62022CJ0017
SENTENCIA DEL TRIBUNAL DE JUSTICIA (Sala Cuarta)
de 12 de septiembre de 2024 (
*1
)
«Procedimiento prejudicial — Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Artículo 6, apartado 1, párrafo primero, letras b), c) y f) — Licitud del tratamiento — Necesidad del tratamiento para la ejecución de un contrato en el que el interesado es parte — Necesidad del tratamiento para el cumplimiento de una obligación legal impuesta al responsable del tratamiento — Necesidad del tratamiento para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero — Fondo de inversión constituido en forma de sociedad comanditaria abierta a la inversión del público — Solicitud de un socio para obtener los datos de contacto de los demás socios que participan indirectamente en un fondo de inversión a través de una sociedad fiduciaria»
En los asuntos acumulados C‑17/22 y C‑18/22,
que tienen por objeto sendas peticiones de decisión prejudicial planteadas, con arreglo al artículo 267 TFUE, por el Amtsgericht München (Tribunal de lo Civil y Penal de Múnich, Alemania), mediante resoluciones de 21 de diciembre de 2021, recibidas en el Tribunal de Justicia el 7 de enero de 2022, en los procedimientos entre
HTB Neunte Immobilien Portfolio geschlossene Investment UG & Co. KG
y
Müller Rechtsanwaltsgesellschaft mbH (C‑17/22),
y entre
Ökorenta Neue Energien Ökostabil IV geschlossene Investment GmbH & Co. KG
y
WealthCap Photovoltaik 1 GmbH Co. KG,
WealthCap PEIA Komplementär GmbH,
WealthCap Investorenbetreuung GmbH (C‑18/22),
EL TRIBUNAL DE JUSTICIA (Sala Cuarta),
integrado por el Sr. C. Lycourgos, Presidente de Sala, y la Sra. O. Spineanu-Matei, los Sres. J.‑C. Bonichot y S. Rodin y la Sra. L. S. Rossi (Ponente), Jueces;
Abogado General: Sr. J. Richard de la Tour;
Secretario: Sr. I. Illéssy, administrador;
habiendo considerado los escritos obrantes en autos y celebrada la vista el 29 de febrero de 2024;
consideradas las observaciones presentadas:
–
en nombre de HTB Neunte Immobilien Portfolio geschlossene Investment UG & Co. KG, por los Sres. M. Handlos y R. Veil, Rechtsanwälte;
–
en nombre de Ökorenta Neue Energien Ökostabil IV geschlossene Investment GmbH & Co. KG, por el Sr. U. Brinkmöller, Rechtsanwalt;
–
en nombre de WealthCap Photovoltaik 1 GmbH Co. KG, WealthCap PEIA Komplementär GmbH y WealthCap Investorenbetreuung GmbH, por los Sres. N. Bartmann, U. Baumgartner y A. Höder, Rechtsanwälte;
–
en nombre de la Comisión Europea, por el Sr. A. Bouchagiar, la Sra. M. Heller y el Sr. H. Kranenborg, en calidad de agentes;
vista la decisión adoptada por el Tribunal de Justicia, oído el Abogado General, de que el asunto sea juzgado sin conclusiones;
dicta la siguiente
Sentencia
1
Las peticiones de decisión prejudicial tienen por objeto la interpretación del artículo 6, apartado 1, párrafo primero, letras b) y f), del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO 2016, L 119, p. 1; en lo sucesivo, «RGPD»).
2
Estas peticiones se han presentado en el contexto de sendos litigios entre, por una parte, HTB Neunte Immobilien Portfolio geschlossene Investment UG & Co. KG (en lo sucesivo, «HTB») y Müller Rechtsanwaltsgesellschaft mbH (asunto C‑17/22) y, por otra parte, Ökorenta Neue Energien Ökostabil IV geschlossene Investment GmbH & Co. KG (en lo sucesivo, «Ökorenta») y WealthCap Photovoltaik 1 GmbH Co. KG, WealthCap PEIA Komplementär GmbH y WealthCap Investorenbetreuung GmbH (asunto C‑18/22).
Marco jurídico
Derecho de la Unión
3
Los considerandos 1, 10, 39, 41, 47 y 48 del RGPD tienen el siguiente tenor:
«(1)
La protección de las personas físicas en relación con el tratamiento de datos personales es un derecho fundamental. El artículo 8, apartado 1, de la Carta de los Derechos Fundamentales de la Unión Europea ([en lo sucesivo, “Carta”]) y el [artículo 16 TFUE, apartado 1,] establecen que toda persona tiene derecho a la protección de los datos de carácter personal que le conciernan.
[…]
(10)
Para garantizar un nivel uniforme y elevado de protección de las personas físicas y eliminar los obstáculos a la circulación de datos personales dentro de la Unión [Europea], el nivel de protección de los derechos y libertades de las personas físicas por lo que se refiere al tratamiento de dichos datos debe ser equivalente en todos los Estados miembros. Debe garantizarse en toda la Unión [Europea] que la aplicación de las normas de protección de los derechos y libertades fundamentales de las personas físicas en relación con el tratamiento de datos de carácter personal sea coherente y homogénea. […]
[…]
(39)
Todo tratamiento de datos personales debe ser lícito y leal. Para las personas físicas debe quedar totalmente claro que se están recogiendo, utilizando, consultando o tratando de otra manera datos personales que les conciernen, así como la medida en que dichos datos son o serán tratados. […]
[…]
(41)
Cuando el presente Reglamento hace referencia a una base jurídica o a una medida legislativa, esto no exige necesariamente un acto legislativo adoptado por un parlamento, sin perjuicio de los requisitos de conformidad del ordenamiento constitucional del Estado miembro de que se trate. Sin embargo, dicha base jurídica o medida legislativa debe ser clara y precisa y su aplicación previsible para sus destinatarios, de conformidad con la jurisprudencia del Tribunal de Justicia de la Unión Europea […] y del Tribunal Europeo de Derechos Humanos.
[…]
(47)
El interés legítimo de un responsable del tratamiento, incluso el de un responsable al que se puedan comunicar datos personales, o de un tercero, puede constituir una base jurídica para el tratamiento, siempre que no prevalezcan los intereses o los derechos y libertades del interesado, teniendo en cuenta las expectativas razonables de los interesados basadas en su relación con el responsable. Tal interés legítimo podría darse, por ejemplo, cuando existe una relación pertinente y apropiada entre el interesado y el responsable, como en situaciones en las que el interesado es cliente o está al servicio del responsable. En cualquier caso, la existencia de un interés legítimo requeriría una evaluación meticulosa, inclusive si un interesado puede prever de forma razonable, en el momento y en el contexto de la recogida de datos personales, que pueda producirse el tratamiento con tal fin. En particular, los intereses y los derechos fundamentales del interesado podrían prevalecer sobre los intereses del responsable del tratamiento cuando se proceda al tratamiento de los datos personales en circunstancias en las que el interesado no espere razonablemente que se realice un tratamiento ulterior. […] El tratamiento de datos personales con fines de mercadotecnia directa puede considerarse realizado por interés legítimo.
(48)
Los responsables que forman parte de un grupo empresarial o de entidades afiliadas a un organismo central pueden tener un interés legítimo en transmitir datos personales dentro del grupo empresarial para fines administrativos internos, incluido el tratamiento de datos personales de clientes o empleados. Los principios generales aplicables a la transmisión de datos personales, dentro de un grupo empresarial, a una empresa situada en un país tercero no se ven afectados.»
4
El artículo 1 de este Reglamento, titulado «Objeto», dispone en su apartado 2:
«El presente Reglamento protege los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales.»
5
El artículo 4 del citado Reglamento establece:
«A efectos del presente Reglamento se entenderá por:
1)
“datos personales”: toda información sobre una persona física identificada o identificable (“el interesado”); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;
2)
“tratamiento”: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;
[…]
7)
“responsable del tratamiento” o “responsable”: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros;
[…]
11)
“consentimiento del interesado”: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen;
[…]».
6
El artículo 5 del mismo Reglamento, titulado «Principios relativos al tratamiento», dispone:
«1.   Los datos personales serán:
a)
tratados de manera lícita, leal y transparente en relación con el interesado (“licitud, lealtad y transparencia”);
b)
recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; […]
c)
adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados (“minimización de datos”);
[…]
2.   El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (“responsabilidad proactiva”).»
7
El artículo 6 del RGPD, titulado «Licitud del tratamiento», tiene la siguiente redacción:
«1.   El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
a)
el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
b)
el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
c)
el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
[…]
f)
el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.
2.   Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras c) y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX.
3.   La base del tratamiento indicado en el apartado 1, letras c) y e), deberá ser establecida por:
a)
el Derecho de la Unión, o
b)
el Derecho de los Estados miembros que se aplique al responsable del tratamiento.
[…] El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido.»
8
El artículo 13, apartado 1, de este Reglamento dispone:
«Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
[…]
c)
los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
d)
cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
[…]».
Derecho alemán
9
El artículo 161 del Handelsgesetzbuch (Código de Comercio), en su versión aplicable a los litigios principales, establece:
«(1)   Una sociedad que tenga por objeto el ejercicio de una actividad comercial bajo una razón social conjunta es una sociedad en comandita si la responsabilidad de uno o varios socios está limitada frente a los acreedores de la sociedad al importe de una determinada aportación patrimonial (socios comanditarios), mientras que los demás socios no tienen limitada su responsabilidad (socios colectivos).
(2)   Salvo disposición en contrario en la presente sección, las disposiciones aplicables a la sociedad colectiva se aplicarán también a la sociedad en comandita.»
10
El artículo 162, apartado 1, de ese Código está redactado como sigue:
«La inscripción de la sociedad deberá incluir, además de los datos especificados en el artículo 106, apartado 2 [(en particular, el apellido, el nombre, la fecha de nacimiento y el lugar de residencia de cada socio)], la identificación de los socios comanditarios y el importe de la aportación de cada uno de ellos. […]»
11
El artículo 127a, apartados 1 y 3, de la Aktiengesetz (Ley de Sociedades Anónimas), en su versión aplicable a los litigios principales, dispone:
«(1)   Los accionistas o las asociaciones de accionistas podrán, a través del foro de accionistas del Bundesanzeiger [(Diario Oficial Federal alemán)], invitar a otros accionistas para que presenten conjuntamente o mediante representación una solicitud o un requerimiento con arreglo a la presente Ley, o para que ejerzan el derecho de voto en una junta general.
[…]
(3)   La invitación podrá contener información sobre el sitio de Internet del accionista solicitante y su dirección de correo electrónico. […]»
12
El artículo 33, apartado 1, primera frase, de la Wertpapierhandelsgesetz (Ley del Mercado de Valores), en su versión aplicable a los litigios principales, establece lo siguiente:
«Toda persona que, por adquisición, cesión o de cualquier otro modo, alcance, supere o se sitúe por debajo del 3 %, el 5 %, el 10 %, el 15 %, el 20 %, el 25 %, el 30 %, el 50 % o el 75 % de los derechos de voto correspondientes a las acciones que posea en un emisor cuyo Estado de origen sea la República Federal de Alemania (obligado a notificar) deberá informar inmediatamente de ello al emisor y, simultáneamente, a la Autoridad Federal, a más tardar en el plazo de cuatro días hábiles, teniendo en cuenta lo dispuesto en el artículo 34, apartados 1 y 2. […]»
Litigios principales y cuestiones prejudiciales
13
De las resoluciones de remisión se desprende que HTB y Ökorenta son sociedades de inversión titulares, cada una de ellas, de una participación indirecta, a través de una sociedad fiduciaria, en fondos de inversión. Estos fondos de inversión se organizan en forma de sociedad comanditaria, como sociedad personalista abierta a la inversión del público. La participación en ellas está diseñada como inversión financiera. Cuando dicha participación es indirecta, los socios ejercerán sus derechos a través de sociedades de participación fiduciarias.
14
Las demandantes en los litigios principales solicitan a las demandadas en los litigios principales, que son sociedades de participación fiduciarias, la divulgación de los nombres y direcciones de todos sus socios que participan indirectamente en los fondos de inversión de que se trata, a través de sociedades fiduciarias.
15
Las demandadas en los litigios principales se oponen a tal divulgación porque consideran que la finalidad de los datos solicitados es servir a los propios intereses económicos de las demandantes en los litigios principales, consistentes en publicitar sus propios productos de inversión, crear inquietud entre los inversores o adquirir sus participaciones por debajo de su valor y obtener un beneficio con su reventa. Pues bien, alegan que los contratos fiduciarios y de participación en virtud de los cuales los socios de las demandadas en los litigios principales adquirieron participaciones indirectas en los fondos de inversión de que se trata contienen cláusulas que establecen la prohibición de divulgar los datos a otros titulares de participaciones.
16
Las demandantes en los litigios principales niegan tener tales intenciones y alegan que tienen derecho a ponerse en contacto con los demás socios comanditarios titulares de participaciones en los fondos de inversión de que se trata, en particular para negociar la adquisición de sus participaciones.
17
El órgano jurisdiccional remitente subraya, en esencia, que, de conformidad con la jurisprudencia del Bundesgerichtshof (Tribunal Supremo Federal de lo Civil y Penal, Alemania) y del Oberlandesgericht München (Tribunal Superior Regional de lo Civil y Penal de Múnich, Alemania), la divulgación de los datos personales solicitados por las demandantes en los litigios principales podría resultar obligatoria. No obstante, señala que, dado que esta jurisprudencia es en parte anterior a la entrada en vigor del RGPD, podría tener que apreciarse de manera diferente en los presentes asuntos, habida cuenta del artículo 6, apartado 1, párrafo primero, letras b) y f), de dicho Reglamento, cuya interpretación resulta determinante para la resolución de los litigios principales.
18
En particular, el órgano jurisdiccional remitente señala que del auto del Bundesgerichtshof (Tribunal Supremo Federal de lo Civil y Penal) de 19 de noviembre de 2019 (II ZR 263/18) se desprende que, en una sociedad personalista, como es una sociedad comanditaria, el derecho de un socio a conocer el nombre y la dirección de los demás socios forma parte del «ámbito esencial irrenunciable de los derechos de los socios». Añade que ese derecho también se aplica a los socios comanditarios que son titulares únicamente de participaciones indirectas. En ese sentido, aduce que conocer a todos los demás socios, incluidos aquellos que participan indirectamente, resulta necesario para que cada socio de una sociedad personalista abierta a la inversión del público pueda hacer un ejercicio efectivo de los derechos que se les confieren. Afirma que, de ese modo, la divulgación de estos datos personales a los demás socios se ajusta a las obligaciones que se imponen a la sociedad en virtud de su acto constitutivo. La única excepción al derecho a obtener tales datos, en Derecho alemán, consiste en la prohibición del abuso de derecho, que no permite que este derecho de información se ejerza de manera ilícita o con un propósito de dañar a otros.
19
En virtud de la jurisprudencia del Bundesgerichtshof (Tribunal Supremo Federal de lo Civil y Penal), el abuso de derecho queda excluido, en cualquier caso, cuando un inversor intenta ponerse en contacto con otros inversores con el fin de discutir con ellos cuestiones que afectan a la sociedad y, en su caso, organizar una comunidad de intereses entre los inversores. Además, no procede negarse a facilitar información relativa a un socio basándose en que existe un mero riesgo abstracto de que esos datos personales se utilicen de forma abusiva. Por otra parte, un socio debe poder acceder directamente a los datos de los demás socios de la sociedad, sin depender de los órganos directivos de esta.
20
También se desprende de esta jurisprudencia que un derecho de información de este tipo no puede quedar excluido en virtud de disposiciones contractuales, so pena de suprimir, en la práctica, un derecho esencial de los socios, a saber, el de convocar una junta extraordinaria de socios, ya que un socio con escasa participación solo puede obtener los quórums necesarios para ello si se une a otros socios, lo que supone necesariamente que conozca sus nombres y direcciones [auto del Bundesgerichtshof (Tribunal Supremo Federal de lo Civil y Penal) de 21 de septiembre de 2009 (II ZR 264/08)]. Según la citada jurisprudencia, el considerando 48 del RGPD justifica también que, dentro de un grupo de empresas, los datos personales de todos los socios puedan transmitirse a uno de ellos con fines administrativos internos.
21
Según el órgano jurisdiccional remitente, la jurisprudencia del Bundesgerichtshof (Tribunal Supremo Federal de lo Civil y Penal) consagra así la existencia, en principio, de un derecho de información de los socios que solo se ve limitado por el abuso de derecho.
22
El órgano jurisdiccional remitente hace referencia asimismo a la sentencia de 16 de enero de 2019 del Oberlandesgericht München (Tribunal Superior Regional de lo Civil y Penal de Múnich) (7 U 342/18), según la cual el objeto principal del contrato de sociedad es el ejercicio de los derechos de los socios, incluido el de reforzar su posición en la sociedad. De este modo, la adquisición de participaciones sociales constituye un ejercicio lícito de estos derechos y la divulgación de información relativa a los demás socios a tal efecto responde a un interés razonable. Así pues, en su opinión, tal divulgación solo debería denegarse si no pretende satisfacer ningún interés razonable.
23
El órgano jurisdiccional remitente alberga dudas en cuanto a la compatibilidad con el Derecho de la Unión de la jurisprudencia del Bundesgerichtshof (Tribunal Supremo Federal de lo Civil y Penal) y del Oberlandesgericht München (Tribunal Superior Regional de lo Civil y Penal de Múnich) en la medida en que permite una divulgación amplia de los datos personales de los socios que poseen participaciones indirectas en un fondo de inversión, con la mera alegación puramente formal de un interés de los demás socios en obtener tales datos, por ejemplo, para adquirir participaciones.
24
Considera, en efecto, que, en virtud del Derecho de la Unión, la protección de los datos personales constituye la regla, de modo que la excepción a este principio, establecida, en particular, en el artículo 6, apartado 1, párrafo primero, letras b) y f), del RGPD, que permite autorizar la divulgación de esos datos, debe basarse en una «justificación suficiente». Dicho órgano jurisdiccional añade que en Derecho alemán no existe ninguna obligación legal de publicar datos relativos a las personas que son titulares de participaciones en una sociedad fiduciaria. Así pues, el órgano jurisdiccional remitente se pregunta si el derecho de acceso a los datos de los socios no debe supeditarse, por una parte, a la existencia de un determinado umbral de participación, por analogía a lo previsto en el Derecho alemán en el caso de las sociedades anónimas que cotizan en bolsa, y, por otra parte, a una razón concreta y precisa, vinculada a la sociedad, en relación con los socios por la que se solicita tal información.
25
En estas circunstancias, el Amtsgericht München (Tribunal de lo Civil y Penal de Múnich, Alemania) decidió suspender los dos procedimientos principales y plantear al Tribunal de Justicia las siguientes cuestiones prejudiciales idénticas:
«1)
a)
¿Resulta de la interpretación del artículo 6, apartado 1, [párrafo primero,] letras b) y f), del [RGPD] que, en el caso de una sociedad personalista abierta a la inversión del público, la participación en la sociedad como socio que no responde personalmente y solo lo hace por una cuantía reducida y que no es un socio administrador es suficiente para afirmar un “interés legítimo” en obtener información relativa a todos los socios que participan indirectamente en ella a través de un fiduciario, a sus datos de contacto y a su participación en dicha sociedad personalista y para deducir del contrato de sociedad la correspondiente obligación contractual?
b)
¿O, en esas condiciones, el interés legítimo se limita a recibir información de la sociedad sobre aquellos partícipes indirectos que no responden por una cuantía reducida, sino que son titulares de una participación mínima que al menos permite considerar que pueden tener la posibilidad de influir en el destino de la sociedad?
2)
a)
La intención de establecer contacto para conocerse, para intercambiar opiniones o para negociar la adquisición de participaciones sociales, ¿resulta suficiente en el caso de un derecho ilimitado de ese tipo [primera cuestión, letra a)] para no infringir la prohibición inherente del abuso de derecho, o para hacer una excepción en el caso de un derecho de información limitado [primera cuestión, letra b)]?
b)
¿O solo debe considerarse relevante el interés en obtener la información si esta se solicita con la intención expresa de contactar con otros socios a efectos de pedir coordinación en relación con motivos específicamente indicados que requieren la formación de una voluntad común en el contexto de los acuerdos de los socios?»
Sobre el procedimiento ante el Tribunal de Justicia
26
El 23 de septiembre de 2022, el Presidente del Tribunal de Justicia resolvió suspender el presente procedimiento a la espera de la resolución que pusiera fin al proceso en el asunto C‑252/21.
27
De conformidad con la resolución del Presidente del Tribunal de Justicia de 7 de julio de 2023, la Secretaría notificó al órgano jurisdiccional remitente la sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social) (C‑252/21, EU:C:2023:537), invitándole a indicar si, habida cuenta de dicha sentencia, deseaba mantener, en todo o en parte, sus peticiones de decisión prejudicial.
28
Mediante escrito de 4 de agosto de 2023, presentado en la Secretaría del Tribunal de Justicia el mismo día, dicho órgano jurisdiccional indicó que mantenía sus peticiones de decisión prejudicial.
Sobre las cuestiones prejudiciales
29
Mediante sus cuestiones prejudiciales, que procede examinar conjuntamente, el órgano jurisdiccional remitente pregunta, en esencia, si el artículo 6, apartado 1, párrafo primero, letras b) y f), del RGPD debe interpretarse en el sentido de que un tratamiento de datos personales consistente en divulgar, a petición de un socio de un fondo de inversión, constituido en forma de sociedad personalista abierta a la inversión del público, información sobre todos los socios que participan indirectamente en ese fondo, a través de sociedades fiduciarias, con independencia de la magnitud de su participación en el capital de dicho fondo, con el fin de entrar en contacto y negociar con ellos la adquisición de sus participaciones sociales, o de coordinarse con ellos con el propósito de formar una voluntad común en el contexto de los acuerdos de los socios, puede considerarse necesario para la ejecución de un contrato en el que los interesados sean parte, en el sentido de la letra b), o para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, en el sentido de la letra f).
30
Dado que las peticiones de decisión prejudicial ponen de manifiesto que el órgano jurisdiccional remitente se pregunta sobre la conformidad con el RGPD de la obligación de divulgación de tales datos resultante, en Derecho alemán, de la jurisprudencia de los órganos jurisdiccionales nacionales, procede reformular las cuestiones prejudiciales planteadas en el sentido de que abarcan la interpretación del artículo 6, apartado 1, párrafo primero, letra c), de dicho Reglamento y considerar que, mediante sus cuestiones prejudiciales, el órgano jurisdiccional remitente se pregunta también si puede entenderse que tal divulgación procede de una obligación legal a la que está sujeto el responsable del tratamiento.
31
Para responder a esas cuestiones, procede recordar, con carácter preliminar, que el objetivo perseguido por el RGPD, tal como se desprende de su artículo 1 y de sus considerandos 1 y 10, consiste, en particular, en garantizar un nivel elevado de protección de los derechos y libertades fundamentales de las personas físicas, sobre todo de su derecho a la vida privada respecto del tratamiento de los datos personales, consagrado en el artículo 8, apartado 1, de la Carta y en el artículo 16 TFUE, apartado 1 (sentencia de 7 de marzo de 2024, IAB Europe, C‑604/22, EU:C:2024:214, apartado 53 y jurisprudencia citada).
32
De conformidad con este objetivo, todo tratamiento de datos personales debe ser conforme, en particular, con los principios relativos al tratamiento de tales datos establecidos en el artículo 5 de dicho Reglamento y cumplir las condiciones de licitud enumeradas en el artículo 6 del mismo Reglamento [véanse, en este sentido, las sentencias de 6 de octubre de 2020, La Quadrature du Net y otros, C‑511/18, C‑512/18 y C‑520/18, EU:C:2020:791, apartado 208, y de 11 de julio de 2024, Meta Platforms Ireland (Acción de representación), C‑757/22, EU:C:2024:598, apartado 49].
33
A este respecto, procede subrayar que, en virtud del artículo 5, apartado 1, letra a), del RGPD, los datos personales deben ser tratados de manera lícita, leal y transparente en relación con el interesado.
34
En particular, por lo que respecta a las condiciones de licitud del tratamiento, como ha declarado el Tribunal de Justicia, el artículo 6, apartado 1, párrafo primero, del RGPD prevé una lista exhaustiva y taxativa de los casos en los que un tratamiento de datos personales puede considerarse lícito. Así pues, para poder ser considerado legítimo, el tratamiento de datos personales debe estar comprendido en alguno de los casos contemplados en esa disposición [sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C‑252/21, EU:C:2023:537, apartado 90].
35
Habida cuenta de las particularidades de los litigios principales, es preciso señalar, además, que dicho artículo 6, apartado 1, párrafo primero, no establece, en sí, una obligación, sino que se limita a conferir la facultad de llevar a cabo un tratamiento de datos personales en los casos que enumera (véase, por analogía, la sentencia de 4 de mayo de 2017, Rīgas satiksme, C‑13/16, EU:C:2017:336, apartado 26).
36
A tenor del artículo 6, apartado 1, párrafo primero, letra a), del RGPD, el tratamiento de datos personales solo será lícito si el interesado dio su consentimiento para uno o varios fines específicos. A falta de tal consentimiento, o cuando este no se haya prestado de forma libre, específica, informada e inequívoca, en el sentido del artículo 4, punto 11, de ese Reglamento, tal tratamiento está, no obstante, justificado cuando cumple alguno de los requisitos de necesidad mencionados en el artículo 6, apartado 1, párrafo primero, letras b) a f), del citado Reglamento.
37
En este contexto, las justificaciones previstas en esta última disposición, en la medida en que permiten que un tratamiento de datos personales realizado sin el consentimiento del interesado sea lícito, deben ser objeto de una interpretación restrictiva [sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C‑252/21, EU:C:2023:537, apartado 93 y jurisprudencia citada].
38
Además, como ha declarado el Tribunal de Justicia, cuando un tratamiento de datos personales pueda considerarse necesario a la vista de alguna de las justificaciones previstas en el artículo 6, apartado 1, párrafo primero, letras b) a f), del RGPD, no es preciso determinar si también está comprendido en otra de esas justificaciones [sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C‑252/21, EU:C:2023:537, apartado 94 y jurisprudencia citada].
39
El Tribunal de Justicia también ha declarado que, de conformidad con el artículo 5 del RGPD, incumbe al responsable del tratamiento la carga de la prueba de que dichos datos se recogen con fines determinados, explícitos y legítimos y de que son tratados de manera lícita, leal y transparente en relación con el interesado. Además, de conformidad con el artículo 13, apartado 1, letra c), de dicho Reglamento, cuando se obtengan de un interesado datos personales, incumbe al responsable del tratamiento facilitarle los fines del tratamiento a que se destinen esos datos y la base jurídica del mismo [sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C‑252/21, EU:C:2023:537, apartado 95].
40
En el presente asunto, de los autos que obran en poder del Tribunal de Justicia se desprende que los socios que participaban indirectamente, a través de sociedades fiduciarias, en los fondos de inversión de que se trata no consintieron, en el sentido del artículo 6, apartado 1, párrafo primero, letra a), del RGPD, en que las demandadas en los litigios principales divulgaran sus datos personales a terceros, en particular a HTB y a Ökorenta.
41
En estas circunstancias, para responder a las cuestiones prejudiciales planteadas, es preciso comprobar si las disposiciones del artículo 6, apartado 1, párrafo primero, letras b) y f), de dicho Reglamento, a las que se refieren específicamente las peticiones de decisión prejudicial, pueden invocarse para justificar la eventual divulgación de tales datos a esos terceros.
42
Por lo que atañe, en primer lugar, al artículo 6, apartado 1, párrafo primero, letra b), del RGPD, este establece que el tratamiento de datos personales es lícito si es «necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales».
43
A este respecto, el Tribunal de Justicia ya ha declarado que, para que un tratamiento de datos personales se considere necesario para la ejecución de un contrato, en el sentido de esa disposición, debe ser objetivamente indispensable para conseguir un fin que forme parte integrante de la prestación contractual destinada al interesado. Así pues, el responsable del tratamiento debe poder demostrar por qué no podría alcanzarse el objeto principal del contrato sin el tratamiento en cuestión [sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C‑252/21, EU:C:2023:537, apartado 98].
44
En efecto, como también ha declarado el Tribunal de Justicia, el elemento determinante a efectos de la aplicación de la justificación prevista en el artículo 6, apartado 1, párrafo primero, letra b), del RGPD es que el tratamiento de datos personales efectuado por el responsable del tratamiento sea esencial para permitir la correcta ejecución del contrato celebrado entre este y el interesado y, por lo tanto, que no existan soluciones viables y menos intrusivas [sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C‑252/21, EU:C:2023:537, apartado 99].
45
En el caso de autos, de las resoluciones de remisión se desprende que los contratos fiduciarios y de participación controvertidos en los litigios principales, en virtud de los cuales se adquirieron participaciones indirectas en los fondos de inversión de que se trata, establecen expresamente la prohibición de comunicar los datos relativos a los inversores indirectos a otros titulares de participaciones.
46
A este respecto, es preciso señalar que la característica esencial de la adquisición de una participación indirecta, a través de una sociedad fiduciaria, en un fondo de inversión abierto a la inversión del público es precisamente el anonimato de los socios, incluso en las relaciones entre los propios socios. En otras palabras, quienes optan por una inversión financiera en un fondo de inversión en forma de participación a través de una sociedad fiduciaria lo hacen teniendo en cuenta precisamente el tratamiento confidencial de sus datos por este fondo.
47
Por lo tanto, y sin perjuicio de que el órgano jurisdiccional remitente compruebe este extremo, no puede considerarse que un tratamiento de datos personales consistente en la divulgación de información relativa a los socios que participan indirectamente, a través de una sociedad fiduciaria, en un fondo de inversión abierto a la inversión del público sea «necesario para la ejecución de un contrato», en el sentido del artículo 6, apartado 1, párrafo primero, letra b), del RGPD, cuando el contrato con el que se adquirió tal participación excluye expresamente la divulgación de esos datos a otros titulares de participaciones.
48
Por lo que respecta, en segundo lugar, al artículo 6, apartado 1, párrafo primero, letra f), del RGPD, este prevé que el tratamiento de datos personales será lícito si es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales.
49
Como ya ha declarado el Tribunal de Justicia, esta disposición establece tres requisitos acumulativos para que el tratamiento de datos personales resulte lícito, a saber, en primer término, que el responsable del tratamiento o el tercero persigan un interés legítimo; en segundo término, que el tratamiento de los datos personales sea necesario para la satisfacción de ese interés legítimo y, en tercer término, que no prevalezcan los intereses o los derechos y libertades fundamentales del interesado en la protección de los datos [sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C‑252/21, EU:C:2023:537, apartado 106 y jurisprudencia citada].
50
Por lo que respecta, en primer término, al requisito relativo a la persecución de un «interés legítimo», procede subrayar que, a falta de definición de este concepto por el RGPD, como ya ha declarado el Tribunal de Justicia, en principio, existe una amplia gama de intereses que pueden considerarse legítimos [sentencia de 7 de diciembre de 2023, SCHUFA Holding (Exoneración del pasivo insatisfecho), C‑26/22 y C‑64/22, EU:C:2023:958, apartado 76].
51
Por lo que respecta, en segundo término, al requisito relativo a la necesidad del tratamiento de datos personales para la satisfacción del interés legítimo perseguido, este exige que el órgano jurisdiccional remitente compruebe que el interés legítimo perseguido con el tratamiento de los datos no puede alcanzarse razonablemente de manera tan eficaz por otros medios menos lesivos para las libertades y los derechos fundamentales de los interesados, en particular los derechos al respeto de la vida privada y a la protección de los datos personales, garantizados por los artículos 7 y 8 de la Carta [sentencia de 7 de diciembre de 2023, SCHUFA Holding (Exoneración del pasivo insatisfecho), C‑26/22 y C‑64/22, EU:C:2023:958, apartado 77 y jurisprudencia citada].
52
En este contexto, procede recordar igualmente que el requisito relativo a la necesidad del tratamiento debe examinarse en relación con el llamado principio de «minimización de los datos», consagrado en el artículo 5, apartado 1, letra c), del RGPD, conforme al cual los datos personales deben ser «adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados» [sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C‑252/21, EU:C:2023:537, apartado 109 y jurisprudencia citada].
53
Finalmente, por lo que respecta, en tercer término, al requisito de que los intereses o las libertades y los derechos fundamentales del interesado en la protección de los datos no prevalezcan sobre el interés legítimo del responsable del tratamiento o de un tercero, el Tribunal de Justicia ya ha declarado que dicho requisito implica la ponderación de los derechos e intereses en conflicto, que dependerá, en principio, de las circunstancias concretas del caso particular y que, en consecuencia, corresponde al órgano jurisdiccional remitente efectuar esa ponderación teniendo en cuenta estas circunstancias particulares [sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C‑252/21, EU:C:2023:537, apartado 110 y jurisprudencia citada].
54
Además, el considerando 47 del RGPD señala que los intereses y los derechos fundamentales del interesado pueden, en particular, prevalecer sobre los intereses del responsable del tratamiento cuando se proceda al tratamiento de datos personales en circunstancias en las que el interesado no espera razonablemente que se realice tal tratamiento [sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C‑252/21, EU:C:2023:537, apartado 112].
55
Si bien corresponde, en definitiva, al órgano jurisdiccional remitente apreciar si, en relación con el tratamiento de datos personales controvertido en los litigios principales, se cumplen los tres requisitos mencionados en el apartado 49 de la presente sentencia, el Tribunal de Justicia, al pronunciarse sobre la cuestión prejudicial, puede aportar precisiones destinadas a orientar a dicho órgano jurisdiccional a efectos de proceder a esa apreciación [sentencias de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C‑252/21, EU:C:2023:537, apartado 96, y de 7 de diciembre de 2023, SCHUFA Holding (Exoneración del pasivo insatisfecho), C‑26/22 y C‑64/22, EU:C:2023:958, apartado 81 y jurisprudencia citada].
56
En los presentes asuntos, por lo que respecta, en primer término, al requisito relativo a que el responsable del tratamiento o un tercero persigan un interés legítimo, en el sentido del artículo 6, apartado 1, párrafo primero, letra f), del RGPD, el órgano jurisdiccional remitente hace referencia al interés de un tercero, a saber, el interés de un socio que participa indirectamente en un fondo de inversión constituido en forma de sociedad comanditaria, abierta a la inversión del público, en la obtención de datos personales relativos a los demás socios indirectos de dicha sociedad con el fin de entrar en contacto con ellos o de negociar la adquisición de participaciones sociales, o incluso de coordinarse con ellos a efectos de la formación de una voluntad común en el contexto de los acuerdos de todos los socios.
57
Procede señalar que tal interés puede constituir, en principio, a efectos de la divulgación de datos personales, un interés legítimo en el sentido del artículo 6, apartado 1, párrafo primero, letra f), del RGPD, habida cuenta, en particular, del estatuto de esa sociedad, tal como se desprende del Derecho nacional del Estado miembro de que se trata, y con independencia de la magnitud del importe de la participación y de las facultades que el socio que presentó la solicitud de divulgación ostente en la sociedad. No obstante, corresponde al órgano jurisdiccional remitente apreciar, caso por caso, la existencia de ese interés tomando en consideración el marco jurídico aplicable y el conjunto de circunstancias del asunto.
58
En el supuesto de que tal interés legítimo quedara acreditado, sería preciso, además, para que la consecución de ese interés pueda permitir un tratamiento de datos personales, con arreglo al artículo 6, apartado 1, párrafo primero, letra f), del RGPD, que el responsable del tratamiento cumpla todas las demás obligaciones que le incumben en virtud de ese Reglamento.
59
En segundo término, por lo que respecta al requisito relativo a la necesidad de ese tratamiento para la satisfacción de tal interés y, en particular, de la existencia de medios menos lesivos para las libertades y derechos fundamentales de las personas afectadas e igualmente adecuados, es preciso señalar que es posible, en particular, que el socio de un fondo de inversión que pretenda obtener información relativa a otro socio titular de una participación indirecta en ese fondo a través de una sociedad fiduciaria solicite directamente a dicho fondo o a dicha sociedad que transmita su solicitud al socio en cuestión, con el fin de conocerlo o intercambiar opiniones con él. A continuación, este último podría decidir libremente si desea ponerse en contacto con el socio que ha formulado la solicitud o si prefiere no dar curso a tal solicitud y conservar su anonimato. Tal solución podría aplicarse igualmente en el caso de que el socio solicitante pretenda entablar con otro socio negociaciones para la adquisición de las participaciones de este último o coordinarse con este a efectos de la formación de una voluntad común en el contexto de los acuerdos de todos los socios.
60
Por otro lado, esta solución permitiría al socio al que se refiere la solicitud de información, de conformidad con el principio de minimización de los datos, mencionado en el apartado 52 de la presente sentencia, conservar el control sobre el tratamiento de sus datos personales y limitar así su divulgación a otro socio a lo que sea efectivamente necesario y pertinente en relación con los fines para los que se solicitan y tratan dichos datos.
61
Por lo tanto, no cabe excluir que un procedimiento como el descrito en el apartado anterior de la presente sentencia pueda considerarse una medida que supone una injerencia menor en el derecho a la protección de la confidencialidad de los datos personales del interesado, permitiendo al mismo tiempo al responsable del tratamiento observar, de manera igualmente eficaz, el interés legítimo del tercero afectado, extremo que, no obstante, corresponde comprobar al órgano jurisdiccional remitente.
62
En tercer término, por lo que respecta a la ponderación de los intereses que corresponde efectuar al órgano jurisdiccional remitente a la vista de las circunstancias específicas de los presentes asuntos, dicho órgano jurisdiccional debe tener en cuenta, en particular, las expectativas razonables del interesado, así como el alcance del tratamiento en cuestión y el impacto de este sobre el interesado [sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C‑252/21, EU:C:2023:537, apartado 116].
63
De ello se deduce que en el marco de tal ponderación no puede excluirse, en principio, que la divulgación de datos personales entre socios, incluso indirectos, de una sociedad personalista pueda servir, en su caso, a los intereses económicos de cada uno de ellos y, por tanto, también, a los intereses de los socios indirectos a cuyos datos personales pretenden tener acceso esos otros socios.
64
Por otra parte, tampoco puede excluirse que el interés de los socios que participan indirectamente en un fondo de inversión en que sus datos personales sigan siendo confidenciales pueda prevalecer sobre el de los demás socios que pretendan obtener sus datos de contacto. Desde esta perspectiva, debe concederse especial importancia al hecho de que es probable, habida cuenta, en particular, de las disposiciones contractuales mencionadas en el apartado 45 de la presente sentencia, que los socios indirectos de tal fondo de inversión no pudieran razonablemente esperar, en el momento de la recogida de sus datos personales, que estos fueran divulgados a terceros, en este caso a otros socios indirectos de ese fondo de inversión.
65
De la totalidad de las consideraciones anteriores se desprende, sin perjuicio de la apreciación del órgano jurisdiccional remitente, que resulta dudoso que un tratamiento de datos personales, como la divulgación de la información solicitada por las demandantes en los litigios principales, pueda estar justificado por un interés legítimo, en el sentido del artículo 6, apartado 1, párrafo primero, letra f), del RGPD.
66
Por lo que respecta, en tercer lugar, al artículo 6, apartado 1, párrafo primero, letra c), del RGPD, este establece que un tratamiento de datos personales es lícito si es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento.
67
El artículo 6, apartado 3, del RGPD precisa, a este respecto, que el tratamiento debe basarse en el Derecho de la Unión o en el Derecho de los Estados miembros que se aplique al responsable del tratamiento y que esa base jurídica debe cumplir un objetivo de interés público y ser proporcional al fin legítimo perseguido [sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C‑252/21, EU:C:2023:537, apartado 128].
68
Además, como enuncia el considerando 41 de ese Reglamento, cuando este hace referencia a una base jurídica o a una medida legislativa, no se exige necesariamente un acto legislativo adoptado por un parlamento, sin perjuicio de los requisitos de conformidad del ordenamiento constitucional del Estado miembro de que se trate. Sin embargo, dicha base jurídica o medida legislativa debe ser clara y precisa y su aplicación previsible para sus destinatarios, de conformidad con la jurisprudencia del Tribunal de Justicia y del Tribunal Europeo de Derechos Humanos.
69
En los presentes asuntos, por una parte, el Derecho de la Unión no establece ninguna obligación para los fondos de inversión o las sociedades fiduciarias de participación, como las que son objeto de los litigios principales, de divulgar los datos personales de los socios que participan indirectamente en dichos fondos.
70
Por otra parte, de las peticiones de decisión prejudicial se desprende que, no obstante, tal obligación podría deducirse, sin perjuicio de las comprobaciones que corresponde efectuar al órgano jurisdiccional remitente a este respecto, de la jurisprudencia del Bundesgerichtshof (Tribunal Supremo Federal de lo Civil y Penal) y del Oberlandesgericht München (Tribunal Superior Regional de lo Civil y Penal de Múnich) en virtud de la cual las cláusulas contractuales que garantizan la confidencialidad de los datos de contacto de los socios indirectos de una sociedad personalista abierta a la inversión del público, como las que son objeto de los litigios principales, deben considerarse nulas, de modo que procede divulgar los datos personales de los socios que participan indirectamente en un fondo de inversión constituido en forma de sociedad comanditaria abierta a la inversión del público.
71
A este respecto, es preciso señalar que, de conformidad con lo mencionado en el apartado 68 de la presente sentencia, no puede excluirse que «el Derecho de los Estados miembros que se aplique al responsable del tratamiento», en el sentido del artículo 6, apartado 3, letra b), del RGPD, comprenda también la jurisprudencia nacional.
72
Sin embargo, como se desprende del considerando 41 de dicho Reglamento, se exige que tal jurisprudencia sea clara y precisa y su aplicación previsible para sus destinatarios, de conformidad con la jurisprudencia del Tribunal de Justicia.
73
Además, con arreglo a la jurisprudencia recordada en el apartado 67 de la presente sentencia, es preciso además que esta jurisprudencia constituya una base jurídica que responda a un objetivo de interés público y que sea proporcionada a este objetivo, así como que el tratamiento de que se trate se lleve a cabo dentro de los límites de lo estrictamente necesario, extremo que corresponde comprobar al órgano jurisdiccional remitente [véase, en este sentido, la sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C‑252/21, EU:C:2023:537, apartados 134 y 138].
74
Así pues, corresponderá a dicho órgano jurisdiccional determinar, en particular, si no existen medidas que, al mismo tiempo que permitan garantizar la transparencia entre los socios de sociedades personalistas, tal como parece derivarse del Derecho alemán, como se ha expuesto en los apartados 18 a 22 de la presente sentencia, sean menos lesivas para la protección de los datos personales confidenciales de los socios indirectos de sociedades comanditarias abiertas a la inversión del público que la obligación de divulgar esos datos a cualquier otro socio que lo solicite.
75
Habida cuenta de todas las consideraciones anteriores, procede responder a las cuestiones prejudiciales planteadas que el artículo 6, apartado 1, párrafo primero, letra b), del RGPD debe interpretarse en el sentido de que un tratamiento de datos personales consistente en divulgar, a petición de un socio de un fondo de inversión, constituido en forma de sociedad personalista abierta a la inversión del público, información sobre todos los socios que participan indirectamente en ese fondo, a través de sociedades fiduciarias, con independencia de la magnitud de su participación en el capital de dicho fondo, con el fin de entrar en contacto y negociar con ellos la adquisición de sus participaciones sociales, o de coordinarse con ellos con el propósito de formar una voluntad común en el contexto de los acuerdos de los socios, solo puede considerarse necesario, a efectos de esa disposición, para la ejecución del contrato en virtud del cual esos socios adquirieron tales participaciones si ese tratamiento es objetivamente indispensable para lograr una finalidad que forma parte integrante de la prestación contractual destinada a esos mismos socios, de modo que el objeto principal del contrato no podría alcanzarse sin ese tratamiento. No sucede así si el citado contrato excluye expresamente la divulgación de esos datos personales a otros titulares de participaciones.
76
El artículo 6, apartado 1, párrafo primero, letra f), del RGPD debe interpretarse en el sentido de que un tratamiento de ese tipo solo puede considerarse necesario para la satisfacción de los intereses legítimos perseguidos por un tercero, a efectos de dicha disposición, si ese tratamiento es estrictamente necesario para la consecución de ese interés legítimo y si, habida cuenta de todas las circunstancias pertinentes, sobre ese interés legítimo no prevalecen los intereses o las libertades y los derechos fundamentales de tales socios.
77
El artículo 6, apartado 1, párrafo primero, letra c), del RGPD debe interpretarse en el sentido de que ese tratamiento de datos personales está justificado, con arreglo a dicha disposición, cuando es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, en virtud del Derecho del Estado miembro de que se trate, tal como se concrete en la jurisprudencia de ese Estado miembro, siempre que esa jurisprudencia sea clara y precisa, que su aplicación sea previsible para sus destinatarios y que responda a un objetivo de interés público y sea proporcionada a este.
Costas
78
Dado que el procedimiento tiene, para las partes de los litigios principales, el carácter de un incidente promovido ante el órgano jurisdiccional remitente, corresponde a este resolver sobre las costas. Los gastos efectuados por quienes, no siendo partes de los litigios principales, han presentado observaciones ante el Tribunal de Justicia no pueden ser objeto de reembolso.
En virtud de todo lo expuesto, el Tribunal de Justicia (Sala Cuarta) declara:
1)
El artículo 6, apartado 1, párrafo primero, letra b), del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos),
debe interpretarse en el sentido de que
un tratamiento de datos personales consistente en divulgar, a petición de un socio de un fondo de inversión, constituido en forma de sociedad personalista abierta a la inversión del público, información sobre todos los socios que participan indirectamente en ese fondo, a través de sociedades fiduciarias, con independencia de la magnitud de su participación en el capital de dicho fondo, con el fin de entrar en contacto y negociar con ellos la adquisición de sus participaciones sociales, o de coordinarse con ellos con el propósito de formar una voluntad común en el contexto de los acuerdos de los socios, solo puede considerarse necesario, a efectos de esa disposición, para la ejecución del contrato en virtud del cual esos socios adquirieron tales participaciones si ese tratamiento es objetivamente indispensable para lograr una finalidad que forma parte integrante de la prestación contractual destinada a esos mismos socios, de modo que el objeto principal del contrato no podría alcanzarse sin ese tratamiento. No sucede así si el citado contrato excluye expresamente la divulgación de esos datos personales a otros titulares de participaciones.
2)
El artículo 6, apartado 1, párrafo primero, letra f), del Reglamento 2016/679
debe interpretarse en el sentido de que
un tratamiento de ese tipo solo puede considerarse necesario para la satisfacción de los intereses legítimos perseguidos por un tercero, a efectos de dicha disposición, si ese tratamiento es estrictamente necesario para la consecución de ese interés legítimo y si, habida cuenta de todas las circunstancias pertinentes, sobre ese interés legítimo no prevalecen los intereses o las libertades y los derechos fundamentales de tales socios.
3)
El artículo 6, apartado 1, párrafo primero, letra c), del Reglamento 2016/679
debe interpretarse en el sentido de que
ese tratamiento de datos personales está justificado, con arreglo a dicha disposición, cuando es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, en virtud del Derecho del Estado miembro de que se trate, tal como se concrete en la jurisprudencia de ese Estado miembro, siempre que esa jurisprudencia sea clara y precisa, que su aplicación sea previsible para sus destinatarios y que responda a un objetivo de interés público y sea proporcionada a este.
Firmas
(
*1
)	Lengua de procedimiento: alemán.