORTAD y tampoco cuenta con el consentimiento de los titulares, lo que la sitúa fuera de los casos permitidos por la Ley y, en consecuencia, dentro del tipo de la infracción prevista en el referido art. 44.4 .b) en relación con el art. 11 de la LORTAD .

No se produce por lo tanto ninguna infracción de los principios de legalidad y tipicidad ni se efectúa una aplicación analógica o extensiva de las infracciones previstas en la Ley, por lo que han de descartarse las que se denuncian en este motivo de casación que, en consecuencia, debe ser desestimado.

La desestimación de los motivos invocados lleva a declarar no haber lugar al recurso de casación y determina la imposición legal de las costas a la parte recurrente, si bien, la Sala, haciendo uso de la facultad que otorga el art. 139.3 de la LRJCA y teniendo en cuenta la entidad del recurso y la dificultad del mismo, señala en 1.200 euros la cifra máxima como honorarios de letrado de la parte recurrida.