Categoría: Judicial

guridad jurídica previsto en el art. 9.3 CE ni es un derecho fundamental alegable en la jurisdicción de amparo, como reconoce la posición mayoritaria, ni en su actual configuración jurisprudencial ha sido directa y autónomamente proyectado al derecho a la legalidad sancionadora en su dimensión de la prohibición de una interpretación y aplicación imprevisibles de los preceptos sancionadores.
Eso no significa, en el sentido reiterado por el Tribunal, que el contenido y alcance del derecho a la legalidad sancionadora no esté conectado, entre otros, con el principio de seguridad jurídica. Así, se ha destacado que «el principio de legalidad penal, en su vertiente material, refleja la especial trascendencia del principio de seguridad jurídica (art. 9.3 CE) y comporta el mandato de taxatividad o de certeza que se traduce en la exigencia de predeterminación normativa de las conductas y de sus correspondientes sanciones (lex certa), en virtud del cual el legislador debe promulgar normas concretas, precisas, claras e inteligibles, para que los ciudadanos puedan conocer de antemano el ámbito de lo proscrito y prever, así, las consecuencias de sus acciones» [SSTC 146/2015, de 25 de junio, FJ 2; 91/2021, de 22 de abril; FJ 11.1 B), y 25/2022, de 23 de febrero, FJ 7.2 B)]. Esta misma idea de que el derecho a la legalidad sancionadora es una manifestación específica en el ámbito de la potestad sancionadora estatal del principio de seguridad jurídica es también compartida por la jurisprudencia del Tribunal de Justicia de la Unión Europea (así, por ejemplo, STJUE de 8 de marzo de 2022, asunto C-205/20, § 47).
También se ha hecho lo propio, por lo que interesa al presente recurso de amparo, respecto del mandato dirigido al aplicador de los preceptos sancionadores prohibiendo su subsunción imprevisible, incidiendo en que (i) «en su labor de interpretación y aplicación de las leyes penales se encuentran, por razones de seguridad jurídica y de legitimidad democrática de la intervención punitiva, en situación de sujeción estricta a la ley penal, estándoles vedada la interpretación extensiva y la analogíain malam partem, es decir, la exégesis y aplicación de las normas fuera de los supuestos y de los límites que ellas mismas determinan» [STC 229/2003, de 18 de diciembre, FJ 16, y en sentido muy similar refiriéndose a la sanción de comportamientos no previstos en la norma correspondiente pero similares a los que sí contempla, SSTC 137/1997, de 21 de julio, FJ 6; 146/2015, de 25 de junio, FJ 2; 91/2021, de 22 de abril; FJ 11.1 B), y 25/2022, de 23 de febrero, FJ 7.2 B)], y (ii) «la seguridad jurídica y el respeto a las opciones legislativas de sanción de conductas sitúan la validez constitucional de la aplicación de las normas sancionadoras desde el prisma del principio de legalidad tanto en su respeto al tenor literal del enunciado normativo, que marca en todo caso una zona indudable de exclusión de comportamientos, como en su razonabilidad» [SSTC 137/1997, de 21 de julio, FJ 7; 185/2014, de 6 de noviembre, FJ 5; 91/2021, de 22 de abril; FJ 11.1 D), y 25/2022, de 23 de febrero, FJ 7.2 D)].
Ahora bien, la existencia de una conexión del derecho a la legalidad sancionadora con razones elementales de seguridad jurídica no determina que la idea de confianza legítima, como dimensión del principio de seguridad jurídica desarrollada por la jurisprudencia constitucional con un muy limitado y casuístico alcance dentro del art. 9.3 CE, pueda proyectarse de la manera pretendida por la opinión mayoritaria en la que se sustenta la sentencia a las invocaciones del derecho a la legalidad penal (art. 25.1 CE) fundamentadas en la falta de previsibilidad sobre la ilicitud de una conducta vinculada a las expectativas generadas por actuaciones previas del poder público. En estos casos lo relevante desde la perspectiva del análisis constitucional de la jurisdicción de amparo no es verificar el cumplimiento de las exigencias propias del principio de confianza legítima conforme al reconocimiento que se le da en el art. 9.3 CE, que es lo realizado por la posición mayoritaria; sino verificar el efecto que podrían tener las eventuales expectativas de la licitud de la conducta a partir de la actividad desarrollada por la administración en la previsibilidad de una reacción sancionadora por parte del poder público, que es lo que concretamente planteaba la entidad demandante de amparo, para lo que no es necesario el estricto cumplimiento de los requisitos constitucionales para entender vulnerada la confianza legítima.
Por otra parte, la jurisprudencia constitucional, también en diálogo constante con el Tribunal Europeo de Derechos Humanos y el Tribunal de Justicia de la Unión Europea en esta materia, ha desarrollado, como concreción de las exigencias de seguridad jurídica, el alcance de la prohibición de una interpretación y aplicación imprevisible de los tipos sancionadores, estableciendo toda una serie de criterios jurisprudenciales en que queda naturalmente integrado el análisis de la eventual relevancia que en la conducta sancionada pudieran haber tenido la confianza legítima generada por las actuaciones de los poderes públicos respecto de su licitud. Estos criterios jurisprudenciales, como se expondrá más adelante, inciden tanto en los aspectos objetivos como subjetivos de la subsunción de la supuesta conducta infractora y son los que, a nuestro parecer, debieran haber sido utilizados en el análisis que corresponde realizar al Tribunal bajo la invocación del derecho a la legalidad sancionadora.
3. El Tribunal Constitucional ha establecido en la formulación más tradicional y estandarizada de la prohibición de una interpretación y aplicación imprevisible de los tipos sancionadores una serie de criterios rectores que se centran en la idea de imprevisibilidad objetiva y que pueden quedar extractados en los siguientes aspectos (así, SSTC 42/1999, de 22 de marzo, FJ 4; 123/2001, de 4 de junio, FJ 11; 170/2002, de 30 de septiembre, FJ 12; 129/2003, de 30 de junio, FJ 4; 219/2016, de 19 de diciembre, FJ 7; 37/2018, de 23 de abril, FJ 4; 1/2020, de 14 de enero, FJ 8, y 25/2022, de 23 de febrero, FJ 7.2):
(i) La función de interpretar y aplicar la legislación penal, de acuerdo con lo establecido en el art. 117.3 CE, corresponde en exclusiva a los jueces y tribunales ordinarios y, en el caso de la potestad administrativa sancionadora, a la administración que resulte competente con el debido control por parte de los jueces y tribunales ordinarios.
(ii) Esta labor –tomando en consideración que potencialmente toda norma sancionadora puede admitir varias interpretaciones como consecuencia natural de la vaguedad del lenguaje, el carácter genérico de las normas y su inserción en un sistema normativo relativamente complejo– tiene como límite constitucional garantizado por el derecho a la legalidad sancionadora (art. 25.1 CE) que la interpretación y aplicación de los preceptos sancionadores quedan sometidos al sentido semántico del enunciado normativo. Este límite tiene su fundamento en el respeto al ámbito de actuación del poder legislativo vinculado a la división de poderes y, especialmente, como concreción de las exigencias del principio de seguridad jurídica, en razones de previsibilidad para los destinatarios de las normas que les permitan adaptar sus comportamientos sin temor a posibles condenas por actos no sancionables.
(iii) Los límites constitucionales impuestos al respeto del sentido semántico del precepto sancionador han sido entendidos, en su origen, en términos puramente objetivos de razonabilidad jurídica del proceso de interpretación y aplicación normativo en la consideración de que, por sí misma, dicha razonabilidad evidenciaba una previsibilidad para la generalidad de los destinatarios de las normas. De ese modo, ha quedado vedado (a) el proceso de subsunción de los hechos ajeno al significado posible de los términos de la norma aplicada, prohibiéndose la interpretación extensiva y la analogíain malam partem, y (b) aquellas aplicaciones que por su soporte metodológico –una argumentación ilógica o indiscutiblemente extravagante no aceptada por la comunidad jurídica– o axiológico –una base valorativa ajena a los criterios que informan nuestro ordenamiento constitucional– conduzcan a soluciones esencialmente opuestas a la orientación material de la norma, tanto cuando se constate a partir de la motivación de la correspondiente resolución, como cuando la ausencia de fundamentación revele que se ha producido dicha extensión.
(iv) La tarea del Tribunal Constitucional en este contexto se limita a verificar si la subsunción realizada responde a una de las interpretaciones razonablemente previsibles de la norma y a supervisar externamente que la interpretación adoptada responde a unas reglas mínimas de corrección técnica, de modo que quepa afirmar que la decisión sancionadora era un resultado previsible, en cuanto razonable, de lo decidido por la soberanía popular.
4. Estos criterios de la jurisprudencia constitucional, no obstante, han ido complementándose con otros nuevos, aunque no se hayan integrado en la formulación estandarizada del parámetro de control referido al mandato de certeza dirigido a los aplicadores de las normas sancionadoras. Así, la idea de razonabilidad jurídica del proceso de subsunción se ha visto más modernamente complementada con la idea de la accesibilidad del destinatario al ámbito de la aplicación de la norma sancionadora.
Se registra una relevante evolución en el parámetro de control de esta garantía constitucional desde la exclusiva concepción de una previsibilidad objetiva, basada en el criterio de la razonabilidad jurídica de la interpretación, que implica una valoración ajena al destinatario de la norma, realizadaex post factoy fundamentada en consideraciones abstractas de que presupone la previsibilidad de la respuesta sancionadora para la generalidad de los destinatarios; hasta su complementación con la asunción de una previsibilidad subjetiva, basada en el criterio de la accesibilidad al ámbito de la norma sancionadora, que impone una valoración de la posibilidad efectiva que tenía el autor de la conducta supuestamente ilícita de conocerex anteel resultado de esa interpretación atendiendo a las concretas circunstancias concurrentes en el caso para, en su caso, haber podido adaptar sus comportamientos sin temor a posibles condenas.
5. Los elementos más relevantes que en este juicio de accesibilidad han sido destacados por la jurisprudencia constitucional son los vinculados con las circunstancias de (i) una previa labor subsuntiva de esas normas en casos semejantes, (ii) la especial posición personal que pueda tener el destinatario de la norma en el contexto de la regulación sancionadora a aplicar y (iii) las expectativas generadas por actuaciones de los poderes públicos respecto de la licitud de la conducta sancionada.
(i) La relevancia que, en un juicio de previsibilidad subjetiva en la subsunción de una norma sancionadora, en términos de accesibilidad efectiva, puede tener una previa labor subsuntiva de esa norma en casos semejantes por el órgano sancionador ha sido puesta de manifiesto, por ejemplo, en la STC 129/2006, de 24 de abril. Esta resolución, en un supuesto de imposición de una sanción disciplinaria a un parlamentario autonómico, ya establecía, como exigencia de verificación de la garantía de «previsibilidad subjetiva inherente al principio de legalidad», que la determinación del ámbito de la norma sancionadora «es tarea que no tiene que verificarse exclusivamente en la abstracción de los preceptos reglamentarios –por cuanto no se puede exigir la predeterminaciónex antede lo que soloex postes determinable–, sino que al efecto de la satisfacción de dicha garantía se ha de estar a la norma reglamentaria y a la práctica parlamentaria, esto es, a la normatividad decantada a partir de los usos y costumbres acreditados en cada Asamblea» (FJ 5). Igualmente, la jurisprudencia constitucional ha destacado la potencial relevancia de los pronunciamientos previos de los órganos sancionadores desde la perspectiva de la exigencia de responsabilidad personal –consciencia del incumplimiento– como otra de las garantías inherentes del principio de legalidad sancionadora (así, SSTC 37/2018, de 23 de abril, FJ 4, y 78/2019, de 3 de junio, FJ 3).
(ii) La relevancia que, en un juicio de previsibilidad subjetiva en la subsunción de una norma sancionadora, en términos de accesibilidad efectiva, puede tener la posición personal del destinatario de la norma ha sido también puesta de manifiesto en la citada STC 129/2006. Esta resolución, al valorar la previsibilidad de la respuesta sancionatoria por parte del parlamentario autonómico, destacó la necesidad de ponderar que «el primero de los deberes que configuran lalex artisen el ejercicio de cualquier profesión o cargo reside en procurarse el conocimiento de las reglas básicas conforme a las cuales ha de ejercerse la profesión o cargo» (FJ 6). Lo mismo se hizo en la STC 25/2002, de 11 de febrero, en un supuesto de sanción impuesta a la entidad propietaria de una central nuclear por incumplimiento de la obligación de comunicación inmediata de un suceso generador de peligro, dando relevancia en el juicio de previsibilidad a «la muy importante cualificación del personal de las instalaciones nucleares y radioactivas» (FJ 5).
(iii) La relevancia que en un juicio de previsibilidad subjetiva en la subsunción de una norma sancionadora, en términos de accesibilidad efectiva, pueden tener las expectativas generadas por actuaciones de los poderes públicos respecto de la licitud de la conducta sancionada, que es especialmente significativo para este recurso de amparo por su conexión con ideas latentes en el principio de confianza legítima, ha sido destacada por la jurisprudencia constitucional, por ejemplo, en las SSTC 117 /2002, de 20 de mayo, y 196/2002, de 28 de octubre. En la primera se afirmó que la alegación de haber obrado en la confianza legítima de que el abono regular de unos tributos municipales acreditaba la legalidad de una instalación publicitaria por la que había sido sancionado el recurrente tendría encaje, en su caso, en el contexto de la exigencia de responsabilidad personal mediante la institución del error de prohibición (FJ 9). En la segunda, en un supuesto de condena por un delito electoral al haberse incumplido la obligación de notificación a la Junta Electoral Provincial de la celebración de un mitin electoral en una zona de tránsito público, pero que sí había sido notificado al ayuntamiento, que comunicó al recurrente su propósito de ponerlo en conocimiento de la administración electoral, también se señaló la necesidad de ponderar que la expectativa de licitud de su actuación generada a partir de la comunicación del ente local ponía de manifiesto la «evidente voluntad de cumplimiento de los requisitos formales» (FJ 6).
6. Esta visión más omnicomprensiva de las exigencias constitucionales de previsibilidad en el proceso de subsunción de las normas penales vinculadas con la verificación tanto de la razonabilidad jurídica del proceso como de la concreta accesibilidad de los destinatarios de la norma también está presente en la jurisprudencia del Tribunal Europeo Derechos Humanos y del Tribunal de Justicia de la Unión Europea en la materia.
Así, el Tribunal Europeo Derechos Humanos ha establecido que los criterios rectores a partir de los cuales se construye la prohibición de una interpretación y aplicación imprevisible de los tipos sancionadores como garantía del derecho a la legalidad sancionadora previsto en el art. 7.1 CEDH serían los siguientes (así, SSTEDH de 22 de noviembre de 1995, asuntoS.W. c. Reino Unido, § 34 a 36; de 22 de marzo de 2001, asuntoStreletz, Kessler y Krenz c. Alemania, § 50; de 24 de mayo de 2007, asuntoDragotuniu and Militaru-Pidhorni c. Rumanía, § 33 a 37; de 19 de septiembre de 2008, asuntoKorbely c. Hungría, § 70 y 71, y de 20 de octubre de 2015, asuntoVasiliauskas c. Lituania, § 153 a 157):
(i) La norma sancionadora, aun tomando en consideración el principio de generalidad de las leyes, que determina que su texto no pueda dar una precisión absoluta a fin de evitar una rigidez excesiva y poder adaptarse a los cambios de situación, debe definir claramente las infracciones y las sanciones, lo que implica, como condiciones cualitativas, las de su accesibilidad y previsibilidad.
(ii) La labor de subsunción de las normas sancionadoras desarrollada por los órganos encargados de su aplicación debe cumplir la condición de que el resultado sea coherente con el ámbito de aplicación de la norma sancionadora y razonablemente previsible, lo que exige no aplicar las normas sancionadoras de forma extensiva en detrimento del acusado, por ejemplo, por analogía.
(iii) La función de decisión confiada a los órganos sancionadores también cumple con la finalidad de disipar las dudas que podrían subsistir en lo que respecta a la interpretación de las normas sancionadoras, por lo que las condiciones de accesibilidad y previsibilidad se cumplen cuando el destinatario puede saber, a partir de la redacción de la disposición aplicable y, si fuera preciso, con ayuda de su interpretación por parte de los tribunales, qué actos y omisiones le hacen penalmente responsable.
(iv) El alcance de la noción de previsibilidad también depende de aspectos vinculados con las condiciones singulares de sus destinatarios, sin que se oponga a ello que, en su caso, estos tengan que recurrir a un debido asesoramiento para evaluar, hasta un grado razonable en las circunstancias del caso, las consecuencias que pudieran resultar de un acto determinado, que es lo que ocurre especialmente con los profesionales, habituados a dar prueba de una gran prudencia en el ejercicio de su profesión, y de los que cabe esperar una especial atención en evaluar los riesgos que esta implica.
Por su parte, la jurisprudencia del Tribunal de Justicia de la Unión Europea también ha incidido en la relevancia del mandato de certeza como una de las garantías del derecho a la legalidad sancionadora previsto en el art. 49.1 de la Carta de los derechos fundamentales de la Unión Europea (CDFUE), destacando que la ley debe definir claramente las infracciones y las penas que las castigan (así, SSTJUE de 28 de marzo de 2017, C‑72/15, § 162; y de 8 de marzo de 2022, asunto C-205/20, § 47). A esos efectos, recordando que este derecho, de conformidad con lo previsto en el art. 52.3 CDFUE, debe tener el mismo alcance y sentido que el garantizado en el art. 7.1 CEDH (STJUE de 11 de junio de 2020, asunto C-634/18, § 47), el Tribunal de Justicia de la Unión Europea señala, en la línea establecida por el Tribunal Europeo Derechos Humanos, que eso exige que en la descripción de las infracciones y sanciones se deben respetar determinados requisitos de accesibilidad y de previsibilidad (STJUE de 11 de junio de 2020, asunto C-634/18, § 48), que se entienden cumplidos «cuando el justiciable puede saber, a partir del texto de la disposición pertinente y, si fuera necesario, con ayuda de la interpretación que de ella hacen los tribunales, qué actos y omisiones generan su responsabilidad penal» (SSTJUE de 22 de octubre de 2015, C‑194/14 P, § 40; de 20 de diciembre de 2017, C‑102/16, § 51; de 11 de junio de 2020, asunto C-634/18, § 48; de 24 de marzo de 2021, asuntos C‑870/19 y C‑871/19, § 49, y de 9 de septiembre de 2021, C‑906/19, § 46), lo que no impide «la clarificación gradual de las reglas de la responsabilidad penal mediante interpretaciones jurisprudenciales, siempre y cuando estas sean razonablemente previsibles» (STJUE de 11 de junio de 2020, asunto C-634/18, § 50).
7. En definitiva, la prohibición constitucional de una interpretación y aplicación imprevisible de los tipos sancionadores como una de las garantías del art. 25.1 CE frente al ejercicio de la potestad sancionadora del Estado determina que en la labor de subsunción normativa desarrollada por los órganos sancionadores estos cumplan con las exigencias de:
(i) Previsibilidad objetiva, en el sentido de que no se incurra en una falta de razonabilidad porque se haya recurrido bien a una interpretación extensiva o analógica en perjuicio del sancionado bien a su soporte metodológico –una argumentación ilógica o indiscutiblemente extravagante no aceptada por la comunidad jurídica– o axiológico –una base valorativa ajena a los criterios que informan nuestro ordenamiento constitucional– que haya conducido a soluciones esencialmente opuestas a la orientación material de la norma sancionadora.
(ii) Previsibilidad subjetiva, en el sentido de que no se pueda excluir la razonable accesibilidad del infractor al ámbito de la conducta sancionada tomando en consideración, entre otros aspectos, la previa labor subsuntiva de esas normas en casos semejantes por parte de los órganos sancionadores, la especial posición que pueda tener el destinatario en el contexto de la regulación sancionadora aplicable y las expectativas generadas por actuaciones de los poderes públicos respecto de la licitud de la conducta sancionada.
En coherencia con ello, la labor de control que corresponde al Tribunal en esta jurisdicción de amparo bajo la invocación del derecho a la legalidad sancionadora (art. 25.1 CE) debería haberse extendido a verificar que en la sanción impuesta a la entidad demandante de amparo no se ha incurrido en una subsunción imprevisible objetivamente, a consecuencia de su irrazonabilidad, o subjetivamente, a consecuencia de su inaccesibilidad.
II. La valoración sobre el cumplimiento de la prohibición constitucional de una interpretación y aplicación imprevisible de los tipos sancionadores en este recurso de amparo.
8. Hemos anticipado nuestra discrepancia con la conclusión de la opinión mayoritaria en la que se sustenta la sentencia de que la sanción impuesta a la entidad demandante de amparo ha respetado las garantías del derecho a la legalidad sancionadora (art. 25.1 CE). Esta discrepancia se fundamenta en que consideramos que se han incumplido las exigencias tanto de previsiblidad objetiva –la subsunción resulta extensiva e irrazonable– como de previsibilidad subjetiva –en las circunstancias del caso no resultaba razonablemente accesible la posibilidad de estar incurriendo en una conducta ilícita–.
La exposición de las razones de esta discrepancia exige volver a recordar, aunque sea sucintamente, los hechos que han dado lugar a la imposición de la sanción y la argumentación desarrollada en la resolución administrativa sancionadora y en la judicial que la confirma.
9. Son hechos no controvertidos en la vía administrativa, judicial y en este procedimiento de amparo los siguientes:
(i) La entidad demandante de amparo, junto con otra, suscribió el 10 de julio de 2014 un contrato de prestación de servicios con una empresa de EEUU para que un fichero que incluía datos de carácter personal estuviera alojado en los servidores de esta empresa en EEUU. La empresa estaba adherida a los principios de puerto seguro de la privacidad (the safe harbour privacy principles), recogidos en la Decisión de la Comisión 2000/520/CE de 26 de julio de 2000, dando con ello cumplimiento al art. 33 de la entonces vigente Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (LOPD), que establecía que solo se permitía la transferencia de datos de carácter personal con destino a países que proporcionaran un nivel de protección equiparable al de la ley, considerando su incumplimiento como una infracción muy grave [art. 44.4 d) LOPD].
(ii) La STJUE de 6 de octubre de 2015, asunto C-362/14, declaró la invalidez de la citada Decisión de la Comisión 2000/520/CE, que daba cobertura a la legalidad de la transferencia internacional de datos a EEUU con empresas que se hubieran comprometido a aplicar los principios de puerto seguro de la privacidad.
(iii) La situación generada por esta declaración judicial de invalidez determinó que las autoridades comunitarias y nacionales en materia de protección de datos emitieran diversas comunicaciones en las que, a la espera de que pudiera encontrarse una solución adecuada con las autoridades de EEUU, se establecía una moratoria en la consideración de la ilicitud de la transferencia de datos a ese país con empresas adheridas a los principios de puerto seguro hasta finales de enero de 2016. En concreto la AEPD emitió un primer comunicado de 19 octubre de 2015 instando a los responsables de los ficheros sobre la adopción de medidas respecto de estas transferencias internacionales de datos antes del 29 de enero de 2016 y un segundo comunicado el 9 de diciembre de 2015 incidiendo en que (a) la agencia se está limitando a informar a los responsables «para que requieran a su proveedor de servicios, si es necesario, que les ofrezca una respuesta adaptada a la sentencia del Tribunal de Justicia de la Unión Europea», y (b) la agencia no está anunciado su intención de iniciar procedimientos sancionadores sino indicando «que, de no modificarse la base legal para la realización de transferencias, la Agencia podrá iniciar el procedimiento para acordar, en su caso, la suspensión temporal de las transferencias».
(iv) La entidad demandante de amparo, al menos desde el 13 de noviembre de 2015, entró en negociaciones con la empresa de EEUU para que se le ofrecieran alternativas para mantener el servicio contratado dentro de las exigencias establecidas por la AEPD, insistiendo en ello en diciembre de 2015 y el 12 de enero de 2016. En esta última ocasión se indicó a la empresa que el 29 de enero de 2016 finalizaba el plazo de la moratoria y esta sugirió la posibilidad de bloquear el acceso al programa lo que implicaba la suspensión de todo el tratamiento de los datos. La entidad demandante de amparo solicitó el 30 de enero de 2016 a la empresa el bloqueo del acceso al programa informático, a lo que se dio debido cumplimiento y fue verificado sin objeción alguna por los inspectores de la AEPD.
(v) La empresa de EEUU mediante comunicación de 12 de agosto de 2016 puso de manifiesto las dificultades legales que tenía para adherirse a los nuevos principios de privacidad establecidos en la Decisión de ejecución (UE) 2016/1250, de 12 de julio de 2016, que sustituyó a la declarada inválida por el Tribunal de Justicia de la Unión Europea. Por ello, la entidad demandante de amparo solicitó el 22 de agosto de 2016 la resolución del contrato y la descarga de todos los datos bloqueados alojados en los servidores gestionados por la empresa, formalizándose el 15 de noviembre de 2016 un nuevo contrato con una empresa de la Unión Europea en cuyo territorio quedó alojada la base de datos.
10. La AEPD, en virtud de la denuncia de dos particulares, acordó el 30 de septiembre de 2016 incoar un procedimiento sancionador, dictando resolución sancionadora R/00325/2017 de 22 de febrero de 2017 en la que se impuso una multa de 90 000 € a la entidad demandante de amparo –y otra de la misma cuantía a la entidad corresponsable de la base de datos– por considerar que se había cometido una infracción muy grave del art. 44.4 d) LOPD que tipifica «la transferencia internacional de datos de carácter personal con destino a países que no proporcionen un nivel de protección equiparable […]».
Las razones expuestas en la citada resolución sancionadora son que el art. 5.1 s) del Reglamento de la Ley Orgánica de protección de datos de carácter personal (Real Decreto 1720/2007) define la transferencia internacional de datos como «el tratamiento de datos que supone una transmisión de los mismos fuera del territorio del Espacio Económico Europeo […]» y el art. 5.1 t) define como tratamiento de datos cualquier operación o procedimiento técnico, sea o no automatizado, que permita, entre otras actividades, su conservación. De ello concluye que «la transferencia internacional de datos ha de interpretarse en relación con el concepto de tratamiento de datos que contiene la LOPD y su normativa de desarrollo […] en el sentido de que esta existe mientras los datos de carácter personal se encuentren ubicados fuera del territorio nacional –y por tanto sometidos a tratamiento– […]» (fundamento de Derecho 7).
En vía judicial se confirmó la constitucionalidad de esta interpretación en el sentido de que no era preciso para la comisión de esta infracción que se hubiera producido con posterioridad a la declaración de invalidez de la Decisión de la Comisión 2000/520/CE una actividad de traslado de los datos a los EEUU sino que era suficiente haber conservado allí los trasladados previamente a esa declaración de invalidez.
11. La proyección de las exigencias de previsibilidad objetiva vinculadas a la razonabilidad de la subsunción realizada por el órgano administrativo sancionador y por el órgano judicial que controlaba la legalidad de sus actuaciones ponen de manifiesto, a nuestro parecer, que se ha incurrido en una interpretación extensiva de la norma sancionadora. Un mero y sencillo análisis externo comparativo entre la conducta infractora descrita en la norma sancionadora y el resultado de la interpretación realizada permite concluir que se ha desbordado el sentido semántico del enunciado normativo.
La controversia sobre la constitucionalidad de la interpretación realizada queda limitada a una sola cuestión: ¿el art. 44.4 d) LOPD, cuando sanciona «la transferencia internacional de datos de carácter personal con destino a países que no proporcionen un nivel de protección equiparable», puede interpretarse en el sentido de que resulta de aplicación a la mera conducta de «conservación» de esos datos en esos países cuando su «transferencia» se realizó en un momento previo en que se consideraba que proporcionaban un nivel de protección equiparable?
La lectura de la norma sancionadora [44.4 d) LOPD] evidencia que la conducta infractora se hace girar sobre el concepto de «transferencia internacional de datos». No existiendo dudas en este caso sobre la naturaleza internacional de la transferencia ni sobre la naturaleza de los datos, la disputa radica en el ámbito de significado del término «transferencia». El diccionario de la Real Academia Española define transferencia como la «acción y efecto de transferir» y transferir como «pasar o llevar algo desde un lugar a otro». Por tanto, en un sentido puramente lingüístico, no cabe entender la conducta de transferencia sin la de desplazamiento o traslado, situación a la que es por completo ajena la conducta de conservación.
Desde un punto de vista puramente normativo, y asumiendo la posibilidad de que en el ámbito administrativo sancionador el reglamento pueda coadyuvar en la tipificación de la conducta infractora, el art. 5.1 s) RLOPD define «transferencia internacional de datos» como «el tratamiento de datos que supone una transmisión de los mismos fuera del territorio del Espacio Económico Europeo […]». De esta definición cabe extraer dos conclusiones: (i) la transferencia internacional de datos es una forma específica de tratamiento de datos, y (ii) como forma específica de tratamiento de datos consiste en su transmisión fuera del Espacio Económico Europeo (en adelante EEE).
Pues bien, si se hace una mera sustitución normativa del concepto «transferencia internacional de datos» utilizado en la previsión sancionadora [art. 44.4 d) LOPD] por la definición que del mismo se hace en la norma reglamentaria [art. 5.1 s) RLOPD] el resultado sería el siguiente: «el tratamiento de datos que supone una transmisión de los mismos fuera del territorio del Espacio Económico Europeo con destino a países que no proporcionen un nivel de protección equiparable […]». En esta proposición lingüística se pone de manifiesto de manera igualmente nítida que la conducta prohibida no es cualquier tratamiento de datos de datos de carácter personal en países ajenos al EEE sino el concreto tratamiento consistente en su «transmisión» a esos países. Por tanto, también desde esta perspectiva normativa, en ningún caso puede prescindirse de que la conducta rectora de esta infracción es el desplazamiento o traslado de datos a esos países a lo que también es ajena la mera conducta de conservación.
En ese sentido, el desarrollar una labor de subsunción del art. 44.4 d) LOPD, conforme a la cual se concluye que la conducta de transferencia internacional de datos cabe que sea aplicada a la conservación internacional de esos datos, desborda el sentido semántico del concepto transferencia como acción de traslado o desplazamiento.
12. Tampoco responde a criterios de razonabilidad lógica considerar que la transferencia internacional de datos, por el mero hecho de definirse normativamente como un supuesto de tratamiento de datos, pueda resultar sustituible en su condición de conducta infractora por cualquier otro tratamiento de datos –en este caso, la conservación– por las razones siguientes:
(i) Esa conclusión resulta contradictoria con la premisa de que normativamente el art. 5.1 s) RLOPD, si bien define a la transferencia internacional de datos como una forma de tratamiento de datos, sin embargo, la individualiza por la idea de su transmisión frente cualquier otra modalidad de tratamiento definida en el art. 5.1 t) RLOPD.
(ii) Esta conclusión incurre en la falacia lógica de composición enunciada ya por Aristóteles en sus «Refutaciones sofísticas» –no cabe atribuir una propiedad a las partes de un todo solo porque resulte atribuible a una o varias de las partes de ese todo–. La transferencia internacional de datos y la conservación de datos son modalidades del tratamiento de datos. Esto no quiere decir que cuando la norma sancionadora singulariza la infracción en la concreta modalidad del tratamiento de datos consistente en la transferencia (verdad respecto de una parte del conjunto del tratamiento de datos), la condición de su carácter infractor pueda hacerse extensible al conjunto de supuestos definidos como tratamiento de datos o a alguno otro de ellos, como es en este caso la conservación de los datos fuera de la EEE (falacia de la composición al atribuirse el carácter infractor de una modalidad del tratamiento de datos –la transferencia– a otra de esas modalidades –la conservación– por el mero hecho de su pertenencia común al grupo de los supuestos de tratamiento de datos).
(iii) Esta conclusión cabe que sea refutada lógicamente mediante el argumento de la reducción al absurdo. Si todo tratamiento de datos definido en el art. 5.1 t) RLOPD –como es la conservación de los datos– por el mero hecho de que se realice fuera del EEE tiene la consideración de transferencia internacional de datos; entonces también lo sería la propia supresión de esos datos y su desplazamiento a territorio de la EEE o cualquier otro país con protección equivalente, pues serían otro de los tratamientos de datos definidos en el art. 5.1 t) RLOPD. Con ello se llegaría a la situación contradictoria (por absurda) de que cualquier tratamiento de esos datos, incluso los destinados a dar cumplimiento a la normativa en la materia como sería mediante su supresión o su repatriación a la EEE, tendrían también la consideración de una transferencia internacional de datos incursa en la infracción del art. 44.4 d) LOPD.
Estas razones, vinculadas con las carencias de previsibilidad objetiva en la labor de subsunción de la norma sancionadora, relativas tanto al desbordamiento del ámbito semántico de la norma como al uso de un soporte metodológico incurso en una argumentación ilógica, serían suficientes, a nuestro parecer, para haber estimado el presente recurso de amparo por vulneración del art. 25.1 CE. No obstante, consideramos necesario, por la singularidad del caso y por la exigencia de exhaustividad del análisis, desarrollar las razones vinculadas con las carencias de previsibilidad subjetiva, que también propiciarían la estimación de la invocación del art. 25.1 CE por falta de razonable accesibilidad de la entidad demandante de amparo a la reacción punitiva de los poderes públicos en las circunstancias del caso.
13. La proyección de las exigencias de previsibilidad subjetiva vinculadas a la razonable accesibilidad de la subsunción realizada por el órgano administrativo sancionador y por el órgano judicial que controlaba la legalidad de sus actuaciones ponen de manifiesto, a nuestro parecer, que se ha incurrido en una interpretación imprevisible para la entidad demandante de amparo, tomando en consideración, entre otros aspectos, (i) la ausencia de una previa labor subsuntiva de esas normas en casos semejantes por parte de los órganos sancionadores, (ii) la posición que asumía en el contexto de la regulación sancionadora, (iii) las expectativas generadas por las actuaciones de la AEPD respecto de la conducta que debía desarrollarse en el singular marco creado por la declaración de invalidez de la Decisión de la Comisión 2000/520/CE por parte de la jurisdicción comunitaria, y (iv) por el efecto equivalente que tenía el bloqueo de datos a su cancelación.
(i) La jurisprudencia constitucional, la del Tribunal Europeo Derechos Humanos y la del Tribunal de Justicia de la Unión Europea, en común diálogo entre tribunales encargados de la interpretación de los derechos fundamentales, ha destacado, en los términos ya expuestos, la relevancia que tiene en el juicio de previsibilidad subjetiva de la subsunción de las normas sancionadoras por parte de los órganos sancionadores los precedentes de su aplicación en casos semejantes.
En el presente caso, la resolución sancionadora de la AEPD y la sentencia que la confirma no han hecho referencia alguna a la existencia de precedentes extrapolables a la conducta de la entidad recurrente y la otra entidad sancionada juntamente con ella. Tampoco la posición mayoritaria en la que se sustenta la sentencia se pronuncia sobre el particular. Por nuestra parte, hemos constatado que en la base de datos del Centro de Documentación Jurídica del Consejo General del Poder Judicial en el periodo comprendido desde 2016 hasta la actualidad, dentro de la búsqueda de resoluciones de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, como órgano judicial competente para el control de la legalidad del ejercicio de la potestad sancionadora de la AEPD (disposición adicional cuarta, apartado 5, de la Ley reguladora de la jurisdicción contencioso-administrativa), no aparece ninguna resolución judicial que resuelva una controversia semejante a la planteada respecto de la entidad demandante de amparo y la que fue conjuntamente sancionada con ella por estos mismos hechos. En especial, la sentencia de la Sección Primera de la Sala de lo Contencioso-Administrativo de 30 de noviembre de 2018, pronunciada en el procedimiento ordinario núm. 302-2017, resuelve un supuesto en que la conducta sancionada lo era por haberse mantenido el traslado efectivo de datos a EEUU hasta el 29 de marzo de 2016.
Igualmente, tampoco en ese mismo periodo y dentro de la base de datos de resoluciones de la AEPD, mediante la búsqueda analítica por el concepto «transferencias internacionales», ninguno los once resultados arrojados muestra una identidad mínima, ya que, en los términos señalados anteriormente, la resolución sancionadora R/00596/2017 de 22 de marzo de 2017 confirmada por la citada sentencia de 30 de noviembre de 2018 lo era con fundamento no en la mera conservación de los datos en servidores de EEUU sino su efectivo traslado a dicho país con posterioridad a la decisión del Tribunal de Justicia de la Unión Europea y la moratoria dada por la AEPD. A pesar de ello, consideramos que no carece de significación que en las actuaciones quede acreditado que la entidad demandante de amparo y aquella que fue conjuntamente sancionada con ella solicitaran a la AEPD en sus escritos de alegaciones en el procedimiento administrativo sancionador la prueba consistente en la incorporación de un certificado en que constara el número de procedimientos sancionadores iniciados por dicha agencia entre el 6 de octubre de 2015 y el 1 de agosto de 2016 por la vulneración del art. 33 LOPD. Ni en la propuesta de resolución ni en la diligencia correspondiente consta una respuesta al respecto, lo que motivó que se articulara un concreto motivo en el recurso de reposición administrativo alegando la vulneración del derecho a la prueba. Este motivo fue respondido en la resolución de ese recurso (R/00326/2017 de 4 de mayo de 2017), con reproducción de lo afirmado en la resolución sancionadora, señalando que el certificado se solicitó sin razonar la finalidad de dicha prueba ni la justificación de qué se pretendía probar, destacando que «la existencia o no de procedimientos sancionadores por vulneración del art. 33 LOPD, no elimina ni modula la conducta típica, culpable y antijurídica que se considera que han cometido las entidades denunciadas. Es decir, con independencia del número de eventuales procedimientos sancionadores iniciados por la vulneración de dicho precepto, los hechos y calificación jurídica de la propuesta de resolución permanecerían inalterables». A ello se añade que «la inexistencia de otros procedimientos no puede dar abrigo a una conducta que vulnere la ley ni pretender la inaplicación del régimen sancionador de que se trate, ya que eso no vulneraría la jurisprudencia constitucional sobre el principio de igualdad ante la ley» [fundamento de Derecho II C)].
Por tanto, desde esta concreta perspectiva de la accesibilidad a la eventual consideración ilícita de la conducta enjuiciada por la entidad demandante de amparo, se constata que esta se enfrentó a la decisión que debía adoptar el 30 de enero de 2016, tras culminar el periodo transitorio otorgado por la AEPD, así como en el posterior procedimiento sancionador y en el de control de la legalidad de la sanción impuesta tanto en la vía judicial como en esta jurisdicción de amparo constitucional, no solo con la inexistencia de precedentes previos sino también con la renuencia de la propia AEPD a aportar información sobre la incoación de otros procedimientos sancionadores por conductas semejantes con el argumento de su falta de relevancia.
En estas circunstancias consideramos que, desde estrictas exigencias de previsibilidad subjetiva impuestas por el art. 25.1 CE, no puede reprocharse a la entidad demandante de amparo que no anticipara que su conducta consistente en conservar la base de datos de la que era responsable en un servidor de EEUU, pero que había sido trasladada antes de considerarse su traslado a aquel país como ilícita, pudiera ser considerada una infracción del art. 44.4 d) LOPD, cuya conducta rectora es el traslado de los datos a ese país y no su mera conservación en dicho lugar.
(ii) La posición de la entidad recurrente ante la norma sancionadora determina, en principio, la existencia de especiales responsabilidades por tratarse de una entidad responsable de una base de datos de carácter personal y, por tanto, sometida singularmente a la normativa de protección de esos datos. Más allá de esta consideración formal, en el presente caso se constata que su objetivo asociativo es por completo ajeno a esa realidad y que su vinculación con la normativa de protección de datos se ha derivado de la mera necesidad de gestionar una base de datos, a cuyos efectos celebró un contrato con una empresa de EEUU especializada en estos temas.
Es reconocido sin controversia alguna que fue esa empresa, en su condición de prestadora de servicios especializados en la materia, la que en el confuso contexto jurídico generado tras la declaración de invalidez de la Decisión de la Comisión 2000/520/CE por parte de la jurisdicción comunitaria, la que asesoró sobre la solución legal que debía adoptarse. En concreto, dentro de las negociaciones desarrolladas con la entidad demandante de amparo para dar debido cumplimiento a la normativa de protección de datos, ante la insistencia de que el 29 de enero de 2016 finalizaba la moratoria establecida por la AEPD, dicha empresa sugirió la posibilidad técnica de bloquear el acceso al programa con los efectos que ello implicaba de la suspensión de todo el tratamiento de los datos. A esos efectos, también debe tomarse en consideración que fue la propia AEPD la que en su comunicado de 9 de diciembre de 2015 informaba e instaba a los responsables de datos «para que requieran a su proveedor de servicios, si es necesario, que les ofrezca una respuesta adaptada a la sentencia del Tribunal de Justicia de la Unión Europea».
Ante la incapacidad de las autoridades comunitarias y de EEUU de llegar a un acuerdo para sustituir los principios de protección de la privacidad declarados inválidos, que no se consumó hasta la aprobación de la Decisión de ejecución (UE) 2016/1250, de 12 de julio de 2016 –por cierto, también declarada posteriormente inválida por la STJUE de 16 de julio de 2020, asunto C-311/18–, la entidad demandante de amparo, siguiendo el asesoramiento de la empresa cuyos servicios tenía contratados al efecto, solicitó el 30 de enero de 2016 el bloqueo del acceso al programa informático, a lo que se dio debido cumplimiento. Esta situación de bloqueo se mantuvo hasta que el 22 de agosto de 2016 en que se instó la resolución del contrato y la descarga de todos los datos bloqueados alojados en los servidores gestionados por la empresa, formalizándose el 15 de noviembre de 2016 un nuevo contrato con una empresa de la Unión Europea en cuyo territorio quedó alojada la base de datos. La realidad y efectividad de ese bloqueo fue verificado sin objeción alguna por los inspectores de la AEPD.
Por tanto, desde esta concreta perspectiva de la accesibilidad a la eventual consideración ilícita de la conducta enjuiciada vinculada a la especial posición de la entidad demandante de amparo como responsable de una base de datos de carácter personal, se constata que (a) dicha posición era meramente formal y para poder hacer frente a las responsabilidades generadas en la materia se contrataron los servicios de una empresa especializada; (b) fue la propia AEPD la que instó a los responsables de datos para que requirieran a su proveedor de servicios una respuesta adaptada a la situación creada por la sentencia del Tribunal de Justicia de la Unión Europea, y (c) la conducta de bloqueo de la base de datos ordenada para el 30 de enero de 2016 tenía como fin el dar cumplimiento a la normativa de protección de datos en las singulares circunstancias generadas por la STJUE de 6 de octubre de 2015 y fue adoptada, precisamente, como solución resultado del asesoramiento de dicha empresa prestadora de servicios.
En estas circunstancias consideramos que, desde estrictas exigencias de previsibilidad subjetiva impuestas por el art. 25.1 CE, no puede reprocharse a la entidad demandante de amparo que no anticipara que su conducta consistente en conservar en una situación de bloqueo e inaccesibilidad para ella misma la base de datos de la que era responsable en un servidor de EEUU pudiera ser considerada una infracción del art. 44.4 d) LOPD incluso en el caso en que pudiera llegarse a entenderse que la conducta sancionada ya no era el traslado efectivo de los datos a ese país sino su mera conservación en dicho lugar.
(iii) La actuación desarrollada por la AEPD, especialmente en cuanto publicitó el 9 de diciembre de 2015 a los responsables de las bases de datos «que, de no modificarse la base legal para la realización de transferencias, la Agencia podrá iniciar el procedimiento para acordar, en su caso, la suspensión temporal de las transferencias» ponía de manifiesto que, en su condición del órgano estatal responsable en materia de protección de datos, uno de los métodos utilizables para la restauración de la legalidad sería la suspensión temporal de las transferencias.
Los arts. 69 y 70 RLOPD regulaban en aquel momento la suspensión temporal de las transferencias, en el contexto de las transferencias a estados que proporcionen un nivel adecuado de protección y los que no, como el instrumento normativo que se pone a disposición de la AEPD en los casos en que su continuación pudiera generar un riesgo inminente de grave perjuicio a los afectados. La entidad demandante de amparo, como hecho no controvertido, en ningún momento –ya no solo desde el 29 de enero de 2016 en que cesaba la moratoria otorgada por la AEPD sino incluso desde el pronunciamiento de la STJUE de 6 de octubre de 2015– realizó nuevos traslados de datos a EEUU.
Por tanto, desde esta concreta perspectiva de la accesibilidad a la eventual consideración ilícita de la conducta enjuiciada vinculada a las expectativas generadas por las informaciones aportadas por la AEPD, se constata que (a) la STJUE de 6 de octubre de 2015 declaró la invalidez de la Decisión de la Comisión 2000/520/CE al considerar que los principios de puerto seguro de la privacidad no garantizaban debidamente la protección de los datos de carácter personal; (b) en esas situaciones de riesgo de grave perjuicio la normativa española de protección de datos establece como mecanismo de respuesta la suspensión temporal de las transferencias; (c) la AEPD informó a los responsables de las bases de datos que, de no modificarse la base legal para la realización de transferencias, podría iniciar el procedimiento para acordar, en su caso, la suspensión temporal de las transferencias, y (d) la entidad demandante de amparo suspendió de manera efectiva cualquier tipo de transferencia de datos a los servidores en EEUU.
En estas circunstancias consideramos que, desde estrictas exigencias de previsibilidad subjetiva impuestas por el art. 25.1 CE, no puede reprocharse a la entidad demandante de amparo que no anticipara que su conducta consistente en conservar esa base de datos en una situación de bloqueo e inaccesibilidad para ella misma en un servidor de EEUU pero sin hacer ningún nuevo traslado de datos pudiera ser considerada una infracción del art. 44.4 d) LOPD cuando la propia normativa y la AEPD como organismo estatal encargado de la protección de esos datos establecían como