62021CJ0548_RES
Asunto C‑548/21
CG
contra
Bezirkshauptmannschaft Landeck
(Petición de decisión prejudicial planteada por el Landesverwaltungsgericht Tirol)
Sentencia del Tribunal de Justicia (Gran Sala) de 4 de octubre de 2024
«Procedimiento prejudicial — Protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales — Directiva (UE) 2016/680 — Artículo 3, punto 2 — Concepto de “tratamiento” — Artículo 4 — Principios relativos al tratamiento de datos personales — Artículo 4, apartado 1, letra c) — Principio de la “minimización de datos” — Artículos 7, 8, 47 y 52, apartado 1, de la Carta de los Derechos Fundamentales de la Unión Europea — Exigencia de que una limitación del ejercicio de un derecho fundamental esté “establecida por la ley” — Proporcionalidad — Apreciación de la proporcionalidad a la luz de todos los elementos pertinentes — Control previo por un órgano jurisdiccional o una autoridad administrativa independiente — Artículo 13 — Información que debe ponerse a disposición del interesado o que se le debe proporcionar — Límites — Artículo 54 — Derecho a la tutela judicial efectiva contra el responsable o el encargado del tratamiento — Investigación policial en materia de tráfico de estupefacientes — Intento de desbloqueo de un teléfono móvil por parte de las autoridades policiales para acceder, para los fines de dicha investigación, a los datos contenidos en ese teléfono»
Aproximación de las legislaciones — Sector de las telecomunicaciones — Tratamiento de los datos personales y protección de la intimidad en el sector de las comunicaciones electrónicas — Directiva 2002/58/CE — Ámbito de aplicación — Tentativa de acceso por parte de las autoridades policiales a los datos personales contenidos en un teléfono móvil para los fines de una investigación penal — No intervención de los proveedores de servicios de comunicaciones electrónicas — Exclusión
(Directiva 2002/58/CE del Parlamento Europeo y del Consejo, en su versión modificada por la Directiva 2009/136/CE, arts. 1, aps. 1 y 3, y 3)
(véanse los apartados 57 a 59)
Protección de las personas físicas en lo que respecta al tratamiento de datos personales en materia penal — Directiva (UE) 2016/680 — Ámbito de aplicación — Tentativa de acceso por parte de las autoridades policiales a los datos personales contenidos en un teléfono móvil para los fines de una investigación penal — Inclusión
[Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, arts. 2, ap. 1, y 3, punto 2]
(véanse los apartados 71 a 77)
Protección de las personas físicas en lo que respecta al tratamiento de datos personales en materia penal — Directiva (UE) 2016/680 — Principios relativos al tratamiento de datos personales — Principios de minimización de datos y de proporcionalidad — Investigación policial en materia de tráfico de estupefacientes — Normativa nacional que concede a las autoridades competentes la posibilidad de acceder a los datos contenidos en un teléfono móvil para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales en general — Procedencia — Requisitos
[Carta de los Derechos Fundamentales de la Unión Europea, arts. 7, 8 y 52, ap. 1; Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, art. 4, ap. 1, letra c)]
(véanse los apartados 84 a 86, 89 a 93, 95 a 106, 109 y 110 y el punto 1 del fallo)
Protección de las personas físicas en lo que respecta al tratamiento de datos personales en materia penal — Directiva (UE) 2016/680 — Información al interesado — Derecho a la tutela judicial efectiva — Investigación policial en materia de tráfico de estupefacientes — Normativa nacional que autoriza a las autoridades competentes a intentar acceder a los datos contenidos en un teléfono móvil sin informar al interesado de los motivos de dicha autorización — Improcedencia — Obligación de las autoridades competentes de informar al interesado de dichos motivos — Alcance
[Carta de los Derechos Fundamentales de la Unión Europea, arts. 47 y 52, ap. 1; Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, arts. 13 y 54]
(véanse los apartados 115 a 123 y el punto 2 del fallo)
Resumen
La Gran Sala del Tribunal de Justicia, que conoce de una cuestión prejudicial planteada por el Landesverwaltungsgericht Tirol (Tribunal regional de lo contencioso administrativo del Tirol, Austria), precisa, por un lado, las condiciones en las que las autoridades nacionales competentes pueden acceder a los datos contenidos en un teléfono móvil para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales en general, a la luz de la Directiva 2016/680. (
1
) Por otro lado, reconoce el derecho del interesado a ser informado de los motivos en los que se basa la autorización de acceso a tales datos a partir del momento en que la comunicación de dicha información no pueda comprometer las misiones que incumben a dichas autoridades.
El 23 de febrero de 2021, con ocasión de un control de estupefacientes, agentes de aduanas austriacos interceptaron un paquete dirigido a CG que contenía 85 gramos de cannabis. Este paquete fue transmitido, para su examen, a las autoridades policiales austriacas. El 6 de marzo de 2021, en el marco de una investigación policial en materia de tráfico de estupefacientes, dos agentes de policía efectuaron un registro en el domicilio de CG y le interrogaron acerca del remitente del paquete. A raíz de la negativa de CG a dar acceso a los agentes de policía a los datos de conexión de su teléfono móvil, estos procedieron a la incautación del teléfono.
Posteriormente, el teléfono móvil de CG fue objeto de varios intentos de desbloqueo llevados a cabo por diferentes agentes de policía. En el caso de autos, tanto la incautación del teléfono como los posteriores intentos de análisis y lectura de este fueron efectuados por agentes de policía sin autorización del Ministerio Fiscal o de un juez.
El 31 de marzo de 2021, CG interpuso recurso ante el órgano jurisdiccional remitente para impugnar la legalidad de la incautación de su teléfono móvil, que le fue devuelto el 20 de abril de 2021. CG no fue informado inmediatamente de los intentos de analizar y leer su teléfono y tuvo conocimiento de ellos en el procedimiento pendiente ante el órgano jurisdiccional remitente.
En este contexto, el órgano jurisdiccional remitente desea saber si, a la luz de la Directiva sobre la privacidad y las comunicaciones electrónicas, (
2
) un acceso completo y no controlado a la totalidad de los datos contenidos en un teléfono móvil constituye una injerencia en los derechos fundamentales (
3
) de tal magnitud que dicho acceso debe limitarse a la lucha contra los delitos graves. Se plantea asimismo la cuestión de si, por una parte, esta Directiva (
4
) se opone a una normativa nacional en virtud de la cual la policía judicial puede, durante un procedimiento de investigación penal, obtener un acceso completo y no controlado a todos los datos contenidos en un teléfono móvil, sin autorización de un juez o de una entidad administrativa independiente, y de si, por otra parte, esa misma normativa nacional es compatible con el derecho a la tutela judicial efectiva, en la medida en que no obliga a las autoridades policiales a informar al propietario de un teléfono móvil de las medidas de análisis digital de dicho teléfono.
Apreciación del Tribunal de Justicia
Con carácter preliminar, el Tribunal de Justicia señala que una tentativa de acceso a los datos personales contenidos en un teléfono móvil llevada a cabo directamente por las autoridades policiales sin que intervenga en modo alguno un proveedor de servicios de comunicaciones electrónicas, como en el caso de CG, no está comprendida en el ámbito de aplicación de la Directiva sobre la privacidad y las comunicaciones electrónicas.
En primer lugar, el Tribunal de Justicia declara que tal tentativa de acceso está comprendida en el ámbito de aplicación de la Directiva 2016/680. A este respecto, precisa que, habida cuenta del amplio alcance que el legislador de la Unión Europea ha querido dar al concepto de «tratamiento», (
5
) cuando las autoridades policiales incautan un teléfono y lo manipulan con fines de extracción y de consulta de los datos personales contenidos en ese teléfono, inician un «tratamiento», aun cuando dichas autoridades no logren, por razones técnicas, a acceder a esos datos. La efectividad del principio de limitación de la finalidad (
6
) exige necesariamente que la finalidad de la recogida se determine desde la fase en que las autoridades competentes intenten acceder a datos personales, puesto que tal tentativa, si resulta fructuosa, puede permitirles, en particular, recoger, extraer o consultar inmediatamente los datos en cuestión. Si tal tentativa no pudiera calificarse de «tratamiento» de los datos, el elevado nivel de protección de los datos personales de las personas físicas se vería menoscabado. Asimismo, si la aplicabilidad de la Directiva 2016/680 dependiera del éxito de la tentativa de acceso a los datos personales contenidos en un teléfono móvil, ello generaría tanto para las autoridades nacionales competentes como para los justiciables una incertidumbre incompatible con el principio de seguridad jurídica.
En segundo lugar, el Tribunal de Justicia analiza si el principio de «minimización de datos», (
7
) como expresión del principio de proporcionalidad, se opone a una normativa nacional que concede a las autoridades competentes la posibilidad de acceder a los datos contenidos en un teléfono móvil con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales en general, sin someter el ejercicio de esta posibilidad a un control previo por parte de un juez o de una entidad administrativa independiente. Así, el Tribunal de Justicia recuerda que las limitaciones de los derechos fundamentales en materia de vida privada y familiar y de protección de los datos personales (
8
) deben respetar el principio de proporcionalidad y solo pueden introducirse cuando sean necesarias y respondan efectivamente a objetivos de interés general reconocidos por la Unión. En este sentido, por una parte, el Tribunal de Justicia declara que debe considerarse que un tratamiento de datos personales en el marco de una investigación policial dirigida a la represión de una infracción penal, como una tentativa de acceso a los datos contenidos en un teléfono móvil, responde efectivamente, en principio, a un objetivo de interés general reconocido por la Unión. Por otra parte, señala que el carácter proporcionado de las limitaciones al ejercicio de los derechos fundamentales en materia de respeto de la privacidad y de protección de los datos personales, derivadas de tal tratamiento, implica una ponderación de todos los elementos pertinentes del caso concreto.
Así, en primer término, por lo que respecta a la gravedad de una limitación de esos derechos fundamentales resultante de una normativa que permite a las autoridades policiales competentes acceder, sin autorización previa, a los datos contenidos en un teléfono móvil, el Tribunal de Justicia precisa que tal acceso puede referirse, en función del contenido del teléfono móvil en cuestión y de las decisiones tomadas por dichas autoridades, a una gama muy amplia de datos y podría permitir, de este modo, extraer conclusiones muy precisas sobre la vida privada del interesado. Por consiguiente, tal injerencia en los derechos fundamentales en materia de respeto de la privacidad y de protección de los datos personales debe considerarse grave, incluso especialmente grave.
En segundo término, el Tribunal de Justicia indica que la gravedad de la infracción investigada es un elemento central a la hora de examinar la proporcionalidad de la injerencia grave que supone el acceso a los datos personales contenidos en un teléfono móvil. No obstante, considerar que solo la lucha contra la delincuencia grave puede justificar el acceso a tales datos limitaría las facultades de investigación de las autoridades competentes respecto de las infracciones penales en general, ignoraría la naturaleza específica de las funciones desempeñadas por dichas autoridades y menoscabaría el objetivo de la realización de un espacio de libertad, seguridad y justicia en el seno de la Unión. Dicho esto, para cumplir la exigencia de que cualquier limitación del ejercicio de un derecho fundamental esté «establecida por la ley», (
9
) corresponde al legislador nacional definir de manera suficientemente precisa los elementos que deben tenerse en cuenta, en particular la naturaleza o las categorías de las infracciones de que se trate.
En tercer término, el Tribunal de Justicia señala que, para garantizar el respeto del principio de proporcionalidad, cuando el acceso de las autoridades nacionales competentes a los datos personales implique un riesgo de injerencia grave, o especialmente grave, en los derechos fundamentales del interesado, dicho acceso debe supeditarse a un control previo efectuado por un órgano jurisdiccional o por una entidad administrativa independiente. Este control debe efectuarse antes de cualquier intento de acceso a los datos de que se trate, salvo en caso de urgencia debidamente justificada, en cuyo caso dicho control debe efectuarse sin dilación. En el marco de este control, el órgano jurisdiccional o la entidad administrativa independiente deben estar facultados para denegar o restringir una solicitud de acceso comprendida en el ámbito de aplicación de la Directiva 2016/680 cuando comprueben que la injerencia en los derechos fundamentales que constituye dicho acceso es desproporcionada. En tal caso, debe denegarse o restringirse el acceso a los datos contenidos en un teléfono móvil por parte de las autoridades policiales competentes si, habida cuenta de la gravedad de la infracción y de las necesidades de la investigación, no resulta justificado acceder al contenido de las comunicaciones o a datos sensibles.
Habida cuenta de las anteriores consideraciones, el Tribunal de Justicia concluye que el principio de minimización de datos, interpretado a la luz de los derechos a la protección de los datos personales y al respeto de privacidad, no se opone a una normativa nacional que concede a las autoridades competentes la posibilidad de acceder a los datos contenidos en un teléfono móvil con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales en general. No obstante, ello está supeditado a que se respeten los principios de legalidad y de proporcionalidad, así como a la existencia de un control previo del ejercicio del derecho de acceso a tales datos efectuado por un juez o por una entidad administrativa independiente.
En tercer lugar, el Tribunal de Justicia se pronuncia sobre la cuestión de si CG debería haber sido informado de las tentativas de acceso a los datos contenidos en su teléfono móvil. (
10
) A este respecto declara que las autoridades nacionales competentes que hayan sido autorizadas por un juez o una entidad administrativa independiente a acceder a los datos conservados deben informar a los interesados de los motivos en los que se basa dicha autorización, en cuanto la comunicación de esta información ya no pueda poner en peligro las investigaciones llevadas a cabo por dichas autoridades. Esas mismas autoridades deben poner a disposición de las personas afectadas toda la información prevista por la Directiva 2016/680 (
11
) para que estas puedan ejercer, en particular, su derecho a la tutela judicial efectiva. (
12
) Así pues, una normativa nacional que excluyera de manera general todo derecho a obtener tal información no sería conforme con el Derecho de la Unión. En el caso de autos, el Tribunal de Justicia declara que CG debería haber sido informado previamente de las tentativas de acceso a los datos contenidos en su teléfono móvil. En efecto, dado que el teléfono móvil de CG ya había sido incautado en el momento de las tentativas de desbloqueo por parte de las autoridades policiales, no parece que informarle de tales tentativas de acceso pudiera perjudicar a la investigación. En consecuencia, el Tribunal de Justicia concluye que las disposiciones de la Directiva 2016/680, interpretadas a la luz de la Carta, (
13
) se oponen a una normativa nacional que autoriza a las autoridades competentes a acceder a datos contenidos en un teléfono móvil sin informar al interesado de los motivos en los que se basa la autorización emitida por un juez o una entidad administrativa independiente de acceder a tales datos, a partir del momento en que la comunicación de esa información ya no pueda comprometer las misiones que incumben a dichas autoridades.
(
1
)	Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo (DO 2016, L 119, p. 89).
(
2
)	Más concretamente, el artículo 15, apartado 1, de la Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas) (DO 2002, L 201, p. 37), en su versión modificada por la Directiva 2009/136/CE del Parlamento Europeo y del Consejo, de 25 de noviembre de 2009 (DO 2009, L 337, p. 11) (en lo sucesivo, «Directiva sobre la privacidad y las comunicaciones electrónicas»).
(
3
)	Previstos en los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «Carta»).
(
4
)	Más concretamente, el artículo 15, apartado 1, de la Directiva sobre la privacidad y las comunicaciones electrónicas.
(
5
)	En virtud del artículo 3, punto 2, de la Directiva 2016/680, el concepto de «tratamiento» se define como «cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no […]».
(
6
)	Artículo 4, apartado 1, letra b), de la Directiva 2016/680.
(
7
)	Tal y como establece el artículo 4, apartado 1, letra c), de la Directiva 2016/680, en virtud del cual los Estados miembros deben disponer que los datos personales sean adecuados, pertinentes y no excesivos en relación con los fines para los que son tratados.
(
8
)	Artículos 7 y 8 de la Carta.
(
9
)	Artículo 52, apartado 1, de la Carta.
(
10
)	Artículo 47 de la Carta.
(
11
)	Contemplados en el artículo 13, apartado 1, de la Directiva 2016/680.
(
12
)	Artículo 54 de la Directiva 2016/680.
(
13
)	Más concretamente, los artículos 13 y 54 de la Directiva 2016/680, en relación con los artículos 47 y 52, apartado 1, de la Carta.