El TS admite que la AEPD revise la política de protección de datos de una entidad en virtud de una reclamación

Nota informativa escrita por el área de Protección de Datos de ECIJA Madrid.

¿En qué forma y grado queda vinculada la AEPD por el contenido de una reclamación que origina un procedimiento sancionador?

Lo que necesitas saber:

• En febrero de 2023, la Audiencia Nacional anuló, por no considerarla conforme a Derecho, la Resolución PS/00070/2019 de la AEPD, que imponía al BBVA una sanción de 5 millones de euros.
• El Tribunal Supremo, en la reciente STS 1792/2024, ha estimado el recurso de casación interpuesto contra la Sentencia de la Audiencia Nacional, manteniendo la Resolución.
• La STS indica que la AEPD puede, en el contexto de un procedimiento sancionador que tiene su origen en reclamaciones, revisar las políticas de protección de datos de una entidad, siempre que las infracciones identificadas se encuentren vinculadas y se garantice el derecho de defensa de la entidad.

En febrero de 2023, la Audiencia Nacional anuló la primera gran sanción impuesta por la AEPD a tenor del RGPD. Esta semana el Tribunal Supremo ha revocado dicha sentencia, desestimando el recurso del BBVA contra la resolución de la AEPD y manteniendo la sanción impuesta de 5 millones de euros.

La controversia tiene su origen en cinco reclamaciones presentadas en 2019 ante la AEPD, que tenían como denominador común un documento emitido por el banco llamado “Declaración de actividad económica y política de protección de datos personales” que los clientes debían firmar.

Estas reclamaciones dieron lugar a la apertura de un procedimiento sancionador que incluyó en su objeto el examen del referido documento y que culminó en 2020 con una resolución que imponía al BBVA dos sanciones: la primera por una infracción de los artículos 13 y 14 del RGPD, por importe de 2.000.000€; y la segunda por una infracción del artículo 6 del RGPD, por importe de 3.000.000 €.

La entidad bancaria interpuso recurso contencioso-administrativo contra dicha resolución, aduciendo una total desconexión entre el objeto del procedimiento y las reclamaciones formuladas ante la AEPD y alegando que la autoridad de control se había extralimitado en su actuación al examinar el documento y no solo las reclamaciones.

La Audiencia Nacional estimó su recurso y anuló la resolución de la AEPD, al considerar que ésta no había evaluado los hechos concretos, ni las pruebas practicadas durante el procedimiento, que son las que inicialmente justifican su apertura, sino que realiza una valoración de carácter general de la política de privacidad de la entidad, sin conectarla con las reclamaciones y sus hechos probados.

La Abogacía del Estado interpuso recurso de casación frente a la sentencia de la Audiencia Nacional. Basó su impugnación en que la normativa no restringe la capacidad de actuación de la autoridad de control a los hechos que se denuncian en la reclamación. También señaló el hecho de que, en virtud del artículo 78.2 del RGPD:

“está obligada a examinar la política de protección de datos como parte de la investigación acerca de la posible infracción del RGPD que se desprende de las reclamaciones planteadas por los interesados”.

Así, la cuestión de interés casacional se fijó en si la actuación de la AEPD queda vinculada por el contenido de una reclamación que origina un procedimiento sancionador, y en qué forma y grado. Formulada la cuestión en esos términos, la Sala ha estimado el recurso de la AEPD, declarando lo siguiente:

“La Agencia Española de Protección de Datos, en la incoación, tramitación y resolución de un procedimiento sancionador, puede abordar cuestiones fácticas y jurídicas conexas o relacionadas con los hechos y argumentos recogidos en la reclamación que da origen al procedimiento. Y, más específicamente, en el curso de un procedimiento sancionador iniciado a raíz de una o varias reclamaciones en materia de protección de datos personales, cuando se aprecie que las infracciones singulares denunciadas tienen su origen común en un documento o instrumento de alcance general que define la política de la entidad en materia de protección de datos, la AEPD puede, y aun debe, hacer objeto del procedimiento sancionador a ese mismo documento que alberga la política de privacidad de la entidad responsable, a fin de examinarlo, detectar sus posibles carencias o deficiencias, y adoptar, en consecuencia, las medidas que resulten necesarias en el seno del propio procedimiento sancionador; en el bien entendido de que de todo ello habrá de darse conocimiento al sujeto del expediente, de manera que durante la tramitación del procedimiento pueda este tener ocasión de formular alegaciones y, en su caso, proponer pruebas, sin que en ningún caso pueda producirse indefensión”. La negrita pertenece a esta parte.

De esta forma, nuestro Alto Tribunal reconoce de forma expresa la capacidad – inclusive el deber- de la autoridad de control de iniciar, en virtud de una reclamación individual, en el contexto de un procedimiento sancionador, una revisión genérica del cumplimiento en materia de protección de datos de una entidad.

Si bien dicha revisión debe mantener conexión con el objeto de las reclamaciones y el administrado debe poder formular alegaciones y presentar pruebas durante el proceso, las entidades deben ser conscientes del amplio margen de actuación que se otorga a la autoridad de control.

Descarga el PDF completo más abajo.