Y es que, según ha reconocido el Tribunal Supremo, la Agencia Española de Protección de Datos, en la incoación, tramitación y resolución de un procedimiento sancionador, puede abordar cuestiones fácticas y jurídicas conexas o relacionadas con los hechos y argumentos recogidos en la reclamación que da origen al procedimiento
El Tribunal Supremo acaba de dictar una sentencia que afecta de manera significativa a los intereses de las empresas en los procedimientos administrativos sancionadores por incumplimiento de la normativa de protección de datos, al reconocer la habilitación de la Agencia Española de Protección de Datos (AEPD) para, a partir de una o varias reclamaciones individuales, extender el objeto del procedimiento sancionador al documento general que define la política en materia de protección de datos de la entidad responsable, cuando se aprecie que las infracciones singulares denunciadas tienen su origen común en dicho documento.
El litigio tuvo lugar en sede de una conocida entidad bancaria, que se alzó contra la AEPD al considerar que la AEPD se había valido de reclamaciones de particulares para abrir una especie de causa general contra la política de privacidad de la entidad recogida en el documento que había denominado “Declaración de actividad económica y política de protección de datos personales”.
La Audiencia Nacional en la instancia consideró que una muestra tan pequeña -5 reclamaciones- frente a unos 8 millones de clientes de la entidad “no sería concluyente” y anuló las sanciones impuestas al entender que no podía considerarse, como había hecho la Agencia, que se había producido una vulneración del principio de trasparencia y del consentimiento por la propia existencia y contenido de la política de protección de datos.
Sin embargo, el Tribunal Supremo considera que “la Agencia Española de Protección de Datos, en la incoación, tramitación y resolución de un procedimiento sancionador, puede abordar cuestiones fácticas y jurídicas conexas o relacionadas con los hechos y argumentos recogidos en la reclamación que da origen al procedimiento”.
Más en concreto, en el curso de un procedimiento sancionador iniciado a raíz de una o varias reclamaciones en materia de protección de datos personales, cuando aprecie que las infracciones singulares denunciadas tienen su origen común en un documento o instrumento de alcance general que define la política de la entidad en materia de protección de datos, la AEPD puede -es más DEBE- hacer objeto del procedimiento sancionador a ese mismo documento que alberga la política de privacidad de la entidad responsable.
Y podrá hacerlo de una manera omnicomprensiva, con la finalidad “de examinarlo, detectar sus posibles carencias o deficiencias, y adoptar, en consecuencia, las medidas que resulten necesarias en el seno del propio procedimiento sancionador”, aprovechando que de todo ello habrá de darse conocimiento al sujeto del expediente, de manera que durante la tramitación del procedimiento pueda este tener ocasión de formular alegaciones y, en su caso, proponer pruebas, sin que en ningún caso pueda producirse indefensión.
[Sentencia Tribunal Supremo, Sala de lo Contencioso-Administrativo, Sección 3ª, de 11 de noviembre de 2024, recurso n.º 2960/2023]
Departamento de Documentación de Garrido