Categoría: Judicial

ECLI:ES:TC:2022:42
La Sala Segunda del Tribunal Constitucional, compuesta por el magistrado don Juan Castro Carrasco Rubio, presidente; los magistrados don Antonio Sánchez Arias, don Cándido García-Pumpido Tourón, don Ramón Santiago Martín y don Enrique Vicente Vázquez, y la magistrada doña Concepción Mendoza Bravo, ha pronunciado
la siguiente
En el recurso de amparo núm. 4011-2020, promovido por la asociación Òmnium Cultural, contra el auto de 19 de junio de 2020, dictado por la Sección Primera de la Sala de lo Contencioso-Administrativo del Tribunal Supremo, que inadmitió a trámite el recurso de casación núm. 6960-2019, interpuesto contra la sentencia de 29 de abril de 2019, también impugnada, dictada por la Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, que, a su vez, había desestimado el recurso núm. 397-2017, formalizado contra la resolución R/00326/2017 de la directora de la Agencia Española de Protección de Datos de 4 de mayo de 2017, dictada en el PS/00391/2016, que confirmó en reposición la resolución R/00325/2017, de 22 de febrero, por la que se impuso a la recurrente una sanción de 90 000 € por una conducta de incumplimiento de la prohibición prevista en el art. 33 de la Ley Orgánica de protección de datos. Ha intervenido el Ministerio Fiscal. Ha sido ponente el magistrado don Antonio Sánchez Arias.
1. Mediante escrito, que tuvo entrada en el registro de este tribunal el día 20 de agosto de 2020, el procurador de los tribunales don Luis Gutiérrez González Bravo, en nombre y representación de la asociación Òmnium Cultural, defendida por el letrado don Manuel Martínez Gallego, interpuso recurso de amparo contra las resoluciones judiciales que se citan en el encabezamiento, por vulneración de sus derechos fundamentales a la legalidad sancionadora (art. 25.1 CE), en relación con el art. 9.3 CE; a la tutela judicial efectiva (art. 24.1 CE), por falta de motivación, en relación con el art. 120.3 CE; y a los derechos de asociación (art. 22 CE) y a la propiedad privada (art. 33 CE).
2. La demanda trae causa de los siguientes hechos:
a) En fecha 22 de febrero de 2017, la Agencia Española de Protección de Datos (en adelante, AEPD) dictó la resolución núm. R/00325/2017, por la que se impuso a la entidad ahora recurrente, Òmnium Cultural, y a la entidad Assemblea Nacional Catalana, una sanción de 90 000 € a cada una de ellas, por la comisión de una conducta de incumplimiento de la prohibición prevista en el art. 33 de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (LOPD), entonces vigente, que fue calificada como infracción tipificada como muy grave en el art. 44.4 d) LOPD. Esta resolución fue dictada en el marco del expediente sancionador PS/00391/2016, incoado a instancia de dos particulares, y en la que se consideraron acreditados los siguientes hechos:
«1. En fecha de 10/07/2014 OC y ANC firmaron un contrato con BSD, en calidad de responsables del fichero, cuya ejecución material suponía que un fichero –Ahora es la hora– del que son responsables las citadas entidades, estuviera alojado en los servidores de BSD [Blue State Digital, Inc.] sitos en Estados Unidos.
2. En el Registro General de Protección de Datos, por parte de ANC y OC se inscribió el fichero "Ahora es la hora", sin que conste marcado el campo relativo a transferencias internacionales de datos.
3. La sentencia del Tribunal de Justicia Europeo número C-362/14 de 6/10/2015, invalida la Decisión de la Comisión 2000/520/CE que considera que las transferencias internacionales de datos a Estados Unidos tenían un nivel adecuado de protección.
4. En fecha de 19/10/2015 se publica en la página web de la Agencia Española de Protección de Datos un comunicado donde se informa que, en relación con las transferencias internacionales de datos realizadas al amparo de la Decisión de la Comisión 2000/520/CE, las autoridades de protección de datos investigarán aquellos casos de los que tengan conocimiento a partir de denuncias para ejercer sus poderes con el fin de proteger a las personas, teniendo entrada en esta agencia dos denuncias de fecha 21/04/2016.
5. OC remitió comunicaciones por correo electrónico a BSD donde informa de su voluntad de rescindir el contrato de fecha 10/07/2014, al no ser posible la adhesión de BSD al acuerdo de privacidad –Privacy Shield– siendo la última de fecha 22/08/2016.
6. En una comunicación de BSD a OC de fecha 22/08/2016 en contestación a la anterior, se pone de manifiesto que aquella supone la comunicación previa a la rescisión del contrato que surte efecto transcurrido un mes de la misma, por lo que a finales del mes de septiembre de 2016 los datos alojados en los servidores de BSD serían eliminados.»
En la resolución se hacía una amplia reseña de los antecedentes, incluyendo las actuaciones inspectoras realizadas, las alegaciones formuladas por Òmnium Cultural, la propuesta de resolución, y los hechos declarados probados. En los fundamentos jurídicos se abordaba la competencia de la AEPD, la normativa aplicable, la desestimación de la solicitud de nulidad formulada por Òmnium Cultural, así como las referencias expresas a la responsabilidad, los hechos probados, la conducta típica y antijurídica, la determinación de la cuantía de la sanción a imponer y el análisis del elemento subjetivo. Más en concreto, a efectos de fijar la cuantía de la multa, la AEPD tuvo en cuenta lo dispuesto en el art. 45.5 a) LOPD, que permite imponer las sanciones previstas para las infracciones que precedan inmediatamente en gravedad, por la concurrencia significativa de dos de los criterios previstos en el art. 45.4 LOPD, ya que la entidad Òmnium Cultural no tiene como actividad principal el tratamiento de datos personales [art. 45.4 d) LOPD] ni obtuvo beneficio alguno con la conducta sancionada [art. 45.4.e) LOPD]. No obstante, una vez rebajada la sanción a la escala prevista para las infracciones graves (de 40 001 a 300 000 €, según dispone el art. 45.2 LOPD), se tuvo en cuenta el carácter continuado de la infracción [art. 45.4 a) LOPD]; el grado de intencionalidad [art. 45.4 f) LOPD]; el volumen de los tratamientos efectuados [art. 45.4 b) LOPD], acreditados en 684 952 registros; así como otros criterios [art. 45.4 j) LOPD] tales como la diligencia exigible, el riesgo al que han sido sometidos los datos contenidos en el fichero, la situación de este y la naturaleza de los datos como datos sensibles de ideología.
b) Contra esta decisión, la entidad Òmnium Cultural interpuso un recurso de reposición que fue desestimado por la AEPD por medio de la resolución núm. R/00326/2017, de 4 de mayo.
En su recurso, Òmnium Cultural alegó error material en la parte dispositiva, que se habían obviado hechos relevantes para la resolución del expediente, así como la infracción de los siguientes principios y derechos: principios de confianza legítima, culpabilidad y seguridad jurídica; derecho a un procedimiento con todas las garantías y de defensa; principios de responsabilidad y proporcionalidad. La resolución rectifica el error material y desestima el resto de alegaciones, porque no se han aportado nuevos hechos o argumentos que permitan reconsiderar la validez de la decisión impugnada, a la que se remite ampliamente por tratarse –en su mayor parte– de alegaciones que ya habían sido planteadas por la recurrente con anterioridad, durante la tramitación del expediente.
c) Frente a esta resolución, la entidad Òmnium Cultural interpuso recurso contencioso-administrativo que fue desestimado por la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, en sentencia dictada el 29 de abril de 2019 en el marco del recurso núm. 307-2017. En esta resolución, tras analizar la normativa aplicable, se destaca lo siguiente:
«[L]as transferencias internacionales de datos llevadas a cabo por la entidad recurrente desde el inicio de la relación contractual el 10 de julio de 2014 con BSD, radicada en los Estados Unidos (EEUU), se encontraban amparadas en la Decisión de la Comisión 2000/520/CE, que establecía el nivel adecuado de protección de las garantías para las transferencias internacionales de datos desde la Unión Europea a EEUU ofrecidas por el acuerdo de "Puerto Seguro" (Safe Harbour).
Situación que cambió con la declaración de invalidez de la Decisión 2000/520/CE, adoptada por la Sentencia del Tribunal de Justicia de la Unión Europea de 6 de octubre de 2015, C- 362/14, que entendió que el acuerdo de "Puerto Seguro", no proporcionaba un nivel adecuado de protección de las garantías exigidas por la Directiva 95/46/CE para las transferencias internacionales de datos desde la Unión Europea a Estados Unidos.
Por tanto, para las transferencias internacionales o lo que es igual para la conservación de los datos de carácter personal del fichero Ara és l’Hora, del que es responsable Òmnium, fuera del territorio nacional, en los servidores de BSD en Estados Unidos, se debió acudir a la norma general del artículo 33 de la LOPD, así como al resto de la normativa de datos, relacionada con la transferencia internacional de datos. Sin embargo, dicha entidad con posterioridad a la citada sentencia, siguió conservando los datos alojados en los servidores de BSD en Estados Unidos hasta el mes de septiembre de 2016 en que se hizo efectiva la resolución del contrato con BSD, sin haber recabado autorización de la directora de la Agencia Española de Protección de Datos. De hecho, Òmnium ni siquiera había comunicado la realización de transferencias internacionales, ni en la inscripción del fichero, al no marcarse dicha opción en la solicitud de inscripción por Òmnium del fichero Ahora es la hora, que figura como activo desde el 8 de agosto de 2014, ni con posterioridad, pese a la exigencia establecida con carácter general para todos los casos por el artículo 66.3 del RLOPD» (fundamento jurídico tercero).
En los siguientes fundamentos jurídicos se van exponiendo los distintos motivos de impugnación alegados por la entidad Òmnium Cultural, procediendo a su análisis y resolución individualizada.
Así, en relación con el principio de confianza legítima, se recuerda la doctrina expuesta en la STS de 3 de marzo de 2016 (recurso núm. 3012/2014), y se hace una reseña parcial expresa de las comunicaciones y notas de prensa emitidas por la AEPD entre los meses de octubre de 2015 y febrero de 2016. En concreto, en el fundamento jurídico cuarto se indica lo siguiente:
«Así, en la nota de prensa de fecha 19 de octubre de 2015, referente a la publicación de una declaración conjunta de las autoridades europeas de protección de datos en relación con la aplicación de la sentencia del Tribunal de Justicia de la Unión Europea sobre Puerto Seguro, se advierte claramente que durante el período que se buscan soluciones políticas, jurídicas y técnicas que permitan transferencias de datos al territorio de EEUU respetando los derechos fundamentales, las autoridades de protección de datos consideran que las cláusulas contractuales tipo y las normas corporativas vinculantes (BCRs) pueden seguir utilizándose. Añadiendo que "En cualquier caso, esto no impedirá que las autoridades de protección de datos investiguen casos particulares, por ejemplo a partir de denuncias, y ejerzan sus poderes con el fin de proteger a las personas".
También en dicha nota, tras precisar que "las transferencias que aún se estén llevando a cabo bajo la Decisión Puerto Seguro tras la sentencia del Tribunal de Justicia de la Unión Europea son ilegales", se indica que "[c]on el fin de garantizar que todos los actores están suficientemente informados, las autoridades de protección de datos de la UE van a poner en marcha campañas de información adecuadas en sus respectivos países. Esto puede incluir información directa a todas las empresas respecto de las que conste que utilizaban la Decisión de Puerto Seguro, así como mensajes generales en los sitios web de las autoridades".
Por tanto, se advertía la posibilidad de iniciar actuaciones de investigación en caso de denuncia, tal y como ha ocurrido en este caso a raíz de las denuncias presentadas con fecha 26 de abril de 2016, y en ningún momento desde la AEPD se realizó comunicación que permitiera creer a los afectados que su actuación no podría ser sancionable, advirtiéndoles expresamente de la necesidad de adecuar su actuación a la nueva situación legal creada tras la sentencia del Tribunal de Justicia de la Unión Europea.
Prueba de ello es la comunicación enviada a los responsables el 29 de octubre de 2015, donde se indica "Por ello, en el caso de que tenga previsto continuar transferencias internacionales de datos a Estados Unidos […] deberán encontrar legitimación en otros instrumentos como las cláusulas contractuales tipo adoptadas por las decisiones de la Comisión Europea 2001/497/CE, 2004/915/CE y 2010/87/UE y, en su caso, en las excepciones previstas en el artículo 34 de la LOPD que pudieran ser aplicables".
Posteriormente en la comunicación de fecha 9 de diciembre de 2015, sobre la aplicación de la sentencia de Puerto Seguro, la AEPD señalaba que "El marco temporal definido por las autoridades europeas de protección de datos se concreta, en el caso de España, en que los responsables informen al Registro General de Protección de Datos de la AEPD antes de finales de enero sobre la continuidad de las transferencias y sobre su adecuación a la normativa de protección de datos. La agencia en ningún momento ha anunciado su intención de iniciar procedimientos sancionadores por defecto contra las empresas. En la comunicación enviada a los responsables, la AEPD sólo indica que, de no modificarse la base legal para la realización de transferencias, la agencia podrá iniciar el procedimiento para acordar, en su caso, la suspensión temporal de transferencias".
La nota de prensa de 3 de febrero de 2016, se trata de una información facilitada por la AEPD "con el objetivo de ofrecer información a los responsables que realizan transferencias de datos a EEUU" que se limita a señalar que la Comisión Europea y EEUU anuncian un nuevo marco para la realización de transferencias internacionales, advirtiendo, además, que la CE [Comisión Europea] ha anunciado que en las próximas semanas prepara un borrador de "Decisión de adecuación". Por lo que dicha nota de prensa no modifica en modo alguno la situación anterior, ni exime del cumplimiento a los responsables del tratamiento de obtener la autorización a la que se refiere el artículo 33 de la LOPD.»
Para la Sala, esos documentos no permitían crear «la apariencia de que determinadas conductas no serían sancionadas, sino que por el contrario, se advirtió expresamente a las empresas sobre los riesgos que asumían si realizaban dichas transferencias internacionales, indicando también expresamente la posibilidad de realizar actuaciones investigadoras ante la presentación de denuncias, como aquí ha ocurrido, lo que motiva la intervención de la AEPD».
En lo referente a la infracción del derecho a un procedimiento con garantías y de defensa (art. 24.2 CE), por la indebida denegación de una prueba, la sala expone (FJ 5) la doctrina sobre el derecho a la prueba (SSTC 129/2005, de 23 de mayo, y 22/2008, de 31 de enero) y la exigencia de una real y efectiva indefensión para que pueda apreciarse la vulneración del derecho reconocido en el art. 24.2 CE (SSTC 15/1995, de 24 de enero, y 27/2001, de 29 de enero). En el presente caso, la diligencia de prueba solicitada en el trámite administrativo consistía en recabar una certificación de la AEPD sobre otros expedientes incoados por hechos similares. La petición no indicaba «la finalidad perseguida» y, aunque la sala admite que la «prueba se inadmitió sin un pronunciamiento expreso», la resolución sancionadora sí ofrece una respuesta fundada a esta pretensión. La diligencia era «irrelevante» y «no pertinente», porque la existencia o no de otros expedientes no afecta o modula la responsabilidad de la entidad recurrente. En cualquier caso, la parte pudo formular alegaciones e incluso pudo haber propuesto la prueba en la vía jurisdiccional, lo que no hizo, por lo que concluye que no hubo indefensión material alguna.
Por lo que se refiere al principio de responsabilidad, que el recurrente consideraba infringido al no haberse entrado a valorar el régimen de cotitularidad del fichero y sus consecuencias en el régimen de atribución de responsabilidades, la sala se remite al pronunciamiento contenido en la sentencia de 2 de diciembre de 2018 (recurso núm. 453/2016), dictada en un supuesto que afectaba a las mismas entidades ahora implicadas. De esta forma, en el fundamento jurídico sexto, con reseña de la normativa aplicable y del Dictamen 1/2010 del GT29 (grupo de trabajo de carácter consultivo creado por el art. 29 de la Directiva 95/46/CE, que reúne a los representantes de las autoridades de control de datos a nivel europeo), la sala afirma que «cada una [de las entidades] ha realizado individualmente las acciones constitutivas de la infracción, por lo que la responsabilidad es individual y a título personal. […] [R]ealizaron cada una […] sendas inscripciones relativas al fichero Ara es l’hora, que es el objeto de la transferencia internacional de datos y en el anexo de privacidad del contrato de servicio de alojamiento con la empresa BSD, figuran ambas entidades como firmantes y en calidad dedata controller, es decir, responsables del tratamiento».
Finalmente, en cuanto al principio de proporcionalidad, la sala valida el criterio de la AEPD, «atendidas las circunstancias concurrentes», de forma que «la sanción de 90 000 € de multa impuesta resulta ponderada y proporcionada a la gravedad de la infracción cometida y la entidad de los hechos, sin que se aprecien razones que justifiquen su minoración». En el fundamento jurídico séptimo, la sala desglosa todos los criterios tenidos en cuenta por la AEPD para fijar la cuantía de la multa, confirmando su actuación. Y también descarta la concurrencia de la circunstancia atenuante prevista en el art. 45.5 b) LOPD, alegada por la entidad recurrente, consistente en la regularización diligente de la situación irregular. Para la sala, «difícilmente cabe apreciar la invocada circunstancia […] cuando los datos se mantienen en los servidores de BSD en Estados Unidos, después de la STJUE de 6 de octubre de 2015 hasta que el 22 de agosto de 2016 se inicia el periodo de preaviso de un mes para resolución del contrato con BSD. Es decir, durante casi un año, hasta septiembre de 2016, se mantienen los datos en un servidor ubicado en un país cuyas transferencias requieren la autorización prevista en el artículo 33 LOPD». Además, «la mera tenencia de los datos en un Estado donde las autoridades podían acceder a los datos personales transferidos y tratarlos de manera incompatibles con las finalidades de la transferencia (apartado 90 de la STJUE de octubre de 2015), constituye en sí mismo un riesgo», de tal forma que «el bloqueo del acceso al fichero por parte de Òmnium no impedía que las autoridades gubernativas de ese tercer Estado pudieran acceder y gestionar sin restricción el fichero, en tanto que cualquier ciudadano que quisiera ejercer los derechos previstos en la LOPD difícilmente podrían hacerlo al estar el fichero bloqueado». Por último, «cabe señalar […] que Òmnium no había comunicado la realización de transferencias internacionales, ni en la inscripción del fichero, ni con posterioridad, pese a la exigencia establecida con carácter general para todos los casos por el artículo 66.3 del RLOPD, lo que, de entrada, pone en entredicho esa esgrimida voluntad de cumplir la normativa de protección de datos».
d) La sentencia de la Audiencia Nacional fue recurrida en casación por la entidad Òmnium Cultural. El recurso fue inadmitido por auto de la Sección Primera de la Sala de lo Contencioso-Administrativo del Tribunal Supremo, fechado el 19 de junio de 2020.
Como motivos de casación, Òmnium Cultural planteó los siguientes: (i) infracción de los arts. 3.1 de la Ley 30/92, 9.3 y 25 CE, en relación con el art. 49 LOPD y demás normativa de desarrollo, todo ello en relación con el art. 127 de la Ley 30/92 (principio de legalidad de la potestad sancionadora) y con los principios de confianza legítima, seguridad jurídica y buena fe; (ii) infracción del art. 45 LOPD, en relación con los arts. 129 y 131 de la Ley 30/92 y los arts. 9.3 y 25 CE, puestos en relación con la infracción del principio de proporcionalidad, y (iii) infracción de los arts. 24.1 y 120.3 CE, 130.3 de la Ley 30/92, en base a definiciones de la normativa sobre protección de datos, por falta de motivación sobre la individualización de responsabilidades de las entidades sancionadas.
El Tribunal Supremo inadmitió el recurso de casación por entender que carecía manifiestamente de interés casacional objetivo. Para ello, razona que existe sobrada jurisprudencia sobre el principio de confianza legítima, responsabilidad y proporcionalidad, y que la entidad recurrente ha planteado cuestiones que «no supera[n] el ámbito estrictamente casuístico», o que constituyen «elementos circunstanciales del pleito», sin proyección general o extensibles a otros casos. No obstante, sobre el primer motivo de casación, la Sala Tercera expone que «la entidad recurrente ciñe en muy buena parte su escrito de preparación a la infracción de este principio [de confianza legítima], sin haber cuestionado, en buena lógica con tal alegación, la tipificación de los hechos realizada por la administración y confirmada por la Sala de instancia, pues concurriría, según alega, una suerte de exclusión de la antijuridicidad de la conducta basada precisamente en la confianza creada por la administración, a partir de las comunicaciones emitidas por la Agencia Estatal de Protección de Datos de que los hechos no serían sancionados. En efecto, a pesar de que en su preparación invoca la asimilación del bloqueo del fichero con la suspensión temporal de transferencias, no cuestiona la parte en su escrito la tipificación de los hechos consistentes en la conservación de datos alojados en un servidor de Estados Unidos, pertenecientes a la entidad Blue State Digital (BSD), con posterioridad a la sentencia del Tribunal de Justicia de la Unión Europea (TJUE), de 6 de octubre de 2015, que declaró la invalidez de la decisión de la Comisión 2000/520/CE, sin autorización de la AEPD ni amparo legal alguno, conforme establece el artículo 33 de la Ley Orgánica 15/1999, de protección de datos de carácter personal, y ello sobre la base de la consideración de que la mera conservación de los datos constituye una modalidad de tratamiento de datos por parte del responsable del fichero establecido en territorio español, que queda englobado dentro del concepto de transferencia internacional que recoge el artículo 5.1 s) del Reglamento de la Ley Orgánica de Protección de Datos».
3. La demanda de amparo identifica las resoluciones judiciales impugnadas y fundamenta el recurso en una serie de hechos y argumentos que se exponen a continuación.
a) En primer lugar, la demanda formula un extenso relato de hechos que, al mismo tiempo, constituye la base de su recurso. Así, se dice que en «el marco de la campaña "Ara és l’hora" organizada conjuntamente por OC y ANC […], ambas entidades, de forma conjunta y coordinada, inscribieron sendos ficheros en el Registro General de Protección de Datos», y que los formularios existentes no permitían la «posibilidad de declarar la inscripción conjunta como corresponsables». Que «en el desarrollo [de esa iniciativa] se iban a recoger datos de carácter personal», para lo que la entidad OC «suscribió el 10 de julio de 2014 un contrato de prestación de servicios con la empresa norteamericana Blue State Digital, Inc. (en adelante, "BSD’) para la elaboración de una web y su lanzamiento, consultoría estratégica y el uso del software BSD Tools». Esa empresa estaba «adherida a los principios deSafe Harbour, recogidos en la decisión de la comisión 2000/520/CE de 26 de julio de 2000 con arreglo a la Directiva 95/46/CE del Parlamento Europeo y del Consejo». Como quiera que en «la ejecución del mencionado contrato BSD iba a acceder a los datos de carácter personal incorporados en el fichero […] ambas asociaciones suscribieron un contrato el 1 de septiembre de 2014 para regular dicho acceso, de forma que se cumpliera con lo establecido en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (LOPD) para los encargos del tratamiento». Tras dictarse la sentencia del Tribunal de Justicia de la Unión Europea en el asunto C-362/14, se produjo la «pérdida de una base legal para realizar transferencias internacionales de la Unión Europea a empresas norteamericanas sujetas al mismo», como era el «caso de BSD». Esta situación generó la actuación de las autoridades europeas y nacionales de protección de datos, a través de comunicados y notas de prensa emitidos entre los meses de octubre de 2015 y febrero de 2016, que se transcriben parcialmente. En la demanda se destaca, en particular, una nota de la AEPD emitida el mes de diciembre de 2015, con el siguiente tenor literal:
«a) "Desde la AEPD no se ha dado ningún ultimátum a las empresas españolas".
b) "La Agencia en ningún caso ha requerido a los responsables para que dejen de utilizar determinados servicios de almacenamiento en la nube. Las acciones de la Agencia no están orientadas a la prohibición de utilizar herramientas concretas sino a informar a los responsables para que requieran a su proveedor de servicios, si es necesario, que les ofrezca una respuesta adaptada a la sentencia del Tribunal de Justicia de la Unión Europea".
c) "El marco temporal definido por las autoridades europeas de protección de datos se concreta, en el caso de España, en que los responsables informen al Registro General de Protección de Datos de la AEPD antes de finales de enero sobre la continuidad de las transferencias y sobre su adecuación a la normativa de protección de datos. La Agencia en ningún momento ha anunciado su intención de iniciar procedimientos sancionadores por defecto contra las empresas. En la comunicación enviada a los responsables, la AEPD sólo indica que, de no modificarse la base legal para la realización de transferencias, la Agencia podrá iniciar el procedimiento para acordar, en su caso, la suspensión temporal de las transferencias".
d) "La Agencia, junto con las autoridades europeas de protección de datos, apuesta por encontrar soluciones sostenibles para aplicar la sentencia del Tribunal de Justicia de la Unión Europea e insiste en el llamamiento realizado a las Instituciones de la UE, los Estados miembros y las empresas para encontrar un camino que permita el cumplimiento de la sentencia del tribunal."»
Ante esta situación, la demanda señala que la entidad Òmnium Cultural mantuvo diversos contactos con la empresa Blue State Digital, Inc., entre los meses de noviembre de 2015 y agosto de 2016, con la finalidad de adaptar el contrato a los nuevos requerimientos derivados de la sentencia del Tribunal de Justicia de la Unión Europea ya citada. En el contexto de estas comunicaciones, en el mes de enero de 2016 la entidad OC solicitó a Blue State Digital, Inc., el «bloqueo» del «acceso al programa».
En el mes de abril de 2016 se presentó ante la AEPD una denuncia contra Assemblea Nacional Catalana y Òmnium Cultural, suscrita por dos particulares, lo que motivó una actuación de dos inspectores que, en fecha 26 de abril de 2016, se personaron en la sede de Òmnium Cultural. En la demanda se pone de manifiesto que, «ante la imposibilidad de que los inspectores pudieran acceder al programa [por la situación de bloqueo ya descrita] se solicitó en la misma inspección a los representantes de Òmnium Cultural que aportaran en diez días documentación acreditativa del estado de los ficheros alojados en BSD y de haber regresado el fichero a su estado de bloqueo anterior».
Finalmente, ante las dificultades de Blue State Digital, Inc., para adaptarse a la nueva normativa derivada de la Decisión 2016/1250, de 12 de julio (denominadaPrivacy Shield, o «escudo de privacidad»), la entidad Òmnium Cultural solicitó la rescisión del contrato con Blue State Digital, Inc., en fecha 22 de agosto de 2016.
El resto del relato se centra en las resoluciones administrativas y judiciales impugnadas.
b) En segundo lugar, la demanda desarrolla los fundamentos jurídicos alegados como motivos de amparo, que se pueden resumir de la siguiente manera:
(i) Vulneración del derecho a la legalidad sancionadora (art. 25.1 CE), en relación con el art. 9.3 CE y los principios de seguridad jurídica y de confianza legítima.
Tras hacer una reseña de la doctrina jurisprudencial sobre los derechos y principios invocados, con cita expresa, entre otras, de las SSTC 121/2016 y 181/2016, así como de la STS de 22 de febrero de 2016 (recurso núm. 4948-2013), la demanda fundamenta su alegación en este punto en dos tipos de elementos: por un lado, las comunicaciones del GT29 y de la AEPD, de octubre y diciembre de 2015, que extracta parcialmente; y por otro, la propia normativa de protección de datos y, señaladamente, el art. 37.1 f) LOPD y los arts. 49 y 69.1 b) del Reglamento de desarrollo de la Ley Orgánica de protección de datos (RLOPD). De este conjunto de factores concluye que la actuación administrativa y judicial resultó imprevisible. En primer lugar, la entidad recurrente realizó las gestiones indicadas por el GT29 y la AEPD, a fin de adaptar la relación contractual con su proveedor de servicios norteamericano a las nuevas condiciones impuestas por la sentencia del Tribunal de Justicia de la Unión Europea. Y, en segundo lugar, su decisión de acordar el «bloqueo» de los ficheros era equivalente a las medidas de «suspensión» o de «inmovilización» que, según la normativa sobre protección de datos, podría haber adoptado la AEPD. A su juicio, de las normas citadas se deduce: «(i) que la AEPD tiene potestad para adoptar medidas necesarias para adecuar los tratamientos a la ley; (ii) que en el ejercicio de dicha potestad, podrá acordar la suspensión de transferencias hacia un tercer país; (iii) que cuando el responsable haya desatendido dicho acuerdo de suspensión de transferencias, la AEPD podrá ejercer su potestad sancionadora y requerir el cese en la utilización o cesión de ilícita de datos, y que (iv) desatendido el requerimiento, podrá la AEPD inmovilizar los ficheros. Consecuentemente, es legítimo confiar en que el bloqueo del fichero supone el cese en la utilización o cesión ilícita de datos y que, por tanto, la actuación de OC, en la medida que alcanza idénticos efectos materiales que la suspensión de transferencias o la inmovilización de fichero, no puede ser tipificada como una infracción del art. 33 LOPD, ante la ausencia de la transferencia misma». Precisamente por este motivo, no se comunicó la continuidad de las transferencias de datos en la «confianza legítima […] [de] que […] habían sido suspendidas mediante el bloqueo del fichero». Confianza que se vio reforzada por el hecho de que los inspectores de la AEPD solicitaron no solo el desbloqueo de los datos para comprobar su estado sino la «documentación acreditativa de haber regresado el fichero a su estado de bloqueo anterior». Situación que ahora se ve confirmada con la vigente redacción del art. 69 de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales que, según el recurrente, utiliza la expresión «bloqueo de datos» como medida adecuada para la «inmovilización» de ficheros.
(ii) Vulneración del derecho a la tutela judicial efectiva sin indefensión (art. 24 CE) y motivación de las sentencias (art. 120.3 CE), en relación con el art. 9.3 CE y los principios de legalidad, responsabilidad e interdicción de la arbitrariedad de los poderes públicos.
En este apartado de la demanda se hace una extensa reseña de la doctrina jurisprudencial sobre los derechos alegados y, más en concreto, sobre el derecho a una resolución motivada y fundada en Derecho. Para la entidad recurrente, la sentencia de la Audiencia Nacional se basó en un razonamiento arbitrario, irracional e ilógico, al ratificar la decisión administrativa de sancionar a cada una de las dos entidades responsables de los ficheros como autoras de sendas infracciones, en vez de sancionarlas como responsables solidarias de una sola infracción. Se trataba de una campaña conjunta, el fichero era compartido y las dos entidades habían suscrito el anexo del contrato de servicios con Blue State Digital, Inc. A pesar de ello, y aunque la Audiencia expone la doctrina general sobre la determinación del grado de responsabilidad, no la aplica al caso enjuiciado mediante la concreción de las operaciones de cada entidad y su grado de control sobre estas. Por el contrario, el órgano judicial afirmó que cada una de las entidades había realizado individualmente las acciones constitutivas de la infracción, sobre la base de que cada asociación había realizado su propia inscripción en el registro correspondiente, y ambas figuraban como responsables del tratamiento. Se considera que este razonamiento es contrario al derecho a la tutela judicial efectiva.
Otro tanto se alega sobre la resolución del Tribunal Supremo. En la demanda se hace un amplio resumen de los motivos de casación invocados y de los fundamentos ofrecidos por el auto del Tribunal Supremo, que el recurrente considera ilógicos y arbitrarios. A su juicio, era evidente la necesidad de un pronunciamiento interpretativo de las normas contenidas en los arts. 49 LOPD y 69 RLOPD, a fin de definir el alcance de la suspensión temporal de transferencias en relación a los efectos que produce el bloqueo de datos. Y lo mismo sucede con el sistema de graduación de sanciones (art. 45, apartados 4 y 5 LOPD), en su relación con el principio de proporcionalidad; o con el principio de responsabilidad solidaria. La decisión del Tribunal Supremo supone una aplicación errónea de los requisitos procesales para el acceso al recurso de casación, lo que implica la «denegación […] de su derecho de acceso a la justicia y a la tutela judicial efectiva».
(iii) Vulneración del derecho de asociación (art. 22 CE) y del derecho de propiedad (art. 33 CE), sobre la base del derecho a la legalidad sancionadora y del principio de proporcionalidad (art. 25 CE).
Para el recurrente, la doctrina constitucional sobre el derecho de asociación, que extracta ampliamente, se ha visto vulnerada en el presente caso. La injerencia en este derecho solo es admisible si está prevista en la ley y esta resulta previsible, de forma que los interesados puedan conocer anticipadamente las consecuencias de sus actos. Además, esa injerencia ha de estar orientada a un fin legítimo y ser adecuada, necesaria y proporcionada desde la perspectiva de una sociedad democrática. En el presente supuesto, la sanción impuesta era imprevisible, citando como referencia la STC 76/2019, sobre la inconstitucionalidad del art. 58.1bisde la Ley Orgánica del régimen electoral general, a lo que se añade la falta de práctica aplicativa de este tipo de sanciones. Se impuso a Òmnium Cultural una sanción por una conducta cuyos efectos no son más perjudiciales que los derivados del ejercicio de las potestades que se conceden a la AEPD en la normativa vigente. Los datos estaban cifrados y, en todo caso, el posible acceso de las autoridades norteamericanas tampoco podría evitarse mediante la suspensión temporal de la transferencia o la inmovilización de ficheros, equivalentes al bloqueo dispuesto por Òmnium Cultural. Además, la sanción fue desproporcionada, en comparación con la impuesta a la única otra asociación sancionada por la AEPD por la infracción del art. 33 LOPD, a la que se impuso una multa de 45 000 €; así como a las establecidas en otros países, que se han situado en torno a los 10 000 €. Para la recurrente, estos hechos pueden «comprometer seriamente su existencia y actividades a causa de un hostigamiento judicial y administrativo dirigido contra OC, […] en el contexto político y social de conflicto y confrontación entre la voluntad de autodeterminación que defiende, entre otros, OC y la voluntad de preservar la integridad territorial por parte de los poderes públicos del Estado».
Finalmente, con cita de la STEDH de 15 de noviembre de 2008, asuntoTogrul c. Bulgaria, considera que la imposición de una multa constituye una injerencia en el derecho de propiedad (art. 33 CE) que solo puede entenderse justificada si está prevista en la ley y resulta proporcional a la finalidad pretendida, lo que no concurre en este caso por los motivos ya expuestos.
c) La demanda contiene un apartado dedicado específicamente a la justificación de la especial trascendencia constitucional del recurso. En apretada síntesis, se puede señalar que se invocan dos motivos a estos efectos. Por un lado, la «concurrencia de cuestiones jurídicas relevantes y de evidente repercusión social y económica, con consecuencias políticas de carácter general», lo que nos conduce a la causa prevista en el fundamento jurídico 2 g) de la STC 155/2009; y por otro, la «concurrencia de cuestiones sobre las que no hay doctrina del Tribunal Constitucional», es decir la causa prevista en el fundamento jurídico 2 a) de la STC 155/2009. En el primer caso, se argumenta que la cuestión planteada afecta a un número muy importante de empresas, europeas y norteamericanas, con una «altísima cuota de mercado» y con «importantísimas implicaciones financieras en prácticamente todos los sectores económicos», que supone en términos comerciales una cifra aproximada de «7,1 billones de dólares», debido al «volumen de datos personales involucrados». A ello se añade la grave situación de inseguridad jurídica creada con las sentencias del Tribunal de Justicia de la Unión Europea, y la consiguiente falta de previsibilidad de la normativa sancionadora. En relación con el derecho de asociación, además de destacar su significación como derecho de ejercicio colectivo, que le dota de especial repercusión social, la demanda incide en la relevancia de Òmnium Cultural desde el punto de vista de su grado de implantación y de su representatividad y reconocimiento nacional e internacional, así como su papel en lo que denomina como «conflicto actual entre la voluntad de autodeterminación de una parte significativa de la sociedad catalana y los poderes públicos del estado que busca preservar la integridad territorial».
En cuanto a la segunda causa, la demanda señala que «existe doctrina sobre la intervención de los poderes públicos dentro de la organización interna de una asociación para asegurar y preservar los valores democráticos del derecho de asociación», pero no sobre la dimensión que plantea este recurso, consistente en que se ha producido una «injerencia de los poderes públicos […] con la sanción de 90 000 euros [que] tiene como objeto […] limitar de manera ilegítima la actividad» de la asociación recurrente, incurriendo en una «desviación de poder y [en un] hostigamiento administrativo y judicial» a la entidad recurrente, que «representa posiciones ideológicas antagónicas a los poderes públicos del Estado».
4. Por medio de providencia de 10 de mayo de 2021, la Sección Cuarta de la Sala Segunda de este tribunal acordó admitir a trámite el recurso de amparo apreciando que en el mismo concurre una especial trascendencia constitucional (art. 50.1 de la Ley Orgánica del Tribunal Constitucional: LOTC), «porque el recurso plantea un problema o afecta a una faceta de un derecho fundamental sobre el que no hay doctrina de este tribunal [STC 155/2009, FJ 2, a)], y porque el asunto suscitado trasciende del caso concreto porque plantea una cuestión jurídica de relevante y general repercusión social o económica [STC 155/2009, FJ 2 g)]».
En la misma providencia se ordenaba remitir atenta comunicación a las Salas de lo Contencioso-Administrativo del Tribunal Supremo y de la Audiencia Nacional, a fin de que, en el plazo de diez días, remitieran certificación o fotocopia adverada de las actuaciones correspondientes al recurso de casación núm. 6960-2019, y al recurso contencioso administrativo núm. 397-2017, respectivamente. Del mismo modo, se debía emplazar a quienes hubieran sido parte en el procedimiento, excepto la parte recurrente en amparo, para que, en el plazo de diez días, pudieran comparecer en el recurso de amparo.
5. En fecha 26 de mayo de 2021 tuvo entrada en el registro de este tribunal escrito presentado por el abogado del Estado, solicitando que se le tuviera por comparecido y parte en las actuaciones.
6. Por diligencia de ordenación de 16 de junio de 2021, la secretaría de justicia de la Sala Segunda tuvo «por personado y parte en el procedimiento al abogado del Estado, acordándose entender con él las sucesivas actuaciones». Asimismo, de conformidad con lo dispuesto en el art. 52.1 LOTC, se dispuso dar vista de las actuaciones a las partes personadas y al Ministerio Fiscal, por plazo común de veinte días, para que pudieran presentar las alegaciones que estimaran pertinentes.
7. En fecha 16 de julio de 2021, el abogado del Estado presentó su escrito de alegaciones, en el que solicitó la inadmisión del recurso de amparo y, subsidiariamente, su desestimación.
Una vez expuestos los antecedentes que estimó de interés, comienza la argumentación poniendo de manifiesto que, a su juicio, la demanda utiliza el recurso de amparo como un recurso más, pretendiendo una nueva valoración de la prueba o una revisión del criterio jurídico aplicado por la jurisdicción ordinaria. Con cita y reseña parcial de diversas resoluciones de este tribunal, considera que el recurrente obvia el carácter subsidiario del amparo y su naturaleza de recurso autónomo, es decir, no integrado como una fase dentro del procedimiento judicial de origen. El recurrente pretende encubrir su mera disconformidad con la decisión del Tribunal Supremo sobre la inadmisión del recurso de casación, como si fuera una vulneración del derecho a la tutela judicial efectiva cuando, en realidad, la resolución judicial satisface el canon constitucional de razonabilidad propio del derecho de acceso al recurso como un derecho de configuración legal. La pretensión del recurrente, en definitiva, sería volver a plantear las mismas cuestiones de legalidad ordinaria ya resueltas en la vía jurisdiccional correspondiente.
Por otro lado, considera que tampoco concurre vulneración alguna del derecho a la legalidad sancionadora ni a los principios de seguridad jurídica y de confianza legítima. Para ello, se remite íntegramente a los hechos consignados en las resoluciones de la AEPD, y hace un amplio resumen de los fundamentos jurídicos de la sentencia dictada por la Audiencia Nacional. Y, a continuación, destaca los siguientes elementos fácticos y jurídicos:
(i) La transferencia internacional de datos presenta un elemento dinámico (la propia «comunicación/transmisión/cesión de datos personales del exportador al importador») y otro estático, consistente en la «finalidad del flujo […], el tratamiento a que los datos […] van a ser sometidos», que puede ser «la mera "conservación" (hosting) […], dada la amplitud del concepto de tratamiento del art. 5.2 t) RLOPD». El responsable del tratamiento ha de cumplir con las normas establecidas para la exportación de los datos, pero también ha de hacerse responsable de que las garantías sobre protección de datos sean equiparables en el lugar de importación. Es decir, su responsabilidad abarca los dos elementos que integran la transferencia de los datos. En este contexto, la suspensión temporal de la transferencia y la inmovilización de ficheros serían medidas que afectarían a los datos «que no hubieran sido ya exportados», resultando de «utilidad escasa o nula» respecto de los datos que estuviesen alojados en el país tercero.
(ii) La mera lectura de la regulación sobre la inmovilización de ficheros (art. 49 LOPD) pone de manifiesto su compatibilidad con el ejercicio de la potestad sancionadora, por lo que la entidad recurrente «podía prever razonablemente» la actuación administrativa, al margen de que el principio de confianza legítima «sólo puede alcanzar la actuación que se cree lícita y no sobre el tipo de procedimiento o ejercicio de potestad que el organismo de control pudiera llevar a cabo». De hecho, la demanda pone de manifiesto que la entidad recurrente fue consciente de que, al menos desde el mes de enero de 2016 había finalizado el denominado «periodo de gracia» para la regularización de su fichero y, sin embargo, «no es hasta finales de septiembre de ese mismo año cuando se entiende resuelto el contrato con BSD».
(iii) El alegado bloqueo de los datos no produce los mismos efectos que la suspensión temporal de la transferencia internacional ni la inmovilización de los ficheros. En el presente caso, los «datos no se encontraban bloqueados de acuerdo con la definición de bloqueo que hacía la LOPD y el RLOPD, sino que lo que se solicitó y así se hizo fue bloquear el acceso a través de la cuenta de usuario de OC en la aplicación BSD Tools. Es decir, los datos seguían siendo accesibles y utilizables por parte del importador de datos». Por lo tanto, «es obvio» que la transferencia internacional «seguía existiendo». Para la abogacía del Estado, la definición normativa de «bloqueo de datos» viene derivada de la noción de «cancelación» recogida en el art. 5.1 b) RLOPD, y supone la «identificación y reserva [de los datos] con el fin de impedir su tratamiento». De manera que, «mientras no se rescinda el contrato y se ejecute la eliminación o devolución de los datos, estos siguen fuera del Espacio Económico Europeo». El bloqueo del acceso de la entidad OC a su base de datos «en ningún caso serviría para evitar los riesgos de realizar transferencias internacionales a EEUU, pues los riesgos que derivan de la propia legislación de [ese] país es una de las causas por las que se invalidó la […] decisión sobreSafe Harbour». Concluye este punto señalando que «ni de la interpretación de las comunicaciones de la AEPD, ni de los artículos 69.1 (ni del art. 70.3) RDLOPD, o 37.1 f) y 49 de la LOPD, OC podía formarse la convicción de que su actuación era conforme a derecho y que, por tanto, no daría lugar al ejercicio de la potestad sancionadora por parte de la AEPD».
Descartada la vulneración del derecho reconocido en el art. 25.1 CE, considera que «el solo principio de seguridad jurídica (art. 9.3 de la CE) sin conexión íntima o inmediata con una supuesta vulneración de un derecho [fundamental] […] no sería susceptible de amparo, en la medida en que no puede fundarse […] en la hipotética vulneración de un principio», citando las SSTC 8/1981 y 10/1985.
En lo relativo a la responsabilidad solidaria invocada en la demanda, el abogado del Estado sostiene que, aunque la STC 76/1990 no la excluye en el ámbito administrativo sancionador, tampoco la configura como obligatoria, sino que está sujeta a una «decisión del legislador», mediante una «disposición legal que contemple de modo expreso dicho cumplimiento conjunto». Cuestión distinta es que pueda apreciarse una responsabilidad «independiente» o individualizada, que es lo que ha ocurrido en este caso, tras hacer una amplia reseña de la sentencia dictada por la Audiencia Nacional. Por lo tanto, considera que nos encontramos ante una «apreciación de los hechos y su calificación desde la perspectiva de la legalidad ordinaria aplicable al caso […], respecto de la que no se atisba ninguna vulneración de un derecho fundamental».
Respecto de la alegación sobre la desproporción de la sanción impuesta, el abogado del Estado se remite al extenso fundamento jurídico séptimo de la sentencia de la Audiencia Nacional, considerando que se hace una aplicación motivada y no incursa en arbitrariedad, error patente o irrazonabilidad de la legislación vigente, lo que conduce de nuevo «al campo de la legalidad ordinaria».
En cuanto al derecho de asociación, se remite a la doctrina constitucional sobre sus facetas o vertientes (SSTC 218/1988; 113/1994 y 48/2003), para descartar que se haya visto afectada en este «caso: ni se le ha impedido crear una asociación, ni se le ha impuesto a nadie un deber de adscripción, ni la sujeción a una determinada categoría de organización, ni con veto o autorización previa administrativa de funcionamiento». A su juicio, el recurrente «no puede pretender vulnerado el derecho del art. 22 de la CE porque haya sido sancionada por infringir una norma establecida en el ámbito sectorial correspondiente», lo que supondría «un ámbito de impunidad frente a los órganos del Estado encargados de la aplicación de la ley».
Y en lo referente al derecho de propiedad (art. 33 CE), señala que «no es un derecho susceptible de invocación en amparo».
El escrito de alegaciones finaliza señalando la falta de especial trascendencia constitucional del amparo, porque considera que la demanda no ha motivado «en modo alguno» esa supuesta «relevancia y general repercusión social o económica» o las «consecuencias políticas generales», al margen de su mera discrepancia con la actuación administrativa y judicial ahora impugnada.
En virtud de lo anterior, interesa la inadmisión del recurso «por pretender la estimación de aspectos de legalidad ordinaria y [por] falta de trascendencia constitucional del mismo» y, «subsidiariamente», su desestimación.
8. En fecha 22 de julio de 2021, el fiscal ante el Tribunal Constitucional presentó su escrito de alegaciones, en el que solicitó la inadmisión del recurso en relación con el motivo de amparo imputado a la resolución del Tribunal Supremo, y la estimación parcial del recurso de amparo por la vulneración del derecho a la tutela judicial efectiva, achacable a la sentencia dictada por la Audiencia Nacional.
El escrito incluye una amplia reseña de los antecedentes que se consideraron de interés, así como de las resoluciones impug