Edición provisional
CONCLUSIONES DEL ABOGADO GENERAL
SR. RIMVYDAS NORKUS
presentadas el 16 de abril de 2026 (1)
Asunto C‑205/25
Joachim Lindenberg
contra
Bayerisches Landesamt für Datenschutzaufsicht
[Petición de decisión prejudicial planteada por el Bayerisches Verwaltungsgericht Ansbach (Tribunal de lo Contencioso‑Administrativo de Ansbach, Baviera, Alemania)]
« Procedimiento prejudicial — Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Artículo 15 — Solicitud de acceso del interesado a sus datos personales — Artículo 77 — Datos contenidos en el expediente de una autoridad de control que interviene en un procedimiento de reclamación — Artículo 4, punto 7 — Concepto de “responsable del tratamiento” — Artículo 23 — Limitaciones al derecho de acceso — Normativa nacional que excluye todo acceso al expediente »
I.      Introducción
1.        La presente petición de decisión prejudicial, planteada por el Bayerisches Verwaltungsgericht Ansbach (Tribunal de lo Contencioso‑Administrativo de Ansbach, Baviera, Alemania) con arreglo al artículo 267 TFUE, tiene por objeto la interpretación de los artículos 4, puntos 7 y 21, 15, 23 y 77 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (2) (en lo sucesivo, «RGPD»).
2.        Esta petición de decisión prejudicial se he planteado en el contexto de un litigio entre el Sr. Joachim Lindenberg, periodista especializado en la protección de datos, y el Bayerisches Landesamt für Datenschutzaufsicht (Oficina de Supervisión en Materia de Protección de Datos del Estado Federado de Baviera, Alemania; en lo sucesivo, «Landesamt»), relativo a la negativa de dicha oficina a concederle, con arreglo al artículo 15 del RGPD, el acceso completo a su expediente en un procedimiento iniciado a raíz de una reclamación que había presentado contra un tercero. El Landesamt justificó su negativa invocando una disposición bávara que excluye el acceso del público a los expedientes de las autoridades de control. A raíz del recurso interpuesto por el Sr. Lindenberg, la oficina finalmente le dio acceso electrónico al expediente, sin reconocer, sin embargo, ningún error jurídico, mientras que el demandante sigue solicitando, en su recurso ante ella, que se declare la ilegalidad de la resolución denegatoria inicial. Al considerar que la resolución del litigio requiere una interpretación de las disposiciones pertinentes del RGPD, así como un examen de la conformidad de la legislación bávara con el Derecho de la Unión, el órgano jurisdiccional remitente decidió suspender el procedimiento y plantear al Tribunal de Justicia dos cuestiones prejudiciales.
3.        El Tribunal de Justicia habrá de pronunciarse sobre la cuestión de si, en un procedimiento de reclamación incoado en virtud del artículo 77 del RGPD, puede considerarse a una autoridad de control en materia de protección de datos «responsable del tratamiento» en el sentido del artículo 4, punto 7, del RGPD y en qué medida está obligada a cumplir las obligaciones en materia de acceso establecidas en el artículo 15 del RGPD. En particular, se solicita al Tribunal de Justicia que examine si el Derecho de la Unión se opone a una normativa nacional que excluye a los interesados de cualquier derecho de acceso al expediente. Esta apreciación deberá realizarse a la luz del artículo 23 del RGPD, que autoriza, por determinadas razones de interés general, a restringir las obligaciones en materia de acceso establecidas en dicho Reglamento, y del artículo 8, apartado 2, de la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «Carta»), que reconoce a toda persona el derecho a acceder a los datos recogidos que le conciernan. A este respecto, el Tribunal de Justicia habrá de sopesar, por una parte, la exigencia de transparencia de la acción administrativa y, por otra, la necesidad de garantizar la eficacia de las investigaciones en materia de protección de datos.
II.    Marco jurídico
A.      Derecho de la Unión
4.        En el presente asunto son pertinentes los artículos 8 y 52 de la Carta, el artículo 16 TFUE, así como los artículos 4, puntos 1, 2, 7 y 9, 5, 15, 23, 51, 57, 58 y 77 del RGPD.
B.      Derecho alemán
5.        En virtud del artículo 18 de la Bayerisches Datenschutzgesetz (Ley Bávara de Protección de Datos) (en lo sucesivo, «BayDSG»), el Landesamt es la autoridad de control para organismos no públicos.
6.        El artículo 20 de la BayDSG establece lo siguiente:
«(1)      Cualquier persona puede recurrir a las autoridades de control alegando que se han vulnerado sus derechos en el tratamiento de sus datos personales. Las actuaciones ante las autoridades de control no deben suponer ninguna desventaja para el interesado.
(2)      No existe un derecho de acceso o consulta respecto de los expedientes y archivos de las autoridades de control.»
7.        La exposición de motivos de la Ley indica, en lo relativa al artículo 20, apartado 2, de la BayDSG, que esta disposición se aplica siempre y excluye por completo un derecho de acceso con arreglo al artículo 15 del RGPD en virtud de la legislación nacional si se hace valer frente al Landesamt con respecto a sus expedientes.
III. Hechos que dieron lugar al litigio principal, procedimiento principal y cuestiones prejudiciales
8.        El Sr. Lindenberg es periodista y dirige un blog que trata, entre otras cuestiones, la protección de datos. Desde 2021, ha iniciado varios procedimientos de reclamación ante el Landesamt.
9.        A raíz de una reclamación en materia de protección de datos presentada por el demandante el 13 de mayo de 2022, la oficina estatal inició un procedimiento de control contra un tercero. Mediante correo electrónico de 11 de octubre de 2022, el Landesamt informó al demandante de que había detectado infracciones a la protección de datos por parte de la persona contra la que se dirigía la reclamación. Añadía que, tras la expiración del plazo concedido para subsanar dichas infracciones, la persona objeto de la reclamación sería sancionada si cometía nuevas infracciones. Mediante correo electrónico del mismo día, el Sr. Lindenberg solicitó información adicional sobre las medidas adoptadas por el Landesamt. Al no haber respondido este a su solicitud, el Sr. Lindenberg reclamó, mediante correo electrónico de 11 de octubre de 2022, información completa en virtud del artículo 15, apartados 1 y 3, del RGPD.
10.      Mediante correo electrónico y resolución de 20 de octubre de 2022, el Landesamt denegó la solicitud de acceso del demandante formulada al amparo del artículo 15, apartados 1 y 3, del RGPD. Motivó su negativa basándose en que la disposición expresa del artículo 20, apartado 2, de la BayDSG excluía el derecho de acceso o consulta con respecto a los expedientes y archivos de las autoridades de control.
11.      El Sr. Lindenberg interpuso recurso contra esta resolución ante el Bayerisches Verwaltungsgericht Ansbach (Tribunal de lo Contencioso‑Administrativo de Ansbach, Baviera), solicitando que se ordenara al Landesamt que le facilitara una copia de todos los datos que constaran en el expediente del procedimiento de reclamación iniciado el 13 de mayo de 2022.
12.      El 23 de febrero de 2024, el Landesamt concedió el acceso electrónico al expediente del procedimiento de control incoado a raíz de la reclamación del Sr. Lindenberg, aunque sin reconocer ninguna obligación legal al respecto.
13.      En la actualidad, el Sr. Lindenberg únicamente solicita que se declare la ilegalidad de la resolución de 20 de octubre de 2022, por la que el Landesamt denegó su solicitud de acceso al expediente.
14.      El órgano jurisdiccional remitente señala que, si un reclamante, como el Sr. Lindenberg, inicia un procedimiento de reclamación ante una autoridad de control en materia de protección de datos, como el Landesamt, de conformidad con el artículo 77 del RGPD, esta autoridad actúa frente al reclamante como autoridad de control en el sentido del artículo 4, punto 21, del RGPD. Algunos, entre ellos el Landesamt, consideran que ello excluye que la autoridad de control de la protección de datos actúe como «responsable del tratamiento» frente al reclamante en el sentido del artículo 15 en relación con el artículo 4, punto 7, del RGPD, y que, por consiguiente, queda excluido de entrada el derecho de acceso del reclamante frente a la autoridad de control en materia de protección de datos en relación con los datos personales del propio procedimiento de reclamación.
15.      El órgano jurisdiccional remitente parte, en cambio, del principio de que una autoridad de control en materia de protección de datos puede ser tanto autoridad de control en el sentido del artículo 4, punto 21, del RGPD como responsable del tratamiento y destinatario de una reclamación con arreglo al artículo 15 de dicho Reglamento en relación con el artículo 4, punto 7, del RGPD.
16.      El órgano jurisdiccional remitente considera que, si tal es el caso, se plantea la cuestión de si una exclusión pura y simple del derecho de acceso a los expedientes y ficheros de la autoridad de control, como la establecida en el artículo 20, apartado 2, de la BayDSG, cumple los requisitos a los que está supeditado el ejercicio de la facultad de establecer limitaciones, reconocida en el artículo 23, apartado 1, del RGPD.
17.      En tales circunstancias, el Bayerisches Verwaltungsgericht Ansbach (Tribunal de lo Contencioso-Administrativo de Ansbach, Baviera) decidió suspender el procedimiento y plantear al Tribunal de Justicia las siguientes cuestiones prejudiciales:
«1)      ¿Debe interpretarse el artículo 15 del [RGPD], en relación con su artículo 4, punto 7, en el sentido de que el organismo que a efectos del artículo 4, punto 21, del citado Reglamento constituye una autoridad de control y que actúa en el marco de un procedimiento de reclamación iniciado por un interesado con arreglo al artículo 77 del [RGPD] es al mismo tiempo «responsable del tratamiento» a efectos del artículo 15 de dicho Reglamento, en relación con su artículo 4, punto 7, y, por tanto, está obligado a facilitar información al interesado sobre la base de dicho artículo 15 del [RGPD]?
2)      En caso de respuesta afirmativa a la primera cuestión: ¿debe interpretarse el Derecho de la Unión, y en particular el artículo 23 del [RGPD], en el sentido de que se opone a una disposición nacional como el artículo 20, apartado 2, de la [BayDSG], que es controvertido en el litigio principal, según la cual no existe ningún tipo de derecho de acceso o consulta en relación con los expedientes y archivos de los organismos que a efectos del artículo 4, punto 21, del citado Reglamento constituyen autoridades de control?»
IV.    Procedimiento ante el Tribunal de Justicia
18.      La resolución de remisión, de fecha 19 de febrero de 2025, se recibió en la Secretaría del Tribunal de Justicia el 17 de marzo de 2025.
19.      El Landesamt, los Gobiernos búlgaro y letón, así como la Comisión Europea, presentaron observaciones escritas en el plazo señalado en el artículo 23 del Estatuto del Tribunal de Justicia de la Unión Europea.
20.      En la vista celebrada el 22 de enero de 2026 formularon sus observaciones los representantes procesales del Sr. Lindenberg, del Landesamt, del Gobierno búlgaro y de la Comisión.
V.      Análisis jurídico
A.      Observaciones preliminares
21.      El presente asunto suscita una cuestión de principio relativa al estatuto jurídico de las autoridades de control en lo que respecta a los derechos reconocidos por el RGPD y, en particular, al derecho de acceso garantizado por su artículo 15. Se trata de determinar si puede considerarse que una autoridad de control, cuando instruye una reclamación presentada en virtud del artículo 77 del RGPD, es «responsable del tratamiento» de los datos tratados en ese contexto, en el sentido del artículo 4, punto 7, del mismo Reglamento. Esta calificación es determinante, ya que condiciona la aplicabilidad de las obligaciones en materia de acceso exigibles al responsable del tratamiento y, en términos más generales, suscita la cuestión del equilibrio entre la protección de los derechos individuales y las características propias del ejercicio de las funciones de control, que se basan en la independencia decisoria, la confidencialidad de la instrucción y la eficacia de las facultades de investigación.
22.      En el caso de que el Tribunal de Justicia considere que la autoridad puede estar obligada, en principio, a respetar el artículo 15 del RGPD, se suscitaría una segunda cuestión, de orden normativo, sobre la compatibilidad de una exclusión general y absoluta del derecho de acceso a los expedientes administrativos con el marco jurídico de la Unión. La normativa nacional debe examinarse a la luz de las exigencias que establece el artículo 23 del RGPD, que regula estrictamente las limitaciones que pueden imponerse a los derechos que garantiza, supeditándolos al cumplimiento de requisitos acumulativos en términos de base jurídica, necesidad, proporcionalidad y salvaguardia de los objetivos de interés general reconocidos por la Unión. Este análisis también requiere integrar las garantías derivadas del Derecho primario, en particular las relativas al respeto de los derechos fundamentales y a la eficacia de los recursos.
23.      Por lo tanto, el análisis jurídico se articulará en dos etapas sucesivas. Por un lado, habrá que determinar si una autoridad de control puede asimilarse a un «responsable del tratamiento» en un procedimiento de reclamación, de modo que esté sujeta a las obligaciones de acceso que impone el RGPD y, en caso afirmativo, en qué medida. (3) Por otro lado, y solo en caso de respuesta afirmativa, procederá examinar si una exclusión general, indiferenciada y previa del derecho de acceso a los expedientes de las autoridades de control es compatible con el régimen armonizado del RGPD, habida cuenta de los imperativos de transparencia administrativa, protección de datos, independencia institucional y eficacia de los mecanismos de control, que deben sopesarse sin que ninguno de ellos quede vaciado de contenido. (4)
B.      Sobre la primera cuestión
1.      Calificación de una autoridad de control como «responsable del tratamiento» con arreglo al artículo 4, punto 7, del RGPD
24.      En lo que respecta a la posible calificación de una autoridad de control como «responsable del tratamiento», que es objeto de la primera cuestión prejudicial, procede recordar, en primer lugar, la definición legal de este concepto, tal como se establece en el artículo 4, punto 7, del RGPD. Según esta disposición, se considera «responsable del tratamiento» a la «persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento». A este respecto, debe tenerse presente que, según jurisprudencia reiterada del Tribunal de Justicia, este concepto es objeto de una interpretación amplia. (5)
25.      En primer lugar, es preciso señalar que esta definición legal se refiere expresamente a las «autoridades públicas». Por lo tanto, la propia redacción del artículo 4, punto 7, del RGPD no excluye en absoluto la posibilidad de calificar a una autoridad de control como «responsable del tratamiento». El legislador de la Unión renunció deliberadamente a establecer una distinción entre entidades privadas y entidades públicas, como lo demuestran varios considerandos que se refieren expresamente al tratamiento de datos personales por las autoridades públicas. Por otra parte, el hecho de que una autoridad de control se defina, en el artículo 4, punto 21, del RGPD, como autoridad pública independiente establecida por un Estado miembro con arreglo a lo dispuesto en el artículo 51 no puede interpretarse, habida cuenta del amplio alcance funcional que el Reglamento confiere al concepto de «responsable del tratamiento», (6) como un obstáculo para que pueda dársele tal calificación.
26.      En segundo lugar, es importante señalar que, cuando una autoridad de control de este tipo ejerce las funciones que le confiere el artículo 77 del RGPD, en particular la instrucción de las reclamaciones relativas a posibles infracciones de las normas en materia de protección de datos, se ve obligada a su vez a tratar datos personales. La autoridad no se limita a recibir estos datos, sino que los estructura, analiza, conserva y utiliza en el ejercicio autónomo de las facultades de investigación y de sanción que le reconoce el Reglamento. En mi opinión, estas operaciones están comprendidas en el ámbito de aplicación del artículo 4, punto 2, del RGPD, que da al concepto de «tratamiento» un sentido amplio y desvinculado de cualquier contexto concreto, de manera que abarca el conjunto de operaciones realizadas sobre los datos.
27.      Para respaldar este análisis, expondré a continuación, por una parte, las características esenciales del procedimiento de reclamación regulado en el artículo 77 del RGPD y, por otra, las categorías de datos personales que las autoridades de control deben tratar, de manera habitual y concreta, en este contexto. Esta presentación permitirá comprender mejor la naturaleza y el alcance de las funciones que desempeñan las autoridades de control cuando instruyen un procedimiento de este tipo.
a)      Características esenciales del «procedimiento de reclamación» regulado en el artículo 77 del RGPD
28.      El procedimiento de reclamación (7) establecido en el artículo 77 del RGPD constituye un mecanismo fundamental del sistema de la Unión cuya finalidad es garantizar la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales. Contribuye a la aplicación operativa del principio establecido en el artículo 8, apartado 3, de la Carta, a cuyo tenor el respeto de las normas relativas a la protección de datos quedará sujeto al control de una autoridad independiente. El Tribunal de Justicia ha subrayado en repetidas ocasiones que este mecanismo de control no tiene un carácter meramente formal, sino que su finalidad es garantizar la protección efectiva y real de los derechos fundamentales. (8)
29.      El artículo 77, apartado 1, del RGPD confiere a todo interesado el derecho a presentar una reclamación, sin requisitos formales específicos y sin gastos a su cargo, en el Estado miembro en el que tenga su residencia habitual, lugar de trabajo o lugar de la supuesta infracción. Dado que este derecho constituye un elemento esencial del sistema de protección establecido por el Reglamento, no puede interpretarse ni aplicarse de manera que su ejercicio resulte prácticamente imposible o excesivamente difícil. (9)
30.      Es importante subrayar que la presentación de una reclamación no confiere a la autoridad de control una mera facultad general de examen, sino que le impone la obligación concreta de instruir el expediente de manera completa, diligente e imparcial. En efecto, de la jurisprudencia del Tribunal de Justicia se desprende que, de conformidad con el artículo 57, apartado 1, letra f), del RGPD, incumbe a cada autoridad de control, en su territorio, tratar las reclamaciones, examinar su naturaleza en la medida en que sea necesario y tratarlas con toda la diligencia debida. (10)
31.      No puede, por tanto, abstenerse de tramitar una reclamación por razones puramente administrativas ni por consideraciones de oportunidad. Del mismo modo, se le prohíbe limitar su intervención a una mediación informal o a un papel de mero facilitador. Por el contrario, está obligada a examinar la supuesta infracción de hecho y de Derecho y, en su caso, a ejercer eficazmente las facultades correctoras que le confiere el Derecho de la Unión. (11)
32.      Las facultades enumeradas en el artículo 58 del RGPD deben interpretarse, según la jurisprudencia, a la luz de su finalidad, a saber, garantizar la plena eficacia del Reglamento. El Tribunal de Justicia ha insistido en la obligación de las autoridades de control de adoptar, en caso de infracción comprobada, medidas correctoras «adecuadas y necesarias» y de utilizar todos los instrumentos de que disponen. Esta exigencia incluye la imposición de sanciones, ya que la inacción puede comprometer el efecto útil del Reglamento. (12)
33.      El artículo 77, apartado 2, del RGPD exige además que se informe al reclamante sobre el curso y el resultado de la reclamación. Esta obligación solo se cumple si la respuesta dada permite cerciorarse de que la reclamación ha sido objeto de un examen de hecho y de Derecho y contiene los elementos necesarios para el ejercicio de un control jurisdiccional efectivo. Por lo tanto, el procedimiento no puede limitarse a una decisión puramente formal, sino que debe concluir con una apreciación debidamente pormenorizada y susceptible de recurso ante el órgano jurisdiccional competente en virtud del artículo 78, apartado 1, del RGPD. Toda decisión relativa a una reclamación adoptada por una autoridad de control está sujeta a un control jurisdiccional pleno. (13)
34.      Considerado en su conjunto, el procedimiento previsto en el artículo 77 del RGPD no constituye un mero acto administrativo, sino un recurso autónomo, establecido por el Derecho de la Unión, que contribuye al mismo tiempo a la protección de los derechos individuales y a la salvaguardia objetiva del ordenamiento jurídico en materia de protección de datos. El Tribunal de Justicia reconoce a las autoridades de control la condición de garantes institucionales de un sistema de protección estructural de los derechos fundamentales, cuya función no se limita a la recepción pasiva de reclamaciones, sino que implica la aplicación activa de las normas en materia de protección de datos.
b)      «Tratamiento» de datos personales por una autoridad de control en un procedimiento de reclamación
35.      Tras haber recordado las características esenciales del procedimiento de reclamación, procede analizar en qué medida la actividad de una autoridad de control constituye un «tratamiento» en el sentido del artículo 4, punto 2, del RGPD. Este concepto se define como «cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción».
36.      A este respecto, debe señalarse que, en un procedimiento basado en el artículo 77 del RGPD, una autoridad de control no se limita a recibir datos. Por el contrario, lleva a cabo una serie de operaciones autónomas y estructuradas, realizadas con el fin de ejercer su función legal de examen, instrucción y control. En efecto, el tratamiento se inicia una vez presentada la reclamación, que contiene datos sobre el reclamante y, en su caso, sobre el responsable del tratamiento en cuestión o sobre terceros identificables. Esta información, comprendida en el concepto de «datos personales» en el sentido del artículo 4, punto 1, del RGPD, se registra, se incorpora a un expediente y se conserva en los sistemas internos de la autoridad de control, lo que ya implica operaciones materiales y de organización que constituyen un «tratamiento». (14)
37.      Estas operaciones forman parte de las funciones que el artículo 57, apartado 1, del RGPD atribuye a las autoridades de control, tal como se exponen en las presentes conclusiones. Entre estas funciones figuran, en particular, el tratamiento de las reclamaciones [letra f)] y el ejercicio de las facultades de investigación y decisión [letra h)]. En el desempeño de estas tareas, las autoridades actúan con autonomía funcional y decisoria garantizada por el Derecho de la Unión, autonomía que se concreta en la forma en que se tramitan las reclamaciones y se ejercen las facultades de control que se derivan de ellas.
38.      En el curso del procedimiento, la autoridad de control procede al examen fáctico y jurídico de los elementos que se le someten. Recoge, organiza, analiza y evalúa los datos con arreglo al régimen normativo aplicable. También lleva a cabo otras operaciones de tratamiento, por ejemplo, cuando solicita información complementaria al responsable del tratamiento —contra el que se dirige una reclamación y que es objeto de una investigación— o cuando consulta documentos adicionales, que a su vez pueden contener datos personales. A continuación, la autoridad de control recibe, registra, analiza y conserva dicha información. Puede considerarse asimismo una operación de «tratamiento» la indagación de una posible relación de esos elementos con expedientes o información preexistentes.
39.      Los datos así tratados se utilizan para el ejercicio autónomo de las facultades de investigación y decisión de la autoridad de control. (15) Sirven para determinar los hechos, calificarlos jurídicamente, evaluar las medidas correctoras posibles y, en su caso, adoptar decisiones vinculantes o requerimientos. También se utilizan en las comunicaciones de procedimiento dirigidas a las partes, en particular cuando se informa al reclamante o al responsable del tratamiento sobre el resultado del procedimiento.
40.      Por todo ello, no puede considerarse que la autoridad de control sea un mero «destinatario» de datos en el sentido del artículo 4, punto 9, del RGPD. Dado que decide de forma autónoma cómo lleva a cabo la recogida, análisis, organización y utilización de estos datos para el ejercicio de las funciones que le han sido encomendadas legalmente, actúa como un operador que lleva a cabo un «tratamiento» en el sentido cabal del artículo 4, punto 2, del RGPD. Examinaré este aspecto con más detalle en la siguiente sección.
2.      Facultad de la autoridad de control de «determinar los fines y medios del tratamiento»
41.      Para que una autoridad de control pueda ser considerada «responsable del tratamiento» en el sentido del artículo 4, punto 7, del RGPD, es necesario que esté facultada para determinar los fines y los medios del tratamiento de datos personales.
42.      Como he indicado anteriormente, la función de la autoridad de control, en un procedimiento de reclamación basado en el artículo 77 del RGPD, no se limita a la mera recepción pasiva de información. En realidad, determina la finalidad del tratamiento, ya que decide que los datos se utilizarán para examinar una posible infracción de las normas en materia de protección de datos, esclarecer los hechos y, en su caso, preparar y adoptar medidas de control. Esta determinación de la finalidad no solo está predefinida por la ley, sino que también requiere una concreción autónoma por parte de la autoridad en cada caso, en particular en lo que se refiere al alcance del control, el objeto preciso de la investigación y la calificación jurídica de las infracciones alegadas. (16)
43.      La autoridad de control también decide, de forma autónoma en cuestiones esenciales, sobre los medios del tratamiento. Determina qué datos personales se recogen, en qué forma se registran, estructuran y conservan, según qué criterios se constituyen los expedientes, se organizan los archivos digitales o se catalogan las pruebas, así como los procedimientos técnicos u organizativos utilizados para el análisis, el tratamiento posterior o la puesta a disposición interna de los datos. Del mismo modo, decide si procede enviar solicitudes de información al interesado, qué información complementaria debe solicitarse, según qué métodos se relacionará y durante cuánto tiempo se conservará. Esta facultad de selección y organización supera claramente la mera ejecución de una misión auxiliar o subordinada.
44.      Las operaciones de tratamiento efectivamente realizadas confirman esta autonomía decisoria. La autoridad registra la reclamación, abre sus propios expedientes, conserva y organiza los datos recibidos y los que recoge, procede a su evaluación fáctica y jurídica, solicita documentos adicionales, deja constancia los actos de investigación y adopta, sobre la base de su propio análisis, decisiones procedimentales y materiales. Por lo tanto, el tratamiento no sirve únicamente para la gestión técnica de un expediente administrativo, sino que constituye la base de una actividad autónoma de instrucción, apreciación y decisión, que el Derecho de la Unión confía exclusivamente a la autoridad de control.
45.      El hecho de que esta actividad se desarrolle en ejercicio de una misión legal no obsta a la condición de «responsable del tratamiento». El Tribunal de Justicia ha recordado en varias ocasiones que las autoridades públicas pueden ser calificadas como «responsables del tratamiento» cuando disponen de un margen de maniobra decisorio en cuanto a las modalidades concretas del tratamiento. (17) A este respecto, procede señalar que el propio Landesamt reconoció en la vista que disponía de un margen de apreciación para configurar sus funciones, incluso en lo que respecta a la tramitación de las reclamaciones, (18) margen que constituye la expresión de su autonomía.
46.      La calificación de «encargado del tratamiento» también debe descartarse, al no existir subordinación alguna en cuanto a la determinación de los fines y los medios, ya que la autoridad no interviene siguiendo instrucciones de un tercero, sino en ejercicio de sus propias prerrogativas. En particular, la autoridad de control no actúa en absoluto en nombre del responsable del tratamiento objeto de la reclamación, sino que ejerce un poder público que le ha sido conferido con el fin de garantizar el respeto del Derecho de la Unión.
47.      Si bien el tratamiento en cuestión se basa, por regla general, en el artículo 6, apartado 1, letra e), del RGPD, en relación con el artículo 57, apartado 1, letras f) y h), del RGPD, la existencia de una base jurídica solo garantiza la licitud del tratamiento, sin excluir la condición de «responsable» del tratamiento. Por el contrario, el hecho de que la ley confíe a la autoridad la ejecución de funciones de control confirma que esta trata los datos en cumplimiento de sus propias obligaciones legales y según las modalidades que ella misma define. Por lo tanto, en su condición de «responsable», sigue estando sujeta, en principio, a las obligaciones generales del RGPD, en particular a los principios establecidos en el artículo 5 y a los derechos de los interesados que se reconocen en el capítulo III, siempre que estos no hayan sido válidamente restringidos por una disposición legal suficientemente clara y proporcionada, de conformidad con el artículo 23 del RGPD.
48.      La independencia de las autoridades de control, establecida en el artículo 52 del RGPD y reafirmada en el considerando 117, exige que se les considere «responsables del tratamiento» de las operaciones relacionadas con datos personales que realicen en el ejercicio de sus funciones legales. Solo la determinación autónoma de los fines y medios de los tratamientos en cuestión, junto con la responsabilidad que de ello se deriva, les permite ejercer sus facultades de control y corrección con total independencia respecto de las entidades que supervisan. Considerarlas, en el marco de la gestión de las reclamaciones, como meras ejecutoras de fines definidos por terceros comprometería su autonomía institucional, las situaría en una relación de dependencia con respecto a los responsables examinados y dejaría sin contenido el requisito de responsabilidad establecido por el Derecho de la Unión. Por lo tanto, la autoridad de control debe asumir, por su propia cuenta, la responsabilidad del tratamiento de los datos personales aplicado en el procedimiento de reclamación, y los derechos de los interesados reconocidos en el RGPD se aplican plenamente frente a ella. (19)
49.      Por último, si se considerase que la autoridad de control no es «responsable del tratamiento» cuando tramita las reclamaciones, el interesado se vería en gran medida privado de protección con respecto a un elemento fundamental del tratamiento de sus datos. En efecto, los derechos de los interesados reconocidos en los artículos 12 a 22 del RGPD, en particular el derecho de acceso regulado en el artículo 15, solo pueden ejercerse frente al responsable del tratamiento. Sin esta calificación, el interesado no podría saber qué datos recoge y trata la autoridad que tramita la reclamación ni solicitar su rectificación, supresión o limitación. El tratamiento de datos realizado por la autoridad de control eludiría así toda exigencia de transparencia y responsabilidad, a pesar de que es precisamente esta autoridad quien debe garantizar la protección de los derechos de los interesados. No calificar a la autoridad de control como «responsable del tratamiento» crearía, por lo tanto, una deficiencia estructural en la protección, privando al interesado, en su relación con la autoridad de control, de las garantías fundamentales establecidas en el RGPD. (20)
50.      Conforme a lo anterior, una autoridad de control que tramita una reclamación presentada en virtud del artículo 77 del RGPD, decide los fines y los medios del tratamiento y no se limita a recibir o administrar datos determinados por un tercero. Actúa como un agente autónomo que recoge, organiza, analiza y utiliza los datos personales como base para tomar decisiones que llevan consigo el ejercicio del poder público. Por lo tanto, debe calificarse como «responsable del tratamiento» en el sentido de la definición amplia que figura en el artículo 4, punto 7, del RGPD. (21)
51.      En aras de la exhaustividad, he de señalar que el hecho de que el legislador de la Unión no haya previsto expresamente el supuesto de que una autoridad de control actúe, en un procedimiento de reclamación, al mismo tiempo en condición de «responsable del tratamiento» en el sentido del artículo 4, punto 7, del RGPD no es un argumento pertinente que pueda oponerse a tal calificación. Por el contrario, lo decisivo es si dicha autoridad cumple los requisitos materiales que establece dicha disposición. Pues bien, como se desprende del análisis anterior, es manifiesto que así sucede en el caso de autos.
52.      En este contexto, tampoco puede prosperar la alegación del Landesamt según el cual determinadas disposiciones del RGPD suponen necesariamente una distinción estricta entre la autoridad de control, de una parte, y el «responsable del tratamiento», de otra. Dichas disposiciones se refieren únicamente a la situación de principio prevista por el legislador de la Unión, en la que ambas funciones no se confunden. Sin embargo, no excluyen que una autoridad de control pueda, en determinadas circunstancias —como las del asunto principal—, cumplir simultáneamente los requisitos necesarios para ser calificada como «responsable del tratamiento».
53.      Dado que algunas disposiciones del RGPD prevén una «cooperación» o una «consulta» entre el «responsable del tratamiento» y la autoridad de control, en particular los artículos 31 y 36, la superposición de estas funciones puede dar lugar a un conflicto, que debe resolverse mediante una interpretación teleológica del Reglamento. Esta interpretación implica que los procedimientos internos de la autoridad de control deben organizarse y coordinarse de manera que se alcancen efectivamente los objetivos de las disposiciones en cuestión.
3.      Existencia de un derecho de acceso del reclamante basado en el artículo 15 del RGPD
54.      Como he expuesto en las presentes conclusiones, la calificación de la autoridad de control como «responsable del tratamiento» lleva consigo la obligación de garantizar el respeto de los derechos reconocidos a las personas a las que se aplica el capítulo III del RGPD. Entre estos derechos figura, en particular, el derecho de acceso reconocido en el artículo 15 de dicho Reglamento.
55.      En un procedimiento incoado en virtud del artículo 77 del RGPD, el reclamante también tiene, en principio, la condición de «interesado» en el sentido del Reglamento. En calidad de tal, puede exigir a la autoridad de control que le confirme si se están tratando datos personales que le conciernen. En caso de respuesta afirmativa, el derecho de acceso incluye también todas las informaciones enumeradas con carácter taxativo en el artículo 15, apartado 1, letras a) a h), del RGPD, entre las que figuran, en particular, los fines del tratamiento, las categorías de datos de que se trate, los destinatarios o las categorías de destinatarios, el plazo previsto de conservación y la información relativa a los derechos del interesado.
a)      Derecho a obtener una «copia» en virtud del artículo 15, apartado 3, del RGPD
56.      El derecho de acceso implica, entre otros, el derecho del interesado a obtener una copia de los datos en virtud del artículo 15, apartado 3, del RGPD. Esta disposición obliga al responsable del tratamiento a facilitar al interesado una reproducción de sus datos personales de una forma inteligible, que le permita comprender con precisión el alcance y las particularidades de su tratamiento. La finalidad de este derecho es permitir al interesado verificar qué datos que le conciernen se tratan, identificar su fuente, comprender los fines del tratamiento y conocer sus posibles destinatarios. (22)
57.      El Tribunal de Justicia ha declarado que la copia debe facilitarse en condiciones que permitan un control efectivo de la licitud del tratamiento, así como el ejercicio efectivo de los demás derechos reconocidos en el Reglamento. (23) El término «copia» no se refiere a un documento como tal, sino a los datos personales que contiene; lo importante es que estos datos se comuniquen de forma completa, clara y apta para restituir su significado. Para garantizar la efectividad de este derecho, puede resultar indispensable la reproducción de extractos de documentos —o incluso de documentos enteros— o de extractos de bases de datos que contengan, entre otros, los datos personales objeto del tratamiento.  (24)
58.      No obstante, el alcance de este derecho sigue estando estrictamente limitado por su función. Solo se extiende a los «datos personales» del interesado y abarca toda la información relacionada con él o que permita identificarlo, en el sentido del artículo 4, punto 1, del RGPD. Cuando para comprender plenamente los datos el interesado precise conocer su contexto, la obligación de comunicación puede exigir que se le facilite un extracto adecuado o una presentación contextualizada, en la medida necesaria para satisfacer los requisitos de transparencia. El derecho a obtener una copia constituye, por tanto, un elemento fundamental del mecanismo de autodeterminación informativa establecido por el RGPD, ya que garantiza al interesado un control sustancial sobre el tratamiento de sus datos y le permite verificar su conformidad con las exigencias del Derecho de la Unión.
b)      Falta de previsión en el artículo 15 del RGPD de un «derecho general de acceso al expediente administrativo»
59.      Sin embargo, el derecho de acceso previsto en el artículo 15 del RGPD, propio del régimen de protección de datos personales, no puede asimilarse a un derecho general de acceso al expediente administrativo ni a un requisito de transparencia administrativa de alcance general. El único objetivo de esta disposición es garantizar la transparencia de los tratamientos, para que el interesado pueda controlar su licitud y ejercer eficazmente los derechos que se derivan de ella, en particular los derechos de rectificación, supresión («derecho al olvido»), limitación del tratamiento u oposición. (25) No reconoce, en cambio un derecho general de acceso a la información en poder de la administración, ni un derecho de consulta de los documentos internos, ni, a fortiori, un derecho a la divulgación de los elementos relacionados con el proceso interno de deliberación o decisión de la autoridad pública. Esto resulta evidente cuando se compara el derecho de acceso reconocido en el artículo 15 del RGPD con otros derechos de acceso reconocidos en el Derecho de la Unión y en los Derechos nacionales.
60.      En primer lugar, los artículos 15 y 77, apartado 2, del RGPD responden a finalidades distintas y, por lo tanto, deben distinguirse rigurosamente. El artículo 77, apartado 2, establece un derecho formal a ser informado sobre el curso y el resultado de la reclamación, pero no confiere un derecho de acceso a los datos o documentos basado en la normativa en materia de protección de datos. Así, mientras que el artículo 15 del RGPD tiende a garantizar el control por parte del individuo de sus propios datos personales, el artículo 77, apartado 2, está relacionado con el requisito de transparencia del procedimiento en la tramitación administrativa de las reclamaciones. Estas disposiciones, autónomas en su objeto y alcance, no pueden confundirse ni sustituirse entre sí. Se trata de regímenes jurídicos independientes que responden a lógicas normativas diferentes, obedecen a condiciones de ejercicio propias y no están destinados a solaparse ni a sustituirse entre sí.
61.      En segundo lugar, el artículo 15 del RGPD establece exclusivamente el derecho de acceso a los datos personales y no confiere ni un derecho de acceso al expediente administrativo ni un derecho de consulta de los documentos que obran en poder de la autoridad. (26) Su ámbito de aplicación material se limita a la comunicación de los datos personales objeto de tratamiento y no es su finalidad una mayor transparencia administrativa ni dar acceso a los procesos decisorios internos. Por lo tanto, salvo disposiciones sectoriales del Derecho de la Unión, el derecho de acceso al expediente sigue siendo competencia normativa de los Estados miembros, en los que, en general, se rige por la legislación relativa al procedimiento administrativo general, por regímenes de procedimientos especiales, por las leyes sobre la libertad de información y la transparencia, o por normas profesionales o sectoriales especiales. (27)
62.      De ello se desprende que el artículo 15 del RGPD no establece ningún derecho a la comunicación o consulta del expediente administrativo como tal. En particular, el ámbito de aplicación del derecho de acceso no se extiende a los análisis jurídicos internos, dictámenes, anotaciones, notas de servicio, documentos preparatorios ni, en general, a los elementos relacionados con el proceso de elaboración o motivación interna de la decisión administrativa. Cuando un documento que obra en poder de la autoridad contiene datos personales relativos al reclamante, la obligación de acceso se limita a la comunicación de dichos datos como tales, y no a la entrega o reproducción íntegra del soporte documental que los contiene. Por último, la información que no tenga ningún vínculo directo o indirecto con el interesado queda, por su propia naturaleza, fuera del ámbito de aplicación material del artículo 15 del RGPD.
63.      Además, procede recordar que el derecho de acceso reconocido en el artículo 15 del RGPD puede estar sujeto a determinadas limitaciones en virtud del artículo 23, apartado 1, del mismo Reglamento, siempre que se cumplan los requisitos que en él se establecen. Este aspecto es objeto de la segunda cuestión prejudicial, que abordaré en la siguiente sección.
4.      Conclusión provisional
64.      Habida cuenta de las consideraciones anteriores, procede, en mi opinión, responder a la primera cuestión que el artículo 15, en relación con el artículo 4, punto 7, del RGPD, debe interpretarse en el sentido de que una autoridad de control, definida en artículo 4, punto 21, de dicho Reglamento, cuando actúa en un procedimiento de reclamación basado en el artículo 77 de dicho Reglamento, también tiene la condición de «responsable del tratamiento» en el sentido de ese mismo Reglamento y, por lo tanto, está obligada a garantizar al interesado el derecho de acceso reconocido en el artículo 15 de dicho Reglamento.
C.      Sobre la segunda cuestión
1.      Limitaciones al derecho de acceso a los datos personales enumeradas en el artículo 23 del RGPD
65.      Mediante su segunda cuestión, el órgano jurisdiccional remitente solicita una aclaración sobre la relación entre el artículo 23 del RGPD y una disposición nacional, como el artículo 20, apartado 2, de la BayDSG, que excluye con carácter general el derecho de acceso o consulta ante la autoridad de control en materia de protección de datos. La respuesta a esta cuestión requiere un análisis pormenorizado de la estructura del Reglamento, tal como se desprende de su tenor, su finalidad y los considerandos pertinentes, así como la aplicación de los principios establecidos por el Tribunal de Justicia en relación con las limitaciones que pueden imponerse a los derechos de los interesados.
66.      El artículo 23 del RGPD establece que las medidas legislativas de la Unión o de los Estados miembros a las que está sujeto el responsable del tratamiento pueden limitar, en particular, el derecho de acceso garantizado en el artículo 15, cuando tal limitación respete en lo esencial los derechos y libertades fundamentales y sea una medida necesaria y proporcionada en una sociedad democrática para salvaguardar uno de los objetivos legítimos enumerados en las letras a) a j) de dicha disposición. Sin embargo, el artículo 23, apartado 1, del RGPD no puede interpretarse en el sentido de que faculta al legislador nacional para sustituir libremente las disposiciones de los artículos 12 a 22 de dicho Reglamento por su propio régimen. Por el contrario, dicha disposición establece una lista taxativa de las cláusulas de apertura que autorizan al legislador nacional, por razones taxativamente enumeradas, a establecer restricciones a los derechos de los interesados y a las obligaciones que incumben al responsable del tratamiento en virtud de esos mismos artículos. (28)
67.      Así pues, el artículo 23 del RGPD establece un régimen de excepción en los ámbitos a los que se refiere, que son esencialmente el ejercicio de funciones públicas y la necesidad de atender a los imperativos de interés general que pueden justificar una atenuación de los derechos de los interesados en comparación con otros sectores de actividad. A este respecto, debe tenerse en cuenta el considerando 4, frases primera y segunda, del RGPD, que exige mantener el equilibrio con otros derechos fundamentales y garantizar que las limitaciones adoptadas estén justificadas y sean necesarias y proporcionadas en relación con los derechos e intereses en conflicto.
68.      De la resolución de remisión se desprende que, aunque la exposición de motivos de la Ley bávara menciona expresamente el artículo 23 del RGPD como fundamento jurídico del artículo 20, apartado 2, de la BayDSG, no hace referencia a ninguno de los objetivos enumerados en dicha disposición. Se limita a indicar que esta norma refleja el requisito específico relativo a la finalidad de la información obtenida en ejercicio de las actividades de control en materia de protección de datos. No obstante, el órgano jurisdiccional remitente señala que, según las observaciones del Landesamt en el procedimiento principal, esta disposición tiene en realidad dos objetivos principales: por una parte, preservar la confidencialidad de los datos personales de terceros y, por otra, garantizar el buen funcionamiento y la independencia de la autoridad de control.
69.      De conformidad con los principios que rigen el mecanismo de cooperación establecido por el artículo 267 TFUE entre el juez de la Unión y los órganos jurisdiccionales nacionales —en virtud de los cuales la interpretación del Derecho interno es competencia exclusiva de los órganos jurisdiccionales remitentes (29) y el Tribunal de Justicia está obligado a atenerse a las precisiones aportadas por estos en cuanto al contenido y al alcance de dicho Derecho interno—, (30) tomaré estos elementos como base de mi análisis.
2.      Compatibilidad con el artículo 23 del RGPD de una exclusión general del derecho de acceso reconocido en el artículo 15 del RGPD
70.      A continuación, examinaré si una exclusión general del derecho de acceso reconocido en el artículo 15 del RGPD puede estar justificada a la luz de los objetivos legislativos antes mencionados. También analizaré si dicha normativa cumple los requisitos adicionales que el artículo 23 del RGPD impone a cualquier restricción de este derecho.
a)      Existencia de un objetivo legítimo
1)      Protección de la confidencialidad de los datos personales de terceros
71.      La protección de la confidencialidad de los datos personales de terceros constituye un fin legítimo en el sentido del RGPD, que justifica, en principio, las limitaciones a los derechos conferidos a los interesados. A este respecto, procede señalar que, en lo que respecta al derecho de acceso reconocido en el artículo 15 del RGPD, el considerando 63 de dicho Reglamento precisa que «este derecho no debe afectar negativamente a los derechos y libertades de terceros». Por lo tanto, se tiene en cuenta, como expone el considerando 4 del RGPD, que el derecho a la protección de los datos personales no es un derecho absoluto, ya que debe considerarse en relación con su función en la sociedad y mantener el equilibrio con otros derechos fundamentales. (31)
72.      El artículo 23, apartado 1, letra i), del RGPD hace referencia expresa a la protección de «los derechos y libertades de otros», como confirma el considerando 73. Por consiguiente, cuando se trata de datos personales de funcionarios públicos o de particulares, el legislador nacional puede basarse válidamente en el hecho de que su divulgación vulneraría los derechos de la personalidad y que existe una necesidad de protección que debe sopesarse con el derecho de acceso del reclamante.
2)      Protección del buen funcionamiento e independencia de las autoridades de control
73.      Preservar el buen funcionamiento y la independencia decisoria de las autoridades de control también es un fin legítimo a los efectos del artículo 23, apartado 1, del RGPD. El legislador de la Unión les otorga, en efecto, un papel fundamental en el sistema europeo de protección de datos, como lo demuestran, por una parte, el artículo 52, que garantiza su plena independencia, y, por otra, el alcance de las facultades de investigación y las potestades correctoras previstas en los artículos 57 y 58. (32) A este respecto, el Tribunal de Justicia ha subrayado en su jurisprudencia que debe garantizarse el buen funcionamiento de las autoridades de control evitando que este se vea obstaculizado por la presentación de reclamaciones manifiestamente infundadas o excesivas, en el sentido del artículo 57, apartado 4, del RGPD. (33)
74.      Por lo tanto, y a la luz del artículo 23, apartado 1, letra h), del RGPD, que permite adoptar restricciones cuando sean necesarias para el ejercicio de las funciones de «supervisión» e «inspección» vinculadas a el ejercicio de la autoridad pública, una limitación del derecho de acceso puede, en principio, estar justificada. Por otra parte, habida cuenta de los paralelismos existentes, también debe tenerse en cuenta el objetivo establecido en el artículo 23, apartado 1, letra f), del RGPD, tal y como se precisa en el considerando 73, de salvaguardar la protección de la independencia judicial y de los procedimientos judiciales. Es cierto que las autoridades de control no pertenecen al poder judicial; sin embargo, al igual que los órganos estatales encargados de la aplicación de la ley, desempeñan un papel esencial para detectar y sancionar las infracciones de la legislación en materia de protección de datos personales. De ello se desprende que, en cualquier caso, puede considerarse la aplicación por analogía de esta disposición.
3)      Protección de la seguridad pública
75.      En aras de la exhaustividad, he de señalar que la resolución de remisión también menciona la protección de la seguridad pública, en el sentido del artículo 23, apartado 1, letra c), del RGPD, como posible justificación, sin facilitar, no obstante, información más precisa. Aun así, comparto la apreciación del órgano jurisdiccional remitente y de la Comisión, según la cual no es pertinente invocar la protección de la seguridad pública. En efecto, a la vista de los hechos del asunto principal tal y como los presenta el órgano jurisdiccional remitente, tal restricción me parece manifiestamente infundada. Por consiguiente, no abordaré esta causa de justificación en el análisis que sigue.
b)      Exigencias que impone el marco normativo del RGPD
76.      Por una parte, cabe señalar que el interés relacionado con la confidencialidad de los datos personales de terceros se tiene debidamente en cuenta en una normativa nacional como el artículo 20, apartado 2, de la BayDSG, ya que prohíbe categóricamente la comunicación de dichos datos. Además, no puede excluirse que la falta de cooperación de las autoridades de control en el marco de la tramitación de las solicitudes de acceso pueda dar lugar a una reasignación de recursos humanos y materiales a otros ámbitos de actividad, lo que, en su caso, podría llevar consigo una mayor eficacia.
77.      Por otra parte, tales circunstancias suscitan dudas acerca de su conformidad con el régimen normativo establecido por el legislador de la Unión al adoptar el RGPD, y en particular con la estructura general de dicho Reglamento, que se basa en un equilibrio entre varios intereses: la transparencia del tratamiento de los datos, la preservación de la confidencialidad cuando sea necesario y la tutela efectiva de estos intereses por parte de las autoridades de control. Por lo tanto, una normativa nacional que no refleje adecuadamente el equilibrio entre estos intereses no cumple las exigencias del artículo 23, apartado 1, del RGPD. Lo mismo ocurre cuando los objetivos perseguidos pueden alcanzarse con igual eficacia por otros medios menos atentatorios respecto de los derechos fundamentales. (34)
78.      A este respecto, procede recordar, en primer lugar, que el RGPD concibe el derecho de acceso reconocido en el artículo 15 como un elemento esencial del principio de transparencia. Esta calificación se desprende claramente del considerando 63, según el cual el interesado debe poder «conocer el tratamiento» para garantizar la efectividad de los derechos que le confiere el Reglamento. El Tribunal de Justicia ha confirmado en varias ocasiones esta idea, señalando que el derecho de acceso tiene una importancia fundamental en la estructura general del régimen establecido por el Reglamento. Por lo tanto, una disposición nacional que priva al interesado de este derecho con carácter general e indiferenciado es contraria a la esencia misma del sistema de protección establecido por el legislador de la Unión.
79.      Si bien el RGPD autoriza, en su artículo 23, limitaciones a los derechos de los interesados, incluido el derecho de acceso, por razones de interés público, exige al mismo tiempo que dichas limitaciones se apoyen en una base jurídica que presente un grado suficiente de precisión. Dicha base debe definir claramente la naturaleza, el alcance y los límites de la restricción, así como las garantías necesarias para prevenir los riesgos de abuso. El considerando 41 precisa en este sentido que cualquier limitación de un derecho garantizado por el Reglamento debe ser clara y precisa y su aplicación previsible para los justiciables. En particular, estos deben poder identificar las circunstancias y las condiciones en las que el alcance de los derechos que les confiere dicho Reglamento puede limitarse. (35) Una disposición nacional que prevé una exclusión absoluta del derecho de acceso sin determinar su ámbito de aplicación material o personal, ni prever medidas de salvaguardia, no satisface esas exigencias.
80.      Además, el considerando 60 del RGPD recuerda que la transparencia es un principio fundamental del tratamiento de datos personales, aplicable también a la actuación de las autoridades públicas. Si bien en un procedimiento de reclamación cierta información puede quedar temporalmente excluida de la comunicación, en particular para no comprometer la prevención, la detección o la investigación de infracciones, (36) tal restricción debe ser estrictamente necesaria y proporcionada y no puede neutralizar por completo la transparencia hacia el interesado. Por lo tanto, una disposición nacional que excluye toda forma de acceso, sin distinguir entre datos personales y documentos internos, no es conforme con la estructura del RGPD.
81.      El Tribunal de Justicia también ha señalado, en relación con el artículo 52, apartado 1, de la Carta, que las limitaciones que puedan imponerse a un derecho fundamental deben ajustarse no solo a los principios de legalidad y proporcionalidad, sino también al principio que exige el respeto del «contenido esencial» del derecho en cuestión. (37) El considerando 4 del RGPD reafirma que la protección de los datos personales es un derecho fundamental, consagrado en el artículo 8 de la Carta, cuyas limitaciones solo pueden aplicarse respetando el principio de proporcionalidad. Sin embargo, la exclusión total del derecho de acceso priva al interesado de la esencia misma del derecho, al impedirle controlar, aunque sea mínimamente, los tratamientos de datos a los que está sometido.
82.      El considerando 75 del RGPD subraya, de manera complementaria, que la falta o la insuficiencia de transparencia constituye, en sí misma, un riesgo que puede afectar gravemente a los derechos y libertades de los interesados. Una normativa que prive por completo al interesado de la posibilidad de conocer los tratamientos de datos que le conciernen crea precisamente la situación de riesgo que el legislador ha querido prevenir.
83.      Cabe añadir que el considerando 129 del RGPD define a las autoridades de control como organismos independientes encargados de velar por la aplicación del Reglamento y de proteger los derechos de los interesados. Sin embargo, esta función, así como el lugar que ocupan en el mecanismo de control establecido por el RGPD, no implica que estén exentas de todas las obligaciones derivadas de este. Por el contrario, el RGPD crea un marco jurídico coherente en el que las autoridades de control ejercen sus competencias con plena sujeción las normas que establece, en particular las relativas a los derechos de los interesados. Una disposición nacional que excluya totalmente cualquier comunicación de los datos relativos al interesado compromete este equilibrio e incumple la exigencia de responsabilidad que incumbe a las autoridades de control.
84.      Además, la exclusión absoluta del derecho de acceso parece incompatible con el objetivo marcado por el RGPD de garantizar un elevado nivel de protección de datos para las personas físicas, como se expone en el considerando 10 de ese Reglamento. (38) El nivel de protección que se pretende alcanzar se basa esencialmente en la transparencia y en la posibilidad de que el interesado controle las operaciones de tratamiento que le conciernen. El derecho de acceso previsto en el artículo 15 de dicho Reglamento constituye, a este respecto, un elemento indispensable, ya que en él se basa el ejercicio efectivo de todos los demás derechos de los interesados. (39) Excluir este derecho con carácter general equivaldría a sustraer determinados tratamientos a todo control individual y comprometería la eficacia del alto nivel de protección que el legislador de la Unión decidió establecer.
85.      En cuanto al objetivo de proteger los derechos y libertades de terceros, invocado para justificar una limitación del derecho de acceso, el Tribunal de Justicia ha declarado que, en caso de conflicto entre el derecho de acceso y los derechos o libertades de otros, las autoridades de control deben ponderar los derechos y libertades en cuestión. Del considerando 63 del RGPD se desprende expresamente que, en cualquier caso, esta ponderación no puede justificar, la exclusión de todo acceso. (40) Medidas adecuadas, como la comunicación parcial, la ocultación o la anonimización de datos, la protección de la identidad de quienes aportan información, un tratamiento diferenciado según las categorías de documentos o la comunicación de información estructurada no individualizada, permiten conciliar los intereses en conflicto sin suprimir por completo el derecho de acceso.
86.      En cuanto a la necesidad invocada de garantizar el ejercicio independiente y eficaz de sus funciones por las autoridades de control, no se aprecia en qué medida el ejercicio del derecho de acceso previsto en el artículo 15 del RGPD podría comprometer este objetivo. Comparto la apreciación del órgano jurisdiccional remitente según la cual la independencia de las autoridades de control no implica en modo alguno que la legalidad de los tratamientos de datos personales que llevan a cabo deba sustraerse al control del interesado. Por lo tanto, debe descartarse que el acceso la información pueda, como expone el Landesamt, favorecer el riesgo de una posible «influencia».
87.      Por otra parte, como he señalado en las presentes conclusiones, el artículo 15 del RGPD no reconoce un derecho general de acceso al expediente, (41) por lo que la carga administrativa generada debería ser de un volumen limitado. Independientemente de ello, ha de tenerse presente que el Reglamento pone a disposición de las autoridades de control, en su artículo 12, apartado 5, un instrumento adecuado para hacer frente a las solicitudes infundadas o excesivas. (42) Dichas autoridades están también facultadas para adoptar diversas medidas de gestión, como abstenerse temporalmente de facilitar información durante el procedimiento, excluir determinados documentos internos de la divulgación, distinguir entre diferentes tipos de procedimientos, comunicar únicamente información relativa a fases ya concluidas o establecer mecanismos organizativos que garanticen que los procesos internos no se vean perturbados por las solicitudes de acceso. Estas medidas permiten asegurar el buen funcionamiento de las autoridades de control sin excluir por completo el derecho de acceso previsto en el artículo 15 del RGPD.
88.      También es importante señalar que la eficacia de las autoridades de control depende de manera determinante de que se pongan a su disposición los medios necesarios, es decir, los recursos humanos, técnicos y financieros, así como los locales y las infraestructuras indispensables el cumplimiento efectivo de sus funciones y el ejercicio de sus competencias. (43) El artículo 52, apartado 4, del RGPD impone expresamente a los Estados miembros la obligación de garantizar la dotación de tales medios. En esta perspectiva, la cuestión de la funcionalidad de las autoridades de control no puede reducirse únicamente al número de solicitudes de acceso basadas en el artículo 15 del RGPD. Una dotación insuficiente de las autoridades no debe traducirse en ningún caso en una disminución del nivel de protección de los datos personales.
89.      Conforme a lo que expone la resolución de remisión, el artículo 20, apartado 2, de la BayDSG constituye una singularidad en el ordenamiento jurídico alemán, ya que ningún otro estado federado ha establecido una exclusión comparable del derecho de acceso. Este aislamiento en el plano normativo constituye un indicio serio de que una restricción de tal alcance no puede considerarse necesaria ni proporcionada en el sentido del artículo 23, apartado 1, del RGPD. Dado que todas las demás autoridades de control ejercen sus funciones sin necesidad de una supresión general de los derechos de los interesados, resulta difícil sostener que tal medida sea indispensable para el buen funcionamiento de la autoridad o para la protección de los derechos de terceros. Una normativa de un solo estado federado que restringe de manera sensiblemente más intensa los derechos garantizados por el RGPD que las adoptadas en otras partes del territorio nacional no parece cumplir los requisitos de coherencia, necesidad y proporcionalidad que rigen en el Derecho de la Unión.
90.      Por lo tanto, procede considerar que, en lo que respecta los dos objetivos invocados —la protección de los derechos de terceros y la preservación del correcto ejercicio de sus funciones por las autoridades de control—, existen medidas menos restrictivas, diferenciadas y conformes con el Derecho de la Unión que permiten obtener los resultados buscados sin suprimir la esencia del derecho de acceso, sin eliminar la transparencia exigible con respecto al interesado y sin obstaculizar la posibilidad de controlar la legalidad de los tratamientos realizados.
91.      Otro aspecto crítico es que el artículo 20, apartado 2, de la BayDSG no permite identificar el objetivo que pretende alcanzar el legislador nacional. Conforme a las indicaciones facilitadas por el órgano jurisdiccional remitente, los trabajos preparatorios se limitan a mencionar el artículo 23 del RGPD como base jurídica, sin hacer referencia, no obstante, a ninguno de los objetivos enumerados en dicha disposición. Pues bien, dicho artículo 23 exige que la finalidad de la limitación se desprenda claramente de la propia disposición, condición necesaria para un control efectivo del respeto de los principios de necesidad y proporcionalidad.
92.      El cumplimiento de esta exigencia de claridad no puede subsanarse con justificaciones aducidas a posteriori por una parte en el procedimiento prejudicial en virtud del artículo 267 TFUE, en particular cuando dicha parte es la que se beneficia de la limitación en cuestión. Admitir tal posibilidad equivaldría a sustituir la voluntad del legislador democráticamente responsable por una argumentación artificiosa elaborada en un marco contencioso, lo que sería incompatible con los requisitos de previsibilidad, transparencia normativa y seguridad jurídica derivados del artículo 23, apartados 1 y 2, del RGPD.
93.      En estas circunstancias, procede concluir que una exclusión general e indiferenciada del derecho de acceso, como la establecida en el artículo 20, apartado 2, de la BayDSG, no cumple los requisitos del artículo 23 del RGPD, ya que no contiene ninguno de los elementos expresamente exigidos por su apartado 2 y no tiene en cuenta ni la estructura ni la finalidad del Reglamento tal y como se desprende de los considerandos pertinentes. Tal disposición resulta desproporcionada e insuficientemente determinada y puede privar al derecho de acceso de su contenido esencial.
3.      Conclusión provisional
94.      Por las razones expuestas anteriormente, considero que el artículo 23 del RGPD debe interpretarse en el sentido de que se opone a una norma nacional como el artículo 20, apartado 2, de la BayDSG, por cuanto esta excluye, como tal, la existencia de un derecho de acceso, basado en el artículo 15 de dicho Reglamento, ante la autoridad de control.
VI.    Conclusión
95.      A la vista de las consideraciones anteriores, propongo al Tribunal de Justicia que responda de la siguiente manera a las cuestiones prejudiciales planteadas por el Bayerisches Verwaltungsgericht Ansbach (Tribunal de lo Contencioso-Administrativo de Ansbach, Baviera, Alemania):
«1)      El artículo 15, en relación con el artículo 4, punto 7, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos),
debe interpretarse en el sentido de que
una autoridad de control, definida el artículo 4, punto 21, de dicho Reglamento, cuando actúa en un procedimiento de reclamación basado en el artículo 77 del mismo Reglamento, también tiene la condición de «responsable del tratamiento» en el sentido de dicho Reglamento y, por lo tanto, está obligada a garantizar al interesado el derecho de acceso previsto en el artículo 15 de dicho Reglamento.
2)      El artículo 23 del Reglamento 2016/679
debe interpretarse en el sentido de que
se opone a una disposición nacional, como el artículo 20, apartado 2, de la Ley Bávara de Protección de Datos, que excluye, como tal, la existencia de un derecho de acceso, basado en el artículo 15 de dicho Reglamento, ante la autoridad bávara de protección de datos.»
1      Lengua original: francés.
2      DO 2016, L 119, p. 1.
3      Véanse los puntos 24 y ss. de las presentes conclusiones.
4      Véanse los puntos 65 y ss. de las presentes conclusiones.
5      Véase la sentencia de 29 de julio de 2019, Fashion ID (C‑40/17, EU:C:2019:629), apartados 65 y 66.
6      El Tribunal de Justicia ha llegado incluso a considerar que una persona física o jurídica que, atendiendo a sus propios objetivos, influye en el tratamiento de datos personales y participa, por tanto, en la determinación de los fines y los medios del tratamiento puede ser considerada «responsable del tratamiento» (véanse las sentencias de 10 de julio de 2018, Jehovan todistajat, C‑25/17, EU:C:2018:551, apartado 68, y de 29 de julio de 2019, Fashion ID, C‑40/17, EU:C:2019:629, apartado 68).
7      El RGPD no define expresamente qué es una «reclamación», pero el texto del artículo 77 ofrece una primera indicación al respecto. Según las directrices del Comité Europeo de Protección de Datos (CEPD), una reclamación es una solicitud presentada a una autoridad de control por una persona física identificada —o por un organismo que cumpla los requisitos del artículo 80— que considera que el tratamiento de sus datos constituye una infracción del RGPD. El CEPD precisa que este concepto no se limita a las vulneraciones de los derechos especificados en el capítulo III, sino que abarca de manera más amplia cualquier infracción del Reglamento resultante del tratamiento de los datos personales del reclamante (CEPD, Internal Document 6/2020 on preliminary steps to handle a complaint, adoptado el 15 de diciembre de 2020, p. 3).
8      Véanse las sentencias de 7 de diciembre de 2023, SCHUFA Holding (Exoneración del pasivo insatisfecho) (C‑26/22 y C‑64/22, EU:C:2023:958), apartado 58; de 26 de septiembre de 2024, Land Hessen (Obligación de actuar de la autoridad de protección de datos) (C‑768/21, EU:C:2024:785), apartado 35, y de 9 de enero de 2025, Österreichische Datenschutzbehörde (Solicitudes excesivas) (C‑416/23, EU:C:2025:3), apartado 39.
9      Véase la sentencia del Tribunal de la AELC de 10 de diciembre de 2020, UC/Órgano de Vigilancia de la AELC (asuntos acumulados E‑11/19 y E‑12/19), apartado 45.
10      Véanse las sentencias de 6 de octubre de 2015, Schrems (C‑362/14, EU:C:2015:650), apartado 63; de 16 de julio de 2020, Facebook Ireland y Schrems (C‑311/18, EU:C:2020:559), apartado 107; de 7 de diciembre de 2023, SCHUFA Holding (Exoneración del pasivo insatisfecho) (C‑26/22 y C‑64/22, EU:C:2023:958), apartado 56, y de 26 de septiembre de 2024, Land Hessen (Obligación de actuar de la autoridad de protección de datos) (C‑768/21, EU:C:2024:785), apartado 32.
11      En este contexto, cabe recordar las conclusiones del Abogado General Pikamäe presentadas en los asuntos acumulados SCHUFA Holding (Exoneración del pasivo insatisfecho) (C‑26/22 y C‑64/22, EU:C:2023:222), punto 42, en las que subrayó que el legislador de la Unión no tenía como objetivo hacer del procedimiento de reclamación un procedimiento similar a una mera «petición». Al contrario, el objetivo legislativo parece haber sido crear un mecanismo capaz de proteger de manera eficaz los derechos e intereses de las personas que presentan reclamaciones. En particular, las obligaciones establecidas en el artículo 57, apartado 1, letra f), del RGPD, que incumben a la autoridad de control en el marco del tratamiento de estas reclamaciones y se inscriben en el principio de «buena administración», confirman la voluntad del legislador de conferir a este procedimiento la sustancia de «un auténtico recurso administrativo».
12      Véase la sentencia de 26 de septiembre de 2024, Land Hessen (Obligación de actuar de la autoridad de protección de datos) (C‑768/21, EU:C:2024:785), apartado 42.
13      Véanse las sentencias de 7 de diciembre de 2023, SCHUFA Holding (Exoneración del pasivo insatisfecho) (C‑26/22 y C‑64/22, EU:C:2023:958), apartado 70, y de 26 de septiembre de 2024, Land Hessen (Obligación de actuar de la autoridad de protección de datos) (C‑768/21, EU:C:2024:785), apartado 49.
14      No existen disposiciones uniformes en el Derecho de la Unión en cuanto al tratamiento concreto de las reclamaciones por las autoridades de control. Por consiguiente, la práctica administrativa presenta ciertas diferencias entre los Estados miembros. No obstante, el CEPD se esfuerza, mediante directrices y la elaboración de «buenas prácticas», por garantizar un cierto grado de armonización de la actividad de control y de las modalidades procedimentales, en particular en lo que se refiere a la admisión o el archivo de las reclamaciones, el reconocimiento de arreglos amistosos, etc. (véase, a este respecto, CEPD, Internal document 6/2020 on preliminary steps to handle a complaint: admissibility and vetting of complaints, adoptado el 15 de diciembre de 2020).
15      Como señaló el Tribunal de la AELC en la sentencia de 10 de diciembre de 2020, UC/Órgano de Vigilancia de la AELC (asuntos acumulados E‑11/19 y E‑12/19), apartado 60, la autoridad de control está facultada, en virtud del artículo 57, apartado 1, letra h), del RGPD, para incoar investigaciones de oficio. Por lo tanto, al examinar una reclamación, puede pronunciarse sobre otras pretensiones o sobre otro objeto del litigio distintos de los invocados por el reclamante. La eficacia del procedimiento de reclamación exige que la autoridad de control no se vea limitada, en el ejercicio de sus facultades de investigación, por la forma en que el reclamante haya formulado las cuestiones jurídicas pertinentes en su reclamación.
16      Las autoridades de control parecen tratar las reclamaciones basándose en las disposiciones del Derecho nacional o en su propio margen de apreciación. También parecen existir diferencias en cuanto al tratamiento de las reclamaciones según criterios pragmáticos o en el marco de un procedimiento simplificado (véase, a este respecto, González Fuster, G., y otros, «The right to lodge a complaint: ok, but then what? — An empirical study of current practices under the GDPR», Access Now, Open Universiteit, 2022, p. 30).
17      Véanse las sentencias de 11 de enero de 2024, État belge (Datos tratados por una publicación oficial) (C‑231/22, EU:C:2024:7), apartado 39, y de 27 de febrero de 2025, Amt der Tiroler Landesregierung (C‑638/23, EU:C:2025:127), apartado 49.
18      A instancias del Tribunal de Justicia, el Landesamt expuso su práctica administrativa en materia de tramitación de las reclamaciones. A este respecto, precisó que los reclamantes pueden solicitar, en su caso por vía electrónica, a los agentes competentes del Landesamt el acceso al expediente. De sus explicaciones se desprende claramente que los criterios que aplica el Landesamt al tramitar las reclamaciones, en particular en lo que se refiere a los datos recogidos, las medidas organizativas adoptadas y las investigaciones realizadas, forman parte de la autonomía que le confiere el RGPD en el ejercicio de sus funciones.
19      Möhle, J.‑P., «Verantwortlichkeit als integrierendes Konzept im Datenschutzrecht», Die Öffentliche Verwaltung, 2023, n.º 3, p. 108, explica que solo la persona que realmente puede ejercer influencia puede estar sujeta a las obligaciones derivadas de la legislación en materia de protección de datos (como las obligaciones de información, responsabilidad o cooperación), es decir, aquella que puede prevenir futuras infracciones de las normas en materia de protección de datos. A mi juicio, no hay duda de que, en un procedimiento de reclamación, solo la autoridad de control responde a esta definición.
20      Ahora bien como ha declarado el Tribunal de Justicia, el objetivo perseguido por la definición amplia del concepto de «responsable del tratamiento» es precisamente garantizar una protección eficaz y completa de los interesados (véanse las sentencias de 13 de mayo de 2014, Google Spain y Google, C‑131/12, EU:C:2014:317, apartado 34; de 29 de julio de 2019, Fashion ID, C‑40/17, EU:C:2019:629, apartado 66, y de 5 de junio de 2018, Wirtschaftsakademie Schleswig-Holstein, C‑210/16, EU:C:2018:388, apartado 28).
21      Véase, en este sentido, Kunert, J., «Vorabentscheidungsersuchen an den EuGH zur Aufsichtsbehörde als Verantwortlicher und zur Rechtmäßigkeit des Art. 20 II BayDSG», GRUR-Prax, 2025, n.º 9, p. 324.
22      Véase la sentencia de 22 de junio de 2023, Pankki S (C‑579/21, EU:C:2023:501), apartado 50.
23      Véase la sentencia de 4 de mayo de 2023, Österreichische Datenschutzbehörde y CRIF (C‑487/21, EU:C:2023:369), apartados 33 y 34.
24      Véase la sentencia de 4 de mayo de 2023, Österreichische Datenschutzbehörde y CRIF (C‑487/21, EU:C:2023:369), apartado 41.
25      Véanse las sentencias de 20 de diciembre de 2017, Nowak (C‑434/16, EU:C:2017:994), apartado 57; de 12 de enero de 2023, Österreichische Post (Información relativa a los destinatarios de datos personales) (C‑154/21, EU:C:2023:3), apartado 38, y de 4 de mayo de 2023, Österreichische Datenschutzbehörde y CRIF (C‑487/21, EU:C:2023:369), apartado 35.
26      Zanfir‑Fortuna, G., «Article 15. Right of access by the data subject», en Kuner, C., Bygrave, L. A., y Docksey, C., The EU General Data Protection Regulation (GDPR): A Commentary, Oxford, 2020, p. 452, subraya la importancia de distinguir entre el derecho de acceso a los propios datos personales, reconocido en el artículo 15 del RGPD, y el derecho de acceso a la información pública. Estos dos derechos se basan en finalidades normativas diferentes: el primero tiene por objeto garantizar la transparencia con respecto a la persona cuyos datos son recogidos y tratados por un responsable del tratamiento (transparencia inter partes), mientras que la finalidad del segundo es garantizar la transparencia hacia el público en lo que respecta a la información que tiene valor o interés público (transparencia erga omnes).
27      Gumzej, N., «DPA powers toward effective and transparent GDPR enforcement: the case of Croatia», Juridical Tribune — Review of Comparative and International Law, vol. 13, n.º 2, 2023, p. 210, remite a las leyes vigentes sobre la libertad de acceso a la información.
28      Schemmer, F., «Der Auskunftsanspruch der DS‑GVO — Umfang des datenschutzrechtlichen Auskunftsanspruchs gem. Art. 15 DS‑GVO und dessen Grenzen», Zeitschrift für das gesamte Informationsrecht, 2024, n.º 5, p. 210.
29      Véanse las sentencias de 6 de marzo de 2007, Placanica y otros (C‑338/04, C‑359/04 y C‑360/04, EU:C:2007:133), apartado 34, y de 21 de junio de 2022, Ligue des droits humains (C‑817/19, EU:C:2022:491), apartado 240.
30      Véanse las sentencias de 25 de octubre de 2001, Ambulanz Glöckner (C‑475/99, EU:C:2001:577), apartado 10, y de 14 de noviembre de 2024, S. (Modificación de las salas) (C‑197/23, EU:C:2024:956), apartado 43.
31      Véanse las sentencias de 16 de julio de 2020, Facebook Ireland y Schrems (C‑311/18, EU:C:2020:559), apartado 172; de 12 de enero de 2023, Österreichische Post (Información relativa a los destinatarios de datos personales) (C‑154/21, EU:C:2023:3), apartado 47, y de 21 de marzo de 2024, Landeshauptstadt Wiesbaden (C‑61/22, EU:C:2024:251), apartado 75.
32      Giurgiu, A., y Larsen, T., «Roles and Powers of National Data Protection Authorities — Moving from Directive 95/46/EC to the GDPR: Stronger and More European DPAs as Guardians of Consistency?», European Data Protection Law Review, n.º 3, 2016, p. 352, consideran que las autoridades de control son las principales garantes de los derechos de los individuos, debido a su papel fundamental en la supervisión y la aplicación de las normas en materia de protección de datos establecidas en el RGPD. Destacan la importancia de dotar a estas autoridades de recursos suficientes, tanto en personal como en medios económicos, para que puedan cumplir eficazmente sus funciones.
33      Véase la sentencia de 9 de enero de 2025, Österreichische Datenschutzbehörde (Solicitudes excesivas) (C‑416/23, EU:C:2025:3), apartado 40.
34      Véase la sentencia de 1 de agosto de 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601), apartado 85.
35      Véase la sentencia de 24 de febrero de 2022, Valsts ieņēmumu dienests (Tratamiento de datos personales con fines fiscales) (C‑175/20, EU:C:2022:124), apartado 56.
36      Véase, a este respecto, CEPD, Guidelines 10/2020 on restrictions under Article 23 GDPR (version 2.1), adoptadas el 13 de octubre de 2021, puntos 65 a 67 y 82, que recomiendan limitaciones temporales al ejercicio de determinados derechos de los interesados para no comprometer las investigaciones administrativas.
37      Véanse las sentencias de 8 de abril de 2014, Digital Rights Ireland y otros (C‑293/12 y C‑594/12, EU:C:2014:238), apartado 38; de 6 de octubre de 2015, Schrems (C‑362/14, EU:C:2015:650), apartado 94; de 16 de julio de 2020, Facebook Ireland y Schrems (C‑311/18, EU:C:2020:559), apartado 174, y de 6 de octubre de 2020, La Quadrature du Net y otros (C‑511/18, C‑512/18 y C‑520/18, EU:C:2020:791), apartado 121.
38      El Tribunal de Justicia ha recordado en reiterada jurisprudencia este objetivo y ha subrayado que la protección de los datos personales está garantizada tanto por el artículo 16 TFUE como por el artículo 8 de la Carta, reconociendo así este derecho en dos disposiciones del Derecho primario de la Unión (véase la sentencia de 12 de enero de 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, apartado 43).
39      Véase la sentencia de 22 de junio de 2023, Pankki S (C‑579/21, EU:C:2023:501), apartados 53 y ss.
40      Véase la sentencia de 4 de mayo de 2023, Österreichische Datenschutzbehörde y CRIF (C‑487/21, EU:C:2023:369), apartado 44.
41      Véanse los puntos 59 y ss. de las presentes conclusiones.
42      Véase la sentencia de 12 de enero de 2023, Österreichische Post (Información relativa a los destinatarios de datos personales) (C‑154/21, EU:C:2023:3), apartado 49. Como ha subrayado el Tribunal de Justicia, el responsable del tratamiento soportará la carga de demostrar el carácter manifiestamente infundado o excesivo de una solicitud de conformidad con el artículo 12, apartado 5, del RGPD.
43      Véase, a este respecto, Agencia de los Derechos Fundamentales de la Unión Europea (FRA), GDPR in practice — Experiences of Data Protection Authorities, Luxemburgo, 11 de junio de 2024, p. 21, que describe la disponibilidad de recursos de las autoridades de control a lo largo de los años como «generalmente insuficiente». Tras la primera evaluación de la Comisión sobre la aplicación del RGPD, el Parlamento Europeo aprobó una resolución en la que se instaba a los Estados miembros a cumplir su obligación, establecida en el artículo 52, apartado 4, del RGPD, de dotar a sus autoridades de control de recursos suficientes para que puedan cumplir sus funciones eficazmente y garantizar condiciones equitativas para la aplicación del RGPD a nivel europeo.