La Audiencia Nacional anula dos sanciones millonarias de la AEPD

Hace poco más de dos años, la Agencia Española de Protección de Datos publicaba la resolución de procedimiento sancionador PS/00070/2019 por la que sancionaba a una entidad financiera con dos sanciones por valor total de 5 millones de euros.

En concreto, el procedimiento se inició por las reclamaciones de cinco clientes de la entidad que fueron motivadas, por un lado, por el incumplimiento de las obligaciones de información y transparencia y, por otro lado, por la recogida de su consentimiento.

Sin querer analizar en profundidad los fundamentos jurídicos utilizados por la AEPD para la imposición de las sanciones, la Agencia entiende como clave para las conclusiones alcanzadas durante la investigación el formulario de recogida de datos personales, utilizado por la entidad financiera para (i) informar a sus clientes de la entrada en vigor del Reglamento (UE) 2016/679, de 27 de abril de 2016 (RGPD) y, a su vez, (ii) recabar su consentimiento para distintas finalidades adicionales.

En su escrito de alegaciones, la entidad financiera se opuso a la utilización de este documento como objeto principal de análisis, y solicitó la nulidad de pleno derecho del procedimiento al entender que es necesaria la vinculación entre el objeto del procedimiento sancionador y las reclamaciones formuladas por los interesados.

Este argumento, derivado de la doctrina emanada de la sentencia de la Audiencia Nacional de 23 de abril de 2019 (Rec. 88/2017) y que, además, es el recogido en la sentencia que analizaremos más adelante, fue rechazado por la AEPD al entender que:

(i)           Las reclamaciones interpuestas guardaban estrecha relación con el mencionado documento;

(ii)         Y, además, por resultar que las deficiencias encontradas en el documento “tienen un alcance general, de modo que se ven afectados todos los clientes de la entidad, y no sólo los cinco reclamantes, de lo que resultaría, conforme se ha expuesto, que la infracción no se produce exclusivamente respecto de los cinco reclamantes, sino con carácter general como consecuencia de dicha política de privacidad”.

La decisión adoptada por la AEPD, con sanción de 5 millones de euros, fue recurrida por la entidad financiera ante la Sala de lo Contencioso de la AN, que ahora publica la SAN 6460/2022 en la que analiza, entre otros argumentos, la falta de vinculación entre la sanción impuesta y las reclamaciones a las que se refiere la resolución.

A este respecto, en el recurso ante la AN, la entidad financiera señalaba que la AEPD “se limita a aprovechar la existencia de reclamaciones centradas en hechos concretos e individuales (…) para iniciar una suerte de revisión general” del Banco para instruir un procedimiento sancionador que no guarda relación alguna con el contenido de las reclamaciones, “hasta el punto de que la resolución no vincula ninguno de sus razonamientos al contenido de dichas reclamaciones”. Es más, de acuerdo con las alegaciones de la entidad financiera, la AEPD no examina en ningún momento las reclamaciones, sino que se vale de estas “para abrir una especie de causa general contra la política de privacidad” de la entidad.

En este sentido y, a nuestro juicio, acertadamente, la AN indica que el hecho de que se haya aportado el documento objeto de discusión no faculta a la AEPD a iniciar un procedimiento general contra la política de protección de datos personales de la entidad financiera Banco. De hecho, advierte que la sentencia AN de 29 de abril de 2019 (Rec. 88/2017) citada en el procedimiento sancionador de la AEPD, al contrario de la argumentación esgrimida por la Agencia, es aplicable al caso que se discute y, por tanto, se llega a la misma conclusión.

Es decir, en el presente caso la AN entiende que la AEPD no ha valorado las pruebas en relación con las citadas denuncias y, en esencia, “se limita a recogerlas en los hechos probados, pero sin hacer una valoración especifica de las mismas”, vulnerando, por tanto, la valoración de la prueba que es un elemento determinante del procedimiento sancionador y que exige que el fallo condenatorio se apoye en verdaderos actos de prueba.

Por todo lo anterior, al igual que en la sentencia de 23 de abril de 2019 (Rec. 88/2017), la AN determina que no se han respetado los principios propios de la potestad sancionadora por lo que procede la estimación del recurso contencioso administrativo interpuesto por la entidad financiera, anulando la sanción de 5 millones de euros.