El Tribunal Supremo admite que el objeto del procedimiento sancionador sustanciado por la Agencia Española de Protección de Datos se aparte de las causas y los hechos en los que se fundan las reclamaciones que dieron origen a su incoación para abarcar otras vinculadas al contenido de dichas reclamaciones.
Motiva la cuestión que, a raíz de varias denuncias de particulares contra la entidad bancaria BBVA, la AEPD decide extender el procedimiento sancionador contra la entidad, investigando el documento general que recoge su política de protección de datos.
La entidad sancionada señala que esta actuación de la AEPD, en la que se desvincula de las reclamaciones formuladas, supone sancionar no por una infracción del RGPD, sino por "una infracción potencial, que no está castigada por las normas de protección de datos".
Pero lo que la Sala valora es que ya desde que se inicia el procedimiento sancionador, la AEPD puso de manifiesto que habría de ser objeto de examen el documento emitido por una entidad bancaria denominado "Declaración de actividad económica y política de protección de datos personales", que por sus ambigüedades y carencias podría albergar determinadas infracciones de la normativa en materia de protección de datos personales, y esta extensión no supone desviación en el objeto del procedimiento sancionador.
Para el Supremo esta actuación tiene cobertura legal porque la Agencia Española de Protección de Datos, en la incoación, tramitación y resolución de un procedimiento sancionador, puede abordar cuestiones fácticas y jurídicas conexas o relacionadas con los hechos y argumentos recogidos en la reclamación que da origen al procedimiento.
Puede, cuando aprecie que las infracciones singulares denunciadas tienen su origen común en el documento o instrumento de alcance general que define la política de la entidad en materia de protección de datos, hacer objeto del procedimiento sancionador a ese documento, y de todo ello debe dar conocimiento al sujeto del expediente, de manera que durante la tramitación del procedimiento pueda formular alegaciones y, en su caso, proponer pruebas, para no provocar su indefensión.
Incluso el Supremo afirma que no solo puede, sino que “debe” hacer extensivo el objeto del procedimiento sancionador a ese documento para que tras examinarlo, pueda detectar sus posibles carencias o deficiencias, y adoptar si proceden, las medidas que resulten necesarias en el seno del propio procedimiento sancionador.