Esmeralda Saracibar, desde Écija, nos comenta que "la sentencia parece venir a amparar el tratamiento de datos personales llevado a cabo por parte del Responsable del tratamiento sin consentimiento del titular en la existencia de un interés legítimo"
El Tribunal de Justicia de la Unión Europea ha hecho pública la sentencia que resuelve las cuestiones prejudiciales planteadas por el Tribunal Supremo sobre la interpretación del artículo 7 f) de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. Esgrime conceptos difíciles de concretar, como “interés legítimo” de quien almacena los datos y “ derechos y libertades fundamentales del interesado”.
![Bandera europea Bandera europea](https://www.legaltoday.com/wp-content/uploads/actualidad-juridica/europa-estrellas.jpg)
El artículo 7 f) de la Directiva establece que los Estados miembros dispondrán que el tratamiento de datos personales sólo pueda efectuarse, entre otros supuestos, si "es necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, siempre que no prevalezca el interés o los derechos y libertades fundamentales del interesado que requieran protección con arreglo al apartado 1 del artículo 1 de la presente Directiva", (en particular, los derechos a la intimidad y a la protección de datos personales, consagrados ahora en los artículos 7 y 8 de la Carta de Derechos Fundamentales de la Unión Europea).
La sentencia del Tribunal de Justicia de la Unión Europea proclama que el artículo 7f) tiene efecto directo. Al mismo tiempo, el TJUE precisa el alcance normativo del precepto, señalando que no admite que las normativas nacionales, en ausencia del consentimiento del interesado, exijan para permitir el tratamiento de datos personales "necesario para la satisfacción de un interés legitimo", además del respeto de los derechos y libertades fundamentales del interesado, que los datos se encuentren siempre en fuentes accesibles al público, "excluyendo así de forma categórica y generalizada todo tipo de tratamiento de datos que no figuren en tales fuentes".
Ello no significa, sin embargo, que la mera invocación de un interés legítimo deba considerarse suficiente para legitimar el tratamiento de datos personales sin el consentimiento del afectad. En los fundamentos de la Sentencia, el propio Tribunal precisa la interpretación que debe darse a dicho artículo, subrayando la necesidad de realizar en cada caso concreto una ponderación entre el interés legítimo de quien va a tratar los datos y los derechos fundamentales de los ciudadanos afectados, con el fin de determinar cuál prevalece atendiendo a las circunstancias concurrentes.
En este sentido, recuerda que el artículo 7 f) de la Directiva "establece dos requisitos acumulativos para que un tratamiento de datos personales sea lícito, a saber, por una parte, que ese tratamiento de datos personales:
1.-sea necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, y, por otra parte,
2.-que no prevalezcan los derechos y libertades fundamentales del interesado."
Acto seguido, el Tribunal advierte que "el segundo de esos requisitos exige una ponderación de los derechos e intereses en conflicto que dependerá, en principio, de las circunstancias concretas del caso particular de que se trate". Y deja claro que en este marco "la persona o institución que efectúe la ponderación deberá tener en cuenta la importancia de los derechos que los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea confieren al interesado", permitiendo que a la hora de adaptar su ordenamiento jurídico a la Directiva 95/46, "los Estados miembros establezcan los principios que deben regir dicha ponderación".
Entre dichos criterios de ponderación, la Sentencia se refiere, en particular, al hecho de que los datos no se encuentren en fuentes accesibles al público, recordando que "a diferencia de los tratamientos de datos que figuran en fuentes accesibles al público, los tratamientos de datos que figuran en fuentes no accesibles al público implican necesariamente que el responsable del tratamiento y, en su caso, el tercero o terceros a quienes se comuniquen los datos dispondrán en lo sucesivo de ciertas informaciones sobre la vida privada del interesado. Esta lesión, más grave, de los derechos del interesado consagrados en los artículos 7 y 8 de la Carta debe ser apreciada en su justo valor, contrapesándola con el interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos."
Práctica en España
A la vista de todo ello, cabe recordar que en la interpretación y la aplicación que hasta el momento se ha venido realizando en España, tanto por la AEPD como los órganos judiciales, ya se estaba llevando a cabo una ponderación en la línea de lo exigido por el artículo 7 f) de la Directiva, atendiendo a criterios diversos, tales como la finalidad del tratamiento de los datos, el marco legal aplicable, -p. ej. la existencia de una ley que ampare intereses legítimos- o circunstancias concurrentes en el caso como, entre otras, la existencia de una relación jurídica, o que los datos figuren o no en fuentes accesibles al público.
En consecuencia, de la Sentencia del TJUE no parece derivarse una alteración sustancial del marco vigente de protección de los datos personales en España ni que el fallo comporte una merma en el grado de protección de los derechos de los ciudadanos, si bien en el futuro será preciso acentuar la ponderación de las circunstancias que concurran en cada supuesto concreto para decidir sobre la legitimidad del tratamiento
En todo caso, los efectos derivados del fallo del Tribunal de Justicia de la Unión Europea deberán ser determinados por el Tribunal Supremo en el pronunciamiento que finalmente adopte en los recursos interpuestos contra el Reglamento de la LOPD, en cuyo seno planteó la cuestión prejudicial ahora resuelta.
Hablamos con el despacho Écija, líder en TIC
Esmeralda Saracibar es asociada senior de Governance,Risk & Compliance en Écija, especialista en temas de privacidad y protección de datos. Hemos preguntado a Esmeralda acerca de esta sentencia del Tribunal de Justicia de la Unión Europea. Nos comenta que "La Sentencia del Tribunal de Justicia de la Unión Europea viene a reafirmar la imposibilidad de que una normativa aprobada por un estado miembro como consecuencia de la transposición directa de la directrices marcadas por una Directiva Europea pueda añadir o imponer nuevas exigencias más allá de los principios o pautas establecidas a nivel europeo, evidenciando que cada estado únicamente podrá precisar o perfilar las condiciones en las que las exigencias europeas se llevan a la práctica a nivel estatal".
Añade Esmeralda Saracíbar que "la sentencia parece venir a amparar el tratamiento de datos personales llevado a cabo por parte del Responsable del tratamiento sin consentimiento del titular en la existencia de un "interés legítimo" sin necesidad de que dichos datos se hayan publicado en fuentes accesibles al público. De lo anterior se deriva que, en cada caso concreto, se habrá de valorar la primacía de los derechos fundamentales del afectado sobre un concepto jurídico tan indeterminado como es el "interés legítimo" alegado por quien realice el tratamiento".
Por ello se justifica que se haya pronunciado la Agencia Española de Protección de Datos porque, tal y como matiza la sociada senior de Governance, Risk & Compliance en Écija "la Agencia Española de Protección de Datos ha venido a recordar que con carácter adicional al "interés legítimo" se vienen considerando otros criterios de ponderación ante supuestos de intereses comparados, como son, la finalidad que justifican el tratamiento, y/o la existencia de una ley que ampare, en su caso, el referido interés legítimo".
¿Qué se puede hacer, por lo tanto, desde los despachos? "En base a lo anterior, -nos recomienda Esmeralda Saracíbar- las consecuencias que puede conllevar este fallo serán, de manera directa, la posibilidad de invocar la Directiva como normativa inmediatamente aplicable a quien lo solicite en un procedimiento civil o administrativo y, de manera indirecta, la atención a la intensificación o acentuación que sobre la interpretación de los criterios de ponderación realice, en adelante, la Agencia Española de Protección de Datos y, en su caso, la Audiencia Nacional para decidir sobre la legitimidad del tratamiento".