Legalitat d'una sanció. (TSJA-040/07)

Sentència

Magistrats

Lluís Saura Lluivia Albert Andrés Pereira Bernard Plagnet

Núm. de Protocol: AD-007-2/07 TSA: 40/07

S E N T È N C I A NÚM. 31-2008

PARTS:

Apel·lant-ada: Soriano i a. Representant: Morell Advocat: Benítez

Apel·lant-ada: Téllez Representant: Durán Advocat: Bernat

Apel·lada: M.I. GOVERN Representant: Manso Advocat: Corbacho

COMPOSICIÓ DEL TRIBUNAL:

President : M.I. Sr. Albert Andrés Pereira

Magistrats: M.I. Sr. Bernard Plagnet

M.I. Sr. LLUIS SAURA LLUVIA

A la vila d'Andorra la Vella, el 31 de març de 2008

El Tribunal Superior de Justícia, Sala Administrativa ha vist el recurs d'apel·lació a les actuacions número AD-007-2/07.

En la tramitació d'aquestes actuacions han estat observades les prescripcions legals, i ha estat ponent el magistrat Sr. LLUIS SAURA LLUVIA el qual expressa el parer del Tribunal.

A N T E C E D E N T S D E F E T

1.- A partir d'una denúncia rebuda el 13 de setembre de 2005, la Soriano va incoar un procediment sancionador contra la Téllez que va acabar amb una resolució, de 30 de novembre de 2005, per la que s'imposava una sanció conjunta de 30.001 EUR per infracció als articles 11, 12, 19 i 27 de la Llei qualificada de protecció de dades personals.

Interposat recurs d'alçada, el M.I. GOVERN, en resolució de 6 de novembre de 2006 l'estima en part i modifica la resolució de la Soriano considerant que només hi ha infracció de l'article 12.

2.- Presentada demanda jurisdiccional per la Soriano, la Secció Administrativa del Tribunal de Batlles, en la sentència 2007-088, de 3 de setembre, la estima en part i considera que hi ha infracció dels articles 12 i 27.

3.- La representació processal de la Téllez interposa un recurs d'apel·lació demanant que només es consideri infracció de l'article 12, però no de l'article 27.

4.- Al seu torn, la Soriano també interposa un recurs d'apel·lació demanant que es revoqui la sentència i es declari que hi ha hagut infracció dels articles 11 i 19, a més d'infracció del 12 i 27.

5.- Donat trasllat dels respectius escrits a les parts contràries, han fet les manifestacions oportunes per a la defensa dels seus interessos mitjançant escrits de conclusions, i tot seguit han quedat vistes les actuacions per a deliberar i decidir el Tribunal.

F O N A M E N T S D E D R E T

Primer.- La Sala Administrativa del Tribunal Superior de Justícia és competent per a conèixer del present recurs, de conformitat a allò establert en l'article 39.3 de la Llei Qualificada de la Justícia.

Segon.- l'Soriano va incoar un expedient sancionador contra l'Téllez el dia 14 d'octubre de 2005 a partir d'una denúncia, rebuda el dia anterior, en la que es palesava el lliure accés, des de la pàgina web de l'Escola., a la wiki interna del Consell de directors, de la que, clicant en el menú s'accedia a un llistat de 223 persones que són subjectes de valoració i diagnòstic per disfuncions i discapacitats així com a les corresponents fitxes personals.

L'Téllez, responsable dels fitxers, havia donat ordre a l'empresa ORG_0 (prestadora dels serveis de dades personals) el 6 d'abril de 2005, de suprimir la instal·lació de les wiki d'anul·lar el lloguer del servidor, però el mes de maig es torna a arrencar el servidor accidentalment, que estava encara pendent de ser formatat, i que mantenia el contingut i configuracions d'abans de l'aturada, i tornava a donar accés lliure a la wiki amb les dades abans citades.

Segon.- La Llei 15/2003, de 18 de desembre, qualificada de protecció de dades personals, dedica el Capítol cinquè a les infraccions i sancions i a l'hora de descriure les primeres es limita a dir que és objecte de sanció administrativa "l'incompliment d'aquesta llei".

Aquesta circumstància ha estat, probablement, la que ha determinat el tractament jurídic tan dispar que consta a les actuacions: per l'Soriano els fets són constitutius de quatre infraccions; pel M.I. GOVERN i per l'Téllez d'una i per la Secció Administrativa del Tribunal de Batlles, de dues.

Al no existir un quadre descriptiu d'infraccions, a l'hora de definir els fets constitutius d'infracció cal determinar en quina mesura els que tinguin aquesta consideració la tenen perquè responen a incompliments del règim jurídic que conté la Llei qualificada, el que pot comportar que una mateixa situació de fet es pugui considerar com incompliment de més d'un precepte de la Llei, amb vulneració del principi del ne bis in idem si això comporta l'aplicació de més d'una sanció.

En conseqüència, a l'hora d'aplicar el règim sancionador que preveu la Llei qualificada cal, en primer lloc, individualitzar la conducta infractora respectant el que acabem d'exposar, i en una segona fase modular la sanció en funció dels criteris que estableix el mateix article 33, és a dir: en funció de les circumstàncies concretes de la infracció (que no s'han de confondre amb els fets constitutius de la infracció, que han d'haver estat individualitzats en la primera fase) de la gravetat de l'incompliment, del nombre de persones afectades, dels perjudicis causats a les persones interessades i eventualment de la reincidència.

Tercer.- La infracció amb la que tant les parts en litigi com la sentència coincideixen és la de l'article 12 de la Llei que, amb la finalitat de garantir la confidencialitat i seguretat de les dades personals que siguin objecte de tractament, imposa als responsables del tractament l'obligació d'establir les mesures tècniques i d'organització que siguin necessàries, amb la particularitat que si la totalitat o una part del tractament s'encarrega a prestadors de serveis de dades personals, correspon al responsable del tractament la responsabilitat que aquests tinguin establertes mesures tècniques i d'organització suficients per garantir la confidencialitat i la seguretat de les dades objecte del servei.

En el cas, en la mesura que el dia 13 de setembre de 2005 es podia accedir a una sèrie de dades sensibles a través de la pàgina web de l'Téllez, tot i que fos degut a un fallo de coordinació entre el responsable dels fitxers i el prestador dels serveis, el resultat es va traduir en un incompliment de les prescripcions legals exposades, i des d'aquest punt de vista la infracció es troba ben qualificada.

En relació a la infracció de l'article 11, demanada per l'Soriano, el que protegeix aquest precepte és que el tractament de dades personals sigui realitzat per a les finalitats previstes, és a dir, que no es realitzi, en el cas, amb finalitats diferents a les del seguiment socio-sanitari dels alumnes, com bé explica la sentència, sense que consti cap desviament d'aquesta finalitat; el fet que aquests fitxers hagin pogut ser examinats per persones alienes és una conseqüència de la infracció de l'article 12, però no te res a veure amb un desviament de la finalitat per la qual fou creat el fitxer, i la sentència que ho na entès així ha interpretat correctament la normativa d'aplicació.

Es demana també que se sancioni la infracció de l'article 19, que indica que les dades sensibles només poden ser objecte de tractament o de comunicació amb el consentiment exprés de la persona interessada i a l'efecte, l'Soriano diu que no hi havia consentiment en l'accés per tercers a les dades, amb la qual cosa hi ha infracció. A l'efecte convé significar que la necessitat de consentiment d'una persona per a que el responsable del fitxer pugui tractar o comunicar les seves dades sensibles és necessari quan el responsable desitja dur a terme aquest tractament o comunicació, però aquest no va ser el cas de l'Téllez, que ni tant sòls es va plantejar aquest tractament; i el fet de que les dades personals van ser conegudes per tercers sense coneixement dels interessats ja ha estat sancionat com infracció de l'article 12.

Finalment, en relació a la infracció de l'article 27, aquest estableix l'obligació, dels responsables del tractament de dades, d'inscriure els fitxers sota el seu control en el registre públic gestionat per l'autoritat de control. En el cas, els impresos normalitzats de notificació de fitxers de caràcter personal no va estar disponible fins el 31 d'agost de 2005, moment en què es va publicar al BOPA l'avís del Cap de l'Soriano que així ho indicava, i ha quedat provat que al 13 de setembre de 2005 encara no s'havia inscrit cap fitxer en el Registre públic d'inscripció de fitxers de dades personals, segons certifica la mateixa Agència, de manera que, en aquestes circumstàncies, aquest incompliment formal no és constitutiu d'una infracció.

En conseqüència de tot el que s'ha exposat, procedeix estimar el recurs de l'Téllez i desestimar el de l'Soriano, amb revocació parcial de la sentència.

Quart.- No hi ha circumstàncies que determinin un pronunciament especial sobre el pagament de les despeses d'aquest procés.

DECISIÓ

En atenció a tot el que s'ha exposat, la Sala Administrativa del Tribunal Superior de Justícia, en nom del poble andorrà ha decidit:

Estimar el recurs interposat per l'Téllez, contra la sentència número 2007-088, de 3 de setembre de 2007, dictada per la Secció Administrativa del Tribunal de Batlles i en conseqüència, deixar sense efecte la sanció per infracció a l'article 27 de la Llei Qualificada de protecció de dades personals, mantenint la resta de pronunciaments de la sentència.

Desestimar el recurs d'apel·lació interposat per l' l'Soriano

No fer cap pronunciament sobre el pagament de les despeses d'aquesta segona instància.

Aquesta sentència és ferma i executiva.

Manem que una vegada s'hagi complert el que disposa l'article 76 de la Llei de la Jurisdicció Administrativa i Fiscal es lliurin els autes originals amb la certificació d'aquesta sentència al Tribunal de Batlles, Secció Administrativa del qual procedien, i que s'arxivin les actuacions del Tribunal.