STS 11/11/2024. Recurso 2960/2023
Ponente: Excmo. Sr. D. Eduardo Calvo Rojas

FUNDAMENTOS DE DERECHO

PRIMERO.- Objeto del recurso de casación. Ámbito del debate casacional.

El presente recurso de casación nº 2960/2023 lo interpone la representación procesal de la Agencia Española de Protección de Datos contra la sentencia de la Sección 1ª de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional de 23 de diciembre de 2022 (recurso contencioso-administrativo nº 104/2021).

Como hemos visto en el antecedente primero, la sentencia de la Sala de la Audiencia Nacional, ahora recurrida en casación, estima el recurso contencioso- administrativo interpuesto en representación de Banco Bilbao Vizcaya Argentaria S.A. (BBVA) y anula la resolución de la Agencia Española de Protección de Datos de fecha 18 de noviembre de 2020 (PS/00070/2019) en la que se acordaba imponer a BBVA dos multas por importe de 2.000.000 euros y 3.000.000 euros como responsable de sendas infracciones del Reglamento General de Protección de Datos – Reglamento (UE) 2016/79 del Parlamento Europeo y del Consejo, de 27 de abril de 2016- y de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales.

En el antecedente segundo hemos dejado reseñados los hechos que la Agencia Española de Protección de Datos declara probados la resolución, así como las razones que se exponen en la sentencia recurrida -en lo que interesa al presente recurso de casación- para fundamentar la estimación del recurso contenciosoadministrativo y consiguiente anulación de la resolución sancionadora impugnada en el proceso.

Procede entonces que entremos a examinar las cuestiones suscitadas en casación, en particular la señalada en el auto de la Sección Primera de esta Sala de 29 de junio de 2023. Y, como hemos visto en el antecedente cuarto, en ese auto de admisión del recurso se declara que la cuestión que presenta interés casacional objetivo para la formación de la jurisprudencia consiste en interpretar los artículos 57 y 58.2 del Reglamento (UE) 2016/79 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, y 63, 64 y 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales, a fin de determinar si, presentada una reclamación ante la Agencia Española de Protección de Datos, la actuación de ésta queda vinculada al contenido de dicha reclamación, en concreto a los hechos objeto de reclamación y a su encaje y tipificación en los tipos descritos en la norma, o si puede tramitar y resolver el procedimiento sancionador al margen de las causas y los hechos en los que se fundan las reclamaciones presentadas.

Además de los preceptos del Reglamento (UE) 2016/79 y de la Ley Orgánica 3/2018 que acabamos de citar, el auto de admisión del recurso identifica como normas jurídicas que, en principio, serán objeto de interpretación los artículos 58, 62, 64, 88, 89.3 y 90.2 de la Ley 39/2015, de 1 de octubre, de Procedimiento Administrativo Común. Todo ello, indica el propio auto, sin perjuicio de que la sentencia pueda extenderse a otras cuestiones y normas jurídicas si así lo exigiere el debate finalmente trabado en el recurso, ex artículo 90.4 de la LJCA.

En fin, a fin de delimitar el ámbito del debate casacional debemos señalar que en los apartados que siguen nos ceñiremos a examinar la cuestión señalada en el auto de admisión del recurso, con las matizaciones que más adelante haremos sobre la manera en la que aparece formulada. Quedan así fuera de nuestro análisis otras cuestiones y argumentos de impugnación que fueron debatidas en el proceso de instancia, y sobre las que se pronuncia la sentencia recurrida, pero que son ajenas al debate suscitado en casación.

SEGUNDO.- Criterio de esta Sala.

A/ Tiene razón la representación de BBVA, parte recurrida, cuando señala que lo que se encuentra en discusión en este recurso no es el alcance de las competencias que la normativa sobre protección de datos otorga a las autoridades de control en la materia sino el modo en que las mismas pueden ejercerse de forma que se respeten los principios y derechos que la Constitución y las leyes otorgan a los administrados.

Partiendo de lo anterior, y siguiendo la síntesis que ofrece la misma representación de BBVA (páginas 7 y 8 del escrito de oposición al recurso de casación), la sentencia de instancia considera que en el caso que examinamos la actuación de la AEPD ha conculcado, entre otros: i) el principio de seguridad jurídica, quebrantada por el hecho de haberse aportado por BBVA, en respuesta a la información requerida y relacionada con una reclamación, un documento, la política de privacidad de BBVA, en la confianza de que con ello se ponía de manifiesto la improcedencia de aquella reclamación, al constar prestado el consentimiento por el reclamante, siendo posteriormente dicho documento utilizado por la AEPD en su perjuicio; ii) el principio de interdicción de la arbitrariedad de los poderes públicos, vulnerado cuando la AEPD decide arbitrariamente, y de forma completamente sorpresiva para BBVA, ampliar el contenido del expediente, sin conocimiento alguno por mi mandante, a cuestiones en nada relacionadas con las reclamaciones sobre las que se había solicitado información, realizando además una interpretación de las normas de protección de datos personales inédita hasta el momento de proceder a la apertura del procedimiento; y iii) el principio de culpabilidad, vulnerado cuando se toma un total de cinco reclamaciones sobre un total de más de ocho millones de clientes, lo que para la Sala de instancia no constituye una muestra significativa, para imponer a BBVA sendas sanciones por un total de cinco millones de euros sobre la base de lo que la sentencia recurrida considera «una infracción potencial que no está castigada por las normas de protección de datos».

Pues bien, no compartimos el parecer de la Sala de la Audiencia Nacional que acabamos de reseñar; y ello por las razones que pasamos a exponer en los puntos que siguen.

1) De los datos que se recogen en los antecedentes primero a quinto de la resolución de la AEPD impugnada en el proceso, así como en la relación de hechos probados y en el fundamento jurídico I de la propia resolución, resulta que en las cinco reclamaciones que dieron lugar a la incoación del procedimiento sancionador estaba directamente concernido, de manera expresa o implícita, el documento emitido por BBVA denominado «Declaración de actividad económica y política de protección de datos personales», documento este al que varios de los reclamantes dedicaban menciones expresas, con aportación de la información disponible en la App de BBVA y de formularios cumplimentados al amparo de la citada «Declaración de actividad…»; ello sin perjuicio de la aportación al expediente del documento completo por parte de BBVA. Por tanto, no cabe apreciar que se haya vulnerado el principio de seguridad jurídica por el hecho de que en el curso del procedimiento sancionador haya sido examinado y valorado el contenido del documento al que nos venimos refiriendo, ni es 13 cierto que tal examen se haya producido de manera sorpresiva tras haberlo aportado BBVA como documento en su defensa frente a una de las reclamaciones.

2) No ha existido vulneración del principio de interdicción de la arbitrariedad de los poderes públicos; y no es cierto que la AEPD decidiese de manera arbitraria y sorpresiva para BBVA, sin conocimiento alguno por parte de la entidad bancaria, ampliar el contenido del expediente a cuestiones en nada relacionadas con las reclamaciones que habían dado origen a su actuación. Muy al contrario, además de reiterar que en aquellas reclamaciones originarias había referencias expresas o implícitas al documento de BBVA denominado «Declaración de actividad económica y política de protección de datos personales», fácilmente se constata que ya en el acuerdo de incoación del procedimiento sancionador (véase antecedente octavo de la resolución administrativa sancionadora) se hacía expresa referencia a las imprecisiones, insuficiencias y carencias de ese documento emitido por BBVA y a las infracciones que tales deficiencias podrían albergar. Y sobre todo ello tuvo ocasión BBVA de formular alegaciones, y efectivamente lo hizo, tanto cuando se le dio traslado de aquel acuerdo de inicio del procedimiento (antecedente noveno de la resolución sancionadora) como, más adelante, cuando se le notificó la propuesta de resolución (antecedente decimotercero de la resolución de la AEPD). En tales ocasiones la representación de BBVA alegó la inexistente vinculación entre las infracciones que se le imputaban y el contenido de las reclamaciones que habían dado origen al expediente (véase, en particular, antecedente decimotercero, apartado 2, de la resolución administrativa); y a tal alegato dio respuesta razonada la AEPD en el fundamento jurídico primero de su resolución.

3) No cabe considerar vulnerado el principio de culpabilidad por el hecho de que la resolución sancionadora tenga su origen en (solo) cinco reclamaciones frente a un total de más de ocho millones de clientes de BBVA, pues lo relevante no es el número de denunciantes sino lo que resulte de sus reclamaciones y del documento denominado «Declaración de actividad económica y política de protección de datos personales», cuyo examen han propiciado aquellas cinco reclamaciones, aunque podría haber sido solo una.

B/ Es cierto que la AEPD, podría haber examinado el documento de BBVA denominado «Declaración de actividad económica y política de protección de datos personales» aunque no hubieran existido las reclamaciones de cinco clientes de la entidad bancaria; examen que podría haber llevado a cabo, de oficio, en el ejercicio de las potestades que, como autoridad de control en materia de protección de datos personales, le confieren los artículos 51 y siguientes de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) («potestades de investigación y planes de auditoría preventiva»), en concordancia con lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016.

Sin embargo, en el caso que los ocupa el examen del citado documento de BBVA lo realiza la AEPD en el seno de un procedimiento sancionador que tuvo su origen en cinco reclamaciones formuladas por diferentes clientes de la entidad bancaria. La inserción de ese examen del documento en el procedimiento sancionador la explica la resolución sancionadora (fundamento jurídico III) del modo siguiente:

<< (…) tanto el RGPD como la LOPDGDD consideran que una reclamación de un afectado puede ser la vía o el medio de llevar a conocimiento de la autoridad de control una posible infracción de la normativa de protección de datos pero en ningún caso restringe la actuación de la autoridad de control a la específica y concreta queja de los afectados. Y ello por mucha razones, entre las que destaca, como puede ser el caso en el presente procedimiento, que de la confluencia de varias reclamaciones de personas individuales afectadas se ponga de manifiesto una actuación del responsable que con carácter general (esto es, no sólo en los casos concretos presentados por los reclamantes) de la que resulte que dichos casos concretos son el reflejo de una pauta o política común aplicada a todas aquellas personas afectadas que estén en el mismo caso que los interesados.

Con un ejemplo distinto del procedimiento actual podrá entenderse más claramente. Podría considerarse que una entidad incurre en una infracción de la normativa de protección de datos en un caso concreto cuando dicha actuación individualmente considerada supone un desvío de la norma o de las políticas generales de la empresa (por ejemplo, la introducción de una deuda en un archivo de morosos en un caso puntual incumpliendo su propia política de privacidad); pero cuando una actuación que se considera incorrecta deriva de una política general adoptada por el responsable del tratamiento, de manera que no se trata de errores puntuales en cinco casos, sino que dichos cinco casos son tan sólo el botón o la muestra de una política general adoptada que se considera en infracción del RGPD, la infracción no reside exclusivamente en los cinco casos examinados sino en la política de privacidad adoptada por el responsable. Será dicha política de privacidad la que constituya una infracción del RGPD, y no solamente las infracciones concretas basadas en dicha política de privacidad>>.

Y más adelante, en el mismo fundamento jurídico III de su resolución, la AEPD señala: << (…) En base a lo expuesto, todas estas reclamaciones tienen que ver con tratamientos de datos personales de los reclamantes que BBVA ampara en el consentimiento prestado por los titulares de los datos mediante la firma de la repetida «Declaración de Actividad Económica y Política de Protección de Datos». Para valorar la regularidad de estos tratamientos resulta imprescindible analizar el consentimiento prestado y su validez, para lo que resulta determinante, en especial, comprobar la información ofrecida en materia de protección de datos personales y los mecanismos habilitados para recabar el consentimiento de los afectados, sin olvidar el resto de principios y garantías establecidos en la normativa aplicable.

En consecuencia, la AEPD, ha decidido analizar la repercusión del repetido documento «Declaración de actividad económica y política de protección de datos personales», el cual contiene la información que BBVA facilita prioritariamente a sus clientes y los mecanismos de recogida de consentimientos. A la vista de las deficiencias advertidas en el mismo respecto de la normativa de protección de datos, resulta que tales deficiencias tienen un alcance general, de modo que se ven afectados todos los clientes de la entidad, y no sólo los cinco reclamantes, de lo que resultaría, conforme se ha expuesto, que la infracción no se produce exclusivamente respecto de los cinco reclamantes, sino con carácter general como consecuencia de dicha política de privacidad>>.

Esta Sala comparte esas explicaciones ofrecidas en la resolución de la AEPD. Y, expresándolas aquí con la mirada puesta en el caso que se resuelve pero, al mismo tiempo, con una proyección de alcance más general, consideramos oportuno señalar que en el curso de un procedimiento sancionador iniciado a raíz de una o varias reclamaciones en materia de protección de datos personales, cuando se aprecie que las infracciones singulares denunciadas tienen sus origen común en un documento o instrumento de alcance general que define la política de la entidad en materia de protección de datos, la AEPD puede, y aun debe, hacer objeto del procedimiento sancionador a ese mismo documento que alberga la política de privacidad de la entidad responsable, a fin de examinarlo, detectar sus posibles carencias o deficiencias, y adoptar, en consecuencia, las medidas que resulten necesarias en el seno del propio procedimiento sancionador; en el bien entendido que de todo ello habrá de darse conocimiento al sujeto del expediente, de manera que durante la tramitación del procedimiento pueda este tener ocasión de formular alegaciones y, en su caso, proponer pruebas, sin que en ningún caso pueda producirse indefensión.

En fin, discrepamos de las razones que expone la sentencia recurrida pues, como antes hemos señalado, desde el momento mismo del inicio del procedimiento sancionador la AEPD puso de manifiesto que habría de ser objeto de examen el documento emitido por BBVA denominado «Declaración de actividad económica y política de protección de datos personales», que por sus ambigüedades y carencias podría albergar determinadas infracciones de la normativa en materia de protección de datos personales. Y de ello tuvo pleno conocimiento BBVA desde aquel primer momento, que durante la tramitación del procedimiento tuvo ocasión de formular alegaciones, y efectivamente lo hizo, sobre la supuesta desviación en el objeto del procedimiento sancionador.

TERCERO.- Matización a la manera en que aparece formulada en el auto de admisión del recurso la cuestión de interés casacional; y respuesta de esta Sala.

Como vimos, el auto de admisión del presente recurso plantea como cuestión de interés casacional la consistente en << (…) determinar si, presentada una reclamación ante la Agencia Española de Protección de Datos, la actuación de ésta queda vinculada al contenido de dicha reclamación, en concreto a los hechos objeto de reclamación y a su encaje y tipificación en los tipos descritos en la norma, o si puede tramitar y resolver el procedimiento sancionador al margen de las causas y los hechos en los que se fundan las reclamaciones presentadas>>. Pues bien, entendemos que la cuestión así formulada puede resultar equívoca, pues, al preguntar si es legítimo que el objeto del procedimiento sancionador se aparte de las causas y los hechos en los que se fundan las reclamaciones que dieron origen a su incoación parece dar por cierto que tal apartamiento ha existido; lo que, según hemos razonado en el apartado anterior, no se corresponde con la realidad de lo sucedido.

Para no incurrir en reiteraciones, nos remitimos a lo que ya hemos razonado en el sentido de que en las cinco reclamaciones que dieron lugar a la incoación del procedimiento sancionador ya estaba directamente concernido el documento emitido por BBVA denominado «Declaración de actividad económica y política de protección de datos personales»; que no es cierto que el examen del citado documento en el seno del procedimiento sancionador se produjese de manera sorpresiva para BBVA; y que tampoco lo es que la AEPD decidiese de manera arbitraria, sin conocimiento alguno por parte de la entidad bancaria, ampliar el contenido del expediente a cuestiones en nada relacionadas con las reclamaciones que habían dado origen a su actuación.

También hemos dejado señalado que ya en el acuerdo de incoación del procedimiento sancionador se hacía expresa referencia a las imprecisiones, insuficiencias y carencias de ese documento emitido por BBVA y a las infracciones que tales deficiencias podrían albergar; que sobre todo ello tuvo ocasión BBVA de formular alegaciones; y que la AEPD dio respuesta razonada (fundamento jurídico I de su resolución) al alegato de BBVA sobre la inexistente vinculación entre las infracciones que se le imputaban y el contenido de las reclamaciones que habían dado origen al expediente. Con esas precisiones sobre la manera en que el auto de admisión del recurso formula la cuestión de interés casacional, la cuestión a dilucidar consiste en realidad en si, en la incoación, tramitación y resolución de un procedimiento sancionador, la Agencia Española de Protección de Datos queda vinculada, y en qué forma y grado, por el contenido de la reclamación que ante ella se haya presentado. Y, formulada la cuestión en esos términos, para responderla debemos declarar lo que sigue: La Agencia Española de Protección de Datos, en la incoación, tramitación y resolución de un procedimiento sancionador, puede abordar cuestiones fácticas y jurídicas conexas o relacionadas con los hechos y argumentos recogidos en la reclamación que da origen al procedimiento. Y, más específicamente, en el curso de un procedimiento sancionador iniciado a raíz de una o varias reclamaciones en materia de protección de datos personales, cuando se aprecie que las infracciones singulares denunciadas tienen sus origen común en un documento o instrumento de alcance general que define la política de la entidad en materia de protección de datos, la AEPD puede, y aun debe, hacer objeto del procedimiento sancionador a ese mismo documento que alberga la política de privacidad de la entidad responsable, a fin de examinarlo, detectar sus posibles carencias o deficiencias, y adoptar, en consecuencia, las medidas que resulten necesarias en el seno del propio procedimiento sancionador; en el bien entendido de que de todo ello habrá de darse conocimiento al sujeto del expediente, de manera que durante la tramitación del procedimiento pueda este tener ocasión de formular alegaciones y, en su caso, proponer pruebas, sin que en ningún caso pueda producirse indefensión.

CUARTO.- Resolución del presente recurso y costas procesales.

De acuerdo con lo expuesto en los apartados anteriores, procede que declaremos haber lugar al recurso de casación interpuesto por la Agencia Española de Protección de Datos contra la sentencia de la Sección 1ª de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional de 23 de diciembre de 2022 (recurso contencioso-administrativo nº 104/2021), que debe quedar casada y sin efecto.

Y, en su lugar, entrando esta a Sala a resolver la controversia planteada, procede desestimar el recurso contencioso-administrativo interpuesto por en representación de Banco Bilbao Vizcaya Argentaria S.A. (BBVA) contra la resolución de la Directora de la Agencia Española de Protección de Datos de fecha 18 de noviembre de 2020 (PS/00070/2019).

Por lo demás, de conformidad con lo dispuesto en los artículos 93.4, 139.1 y 139.4 de la Ley reguladora de esta Jurisdicción, entendemos que no procede la imposición de las costas de casación a ninguna de las partes; y tampoco las costas del proceso de instancia, por existir serias dudas de derecho, como pone de manifiesto la discrepancia de parecer que se advierte entre la sentencia recurrida y la dictada ahora en casación.