62023CC0169
CONCLUSIONES DE LA ABOGADA GENERAL
SRA. LAILA MEDINA
presentadas el 6 de junio de 2024 (
1
)
Asunto C‑169/23 [Másdi] (
i
)
Nemzeti Adatvédelmi és Információszabadság Hatóság
contra
UC
[Petición de decisión prejudicial planteada por la Kúria (Tribunal Supremo, Hungría)]
«Procedimiento prejudicial — Protección de datos personales — Reglamento (UE) 2016/679 — Tratamiento de datos para la emisión de un certificado COVID‑19 — Información que debe facilitarse cuando los datos personales no se han obtenido del interesado — Artículo 14, apartado 1 — Excepciones a la obligación de facilitar información — Obtención o comunicación expresamente establecida por el Derecho de la Unión o por el Derecho de los Estados miembros — Medidas adecuadas para proteger los intereses legítimos del interesado — Artículo 14, apartado 5, letra c) — Derecho a presentar una reclamación ante una autoridad de control — Artículo 77»
I. Introducción
1.
Una de las obligaciones más importantes del responsable del tratamiento es la obligación de proporcionar información al interesado. En sus conclusiones presentadas en el asunto Bara y otros, el Abogado General Cruz Villalón lo aclaró con elocuencia al afirmar que el requisito de informar al interesado «garantiza la transparencia de todo tratamiento». (
2
) La obligación de información constituye un derecho clave del interesado a recibir información sobre el tratamiento de sus datos. Según la doctrina jurídica, (
3
) el derecho a la información «constituye una concreción» del principio de transparencia y «es el punto focal» de todos los demás derechos. En efecto, la imposición de numerosos requisitos de información permite al interesado ejercer otros importantes derechos reconocidos por el Reglamento (UE) 2016/679. (
4
)
2.
El presente asunto se plantea en el contexto de la expedición de certificados COVID‑19. En él se insta al Tribunal de Justicia, por primera vez, a que interprete una excepción fundamental de la obligación de información que incumbe al responsable del tratamiento, prevista en el artículo 14, apartado 5, letra c), del RGPD. Dicha excepción se examinará en relación con las facultades de la autoridad de control en el marco de una reclamación presentada por el interesado.
II. Marco jurídico
A.
Derecho de la Unión
3.
El artículo 14 del RGPD, titulado «Información que deberá facilitarse cuando los datos personales no se hayan obtenido del interesado», dispone, en sus apartados 1, 2 y 5:
«1.   Cuando los datos personales no se hayan obtenidos del interesado, el responsable del tratamiento le facilitará la siguiente información:
a)
la identidad y los datos de contacto del responsable y, en su caso, de su representante;
b)
los datos de contacto del delegado de protección de datos, en su caso;
c)
los fines del tratamiento a que se destinan los datos personales, así como la base jurídica del tratamiento;
d)
las categorías de datos personales de que se trate;
e)
los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
f)
en su caso, la intención del responsable de transferir datos personales a un destinatario en un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión [Europea] […]
2.   Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente respecto del interesado:
a)
el plazo durante el cual se conservarán los datos personales o, cuando eso no sea posible, los criterios utilizados para determinar este plazo;
b)
cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable del tratamiento o de un tercero;
c)
la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, y a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
d)
cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basada en el consentimiento antes de su retirada;
e)
el derecho a presentar una reclamación ante una autoridad de control;
f)
la fuente de la que proceden los datos personales y, en su caso, si proceden de fuentes de acceso público;
g)
la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado.
[…]
5.   Las disposiciones de los apartados 1 a 4 no serán aplicables cuando y en la medida en que:
[…]
c)
la obtención o la comunicación esté expresamente establecida por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento y que establezca medidas adecuadas para proteger los intereses legítimos del interesado, o
[…]».
4.
El artículo 32 del RGPD, titulado «Seguridad del tratamiento», establece en su apartado 1:
«Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo […]
[…]».
5.
El artículo 77 del RGPD, titulado «Derecho a presentar una reclamación ante una autoridad de control», preceptúa en su apartado 1:
«Sin perjuicio de cualquier otro recurso administrativo o acción judicial, todo interesado tendrá derecho a presentar una reclamación ante una autoridad de control, en particular en el Estado miembro en el que tenga su residencia habitual, lugar de trabajo o lugar de la supuesta infracción, si considera que el tratamiento de datos personales que le conciernen infringe el presente Reglamento.»
B.
Derecho húngaro
6.
En virtud del artículo 2, apartado 1, letras a) a g), del a koronavírus elleni védettségi igazolásról szóló 60/2021. (II.12.) Korm. rendelet (Decreto del Gobierno 60/2021 sobre el Certificado de Inmunidad frente al Coronavirus), de 12 de febrero (en lo sucesivo, «Decreto 60/2021»), en la versión aplicable al litigio principal, tiene el siguiente tenor:
«El certificado de inmunidad indicará:
a)
el nombre del interesado;
b)
el número de pasaporte del interesado, en caso de que disponga de uno;
c)
el número y el identificador del documento de identidad permanente del interesado, en caso de que disponga de uno;
d)
el número de serie del certificado de inmunidad;
e)
cuando se presente certificado de vacunación, la fecha en que se administró la vacuna;
f)
cuando se presente prueba de haber superado la infección, la fecha de validez de la prueba;
g)
un código de almacenamiento de datos, legible ópticamente mediante dispositivos informáticos, generado a partir de los datos mencionados en las letras a) a f);
[…]».
7.
De conformidad con el artículo 2, apartados 6 y 7, del Decreto 60/2021, la Budapest Főváros Kormányhivatala (Delegación del Gobierno en Budapest Capital, Hungría; en lo sucesivo, «Delegación del Gobierno en Budapest») debía emitir el certificado de inmunidad a favor de la persona física legitimada, bien de oficio o previa solicitud.
8.
En virtud del artículo 3, apartado 3, del Decreto 60/2021:
«En los supuestos contemplados en el artículo 2, apartado 6, letras c) y d), la [Delegación del Gobierno en Budapest] recopilará, mediante transmisión automática de información —si fuere necesario, a través de los servicios correspondientes del összerendelési nyilvántartás [(Registro de Ordenación Electrónica de los Datos de Identificación, Hungría)]—,
a)
del operador del EESZT [Elektronikus Egészségügyi Szolgáltatási Tér (Área de Servicios Sanitarios Electrónicos)]: el número de seguridad social del interesado, los datos contemplados en el artículo 2, apartado 1, letras e) y g), así como los datos contemplados en el apartado 1;
b)
del organismo encargado del registro de datos personales y direcciones: el nombre, los identificadores documentales del pasaporte y del documento de identidad permanente y la dirección del interesado.»
III. Procedimiento principal y cuestiones prejudiciales
9.
UC, persona física, recibió de la Delegación del Gobierno en Budapest un certificado de inmunidad que acreditaba que había sido vacunado contra la COVID‑19.
10.
El 30 de abril de 2021, UC presentó, sobre la base del artículo 77, apartado 1, del RGPD, una reclamación ante la Nemzeti Adatvédelmi és Információszabadság Hatóság (Autoridad Nacional de Protección de Datos y Libertad de Información, Hungría; en lo sucesivo, «Autoridad Húngara de Control»). UC solicitó a dicha autoridad que ordenara a la Delegación del Gobierno en Budapest que adecuase sus operaciones de tratamiento a lo dispuesto en el RGPD. En su reclamación, UC alegó, entre otros extremos, que la Delegación del Gobierno en Budapest no había elaborado ni publicado un folleto informativo sobre el tratamiento de los datos relativos a la emisión de los certificados de inmunidad y que no había suficiente información acerca de la finalidad y base jurídica del tratamiento ni sobre cuáles eran los derechos que asistían a los interesados y cómo podían ejercerse.
11.
En el procedimiento iniciado a raíz de la presentación de la reclamación, la Delegación del Gobierno en Budapest declaró que desempeñaba sus funciones relativas a la emisión de los certificados de inmunidad en virtud del artículo 2 del Decreto 60/2021, y que la base jurídica del tratamiento era el artículo 6, apartado 1, letra e), del RGPD y, por lo que respecta al tratamiento de categorías especiales de datos personales, el artículo 9, apartado 2, letra i), del RGPD.
12.
Además, la Delegación del Gobierno en Budapest indicó que, con arreglo al artículo 3, apartados 2 y 3, del Decreto 60/2021, había recopilado los datos sometidos a tratamiento mediante transmisión automática de información del operador del Área de Servicios Sanitarios Electrónicos y del organismo encargado del registro de datos personales y direcciones. Afirmó que, en virtud del artículo 14, apartado 5, letra c), del RGPD, no estaba obligada a facilitar información sobre el tratamiento. En este contexto, precisó que había elaborado una nota de privacidad sobre el tratamiento en cuestión y la había publicado en su página web.
13.
Mediante resolución de 15 de noviembre de 2021, la Autoridad Húngara de Control desestimó la reclamación del demandante por considerar que la Delegación del Gobierno en Budapest no tenía obligación de facilitar información, dado que procedía aplicar al tratamiento la excepción prevista en el artículo 14, apartado 5, letra c), del RGPD. Más concretamente, dicha autoridad de control consideró que el Decreto 60/2021 constituía la base jurídica del tratamiento y que la Delegación del Gobierno en Budapest no había obtenido los datos de los propios interesados. Asimismo, declaró que el artículo 3, apartado 1, del Decreto 60/2021 ordenaba expresamente a la Delegación del Gobierno en Budapest que recogiera los datos. El hecho de que la autoridad emisora hubiera publicado en su página web información sobre el tratamiento de los datos, a pesar de no estar legalmente obligada a hacerlo, se consideró una buena práctica.
14.
La Autoridad Húngara de Control examinó de oficio la cuestión relativa a las medidas adecuadas para proteger los intereses legítimos del interesado, mencionadas en el artículo 14, apartado 5, letra c), del RGPD, y declaró que los artículos 2 y 3, así como 5 a 7, del Decreto 60/2021 debían considerarse tales medidas.
15.
UC impugnó la resolución de la Autoridad Húngara de Control ante la Fővárosi Törvényszék (Tribunal General de la Capital, Hungría). Dicho tribunal estimó el recurso, anuló la resolución de la Autoridad Húngara de Control y le ordenó tramitar un nuevo procedimiento.
16.
En la motivación de su sentencia, el Fővárosi Törvényszék (Tribunal General de la Capital) declaró que la excepción prevista en el artículo 14, apartado 5, letra c), del RGPD no resultaba aplicable porque en el contexto de los certificados de inmunidad se generan datos que el responsable del tratamiento no recopila de otro organismo, sino que genera él mismo. Entre estos datos figuran el número de serie del certificado de inmunidad, el plazo de validez del certificado, el código QR incorporado al certificado, el código de barras y otros códigos alfanuméricos generados por el responsable del tratamiento durante el procedimiento.
17.
La Autoridad Húngara de Control interpuso recurso de casación extraordinario contra dicha sentencia definitiva del Fővárosi Törvényszék (Tribunal General de la Capital) ante la Kúria (Tribunal Supremo, Hungría).
18.
En lo que atañe a la aplicación de la excepción prevista en el artículo 14, apartado 5, letra c), del RGPD, el órgano jurisdiccional remitente considera que puede referirse a todos los tipos de tratamiento que no versen sobre datos obtenidos del interesado en el sentido del artículo 13 del RGPD, incluidos los datos generados por el responsable del tratamiento.
19.
Si se adopta esta interpretación del artículo 14, apartado 5, letra c), el órgano jurisdiccional remitente alberga dudas sobre el alcance de las facultades correctivas de que disponen las autoridades nacionales de control en el contexto de una reclamación presentada en virtud del artículo 77, apartado 1, del RGPD. Más concretamente, el órgano jurisdiccional remitente se pregunta si, en el marco de tal reclamación, la autoridad de control está facultada para examinar las medidas adecuadas establecidas en el Derecho nacional para proteger los intereses legítimos del interesado, a las que se refiere el artículo 14, apartado 5, letra c), del RGPD.
20.
En caso de que se considere que la autoridad de control dispone de esa facultad, el órgano jurisdiccional remitente se pregunta sobre el sentido exacto del concepto de «medidas adecuadas para proteger los intereses legítimos del interesado». A este respecto, señala que podría constatarse que las «medidas adecuadas» comprenden, por un lado, la transposición al Derecho nacional de los elementos enumerados en el artículo 14, apartado 1, letras a) a f), del RGPD. Por el otro, tales medidas podrían implicar el derecho a solicitar que se evalúe la seguridad del tratamiento, regulada en el artículo 32 del RGPD. Sin embargo, esta concepción de las «medidas adecuadas» podría lastrar las normas jurídicas con disposiciones técnicas, lo que resultaría contrario a la exigencia de que los textos normativos sean claros e inteligibles. También podría considerarse garantía suficiente que tales medidas relativas a la seguridad de los datos se cumplan, aun sin haber sido transpuestas específicamente.
21.
En tales circunstancias, la Kúria (Tribunal Supremo) decidió suspender el procedimiento y plantear al Tribunal de Justicia las siguientes cuestiones prejudiciales:
«1)
¿Debe interpretarse el artículo 14, apartado 5, letra c), en relación con el artículo 14, apartado 1, y con el considerando 62, del [RGPD], en el sentido de que la excepción prevista en el artículo 14, apartado 5, letra c), no se refiere a los datos generados en el propio procedimiento del responsable del tratamiento, sino únicamente a los datos que el responsable del tratamiento haya obtenido expresamente de otra persona?
2)
En el supuesto de que el artículo 14, apartado 5, letra c), del RGPD también resulte de aplicación a los datos generados en el propio procedimiento del responsable del tratamiento, ¿debe interpretarse el derecho a presentar una reclamación ante una autoridad de control, consagrado en el artículo 77, apartado 1, del RGPD, en el sentido de que una persona física que alegue un incumplimiento de la obligación de facilitar información puede solicitar, al ejercer su derecho a presentar una reclamación, que se examine si, de conformidad con el artículo 14, apartado 5, letra c), del RGPD, el Derecho del Estado miembro establece medidas adecuadas para proteger los intereses legítimos del interesado?
3)
En caso de respuesta afirmativa a la segunda cuestión, ¿puede interpretarse el artículo 14, apartado 5, letra c), del RGPD en el sentido de que las “medidas adecuadas” mencionadas en dicha disposición implican que el legislador nacional debe transponer (mediante norma jurídica) las medidas relativas a la seguridad de los datos establecidas en el artículo 32 del RGPD?»
22.
Han presentado observaciones escritas UC, la Autoridad Húngara de Control, el Gobierno húngaro y la Comisión. El Tribunal de Justicia remitió a las partes y a los interesados mencionados en el artículo 23 del Estatuto del Tribunal de Justicia de la Unión Europea varias preguntas para que respondieran por escrito, a las que UC, el Gobierno checo, el Gobierno húngaro y la Comisión dieron respuesta.
IV. Apreciación
A.
Observaciones preliminares sobre la obligación de información y la excepción prevista en el artículo 14, apartado 5, letra c), del RGPD
23.
El suministro de información a los interesados es el elemento nuclear del principio de transparencia establecido en el artículo 5, apartado 1, letra a), del RGPD. La transparencia «capacita a los interesados para pedir cuentas a los responsables y los encargados del tratamiento», puesto que refuerza su posibilidad de ejercer control sobre sus datos. (
5
) En efecto, como se observa en la sentencia Bara y otros, «esa exigencia de información de los interesados resulta especialmente importante en la medida en que es una condición necesaria para el ejercicio por estos de su derecho de acceso a los datos objeto de tratamiento y de rectificación de los mismos». (
6
) Las disposiciones clave a este respecto son los artículos 12, 13 y 14 del RGPD.
24.
Con arreglo al artículo 12, apartado 1, del RGPD, el responsable del tratamiento debe tomar las medidas oportunas para facilitar la información indicada en los artículos 13 y 14 «en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo». Por lo general, la información se comunica en una política de privacidad, un aviso de privacidad o una declaración de privacidad. (
7
)
25.
El contenido y el alcance de la obligación de información se establecen en los artículos 13 y 14 del RGPD. El artículo 13 recoge la información que debe facilitarse cuando los datos personales se obtienen del interesado (obtención directa), mientras que el artículo 14 se refiere a la información que debe facilitarse cuando los datos personales no se han obtenido del interesado (obtención indirecta). (
8
) La información que debe proporcionarse en virtud de estas dos disposiciones se solapa significativamente. (
9
)
26.
Por lo que respecta a la obtención indirecta de datos, el artículo 14, apartado 1, del RGPD incluye en el «catálogo de información estándar» (
10
) información sobre la identidad del responsable del tratamiento, los fines del tratamiento, los destinatarios de los datos y la posible transferencia de datos a un destinatario en un tercer país. En cuanto a la información adicional necesaria para garantizar un tratamiento de datos leal y transparente, el artículo 14, apartado 2, se refiere expresamente al plazo durante el cual se conservarán los datos personales, a los intereses legítimos del responsable del tratamiento (
11
) y a la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales, y su rectificación o supresión.
27.
En caso de obtención indirecta, la obligación de información que incumbe al responsable del tratamiento en virtud del artículo 14 del RGPD está sujeta a cuatro excepciones, establecidas en el apartado 5 de dicho precepto. La excepción en cuestión en el litigio principal es la prevista en el artículo 14, apartado 5, letra c), que contiene una «cláusula de apertura». (
12
) El responsable del tratamiento no está obligado a facilitar información cuando y en la medida en que «la obtención o la comunicación esté expresamente establecida por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento» y dicho Derecho «establezca medidas adecuadas para proteger los intereses legítimos del interesado».
28.
La versión inglesa del artículo 14, apartado 5, letra c) del RGPD, al igual que otras versiones lingüísticas, (
13
) no menciona de forma expresa el objeto del acto de «obtención o comunicación». Otras versiones lingüísticas sí se refieren explícitamente a la obtención o comunicación de «datos». (
14
) La versión en lengua francesa parece ser la única que hace referencia a la obtención o comunicación de «información». (
15
)
29.
Sin embargo, dado que, en principio, debe reconocerse el mismo valor a todas las versiones lingüísticas de un acto de la Unión, en caso de divergencia entre dichas versiones, la disposición de que se trate debe interpretarse en función de la finalidad y de la estructura general de la normativa en que se integra. (
16
)
30.
A este respecto, de la estructura general de la normativa en que se integra el artículo 14, apartado 5, letra c), del RGPD resulta que la obtención o comunicación se refiere a datos personales (y no a información). Del propio título del artículo 14 se desprende que la información se «facilitará», mientras que el objeto del acto de obtención son los «datos personales». Esta interpretación se ve corroborada por el considerando 61, que se refiere a los «datos personales» que se obtienen de otra fuente, así como por el considerando 62, que menciona el registro o la comunicación de «datos personales». Por otra parte, habida cuenta del amplio significado del concepto de «tratamiento» con arreglo al artículo 4, punto 2, del RGPD, que lo define como cualquier operación o conjunto de operaciones realizadas sobre datos personales, (
17
) la «obtención o comunicación» debe entenderse como una operación de tratamiento realizada sobre datos personales.
31.
En lo tocante a la finalidad de la normativa en que se integra el artículo 14, apartado 5, letra c), del RGPD, el presupuesto que subyace a la excepción en cuestión parece ser que el Derecho de la Unión o de los Estados miembros reemplaza o sustituye a la obligación de facilitar información sobre la obtención o comunicación de datos que incumbe, por lo general, al responsable del tratamiento. (
18
) De conformidad con la ley pertinente, los interesados ya tendrán un conocimiento suficiente de la obtención o comunicación de los datos. (
19
) Tal ley, a la que esté sujeto el responsable del tratamiento, debe mencionar expresamente la obtención o la comunicación de los datos y la obtención o comunicación en cuestión deben ser obligatorias para el responsable. (
20
)
32.
Por tanto, de lo anterior se deduce claramente que la excepción en materia de obtención o comunicación tiene por objeto los datos personales.
33.
Para analizar las cuestiones prejudiciales planteadas, profundizaré en el examen de la excepción prevista en el artículo 14, apartado 5, letra c), del RGPD a la luz de las anteriores observaciones.
B.
Primera cuestión prejudicial
34.
Mediante su primera cuestión prejudicial, el órgano jurisdiccional remitente pregunta, en esencia, si el artículo 14, apartado 5, letra c), del RGPD debe interpretarse en el sentido de que la excepción relativa a la obligación del responsable del tratamiento de informar al interesado únicamente se refiere a los datos que el responsable del tratamiento haya obtenido expresamente de otra persona, y no a los generados por el responsable del tratamiento en el marco de su propio procedimiento.
35.
Esta cuestión viene suscitada por la circunstancia de que, en el litigio principal, algunos datos contenidos en los certificados COVID‑19 no fueron obtenidos por otro organismo, sino que fueron generados por la Delegación del Gobierno en Budapest. (
21
)
36.
Por tanto, procede determinar si el término «obtención», que figura en el artículo 14, apartado 5, letra c), del RGPD excluye los datos generados por el responsable del tratamiento.
37.
Para responder a esta cuestión, procede recordar, con carácter preliminar, que la interpretación de una disposición del Derecho de la Unión requiere tener en cuenta no solo su tenor, sino también el contexto en el que se inscribe, así como los objetivos y la finalidad que persigue el acto del que forma parte. (
22
)
38.
En lo concerniente al tenor del artículo 14, apartado 5, letra c), del RGPD, esta disposición no establece ninguna limitación respecto de un tipo específico de tratamiento o del método exacto aplicado por el responsable del tratamiento para obtener los datos. Los datos pueden obtenerse mediante un procedimiento técnico, como la generación de datos por el responsable del tratamiento.
39.
El considerando 62 del RGPD confirma esta interpretación amplia del término «obtención». Dicho considerando emplea el término «registro» de los datos, operación que, como ha señalado el órgano jurisdiccional remitente, se refiere a un conjunto más amplio de operaciones de tratamiento que puede realizar el responsable del tratamiento. Por consiguiente, el artículo 14, apartado 5, letra c), no puede interpretarse en el sentido de que únicamente resulta aplicable a los datos obtenidos de otro organismo y no a los datos generados por el responsable del tratamiento.
40.
Tal interpretación del artículo 14, apartado 5, letra c) del RGPD también se ve corroborada por el contexto en el que se enmarca dicha disposición, así como por los objetivos y la finalidad que persigue.
41.
A este respecto, se ha de señalar que las excepciones previstas en el artículo 14, apartado 5, se refieren a los apartados 1 a 4 de ese mismo artículo. El ámbito de aplicación material del artículo 14, en el que se integra la excepción en cuestión, se define de forma negativa, en comparación con el artículo 13. Mientras que el artículo 13 recoge la información que debe facilitarse cuando los datos personales se obtienen del interesado, el artículo 14 se refiere a la información que debe facilitarse cuando los datos personales no se han obtenido del interesado. De la dicotomía entre la obtención de datos directa e indirecta se deduce que todos los supuestos en los que los datos no se obtengan del interesado están comprendidos en el ámbito de aplicación material del artículo 14. Poco importa que los datos hayan sido generados por el responsable del tratamiento si no han sido obtenidos del interesado. El amplio ámbito de aplicación material del artículo 14 también se ve confirmado por el considerando 61, que se refiere a los datos que se «obtienen de otra fuente», esto es, de una fuente distinta del interesado.
42.
Por otra parte, como han señalado, en esencia, la Comisión y la Autoridad Húngara de Control, las normas establecidas en los artículos 13 y 14 del RGPD forman un sistema exhaustivo que regula el suministro de información al interesado en todas las situaciones posibles. Si se interpretase el término «obtención» del artículo 14, apartado 5, letra c), del RGPD en el sentido de que excluye los datos generados por el responsable del tratamiento, dicha disposición tendría un alcance más restrictivo que el artículo 14, en el que se integra.
43.
En cuanto a la finalidad específica de la excepción en cuestión, como se ha recordado en las observaciones preliminares de las presentes conclusiones, la excepción a la obligación de información del responsable del tratamiento se basa en el presupuesto de que la normativa sustituye a la obligación que, por lo general, incumbe a dicho responsable. (
23
) La excepción establecida en el artículo 14, apartado 5, letra c), confiere a los Estados miembros un margen de apreciación para establecer una modalidad diferente de informar al interesado y de garantizar un tratamiento leal y transparente frente a la información facilitada por el responsable del tratamiento de forma individual. Ahora bien, esta modalidad jurídica diferente debe llevar al mismo resultado. La normativa que sustituya a la obligación de informar que incumbe a los responsables del tratamiento debe permitir al interesado ejercer control sobre sus datos y ejercitar los derechos que le confiere el RGPD. (
24
)
44.
Interpretar el artículo 14, apartado 5, letra c), en el sentido de que la generación de datos por el responsable del tratamiento está excluida de su ámbito de aplicación limitaría el margen de apreciación de que disponen los Estados miembros por un motivo que no parece pertinente para la protección de los intereses legítimos del interesado.
45.
Además, una interpretación diferente —que permitiría limitar la excepción prevista en el artículo 14, apartado 5, letra c), en caso de que los datos los genere el responsable del tratamiento— podría implicar una complejidad añadida para el interesado. El interesado debe poder conocer de qué fuente obtendrá información sobre el tratamiento de sus datos cuando no sea él quien los proporcione. La ley de que se trate debe garantizar que, en todas estas situaciones, el interesado podrá presumir cómo será el tratamiento. (
25
)
46.
De lo anterior se desprende que el artículo 14, apartado 5, letra c), del RGPD debe interpretarse en el sentido de que la excepción a la obligación de informar al interesado que incumbe al responsable del tratamiento se refiere a todos los datos que el responsable del tratamiento no haya obtenido del interesado. Carece de pertinencia a este respecto que los datos hayan sido obtenidos expresamente de otra entidad o que hayan sido generados por el responsable del tratamiento en el marco de su propio procedimiento.
C.
Segunda cuestión prejudicial
47.
Mediante su segunda cuestión prejudicial, el órgano jurisdiccional remitente pregunta, en esencia, si el artículo 77, apartado 1, del RGPD debe interpretarse en el sentido de que, en el contexto de un procedimiento de reclamación, la autoridad de control está facultada para examinar si el Derecho de un Estado miembro, al que está sujeto el responsable del tratamiento, establece medidas adecuadas para proteger los intereses legítimos del interesado a efectos de la aplicación de la excepción prevista en el artículo 14, apartado 5, letra c), del citado Reglamento.
48.
A este respecto, cabe recordar, por un lado, que, según el artículo 77, apartado 1, del RGPD, todo interesado tiene derecho a presentar una reclamación ante una autoridad de control, si considera que el tratamiento de datos personales que le conciernen infringe dicho Reglamento. (
26
)
49.
Por otro lado, con arreglo a lo dispuesto en el artículo 55, apartado 1, del RGPD, cada autoridad de control será competente para desempeñar las funciones que se le asignen y ejercer los poderes que se le confieran de conformidad con ese Reglamento en el territorio de su Estado miembro. (
27
) Por añadidura, de conformidad con el artículo 57, apartado 1, letra a), del RGPD, incumbe a las autoridades de control nacionales controlar la aplicación del Reglamento y hacerlo aplicar.
50.
Las disposiciones citadas en los dos puntos anteriores no excluyen del ámbito de competencia de las autoridades nacionales de control los requisitos para la aplicación de la excepción prevista en el artículo 14, apartado 5, letra c), del RGPD.
51.
Así pues, como han alegado, en esencia, el Gobierno húngaro y la Comisión, en el contexto de una reclamación presentada con arreglo al artículo 77, apartado 1, del RGPD, las autoridades de control están facultadas para comprobar si concurren todos los requisitos previstos en el artículo 14, apartado 5, letra c). Como se deduce de la primera frase del artículo 14, apartado 5, todas las excepciones que establece serán aplicables «cuando y en la medida en que» se cumplan los requisitos previstos en dicha disposición.
52.
A este respecto, las autoridades de control deben estar facultadas para examinar, más concretamente, por un lado, si la legislación está directamente dirigida al responsable del tratamiento y si este está obligado a obtener o comunicar los datos. (
28
) Por otro lado, las autoridades de control deben poder examinar si la legislación en la que se basa el responsable del tratamiento prevé «medidas adecuadas para proteger los intereses legítimos del interesado» y si el responsable del tratamiento es capaz de demostrar que la obtención o comunicación de datos personales cumple dichas medidas. (
29
)
53.
La Autoridad Húngara de Control aduce que apreciar si el Derecho nacional establece medidas adecuadas para proteger los intereses legítimos del interesado excedería de las funciones y los poderes de que dispone, respectivamente, con arreglo a los artículos 57 y 58 del RGPD. Dicha autoridad considera que tales disposiciones no confieren poderes correctivos del Derecho nacional a las autoridades de control y que no es posible ejercer tales poderes respecto de un responsable del tratamiento que se ha limitado a observar el Derecho nacional.
54.
En tal sentido, procede señalar, como observó acertadamente la Comisión, que, cuando una autoridad nacional de control examina si se cumplen todos los requisitos para la aplicación de la excepción del artículo 14, apartado 5, letra c), no se trata de apreciar la validez del Derecho nacional. La autoridad de control únicamente ha de examinar si el responsable del tratamiento tiene derecho a invocar la excepción frente a un interesado en una situación particular.
55.
Por tanto, incumbe a la autoridad nacional de control examinar la reclamación de un interesado según la cual el responsable del tratamiento no puede acogerse a la excepción relativa a la obligación de información puesto que la ley pertinente no establece medidas adecuadas para proteger los intereses legítimos del interesado.
56.
Si la autoridad nacional de control llega a la conclusión de que la reclamación es infundada, la persona que la presentó y que impugna tal apreciación debe tener acceso, como se desprende del artículo 78 del RGPD, a las vías de recurso judiciales que le permitan impugnar tal decisión ante los órganos jurisdiccionales nacionales.
57.
Si la autoridad nacional de control considera que la reclamación es fundada y que no concurren los requisitos para la aplicación de la excepción, está facultada, como han sostenido, en esencia, el Gobierno húngaro y la Comisión, para ordenar al responsable del tratamiento que atienda a la solicitud del interesado. En tal situación, el responsable del tratamiento debe facilitar información de conformidad con lo dispuesto en el artículo 14, apartados 1 a 4.
58.
En respuesta a las preguntas escritas formuladas por el Tribunal de Justicia, el Gobierno checo señaló que el examen de la idoneidad de las medidas de protección de los intereses legítimos del interesado no puede llevarse a cabo cuando el Derecho nacional establece, de manera específica y para una situación concreta, una excepción a la obligación de información. Sobre la base de la sentencia Schrems, (
30
) dicho Gobierno aduce, en esencia, que el examen de la compatibilidad de una fuente jurídica con otra es responsabilidad exclusiva de los órganos jurisdiccionales y no de una autoridad administrativa.
59.
A este respecto, procede recordar que una de las principales cuestiones que se plantearon en el asunto del que trae causa la sentencia Schrems versaba sobre las facultades de las autoridades nacionales de control para examinar la solicitud de una persona relativa a la protección de sus derechos y libertades con respecto a una decisión de la Comisión en la que se constataba que un tercer país garantiza un nivel de protección adecuado. (
31
) El Tribunal de Justicia declaró en esencia que, cuando las autoridades nacionales de control examinan tal solicitud, no están habilitadas para declarar por sí mismas la invalidez de la referida decisión. (
32
) Cuando la autoridad nacional de control considere fundadas las alegaciones expuestas por la persona que le haya presentado una solicitud, dicha autoridad debe tener capacidad para comparecer en juicio. (
33
)
60.
Ahora bien, la sentencia Schrems no parece directamente pertinente en lo que concierne a la cuestión de las facultades de que disponen las autoridades de control para examinar la excepción del artículo 14, apartado 5, letra c), del RGDP. Se ha de señalar, antes de nada, que, en el contexto de dicho examen, la autoridad de control no interfiere en la obligación legal impuesta al responsable del tratamiento de obtener o comunicar los datos personales. En otras palabras, la autoridad de control no ordena al responsable del tratamiento que se abstenga de aplicar una obligación legal de obtención o comunicación a la que sigue estando sujeto. Como han alegado, en esencia, la Comisión y el Gobierno húngaro, en tal situación, la facultad de la autoridad nacional de control consiste en ordenar al responsable del tratamiento que facilite la información necesaria sobre su aviso de privacidad (
34
) si no se cumplen los requisitos de la excepción en cuestión. Como se ha expuesto anteriormente, esta orden no afecta a la validez de la medida jurídica a la que está sujeto el responsable del tratamiento.
61.
La facultad de la autoridad de control para ordenar al responsable del tratamiento que facilite información no obsta para que dicha autoridad, si considera que la medida jurídica nacional es inválida, pueda iniciar las acciones judiciales previstas a tal fin por el Derecho nacional, de conformidad con el artículo 58, apartado 5, del RGPD.
62.
Por último, desde un punto de vista más sistémico, como han alegado todas las partes interesadas, la autoridad de control tiene la facultad de asesorar a los poderes legislativo o ejecutivo para que modifiquen la medida jurídica de que se trate si considera que no establece medidas adecuadas para proteger los intereses legítimos del interesado. A este respecto, cabe recordar que, con arreglo al artículo 57, apartado 1, letra c), del RGPD, incumbe a las autoridades de control asesorar al Parlamento nacional, al Gobierno y a otras instituciones y organismos. Dichas autoridades también disponen de los poderes consultivos previstos en el artículo 58, apartado 3, letra b), del RGPD.
63.
De lo anterior se desprende que el artículo 77, apartado 1, del RGPD debe interpretarse en el sentido de que, en el contexto de un procedimiento de reclamación, la autoridad de control está facultada para examinar si se cumplen todos los requisitos establecidos en el artículo 14, apartado 5, letra c), de dicho Reglamento. Más concretamente, está facultada para examinar si el Derecho del Estado miembro, al que está sujeto el responsable del tratamiento, establece medidas adecuadas para proteger los intereses legítimos del interesado.
D.
Tercera cuestión prejudicial
64.
Mediante su tercera cuestión prejudicial, el órgano jurisdiccional remitente pregunta, en esencia, si el artículo 14, apartado 5, letra c), del RGPD debe interpretarse en el sentido de que las «medidas adecuadas» mencionadas en dicha disposición implican que el legislador nacional debe transponer las medidas relativas a la seguridad de los datos establecidas en el artículo 32 de dicho Reglamento.
65.
A este respecto, es preciso recordar, por un lado, que la aplicabilidad de la excepción a la obligación de información prevista en el artículo 14, apartado 5, letra c), del Reglamento está sujeta al establecimiento de «medidas adecuadas» para proteger los intereses legítimos del interesado. Por el otro, del artículo 32 del RGPD se desprende que el responsable y el encargado del tratamiento deben aplicar «medidas técnicas y organizativas apropiadas» para garantizar la seguridad del tratamiento.
66.
No obstante, como sostiene la Comisión, los artículos 14 y 32 tienen un alcance distinto. El alcance de las «medidas adecuadas» debe examinarse en el contexto del artículo 14 del RGPD. Por consiguiente, no es posible determinar ninguno de los requisitos de aplicación de la excepción prevista en el artículo 14, apartado 5, letra c), extrapolando el concepto de «medidas técnicas y organizativas apropiadas» que figura en otra disposición. Además, por lo que respecta al artículo 32 del RGPD, el hecho de que sea el responsable del tratamiento quien facilite la información o que la obtención o comunicación estén previstas por la ley no parece pertinente. Por tanto, el objeto del examen realizado por la autoridad de control debe quedar circunscrito por el ámbito de aplicación del artículo 14.
67.
El contenido exacto de las «medidas adecuadas» no se especifica en el artículo 14, apartado 5, letra c), del RGPD. Es suficientemente amplio para abarcar cualquier medida que el legislador considere necesaria y adecuada. El concepto de «medidas adecuadas» debe interpretarse, como ha alegado, en esencia, la Comisión, a la luz del principio
de transparencia, mencionado en el artículo 5, apartado 1, letra a), del RGPD. A este respecto, debe tenerse en cuenta que la ley de que se trate, como se ha expuesto en las observaciones preliminares de las presentes conclusiones, (
35
)«sustituye» a la obligación de información que incumbe, por lo general, al responsable del tratamiento. Corresponde al legislador determinar las medidas adecuadas en función, por ejemplo, de la categoría de datos obtenidos y del contexto en el que se lleve a cabo el tratamiento.
68.
El Gobierno checo observó, en su respuesta a la pregunta formulada por el Tribunal de Justicia, que el alcance de las medidas adecuadas es más amplio que la lista de datos que figura en el artículo 14, apartados 1, 2 y 4, del RGPD.
69.
Estoy de acuerdo en que la idoneidad de las medidas no puede apreciarse únicamente mediante una comparación «mecánica» con las obligaciones de información del responsable del tratamiento armonizadas por el RGPD. No tendría sentido establecer una «cláusula de apertura» en el artículo 14, apartado 5, letra c), (
36
) e imponer al mismo tiempo obligaciones idénticas, sin dejar ningún margen de apreciación al legislador. Dicho esto, la ley de que se trate debe garantizar que el grado de lealtad y transparencia del tratamiento sea equivalente al garantizado por los apartados 1 a 4 del artículo 14. (
37
) Para que el interesado evalúe los riesgos asociados con la obtención de datos y el tratamiento de estos, (
38
) de una simple lectura de la disposición legal de que se trate debe desprenderse claramente quién es el encargado del tratamiento, así como los fines y las modalidades del tratamiento. (
39
) Como he señalado en las presentes conclusiones, (
40
) una modalidad jurídica diferente debe llevar al mismo resultado: que el interesado pueda ejercer control sobre sus datos y ejercitar los derechos que le confiere el RGPD.
70.
La base jurídica específica del tratamiento también afecta a la determinación de las «medidas adecuadas» para las circunstancias específicas del tratamiento. A este respecto, debo recordar que, del artículo 6, apartado 1, letras c) y e), del RGPD resulta que el tratamiento es lícito en la medida en que sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, y siempre que sea necesario para el cumplimiento de una misión realizada en interés público. En lo que atañe a dicho tratamiento, de conformidad con el artículo 6, apartado 2, los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del RGPD con respecto al tratamiento fijando de manera más precisa requisitos específicos en la materia y otras medidas que garanticen un tratamiento lícito y equitativo. (
41
) Por otra parte, de conformidad con el artículo 9, apartado 2, letra i), del RGPD, cuando el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, el Derecho de los Estados miembros (o de la Unión) debe establecer medidas adecuadas y específicas para proteger los derechos y libertades del interesado.
71.
En el litigio principal, la obtención de los datos fue impuesta por el Decreto 60/2021, que, como se desprende de los autos, fue adoptado sobre la base de los artículos 6, apartado 1, letras c) y e), y 9, apartado 2, letra i), del RGPD. El Gobierno húngaro aduce que el Decreto 60/2021 preveía, además de las garantías generales que se aplican en virtud del marco jurídico adoptado para asegurar la licitud del tratamiento, otras garantías adicionales. En este sentido, dicho Gobierno señaló que una de esas garantías se deriva del hecho de que los subcontratistas designados por el Decreto son de titularidad pública y están sujetos al marco legislativo en materia de seguridad de los datos aplicable a los organismos estatales y a la Administración local. Corresponde al órgano jurisdiccional remitente examinar estas alegaciones y valorar si la ley nacional proporciona medidas adecuadas a la luz de las anteriores consideraciones.
72.
Habida cuenta de lo anterior, considero que el artículo 14, apartado 5, letra c), del RGPD debe interpretarse en el sentido de que las «medidas adecuadas» mencionadas en dicha disposición no implican que el legislador nacional deba transponer las medidas relativas a la seguridad de los datos establecidas en el artículo 32 de dicho Reglamento.
V. Conclusión
73.
A la vista de las consideraciones anteriores, propongo al Tribunal de Justicia que responda del siguiente modo a las cuestiones prejudiciales planteadas por la Kúria (Tribunal Supremo, Hungría):
«1)
El artículo 14, apartado 5, letra c), del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos),
debe interpretarse en el sentido de que la excepción a la obligación de informar al interesado que incumbe al responsable del tratamiento se refiere a todos los datos que el responsable del tratamiento no haya obtenido del interesado. Carece de pertinencia a este respecto que los datos hayan sido obtenidos expresamente de otra entidad o que hayan sido generados por el responsable del tratamiento en el marco de su propio procedimiento.
2)
El artículo 77, apartado 1, del Reglamento 2016/679
debe interpretarse en el sentido de que, en el contexto de un procedimiento de reclamación, la autoridad de control está facultada para examinar si se cumplen todos los requisitos establecidos en el artículo 14, apartado 5, letra c), de dicho Reglamento. Más concretamente, está facultada para examinar si el Derecho del Estado miembro, al que está sujeto el responsable del tratamiento, establece medidas adecuadas para proteger los intereses legítimos del interesado.
3)
El artículo 14, apartado 5, letra c), del Reglamento 2016/679
debe interpretarse en el sentido de que las “medidas adecuadas” mencionadas en dicha disposición no implican que el legislador nacional deba transponer las medidas relativas a la seguridad de los datos establecidas en el artículo 32 de dicho Reglamento.»
(
1
)	Lengua original: inglés.
(
i
)	La denominación del presente asunto es ficticia. No se corresponde con el nombre de ninguna parte en el procedimiento.
(
2
)	C‑201/14, EU:C:2015:461, punto 74 (el subrayado es mío).
(
3
)	Vrabec, U. H., Data Subject Rights under the GDPR, Oxford University Press, Oxford, 2021, p. 64.
(
4
)	Reglamento del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO 2016, L 119, p. 1; en lo sucesivo, «RGPD»).
(
5
)	Véase Grupo de Trabajo sobre Protección de Datos del Artículo 29, Directrices sobre la Transparencia en virtud del Reglamento (UE) 2016/679, adoptadas el 29 de noviembre de 2017, 17/EN WP260 rev. 01 (en lo sucesivo, «Directrices sobre Transparencia»), punto 4. Este grupo de trabajo fue sustituido posteriormente por el Comité Europeo de Protección de Datos (CEPD). No obstante, las Directrices sobre Transparencia siguen siendo válidas. Véase también CEPD, Directrices 03/2020 sobre el tratamiento de datos relativos a la salud con fines de investigación científica en el contexto del brote de COVID‑19, adoptadas el 21 de abril de 2020, punto 5.1.2.4.
(
6
)	Sentencia de 1 de octubre de 2015 (C‑201/14, EU:C:2015:638), apartado 33, en el que se citan las conclusiones del Abogado General Cruz Villalón presentadas en dicho asunto.
(
7
)	Directrices sobre Transparencia, punto 24. Véase asimismo Vrabec, U. H., Data Subject Rights under the GDPR, op. cit. en la nota 3 de las presentes conclusiones, p. 84.
(
8
)	Véase, Zanfir-Fortuna, G., «Article 14. Information to be provided where personal data have not been obtained from the data subject», en Kuner, C., Bygrave, L. A., y Docksey, C. (eds), The EU General Data Protection Regulation (GDPR), A Commentary, Oxford University Press, Oxford, 2020, pp. 435 a 448, en particular, p. 436.
(
9
)	Ibidem, p. 444.
(
10
)	Vrabec, U. H., Data Subject Rights under the GDPR, op. cit. en la nota 3 de las presentes conclusiones, p. 68.
(
11
)	Cuando el tratamiento se base en el artículo 6, apartado 1, letra f), del RGPD.
(
12
)	En tanto que disposición que contiene una cláusula de apertura, ofrece a los Estados miembros la posibilidad de establecer normas nacionales adicionales, que sean más estrictas o prevean alguna excepción, y les deja un margen de apreciación en cuanto a la manera de aplicar la disposición en cuestión (véase, en este sentido, la sentencia de 30 de marzo de 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270), apartado 51. Véase Knyrim, R., «IV. Ausnahme von der Informationspflicht», en Ehmann, E., y Selmayr, M., Datenschutz Grundverordnung, DS — GVO, Beck, Múnich, 2.a ed., 2018, artículo 14, puntos 42 a 48, en particular, punto 47.
(
13
)	A saber, las versiones en lengua búlgara, danesa, alemana, griega, española, italiana, letona, polaca, eslovaca y sueca.
(
14
)	Esto es lo que sucede, en particular, en las versiones en lengua estonia («isikuandmed»), lituana («duomenų»), húngara («adat»), neerlandesa («gegevens»), portuguesa («dados»), rumana («datelor») y finesa («tietojen»).
(
15
)	En la literatura jurídica en lengua francesa se ha observado que la versión francesa debería haber empleado «datos» en lugar de «información», como hacía el predecesor del artículo 14, apartado 5, letra c), del RGPD, a saber, el artículo 11, apartado 2, de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (DO 1995, L 281, p. 31) (véase de Terwangne, C., y Rosier, K., «Section 1. — Droit d’être informée de l’existence de traitements la concernant», Le règlement général
sur la protection des données (RGPD/GDPR), Larcier, Bruselas, 1.a ed., 2018, pp. 409 a 432, nota 132).
(
16
)	Véase, en este sentido, la sentencia de 21 de marzo de 2024, Cobult (C‑76/23, EU:C:2024:253), apartado 25 y jurisprudencia citada.
(
17
)	Véase, en este sentido, la sentencia de 5 de octubre de 2023, Ministerstvo zdravotnictví (Aplicación móvil COVID‑19) (C‑659/22, EU:C:2023:745), apartado 27.
(
18
)	Ebner, K., «6. Ausschluss der Informationspflicht», Weniger ist Mehr? Die Informationspflichten der DS-GVO — Eine kritische Analyse, Nomos, Baden-Baden, 2022, pp. 272 a 298, en particular, p. 280. El autor también observa (p. 281) que establecer una excepción por la que se permita al responsable no facilitar información en la situación prevista en el artículo 14, apartado 5, letra c), es una forma de evitar el riesgo de «fatiga» informativa o de «sobrecarga» de información. Dix, A., «DSGVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden — g) Regelung durch das Recht der Mitgliedstaaten oder der Union (Abs. 5 lit. c)», en Simitis, S., Hornung, G., y Spiecker, I., Datenschutzrecht DS-GVO mit BDSG Großkommentar, Beck, Múnich, 2019, puntos 27 y 28, en particular, punto 27, que se refiere a la ley pertinente como un «acto sustitutivo suficiente» («hinreichendes Surrogat») para la información que debe facilitar el responsable del tratamiento.
(
19
)	Dix, A., op. cit. en la nota 18 de las presentes conclusiones.
(
20
)	Directrices sobre Transparencia, punto 66. En consecuencia, los responsables del tratamiento deben poder demostrar de qué forma la legislación en cuestión les es aplicable y les obliga a obtener o comunicar los datos personales de que se trate.
(
21
)	Véase el punto 16 de las presentes conclusiones.
(
22
)	Sentencia de 7 de diciembre de 2023, SCHUFA Holding (Exoneración del pasivo insatisfecho) (C‑26/22 y C‑64/22, EU:C:2023:958), apartado 48 y jurisprudencia citada.
(
23
)	Véase el punto 31 de las presentes conclusiones.
(
24
)	Véase el punto 23 de las presentes conclusiones.
(
25
)	Dix, A., en Simitis, S., Hornung, G., y Spiecker, I., op. cit. en la nota 18, y Ebner, K., «6. Ausschluss der Informationspflicht», op. cit. en la nota 18, p. 281.
(
26
)	Sentencia de 16 de enero de 2024, Österreichische Datenschutzbehörde (C‑33/22, EU:C:2024:46), apartado 61.
(
27
)	Ibidem.
(
28
)	Véanse las Directrices sobre Transparencia, punto 66.
(
29
)	Ibidem.
(
30
)	Sentencia de 6 de octubre de 2015 (C‑362/14, en lo sucesivo, sentencia Schrems, EU:C:2015:650), apartado 65.
(
31
)	Adoptada en virtud del artículo 25, apartado 6, de la Directiva 95/46.
(
32
)	Véase, en ese sentido, la sentencia Schrems, apartado 62.
(
33
)	Ibidem, apartado 65.
(
34
)	Sin perjuicio de las limitaciones al derecho a la información que pueda imponer el Derecho de la Unión o el Derecho un Estado miembro con arreglo al artículo 23 del RGPD.
(
35
)	Punto 31 de las presentes conclusiones.
(
36
)	Véase el punto 27 de las presentes conclusiones.
(
37
)	Véanse, en este sentido, Ebner, K., «6. Ausschluss der Informationspflicht», op. cit. en la nota 18, p. 281, que se refiere a un nivel de protección comparable («vergleichbares Schutzniveau»); Mester, B.-A., «DS-GVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden — 3. Ausdrückliche Regelung (Abs. 5 lit. c)», en Taeger, J., y Gabel, D., DSGVO — BDSG — TTDSG, Beck, Múnich, 2022, punto 26, y Paal, B., y Hennemann, M., «DS-GVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden — III. Sonstige Regelung (lit. c)», en Paal, B., y Pauly, D., Datenschutz-Grundverordnung Bundesdatenschutzgesetz: DS-GVO BDSG, Beck, Múnich, 2021, punto 42.
(
38
)	Mester, B.‑A., en Taeger, J., y Gabel, D., op. cit. en la nota 37.
(
39
)	Ebner, K., «6. Ausschluss der Informationspflicht», op. cit. en la nota 18, p. 281.
(
40
)	Punto 43 de las presentes conclusiones.
(
41
)	Estas disposiciones específicas pueden contener los elementos que figuran en el artículo 6, apartado 3, del RGPD, entre otros: las condiciones generales que rigen la licitud del tratamiento; los tipos de datos objeto de tratamiento; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX del RGPD.