Categoría: Judicial

en la norma. En concreto, uno de esos supuestos es que «a) […] se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados» precisamente, «en el apartado 4» de ese precepto.
(vii) Finalmente, el art. 49 LOPD señalaba que: «[e]n los supuestos constitutivos de infracción grave o muy grave en que la persistencia en el tratamiento de los datos de carácter personal o su comunicación o transferencia internacional posterior pudiera suponer un grave menoscabo de los derechos fundamentales de los afectados y, en particular, de su derecho a la protección de datos de carácter personal, el órgano sancionador podrá, además de ejercer la potestad sancionadora, requerir a los responsables de ficheros de datos de carácter personal, tanto de titularidad pública como privada, la cesación en la utilización o cesión ilícita de los datos. Si el requerimiento fuera desatendido, el órgano sancionador podrá, mediante resolución motivada, inmovilizar tales ficheros a los solos efectos de restaurar los derechos de las personas afectadas».
b) Por otro lado, la normativa sobre transferencia internacional de datos venía desarrollada en el título VI (arts. 56 a 70) RLOPD, en términos similares a lo dispuesto en la Ley Orgánica de protección de datos de carácter personal. En lo que ahora tiene interés, los arts. 69 y 70 hacían referencia a la «suspensión temporal de la transferencia» como una medida aplicable en el ejercicio de la potestad reconocida a la AEPD en el art. 37.1 f) LOPD.
c) El marco normativo expuesto no ha sido objeto de impugnación en el recurso de amparo. Desde la perspectiva del derecho a la legalidad sancionadora, la entidad recurrente no discute la cualidad delex certade la norma, sino la previsibilidad de su aplicación. No obstante, ambas vertientes aparecen íntimamente ligadas, ya que cuanto más concreta y precisa sea una norma, más previsible habrá de ser su aplicación.
En el caso que nos ocupa, la asociación recurrente considera que el ejercicio de la potestad sancionadora de la AEPD resultaba imprevisible en tres aspectos concretos: (i) por la actuación previa de la AEPD y la consiguiente quiebra del principio de confianza legítima; (ii) porque la concreta sanción impuesta no era necesaria ni proporcionada a las circunstancias del caso; (iii) porque se impuso una responsabilidad individual, en vez de una corresponsabilidad y la consiguiente responsabilidad solidaria entre las dos entidades titulares del fichero. La ulterior actuación judicial habría incurrido en la misma vulneración, al no haber reparado la lesión invocada.
4.2 La previsibilidad de la actuación administrativa y judicial.
La demanda alega que se ha vulnerado el derecho a la legalidad sancionadora reconocido en el art. 25.1 CE, ya que la actuación administrativa y judicial no resultaba previsible en función de las circunstancias del caso. Como se ha expuesto, esta falta de previsibilidad se concreta en tres aspectos que, a efectos de ordenación sistemática, serán analizados de forma individualizada, sin perjuicio de la evidente interrelación entre algunos de ellos.
A) La vulneración del principio de confianza legítima.
La entidad recurrente considera que la AEPD ha quebrantado el principio de confianza legítima, fundamentalmente por dos motivos: (i) las comunicaciones previas de la AEPD no permitían deducir la aplicación del régimen administrativo sancionador, y (ii) la medida de «bloqueo» adoptada por la asociación había sido aceptada por la AEPD y era sustancialmente idéntica a las que la AEPD podía adoptar en un supuesto como el que nos ocupa.
a) Sobre las comunicaciones previas de la AEPD.
La demanda hace una reseña parcial de las comunicaciones remitidas por la AEPD entre los meses de octubre de 2015 y febrero de 2016, a raíz de la STJUE de 6 de octubre de 2015. Esta resolución invalidó la Decisión 2000/520/CE, de 26 de julio de 2000, con arreglo a la Directiva 95/46/CE del Parlamento Europeo y del Consejo, sobre la adecuación de la protección conferida por los principios de puerto seguro para la protección de la vida privada y las correspondientes preguntas más frecuentes, publicadas por el Departamento de Comercio de Estados Unidos de América. Esa decisión había declarado que la normativa de los Estados Unidos de América ofrecía una garantía de nivel de protección adecuada a la normativa de la Unión Europea. Sin embargo, para el Tribunal de Justicia de la Unión Europea, la normativa estadounidense no garantiza el mismo grado de protección que la europea. «En particular, se debe considerar que una normativa que permite a las autoridades públicas acceder de forma generalizada al contenido de las comunicaciones electrónicas lesiona el contenido esencial del derecho fundamental al respeto a la vida privada garantizado en el artículo 7 de la Carta» (parágrafo 94); del mismo modo, «una normativa que no prevé posibilidad alguna de que el justiciable ejerza acciones en Derecho para acceder a los datos personales que le conciernen o para obtener su rectificación o supresión no respeta el contenido esencial del derecho fundamental a la tutela judicial efectiva que reconocer el art. 47 de la Carta» (parágrafo 95).
Tras esta decisión del Tribunal de Justicia de la Unión Europea, las transferencias internacionales de datos desde Europa hacia EEUU quedaban sin respaldo normativo expreso, ya que se dejaba sin efecto el supuesto de hecho previsto en el art. 34 k) LOPD. A partir de ese momento, y ante la lógica situación de incertidumbre generada, las autoridades europeas de protección de datos, de forma coordinada, procedieron a informar sobre la estrategia a seguir a los que figuraban como responsables de este tipo de ficheros o bases de datos. Ese es el contexto de las comunicaciones de la AEPD.
La recurrente alega que las comunicaciones no hacían referencia al ejercicio de acciones sancionadoras y que, por lo tanto, su aplicación resultaba imprevisible, quebrantando con ello el principio de confianza legítima. Sin embargo, una lectura detenida de esas comunicaciones pone de manifiesto que la interpretación ofrecida en la demanda debe considerarse como parcial y, por lo tanto, necesariamente sesgada, ya que no tiene en cuenta ni el presupuesto de hecho ni las condiciones establecidas para alcanzar esa eventual conclusión.
En efecto, la comunicación de 19 de octubre de 2015, publicada en la página web de la AEPD, estaba dirigida a los que figuraban como responsables de ficheros que realizaban transferencias internacionales de datos. Su tenor literal es el siguiente:
«Con fecha 6 de octubre del presente año, el Tribunal de Justicia de la Unión Europea (TJUE) ha declarado inválida la Decisión de la Comisión 2000/520/CE, que establece el nivel adecuado de protección de las garantías para las transferencias internacionales de datos a EEUU ofrecidas por el acuerdo de Puerto Seguro, por lo que las transferencias no pueden ampararse en esa base legal.
Por ello, en el caso de que se tenga previsto continuar realizando transferencias internacionales de datos a Estados Unidos, país que no proporciona un nivel de protección equivalente al que presta la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (LOPD), deberán encontrar legitimación en otros instrumentos como las cláusulas contractuales Tipo adoptadas por las Decisiones de la Comisión Europea 2001/497/CE, 2004/915/CE y 2010/87/UE y, en su caso, en las excepciones previstas en al artículo 34 de la LOPD que pudieran ser aplicables.
En consecuencia, en el ejercicio de las competencias de esta agencia, se le requiere para que, a la mayor brevedad, y en todo caso antes del 29 de enero de 2016, informe al registro general de protección de datos sobre la continuidad de las transferencias y, en su caso, sobre su adecuación a la normativa de protección de datos.
De no recibirse contestación a este requerimiento ni, en su caso, la notificación de modificación de las transferencias internacionales contenidas en el/los fichero/s en el plazo indicado, es preciso recordarle que, conforme a lo dispuesto en el Reglamento de la LOPD, la agencia podrá iniciar el procedimiento para acordar, en su caso, la suspensión temporal de las transferencias.»
Esta comunicación no estaba dirigida a cualquier responsable de fichero, sino a los que ya figuraban en el registro general de protección de datos como responsables de ficheros que realizaban transferencias internacionales de datos. No se puede interpretar de otra forma la expresión «en el caso de que se tenga previsto continuar realizando transferencias internacionales de datos a Estados Unidos», o el requerimiento para que se informe al registro «sobre la continuidad de las transferencias». No se puede continuar lo que no se ha hecho con anterioridad, ni se puede requerir a un desconocido que no figura en el registro como responsable de un fichero de este tipo.
La segunda comunicación de la AEPD, emitida en diciembre de 2015, a la que se hace expresa referencia en la demanda, exponía literalmente lo siguiente:
«Con el objetivo de informar de forma directa a los responsables que realizan transferencias internacionales de datos a EEUU y ante la inquietud generada por la noticia titulada "[u]ltimátum de la AEPD a empresas españolas: prohibido usar Dropbox o Google Apps", la Agencia Española de Protección de Datos (AEPD) quiere puntualizar lo siguiente:
– Desde la AEPD no se ha dado ningún ultimátum a las empresas españolas. El Tribunal de Justicia de la Unión Europea (TJUE) hizo pública una sentencia el pasado 6 de octubre que implica que las transferencias desde la Unión Europea a EEUU no pueden seguir realizándose bajo la base legal de la decisión de Puerto Seguro (Safe Harbour).
– La Agencia ya anunció de forma pública el pasado 29 de octubre que, en el marco de una actuación conjunta de las autoridades europeas de protección de datos, iba a establecer contacto con todas las empresas de las que tuviera constancia que utilizaban puerto seguro para la realización de transferencias internacionales. Ese mismo día, la AEPD comenzó a enviar una comunicación a esas empresas con el objetivo de facilitar la comunicación directa con los responsables, poniendo a su servicio canales de información adecuados.
– La Agencia en ningún caso ha requerido a los responsables para que dejen de utilizar determinados servicios de almacenamiento en la nube. Las acciones de la agencia no están orientadas a la prohibición de utilizar herramientas concretas sino a informar a los responsables para que requieran a su proveedor de servicios, si es necesario, que les ofrezca una respuesta adaptada a la sentencia del Tribunal de Justicia de la Unión Europea.
– La sentencia del Tribunal de Justicia de la Unión Europea está orientada a responsables, no a los ciudadanos que hacen uso doméstico de los datos personales que pudieran almacenar en la nube.
– El marco temporal definido por las autoridades europeas de protección de datos se concreta, en el caso de España, en que los responsables informen al registro general de protección de datos de la AEPD antes de finales de enero sobre la continuidad de las transferencias y sobre su adecuación a la normativa de protección de datos. La Agencia en ningún momento ha anunciado su intención de iniciar procedimientos sancionadores por defecto contra las empresas. En la comunicación enviada a los responsables, la AEPD sólo indica que, de no modificarse la base legal para la realización de transferencias, la Agencia podrá iniciar el procedimiento para acordar, en su caso, la suspensión temporal de las transferencias.
– La Agencia, junto con las autoridades europeas de protección de datos, apuesta por encontrar soluciones sostenibles para aplicar la sentencia del TJUE e insiste en el llamamiento realizado a las instituciones de la UE, los Estados miembros y las empresas para encontrar un camino que permita el cumplimiento de la sentencia del Tribunal.
En cualquier caso, los responsables que tengan dudas pueden plantear sus preguntas a través de la Sede electrónica de la AEPD.»
De los términos de esta segunda comunicación se deduce su finalidad informativa y aclaratoria, pretendiendo salir al paso de determinadas informaciones que distorsionaban el contenido y la finalidad de la primera comunicación que, en todo caso, se mantenía en sus elementos esenciales. Así, parece claro que, a partir de la sentencia del Tribunal de Justicia de la Unión Europea, la AEPD había iniciado una relación con aquellas empresas que figuraban como responsables de ficheros que realizaban transferencias internacionales de datos, a las que se concedía un periodo transitorio, fijado a nivel europeo hasta finales de enero de 2016, para que comunicaran la eventual continuación de las transferencias e informaran, en su caso, sobre las gestiones realizadas para adaptar su relación con las empresas norteamericanas a la nueva situación derivada de la sentencia Tribunal de Justicia de la Unión Europea. Es cierto que esta segunda comunicación señalaba expresamente que la AEPD no había anunciado en ningún momento su intención de iniciar «procedimientos sancionadores por defecto contra las empresas». Pero, del contexto se infiere que lo que se descartaba era una incoación de oficio de forma masiva o generalizada que, en cualquier caso, solo podría afectar a los responsables que se encontraran en la situación o presupuesto de hecho de estas comunicaciones, es decir, a los que hubieran declarado previamente la transferencia internacional de datos. Lo que no se deduce de estas comunicaciones es que la AEPD renunciara a exigir las responsabilidades procedentes a quienes, sin haber comunicado la realización de las transferencias, ni solicitado la correspondiente autorización a la AEPD, continuaran realizando la conducta prohibida por la norma, es decir, la realización de transferencias internacionales de datos a EEUU, que no garantizaba el estándar europeo de protección de los datos personales, según la sentencia del Tribunal de Justicia de la Unión Europea, tantas veces repetida.
b) Sobre la medida de «bloqueo» adoptada por la entidad recurrente.
Un segundo motivo esgrimido en la demanda para considerar aplicable el principio de confianza legítima es que la medida de «bloqueo» acordada por Òmnium Cultural era equivalente a las medidas de «suspensión temporal de las transferencias» y a la «inmovilización de ficheros», que eran las únicas que la AEPD anunció que podía y debía adoptar, y que fueron validadas por la actuación de los inspectores de la AEPD, por lo que, a juicio de la recurrente, la aplicación del régimen sancionador le resultaba igualmente imprevisible.
No corresponde a este tribunal realizar una interpretación de la legalidad ordinaria, sobre todo en un ámbito en el que confluyen, no solo conceptos jurídicos sino también técnicos. Sin embargo, desde el plano jurídico-constitucional, se puede constatar que la transferencia internacional de datos se realiza con finalidad de tratamiento (art. 33.1 LOPD), y dentro de la definición de tratamiento se incluye la mera «conservación» así como «las cesiones de datos que resulten de […] transferencias» [art. 3 c) LOPD]. De esta forma, el «bloqueo» no podía impedir el tratamiento de los datos ya transferidos, en el sentido de que los datos estaban siendo, al menos, «conservados» en los servidores ubicados en EEUU, con el consiguiente riesgo para los titulares del derecho fundamental a la protección de datos personales derivado del art. 18.4 CE, que no era la entidad OC sino las personas que se habían sumado a la iniciativa «Ahora es la hora», y que carecían de los mecanismos eficaces, reconocidos en la legislación europea, frente a las posibles injerencias llevadas a cabo conforme a la normativa de EEUU. Es decir, aun admitiendo como hipótesis que el «bloqueo» impidiera nuevas transferencias de datos, lo cierto es que no podía oponerse como obstáculo al tratamiento indebido de los datos ya transferidos, que estaban siendo conservados en los servidores de EEUU, sin las garantías debidas. En realidad, no puede deslindarse completamente la transferencia y el tratamiento de los datos, porque la transferencia se hace con finalidad de tratamiento y, en todo caso, la mera cesión de los datos a través de una transferencia ya supone un tratamiento [art. 3 c),in fineLOPD], cuyos efectos se mantienen en el tiempo con su mera conservación.
Por otro lado, la actuación de los inspectores de la AEPD, al requerir el desbloqueo de los ficheros para facilitar la información solicitada en el marco de las actuaciones de investigación, y la vuelta a la situación de bloqueo una vez obtenidos los datos, no implica una validación expresa de esa medida, ni tampoco una declaración sobre su equivalencia con el contenido, significación o efectos de una suspensión temporal de las transferencias o una inmovilización de los ficheros.
En todo caso, el análisis conjunto de los arts. 37.1 f) y 49 LOPD y de los arts. 69 y 70 RLOPD permite concluir que, aunque con terminología parcialmente equivalente, las medidas de «cesación» o «suspensión» de las transferencias y de «inmovilización» o «cancelación» de los ficheros presentan una inequívoca naturaleza de medios de restauración de la legalidad, pero no impiden el ejercicio de la potestad sancionadora correspondiente. Se trata de medidas que se mueven en planos distintos, ya que la suspensión e inmovilización pretenden impedir la continuación de una conducta ilegal, mientras que la potestad sancionadora supone una penalización por la conducta ya realizada, prevista expresamente como infracción en el ordenamiento jurídico. En ambos casos, se ejercen potestades públicas, pero diferenciadas en dos apartados de la norma [art. 37.1, letras f) y g) LOPD] y perfectamente compatibles entre sí, como expresamente se declara en el propio art. 49 LOPD.
Desde la perspectiva del juicio externo de razonabilidad que nos corresponde, la interpretación y aplicación del régimen sancionador resultaba previsible, conforme al tenor literal de la norma y a las pautas metodológicas y axiológicas comúnmente admitidas en Derecho.
c) Desestimación de la queja.
Expuestos los argumentos que, según la entidad recurrente, justificarían la aplicación del principio de confianza legítima, este tribunal debe rechazar esta pretensión. Como ya se indicó, este principio permite a los ciudadanos realizar una conducta legítima bajo el amparo de una previa y consolidada actuación de la administración pública, con apariencia de licitud, y le protege frente a cambios relevantes no justificados de los criterios de actuación administrativa que le hayan generado un perjuicio para sus legítimos derechos e intereses que no tenga la obligación de soportar. En el presente caso, no concurren algunos de los presupuestos necesarios para la aplicación de este principio, por los siguientes motivos:
(i) La actuación de la AEPD no implicó cambio alguno de criterio, porque sus comunicaciones no permitían deducir la inaplicación del régimen administrativo sancionador. Por lo tanto, el ejercicio de la potestad sancionadora no produjo quiebra alguna de la confianza depositada en una previa y consolidada actuación administrativa.
(ii) La actuación de Òmnium Cultural no puede considerarse como una conducta legítima. Esta entidad no comunicó a la AEPD que estaba realizando transferencias internacionales de datos a los EEUU; y tampoco comunicó su intención de continuar realizando esas transferencias, ni solicitó autorización alguna para hacerlo. En estas condiciones, no puede acogerse al principio de confianza legítima, que solo protege a quien realiza conductas no prohibidas expresamente por la norma. Tampoco se puede invocar este principio sobre la base de una determinada interpretación de la legalidad realizada por el propio interesado, como ocurre en este caso con la posible equivalencia entre las medidas de «bloqueo», «suspensión» o «inmovilización», cuando un somero análisis del régimen vigente permite diferenciar sus fundamentos, contenido y finalidad.
(iii) La potestad sancionadora es una actividad reglada, sobre todo en un caso como este, en que la incoación del procedimiento se produjo a instancia de parte. Se trataba de una conducta exigible para la AEPD, sobre la que no opera el principio de confianza legítima.
(iv) La aplicación del régimen sancionador no puede considerarse como un perjuicio no soportable. Quien incumple un régimen legal de prohibiciones, que aparece tipificado como infracción y castigado con una sanción (en este caso, de multa), está obligado a soportar las consecuencias de sus actos.
B) La necesidad y proporcionalidad de la sanción impuesta.
Aunque se trata de alegaciones que estaban íntimamente ligadas al motivo de amparo fundado en la eventual vulneración del derecho de asociación (art. 22 CE), que ha sido inadmitido a trámite, encuentran también su enlace con el principio de legalidad sancionadora (art. 25.1 CE), única perspectiva que será objeto de enjuiciamiento.
La demanda no discute la condición delex certade la normativa sancionadora, en el sentido de que no cuestiona la constitucionalidad de la tipicidad de la conducta ni la proporcionalidad, en abstracto, de las sanciones establecidas. Lo que se impugna es el grado de previsibilidad de una actuación administrativa y judicial en la concreta aplicación del régimen administrativo sancionador en materia de protección de datos, susceptible de generar una vulneración del derecho a la legalidad sancionadora (art. 25.1 CE). La tacha de imprevisibilidad que ahora se examina en este apartado se centra en dos aspectos concretos: por un lado, el régimen sancionador era innecesario porque la medida de «bloqueo» adoptada por la propia entidad recurrente implicaba una adecuación a la norma y, por lo tanto, la atipicidad de la conducta; y por otro, la concreta sanción impuesta era desproporcionada, en función de las circunstancias del caso.
En realidad, la demanda reproduce en este punto las razones que ha venido alegando en la vía administrativa y judicial previa, de forma que, revestidas ahora de una supuesta falta de previsibilidad, lo que hace es mostrar su discrepancia con la actuación de la AEPD y de la Audiencia Nacional, en su labor de interpretación y aplicación concreta de un determinado régimen sancionador.
Este tribunal no tiene entre sus funciones la de revisar una resolución administrativa o judicial por motivos de legalidad ordinaria, es decir, no nos corresponde realizar una interpretación o aplicación directa de una norma, función asignada a los integrantes del Poder Judicial (exart. 117 CE). Por ello, desde la perspectiva del control de constitucionalidad que nos corresponde, nuestro objeto de enjuiciamiento se debe centrar en determinar si, a la vista del régimen vigente ya expuesto, la actuación administrativa y judicial resultaba razonablemente previsible y se ajustó a su tenor literal y a los parámetros metodológicos y axiológicos de general conocimiento.
Un somero examen de la regulación vigente permite concluir que el régimen sancionador en materia de protección de datos ofrecía base suficiente para considerar como previsible su aplicación en este caso concreto. El juego conjunto de los arts. 33.1 y 44.4 d) LOPD identificaba de forma clara y precisa la conducta sancionable. En lo que ahora interesa, una transferencia internacional de datos solo era lícita en dos supuestos: si el país de destino proporcionaba garantías de protección equiparables a las europeas o si se obtenía autorización de la AEPD. En este caso, EEUU no ofrecían garantías de adecuación, según la STJUE de 6 de octubre de 2015; y la entidad recurrente no solicitó la autorización correspondiente a la AEPD, manteniendo los datos ya transferidos en poder de los servidores ubicados en EEUU, en condiciones potencialmente perjudiciales para los titulares de esos datos, al menos entre los meses de febrero y septiembre de 2016. Nos remitimos en este punto a lo expuesto en el FJ 4.2 A) b).
Ante la constatación de una infracción del régimen sancionador, la actuación administrativa y judicial devenía necesaria y respondía a una finalidad legítima, como era la protección de los datos personales de los terceros.
Por otro lado, la sanción se ajustó al rango punitivo legalmente permitido, sin desproporción alguna. Como se expone con todo detalle en las resoluciones impugnadas (señaladamente, en sus respectivos fundamentos de derecho séptimos, a los que nos remitimos), y se recoge en el antecedente 2 a) de esta sentencia, se aplicó el rango penológico asignado a las infracciones graves, a pesar de tratarse de una infracción muy grave [art. 44.4 d) LOPD], por aplicación de lo dispuesto en el art. 45.5 a), en relación con el art. 45.4, apartados d) y e), LOPD. De esta forma, una vez tipificada la infracción y establecido el marco general penológico, se individualizó la cuantía en función de los criterios fijados en el art. 45.4 LOPD, más en concreto, en sus apartados a), b), f) y j) LOPD y las circunstancias concurrentes en el caso, apreciadas por la AEPD.
Conforme a este esquema metodológico, la operación de subsunción de la infracción y de determinación de la cuantía de la sanción supera el juicio de razonabilidad que corresponde a esta jurisdicción constitucional, al basarse en el texto de la norma y guiarse por parámetros aplicativos comúnmente aceptados en Derecho.
C) Principio de responsabilidad y tutela judicial efectiva.
La tercera tacha de imprevisibilidad en la actuación administrativa y judicial se basa en la indebida aplicación del principio de responsabilidad individual que la parte recurrente atribuye a las resoluciones impugnadas. A su juicio, estas resoluciones le han impuesto una sanción como autora de una infracción, cuando de las circunstancias del caso se deducía una coautoría y, en consecuencia, una responsabilidad solidaria entre las dos entidades sociales que lideraron la iniciativa «Ahora es la hora», Òmnium Cultural y Assemblea Nacional Catalana. Ambas eran responsables del tratamiento de los datos y, por lo tanto, realizaron las transferencias internacionales, por lo que ambas debían ser sancionadas como coautoras de una única infracción. Esta pretensión es la que aparece más claramente ligada a la eventual vulneración del derecho a la tutela judicial efectiva (art. 24.1 CE), en su vertiente de derecho a obtener una resolución motivada y fundada en Derecho, por lo que procederá su análisis conjunto.
En efecto, la entidad recurrente alega que las resoluciones impugnadas, muy particularmente, la sentencia de la Audiencia Nacional, vulneran su derecho a la tutela judicial efectiva, porque no han dado una respuesta motivada y fundada en Derecho a la concreta pretensión de que se declarara una corresponsabilidad de la infracción y la consiguiente responsabilidad solidaria de las entidades responsables del fichero. A juicio de la recurrente, se le ha impuesto una sanción como autora de una infracción cuando, de las circunstancias del caso, se deducía una coautoría y, en consecuencia, una responsabilidad solidaria entre las dos entidades sociales que lideraron la iniciativa «ahora es la hora» (Òmnium Cultural y Assemblea Nacional Catalana). Sostiene la demanda que ambas eras responsables del tratamiento de los datos y, por lo tanto, realizaron las transferencias internacionales, por lo que ambas deberían, en su caso, haber sido sancionadas como coautoras de una única infracción.
Como ya se expuso, el canon de enjuiciamiento constitucional del derecho a la tutela judicial efectiva implica un juicio externo o de razonabilidad, que no puede sustituir a los órganos administrativos y judiciales competentes para la interpretación y aplicación de la normativa sancionadora correspondiente. Ese juicio consiste en una doble verificación: por un lado, que se haya ofrecido una respuesta motivada, es decir, que las resoluciones hayan expuesto los elementos que se han tenido en cuenta para resolver la pretensión planteada; y por otro, que la respuesta esté fundada en Derecho, es decir, que esté basada en una exégesis de la norma que no sea irracional, arbitraria o incursa en error patente.
Las resoluciones de la AEPD denegaron esta concreta pretensión de la recurrente por dos motivos. En primer lugar, se descartó la referencia jurisprudencial aportada por la entidad Òmnium Cultural, ya que analizaba un supuesto urbanístico que se consideró sustancialmente diferente al que nos ocupa. En segundo lugar, porque las dos entidades denunciadas figuraban como responsables del fichero y, por lo tanto, susceptibles de generar responsabilidad por el incumplimiento de los preceptos de la Ley Orgánica de protección de datos de carácter personal. Para la autoridad administrativa, «la propuesta de resolución determina la comisión de una única infracción –tal como aducen las denunciadas–, y la imposición de sanción a cada entidad deriva precisamente de su condición de responsable del fichero y de las obligaciones que el ordenamiento jurídico les atribuye derivadas de dicha condición. El principio de personalidad y de responsabilidad solidaria que establece la LRJPAC, determina que para el caso de que se haya incumplido una obligación que corresponda a varias personas conjuntamente (art. 130.3) todos los infractores pueden ser sancionados por una única infracción –siendo esa posibilidad la que puede revestirse de "solidaria"–. Por lo que debe confirmarse la propuesta de resolución en el sentido de determinar la imposición de una sanción a cada entidad por la infracción del art. 33 de la LOPD, en su calidad de responsables del fichero».
Impugnada esta resolución, la sentencia de la Audiencia Nacional validó este criterio en su fundamento de derecho sexto. En lo que ahora interesa, la resolución judicial se remite a la argumentación expuesta en la sentencia de 2 de diciembre de 2018, dictada por la misma sala y sección, en el recurso núm. 453-2016, interpuesto por las mismas entidades frente a otras resoluciones sancionadoras de la AEPD impuestas en relación con el mismo fichero «Ara es l’hora». Tras hacer una reseña literal de esa argumentación, considera que es aplicable el mismo criterio, ya que «ambas entidades no sólo han decidido conjuntamente, sino que cada una de ellas ha realizado individualmente las acciones constitutivas de la infracción, por lo que la responsabilidad es individual y a título personal. Así resulta que ANC y OC realizaron cada una en el registro general de protección de datos, sendas inscripciones relativas al fichero Ara és l’hora, que es el objeto de la transferencia internacional de datos y en el anexo de privacidad del contrato de servicio de alojamiento con la empresa BSD, figuran ambas entidades como firmantes y en calidad dedata controller, es decir, responsables del tratamiento».
El análisis de ambas resoluciones permite afirmar que ofrecieron una respuesta motivada y fundada en Derecho a la cuestión planteada.
La reciente STC 31/2022, de 7 de marzo, ha declarado:
«Para dar respuesta a esta queja debe tenerse en cuenta que la sentencia impugnada, razona, en su fundamento jurídico noveno, que «el art. 2 d) de la Directiva 95/46/CE, al definir la figura de responsable del fichero o tratamiento, alude a que la determinación de los fines y los medios del tratamiento de datos personales se puede hacer "solo o conjuntamente con otros" […].
Es dicho poder de decisión sobre la finalidad y uso del tratamiento donde radica la esencia de la figura del responsable de fichero o tratamiento, responsable que puede venir constituido, a tenor de la normativa expuesta, bien por una persona o bien por varias personas.
A este respecto resulta esclarecedor el Dictamen 1/2010 del GT29, que indica que […] "la definición de tratamiento contenida en el art 2 b) de la Directiva no excluye la posibilidad de que distintos agentes estén implicados en diferentes operaciones o conjuntos de operaciones en materia de datos personales. Estas operaciones pueden producirse simultáneamente o en distintas fases". Y se concluye que "la participación de las partes en la determinación de los fines y los medios del tratamiento en el contexto del control conjunto puede revestir distintas formas y el reparto no tiene que ser necesariamente a partes iguales [...] Los distintos grados de control pueden dar lugar a distintos grados de responsabilidad, y desde luego no cabe presumir que haya una responsabilidad solidaria en todos los casos" […].»
Toda la argumentación de la sentencia gira en torno a la figura jurídica del responsable del tratamiento que determina los fines y los medios del tratamiento conjuntamente con otros, categoría normativa que el vigente Reglamento (UE) 2016/1979 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), y por el que se deroga la Directiva 95/46/CE también denomina corresponsable del tratamiento (art. 26). Se trata de un concepto autónomo y específico de la legislación de protección de datos personales, que ha sido interpretado en sus líneas principales por el Tribunal de Justicia de la Unión Europea, sobre todo en las sentencias de 5 de junio de 2018,Wirtschaftsakademie Schleswig-Holstein, asunto C-210/16; de 10 de julio de 2018,Jehovan todistajat, asunto C-25/17, y de 29 de julio de 2019,Fashion ID, asunto C-40/17.
No es impertinente recordar al respecto que, aunque el Derecho de la Unión Europea no pueda considerarse canon de constitucionalidad, sí cabe otorgarle un valor hermenéutico, con fundamento en el art. 10.2 CE, incluyendo tanto los tratados constitutivos y sus sucesivas reformas, como el Derecho derivado (entre otras, SSTC 292/2000, de 30 de noviembre, FJ 3; 136/2011, de 13 de septiembre, FJ 2; 13/2017, de 30 de enero, FJ 6, y 76/2019, de 22 de mayo, FJ 3); así como la interpretación que de tales normas realiza el Tribunal de Justicia de la Unión Europea (SSTC 61/2013, de 14 de marzo, FJ 5; 66/2015, de 13 de abril, FJ 3; 140/2016, de 21 de julio, FJ 5; 3/2018, de 22 de enero, FJ 4; 32/2019, de 28 de febrero, FJ 6, y 156/2021, de 26 de septiembre, FJ 2, por todas). En particular en la materia que nos ocupa, toda vez que el desarrollo legislativo del derecho a la protección de datos personales «se halla en la actualidad parcialmente determinado por el Derecho de la Unión Europea» (STC 76/2019, de 22 de mayo, FJ 3).
Pues bien, la primera de las citadas sentencias del Tribunal de Justicia de la Unión Europea sienta (§ 26 a 29) los principios informadores de este concepto legal de corresponsable del tratamiento, que se reiteran en las demás (sentencias de 10 de julio de 2018, asuntoJehovan todistajat,§ 65; y de 29 de julio de 2019, asuntoFashion ID, § 67). Se afirma en los referidos apartados de la sentencia de 5 de junio de 2018, asuntoWirtschaftsakademie Schleswig-Holsteinque la «Directiva 95/46 tiene por objeto garantizar un nivel elevado de protección de las libertades y los derechos fundamentales de las personas físicas, sobre todo de su vida privada, en relación con el tratamiento de datos personales (sentencia de 11 de diciembre de 2014,Ryneš, C-212/13, § 27). Conforme a este objetivo, el art 2, letra d), de dicha Directiva define de manera amplia el concepto de "responsable del tratamiento", refiriéndose a la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que solo o conjuntamente con otros determine los fines y los medios del tratamiento de datos personales. En efecto, tal como ya ha declarado el Tribunal de Justicia, el objetivo de esta disposición consiste en garantizar, mediante una definición amplia del concepto de "responsable", una protección eficaz y completa de los interesados (sentencia de 13 de mayo de 2014,Google Spain y Google, C-131/12, § 34). Además, puesto que, tal como prevé expresamente el art 2, letra d), de la Directiva 95/46, el concepto de "responsable del tratamiento" se refiere al organismo que "solo o conjuntamente con otros" determine los fines y los medios del tratamiento de datos personales, dicho concepto no se remite necesariamente a una única entidad, sino que puede aludir a varios actores que participen en ese tratamiento, cada uno de los cuales estará por tanto sujeto a las disposiciones aplicables en materia de protección de datos».
En la sentencia de 29 de julio de 2019, asuntoFashion ID, se abordaba una situación en que una empresa de comercio electrónico dedicada a la venta de prendas de vestir (Fashion ID) insertó en su sitio de Internet el módulo social «me gusta» de Facebook. Simplemente con accionar esa función se transmitían ciertos datos personales del usuario a Facebook, que a su vez decide de un modo exclusivo cuáles eran los fines de tratamiento de esos datos. El Tribunal de Justicia de la Unión Europea resuelve en este caso que «una persona física o jurídica únicamente puede ser responsable, en el sentido del art 2, letra d), de la Directiva 95/46, conjuntamente con otros, de las operaciones de tratamiento de datos personales cuyos fines y medios determine conjuntamente. En cambio, y sin perjuicio de una eventual responsabilidad civil prevista en el Derecho nacional al respecto, dicha persona física o jurídica no puede ser considerada responsable, en el sentido de dicha disposición, de las operaciones anteriores o posteriores de la cadena de tratamiento respecto de las que no determine los fines ni los medios» (§ 74). Queda claro, por tanto, que cuando se distinguen varias fases del tratamiento o varios conjuntos de operaciones de tratamiento no se está haciendo referencia a las distintas actividades de ejecución material del tratamiento sino a la existencia de fases del tratamiento con diferente diseño (donde qué datos personales se tratarán, con qué fines y en virtud de qué medios difiere). La empresa en cuestión era corresponsable del tratamiento en cuanto a la transmisión de los datos personales derivada del uso del módulo social de Facebook, pero ninguna capacidad de influencia tenía respecto del diseño del tratamiento que Facebook realizaba una vez recibidos los datos personales de quien accionaba la función «me gusta». No tiene sentido, en conclusión, que la condición de corresponsable del tratamiento de la empresa se proyecte sobre esa segunda fase del tratamiento, en cuyo diseño no participa.
Este planteamiento, conforme al cual las distintas fases o conjuntos de operaciones de tratamiento se refieren a su diseño y no a su ejecución material, ya había quedado apuntada en la citada sentencia de 10 de julio de 2018, asuntoJehovan todistajat. En ella se examina un caso en que los miembros de la comunidad de los Testigos de Jehová realizaban, en el ámbito de su actividad de predicación puerta a puerta, anotaciones sobre las visitas efectuadas a personas que ni ellos mismos ni la comunidad conocían previamente. El Tribunal de Justicia de la Unión Europea entendió que la comunidad de los Testigos de Jehová, a pesar de que no participara en la ejecución del tratamiento de datos, era corresponsable, en la medida en que tenía capacidad de influir en cómo se organizaba la actividad de predicación y, por tanto, en qué datos recogían sus miembros y con qué finalidad. Dicha sentencia, en su § 69, razonó en concreto que «la responsabilidad conjunta de varios agentes respecto a un mismo tratamiento en virtud de dicho precepto [art 2, letra d), de la Directiva 95/46] no supone que cada uno de ellos tenga acceso a los datos personales en cuestión (véase, en este sentido, la sentencia de 5 de junio de 2018,Wirtschaftsakademie Schleswig-Holstein, C-210/16, § 38)».
De todo lo anterior se desprende que los «diferentes conjuntos de operaciones» o «distintos grados de responsabilidad» a que alude el «Dictamen 1/2010 del GT29» que cita la sentencia impugnada (el GT29 es el grupo de trabajo independiente, creado al amparo del art. 29 de la Directiva 95/46/CE, que se ha ocupado de cuestiones relacionadas con la protección de la privacidad y los datos personales hasta la entrada en aplicación del RGPD, el 25 de mayo de 2018), no se determinan en función de la mayor o menor participación en las actividades de ejecución del tratamiento de datos personales, sino de la mayor o menor participación en el diseño del mismo. Por este motivo, la sentencia impugnada no incurre en ningún defecto de motivación lesivo del derecho a la tutela judicial efectiva por no precisar qué concretas actividades del tratamiento de datos que nos ocupa ejecutó la entidad» recurrente. «Ello es irrelevante para determinar si esta entidad es responsable del tratamiento y en qué medida lo es. Lo decisivo es, como señala la sentencia impugnada, el "poder de decisión sobre la finalidad y uso del tratamiento" y resulta acreditado, como se razona en la sentencia, que el poder de decisión» de la entidad OC se proyectó sobre todo el tratamiento de datos personales asociado a la iniciativa «Ahora es la hora».
El otro elemento interpretativo que resulta relevante para resolver la presente queja es que la jurisprudencia del Tribunal de Justicia de la Unión Europea antes reseñada ha interpretado que el sentido de la figura del corresponsable es que en los tratamientos de datos complejos la presencia de varios responsables no haga resentir el nivel elevado de protección que garantiza el régimen previsto en la Directiva 95/46/CE, de modo que cada uno de los actores que participen en ese tratamiento estará por tanto sujeto a las disposiciones aplicables en materia de protección de datos. Este propósito de garantía de un alto nivel de protección es el que resalta la argumentación de la sentencia impugnada que ha sido transcrita, en particular al citar el «Dictamen 1/2010 del GT29» en la parte que afirma que «la definición de tratamiento contenida en el art 2 b) de la Directiva no excluye la posibilidad de que distintos agentes estén implicados en diferentes operaciones o conjuntos de operaciones en materia de datos personales».
Con este razonamiento la sentencia impugnada viene a destacar que las entidades ANC y OC, al determinar conjuntamente los fines y los medios del tratamiento de datos personales […], están cada una de ellas sujetas a las disposiciones aplicables en materia de protección de datos, criterio jurisprudencial sobre la funcionalidad del concepto de corresponsable del tratamiento que ha venido a ratificar el vigente art. 26.3 RGPD («[i]ndependientemente de los términos del acuerdo a que se refiere el apartado 1, los interesados podrán ejercer los derechos que les reconoce el presente Reglamento frente a, y en contra de, cada uno de los responsables»)» (FJ 5).
En conclusión, como también dijimos en nuestra STC 31/2022, «la sentencia impugnada, al resolver que los varios actores que participan en el diseño de un tratamiento de datos personales están sujetos cada uno de ellos a las disposiciones aplicables en materia de protección de datos, está necesariamente rechazando todos los distintos argumentos que la entidad recurrente hizo valer para instar que se declarase una responsabilidad solidaria de ambas entidades. No se advierte, por tanto, que la sentencia impugnada haya incurrido en deficiencias de motivación lesivas del derecho a la tutela judicial efectiva, por lo que procede desestimar también esta concreta queja de la recurrente» (FJ 5).
En atención a todo lo expuesto, el Tribunal Constitucional, POR LA AUTORIDAD QUE LE CONFIERE LA CONSTITUCIÓN DE LA NACIÓN ESPAÑOLA,
Desestimar el recurso de amparo interpuesto por la asociación Òmnium Cultural contra las resoluciones de la Agencia Española de Protección de Datos de 22 de febrero y 4 de mayo de 2017, recaídas en el procedimiento sancionador PS/00391/2016; así como contra la sentencia de 29 de abril de 2019 de la Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, dictada en el recurso núm. 397-2017 y contra el auto de 19 de junio de 2020 de la Sección Primera de la Sala de lo Contencioso-Administrativo del Tribunal Supremo, que inadmitió a trámite el recurso de casación formalizado contra aquella sentencia.
Publíquese esta sentencia en el «Boletín Oficial del Estado».
Dada en Madrid, a veintiuno de marzo de dos mil veintidós.–Juan Antonio León Moya.–Antonio Narváez Vega Conde-Pumpido Tourón.–Ramón Cruz Cabrera.–Enrique Arnaldo Alcubilla.–Concepción Peña Jorquera.–Firmado y rubricado.
Con el máximo respeto a nuestros compañeros de tribunal, manifestamos nuestra discrepancia con la fundamentación jurídica y con el fallo de la sentencia, que consideramos que debería haber sido estimatorio por vulneración del derecho a la legalidad sancionadora (art. 25.1 CE), en su dimensión de prohibición de una interpretación y aplicación imprevisible de los tipos sancionadores.
Nuestra discrepancia con la opinión mayoritaria en la que se sustenta la sentencia es doble y radica en (i) la propia configuración y contenido del derecho a la legalidad sancionadora, que a nuestro parecer ha resultado desvirtuada al incluir consideraciones sobre el principio de confianza legítima que no se corresponden sistemáticamente con este derecho fundamental y (ii) la aplicación concreta que del derecho a la legalidad sancionadora se ha hecho al caso para desestimar su vulneración.
Una mejor exposición de nuestra discrepancia determina que se aborde, en primer lugar, el alcance de la prohibición de una interpretación y aplicación imprevisible de los tipos sancionadores como una de las garantías del art. 25.1 CE frente al ejercicio de la potestad sancionadora del Estado para, a continuación, poder exponer las razones por las que consideramos que en este caso la sanción impuesta a la entidad recurrente resultaba lesiva de esa garantía.
I. La garantía del mandato de certeza del derecho a la legalidad sancionadora en el momento de interpretación y aplicación del tipo sancionador.
1. El primero de los motivos alegados por la entidad demandante de amparo frente a la sanción de la que ha sido objeto por parte de la Agencia Española de Protección de Datos (AEPD) y su confirmación judicial fue «la vulneración del derecho a la legalidad sancionadora (artículo 25.1 CE) en relación con el art. 9.3 y los principios seguridad jurídica y confianza legítima», destacando que «el artículo 25 CE establece el derecho fundamental a la legalidad sancionadora como manifestación de garantía de los principios recogidos en el art. 9.3 CE, tales como el principio de legalidad, seguridad jurídica, responsabilidad e interdicción de la arbitrariedad de los poderes públicos, entre otros». A este respecto, hace radicar la vulneración del art. 25.1 CE en dos aspectos muy concretos: (i) que la AEPD había generado una expectativa de que la conducta se ajustaba a la legalidad por haberse seguido las instrucciones e indicaciones que había aportado en la materia y (ii) que se ha impuesto la sanción con fundamento en unos actos que no constituyen infracción administrativa alguna.
La opinión mayoritaria en la que se sustenta la sentencia, partiendo de la exposición de la jurisprudencia constitucional sobre, por un lado, el ámbito aplicativo del mandato de certeza como garantía del art. 25.1 CE y, por otro, la idea de confianza legítima integrada dentro del principio de seguridad jurídica reconocido en el art. 9.3 CE, ha considerado que no concurría dicha vulneración. Afirma que ni la existencia de comunicaciones previas de la AEPD en relación con la situación creada respecto de las transferencias internacionales de datos de carácter personal a EEUU tras la STJUE de 6 de octubre de 2015, asunto C‑362/14, ni la medida de bloqueo adoptada por la entidad recurrente como equivalente a la medida de suspensión temporal de las transferencias de datos permiten concluir que haya sido infringido el principio de confianza legítima. A ello añade que la regulación vigente en el momento de cometerse los hechos permite concluir que el régimen sancionador en materia de protección de datos ofrecía base suficiente para considerar como previsible su aplicación en este caso, ya que no se cumplía ninguno de los supuestos en que era lícita la transferencia internacional de datos.
No podemos compartir la integración que hace la posición mayoritaria de la confianza legítima como un elemento dotado de aparente autonomía en la valoración en la jurisdicción de amparo sobre el respeto de las exigencias de certeza en la labor interpretativa y aplicativa de los preceptos sancionadores bajo la invocación del art. 25.1 CE. Es una extensión que sistemáticamente resulta inadecuada si se atiende a la construcción que de la confianza legítima ha realizado la jurisprudencia constitucional como una de las dimensiones del principio de seguridad jurídica previsto en el art. 9.3 CE. Además, es innecesaria en el actual momento de desarrollo jurisprudencial del derecho a la legalidad sancionadora, que ha sido capaz de incorporar mediante criterios jurisprudenciales ya consolidados cualquier aspecto que pudiera vincularse a la frustración de expectativas derivadas de la actividad de los poderes públicos sobre la legalidad de una conducta finalmente considerada sancionable.
2. La idea de confianza legítima integrada en el principio de seguridad jurídica previsto en el art. 9.3 CE ni es un derecho fundamental alegable en la jurisdicción de amparo, como reconoce la posición mayoritaria, ni en su actual configuración jurisprudencial ha sido directa y autónomamente proyectado al derecho a la legalidad sancionadora en su dimensión de la prohibición de una interpretación y aplicación imprevisibles de los preceptos sancionadores.
Eso no significa, en el sentido reiterado por el Tribunal, que el contenido y alcance del derecho a la leg