T R I B U N A L S U P R E M O
Sala de lo Contencioso-Administrativo
Sección Quinta
Sentencia núm. 1.364/2021
Fecha de sentencia: 23/11/2021
Tipo de procedimiento: R. CASACION
Número del procedimiento: 7919/2020
Fallo/Acuerdo:
Fecha de Votación y Fallo: 16/11/2021
Ponente: Excma. Sra. D.ª Ángeles Huet De Sande
Procedencia: AUD.NACIONAL SALA C/A. SECCION 5
Letrada de la Administración de Justicia: Seccion005
Transcrito por: CPB
Nota:
R. CASACION núm.: 7919/2020
Ponente: Excma. Sra. D.ª Ángeles Huet De Sande
Letrada de la Administración de Justicia: Seccion005
TRIBUNAL SUPREMO
Sala de lo Contencioso-Administrativo
Sección Quinta
Sentencia núm. 1364/2021
Excmos. Sres. y Excma. Sra.
D. Segundo Menéndez Pérez, presidente
D. Octavio Juan Herrero Pina
D. Wenceslao Francisco Olea Godoy
D. Fernando Román García
Dª. Ángeles Huet De Sande
En Madrid, a 23 de noviembre de 2021.
Esta Sala ha visto el recurso de casación nº 7919/2020, interpuesto por don Bruno, representado por la procuradora doña Lucía Agulla Lanza, bajo la dirección letrada de don José Miguel Pérez Pérez, contra la sentencia dictada el 7 de octubre de 2020, por la Sección Quinta de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional en el P.O. núm. 717/18, interpuesto contra la resolución de 5 de septiembre de 2018, del Director General de la Policía (por delegación del Ministro de Interior) que acordó extinguir su habilitación profesional como vigilante de seguridad.
Se ha personado en este recurso el Abogado del Estado en la representación que por su cargo ostenta.
Ha sido ponente la Excma. Sra. D.ª Ángeles Huet De Sande.
FUNDAMENTOS DE DERECHO
PRIMERO.
La sentencia recurrida.
La sentencia de 7 de octubre de 2020, dictada por la Sección Quinta de la Sala de lo Contencioso Administrativo de la Audiencia Nacional, desestima el recurso contencioso administrativo interpuesto por don Bruno contra la resolución de 5 de septiembre de 2018, del Director General de la Policía (por delegación del Ministro del Interior) que acordó extinguir su habilitación profesional como vigilante de seguridad.
La extinción obedece a que la condena en sentencia firme del Juzgado de Primera Instancia e Instrucción número 2 de Melilla, por un delito de amenazas leves, supuso la pérdida del requisito de carecer de antecedentes penales contemplado en el art. 28.1.e) de la Ley 5/2014, de 4 de abril (LA LEY 5140/2014), de seguridad privada (LSP), en relación con el art. 53.d) del Real Decreto 2364/1994, de 9 de diciembre (LA LEY 91/1995), por el que se aprueba el Reglamento de Seguridad Privada (RSP).
El debate en la instancia, que ahora se trae a casación, se ceñía a la licitud de la forma en la que se había obtenido por la Dirección General de la Policía la información sobre los antecedentes penales del recurrente ya que, como se explica en la sentencia, "[E]n este caso, en el expediente administrativo, consta el "acceso directo" a la base de datos del Registro Central de Penados por un funcionario de la policía nacional, cuyos datos, han sido tachados, si bien el documento contiene impresa la leyenda "documento informativo obtenido directamente por (tachado) de POLICÍA NACIONAL el día 26/06/2018 14:02 y exclusivamente para los fines que tiene encomendados (capítulo II del Real Decreto 95/2009 (LA LEY 1300/2009) [....] y conforme a lo establecido en la LO 15/99, de 13 de diciembre (LA LEY 4633/1999), de Protección de Datos de Carácter Personal). Hay una remisión directa a la regulación del artículo 6 indicado [ art. 6 del Real Decreto 95/2009, de 6 de febrero (LA LEY 1300/2009), por el que se regula el Sistema de registros administrativos de apoyo a la Administración de Justicia.]".
Entiende la Sala que este acceso directo al Registro Central de Penados no está amparado por los arts. 6 (acceso directo) y 16 (solicitud de certificaciones) del Real Decreto 95/2009 (LA LEY 1300/2009), que regula dicho Registro:
"... en la regulación del Real Decreto 95/2009 (LA LEY 1300/2009), el Cuerpo Nacional de Policía no tiene con carácter general "acceso directo" a las bases de datos del Registro Central de Penados, sino que están legitimados los funcionarios, autorizados -encargados del tratamiento de datos de determinadas unidades policiales: a) policía judicial; b) unidades responsables de la expedición del pasaporte; c) unidades responsables del control de entrada y salida del territorio nacional, y solo, en todos los casos, en relación con los fines que tienen encomendados....
La posibilidad de solicitud de "certificaciones" al Encargado del Registro Central de Penados por cualquier órgano de las Administraciones Públicas requiere una serie de condiciones, como son (i) que se tramite un procedimiento en el que sea preceptivo este certificado para acceder a un derecho o adquirir una condición determinada, (ii) que haya consentimiento del interesado, salvo que una norma con fango de Ley lo exceptúe, y (iii) que la información se limite únicamente a los datos relativos al interesado en el procedimiento.
(...)
La invocación del artículo 16 del Real Decreto 95/2009 (LA LEY 1300/2009) obvia que en este caso no se trató de una solicitud de "certificación, de datos inscritos", sino de "acceso directo", aparte que el procedimiento de extinción de la habilitación se incoa por la Comisaría General de Seguridad Ciudadana, Unidad de Seguridad Privada, Sección de Personal, una vez recibido el documento informativo de antecedentes penales. Además, el procedimiento se incoa para la extinción de la habilitación y, por tanto para lo contrario de "acceder a un derecho o adquirir una condición" por el afectado, y no puede considerarse, como alega la defensora de la Administración, que el consentimiento - de haberse dado- al participar en la convocatoria para el acceso a las pruebas de selección de vigilante de seguridad se extienda temporalmente más allá de dicho momento inicial, ni que pueda admitirse un consentimiento tácito."
Descarta, no obstante, la sentencia recurrida que se haya producido un acceso ilícito por parte de la Dirección General de la Policía a los datos personales del recurrente contenidos en el Registro Central de Penados por las siguientes razones:
"Llegados a este punto, cabría distinguir: si los datos fueron obtenidos por quien podía hacerlo, esto es, por quien se hallaba legitimado en su calidad de autorizado para el acceso; si en la comunicación de los datos de antecedentes penales a dicha unidad de personal dentro de la misma Policía Nacional, se actuaba legítimamente y en el ejercicio de sus funciones o si una ley así lo autoriza.
Lo primero parece ser así, al haberse obtenido por un funcionario de policía nacional autorizado para consultar el Registro, si bien entre los fines para los que exclusivamente se permite el acceso directo a la información del Registro de Penados en dicho artículo 6 reglamentario, no se encuentra el caso de extinción de la habilitación de un vigilante de seguridad, expediente que, como hemos dicho en multitud de ocasiones no tiene carácter sancionador.
Respecto a si el destinatario de esos datos podía acceder a ellos porque una ley así se lo autoriza, debe tenerse en cuenta que los antecedentes penales son datos de carácter personal que están sujetos al deber de confidencialidad, su conocimiento no es público, y se trata de datos protegidos por el derecho fundamental a la protección de datos que emana tanto del artículo 18.1 (LA LEY 2500/1978) y 4 de la CE como del artículo 8 del Convenio Europeo de Derechos Humanos (LA LEY 16/1950) (respeto a la vida privada y familiar).
Al respecto, dispone el artículo 136.4 del Código Penal (LA LEY 3996/1995): "Las inscripciones de antecedentes penales en las distintas secciones del Registro Central de Penados y Rebeldes no serán públicas. Durante su vigencia solo se emitirán certificaciones con las limitaciones y garantías previstas en sus normas específicas y en los casos establecidos por la ley. En todo caso, se librarán las que soliciten los jueces o tribunales, se refieran o no a inscripciones canceladas, haciendo constar expresamente esta última circunstancia."
En la demanda se aduce solo el derecho fundamental a la intimidad del artículo 18.1 CE (LA LEY 2500/1978), cuya función es la de proteger frente a cualquier invasión que pueda realizarse en aquel ámbito de la vida personal y familiar que la persona desea excluir del conocimiento ajeno y de las intromisiones de terceros en contra de su voluntad (por todas STC 144/1999 , de 22 de julio (LA LEY 10507/1999), FJ 8), es decir, el poder de resguardar su vida privada de una publicidad no querida " SSTC 134/1999 (LA LEY 10041/1999) , 98/2000 (LA LEY 78877/2000), 115/2000 (LA LEY 92668/2000) y 292/2000". En realidad, los antecedentes penales no son datos íntimos cuya publicidad esté limitada, sino que son datos personales públicos cuyo poder de disposición se garantiza en general por el derecho a la protección de datos del artículo 18.4 CE (LA LEY 2500/1978), que se traduce en un derecho de control sobre los datos relativos a la propia persona insertos en un programa informático (habeas data) y comprende, entre otros aspectos, la oposición del ciudadano a que determinados datos personales sean utilizados para fines distintos de aquel legítimo que justificó su obtención ( SSTC 11/1998 (LA LEY 1407/1998), FJ 5, 94/1998 (LA LEY 6129/1998), FJ 4).
Pues bien, la doctrina constitucional también ha declarado que el derecho a la protección de datos no es ilimitado, y aunque la Constitución no le imponga expresamente límites específicos, ni remita a los Poderes Públicos para su determinación como ha hecho con otros derechos fundamentales, no cabe duda de que han de encontrarlos en los restantes derechos fundamentales y bienes jurídicos constitucionalmente protegidos, pero la Constitución ha querido que la Ley, y sólo la Ley, pueda fijar los límites a un derecho fundamental. Esas limitaciones han de estar justificadas en la protección de otros derechos o bienes constitucionales ( SSTC 104/2000 , de 13 de abril (LA LEY 81975/2000), FJ 8 y las allí citadas) y, además, han de ser proporcionadas al fin perseguido con ellas ( SSTC 11/1981 (LA LEY 6328-JF/0000), 196/1987 (LA LEY 903-TC/1988), y 292/2000 (LA LEY 11336/2000)).
Es preciso tener en cuenta que el artículo 10 de Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 (LA LEY 6637/2016), relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y por el que se deroga la Directiva 95/46/ CE (Reglamento general de protección de datos (LA LEY 6637/2016)), dispone: " Tratamiento de datos personales relativos a condenas e infracciones penales. El tratamiento de datos personales relativos a condenas e infracciones penales o medidas de seguridad conexas sobre la base del artículo 6, apartado 1 , sólo podrá llevarse a cabo bajo la supervisión de las autoridades públicas o cuando lo autorice el Derecho de la Unión o de los Estados miembros que establezca garantías adecuadas para los derechos y libertades de los interesados. Solo podrá llevarse un registro completo de condenas penales bajo el control de las autoridades públicas."
A su vez, el artículo 10 de la actual Ley Orgánica 3/2018 de 5 de diciembre (LA LEY 19303/2018), de Protección de Datos Personales y garantía de los derechos digitales, sobre el tratamiento de datos de naturaleza penal señala:
"1. El tratamiento de datos personales relativos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas, para fines distintos de los de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, solo podrá llevarse a cabo cuando se encuentre amparado en una norma de Derecho de la Unión, en esta ley orgánica o en otras normas de rango legal.
2. El registro completo de los datos referidos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas a que se refiere el artículo 10 del Reglamento (UE) 2016/679 (LA LEY 6637/2016) , podrá realizarse conforme con lo establecido en la regulación del Sistema de registros administrativos de apoyo a la Administración de Justicia."
Por tanto, sólo los poderes públicos pueden ser titulares de los ficheros que pudiesen contener los datos referidos a condenas penales, y el tratamiento de dichos datos para fines distintos a la prevención investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales sólo puede realizarse cuando esté amparado por una Ley.
La Ley 5/2014, de 4 de abril (LA LEY 5140/2014), de Seguridad Privada, establece en su artículo 15, sobre el acceso a la información por las Fuerzas y Cuerpos de Seguridad: " Se autorizan las cesiones de datos que se consideren necesarias para contribuir a la salvaguarda de la seguridad ciudadana". La discusión estaría entonces en entender si dicho precepto legal permitiría el acceso y la cesión de datos personales por las Fuerzas y Cuerpos de Seguridad del Estado en el ámbito de la seguridad privada, sin consentimiento del afectado. Ha de ponerse en relación con el artículo 11.2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LA LEY 4633/1999) - aplicable temporalmente- que permitía la cesión para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario, entre otros supuestos, cuando la cesión está autorizada en una ley, o cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros, en cuyo caso, la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique. Más concretamente, el artículo 22 de la Ley permite la recogida y tratamiento para fines policiales de datos de carácter personal por las Fuerzas y Cuerpos de Seguridad sin consentimiento de las personas afectadas, aunque limitado a aquellos supuestos y categorías de datos que resulten necesarios para la prevención de un peligro real para la seguridad pública o para la represión de infracciones penales, debiendo ser almacenados en ficheros específicos establecidos al efecto, que deberán clasificarse por categorías en función de su grado de fiabilidad.
Esta Sala y Sección en multitud de sentencias sobre la anterior cancelación de la habilitación por tener antecedentes penales, ahora extinción de la habilitación, ha venido razonando que la garantía de la seguridad es una actividad esencial ligada a la existencia misma del Estado moderno, que se ejerce, en régimen de monopolio, por el poder público, por lo que los servicios privados de seguridad, como servicios complementarios de ese monopolio estatal, están sujetos a un conjunto de controles e intervenciones administrativas que condicionan este ejercicio de las actividades de seguridad por los particulares, y que por lo que ahora interesa, sujetan la prestación de servicios a una autorización administrativa, que no procede cuando se tienen antecedentes penales. "Entre otras, sentencia de 12 de enero de 2012, (recurso 1424/2009), 2 de diciembre de 2015 (recurso 235/2014 (LA LEY 206417/2015)), 1 de julio de 2015 (recurso 24/2014 (LA LEY 108836/2015))), de 27 de septiembre de 2017 (recurso 331/2016 (LA LEY 148577/2017))".
La propia Exposición de Motivos de la Ley de Seguridad Privada señala que la seguridad no es solo un valor jurídico sino también un "valor social" y la seguridad privada se perfila "como la forma en la que los agentes privados contribuyen a la minoración de posibles riesgos asociados a su actividad industrial o mercantil, obtienen seguridad adicional más allá de la que provee la seguridad pública o satisfacen sus necesidades de información profesional con la investigación de asuntos de su legítimo interés". Por tanto, la seguridad privada se configura como una actividad con entidad propia, pero a la vez "como parte integrante de la seguridad pública (...). No solo en España sino fundamentalmente en nuestro entorno europeo, la seguridad privada se ha convertido en un verdadero actor de las políticas globales y nacionales de seguridad". Añade, que la proyección de la Administración del Estado sobre la prestación de servicios de seguridad por entidades privadas y sobre su personal se basa en el hecho de que los servicios que prestan forman parte del núcleo esencial de la competencia exclusiva en materia de seguridad pública atribuida al Estado por el artículo 149.1.29.ª de la Constitución (LA LEY 2500/1978), y en la misión que, según el artículo 104 del propio texto fundamental, incumbe a las Fuerzas y Cuerpos de Seguridad, bajo la dependencia del Gobierno, de proteger el libre ejercicio de los derechos y libertades y garantizar la seguridad ciudadana. " A partir de ahí, se establece un conjunto de controles e intervenciones administrativas que condicionan el ejercicio de las actividades de seguridad por los particulares."
La competencia para la habilitación e inhabilitación del personal de seguridad privada la confiere el artículo 12 de esa misma la Ley de Seguridad Privada, en su apartado 1 c), a la Administración General del Estado, a través del Ministerio del Interior y, en su caso, de las Delegaciones y Subdelegaciones del Gobierno. La habilitación de todo el personal de seguridad privada corresponde a la Dirección General de la Policía, excepto la de los guardas rurales y sus especialidades que corresponde a la Dirección General de la Guardia Civil, conforme al artículo 27 de la Ley, que exige que para el ejercicio de las funciones de seguridad privada el personal -entre ellos los vigilantes de seguridad- habrá de obtener previamente la correspondiente habilitación del Ministerio del Interior, en los términos que reglamentariamente se determinen.
De este modo, la exigencia de la carencia de antecedentes penales para el ejercicio de las funciones de vigilante de seguridad, de conformidad con el artículo 28.3 de la Ley de Seguridad Privada, se configura como una condición exigible no solo para acceder a esta actividad, sino [...] en todo momento del desempeño de las mismas, en cuanto se establece que "La pérdida de alguno de los requisitos indicados producirá la extinción de la habilitación, y la cancelación de oficio de la inscripción en el Registro Nacional" También el artículo 53 del Reglamento de Seguridad Privada señala entre los requisitos generales la carencia de antecedente penales "para la habilitación del personal y en todo momento para la prestación de servicios de seguridad privada ....". De modo que tan pronto que la Administración tenga el conocimiento fehaciente de la existencia de antecedentes penales deberá tramitar el correspondiente procedimiento administrativo para extinguir las habilitaciones que fueron concedidas, que es lo que aquí ha ocurrido. " Entre las últimas, sentencia de 13 de marzo de 2019, (recurso 712/2017 (LA LEY 36002/2019)) y 19 de febrero de 2020 (recurso 335/2019 (LA LEY 11864/2020))".
Es, por tanto, en base a dicha competencia de la Dirección General de la Policía de control del cumplimiento de los requisitos necesarios para mantener la habilitación del personal de seguridad privada, que estaría amparada por la Ley de Seguridad Privada el acceso para fines policiales de datos de carácter personal sin consentimiento de los vigilantes de seguridad.
(...)"
SEGUNDO.
El auto de admisión (LA LEY 10128/2021) del recurso.
Precisa que la cuestión en la que aprecia interés casacional objetivo para la formación de jurisprudencia consiste en determinar si el art. 15 de la Ley 5/2014, de 4 de abril (LA LEY 5140/2014), de Seguridad Privada, constituye título habilitante para el acceso directo por la Dirección General de la Policía, sin consentimiento del afectado, a los datos obrantes en el Registro Central de Penados y Rebeldes relativos a los antecedentes penales del personal de seguridad privada, a fines de control del cumplimiento de los requisitos necesarios para la obtención o mantenimiento de la habilitación profesional de dicha actividad.
E identifica como normas jurídicas que, en principio, debemos interpretar, sin perjuicio de que la sentencia haya de extenderse a otras si así lo exigiera el debate finalmente trabado en el recurso, arts. 2.3.d) de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LA LEY 4633/1999); 6 del Real Decreto 95/2009, de 6 de febrero (LA LEY 1300/2009), por el que se regula el Sistema de Registros Administrativos de apoyo a la Administración de Justicia; 15 apdos. 1 y 2 y 28.1.e) de la Ley 5/2014, de 4 de abril (LA LEY 5140/2014), de Seguridad Privada y 53.d) del Reglamento de Seguridad Privada, Real Decreto 2364/1994, de 9 de diciembre (LA LEY 91/1995).
TERCERO.
El escrito de interposición.
Entiende que la ubicación sistemática del art. 15 LSP en el Título I de la Ley, denominado "Coordinación", y las consideraciones contenidas en su Preámbulo en relación con el mismo revelan que la coordinación a que se refiere es la que ha de llevarse a cabo entre las Fuerzas y Cuerpos de Seguridad del Estado y las empresas de seguridad, los despachos de detectives y el personal de seguridad privada (esto es, los servicios de seguridad privada).
Por tanto, la "cesión de datos" que se autoriza en el art. 15.1 solo cabe predicarla de los datos que las empresas de seguridad privada hayan obtenido en el ejercicio de sus funciones y cuya cesión se "considere necesaria para la salvaguarda de la seguridad ciudadana", lo que se refuerza con el resto del párrafo, referido, esta vez, a ciertos "sistemas instalados" por tales empresas.
La consecuencia necesaria de lo anterior es que el precepto no autoriza el acceso directo por parte de las Fuerzas y Cuerpos de Seguridad del Estado al Registro Central de Penados, que es un Registro Administrativo cuyos datos, obviamente, no han sido obtenidos o almacenados por los servicios de seguridad privada y que, además, se someten a la normativa de protección de datos de carácter personal.
Por tanto, hemos de acudir a la normativa general que regula el susodicho Registro Central, que se rige por sus propias disposiciones en virtud del art. 2.3.d) de la L.O. 15/1999 (LA LEY 4633/1999), el cual, así como las normas reguladoras de ese registro, son aplicables al caso "ratione temporis", y en concreto al RD 95/2009 (LA LEY 1300/2009), cuyo art. 6 no ampara el acceso por parte de la Policía Nacional al registro central de penados para comprobar si un vigilante de seguridad privada tiene antecedentes penales a fin de dejar sin efecto su habilitación.
Y sin embargo, eso es lo que ha ocurrido en el caso de autos, en el que se accede directamente, y de forma por tanto ilícita, por un miembro de la Policía Nacional al registro en cuestión, y el resultado de dicho acceso es determinante (de hecho es el único elemento probatorio) para la pérdida de la habilitación profesional del actor, pese a que el propio documento en el que se refleja tal acceso, expresamente afirma que el acceso lo es exclusivamente para los fines del art. 6 del Real Decreto 95/2009, de 6 de febrero (LA LEY 1300/2009), por el que se regula el Sistema de registros administrativos de apoyo a la Administración de Justicia.
En conclusión: la sentencia recurrida en casación infringe el art. 15 de la Ley 5/2014, de 4 de abril (LA LEY 5140/2014), de Seguridad Privada, por cuanto el mismo no constituye título habilitante bastante para el acceso directo de la Dirección General de la Policía, sin consentimiento del afectado, a los datos obrantes en el Registro Central de Penados, relativos a los antecedentes penales del personal de seguridad privada, a fines de control del cumplimiento de los requisitos necesarios para mantener la habilitación expedida para el desempeño de tal actividad, entre los que se encuentra -ex art. 28.1.e) y 28.3 de la citada Ley- el carecer de antecedentes penales por delitos dolosos; acceso que únicamente puede realizarse en los términos del art. 6 del Real Decreto 95/2009, de 6 de febrero (LA LEY 1300/2009), por el que se regula el Sistema de registros administrativos de apoyo a la Administración de Justicia.
CUARTO.
El escrito de oposición.
La Abogacía del Estado entiende que el art. 15 de la LSP constituye título habilitante suficiente para el acceso directo por la Dirección General de la Policía, sin consentimiento del afectado, a los datos obrantes en el Registro Central de Penados y Rebeldes relativos a los antecedentes penales del personal de seguridad privada, para los fines de control del cumplimiento de los requisitos necesarios para la obtención o mantenimiento de la habilitación profesional para el ejercicio de dicha actividad.
Destaca que la carencia de antecedentes penales es un requisito indispensable no sólo para acceder al ejercicio de las funciones de vigilante de seguridad, sino también para el desempeño de las mismas ( art. 28, apartados1.e/ y 3 LSP), y entiende que, en la medida en que el art. 15 LSP autoriza las cesiones de datos que se consideren necesarias para contribuir a la seguridad ciudadana, dentro de tales cesiones han de entenderse incluidas las relativas al cumplimiento de los requisitos necesarios para poder desempeñar las funciones de vigilante de seguridad, pues éstos constituyen una pieza clave de la seguridad ciudadana, tal y como se recoge en la exposición de motivos de la LSP, siendo imprescindible que el Estado mantenga los correspondientes controles que garanticen su correcto funcionamiento, entre los que se encuentra que mantengan los requisitos que les permiten la habilitación todo el tiempo que desempeñan sus funciones.
Por ello, debe entenderse de aplicación al presente caso la previsión contenida en el art. 11.2.a) LOPD 15/1999 (LA LEY 4633/1999), de 13 de diciembre (cesiones de datos sin consentimiento autorizada en una ley). Sin perjuicio de que el supuesto deba también considerarse incluido en el apartado c) de dicho artículo, el cual se refiere a aquellos supuestos en los que "el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros."
Además, la limitación que ello supone es absolutamente proporcionada y razonable y resulta indispensable para la preservación del bien que se trata de salvaguardar, que es el correcto funcionamiento de la seguridad ciudadana mediante la exigencia del cumplimiento de los requisitos legales establecidos para quienes hayan de actuar como agentes de seguridad privados.
Ello está, además, en plena sintonía con lo dispuesto en los arts. 10 (LA LEY 6637/2016) y 23 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo de 27 de abril de 2016 (LA LEY 6637/2016).
Por último, entiende que la excepción a la necesidad del consentimiento del interesado se funda también en el art. 6.2 LOPD.
QUINTO.
La cuestión que presenta interés casacional objetivo.
A).- La cuestión que debemos resolver, tal y como ha sido delimitada por el auto de admisión (LA LEY 10128/2021), consiste en determinar si el art. 15 LSP constituye título habilitante para el acceso directo por la Dirección General de la Policía, sin consentimiento del afectado, a los datos obrantes en el Registro Central de Penados y Rebeldes relativos a los antecedentes penales del personal de seguridad privada, a fines de control del cumplimiento de los requisitos necesarios para la obtención o mantenimiento de la habilitación profesional de dicha actividad.
Debe, no obstante, advertirse inmediatamente que nuestro pronunciamiento no puede ceñirse sólo a dicho precepto legal ya que la sentencia recurrida ha sustentado su fallo desestimatorio no sólo en el citado art. 15 LSP -o más precisamente, en el primer inciso de su apartado primero-, sino también en el art. 11.2.a) y c) LOPD 1999 (LA LEY 4633/1999), así como en el art. 22.2 de dicha ley orgánica, entendiendo que eran todos esos preceptos, y no sólo el citado en primer lugar, los que amparaban la actuación administrativa impugnada.
Esta actuación es una
resolución de la Dirección General de la Policía Nacional por la que se extingue una habilitación profesional como vigilante de seguridad por perder el requisito de carecer de antecedentes penales contemplado en el art. 28.1.e) LSP, en relación con el art. 53.d) RSP, habiéndose tenido conocimiento del antecedente penal tras haberse accedido directamente por un funcionario de la policía nacional al Registro Central de Penados y Rebeldes sin consentimiento del interesado.
La actuación administrativa, como correctamente ha entendido la sentencia impugnada, en la medida en que supone una cesión de datos personales, los antecedentes penales, nos sitúa en el ámbito protegido por el derecho fundamental a la protección de datos de carácter personal (habeas data) reconocido en el art. 18.4 CE (LA LEY 2500/1978), así como en el art. 8, apartado 1, de la Carta de los Derechos Fundamentales de la Unión Europea (LA LEY 12415/2007) y en el art. 16, apartado 1, del Tratado de Funcionamiento de la Unión Europea (LA LEY 6/1957), y se encuentra desarrollado en el derecho interno por la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LA LEY 4633/1999) (LOPD 1999 (LA LEY 4633/1999)), aquí aplicable por razones temporales.
B).- Sobre el contenido sustancial de este derecho fundamental, en lo que aquí nos concierne, los términos de su posible limitación y sobre la configuración misma de los antecedentes penales como dato personal incluido en su círculo de protección, poco cabe añadir a cuanto se razona por la Sala de instancia. Recordaremos, sólo sucintamente tales cuestiones, que no han centrado la discusión entre las partes en esta sede, en la medida en que constituyen el marco necesario de nuestro pronunciamiento.
Y así, los antecedentes penales, si bien no pueden configurarse como datos íntimos ex art. 18.1 CE (LA LEY 2500/1978), constituyen un dato personal protegido por el art. 18.4 CE (LA LEY 2500/1978), su publicidad se encuentra restringida ( art. 136.4 Código Penal (LA LEY 3996/1995)), su tratamiento sólo puede llevarse a cabo bajo supervisión de las autoridades públicas ( art. 10 del Reglamento (UE) 2016/679 (LA LEY 6637/2016), general de protección de datos), son calificados de "datos especialmente protegidos" por el art. 7.5 LOPD 1999 (LA LEY 4633/1999), y de conformidad con el art. 2.3.d) LOPD 1999 (LA LEY 4633/1999), los datos del Registro Central de Penados y Rebeldes se rigen por sus normas específicas y por lo especialmente previsto, en su caso, por dicha ley orgánica, habiendo descartado la sentencia recurrida -en pronunciamiento que compartimos y que no es aquí objeto de debate- que las normas que regulan dicho Registro - Real Decreto 95/2009, de 6 de febrero (LA LEY 1300/2009), por el que se regula el Sistema de registros administrativos de apoyo a la Administración de Justicia, arts. 6 y 16.c)- amparen la cesión de datos sin consentimiento del interesado que aquí se ha producido, cesión que se ha realizado, asimismo, en un ámbito ajeno a la prevención, investigación, detección o enjuiciamiento de infracciones penales o ejecución de sanciones de esta naturaleza al que se refiere la Directiva 2016/680, de 27 de abril (LA LEY 6638/2016).
Ubicada la cuestión, en los términos expuestos, en el ámbito protegido por el art. 18.4 CE (LA LEY 2500/1978), hay que recordar, asimismo, que el derecho fundamental a la protección de datos que en dicho precepto se reconoce confiere a su titular el poder de disposición y control sobre sus datos personales -y no sólo íntimos-, sobre su uso y destino, con el propósito de impedir su tráfico ilícito y abarca, entre otras, la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular, y requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro, el poder oponerse a esa posesión y usos ( SSTC 254/1993 (LA LEY 2282-TC/1993), FJ 5 y 7, y 292/2000, FJ 7). El consentimiento se sitúa, pues, en el núcleo esencial del derecho.
Y centrados en el ámbito de la cesión de datos en el que nos encontramos, aún debemos advertir que el consentimiento para tal cesión constituye una facultad específica que no puede entenderse incluida en el consentimiento prestado para la recogida y tratamiento de los datos personales al que se refiere el art. 6 LOPD 1999 (LA LEY 4633/1999)
. Como explica la STC 292/2000 (LA LEY 11336/2000), FJ 13, "el derecho a consentir la recogida y el tratamiento de los datos personales ( art. 6 LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho fundamental a la protección de tales datos. Y, por tanto,
la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aun cuando puedan ser compatibles con éstos ( art. 4.2 LOPD), supone una nueva posesión y uso que requiere el consentimiento del interesado. Una facultad que sólo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté justificada, sea proporcionada y, además, se establezca por Ley, pues el derecho fundamental a la protección de datos personales no admite otros límites.".
Es, por tanto, necesario el consentimiento específico del interesado para la cesión de sus datos personales a un tercero, aunque cabe la limitación de esta facultad de consentir la cesión de los datos personales a un tercero para su tratamiento con fines distintos de los que ocasionaron su recogida, siempre que se establezca en una ley, que esté justificada para proteger otros bienes o derechos de relevancia constitucional y que sea proporcionada.
A esta posibilidad de limitación de la facultad de consentir la cesión se refiere el art. 11 LOPD 1999 (LA LEY 4633/1999), que, tras establecer en su apartado 1 la regla general del consentimiento del interesado en la cesión de datos ("Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado"), enumera en su apartado 2 los supuestos en los que tal consentimiento no será preciso, entre los que se encuentran, por lo que aquí interesa, los de sus apartados a) y c), que se refieren, respectivamente, a "Cuando la cesión está autorizada en una ley" y "Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique.". Sobre la necesidad de previsión legal para el tratamiento de los datos atinentes a condenas e infracciones penales para fines distintos de los de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales se pronuncia el art. 10 de la actualmente vigente Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LA LEY 19303/2018), aquí no aplicable por razones temporales.
C).- Pues bien,
entiende la sentencia recurrida que aquellos preceptos legales, art. 11.2.a) y c) LOPD 1999 (LA LEY 4633/1999), en relación con los arts.15.1, primer inciso, LSP y 22.2 LOPD 1999 (LA LEY 4633/1999), amparan la cesión sin consentimiento de los antecedentes penales llevada a cabo en el caso de autos.
Dispone el art. 15.1 LSP que "Se autorizan las cesiones de datos que se consideren necesarias para contribuir a la salvaguarda de la seguridad ciudadana, así como el acceso por parte de las Fuerzas y Cuerpos de Seguridad a los sistemas instalados por las empresas de seguridad privada que permitan la comprobación de las informaciones en tiempo real cuando ello sea necesario para la prevención de un peligro real para la seguridad pública o para la represión de infracciones penales.".
Y el art. 22.2 LOPD establece que "La recogida y tratamiento para fines policiales de datos de carácter personal por las Fuerzas y Cuerpos de Seguridad sin consentimiento de las personas afectadas están limitados a aquellos supuestos y categorías de datos que resulten necesarios para la prevención de un peligro real para la seguridad pública o para la represión de infracciones penales, debiendo ser almacenados en ficheros específicos establecidos al efecto, que deberán clasificarse por categorías en función de su grado de fiabilidad.".
Entendemos, sin embargo, que ninguno de estos dos preceptos ampara la cesión inconsentida de los antecedentes penales a la Dirección General de la Policía para controlar el mantenimiento de los requisitos necesarios para conservar la habilitación como vigilante de seguridad.
El primero de estos preceptos, como destaca el recurrente, se refiere a la cesión de datos que opera entre la seguridad privada y las Fuerzas y Cuerpos de Seguridad, y así se desprende de su ubicación sistemática en el Título I de la ley dentro de los preceptos dedicados a la coordinación entre la seguridad privada y las Fuerzas y Cuerpos de Seguridad, abundando en ello la propia Exposición de Motivos en cuyo apartado V se explica: "En el título I se plasma una de las ideas claves que han inspirado la redacción de la ley, como es la coordinación y la colaboración entre los servicios de seguridad privada y las Fuerzas y Cuerpos de Seguridad, con el único objetivo de mejorar la seguridad pública, mediante el intercambio de información siempre con todas las garantías legales,...". Por tanto,
se trata de un precepto que se mueve en un ámbito distinto del analizado, pues lo que pretende es regular los flujos o intercambios de información entre la seguridad privada y las Fuerzas y Cuerpos de Seguridad, pero no aborda ninguna cesión de datos del Registro Central de Penados y Rebeldes a las Fuerzas y Cuerpos de Seguridad ni permite tampoco la comunicación de datos de dicho Registro a las fuerzas policiales para el control de los requisitos de la habilitación de los vigilantes de seguridad.
Y tampoco aborda esta cuestión el segundo de los preceptos transcritos que se refiere a la recogida y tratamiento de datos sin consentimiento del interesado por parte de las Fuerzas y Cuerpos de Seguridad para su acceso a ficheros policiales específicos cuando sean necesarios para la prevención de un peligro real para la seguridad pública o para la represión de las infracciones penales. Tampoco este precepto permite a las Fuerzas y Cuerpos de Seguridad del Estado acceder al Registro Central de Penados y Rebeldes con la finalidad aquí analizada.
D).-
Es el tercero de los preceptos legales citados en la sentencia recurrida, art. 11.2.c) LOPD 1999 (LA LEY 4633/1999), el que entendemos que otorga cobertura a la actuación administrativa impugnada ya que permite prescindir del consentimiento del interesado cuando la cesión de datos personales "responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros" siempre que la comunicación de datos "se limite a la finalidad que la justifique".
Y éste es el supuesto de autos en el que existe una relación jurídica libremente aceptada constituida por la habilitación otorgada por el Ministerio del Interior para poder ejercer como vigilante de seguridad privada ( art. 12.1.c/ LSP) que exige, durante todo el tiempo que se mantenga tal habilitación, como requisito necesario, carecer de antecedentes penales por delito doloso ( art. 28.1.e/ LSP y art. 53.d/ RSP), dato éste cuyo mantenimiento a lo largo de la habilitación debe ser controlado necesariamente por quien la otorga y que obra en un fichero de terceros, como es el Registro Central de Penados y Rebeldes, habiéndose limitado la comunicación de datos a la finalidad que la justifica, comprobar el mantenimiento de aquel requisito y, en su ausencia, privar de tal habilitación.
La proporcionalidad de tal limitación se explica asimismo con toda corrección en la sentencia recurrida.
Y así, su finalidad es constitucionalmente legítima en la medida en que es el Estado el que ostenta el monopolio de la seguridad pública ( arts. 104 (LA LEY 2500/1978) y 149.1.29ª CE (LA LEY 2500/1978)), de forma que dar cabida en el ejercicio de esa función eminentemente pública a particulares impone un imprescindible control e intervención por parte de la Administración (de "intensa intervención" habla la Exposición de Motivos de la LSP) que son a los que responde la exigencia de habilitación para el ejercicio de la función de vigilante de seguridad ( arts. 12.1.c/ y 27 LSP), el requisito para ello de carecer de antecedentes penales por delito doloso ( art. 28.1.e/ LSP y art. 53.d/ RSP), y la necesidad del control de su mantenimiento a lo largo de su vigencia.
El control efectivo de los requisitos necesarios para mantener la habilitación para prestar servicio como vigilante de seguridad, como garantía del correcto desempeño de su función en el ámbito eminentemente público de la seguridad ciudadana, entre los que cobra especial relevancia el de carecer de antecedentes penales, deviene así obligado en el ejercicio por el poder público de su función esencial de garantizar la seguridad de los ciudadanos, en definitiva, de garantizar la convivencia y proteger el libre ejercicio de los derechos y libertades.
Y el acceso al Registro Central de Penados y Rebeldes con esa finalidad resulta, asimismo, imprescindible para controlar este requisito de carecer de antecedentes penales y lograr así la finalidad última que se trata de salvaguardar, que la colaboración de los particulares en el ejercicio de esta función esencialmente pública se desarrolle con todas las garantías legalmente exigidas.
Por tanto, debemos concluir que
el acceso al Registro Central de Penados y Rebeldes por parte de un funcionario de la Policía Nacional en el ejercicio de sus funciones, sin consentimiento del interesado, limitado a la comprobación del mantenimiento de un requisito necesario para la pervivencia de la habilitación para prestar servicios como vigilante de seguridad, carecer de antecedentes penales por delito doloso, está amparado por el art. 11.2.c) LOPD 1999 (LA LEY 4633/1999), en cuanto responde a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implica necesariamente la conexión con aquel fichero de terceros, el Registro Central de Penados y Rebeldes, siendo, por tanto, una cesión legítima de datos personales que se encuentra legalmente prevista, responde a una finalidad constitucionalmente legítima y es proporcionada a la salvaguarda de la misma.
Con los matices que acabamos de realizar, la sentencia recurrida se ajusta a la interpretación expuesta y, por ello, debe ser confirmada con la consiguiente desestimación del recurso de casación.
SEXTO.
Pronunciamiento sobre costas.
No ha lugar a la imposición de las costas de este recurso al no apreciarse temeridad o mala fe en las partes, de manera que, como determina el art. 93.4 LJCA (LA LEY 2689/1998), cada parte abonara las causadas a su instancia y las comunes por mitad.