Sentencia de la Audiencia Nacional, Sala de lo Contencioso Administrativo, de 15 enero 2011

   SENTENCIA

Madrid, a quince de enero de dos mil once.
Visto por la Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional el recurso contencioso
administrativo número 297/2010 interpuesto por la Asociación "No Mas Aborto" representada por el Procurador Sr. Muñoz Rivas
contra la resolución del Director de la Agencia Española de Protección de Datos de fecha 19 de febrero de 2010 dictada en el
PS/00469/2009; ha sido parte en autos, la Administración demandada, representada y defendida por el Abogado del Estado.

   ANTECEDENTES DE HECHO

PRIMERO.- Interpuesto el recurso Contencioso-administrativo ante esta Sala de lo Contencioso administrativo de la Audiencia Nacional y turnado a esta Sección, fue admitido a trámite, reclamándose el expediente administrativo, para, una vez recibido emplazar a la actora para que formalizara la demanda, lo que así se hizo en escrito en el que tras exponer los hechos y fundamentos de derecho qué consideró oportunos, terminó suplicando que se dicte sentencia por la que se anule y deje sin efecto la resolución recurrida; subsidiariamente, se anule la sanción impuesta e imponga como procedente la de 601,01 €, y con expresa imposición de costas a la Administración demandada.

SEGUNDO.- El Abogado del Estado, en su escrito de contestación a la demanda, tras alegar los hechos y fundamentos de derecho qué consideró aplicables, postuló una sentencia por la que se desestime el recurso interpuesto, confirmando la resolución impugnada, con expresa condena en costas a la parte actora.

TERCERO.- El recurso no se recibió a prueba, señalándose para votación y fallo el día 22 de diciembre de 2010, en que tuvo lugar.
La cuantía del recurso se ha fijado en 3.000 Euros.
Ha sido Ponente la Magistrada Ilma. Sra. Dª. María LOURDES SANZ CALVO.

   FUNDAMENTOS DE DERECHO

PRIMERO Se impugna en el presente recurso contencioso-administrativo la resolución del Director de la Agencia Española de Protección de Datos de fecha 19 de febrero de 2010 dictada en el PS/00469/2009, que impone a la Asociación "No Más Aborto" una sanción de multa de 3.000 Euros por la comisión de una infracción del artículo 6.1 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal , tipificada como grave en el artículo 44.3.d) de la citada Ley Orgánica , y con aplicación del artículo 45.5 de la citada Ley .

SEGUNDO Los hechos probados en que se basa la resolución sancionadora impugnada, son los siguientes:
"PRIMERO: Con fecha de 02/10/208, la entidad ASOCIACIÓN NO MÁS ABORTO remitió un comunicado antiabortista a la dirección de correo electrónico federico@laboratorioslosan.com, perteneciente al denunciante, que contiene un video titulado "Así se aborta hoy en España" y un mensaje suscrito por "Asociación No Más Aborto. Junta Directiva". Asimismo, incluye un "Aviso Legal" con la siguiente información:
"Hemos incluido su correo electrónico en un fichero que se gestiona con la finalidad de hacerle llegar este boletín. Según lo expresado en el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, sobre el Derecho de Información , si usted desea cancelar, modificar o rectificar su correo electrónico recogido en esta base de datos, tiene derecho a exigirlo, para lo cual ponemos a su disposición este enlace, a través del cual podrá solicitar la exclusión de su correo electrónico, pues no figuran otros datos en la misma". SEGUNDO.- La ASOCIACIÓN NO MÁS ABORTO, en respuesta al requerimiento expreso que le fue efectuado por los Servicios de Inspección de la Agencia Española de Protección de Datos, no aportó ninguna acreditación para acreditar que disponía del consentimiento del denunciante para el tratamiento del dato relativo a su dirección de correo electrónico federico@laboratorioslosan.com, utilizada para el envío de la comunicación reseñada en el Hecho Probado anterior.TERCERO.- La ASOCIACIÓN NO MÁS ABORTO ha reconocido haber enviado el correo electrónico reseñado en el Hecho Probado Primero, en una campaña de difusión del boletín electrónico de dicha Asociación.CUARTO.- La ASOCIACIÓN NO MÁS ABORTO ha reconocido que dispuso del dato relativo a la dirección de correo del denunciante".
La AEPD entiende sobre la base de dichos hechos, que la entidad recurrente ha efectuado un tratamiento de datos con vulneración del artículo 6 LOPD , al registrar en sus ficheros la dirección de correo electrónico del denunciante y utilizarla para remitirle en el marco de una campaña de difusión del boletín electrónico de la citada Asociación, un comunicado antiabortista que contiene un video titulado "Así se aborta hoy en España", actuaciones que requieren el consentimiento del afectado y con el que no contaba la Asociación recurrente que, por ello y al no concurrir ningún supuesto de exención de prestar el consentimiento, ha incurrido en la infracción grave apreciada.

TERCERO La actora en amparo de su pretensión anulatoria de la resolución impugnada efectúa los siguientes alegatos:
El único dato que del denunciante dispone la Asociación es la dirección de correo electrónico en cuestión, y se obtuvo a través de búsquedas por Internet, resalta que introduciendo dicha dirección en la barra de Google se encuentra una empresa denominada Laboratorios Losan S.L., por lo que se trata de una dirección de correo profesional.
La dirección de correo electrónico no es un dato personal, pues al formarse por un conjunto de signos o palabras libremente elegidos, con la única limitación de que no exista otra previa, no proporciona información personal alguna ni siquiera en el caso de estar formada por nombres y apellidos porque no existe seguridad de que esos nombres y apellidos sean realmente los de su titular. Además en este caso dicha dirección de correo no pertenece a una persona física sino a una persona jurídica, a uno de sus empleados.
El tratamiento de la dirección de correo electrónico no precisa el consentimiento de su titular ex artículo 6.2 LOPD , por cuanto se obtuvo a través de web por Internet, que es un medio de comunicación y una fuente accesible al público, según el artículo 3.j) LOPD , invocando la sentencia de esta Sala de 24 de abril de 2007 .
Subsidiariamente, solicita que se rebaje a 601 € la sanción impuesta.
Frente a dicha pretensión opone el Abogado del Estado que la dirección de correo electrónico, por sí misma, puede o no ser un dato de carácter personal, para serlo requiere que contenga información concerniente a una persona física identificable (artículo 3.a ) LOPD). Aquí la dirección de correo indica claramente un nombre propio y una empresa, luego resulta susceptible de ser identificado el destinatario, supuesto que es distinto del invocado en la demanda que parte de un nombre de dominio masivo y uso anónimo. Aduce que, independientemente de la consideración que tenga la red, como medio de comunicación o no, que dependerá del tipo de páginas de que se trate, la actora no ha acreditado como obtuvo la dirección de correo electrónico, por lo que rige la regla general de exigencia del consentimiento del artículo 6.1 LOPD .

CUARTO Siguiendo el orden expuesto en la demanda se va a analizar la primera cuestión referente a si la dirección de correo electrónico federico@laboratorioslosan.com registrada en los ficheros de la entidad y a la que se remitió el video en cuestión, constituye o no un dato de carácter personal.
El concepto de dato de carácter personal aparece definido en el artículo 3.a) de la LOPD , como "cualquier información referente a personas físicas identificadas o identificables".
Por su parte el artículo 5 del Reglamento de desarrollo de la citada Ley, aprobado por Real Decreto 1720/2007, de 21 de diciembre, define en su apartado 1 .f) los datos de carácter personal como "cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier tipo concerniente a personas físicas identificadas o identificables". Y en el apartado 1.o) se define persona identificable, como "toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier comunicación referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados".
En relación con la dirección de correo electrónico, esta Sala ha considerado en las SSAN, Sec. 1ª, de 23 de marzo 2006 (Rec. 911/2003 ) y de 25 de mayo de 2006 (Rec. 536/2004 ), que la dirección de correo electrónico de la que es titular una persona física, constituye una información que le concierne, que le afecta, y que forma parte del ámbito de su privacidad protegido por la Ley de Protección de Datos, siéndole plenamente aplicable su régimen jurídico.
En dichos procedimientos se argumentaba que en los supuestos a los que se referían la dirección de correo electrónico no recogía el nombre y apellidos de su titular y no tenía vinculación con su identidad, por lo que no debería considerarse como dato de carácter personal, pero ello fue desestimado por las citadas sentencias. En concreto, la SAN de 25 de mayo de 2006 especificaba que la dirección de correo electrónico de que es titular una persona física constituye un dato personal porque "con independencia de que la denominación de la dirección corresponda o no con el nombre y apellido de su titular, país o empresa en la que trabaja, lo cierto es que se puede mediante una operación nada difícil, identificar perfectamente a una persona física, ya que esa dirección de correo electrónico aparecerá vinculada a un dominio concreto, por lo que sólo será necesario consultar al servidor en que se gestione dicho servicio. Es más esta Sala, en un caso como el número del Documento Nacional de Identidad, que en principio no tiene aparente relación externa con el nombre y apellido de su titular, ha entendido que es un dato de carácter personal amparado por la LOPD en la sentencia de 27 de octubre de 2004 (Rec. 1112/2002 )".
Por tanto, la dirección de correo electrónico de una persona física, en la medida que permite identificar a su titular sin plazos ni actividades desproporcionadas, constituye un dato personal y su tratamiento en casos como el presente, y sin perjuicio de las previsiones específicas establecidas por la Ley de Servicios de Sociedad de la Información para otros supuestos, está sometido a las previsiones de la LOPD.
En el caso de autos, la dirección de correo electrónico que la Asociación recurrente tenía registrada en sus ficheros era federico@laboratorioslosan.com que, en contra de lo alegado por la recurrente, no es una dirección de correo electrónico de una persona jurídica, en concreto de los Laboratorios Losán S.L., sino de una persona física, el denunciante D. F. L.. A mayor abundamiento, en el presente caso la dirección aparece conformada por el nombre de la persona física titular de la misma. Se trata de la dirección de correo de una persona física en los laboratorios donde presta sus servicios, viene referida a dicha persona física, tratándose de su dirección profesional.
Esta Sala ha reiterado que el dato del afectado, aunque se refiera al lugar de ejercicio de su profesión, es un dato de una persona física con una actividad profesional, cuya protección cae en la órbita de la citada Ley Orgánica 15/1999 , SAN, Sec. 1ª de 3 de octubre de 2007 (Rec. 163/2006 ).
Además, cabe señalar que el tratamiento que hizo la Asociación recurrente de la citada dirección de correo para remitir el video y comunicado en cuestión, no guarda relación con la actividad de los citados laboratorios, sino que hace referencia a una cuestión referente a un ámbito distinto, estrictamente privado o personal que trasciende el ámbito de la citada entidad y de la actividad profesional del denunciante.

QUINTO Siendo la dirección de correo en cuestión un dato de carácter personal, se requiere para su tratamiento el consentimiento del afectado, ex artículo 6 LOPD, al disponer que "1 .-El tratamiento automatizado de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa". Se trata de una garantía fundamental que solo encuentra como excepciones aquellos supuestos que establezca la ley, supuestos de exclusión que no concurren en el supuesto de autos.
La Asociación recurrente aduce que no necesitaba el consentimiento del afectado para el tratamiento de su dirección de correo electrónico, porque está amparada por el artículo 6.2 LOPD al haberla obtenido a través de web por Internet, que es un medio de comunicación y una fuente accesible al público, según el artículo 3 .j).
Sin embargo, independientemente de la consideración que pueda tener la red, como medio de comunicación o no, a los efectos del art 3.j) L.O.P.D ., cuestión en la que no es aquí necesario detenerse por lo que seguidamente se va a exponer, lo cierto es que la actora no ha acreditado que obtuviera la dirección de correo electrónico del denunciante de una página web de internet, por cuanto las páginas web que aporta se refieren a otras direcciones de correo distintas a la que aquí nos interesa. Es decir, no ha acreditado como obtuvo la dirección del correo electrónico, por lo que rige la regla general de exigencia del consentimiento del artículo 6.1 LOPD .
Es de reseñar, que el informe de actuaciones previas obrante al folio 20 del expediente alude a las manifestaciones que efectuó la Asociación recurrente en su escrito de fecha 13 de julio de 2009 en respuesta a la solicitud de información efectuada por la AEPD. El hecho de que la recurrente manifieste que ha obtenido dicho dato de una página web de internet nada acredita y no le exime de tener que acreditar esa circunstancia que invoca y en la que pretende amparar la exención del consentimiento. Finalmente añadir que la sentencia de esta Sala y Sección de 24 de abril de 2007 invocada en la demanda se refiere a un supuesto de hecho muy específico, que no guarda ninguna analogía con el presente.
Resulta, en consecuencia, acreditada la comisión de la infracción apreciada por la resolución administrativa recurrida, sin que tampoco proceda la rebaja de la sanción postulada con carácter subsidiario. En este sentido hay que reseñar que la AEPD ya ha aplicado el artículo 45.5 LOPD y ha impuesto una sanción de 3000 € muy próxima al mínimo, por lo que no cabe sino respetar el criterio de la AEPD que ha tomado en consideración para su fijación todas las circunstancias concurrentes, sin que sin que por otra parte ostente la recurrente ningún derecho a la imposición de la sanción mínima posible, considerándose proporcionada a la gravedad de los hechos cometidos la sanción impuesta.
Procede, en definitiva, la desestimación del recurso interpuesto.

SEXTO De conformidad con lo dispuesto en el artículo 139.1 de la Ley Jurisdiccional , no se aprecian motivos para una imposición de costas.

    FALLAMOS

DESESTIMAR
el recurso contencioso-administrativo interpuesto por la Asociación "No Mas Aborto" representada por el Procurador Sr. Muñoz Rivas contra la resolución del Director de la Agencia Española de Protección de Datos de fecha 19 de febrero de 2010 dictada en el PS/00469/2009; sin imposición de costas.
Así por esta nuestra sentencia, lo pronunciamos, mandamos y firmamos
Notifíquese esta resolución a las partes con indicación de que no cabe contra ella recurso de casación.
PUBLICACIÓN.- Dada, leída y publicada fue la anterior sentencia en audiencia pública. Doy fe. Madrid, a
EL SECRETARIO JUDICIAL