Cargando. Por favor, espere

S AN 28/2/2018

Audiencia Nacional, Sala de lo Contencioso-administrativo, Sección 1ª, Sentencia de 28 Feb. 2018, Rec. 460/2016

Ponente: Buisán García, María Nieves.

Nº de Recurso: 460/2016

Jurisdicción: CONTENCIOSO-ADMINISTRATIVA

LA LEY 23047/2018

ECLI: ES:AN:2018:984

Cabecera

PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL.

Texto

AUDIENCIA NACIONAL

Sala de lo Contencioso-Administrativo

SECCIÓN PRIMERA

Núm. de Recurso: 0000460 / 2016

Tipo de Recurso: PROCEDIMIENTO ORDINARIO

Núm. Registro General: 02939/2016

Demandante: CENTRAL SINDICAL INDEPENDIENTE Y DE FUNCIONARIOS (CSIF)

Procurador: MARÍA BEATRIZ MARTÍNEZ MARTÍNEZ

Demandado: AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS

Abogado Del Estado

Ponente IIma. Sra.: Dª. NIEVES BUISAN GARCÍA

SENTENCIA Nº:

IImo. Sr. Presidente:

D. EDUARDO MENÉNDEZ REXACH

Ilmos. Sres. Magistrados:

Dª. FELISA ATIENZA RODRIGUEZ

Dª. LOURDES SANZ CALVO

D. FERNANDO DE MATEO MENÉNDEZ

Dª. NIEVES BUISAN GARCÍA

Madrid, a veintiocho de febrero de dos mil dieciocho.

Vistos por la Sala, constituida por los Sres. Magistrados reseñados al margen, los autos del recurso contencioso-administrativo número 460/2016, interpuesto por la Procuradora de los Tribunales doña María Beatriz Martínez Martínez, en nombre y representación de CENTRAL SINDICAL INDEPENDIENTE Y DE FUNCIONARIOS (CSIF), contra la Resolución de 1 de junio de 2017 que desestima el recurso de reposición frente a la anterior Resolución de 24 de noviembre de 2015 de la Agencia Española de Protección de Datos, que estima la reclamación formulada por D. Balbino . Ha sido parte demandada LA ADMINISTRACIÓN DEL ESTADO, representada por el Abogado del Estado. La cuantía del recurso se fijó como indeterminada.

ANTECEDENTES DE HECHO

PRIMERO.- Por la entidad recurrente se interpuso recurso contencioso administrativo mediante escrito presentado el 8 de junio de 2016, acordándose su tramitación de conformidad con las normas establecidas en la Ley 29/1998 (LA LEY 2689/1998), y la reclamación del expediente administrativo.

SEGUNDO.- En el momento procesal oportuno tal Central Sindical actora formalizó la demanda mediante escrito presentado el 25 de octubre de 2016 en el que, tras alegar los hechos y fundamentos de derecho que estimó procedentes, terminó suplicando se dictara sentencia en la que: se declaren nulas o se anulen y dejen sin efecto las resoluciones impugnadas, declarando asimismo que no procede estimar, respecto a la CSIF, la reclamación formulada por D. Balbino por no ser dicho Sindicato el responsable del fichero o del tratamiento y que debe retrotraerse el procedimiento administrativo al momento en que debió darse traslado de la reclamación a la Axencia para a Modernizacion Tecnoloxica de Galicia, como responsable del fichero, todo ello con expresa imposición de costas a la Administración demandada.

TERCERO.- El Sr. Abogado del Estado contestó la demanda mediante escrito presentado el 7 de marzo de 2017 en el que, tras alegar los hechos y los fundamentos jurídicos que estimó aplicables, terminó suplicando se dictara sentencia en la que se desestimara el recurso confirmando íntegramente la resolución impugnada, por ser conforme a Derecho, con imposición de costas a la parte recurrente.

CUARTO.- Habiéndose solicitado el recibimiento a prueba, se acordó el mismo mediante Auto de 5 de mayo de 2017, practicándose la documental propuesta y admitida, con el resultado que figura en autos. No considerándose necesaria la celebración de vista pública, se dio traslado para conclusiones a la parte actora y después al Sr. Abogado del Estado, quienes las evacuaron en sendos escritos en los que concretaron y reiteraron sus respectivos pedimentos.

QUINTO.- Conclusos los autos, se señaló para votación y fallo de este recurso el día 20 de febrero de 2018, fecha en la que tuvo lugar la deliberación y votación, habiendo sido ponente la Ilma. Magistrada doña NIEVES BUISAN GARCÍA, quien expresa el parecer de la Sala.

FUNDAMENTOS JURIDICOS

PRIMERO. Se impugna por la Central Sindical Independiente y de Funcionarios (CSIF) la Resolución de la Directora de la Agencia Española de Protección de Datos de 1 de junio de 2017 que desestima el recurso de reposición frente a la anterior Resolución de 24 de noviembre de 2015 (expediente TD/01069/2015), que estima la reclamación formulada por D. Balbino e insta a CSIF GALICIA para que, en el plazo de los diez días hábiles siguientes a la notificación de la misma, remita al reclamante certificación en la que se haga constar que ha atendido el derecho de oposición ejercido por éste, pudiendo incurrir en su defecto en una de las infracciones previstas en el artículo 44 de la LOPD (LA LEY 4633/1999) .

Resoluciones impugnadas que tienen por probados los siguientes hechos:

1º. Con fecha 04 de mayo de 2015 D. Balbino remitió un escrito a CSIF GALICIA solicitando la eliminación de sus datos de la lista de distribución de correo para dejar de recibir comunicaciones sindicales en la dirección de correo electrónico oficial. Escrito recibido por la entidad el 06 de mayo de 2015.

. Trasladadas sucesivamente la reclamación y los escritos de descargos que se produjeron en la tramitación del presente expediente, y por lo que a efectos de la presente reclamación interesa, se realizaron, en síntesis, las siguientes alegaciones:

El representante de CSIF manifiesta que AMTEGA (Agencia para la Modernización Tecnológica de la Xunta de Galicia) es el titular de la lista de distribución y, por ello, el reclamante debería haber dirigido su solicitud a dicho organismo.

CSIF también señala que no es de su competencia el mantenimiento de las listas de distribución, dado que se actualizan automáticamente con las altas bajas de los usuarios.

CSIF remitió un escrito al reclamante, recibido el 25 de mayo de 2015, informándole que no constaban datos suyos en los ficheros gestionados por la entidad. "De igual forma comunicarle que realizadas las gestiones oportunas a raíz de su comunicación, se nos informa por la Agencia AMTEGA, que en el mes de enero se procedería a suprimir del listado de distribución de correos masivos cualquier reseña de esta representación sindical hacia su persona. Constatándonos que así se hizo y se le comunicó por la propia Agencia. No obstante, hemos remitido nueva comunicación a la misma en el interés mutuo de que no exista error alguno al respecto para el futuro."

CSIF hace referencia a los Informes 101/2008 y 437/2010 de la Agencia Española de Protección de Datos, que señalan que "En este caso, el sindicado únicamente conocerá una dirección genérica y la gestión de dicha lista recaerá en el empresario, debiendo éste de cumplir con la Ley Orgánica 15/1999 (LA LEY 4633/1999) dado que es él quien realiza el tratamiento."

SEGUNDO. La Central Sindical actora sustenta su pretensión impugnatoria de la demanda, en síntesis, en las siguientes consideraciones:

La cuestión de fondo planteada es si la CSIF tiene la condición de responsable del tratamiento por el mero hecho de enviar información sindical utilizando la lista de distribución que ha creado y gestiona AMTEGA (Agencia para la Modernización Tecnológica de Galicia). La circunstancia que esencialmente caracteriza al responsable del tratamiento es que "determine los fines y los medios de tratamiento" ( artículo 2.d) de la Directiva) o que "decida sobre la finalidad, contenido y uso del tratamiento " ( artículo 3.d) LOPD (LA LEY 4633/1999) ), y en el presente caso CSIF se limita a elaborar la información sindical que considera de interés general para los empleados dependientes de la Administración Autonómica de Galicia y sus Organismos, y a enviar esa información a la dirección indicada por AMEGA. Pero sin tener acceso a la lista de distribución, ni conocer ningún dato de carácter personal de los trabajadores incluidos en la misma y, por tanto, sin posibilidad de modificar o cancelar tales datos incluidos en la misma. CSIF, por tanto, no es responsable ni del fichero ni del tratamiento de los datos personales, sino que la responsable es AMTEGA, por lo que el procedimiento debe seguirse frente a dicha entidad.

CSIF carece de facultad de decisión sobre la finalidad, contenido y uso del tratamiento de los datos de ese fichero, no ha realizado ningún acto de tratamiento de esos datos y ni siquiera tiene acceso a los mismos, de forma que le es material y físicamente imposible cancelar los datos del reclamante o de cualquier otra persona incluida en las repetidas listas de distribución.

Se cita y transcribe parcialmente el contenido de los Informes de la AEPD 101/2008 y 437/2010. Y se razona también en la demanda respecto de la infracción de los artículos 117 y 119 del RD 1720/2007 (LA LEY 13934/2007), de 29 de diciembre , que regulan el procedimiento de tutela de los derechos de acceso, rectificación, cancelación y oposición, de los que resulta que tal procedimiento de tutela debe necesariamente seguirse con el responsable del fichero.

Se considera vulnerado el derecho fundamental a la no indefensión del artículo 24.1 CE (LA LEY 2500/1978) dado que a pesar de haberse solicitado como prueba que se oficiara a AMTEGA para que informara sobre la cuestión, la Instructora del expediente ni siquiera se pronunció sobre la admisión de tal prueba, que ni siquiera llegó a practicarse.

TERCERO. Ha de ser desestimada la objeción procesal invocada por la entidad recurrente en la demanda, respecto a la ausencia de práctica de la prueba propuesta en vía administrativa, ya que si bien hubiera resultado de gran interés practicar, en tal procedimiento administrativo previo, la prueba documental solicitada por tal Sindicato actor, lo cierto es que se admitió y practicó dicha prueba documental en el correspondiente periodo probatorio del presente procedimiento judicial con el resultado que obra en las actuaciones, y a la que más adelante nos referiremos . Defecto procedimental que por tanto ha de considerarse subsanado y convalidado en esta vía judicial y que ninguna indefensión material ( artículo 24.1 CE (LA LEY 2500/1978) ) ha originado a la parte, con lo que en definitiva se ha permitido a dicha parte recurrente alegar y probar cuanto ha estimado conveniente en defensa de sus derechos e intereses legítimos, tal y como así ha efectuado, sin cercenamiento ni límite de su derecho de defensa.

CUARTO. Fue la Ley 15/1999, de 13 de diciembre, la que por primera vez introdujo el derecho de oposición al tratamiento de datos personales en nuestra normativa de protección de datos, dando así cumplimiento a lo estipulado en la Directiva 95/46/CE, del Parlamento Europeo y del Consejo, de 24 de octubre (LA LEY 5793/1995), cuyo artículo 14.b) reconoce el derecho de los interesados a: " Oponerse, al menos en los casos contemplados en las letras e ) y f) del Art. 7 (tratamiento necesario para el cumplimiento de una misión de interés público o necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento), en cualquier momento y por razones legitimas propias de su situación particular, a que los datos que le conciernan sean objeto de tratamiento, salvo cuando la legislación nacional disponga otra cosa.

Oponerse, previa petición y sin gastos, al tratamiento de los datos de carácter personal que le conciernan respecto de los cuales el responsable prevea un tratamiento desliando a la prospección".

Y aunque no existe en la LOPD (LA LEY 4633/1999) ni definición de tal derecho, ni tampoco regulación de su contenido y/o características, y únicamente se hace una breve mención al mismo, aludiéndose escuetamente al "derecho de oposición", en los artículos 5.1.d (LA LEY 4633/1999) ), 6.4 (LA LEY 4633/1999) , 17.1 (LA LEY 4633/1999) , 18.2 (LA LEY 4633/1999) y 30.4 de dicha Ley Orgánica 15/1999 (LA LEY 4633/1999) , tal limitada regulación normativa fue suplida por los artículos 34 (LA LEY 13934/2007) , 35 (LA LEY 13934/2007) y 36 del RD 1720/2007, de 21 de diciembre (LA LEY 13934/2007) , que por primera vez contemplan en nuestro derecho interno tal derecho de oposición.

El artículo 34 prevé tres supuestos en los que el afectado tiene derecho a que no se traten sus datos personales, o se cese en dicho tratamiento, entre ellos en el apartado a) cuando no sea necesario su consentimiento para el tratamiento, por concurrir un motivo legítimo y fundado, referido a su concreta situación personal que lo justifique. Derecho de oposición que se ejercita mediante una solicitud dirigida al responsable, que ha de resolver en el plazo máximo de diez días a contar desde su recepción. Plazo cuyo transcurso, sin respuesta expresa (se disponga o no de datos personales del afectado), permite interponer la reclamación prevista en el artículo 18 LOPD (LA LEY 4633/1999) . Debiendo el responsable excluir del tratamiento los datos relativos al afectado que ejercite su derecho de oposición, o denegar motivadamente su solicitud, en el mismo plazo de diez días.

El artículo 36 del Reglamento, por otra parte, hace referencia a la oposición a las decisiones basadas únicamente en un tratamiento automatizado de datos, decisiones a las que se dedica, específicamente, el artículo 13 LOPD (LA LEY 4633/1999) .

La Jurisprudencia del Tribunal Constitucional ( SSTC 290 y 292/2000, ambas de 30 de noviembre ) también efectúa una expresa referencia al derecho de oposición, como integrante del contenido esencial del derecho a la protección de datos personales, al contemplar la facultad de oponerse a la posesión y uso de los datos personales como complemento indispensable del derecho a consentir el conocimiento y tratamiento de los mismos.

QUINTO. Dadas las alegaciones de las partes y la normativa de aplicación, la controversia se circunscribe a determinar si corresponde a CSIF GALICIA atender el derecho de oposición al envío de correos electrónicos con contenido sindical ejercido por el Sr. Balbino , tal y como entiende la Agencia de Protección de Datos, al considerar a tal Sindicato responsable del tratamiento (que no del fichero) de los datos que figuran en dichos correos. O si por el contrario, como sostiene tal CSIF en la demanda, dicho sindicato, dado el sistema de envío de información sindical establecido por la Xunta de Galicia para todo su personal, ni debe ni puede dar cumplimiento a tal derecho de oposición.

Es cierto que, tal y como razona la resolución de la AEPD combatida, de conformidad con el articulo 2.1 en relación con el 8.2.a) de La Ley Orgánica 11/1985, de 2 de agosto (LA LEY 2063/1985), de Libertad Sindical (LOLS ), y la doctrina de la Sentencia del Tribunal Constitucional 281/2005, de 7 de noviembre (LA LEY 1914/2005) , la remisión de correos electrónicos por la Sección Sindical de una empresa a los trabajadores de la misma estaría amparada por el derecho a la libertad sindical.

También lo es que, como asimismo considera la Agencia, fuera del proceso electoral, los trabajadores pueden oponerse a que los Sindicatos les remitan información sindical a través de la dirección de correo electrónico si concurren motivos fundados y legítimos relativos a una concreta situación personal, y los Sindicatos quedan obligados a atender el ejercicio del referido derecho en la forma y con los requisitos señalados en la normativa anteriormente expuesta, esto es, contestando la petición del afectado. Ello dado que, conforme a la referida doctrina de la STC 281/2005 (LA LEY 1914/2005) , CSIF está legitimado para realizar las comunicaciones sindicales sin consentimiento del interesado y, una vez recibida la solicitud de oposición del reclamante, tal entidad debe proceder a responder al interesado.

Ahora bien, el criterio que no comparte esta Sala y en ello discrepa con la resoluciones administrativas impugnadas, es que el envío de correos electrónicos utilizando las listas de distribución tantas veces aludidas implique un tratamiento de datos personales, lo que impide considerar a CSIF responsable del tratamiento no teniendo la obligación de atender los derechos ARCO recogidos en la normativa de protección de datos.

SEXTO. A tal efecto resulta esencial traer a colación el contenido del Informe del Gerente de la Axencia para a Modernización Tecnolóxica de Galicia (Amtega) de 12 de junio de 2017 que constituye un medio de prueba documental que, aun no habiendo sido admitido en vía administrativa previa, sí lo ha sido en esta vía judicial y reviste gran trascendencia a los efectos litigiosos.

Documento en el que entre otras informaciones, figuran las siguientes:

La lista de distribución de correo es una función especial del correo electrónico que permite enviar un mensaje a un conjunto de direcciones de correo electrónico de forma simultánea.

En una lista de correo, al enviar un mensaje a la dirección de la lista, éste llegará a la dirección de todas las personas inscritas en esa lista, sin que el emisor del mensaje conozca la dirección de correo de los receptores finales del correo.

La lista de distribución de información sindical se emplea para realizar envíos de correos electrónicos con información de carácter sindical a través de las plataformas de correo electrónico corporativas de la Xunta de Galicia.

Su funcionamiento es el siguiente:

Los sindicatos que desean remitir información sindical al personal al servicio de la administración autonómica (que se llevará a cabo a través de dichas listas de distribución) deberán solicitarlo siguiendo el procedimiento interno establecido en Amtega. El sindicato deberá solicitarlo mediante el formulario al efecto disponible en la Intranet de la Xunta de Galicia.

Existen diversas listas de distribución predefinidas, que clasifican el personal según el tipo de vinculación laboral que tengan con la administración (personal funcionario, personal laboral, personal docente, personal temporal...).

Los sindicatos indicarán en el formulario a qué listas de distribución de las disponibles desean enviar la información.

La solicitud del sindicato será remitida a las unidades de la Xunta de Galicia con competencias en Recursos Humanos, que revisan y autorizan/deniegan la solicitud, y en caso de autorizarla, realizan la petición de acceso al Departamento de Sistemas de la Amtega.

Dicho departamento crea una cuenta genérica al sindicato solicitante (por ej. sindlcato1@xunta.gal) y habilita los permisos de envío a las listas de distribución. A través de la misma tendrá acceso a las direcciones de las listas de distribución solicitadas.

El sindicato no tiene por tanto acceso a las direcciones de correo que forman parte de esas listas de distribución genéricas.

Los datos contenidos en esas listas de distribución-son el nombre, apellidos, correo electrónico, y pertenencia a categoría del personal (funcionario, laboral, docente...).

El responsable de fichero de dichos datos es cada Conselleria u organismo que compone el sector-público autonómico gallego (la Xunta), cada uno en su ámbito.

Decide sobre la finalidad, contenido y uso del tratamiento cada Conselleria u organismo competente, en particular cada unidad de Recursos Humanos de dichos organismos.

El sindicato únicamente conocerá una dirección genérica (la de la lista de distribución), evitando así la existencia de cesión dé datos, y evitando también así que pase a ser responsable del fichero.

Al sindicato no le es posible cancelar los datos del reclamante o de cualquier otro empleado público que estén contenidos en ese fichero, dado que no tiene acceso a dichos datos en ningún momento.

Si un empleado desea dejar de recibir la información sindical, tal como se le índica en cada envío de información, deberá remitir un correo electrónico al buzón que se indica en el mismo, que es gestionado directamente por el Departamento de Sistemas.

Desde dicho departamento se confirmará la solicitud de baja, y será excluido de la lista de distribución de información sindical, lo cual se confirmará al solicitante.

SÉPTIMO. De la mecánica de funcionamiento del envío que, de la información sindical a los funcionarios, laborales y demás personal de la Xunta de Galicia, se lleva a cabo por los distintos sindicatos de tal Administración autonómica, considera esta Sala, al igual que defiende la Central Sindical Independiente y de Funcionarios (CSIF) que la misma no está obligada a tutelar el derecho de oposición ejercido por el sr. Balbino .

De un lado resulta evidente que el derecho de oposición ha de tutelarse por quien resulta responsable del fichero o del tratamiento de los datos, tal y como se desprende con claridad del propio concepto de "derecho de oposición" del artículo 14.b) de la Directiva 95/46/CE , de 24 de octubre (LA LEY 5793/1995), y de los artículos 34 y siguientes del RLOPD.

De otra parte y a pesar del concepto amplio que de "tratamiento" deriva del artículo 3.c) de la LOPD (LA LEY 4633/1999) , que comprende no solo la recogida, grabación o conservación de los datos, sino también la elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias , en relación con el artículo 2 de la Directiva 95/46/CE (LA LEY 5793/1995) y también con el articulo 5.t) del RLOPD, cualquiera de las operaciones descritas, en definitiva cualquier actividad de tratamiento de dichos datos requiere, como condición necesaria, la previa puesta a disposición o acceso a dichos datos personales por parte del responsable del fichero o tratamiento, es decir, de aquella entidad física o jurídica que va a proceder a realizar alguna de las actividades que forman parte de tratamiento de datos, descritas en los preceptos legales.

Y en el presente supuesto ha resultado meridianamente acreditado que la Central Sindical recurrente no tiene acceso a las direcciones de correo que forman parte de las listas de distribución a las que envía la información sindical, ni mucho menos acceso a los datos personales de quienes figuran en tales listas de distribución, sino que únicamente conoce una dirección genérica (la de la lista de distribución) y no el nombre, apellidos, correo electrónico y categoría profesional de quienes integran las repetidas listas de distribución, cuyos datos personales son tratados por cada Organismo o Conselleria que componen el sector público gallego, cada una dentro de su ámbito.

Por todo ello al no tener la Central Sindical Independiente y de Funcionarios (CSIF) la condición de responsable del fichero ni del tratamiento respecto de los datos personales que figuran en las listas de distribución a las que envía la información sindical, tampoco le corresponde atender el derecho de oposición ejercido por el afectado, por lo que ha dictarse un pronunciamiento estimatorio de la demanda, anulando las resoluciones de la AEPD que han sido impugnadas.

OCTAVO. Por aplicación de lo establecido en el artículo 139 de la Ley de la Jurisdicción Contencioso Administrativa (LA LEY 2689/1998) resulta procedente imponer las costas procesales a la Administración demandada.

Vistos los preceptos citados por las partes y los demás de general y pertinente aplicación al caso de autos

FALLAMOS

ESTIMAR el recurso contencioso-administrativo interpuesto por la representación procesal de la Central Sindical Independiente y de Funcionarios (CSIF) frente a la Resolución de la Directora de la Agencia Española de Protección de Datos de 1 de junio de 2017 que confirma en reposición la anterior Resolución de 24 de noviembre de 2015, dictada en el procedimiento de tutela de derechos TD/01069/2015, resolución que se anula por no ser ajustada a derecho, con imposición de las costas procesales a la parte demandada.

La presente sentencia es susceptible de recurso de casación, que deberá prepararse ante esta Sala en el plazo de 30 días contados desde el siguiente al de su notificación; en el escrito de preparación del recurso deberá acreditarse el cumplimiento de los requisitos establecidos en el art. 89.2 de la Ley de la Jurisdicción justificando el interés casacional objetivo que presenta.

Así por esta nuestra Sentencia, lo pronunciamos, mandamos y firmamos.

PUBLICACIÓN.- Dada, leída y publicada fue la anterior Sentencia en Audiencia Pública. Doy fe.

Madrid a

LA LETRADA DE LA ADMINISTRACIÓN DE JUSTICIA

Queremos saber tu opiniónNombreE-mail (no será publicado)ComentarioWolters Kluwer no se hace responsable de las opiniones vertidas en los comentarios. Los comentarios en esta página están moderados, no aparecerán inmediatamente en la página al ser enviados. Evita, por favor, las descalificaciones personales, los comentarios maleducados, los ataques directos o ridiculizaciones personales, o los calificativos insultantes de cualquier tipo, sean dirigidos al autor de la página o a cualquier otro comentarista.
Introduce el código que aparece en la imagencaptcha
Enviar

Últimos tweets

NÚMEROS DISPONIBLES

Scroll