Categoría: Judicial

los derechos digitales.
El Ministerio Fiscal propone, por el contrario, que se dicte sentencia en la que se otorgue parcialmente el amparo por vulneración del derecho a la protección de datos del recurrente (art. 18.4 CE), causada por la publicación de la sanción en el BOE, y que se desestime el amparo respecto a la vulneración de las garantías del procedimiento sancionador y del principio de proporcionalidad en relación con los artículos 24.2 y 25 CE.
Debemos determinar, pues, si a tenor de los preceptos invocados (arts. 18.4, 24.2 y 25 CE) la decisión de publicar la sanción impuesta por la CNMV en el BOE resulta constitucionalmente legítima o por el contrario vulnera el contenido de esos derechos fundamentales. En el presente caso el enjuiciamiento puede iniciarse desde la perspectiva de cualquiera de los dos derechos alegados, en el bien entendido de que si el recurso prospera por uno de ellos no es necesario entrar en el análisis del segundo.
2. Sobre la vulneración de las garantías que rigen el ejercicio de la potestad sancionadora de la administración (arts. 24.2 y 25 CE).
El demandante alega, en primer lugar, que la publicación en el BOE de la sanción por infracción muy grave que le impuso la CNMV, conforme a lo dispuesto en el artículo 304 TRLMV (antes art. 102.2 LMV), vulnera las garantías que rigen en el procedimiento sancionador (art. 24.2 CE) y el principio de proporcionalidad que rige en la aplicación de las sanciones (art. 25 CE). Tal alegación parte de la premisa de que la publicación de la sanción en el BOE tiene en sí misma carácter materialmente sancionador y que la CNMV, al ordenarla «de plano» una vez la sanción fue firme en vía administrativa, no ha respetado las garantías que impone el artículo 24.2 CE en el procedimiento administrativo sancionador, al no ofrecer al interesado la posibilidad de hacer alegaciones sobre la publicación, y por no permitir graduación alguna en función de las circunstancias del caso conforme al principio de proporcionalidad que rige en la imposición de sanciones. Para resolver estas primeras quejas es preciso examinar, con carácter previo, si la publicación en el BOE de la sanción muy grave impuesta al recurrente constituye, como alega la demanda, un acto de naturaleza sancionadoraper seo si responde a otras finalidades distintas a las punitivas y no puede ser considerada como sancionadora en sí misma, tal y como argumentan el abogado del Estado y el Ministerio Fiscal, y apreció en su momento la CNMV y confirmó la sentencia núm. 403/2019, de 12 de febrero, de la Sección Tercera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional.
A) Doctrina constitucional relevante sobre el ejercicio de la potestad sancionadora de la administración.
Desde la temprana STC 18/1981, de 8 de junio, FJ 2, este tribunal ha declarado que tanto los principios sustantivos del artículo 25.1 CE como las garantías procedimentales del artículo 24.2 CE son aplicables, con ciertos matices, al ejercicio de la potestad sancionadora de la administración. Tal y como precisa la STC 89/1995, de 6 de junio, FJ 4, es «doctrina reiterada de este tribunal y del Tribunal Europeo de Derechos Humanos (así, por ejemplo, SSTEDH. de 8 de junio de 1976, asuntoEngel y otros c. Holanda; de 21 de febrero de 1984, asuntoÖztürk c. Alemania; de 28 de junio de 1984, asuntoCambell y Fell c. Reino Unido; de 22 de mayo de 1990, asuntoWeber c. Suiza; de 27 de agosto de 1991, asuntoDemicoli c. Malta; de 24 de febrero de 1994, asuntoBendenoun c. Francia), la de que los principales principios y garantías constitucionales del orden penal y del proceso penal han de observarse, con ciertos matices, en el procedimiento administrativo sancionador y, así, entre aquellas garantías procesales hemos declarado aplicables el derecho de defensa (STC 4/1982) y sus derechos instrumentales a ser informado de la acusación (SSTC 31/1986, 190/1987, 29/1989) y a utilizar los medios de prueba pertinentes para la defensa (SSTC 2/1987, 190/1987 y 212/1990), así como el derecho a la presunción de inocencia (SSTC 13/1982, 36 y 37/1985, 42/1989, 76/1990 y 138/1990), derechos fundamentales todos ellos que han sido incorporados por el legislador a la normativa reguladora del procedimiento administrativo común».
Por otra parte, el Tribunal ha advertido –en los términos sistematizados en la STC 276/2000, de 16 de noviembre, FJ 3–, de la improcedencia de extender indebidamente la idea de sanción con la finalidad de obtener la aplicación de las garantías constitucionalmente propias de este campo a medidas que no responden al ejercicio delius puniendidel Estado o no tienen una verdadera naturaleza de castigos (entre otras, SSTC 239/1988, de 14 de diciembre, FJ 2; 164/1995, de 8 de noviembre, FJ 4; ATC 323/1996, de 11 de noviembre, FJ 3)». De manera que «ni elnomen iurisempleado por la administración o asignado por la ley, ni la clara voluntad del legislador de excluir una medida del ámbito sancionador, constituyen un dato decisivo a la hora de precisar si los artículos 24.2 y 25.1 CE resultan aplicables (SSTC 164/1995, FJ 4; y 239/1988, FJ 3)». Y tampoco basta por sí sola a estos efectos, por más que resulte significativa, la circunstancia de que la medida de que se trata «se imponga como consecuencia de un incumplimiento previo de las obligaciones derivadas de la relación jurídica existente entre el ciudadano y la administración, o que la reacción del Estado ante dicho incumplimiento consista en un acto restrictivo de derechos (STC 239/1988, FJ 2; ATC 323/1996, FJ 3)».
Como ha sostenido invariablemente el Tribunal en los casos en los que ha tenido que pronunciarse sobre si una consecuencia jurídica tiene o no carácter punitivo «habrá que atender, ante todo, a la función que tiene encomendada en el sistema jurídico. De modo que si tiene una función represiva y con ella se restringen derechos como consecuencia de un ilícito, habremos de entender que se trata de una pena o sanción en sentido material, pero si en lugar de la represión concurren otras finalidades justificativas deberá descartarse la existencia de una pena, por más que se trate de una consecuencia gravosa. Así, hemos negado la existencia de una función retributiva porque las medidas impugnadas tenían la finalidad de constreñir a la realización de una prestación o al cumplimiento de una obligación concreta (STC 239/1988, de 14 de diciembre, FJ 2), perseguían la simple aplicación del ordenamiento por la administración competente (STC 181/1990, de 14 de noviembre, FJ 4) o, en fin, tenían como único objetivo restablecer la legalidad conculcada (STC 119/1991, de 3 de junio, FJ 3)» (STC 185/2016, de 3 de noviembre, FJ 13). Además, hemos precisado igualmente que una cosa «es que las sanciones tengan, entre otras, una finalidad disuasoria, y otra bien distinta que toda medida con una finalidad disuasoria de determinados comportamientos sea una sanción […] pues resulta claro que la función disuasoria de una figura jurídica no determina sin más su naturaleza sancionadora (STC 164/1995, FJ 4; y en el mismo sentido STC 276/2000, FJ 4)» (STC 215/2016, de 15 de diciembre, FJ 8, y las allí citadas). De ahí que este tribunal haya negado carácter sancionador a determinadas medidas que, aunque tenían una función disuasoria, no cumplían al mismo tiempo una función de castigo.
B)  Aplicación de la jurisprudencia constitucional a la medida de publicación en el BOE de las sanciones impuestas por la CNMV.
Aplicando esta doctrina al caso que ahora examinamos, es evidente que la publicación en el BOE de las sanciones por infracciones muy graves tipificadas en el artículo 302 TRLMV refuerza el carácter disuasorio de dichas sanciones, y puede tener también un componente aflictivo adicional para quien pueda ver afectada su reputación por la publicación de la sanción firme que le ha sido impuesta. Pero para concluir que la publicación de la sanción en cuestión tiene en sí misma sentido sancionador y, por ende, le son aplicables las garantías de los artículos 24.2 y 25 CE, hay que determinar si respondeper se, de forma autónoma y preeminente, a la «finalidad represiva, retributiva o de castigo» que hemos venido destacando como específica de las sanciones (SSTC 239/1988, FJ 2; 164/1995, FJ 4; 276/2000, FJ 3).
a) Según la demanda, el hecho de que la imposición de la multa solo se publique cuando es firme es muestra de que la publicación tiene carácter sancionador, ya que si su finalidad primordial fuera informativa no se retrasaría la publicación hasta que la sanción adquiriera eficacia en vía administrativa (como prevé el texto refundido de la Ley del mercado de valores), sino que se publicaría desde su imposición. Tal argumento ha de ser rechazado. La previsión según la cual la publicidad de las sanciones por la comisión de infracciones muy graves y graves solo se lleva a efecto una vez que la resolución sancionadora es firme responde a la garantía que establece la legislación administrativa en el ámbito sancionador de que las sanciones no sean ejecutivas hasta que no sean firmes en vía administrativa (art. 90.3 Ley 39/2015, de 1 de octubre, del procedimiento administrativo común de las Administraciones públicas). Y uno de los efectos de este principio es que tanto la publicación en el registro público de sanciones de la CNMV, accesible a través de su página web, como en el BOE, se dispone tan solo una vez la sanción en cuestión deviene firme en vía administrativa.
b) Por otro lado, hay que descartar también el argumento de la demanda según el cual la publicación de la sanción en el BOE no responde a la función informativa de la CNMV, puesto que esta ha de desarrollarse únicamente por vías caracterizadas por la rapidez y la inmediatez (como la publicación de información en su página web), y dirigidas específicamente a los inversores, mientras que la publicación de una sanción en el BOE –que no es un medio dirigido a los inversores, sino al público general– indica claramente que la función de la medida es punitiva y, por tanto, disuasoria de la comisión de infracciones, y no, en absoluto, informativa. Este argumento no puede prosperar puesto que, tal y como sostiene en este caso el Ministerio Fiscal, la previsión legislativa del artículo 304 no puede entenderse desconectada de las funciones que tiene encomendada la CNMV como órgano público competente de la supervisión, inspección y sanción en los mercados de valores, y a la que compete velar «por la transparencia de los mercados de valores, la correcta formación de los precios en los mismos y la protección de los inversores, promoviendo la difusión de cuanta información sea necesaria para asegurar la consecución de esos fines» (art. 17 TRLMV).
En conexión con dichas funciones, el legislador ha dispuesto que la comisión de sanciones muy graves y graves sean objeto de difusión también a través del BOE, esto es, «el diario oficial del Estado español y medio de publicación de las leyes, disposiciones y actos de inserción obligatoria» (art. 1 del Real Decreto 181/2008, de 8 de febrero, de ordenación del diario oficial «Boletín Oficial del Estado»). Se recurre así a este medio con el fin de divulgar para general conocimiento de los inversores y operadores económicos, información relevante en relación con prácticas o conductas que distorsionan el buen funcionamiento del mercado, como el abuso de mercado y uso de información privilegiada. Sin que en este punto resulte tampoco determinante el argumento de la «celeridad» en la publicación, puesto que esta se dispone tanto en la web como en el BOE al mismo tiempo –una vez son firmes– y la diferencia que puede haber de hecho entre uno y otro medio –de apenas algunos días– no permite excluir que la previsión del artículo 304 se sitúe fuera del cometido que tiene atribuido la CNMV de promover la difusión de cuanta información sea necesaria para asegurar la consecución de sus fines. En definitiva, la publicación en el BOE de la sanción impuesta por infracción muy grave tiene en este caso como finalidad primordial proteger los intereses públicos de trasparencia y buen funcionamiento de los mercados de valores, y la transparencia en la labor de supervisión encomendada a la CNMV.
c) Por lo que respecta a las disposiciones de la Unión Europea sobre la publicación de sanciones por abuso de mercado que alega la demanda, su examen no hacen sino avalar esta misma conclusión tal y como destacan tanto el abogado del Estado como el Ministerio Fiscal: el artículo 14.4 de la Directiva 2003/6/CE del Parlamento y del Consejo, de 28 de enero de 2003, sobre las operaciones con información privilegiada y la manipulación del mercado (abuso del mercado), no lo incluía en su momento entre las sanciones que exigía tipificar e imponer a los Estados miembros, sino que lo establecía como una posibilidad otorgada a la autoridad nacional competente, salvo en unos supuestos muy determinados (entre los que se encontraba que causara «un daño desproporcionado a las partes implicadas»). En la actualidad el Reglamento (UE) núm. 596/2014 del Parlamento Europeo y del Consejo, de 16 de abril de 2014, sobre el abuso de mercado (Reglamento EU sobre abuso de mercado) que ha derogado y sustituye, entre otras, a la Directiva 2003/6/CE, precisa que la obligación que tienen las autoridades nacionales –con carácter general y salvo algunas excepciones como la ya mencionada– de publicar las sanciones impuestas por infracciones del mismo responde a los siguientes fines: «asegurar que las decisiones adoptadas por las autoridades competentes tienen un efecto disuasorio en el público», «que las autoridades competentes informen a los participantes en el mercado sobre las conductas que se considera que constituyen una infracción», y «promover conductas más adecuadas entre los participantes en el mercado» (Considerando 73). Por otra parte, una vez descartada la naturaleza sancionadora de la publicación en el BOE de las infracciones muy graves que dispone el artículo 304 TRLMV y, por ende, la aplicación a dicha medida de las garantías constitucionales de los artículos 24.2 y 25 CE, no corresponde a este tribunal entrar a juzgar si tal disposición (o en su momento el artículo 102.2 LMV) era o no una correcta transposición del artículo. 14.4 de la Directiva 2003/6/CE sobre abuso del mercado por no incorporar una previsión que recogiera de forma expresa y en los mismos términos las posibles excepciones a la publicación.
d) Cabe advertir, por último, que en el momento de imponerse la sanción por infracción muy grave del artículo 99, letra o), en relación con el artículo 81.2 LMV, el artículo. 304 TRLMV establecía de forma clara que la publicación en el BOE de las sanciones muy graves y graves era una consecuencia derivada de la imposición de dicha sanción una vez fuera firme. Resulta evidente, por tanto, que el recurrente la conocía de antemano y que durante el procedimiento administrativo tramitado con motivo de la misma tuvo ocasión de hacer valer sus derechos y las garantías exigibles conforme al artículo. 24.2 CE, como se pone de manifiesto en las extensas alegaciones en relación con la publicación de la sanción que constan en el recurso de alzada, de fecha 18 de junio de 2016, interpuesto ante el Ministerio de Economía y Competitividad por el demandante de amparo.
e) En definitiva, la publicación en el BOE de la resolución de 18 de mayo de 2016 por la que se impuso al recurrente una multa por importe de 30 000 euros por la comisión de una infracción muy grave de la Ley del mercado de valores no constituye una sanción, sino que se trata de una consecuencia anudada a la imposición de las sanciones graves prevista por la propia ley ahora en su artículo 304 TRLMV, y que no tieneper seuna función punitiva o de castigo. La finalidad primordial de la publicación en el diario oficial del Estado es advertir a los inversores de una actuación que puede afectar al buen funcionamiento del mercado financiero –en particular el abuso del mercado y el uso de información privilegiada–, y garantizar la transparencia y eficacia en la labor de supervisión que lleva a cabo la CNMV; no la de «infligir al infractor un perjuicio». Por consiguiente, a la resolución por la que se dispone simplemente la publicación dispuesta por el artículo 304 TRLMV no le son directa y autónomamente aplicables las garantías de los artículos 24.2 y 25 CE que debe respetar la administración cuando ejerce la potestad sancionadora.
En cualquier caso, aun cuando se pretendiera sostener que el carácter aflictivo y disuasorio de esta publicación la asimilara a una medida sancionadora, lo cierto es que no cabe apreciar en absoluto la vulneración denunciada de las garantías establecidas en los artículos 24.2 y 25 CE que debe respetar la administración cuando ejerce la potestad sancionadora, dado que la condición de consecuencia anudada de manera imperativa y necesaria a la sanción impuesta por la comisión de una infracción muy grave de la Ley del mercado de valores determina que las garantías respetadas en el procedimiento de imposición de esta sanción son aplicables a la consecuencia necesaria de publicación que lleva anudada, sin que pueda exigirse una reiteración autónoma del procedimiento de imposición de la sanción a los meros efectos de la ejecución de la consecuencia necesaria que dicha infracción conlleva.
Procede, en atención a lo expuesto, la desestimación íntegra de este motivo.
3. Sobre la vulneración del derecho fundamental a la protección de datos personales (art. 18.4 CE).
La resolución de 27 de junio de 2017 por la que se publica en el BOE la sanción por infracción muy grave impuesta al ahora demandante en aplicación del artículo 304 TRLMV, incluyó, conforme disponía entonces el artículo 275.3 TRLMV, información sobre «el tipo y la naturaleza de la infracción y la identidad del sancionado».
La demanda alega, por las razones ya expuestas, que dicha resolución vulnera su derecho fundamental a la protección de datos personales, consagrado en el artículo 18.4 CE, según el cual: «La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos». Sostiene, en concreto, que la publicación en el BOE vulnera el principio de proporcionalidad y de temporalidad que deben regir en el tratamiento de datos personales.
Para dar respuesta a esta alegación es necesario examinarla a la luz tanto de la jurisprudencia constitucional sobre el contenido, alcance y limitaciones de este derecho, como del desarrollo del mismo al que ha procedido el legislador, conforme al mandato del artículo 18.4 CE, junto al Derecho de la Unión Europea, y, en su caso de los instrumentos jurídico-internacionales en este ámbito –en particular el Convenio núm. 108 del Consejo de Europa para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal– que constituyen a tenor del artículo 10.2 CE, valiosos criterios hermenéuticos del sentido y alcance mínimo de los derechos y libertades que la Constitución reconoce (STC 76/2019, FJ 3).
A)  Régimen jurídico de la protección de datos personales y de la publicación de la sanción impuesta.
Con carácter previo, es preciso exponer brevemente, por una parte, el régimen jurídico aplicable a la protección de datos, y, por otra, el relativo a la supervisión y sanción por abuso del mercado y por uso de información privilegiada. Se expondrá fundamentalmente las disposiciones nacionales y de la Unión Europea aplicables en el momento de adoptar la CNMV las resoluciones objeto de este recurso, sin perjuicio de que se hará también referencia a las modificaciones que han experimentado estas normas con carácter ulterior, en tanto en cuanto han sido invocadas por el recurrente y en las alegaciones del abogado del Estado y del Ministerio Fiscal, y a los efectos de determinar si pueden ser aplicables y, en su caso, en qué grado, en la resolución de ese recurso de amparo. Por último, se examina sucintamente, en lo que aquí interesa, la normativa que regula el «Boletín Oficial del Estado».
a) Comenzando por el régimen jurídico de la protección de datos personales, la norma rectora vigente en el momento de la publicación de la sanción era la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Su ámbito objetivo de aplicación, conforme a su artículo 2, comprende «los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado». El concepto «datos de carácter personal» se define en su artículo 3 como «cualquier información concerniente a personas físicas identificadas o identificables» [letra a)]; el término «fichero» lo define como «conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso» [art. 3 b)]; y el de «tratamiento de datos» abarca todas las «operaciones y procedimientos técnicos, de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias» [letra c)]. En este caso resulta también especialmente relevante el término «cesión o comunicación de datos» como «toda revelación de datos realizada a persona distinta del interesado» [art. 3 i)]. En cuanto al término «fuentes accesibles al público» comprende, junto a «aquellos ficheros cuya consulta puede ser realizada, por cualquier persona, no impedida por una norma limitativa o sin más exigencia que, en su caso, el abono de una contraprestación», también los «diarios y boletines oficiales» [art. 3 j)].
En relación con los principios que rigen el tratamiento de los datos personales, el legislador español de 1999 estableció como regla general el «consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa» (art. 6.1 LOPD). En el caso concreto que aquí nos concierne, de «comunicación de datos personales a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario», el artículo 11.2 a) precisaba, en particular, que el consentimiento no era necesario «[c]uando la cesión está autorizada en una ley». La Ley Orgánica de protección de datos de carácter personal también regula los principios relativos a la «calidad de los datos» en su artículo 4, según el cual «solo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido» (apartado primero). Además, los datos de carácter personal «serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados. No serán conservados en forma que permita la identificación del interesado durante un período superior al necesario para los fines en base a los cuales hubieran sido recabados o registrados» (apartado quinto). Se formulan así, en estos términos, los principios de proporcionalidad y temporalidad que deben regir la recogida y tratamiento de datos personales, quedando regulado el derecho y procedimiento de cancelación en los artículos 16 y 17 LOPD. Finalmente, el artículo 7.5 LOPD dispone que «[l]os datos de carácter personal relativos a la comisión de infracciones penales o administrativas solo podrán ser incluidos en ficheros de las administraciones públicas competentes en los supuestos previstos en las respectivas normas reguladoras».
Por lo que respecta al papel del Derecho de la Unión Europea, la Carta de Derechos Fundamentales consagra en el apartado primero de su artículo 8 el derecho de toda persona «a la protección de los datos de carácter personal que le conciernan». En su apartado segundo exige que «[e]stos datos se tratarán de modo leal, para fines concretos y sobre la base del consentimiento de la persona afectada o en virtud de otro fundamento legítimo previsto por la ley. Toda persona tiene derecho a acceder a los datos recogidos que le conciernan y a obtener su rectificación». Conforme al artículo 52.1 de la Carta, cualquier limitación a este derecho «deberá ser establecida por la ley y respetar el contenido esencial de dichos derechos y libertades»; además, conforme al principio de proporcionalidad, «solo podrán introducirse limitaciones cuando sean necesarias y respondan efectivamente a objetivos de interés general reconocidos por la Unión o a la necesidad de protección de los derechos y libertades de los demás».
Por su parte, la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos –en vigor en el momento en que la CNMV adoptó las resoluciones objeto de este recurso de amparo–, sus disposiciones se aplicaban «al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero» (art. 3.1). En su considerando 27 explicaba que «la protección de las personas debe aplicarse tanto al tratamiento automático de datos como a su tratamiento manual; que el alcance de esta protección no debe depender, en efecto, de las técnicas utilizadas, pues la contrario daría lugar a riesgos graves de elusión; que, no obstante, por lo que respecta al tratamiento manual, la presente directiva solo abarca los ficheros, y no se aplica a las carpetas que no están estructuradas; que, en particular, el contenido de un fichero debe estructurarse conforme a criterios específicos relativos a las personas, que permitan acceder fácilmente a los datos personales». El concepto «dato personal» se definía como «toda información sobre una persona física identificada o identificable (el "interesado")». Por lo que al concepto de «tratamiento de datos personales» se refiere, en la letra b) del art. 2, a «cualquier operación o conjunto de operaciones, efectuadas o no mediante procedimientos automatizados, y aplicadas a datos personales, como la recogida, registro, organización, conservación, elaboración o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma que facilite el acceso a los mismos, cotejo o interconexión, así como su bloqueo, supresión o destrucción». Hay que recordar que, tal y como ha declarado este tribunal en diversas ocasiones, las disposiciones de la directiva son parámetro de interpretación del Derecho interno (SSTC 94/1998, de 4 de mayo, FJ 4; 144/1999, de 22 de julio, FJ 8; 202/1999, de 8 de noviembre, FJ 5; 70/2009, de 23 de marzo, FJ 2; 29/2013, de 11 de febrero, FJ 5, y 76/2019, FJ 3).
En definitiva, de una interpretación sistemática de las disposiciones de la Ley Orgánica de protección de datos de carácter personal, a la luz de la Directiva 95/46/CE, se deriva que para que estemos ante un tratamiento de datos personales objeto de protección conforme frente a la informática (art. 18.4 CE), dichos datos han de estar contenidos o estar destinados a ser incluidos en un conjunto estructurado u organizado de datos personales con arreglo a criterios determinados, es decir, en un fichero que permita acceder de forma sistemática a datos personales.
Tal y como pone de relieve la demanda, así como el abogado del Estado y el Ministerio Fiscal, la Unión Europea ha reformado posteriormente el marco global en la materia, derogando la Directiva 95/46/CE, y sustituyéndola por el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento general de protección de datos de la Unión Europea). Su ámbito material de aplicación se circunscribe también al «tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero» (art. 2.1 RGPD). Sin embargo, sus disposiciones –que tienen alcance general y son directamente aplicables en los ordenamientos nacionales conforme dispone el artículo 288 TFUE–, no comenzaron a ser de aplicación en los Estados miembros hasta el 25 de mayo de 2018 (art. 99.2 RGPD). Pocos meses después, y con el objeto adecuar el ordenamiento jurídico español al general de protección de datos de la Unión Europea se aprobó, asimismo, una nueva Ley Orgánica 3/2018, que derogó la Ley Orgánica de protección de datos personales, y precisa, en línea con el Reglamento general de protección de datos, que se «se aplica a cualquier tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero» (art. 2.1). Por lo que ahora interesa en relación con dichas normas –que no eran aplicables o no estaban en vigor en el momento de la adopción de las resoluciones objeto del recurso– regulan ahora de forma expresa y precisa, junto al derecho a la supresión de datos, el «derecho al olvido» (arts. 17 RGPD y 93 y 94 de la Ley Orgánica 3/2018).
b) Por lo que se refiere a la normativa dirigida a supervisar y prevenir la manipulación de los mercados de servicios financieros y, en particular, las operaciones con información privilegiada, ya hemos mencionado que la Directiva 2003/6/CE de abuso de mercado preveía la posibilidad de que la autoridad competente nacional pudiera revelar al público las medidas o sanciones impuestas por el incumplimiento de las medidas adoptadas de conformidad con la misma, con la salvedad de que «causaran un daño desproporcionado a las partes implicadas».
Los cambios normativos acaecidos en este ámbito con posterioridad, mediante el Reglamento de la Unión Europea de abuso de mercado que deroga la Directiva 2003/6/CE, son aplicables desde el 3 de julio de 2016 (art. 39.1); esto es, pocos días después de la imposición de la sanción de la CNMV al recurrente por resolución de 18 de mayo de 2016, pero antes de su publicación en el BOE. El artículo 34 de dicho Reglamento EU –cuyas disposiciones tienen alcance general y son aplicables directamente conforme al art. 288 TFUE– regula la publicación de las sanciones en el sitio web de las autoridades competentes, precisando que incluirá, «como mínimo», información sobre el tipo y la naturaleza de la infracción y la identidad de la persona destinataria de la decisión. Prevé, asimismo, que cuando, «en una evaluación caso por caso de la proporcionalidad de la publicación de la identidad de la persona jurídica destinataria de la decisión o de los datos personales de una persona física, la autoridad competente considere que la publicación de tales datos es desproporcionada» adoptará alguna de las medidas enunciadas en dicha disposición. No contiene, sin embargo, regulación alguna sobre la posible publicación en otros medios, como lo es un boletín oficial, y que queda en el ámbito del ordenamiento puramente interno.
En cuanto al legislador nacional, este optó ya en la Ley del mercado de valores por una doble vía de publicación de las sanciones en este ámbito: en el BOE (recogida en el art. 304 TRLMV); y en un registro de la CNMV accesible a través de su sitio web, en la que se actualiza información sobre el estado en que se encuentra cualquier recurso interpuesto y el resultado del mismo (art. 275.2 TRLMV). Por su parte, el Real Decreto-ley 14/2018, de 28 de septiembre, por el que se modifica el texto refundido de la Ley del mercado de valores (en vigor desde el 30 de septiembre de 2019), ha introducido un nuevo art. 313quaterque permite excepcionar la regla general de publicidad de la sanciones muy graves y graves en el BOE prevista en el artículo 304 TRLMV para posibilitar a la CNMV, en determinados supuestos, ponderar la proporcionalidad de la medida. Disposiciones estas que tampoco eran aplicables en el momento de adoptar la CNMV las resoluciones aquí en cuestión.
c) Finalmente, y por lo que se refiere al régimen de publicación en el BOE, la Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los servicios públicos, dispuso en su artículo 11.2 que la publicación electrónica del mismo «tendrá carácter oficial y auténtico en las condiciones y con las garantías que se determinen reglamentariamente». Por Real Decreto 181/2008, de 8 de febrero, de ordenación del diario oficial «Boletín Oficial del Estado» se dio cumplimiento a este mandato legal y, según la exposición de motivos, pone de relieve que «a través de las nuevas redes electrónicas (y muy especialmente por la red "Internet") sitúa la publicación normativa en un plano de accesibilidad y propagación muy superior a todo lo hasta ahora conocido». Conforme a su artículo 1: «El "Boletín Oficial del Estado", diario oficial del Estado español, es el medio de publicación de las leyes, disposiciones y actos de inserción obligatoria». Por su parte, el art. 17 establece que «la Agencia Estatal "Boletín Oficial del Estado" ofrecerá en su sede electrónica, con carácter diferenciado a la edición electrónica del "Boletín Oficial del Estado", una base de datos gratuita que permita la búsqueda, recuperación e impresión de las disposiciones, actos y anuncios publicados en el "Boletín Oficial del Estado", con sujeción a lo establecido en la normativa de protección de datos personales».
B)  Jurisprudencia constitucional sobre el alcance y contenido del derecho fundamental a la protección de datos de carácter personal. En particular, el control de las limitaciones impuestas por el legislador al mismo en virtud del principio de proporcionalidad.
a) La definición, contenido y alcance del derecho a la protección de datos se aborda en profundidad por el Tribunal en la STC 292/2000, de 30 de noviembre, FFJJ 5 a 9, en la que se examinó la constitucionalidad de varios preceptos de la Ley Orgánica de protección de datos de carácter personal, y que ha sido sintetizada más recientemente en la STC 76/2019, de 22 de mayo, FJ 5, a la que se refieren en particular la demanda, así como el Ministerio Fiscal y la Abogacía del Estado. En relación con esta última, conviene recordar también el contexto en la que se adopta: esta Sentencia enjuicia la inconstitucionalidad de la disposición final tercera, apartado dos, de la Ley Orgánica 3/2018, por posibilitar la recopilación por los partidos políticos de datos personales relativos a las opiniones políticas de los ciudadanos; aborda, en definitiva, la recogida y tratamiento de «datos sensibles» especialmente protegidos que exigen un nivel superior y específico de garantías, sin que el legislador nacional hubiera establecido en este caso reglas claras y precisas que delimiten la injerencia al derecho fundamental de protección de estos datos personales y garanticen la protección del núcleo esencial de este derecho.
En relación con la naturaleza y alcance del derecho a la protección de datos personales, y tal y como recuerda la STC 292/2000, FJ 5, la doctrina constitucional ha definido el derecho a la protección de datos como un instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los restantes derechos de los ciudadanos que, además, es en sí mismo «un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos, lo que la Constitución llama "la informática", lo que se ha dado en llamar "libertad informática" (STC 254/1992, FJ 6, reiterado luego en las SSTC 143/1994, FJ 7; 11/1998, FJ 4; 94/1998, FJ 6; 202/1999, FJ 2)». Y precisa que la llamada «libertad informática» «es así el derecho a controlar el uso de los mismos datos insertos en un programa informático (habeas data) y comprende, entre otros aspectos, la oposición del ciudadano a que determinados datos personales sean utilizados para fines distintos de aquel legítimo que justificó su obtención». O, en los términos formulados previamente en la STC 290/2000, de 30 de noviembre, FJ 7, está configurado por «un conjunto de derechos que el ciudadano puede ejercer frente a quienes sean titulares, públicos o privados, de ficheros de datos personales».
El contenido de este derecho, sintetizado más recientemente en la STC 76/2019, FJ 5, «consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso»; estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos, «se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular». A su vez, «ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos», «exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que los rectifique o los cancele» (STC 292/2000, FJ 7).
b) Por lo que respecta a sus límites, el Tribunal precisó ya en la STC 292/2000, FJ 11, que «el derecho a la protección de datos no es ilimitado, y aunque la Constitución no le imponga expresamente límites específicos, ni remita a los poderes públicos para su determinación como ha hecho con otros derechos fundamentales, no cabe duda de que han de encontrarlos en los restantes derechos fundamentales y bienes jurídicos constitucionalmente protegidos, pues así lo exige el principio de unidad de la Constitución (SSTC 11/1981, de 8 de abril, FJ 7; 196/1987, de 11 de diciembre, FJ 6; y respecto del artículo 18, la STC 110/1984, FJ 5)». Tras recordar que «la ley es la única habilitada por la Constitución para fijar los límites a los derechos fundamentales y, en el caso presente, al derecho fundamental a la protección de datos», declara que «esos límites no pueden ser distintos a los constitucionalmente previstos, que para el caso no son otros que los derivados de la coexistencia de este derecho fundamental con otros derechos y bienes jurídicos de rango constitucional, el apoderamiento legal que permita a un poder público recoger, almacenar, tratar, usar y, en su caso, ceder datos personales, solo está justificado si responde a la protección de otros derechos fundamentales o bienes constitucionalmente protegidos. Por tanto, si aquellas operaciones con los datos personales de una persona no se realizan con estricta observancia de las normas que lo regulan, se vulnera el derecho a la protección de datos, pues se le imponen límites constitucionalmente ilegítimos, ya sea a su contenido o al ejercicio del haz de facultades que lo componen. Como lo conculcará también esa ley limitativa si regula los límites de forma tal que hagan impracticable el derecho fundamental afectado o ineficaz la garantía que la Constitución le otorga».
c) En cuanto a los requisitos que, de acuerdo con la doctrina constitucional, debe cumplir toda habilitación legal que limite o condicione el ejercicio de un derecho fundamental conforme al artículo 53.1 CE, la STC 76/2019, FJ 5, recuerda que ha de responder a una doble exigencia: por un lado, la necesaria intervención de la ley; y, por otro lado, esa norma legal reúna «todas aquellas características indispensables como garantía de la seguridad jurídica», esto es, «ha de expresar todos y cada uno de los presupuestos y condiciones de la intervención» (por todas STC 49/1999, FJ 4). De modo que, como señalamos en la STC 292/2000, FJ 15, aun teniendo un fundamento constitucional, las limitaciones del derecho fundamental establecidas por una ley «pueden vulnerar la Constitución si adolecen de falta de certeza y previsibilidad en los propios límites que imponen y su modo de aplicación»; lo cual «no solo lesionaría el principio de seguridad jurídica (art. 9.3 CE), concebida como certeza sobre el ordenamiento aplicable y expectativa razonablemente fundada de la persona sobre cuál ha de ser la actuación del poder aplicando el Derecho (STC 104/2000, FJ 7, por todas), sino que al mismo tiempo dicha ley estaría lesionando el contenido esencial del derecho fundamental así restringido, dado que la forma en que se han fijado sus límites lo hacen irreconocible e imposibilitan, en la práctica, su ejercicio (SSTC 11/1981, de 8 de abril, FJ 15; 142/1993, de 22 de abril, FJ 4, y 341/1993, de 18 de noviembre, FJ 7)».
En relación con la cesión de datos entre administraciones públicas sin consentimiento del afectado, en particular, el Tribunal ha declarado que «únicamente será posible, fuera de los supuestos expresamente previstos por la propia Ley Orgánica de protección de datos, si existe previsión legal expresa para ello [art. 11.2 a) en relación con el 6.1 LOPD] ya que, a tenor de lo dispuesto en el artículo 53.1 CE, los límites al derecho a consentir la cesión de los datos a fines distintos para los que fueron recabados están sometidos a reserva de ley. Reserva legal que, como es obvio, habrá de cumplir con los restantes requisitos derivados de nuestra doctrina –esencialmente, basarse en bienes de dimensión constitucional y respetar las exigencias del principio de proporcionalidad– para poder considerar conforme con la Constitución la circunstancia de que la norma legal en cuestión no contemple, por tanto, la necesidad de contar con el consentimiento del afectado para autorizar la cesión de datos» (STC 17/2013, de 31 de enero, FJ 4).
Hemos de recordar, en fin, que el control de una medida legislativa a la luz de las «exigencias del principio de proporcionalidad» se articula en dos fases: a) la primera parte de ese canon de control consiste en examinar que la norma persigue una finalidad constitucionalmente legítima, y b) la segunda parte implica revisar si la medida legal se ampara en ese objetivo constitucional de un modo proporcionado (por todas, STC 60/2010, de 7 de octubre, FJ 9). Esta segunda fase de análisis exige, a su vez, verificar, sucesivamente el cumplimiento de «la triple condición de (i) adecuación de la medida al objetivo propuesto (juicio de idoneidad); (ii) necesidad de la medida para alcanzar su objetivo, sin que sea posible su logro a través de otra más moderada con igual eficacia (juicio de necesidad) y (iii) ponderación de la medida por derivarse de ella más beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en conflicto (juicio de proporcionalidad en sentido estricto)» (por todas, STC 64/2019, de 9 de mayo, FJ 5). Además, tal y como hemos precisado en la STC 99/2019, de 18 de julio, FJ 6, es necesario tener en consideración las siguientes dos observaciones antes de emprender el análisis de la conformidad de una ley con el principio de proporcionalidad:
(i) La primera observación atiende a la delimitación de las funciones respectivas del legislador y de este tribunal, puesta de relieve en la STC 55/1996, FJ 6, en la que después de establecer que cabía el control de proporcionalidad de la ley, el Tribunal matizó su afirmación para tomar en cuenta «"[l]a posición constitucional del legislador", que "obliga a que la aplicación del principio de proporcionalidad para controlar constitucionalmente sus decisiones deba tener lugar de forma y con intensidad cualitativamente distinta a las aplicadas a los órganos encargados de interpretar y aplicar las leyes"». El Tribunal ha reconocido así que la función que el artículo 53.1 CE encomienda al legislador de definir el ámbito de tutela de los derechos fundamentales «entraña un margen de configuración muy extenso, amplio margen que el Tribunal ha proyectado también en relación a los principios constitucionales (STC 60/2010, FJ 7)». Será, por tanto, el legislador quien en principio concretará las condiciones en que puede ejercerse el derecho a la protección de datos personales. No obstante, también ha precisado que hay decisiones del legislador en las que ««cuando entran en colisión derechos fundamentales o determinadas limitaciones a los mismos en interés de otros bienes y derechos constitucionalmente protegidos, la función del interprete constitucional alcanza la máxima importancia "y se ve obligado –como dice la STC 53/1985– a ponderar los bienes y derechos en función del supuesto planteado, tratando de armonizarlos si ello es posible o, en caso contrario, precisando las condiciones y requisitos en que podría admitirse la prevalencia de uno de ellos" (SSTC 64/2019, de 9 de mayo, FJ 5, y 215/1994, de 14 de julio, FJ 2)».
(ii) La segunda observación es de carácter sustantivo, y pone de relieve «que el alcance del enjuiciamiento constitucional del legislador resulta dependiente "del objeto sobre el que este se proyecte o del tipo de decisiones que incorpore", de tal modo que "cuanto más intensa sea la restricción de los principios constitucionales y, en particular, de los derechos y libertades reconocidos en el texto constitucional, tanto más exigentes son los presupuestos sustantivos de la constitucionalidad de la medida que los genera" (STC 60/2010, FJ 7)».
C)  Aplicación de la jurisprudencia al supuesto enjuiciado.
Estamos ya en situación de dar respuesta a las alegaciones de la demanda.
En primer lugar, de una interpretación sistemática de la normativa examinada, y a la luz de la doctrina constitucional expuesta, hay que concluir que la comunicación a la Agencia Estatal «Boletín Oficial del Estado» de la resolución emitida por la CNMV para su publicación en el BOE constituye un supuesto de tratamiento de datos personales protegido por el artículo 18.4 CE. A su vez, la publicación de esa resolución en el BOE constituye igualmente un tratamiento de datos personales objeto de dicha protección constitucional.
En el caso que ahora nos concierne, la remisión por la CNMV a la Agencia Estatal «Boletín Oficial del Estado» de la resolución por la que se acuerda publicar la sanción por infracción muy grave impuesta al recurrente, para su publicación en el BOE, se realiza en orden al cumplimiento de fines directamente relacionados con las funciones legítimas de las entidades cedente y cesionaria y cuenta con expresa habilitación legal (art. 304 TRLMV), por lo que no requiere del consentimiento del interesado [art. 11.2 a) LOPD]. En efecto, esa comunicación constituye un tratamiento de datos necesario para el cumplimiento de una obligación legal aplicable a la CNMV (publicar las sanciones por determinadas faltas); de igual modo, la publicación de la sanción en el BOE resulta exigible para el organismo editor de este diario oficial conforme a la misma habilitación legal. Ahora bien, la existencia de una base jurídica que legitima el tratamiento, tanto de la comunicación de la resolución como de su ulterior publicación oficial, no exime del cumplimiento del resto de los principios que rigen la protección de datos de carácter personal. Debemos examinar, por consiguiente, si como denuncia la demanda y estima también Ministerio Fiscal, la publicación en el BOE de la sanción vulnera el contenido esencial del derecho a la protección de datos personales (art. 18.4 CE), por no respetar los principios de proporcionalidad y temporalidad previstos en la normativa que regula esta materia.
a) En primer lugar, procede examinar si la publicidad de las sanciones muy graves y graves, conforme dispone el artículo 304 TRLMV responde a una finalidad constitucional legítima, y si es idónea, necesaria y proporcionada para alcanzarla.
Tal y como hemos anticipado en el fundamento jurídico segundo de esta sentencia, esta medida tiene como finalidad primordial garantizar la transparencia de los mercados de valores, la correcta formación de los precios en los mismos y la protección de los inversores, promoviendo la CNMV la difusión de cuanta información sea necesaria para asegurar la consecución de esos fines, así como reforzar el carácter disuasorio de las sanciones frente a infracciones graves y muy graves (art. 17.2 en conexión con los arts. 282.6 y 304 TRLMV). Estamos, por consiguiente, ante finalidades legítimas que están vinculadas con la protección de bienes dignos de protección constitucional, como lo es la libertad de empresa en el marco de la económica de mercado y el deber de los poderes públicos de garantizar y proteger su ejercicio (art. 38 CE). Responde, además, a un interés general de toda la Unión Europea, tal y como pone de relieve el Reglamento EU sobre abuso de mercado, cuyos Considerandos primero y segundo destacan que «[l]a existencia de un auténtico mercado interior de servicios financieros es crucial para el crecimiento económico y la creación de empleo en la Unión», y que «[e]l buen funcionamiento de los mercados de valores y la confianza del público en los mercados son requisitos imprescindibles para el crecimiento económico y la riqueza. El abuso de mercado daña la integridad de los mercados financieros y la confianza del público en los valores y los instrumentos derivados». Y la publicación en el BOE de los comportamientos más lesivos para la i