62022CJ0026_RES
Asuntos acumulados C‑26/22 y C‑64/22
UFyAB
contra
Land Hessen
(Petición de decisión prejudicial planteada por el Verwaltungsgericht Wiesbaden)
Sentencia del Tribunal de Justicia (Sala Primera) de 7 de diciembre de 2023
«Procedimiento prejudicial — Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Artículo 5, apartado 1, letra a) — Principio de “licitud” — Artículo 6, apartado 1, párrafo primero, letra f) — Necesidad del tratamiento para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero — Artículo 17, apartado 1, letra d) — Derecho de supresión en caso de tratamiento ilícito de datos personales — Artículo 40 — Códigos de conducta — Artículo 78, apartado 1 — Derecho a la tutela judicial efectiva frente a una autoridad de control — Decisión adoptada por la autoridad de control sobre una reclamación — Alcance del control jurisdiccional sobre dicha decisión — Agencias de información comercial — Conservación de datos procedentes de un registro público relativos a la exoneración del pasivo insatisfecho en favor de una persona — Duración de la conservación»
Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Medios de impugnación judicial — Recurso jurisdiccional contra una decisión sobre una reclamación adoptada por una autoridad de control — Control jurisdiccional — Alcance — Límites — Inexistencia
(Carta de los Derechos Fundamentales de la Unión Europea, arts. 8, ap. 3, y 47; Reglamento 2016/679/CE del Parlamento Europeo y del Consejo, considerandos 141 a 143 y arts. 52, 78, ap. 1, y 79, ap. 1)
(véanse los apartados 50 a 53, 58, 59, 62 y 67 a 70 y el punto 1 del fallo)
Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Requisitos para la licitud de un tratamiento de datos personales — Tratamiento necesario para la satisfacción de los intereses legítimos perseguidos por el responsable del tratamiento o por un tercero — Tratamiento necesario para la actividad de una agencia privada consistente en el suministro de información comercial a sus socios contractuales a efectos de evaluar la solvencia de sus clientes potenciales — Conservación sistemática de datos procedentes de un registro público relativos a la exoneración del pasivo insatisfecho en favor de una persona — Duración de la conservación más allá del plazo de conservación de los datos en el registro público de insolvencia — Improcedencia
[Carta de los Derechos Fundamentales de la Unión Europea, arts. 7 y 8; Reglamentos del Parlamento Europeo y del Consejo 2015/848/CE, considerando 76 y art. 79, aps. 4 y 5, y (UE) 2016/679, arts. 5, ap. 1, letra a), y 6, ap. 1, párr. 1, letra f)]
(véanse los apartados 75, 83, 88 a 100 y 113 y el punto 2 del fallo)
Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Requisitos para la licitud de un tratamiento de datos personales — Código de conducta elaborado por una asociación que representa a los responsables o encargados del tratamiento, aprobado por la autoridad de control competente — Código que establece los requisitos para la licitud del tratamiento que no se corresponden con los establecidos en el Reglamento 2016/679 — No consideración
[Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, arts. 6, ap. 1, párr. 1, letra f), y 40, aps. 1, 2 y 5]
(véanse los apartados 101 a 105)
Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Derecho de supresión — Alcance — Tratamiento ilícito de datos personales — Inclusión
[Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, art. 17, ap. 1, letra d)]
(véanse los apartados 107, 108 y 113 y el punto 4 del fallo)
Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Derecho de supresión — Alcance — Derecho de oposición de la persona afectada por un tratamiento de datos personales — Inclusión — Excepción — Existencia de motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los intereses, los derechos y las libertades del interesado — Carga de la prueba que incumbe al responsable del tratamiento
[Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, arts. 17, ap. 1, letra c), y 21, ap. 1]
(véanse los apartados 109 a 113 y el punto 3 del fallo)
Resumen
Schufa Holding AG, una sociedad de Derecho privado alemán, almacena y conserva, en sus propias bases de datos, información procedente de registros públicos, en particular, la relativa a exoneraciones del pasivo insatisfecho que, en su caso, facilita a sus socios contractuales. Dicha agencia procede a la supresión de la mencionada información transcurrido un plazo de tres años desde su registro, de conformidad con el código de conducta elaborado en Alemania por la asociación que agrupa a las agencias de información comercial.
UF y AB solicitaron a SCHUFA la supresión de las inscripciones relativas a las resoluciones de exoneración del pasivo insatisfecho que les habían concedido en el marco de sus respectivos procedimientos de insolvencia. Esta agencia se negó a acceder a sus solicitudes alegando que el plazo de supresión de seis meses establecido en la legislación alemana (
1
) no le era aplicable.
UF y AB interpusieron, cada uno de ellos, una reclamación contra SCHUFA ante el HBDI, (
2
) autoridad de control competente, que esta desestimó alegando que el tratamiento de datos efectuado por SCHUFA era lícito.
El Verwaltungsgericht Wiesbaden (Tribunal de lo Contencioso-Administrativo de Wiesbaden, Alemania), que conoce de los recursos interpuestos por UF y AB contra las decisiones del HBDI, ha preguntado al Tribunal de Justicia cómo deben interpretarse determinadas disposiciones del RGPD, (
3
) que se refieren, en particular, a la necesidad del tratamiento de los datos para la satisfacción de intereses legítimos y al derecho de supresión. (
4
)
En su sentencia, el Tribunal de Justicia declara que el RGPD (
5
) se opone a una práctica de las agencias de información comercial consistente en conservar, en sus propias bases de datos, información procedente de un registro público relativa a la concesión de una exoneración del pasivo insatisfecho en favor de personas físicas, durante un período que exceda del de conservación de los datos en el registro público. También se pronuncia sobre el derecho del interesado a que dicha agencia suprima los datos que le conciernen.
Apreciación del Tribunal de Justicia
En primer lugar, el Tribunal de Justicia recuerda que, según el RGPD, un tratamiento de datos personales puede considerarse lícito, en particular, cuando se cumplen tres requisitos acumulativos, a saber, primero, que el responsable del tratamiento o un tercero persigan un interés legítimo; segundo, que el tratamiento de los datos personales sea necesario para la satisfacción de ese interés legítimo, y, tercero, que no prevalezcan los intereses o los derechos y libertades fundamentales del interesado en la protección de los datos sobre el interés legítimo del responsable del tratamiento o de un tercero. (
6
)
Por lo que respecta al primer requisito, el Tribunal de Justicia señala que, si bien en el presente asunto el tratamiento de datos personales satisface los intereses económicos de una agencia privada, también satisface el interés legítimo de sus socios contractuales que pretenden celebrar contratos vinculados a un crédito y, en consecuencia, los intereses del sector crediticio desde un punto de vista socioeconómico.
Por lo que se refiere al segundo requisito, el Tribunal de Justicia recuerda que el tratamiento de datos solo puede considerarse «necesario» si se lleva a cabo dentro de los límites de lo estrictamente necesario para la satisfacción de ese interés legítimo perseguido por el responsable del tratamiento o por un tercero.
En cuanto al tercer requisito, el Tribunal de Justicia observa que, en el presente asunto, su examen se confunde con el examen del segundo requisito y requiere la ponderación de los derechos e intereses en conflicto para apreciar si los intereses legítimos perseguidos no pueden alcanzarse razonablemente con un período de conservación de los datos más corto.
Así, en lo que se refiere a la ponderación de los intereses legítimos perseguidos, el Tribunal de Justicia señala que, en la medida en que el análisis aportado por una agencia de información comercial hace posible la evaluación objetiva y fiable de la solvencia de los potenciales clientes de los socios contractuales de esa agencia, dicha ponderación permite compensar las asimetrías en la información y, por tanto, reducir los riesgos de fraude y otras incertidumbres.
Sin embargo, en lo que se refiere a los derechos e intereses del interesado, el Tribunal de Justicia considera que el tratamiento de datos relativos a la concesión de una exoneración del pasivo insatisfecho por una agencia de información comercial, como la conservación, el análisis y la comunicación de dichos datos a un tercero, constituye una injerencia grave en los derechos fundamentales del interesado. (
7
) En efecto, tales datos se configuran como un factor negativo a la hora de evaluar la solvencia del interesado y, por tanto, constituyen información sensible sobre su vida privada cuyo tratamiento puede perjudicar considerablemente sus intereses. Además, cuanto más tiempo se conserven esos datos, más importantes son las consecuencias sobre los intereses y sobre la vida privada del interesado y mayores las exigencias relativas a la licitud de la conservación de esta información.
Por otra parte, en lo que se refiere a la conservación de datos en los registros públicos de insolvencia, el Tribunal de Justicia señala que los Estados miembros son responsables de la recopilación y el almacenamiento de los datos en las bases de datos nacionales (
8
) y, por tanto, deben fijar también el plazo de conservación de dichos datos. En el presente asunto, el legislador nacional ha considerado que, una vez transcurrido un plazo de seis meses, los derechos y los intereses del interesado prevalecen sobre los intereses del público en disponer de esa información.
Además, la exoneración del pasivo insatisfecho debe permitir al beneficiario volver a participar en la vida económica y, por lo tanto, generalmente reviste una importancia vital para esa persona. Pues bien, la consecución de este objetivo se vería comprometida si la información relativa a una exoneración del pasivo insatisfecho pudiera conservarse y utilizarse una vez que ha sido suprimida del registro público de insolvencia.
Por consiguiente, el Tribunal de Justicia concluye que los intereses del sector crediticio en disponer de información sobre una exoneración del pasivo insatisfecho no pueden justificar la conservación de esta información más allá del plazo de conservación en el registro público de insolvencia.
El Tribunal de Justicia añade que la conservación de los datos durante el período de seis meses también constituye una injerencia en los derechos fundamentales del interesado. A este respecto, corresponde al órgano jurisdiccional remitente apreciar si puede considerarse que la conservación paralela de esos datos por agencias privadas se limita a lo estrictamente necesario.
Por último, en lo que se refiere a la existencia de un código de conducta que obliga a la supresión de los datos transcurrido un plazo de tres años, el Tribunal de Justicia señala que, si bien estos códigos están destinados a contribuir a la correcta aplicación del RGPD, (
9
) no es menos cierto que los requisitos para la licitud del tratamiento de datos personales que se establecen en ellos no pueden diferir de los previstos en el RGPD. De esta forma, no puede tomarse en consideración un código de conducta que dé lugar a una apreciación diferente de la obtenida aplicando el RGPD.
En segundo lugar, por lo que se refiere a la obligación del responsable del tratamiento de suprimir los datos personales, el Tribunal de Justicia señala, por un lado, que este debe suprimir los datos cuando hayan sido objeto de un tratamiento ilícito, tal y como sucede en el presente asunto, en el que el tratamiento de datos se efectuó más allá del plazo de conservación de datos, de seis meses, en el registro público. (
10
) Por otro lado, incluso si el órgano jurisdiccional remitente concluyese que el tratamiento de datos durante el período de seis meses era lícito, el interesado dispondría de un derecho a oponerse al tratamiento (
11
) y de un derecho a la supresión de los datos que le conciernen mientras dicha agencia no demuestre que existen motivos legítimos imperiosos que prevalecen sobre los intereses, los derechos y las libertades del interesado. (
12
)
(
1
)	Artículo 3, apartado 1, del Verordnung zu öffentlichen Bekanntmachungen in Insolvenzverfahren im Internet (Decreto sobre Comunicaciones Públicas en Internet en los Procedimientos de Insolvencia), de 12 de febrero de 2002 (BGBl. I, p. 677).
(
2
)	Hessischer Beauftragter für Datenschutz und Informationsfreiheit (Delegado de Protección de Datos y de Libertad de Información del Estado Federado de Hesse, Alemania).
(
3
)	Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO 2016, L 119, p. 1, corrección de errores en DO 2018, L 127, p. 3; en lo sucesivo «RGPD»).
(
4
)	Artículos 6, apartado 1, párrafo primero, letra f), y 17, apartado 1, letras c) y d), respectivamente, de dicho Reglamento.
(
5
)	Artículo 5, apartado 1, letra a), en relación con el artículo 6, apartado 1, párrafo primero, letra f), del RGPD.
(
6
)	Con arreglo al artículo 6, apartado 1, párrafo primero, letra f), del RGPD, aplicable en el presente asunto.
(
7
)	Derechos consagrados en los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea relativos al respeto de la vida privada y a la protección de los datos personales, respectivamente.
(
8
)	A tenor del artículo 79, apartado 4, del Reglamento (UE) 2015/848 del Parlamento Europeo y del Consejo, de 20 de mayo de 2015, sobre procedimientos de insolvencia (DO 2015, L 141, p. 19). El artículo 79, apartado 5, de dicho Reglamento se limita a preceptuar que los Estados miembros deben informar a los interesados acerca del período de accesibilidad establecido para los datos personales almacenados en los registros de insolvencia, sin determinar un plazo para la conservación de dichos datos.
(
9
)	Con arreglo al artículo 40, apartados 1 y 2, del RGPD.
(
10
)	De conformidad con el artículo 17, apartado 1, letra d), del RGPD.
(
11
)	En virtud del artículo 21, apartado 1, del RGPD.
(
12
)	Con arreglo al artículo 17, apartado 1, letra c), del RGPD.