Expediente sancionador frente a 4Finance

ANTECEDENTES

1. Según se desprende de la documentación obrante en el expediente, el 31 de julio de 2024 la asociación reclamante solicitó a la Agencia Española de Protección de Datos (AEPD), al amparo de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno (en adelante, LTAIBG), la siguiente información:

Me dirijo a ustedes para solicitar copia del expediente sancionador EXP202304633, iniciado frente a la entidad 4FINANCE SPAIN FINANCIAL SERVICES, S.A.U (4Finance). ASUFIN es una Asociación de consumidores y usuarios y que, como tal, tiene encomendada legalmente la defensa de los intereses generales de los consumidores (…) Dentro de su objeto social se encuentra la defensa del derecho fundamental a la protección de datos. ASUFÍN ha tenido conocimiento de una brecha de seguridad que afectó a datos privados de consumidores custodiados por 4finance, y tiene intención de iniciar un procedimiento judicial colectivo frente a dicha entidad, en defensa de los intereses de los consumidores afectados. La información solicitada es necesaria para que ASUFIN pueda iniciar las acciones judiciales oportunas contra la entidad sancionada, y, en concreto, para poder acreditar la existencia de la brecha y la reacción de 4Finance ante esta. (…)solicitamos:

1. Copia íntegra del expediente sancionador: Incluyendo todas las resoluciones, informes, documentos y comunicaciones relacionadas con el mismo (y excluyendo la información afectada por los límites establecidos en el artículo 14 Ley 19/2013 de 9 de diciembre).
2. Documentación adicional: Cualquier otro documento que obre en el expediente y que pueda ser relevante para las acciones judiciales que esta Asociación pretende iniciar. Les agradeceríamos que esta información nos sea proporcionada a la mayor brevedad posible, de forma anonimizada y en formato digital, a través de la dirección de correo electrónico (…).

2. Mediante resolución de 7 de octubre de 2024, la AEPD responde lo siguiente:

(…)al valorarse que la información solicitada podría afectar a intereses y derechos de terceros, de conformidad con lo dispuesto en el artículo 19.3 de la LTAIBG, con fecha 7 de agosto de 2024, se concedió un plazo de 15 días a los terceros afectados, para formular alegaciones, durante el cual quedó suspendido el plazo para dictar resolución. (…) Con fecha 20 de agosto de 2024, se reciben las alegaciones de uno de los terceros afectados, en las cuales se opone al acceso solicitado aduciendo la existencia de datos de carácter personal en la información requerida, así como los límites recogidos en el artículo 14.1. de la LTAIBG, letras e), g), h) y k). Analizadas las alegaciones recibidas, la AEPD aprecia la posible concurrencia del límite al derecho de acceso a la información previsto en el artículo 14.1.e) de la LTAIBG: cuando suponga un perjuicio para la “prevención, investigación y sanción de los ilícitos penales, administrativos o disciplinarios”, por lo que, con fecha 6 de septiembre de 2024, se requiere información adicional al tercero afectado, en concreto sobre la existencia de un procedimiento judicial en curso, que podría verse afectado por la divulgación del expediente solicitado. En fecha de 13 de septiembre de 2024, se recibe la acreditación de la existencia de un procedimiento judicial, relacionado con el expediente solicitado, que se encuentra actualmente en fase de instrucción, sin que el proceso judicial haya concluido. (…)Facilitar a terceros la información de un expediente, tramitado y resuelto por la AEPD, pero que está directamente relacionado con una serie de hechos que están siendo investigados en un procedimiento judicial en curso, puede implicar un perjuicio evidente para la investigación y sanción de un ilícito penal en el ámbito jurisdiccional que se vería afectada por la divulgación de la información fuera del proceso judicial. (…)El punto 2 del artículo 14 de la LTAIBG dispone que “La aplicación de los límites será justificada y proporcionada a su objeto y finalidad de protección y atenderá a las circunstancias del caso concreto, especialmente a la concurrencia de un interés público o privado superior que justifique el acceso”. En este caso, no se aprecia un interés público o privado superior al de la acción judicial, pues, además, en ningún caso la aplicación del límite previsto en el punto 1.e) del citado artículo impide al solicitante acudir a los Tribunales, razón en la que se justifica su solicitud de acceso a la información pública. En consecuencia, la acción de la justicia sin interferencias ha de prevalecer sobre el interés privado alegado que, como se ha señalado, no se ve afectado por la aplicación del referido límite. Con base en todo lo anterior (…) Se deniega el acceso a la información solicitada en virtud de lo dispuesto en el artículo 14.1.e) de la LTAIBG.

3. Mediante escrito registrado el 7 de noviembre de 2024, el solicitante interpuso una reclamación ante el Consejo de Transparencia y Buen Gobierno (el Consejo) en aplicación del artículo 24 de la LTAIBG en la que pone de manifiesto que no considera aplicable el límite establecido en el artículo 14.1.e) LTAIBG y que, «incluso aunque resultara aplicable, no jusficaría la denegación íntegra de la entrega de la información solicitada». Se alega para fundamentar estas afirmaciones que ASUFIN es una Asociación de consumidores y usuarios que tiene «encomendada legalmente la defensa de los intereses generales de los consumidores» y que la información solicitada «resulta necesaria para que ASUFIN pueda iniciar las acciones judiciales oportunas contra 4Finance, en defensa de los intereses de los consumidores afectados por la brecha de seguridad de datos objeto del expediente». Señala también que el hecho de que ASUFIN acceda al expediente «no puede afectar ni menoscabar en modo alguno ningún hipotético procedimiento penal» y que, si existiera alguna información concreta que así lo hiciera sería esta la que no debe facilitarse, por lo que no estaría justificado la denegación de toda la información. Por último, en la reclamación de ASUFIN, se señala la «vulneración de lo establecido en el art 53.1 a) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, que establece el derecho de los interesados a obtener copia de todos los documentos que formen parte del expediente administrativo» y, además, que «la falta de traslado a ASUFIN de las alegaciones de 4Finance, conforme al art 47.1 e) de la misma ley 39/2015, determina la nulidad de pleno derecho de la resolución, por incurrir en un defecto procedimental que ha generado indefensión a esta parte».

4. Con fecha 7 de noviembre de 2024, el Consejo trasladó la reclamación a la AEPD solicitando la remisión de la copia completa del expediente derivado de la solicitud de acceso a la información y el informe con las alegaciones que considere pertinentes. El 27 de noviembre de 2024 tuvo entrada en este Consejo, junto al expediente, escrito en el que se señala lo siguiente:

(…)de conformidad con el artículo 50 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, todas las resoluciones sancionadoras se encuentran disponibles en la Página Web de la AEPD. Se puede consultar la resolución del citado procedimiento mediante el siguiente enlace: https://www.aepd.es/documento/ps-00424-2023.pdf En dicha resolución se contienen, de manera detallada, todos los detalles relativos a la brecha de seguridad, su alcance, las manifestaciones de la parte reclamada y las conclusiones alcanzadas por la AEPD. Por tanto, tal como se pone de manifiesto en la resolución reclamada, la denegación del acceso a la información no impide a la entidad solicitante, en ningún caso, acudir a los Tribunales a ejercitar las acciones judiciales que estime convenientes, razón en la que se justifica su solicitud de acceso a la información pública. Siendo, en su caso, el tribunal competente, quien deba, si lo estima oportuno, solicitar esta información a la AEPD en el momento procesal que corresponda. Respecto a la afirmación de que esta denegación de acceso ha supuesto un menoscabo injustificado de su derecho a acceder a información pública; esta Agencia quiere señalar que el derecho de acceso a la información pública no es un derecho absoluto, ya que la propia ley regula los límites al derecho de acceso en sus artículos 14 y 15. De conformidad con el Criterio Interpretativo del CTBG CI/02/2015, de 24 de junio, la AEPD no solo ha tenido en cuenta que la información solicitada supondría el perjuicio descrito en el artículo 14.1.e) de la LTAIBG (test del daño) sino que, además, ha analizado si concurría un interés público o privado superior que justificase el acceso (ponderación de intereses en juego). Tras dicho análisis, no se ha podido determinar la existencia de ningún interés superior que pueda justificar la concesión, dado que la información solicitada no guarda relación con el conocimiento de la actuación pública y la rendición de cuentas por las decisiones adoptadas por los Organismos Públicos, lo que constituye la ratio iuris de la LTAIBG tal y como se predica en su Preámbulo. No se ha justificado la existencia de un interés superior al de garantizar la acción de la justicia sin interferencias, que se viera conculcado por la denegación. En segundo lugar, (…) la reclamante alega que “el límite del art. 14.1 e) no impide la entrega de la documentación que no afecte al procedimiento penal” (…) En efecto, el artículo 16 de la LTAIBG (…) contempla la posibilidad de un acceso parcial, siempre y cuando, esto no suponga facilitar una “información distorsionada o que carezca de sentido”. Tras el análisis de la información solicitada, esta Agencia ha estimado que tras eliminar del expediente la información objeto de limitación por el artículo 14.1.e) (información técnica detallada sobre la brecha, su origen y consecuencias) y por el 15 de la LTAIBG (datos personales de los reclamantes y afectados que incluyen, además de datos meramente identificativos, información económica y crediticia), la información resultante sería incoherente e inconexa y, por tanto, carente de utilidad. En último lugar, la reclamante alega “Defectos procedimentales que determinan la nulidad de la resolución de la AEPD” (…) En cuanto a la supuesta vulneración del derecho recogido en el artículo 53.1.a) de la Ley 39/2015, de 1 de octubre, la AEPD señala que no consta que la reclamante haya solicitado, en calidad de interesada, acceso al expediente 00001-00094728, correspondiente al procedimiento de solicitud de acceso a la información pública. Por tanto, no cabe hablar de vulneración de un derecho cuyo ejercicio no se ha solicitado. En cuanto a la nulidad de la resolución, el artículo 47.1.e) de la Ley 39/2015, de 1 de octubre, establece que son nulos de pleno derecho los actos de las Administraciones Públicas “dictados prescindiendo total y absolutamente del procedimiento legalmente establecido o de las normas que contienen las reglas esenciales para la formación de la voluntad de los órganos colegiados”. Esta causa no es aplicable a la resolución que nos ocupa, que ha sido dictada de conformidad con el procedimiento legalmente establecido para la tramitación de las solicitudes de acceso a la información pública, recogido en el artículo 12 y siguientes de la LTAIBG. La normativa reguladora del procedimiento de acceso a la información pública no establece que las alegaciones presentadas por el tercero que pueda verse afectado por el acceso a información pública deban ser trasladadas al solicitante. En cuanto a la afirmación de que “la decisión denegatoria de la AEPD descansa exclusivamente en dichas alegaciones”, no se ajusta a la realidad.Esta Agencia, tras recibir las alegaciones del tercero, de fecha 20 de agosto de 2024, en la que se ponía en conocimiento de esta Agencia la existencia del mencionado procedimiento judicial; se le requirió información adicional, a lo que el tercero respondió aportando los siguientes documentos:

• Escrito de personación en el que se designa el Letrado y la Procuradora para las Diligencias Previas (…).
• Diligencia de ordenación en la que la Procuradora, en representación de 4FINANCE, se mostró como parte en el procedimiento reclamando las acciones civiles y penales que pudieran corresponder a 4FINANCE.
• Certificado del Letrado designado en el procedimiento de Diligencias Previas Nº 235/2023 que acredita que, actualmente, se encuentra sub iudice, todavía en fase de instrucción, sin que la investigación haya concluido.

Asimismo, se contactó desde la UIT de la AEPD con el Juzgado de Instrucción N.º 5 de Algeciras para corroborar que el citado procedimiento continuaba en fase de instrucción. En definitiva,

• La denegación de acceso no ha impedido ni impide a ASUFIN ejercitar las acciones judiciales que estime oportunas en defensa de sus asociados.
• La ahora reclamante alega un interés privado que no puede reconducirse, a juicio de esta Agencia, a ninguna de las finalidades de la LTAIBG y que, además de no verse limitado por la denegación, en ningún caso, es superior a las garantías necesarias en el desarrollo de un procedimiento judicial.
• No se ha producido ninguna indefensión jurídica, ni se ha vulnerado ninguno de los derechos que asisten a la reclamante, ni como solicitante de información pública, ni como interesada en dicho procedimiento de solicitud de información. La AEPD ha tramitado el procedimiento siguiendo, escrupulosamente, el procedimiento regulado en la LTAIBG, por lo que no se ha incurrido en causa de nulidad.
• No es objeto del procedimiento de acceso a la información pública proporcionar información para fundamentar el inicio de acciones judiciales privadas. Para ello, el ordenamiento jurídico señala otras vías.

– Como documentación adicional, no facilitada al dictarse la resolución, se aportan las alegaciones formuladas por 4FINANCE con motivo de la presentación de la solicitud de acceso a la información. Su contenido es el siguiente:

1. Primera. En primer lugar, que el EXP202304633 contiene datos de carácter personal e información sensible cuyos titulares son los clientes de 4FINANCE afectados por la brecha de seguridad notificada a la División de Innovación Tecnológica de la AEPD el pasado 17 de febrero de 2023. En concreto, en el EXP202304633 pueden encontrarse las siguientes categorías de datos personales:
   • Datos identificativos y de contacto (nombres, apellidos, DNI/NIE, teléfono)
   • Datos sobre la situación financiera y personal (nº de cuenta bancaria, información sobre préstamos concedidos)
   • Número de cliente.

   A este respecto, el artículo 12 de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno (en adelante, “LTAIBG”), establece que el acceso a información pública deberá concederse en los términos previstos en el artículo 105.b) de la Constitución Española, es decir, sin afectar a la intimidad de las personas. Asimismo, sobre esta primera alegación y atendiendo a lo establecido en el artículo 15 LTAIBG, no nos encontramos ante datos meramente identificativos relacionados con la actividad de la AEPD, sino que la información de carácter personal recogida a lo largo del EXP202304633 es cuantiosa, relativa a diversos afectados por la brecha de seguridad y, en su conjunto, tiene la consideración de sensible (sobre todo, en lo relativo a la información bancaria/financiera de los interesados), tal y como reconoció expresamente la AEPD en su Resolución de Terminación del Procedimiento Sancionador (PS-00424-2023).

2. Segunda.- Que el EXP202304633 versa sobre la brecha de seguridad sufrida por 4FINANCE y que siguiendo los criterios establecidos previamente por la AEPD en peticiones de similar naturaleza, se considera que concurren diversas limitaciones de las recogidas en el artículo 14 LTAIBG como son la existencia de posibles perjuicios a los intereses económicos y comerciales del autor de la notificación, en tanto que hacer pública la información sobre las brechas de seguridad podría afectar negativamente a su imagen en el mercado (14.1h LTAIBG); posibles perjuicios a la investigación de ilícitos administrativos o penales por parte de la AEPD u otras autoridades competentes (14.1e LTAIBG); así como posibles perjuicios a las funciones de vigilancia, inspección y control ejercidas por la AEPD u otras autoridades competentes (14.1g LTAIBG).
3. Tercera. Que, además de lo anteriormente indicado, la información obrante en el EXP202304633 contiene información interna de la entidad, como lo son los análisis de riesgos y la evaluación de impacto relativa a la protección de datos efectuados en relación con la actividad de tratamiento afectada, así como las medidas de seguridad, principalmente de índole técnica, implementadas para mitigar los riesgos detectados. Así las cosas, dado que el acceso público a esta información podría suponer la exposición de los sistemas de 4FINANCE destinados a combatir potenciales ataques de ciberdelincuentes (p. ej. sistemas de monitoreo Splunk SIEM, contenido de la política de contraseñas de la organización), su acceso por parte de terceros podría traer como consecuencia nuevos ataques a la entidad. Cabe destacar que el precitado EXP202304633 también contiene información referente a la metodología empleada para el análisis de incidentes de seguridad, así como para la respuesta a los mismos, utilizado para la toma de decisiones de la organización. Sobre este punto, resulta necesario destacar que el sector financiero fue de los más atacados por ciberdelincuentes durante el año 2023. Así, de acuerdo con datos del Instituto Nacional de Ciberseguridad, el 25,42% de los incidentes de seguridad ocurridos en 2023 afectaron, entre otros, al sector financiero. Si bien es cierto que 4FINANCE no pertenece como tal a este sector, se encuentra íntimamente vinculado con el mismo, ya que los microcréditos no dejan de ser una herramienta financiera y, por tanto, igualmente atractiva para los ciberdelincuentes. Por ello, se considera que, en relación con esta concreta alegación, debe tenerse en cuenta que el acceso al expediente solicitado supondría la exposición de los sistemas de información y medidas de seguridad de 4FINANCE a una situación de riesgo, al contener información interna de la organización (políticas y procedimientos, análisis de riesgos y evaluaciones de impacto, medidas de seguridad adoptadas) de carácter estratégico y vital para garantizar la seguridad de sus actividades. Así, se considera un riesgo para 4FINANCE el acceso público a esta información, así como para los propios interesados y clientes de la entidad, de acuerdo con el criterio establecido por la AEPD en su Informe 34/2023.
4. Cuarta. Que, adicionalmente, el expediente solicitado recoge de forma detallada determinados procesos de negocio de 4FINANCE (Proceso de Onboarding de Clientes, proceso de concesión de segundos y sucesivos préstamos y características de la plataforma de gestión de clientes y préstamos propia denominada COLA) por lo que el acceso al EXP202304633 a un tercero supone un perjuicio económico y comercial considerable para 4FINANCE. Esta información permitiría replicar el modelo de negocio o procesos internos diseñados por la entidad, así como conocer decisiones estratégicas de 4FINANCE, causando así un perjuicio a sus intereses y una pérdida de determinadas ventajas competitivas respecto de su competencia o terceros. Por este motivo, se alega adicionalmente la concurrencia de los límites mencionados en los apartados 14.1h) “intereses económicos y comerciales” y 14.1j) “el secreto profesional y la propiedad intelectual e industrial”.
5. Quinta. Con respecto a las alegaciones precedentes y en relación con el contenido de la información obrante en el EXP202304633 se considera concurrente también el límite descrito en el apartado 14.1k LTAIBG en tanto que la información aportada por 4FINANCE durante la tramitación del citado expediente es carácter estrictamente confidencial. Asimismo, cabe poner de manifiesto que el solicitante no ha motivado su solicitud ni justificado un interés legítimo privado superior que deba ser objeto de ponderación y que pueda desvirtuar la necesidad de proteger la confidencialidad de la información solicitada. Por ello, si bien entendemos que, en virtud del artículo 18 de la Ley de transparencia, acceso a la información pública y buen gobierno, los solicitantes no están obligados a motivar su solicitud de acceso, no consta para 4FINANCE la existencia de interés legítimo alguno que justifique el acceso a información tan sensible para el funcionamiento de la organización, como lo son aquellos que forman parte del EXP202304633.
6. Sexta. Finalmente, tal y como se ha alegado previamente a lo largo del presente escrito, cabe resaltar que la brecha de seguridad sufrida por 4FINANCE derivó en una denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado (Diligencias Previas 235/2023, Juzgado de Instrucción N.º 5 de Algeciras), tal y como se aportó a la AEPD durante la tramitación del EXP202304633. En relación con la investigación policial, este procedimiento todavía no ha concluido, por lo que el acceso a esta información podría perjudicar el curso de las investigaciones o funciones preventivas realizada por las Fuerzas y Cuerpos de Seguridad del Estado, de acuerdo con los límites recogidos en el art.14.1e) y 14.1k) LTAIBG.

5. El 28 de noviembre de 2024, se concedió audiencia a la asociación reclamante para que presentase las alegaciones que estimara pertinentes; sin que, habiendo comparecido a la notificación, haya presentado observación alguna.

FUNDAMENTOS JURÍDICOS

1. De conformidad con lo dispuesto en el artículo 38.2.c) de la LTAIBG y en el artículo 13.2.d) del Real Decreto 615/2024, de 2 de julio, por el que se aprueba el Estatuto del Consejo de Transparencia y Buen Gobierno, A.A.I., el presidente de esta Autoridad Administrativa Independiente es competente para conocer de las reclamaciones que, en aplicación del artículo 24 de la LTAIBG, se presenten frente a las resoluciones expresas o presuntas recaídas en materia de acceso a la información.

2. La LTAIBG reconoce en su artículo 12 el derecho de todas las personas a acceder a la información pública, entendiendo por tal, según dispone en el artículo 13, «los contenidos o documentos, cualquiera que sea su formato o soporte, que obren en poder de alguno de los sujetos incluidos en el ámbito de aplicación de este título y que hayan sido elaborados o adquiridos en el ejercicio de sus funciones». De este modo, la LTAIBG delimita el ámbito material del derecho a partir de un concepto amplio de información, que abarca tanto documentos como contenidos específicos y se extiende a todo tipo de “formato o soporte”. Al mismo tiempo, acota su alcance, exigiendo la concurrencia de dos requisitos que determinan la naturaleza “pública” de las informaciones: (a) que se encuentren “en poder” de alguno de los sujetos obligados, y (b) que hayan sido elaboradas u obtenidas “en el ejercicio de sus funciones”. Cuando se dan estos presupuestos, el órgano competente debe conceder el acceso a la información solicitada, salvo que justifique de manera clara y suficiente la concurrencia de una causa de inadmisión o la aplicación de un límite legal.

3. La presente reclamación trae causa de una solicitud de una asociación de consumidores y usuarios, formulada en los términos que figuran en los antecedentes, en la que se pide el acceso a copia de un expediente sancionador iniciado frente a una entidad de servicios financieros. La AEPD deniega el acceso a la información solicitada en virtud de lo dispuesto en el artículo 14.1.e) LTAIBG El límite de acceso que se aplica con el fin de evitar perjuicio a «la prevención, investigación y sanción de los ilícitos penales, administrativos o disciplinarios». En la reclamación, se indica que no es aplicable el citado límite y que, en todo caso, no debería afectar a toda la documentación. Asimismo, se señalan defectos procedimentales que, a juicio de la asociación reclamante, determinan la nulidad de la resolución. Durante la sustanciación del procedimiento, en el trámite de alegaciones, la AEPD facilita el enlace para acceder a la resolución de terminación del procedimiento del expediente EXP202304633 por pago voluntario, así como a las alegaciones de 4Finance, que no habían sido proporcionadas junto a la resolución de la que trae causa esta reclamación y que era el motivo alegado por ASUFIN para fundamentar que se había incurrido en un defecto procedimental que había generado su indefensión.

4. Sentado lo anterior, no puede desconocerse que, con posterioridad a la interposición de la reclamación, la AEPD, que había denegado todo el acceso con invocación del límite previsto en el artículo 14.1.e) LTAIBG, ha facilitado la resolución dictada en el procedimiento sancionador por la que se daba por finalizado el mismo como consecuencia del pago anticipado por parte de 4Finance de la sanción propuesta por la AEPD. La resolución de terminación del procedimiento sancionador incluye todos los detalles relativos a la brecha de seguridad, su alcance, las manifestaciones de la parte reclamada y las conclusiones alcanzadas por la AEPD, así como la indicación de las reclamaciones que se han presentado por parte de las personas afectadas. Se informa también de que la parte reclamada ha procedido al pago de la sanción, señalando su cuantía, y que el pago implica el reconocimiento de su responsabilidad, y «conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio». Debe entenderse por tanto que, si bien no se le ha proporcionado a la asociación el expediente completo, sí se le ha facilitado el enlace a la resolución de terminación del mismo en la que, de manera amplia y detallada, se compila la información de toda la documentación del expediente no afectada por el límite invocado, sin que la asociación reclamante haya formulado objeción alguna en el trámite de audiencia que le ha sido concedido.

5. En cualquier caso, a mayor abundamiento, si bien el expediente sancionador de la AEPD había finalizado, lo que llevaría a cuestionar la aplicación del límite previsto en el artículo 14.1.e) LTAIBG, lo cierto es que se ha acreditado la existencia de un procedimiento penal en curso; en concreto, en la fase de instrucción. Desde esta perspectiva, y teniendo en cuenta que el bien jurídico protegido con el límite del artículo 14.1.e) LTAIBG —como se ha señalado, entre otras, resoluciones R CTBG 448/2023, de 6 de junio y R CTBG 454/2023, de 9 de junio—,es la correcta tramitación y desarrollo de los procedimientos de investigación y sanción de carácter penal, administrativo o disciplinario (principalmente mientras esté siendo tramitados) de tal forma que la investigación (y, en su caso, la correcta sanción de las infracciones o ilícitos cuya comisión quede acreditada) no se vea impedida por la divulgación de información, entiende este Consejo que la aplicación de la restricción al acceso ha de calificarse de razonable. Con la entrega, aun tardía, de la resolución de la AEPD se mantiene el equilibrio entre el derecho de acceso a la información y el bien jurídico de asegurar el buen fin de todos los actos de investigación practicados en la fase de instrucción de un procedimiento penal, en este caso. Y ello en la misma línea que la previsión contenida en el artículo 3.1.c) del Convenio del Consejo de Europa sobre acceso a los documentos públicos, vigente en España desde el 1 de enero de 2024, que prevé como límite al acceso «la protección de la prevención, la investigación y el procesamiento de actividades penales» a fin de evitar que el acceso a la información pueda ser perjudicial para las investigaciones, conducir a la destrucción de pruebas o a la sustracción de los delincuentes de la acción de la justicia. Resulta, además, relevante el elemento temporal pues, en la medida en que se estén llevando a cabo tales diligencias de investigación en el momento en que se solicita el acceso existe un riesgo cierto de que tales diligencias se entorpezcan o se frustren. El procedimiento judicial queda acreditado por la documentación que aporta 4Finance a la AEPD en el trámite de alegaciones que le es concedido en virtud de lo dispuesto en el artículo 19.3 LTAIBG. Entre esa documentación figura la documentación que certifica que el Juzgado de Instrucción Nº 5 de Algeciras incoó diligencias previas por unos hechos indiciariamente constitutivos de varios delitos de estafa presuntamente cometidos por una organización criminal a escala nacional con múltiples perjudicados, entre ellos 4FINANCE, y que, actualmente, «dicho proceso penal se encuentra sub iudice, todavía en fase de instrucción, sin que la investigación haya concluido».

5. En consecuencia, de acuerdo con lo expuesto, dado que la AEPD ha facilitado acceso parcial a la documentación requerida sobre el expediente sancionador solicitado, así como las alegaciones facilitadas por la sociedad de servicios financieros que habían sido requeridas en la reclamación, sin que la asociación reclamante haya planteado objeción alguna, procede estimar por motivos formales la reclamación al no haberse respetado el derecho de la reclamante a acceder a la información en el plazo máximo legalmente establecido, habiendo sido necesaria la interposición de una reclamación ante este Consejo para ver plenamente reconocido su derecho.

RESOLUCIÓN

En atención a los antecedentes y fundamentos jurídicos descritos, procede ESTIMAR por motivos formales la reclamación interpuesta frente a la resolución de la AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS.

De acuerdo con el artículo 23.1, de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, la reclamación prevista en el artículo 24 de la misma tiene la consideración de sustitutiva de los recursos administrativos, de conformidad con lo dispuesto en el artículo 112.2 de la Ley 39/2015, de 1 de octubre, de Procedimiento Administrativo Común de las Administraciones Públicas.

Contra la presente resolución, que pone fin a la vía administrativa, se podrá interponer recurso contencioso-administrativo, en el plazo de dos meses, directamente ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, de conformidad con lo previsto en el apartado quinto de la Disposición adicional cuarta de la Ley 29/1998, de 13 de julio, Reguladora de la Jurisdicción Contencioso-administrativa.

EL PRESIDENTE DEL CTBG
Fdo.: José Luis Rodríguez Álvarez