62022CC0026
CONCLUSIONES DEL ABOGADO GENERAL
SR. PRIIT PIKAMÄE
presentadas el 16 de marzo de 2023 (
1
)
Asuntos acumulados C‑26/22 y C‑64/22
UF (C‑26/22)
AB (C‑64/22)
contra
Land Hessen,
con intervención de:
SCHUFA Holding AG
[Petición de decisión prejudicial planteada por el Verwaltungsgericht Wiesbaden (Tribunal de lo Contencioso-Administrativo de Wiesbaden, Alemania]
«Procedimiento prejudicial — Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Artículo 6, apartado 1, párrafo primero, letra f) — Licitud del tratamiento — Artículo 17, apartado 1, letra d) — Derecho de supresión en caso de tratamiento ilícito de datos personales — Artículo 40 — Códigos de conducta — Artículo 77, apartado 1 — Derecho a presentar una reclamación — Artículo 78, apartado 1 — Derecho a la tutela judicial efectiva frente a una autoridad de control — Artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea — Decisión adoptada por la autoridad de control sobre una reclamación — Alcance del control jurisdiccional sobre dicha decisión — Agencias privadas de información comercial — Conservación de datos procedentes de un registro público — Interés legítimo — Duración de la conservación»
I. Introducción
1.
Las presentes peticiones de decisión prejudicial presentadas por el Verwaltungsgericht Wiesbaden (Tribunal de lo Contencioso-Administrativo de Wiesbaden, Alemania) en virtud del artículo 267 TFUE tienen por objeto la interpretación de los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «Carta»), así como de los artículos 6, apartado 1, párrafo primero, letra f), 17, apartado 1, letra d), 40, 77, apartado 1, y 78, apartado 1, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos) (
2
) (en lo sucesivo, «RGPD»).
2.
Estas peticiones se insertan en el marco de dos litigios entre, el primero, UF (asunto C‑26/22) y, el segundo, AB (asunto C‑64/22) y el Land Hessen (estado federado de Hesse, Alemania), representado por el Hessischer Beauftragte für Datenschutz und Informationsfreiheit (Delegado de Protección de Datos y de Libertad de Información del Estado Federado de Hesse; en lo sucesivo, «HBDI»), acerca de dos solicitudes, presentadas por UF y AB, respectivamente, ante el HBDI, para que este último ordenara a SCHUFA Holding AG (en lo sucesivo, «SCHUFA») suprimir una inscripción relativa a la remisión de la deuda restante.
3.
Los dos asuntos plantean varias cuestiones jurídicas inéditas relativas, entre otros aspectos, a la naturaleza jurídica de la decisión adoptada por la autoridad de control ante la que se ha presentado una reclamación, así como al alcance del control jurisdiccional que el juez puede ejercer en el marco de un recurso interpuesto contra tal decisión. Estos asuntos también versan sobre la cuestión de la licitud de la conservación de datos personales procedentes de registros públicos por parte de agencias de información comercial.
II. Marco jurídico
A. Derecho de la Unión
1.
Reglamento (UE) 2015/848
4.
A tenor del artículo 79, apartados 4 y 5, del Reglamento (UE) 2015/848 del Parlamento Europeo y del Consejo, de 20 de mayo de 2015, sobre procedimientos de insolvencia: (
3
)
«4.   Los Estados miembros se encargarán, de conformidad con la Directiva 95/46/CE [del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (DO 1995, L 281, p. 31)], de la recopilación y almacenamiento de los datos en las bases de datos nacionales y de las decisiones adoptadas para que tales datos estén disponibles en el registro interconectado que se puede consultar a través del Portal Europeo de e-Justicia.
5.   Como parte de la información que debe facilitarse a los titulares de los datos para que puedan ejercer sus derechos, y en particular el derecho a la cancelación de datos, los Estados miembros informarán a dichos titulares acerca del período de accesibilidad establecido para los datos personales almacenados en los registros de insolvencia.»
2.
RGPD
5.
El artículo 5 del RGPD dispone, en su apartado 1:
«Los datos personales serán:
[…]
b)
recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; […] (“limitación de la finalidad”);
[…]».
6.
El artículo 6 de este Reglamento establece, en su apartado 1:
«El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
[…]
f)
el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales […].
[…]»
7.
El artículo 17 del RGPD establece, en su apartado 1:
«El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
[…]
c)
el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
d)
los datos personales hayan sido tratados ilícitamente;
[…]».
8.
El artículo 21 de dicho Reglamento, dispone, en su apartado 1:
«El interesado tendrá derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular, a que datos personales que le conciernan sean objeto de un tratamiento basado en lo dispuesto en el artículo 6, apartado 1, letras e) o f), incluida la elaboración de perfiles sobre la base de dichas disposiciones. El responsable del tratamiento dejará de tratar los datos personales, salvo que acredite motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los intereses, los derechos y las libertades del interesado, o para la formulación, el ejercicio o la defensa de reclamaciones.»
9.
El artículo 40 del referido Reglamento establece:
«1.   Los Estados miembros, las autoridades de control, el Comité y la Comisión [Europea] promoverán la elaboración de códigos de conducta destinados a contribuir a la correcta aplicación del presente Reglamento, teniendo en cuenta las características específicas de los distintos sectores de tratamiento y las necesidades específicas de las microempresas y las pequeñas y medianas empresas.
2.   Las asociaciones y otros organismos representativos de categorías de responsables o encargados del tratamiento podrán elaborar códigos de conducta o modificar o ampliar dichos códigos con objeto de especificar la aplicación del presente Reglamento, como en lo que respecta a:
a)
el tratamiento leal y transparente;
b)
los intereses legítimos perseguidos por los responsables del tratamiento en contextos específicos;
c)
la recogida de datos personales;
[…]
5.   Las asociaciones y otros organismos mencionados en el apartado 2 del presente artículo que proyecten elaborar un código de conducta o modificar o ampliar un código existente presentarán el proyecto de código o la modificación o ampliación a la autoridad de control que sea competente con arreglo al artículo 55. La autoridad de control dictaminará si el proyecto de código o la modificación o ampliación es conforme con el presente Reglamento y aprobará dicho proyecto de código, modificación o ampliación si considera suficientes las garantías adecuadas ofrecidas.
[…]»
10.
El artículo 77 del RGPD establece, en su apartado 1:
«Sin perjuicio de cualquier otro recurso administrativo o acción judicial, todo interesado tendrá derecho a presentar una reclamación ante una autoridad de control, en particular en el Estado miembro en el que tenga su residencia habitual, lugar de trabajo o lugar de la supuesta infracción, si considera que el tratamiento de datos personales que le conciernen infringe el presente Reglamento.»
11.
El artículo 78 de este Reglamento dispone:
«1.   Sin perjuicio de cualquier otro recurso administrativo o extrajudicial, toda persona física o jurídica tendrá derecho a la tutela judicial efectiva contra una decisión jurídicamente vinculante de una autoridad de control que le concierna.
2.   Sin perjuicio de cualquier otro recurso administrativo o extrajudicial, todo interesado tendrá derecho a la tutela judicial efectiva en caso de que la autoridad de control que sea competente en virtud de los artículos 55 y 56 no dé curso a una reclamación o no informe al interesado en el plazo de tres meses sobre el curso o el resultado de la reclamación presentada en virtud del artículo 77.
[…]»
B. Derecho alemán
12.
El artículo 9 de la Insolvenzordnung (Ley Concursal), en la versión en vigor en la época de los hechos de los litigios principales, dispone, en su apartado 1:
«La comunicación pública se efectuará mediante una publicación centralizada y suprarregional en Internet. Pueden publicarse extractos. A tal fin, deberá identificarse al deudor con precisión, indicando en particular su dirección y el sector de su actividad. La comunicación se considerará efectuada tan pronto como hayan transcurrido dos días adicionales desde la fecha de publicación.»
13.
El artículo 3 del Verordnung zu öffentlichen Bekanntmachungen in Insolvenzverfahren im Internet (Decreto sobre Comunicaciones Públicas en Internet en los Procedimientos de Insolvencia) (en lo sucesivo, «InsBekV») establece, en sus apartados 1 y 2:
«(1)   Se suprimirá la publicación efectuada en un sistema de información o de comunicación electrónica de datos procedentes de un procedimiento de insolvencia, incluido el procedimiento de apertura, a más tardar seis meses después del levantamiento o desde la firmeza del archivo del procedimiento de insolvencia. Si no se produce la apertura del procedimiento, el plazo empieza a correr a partir del levantamiento de las medidas cautelares publicadas.
(2)   A las publicaciones en el marco del procedimiento de remisión de la deuda restante, incluida la resolución a que se refiere el artículo 289 de la Ley Concursal, se les aplicará el apartado 1, primera frase, entendiéndose que el plazo comienza a correr a partir de la firmeza de la resolución relativa a la remisión de la deuda restante.»
III. Antecedentes de hecho de los litigios, procedimientos principales y cuestiones prejudiciales
14.
En el marco de los procedimientos de insolvencia que les concernían, se había concedido a UF y a AB una remisión anticipada de la deuda restante, mediante resoluciones judiciales dictadas el 17 de diciembre de 2020 y el 23 de marzo de 2021, respectivamente. De conformidad con el artículo 9, apartado 1, de la Ley Concursal, así como con el artículo 3, apartados 1 y 2, del InsBekV, esta circunstancia había sido objeto de una publicación oficial en Internet que fue suprimida al cabo de seis meses.
15.
SCHUFA, una agencia privada que proporciona información comercial, almacena en sus propias bases de datos la información publicada referida a las remisiones anticipadas de deuda restante, pero no la suprime hasta transcurridos tres años desde su incorporación.
16.
Tras haber recibido sendas peticiones de UF y AB por las que se solicitaba la supresión de las inscripciones concernientes a ambos, SCHUFA les indicó que su actividad respetaba el RGPD y que el plazo de supresión de seis meses previsto en el artículo 3, apartado 1, del InsBekV no le era aplicable. En ese momento, UF y AB presentaron cada uno una reclamación ante el HBDI, que es la autoridad de control competente.
17.
El HBDI se pronunció sobre estas reclamaciones mediante dos dictámenes emitidos el 1 de marzo y el 9 de julio de 2021, respectivamente. Según dicha institución, SCHUFA tiene derecho a conservar las inscripciones negativas relativas a una remisión de la deuda restante más allá del plazo de liberación del crédito.
18.
UF y AB interpusieron cada uno un recurso contra el dictamen del HBDI ante el Verwaltungsgericht Wiesbaden (Tribunal de lo Contencioso-Administrativo de Wiesbaden), que es el órgano jurisdiccional remitente. En este sentido, alegan que el HBDI está obligado, en el marco de sus funciones y de sus facultades, a adoptar medidas contra SCHUFA dirigidas a ordenar la supresión de las inscripciones referidas a ellos.
19.
A este respecto, el órgano jurisdiccional remitente considera necesario, en primer lugar, que se aclare la naturaleza jurídica de la decisión dictada por la autoridad de control respecto de una reclamación presentada con arreglo al artículo 77, apartado 1, del RGPD. El citado órgano jurisdiccional expone que, en opinión del HBDI, el derecho previsto en dicho artículo 77, apartado 1, está concebido como un derecho de petición. Así pues, considera que únicamente está sujeto a un control jurisdiccional restringido que se limite a comprobar que la autoridad de control ha dado curso a la reclamación y ha informado a su autor sobre el curso y el resultado de esta. En cambio, el juez no debe controlar la exactitud en cuanto al fondo de la decisión dictada sobre la reclamación.
20.
No obstante, dicho órgano jurisdiccional alberga dudas sobre la conformidad de este análisis con el RGPD. Según este, el artículo 78, apartado 1, de este Reglamento exige una tutela judicial efectiva. Habida cuenta del objetivo de dicho Reglamento, que consiste, en el marco de la aplicación de los artículos 7 y 8 de la Carta, en garantizar una protección eficaz de los derechos y libertades fundamentales de las personas físicas, no puede darse una interpretación restrictiva al tratamiento que se dispensa al derecho a presentar reclamaciones. En consecuencia, el órgano jurisdiccional remitente se inclina por una interpretación según la cual la decisión sobre el fondo adoptada por la autoridad de control debe ser examinada de forma plena por los tribunales, sabiendo, no obstante, que la citada autoridad no dispone tanto de una facultad de apreciación como de una potestad discrecional y que solo puede ser obligada a actuar cuando no se identifiquen alternativas legalmente admisibles.
21.
En segundo lugar, el órgano jurisdiccional remitente alberga dudas sobre la licitud de la conservación de datos procedentes de registros públicos por parte de las agencias de información comercial. A este respecto, el citado órgano jurisdiccional precisa que estas agencias obtienen del Estado todas las inscripciones procedentes de los registros públicos (en el caso de autos, el Registro de Deudores y el Registro Concursal). Estos datos sirven, según el HBDI, para evaluar la solvencia y pueden conservarse mientras sea necesario para los fines para los que se han conservado. Asimismo, a falta de una normativa aprobada por el legislador nacional, las autoridades de control han formalizado con la asociación de las agencias de información comercial unos códigos de conducta que contemplan la supresión exactamente tres años después de la inscripción en el fichero.
22.
Según el órgano jurisdiccional remitente, en virtud de los artículos 7 y 8 de la Carta, se plantea la cuestión de si las inscripciones en los registros públicos pueden trasladarse íntegramente a registros privados sin que exista un motivo concreto para la conservación de datos. Se trataría, a fin de cuentas, de una retención de datos, sobre todo si estos ya han sido suprimidos del registro nacional debido a la expiración del plazo de conservación. Además, SCHUFA no es sino una agencia de información comercial entre otras muchas, de manera que los datos se conservan en Alemania múltiples veces, lo que implica una injerencia masiva en el derecho fundamental consagrado en el artículo 7 de la Carta.
23.
El órgano jurisdiccional remitente añade que solo es admisible el tratamiento y, por tanto, la conservación de los datos si se cumple alguno de los requisitos previstos en el artículo 6, apartado 1, del RGPD, y precisa que, en el presente asunto, solo cabe considerar el artículo 6, apartado 1, párrafo primero, letra f), de este Reglamento. Pues bien, resulta dudoso que un responsable del tratamiento como SCHUFA tenga un interés legítimo en el sentido de esa disposición. En todo caso, a una agencia de información comercial, en caso de existir un interés legítimo, siempre le será posible consultar los registros públicos mientras los datos se conserven en estos.
24.
Además, en el artículo 3 del InsBekV, el legislador alemán solo establece un plazo de conservación de la inscripción en el Registro Concursal relativamente corto, de seis meses, en relación con la remisión de la deuda restante. Esta normativa, por su parte, tiene su fundamento en el artículo 79, apartado 5, del Reglamento 2015/848, en virtud del cual los Estados miembros deben informar a los interesados acerca del período de accesibilidad establecido para los datos personales almacenados en los registros de insolvencia, con el fin de permitirles ejercer sus derechos, y en particular el derecho a la cancelación de datos. Sin embargo, este derecho deja de existir en caso de conservación en un gran número de registros privados en los que los datos se conservan durante más tiempo.
25.
A mayor abundamiento, aunque se admitiera que la conservación por parte de las agencias privadas de información comercial de los datos procedentes de registros públicos es lícita, cabría preguntarse si los códigos de conducta aprobados con arreglo al artículo 40 del RGPD, que establecen un plazo de supresión de tres años para la inscripción relativa a la remisión de la deuda restante, deben tenerse en cuenta en la ponderación que exige la apreciación en virtud del artículo 6, apartado 1, párrafo primero, letra f), del RGPD.
26.
En estas condiciones, el Verwaltungsgericht Wiesbaden (Tribunal de lo Contencioso-Administrativo de Wiesbaden) decidió suspender el procedimiento y plantear al Tribunal de Justicia las siguientes cuestiones prejudiciales:
«1)
¿Debe interpretarse el artículo 77, apartado 1, en relación con el artículo 78, apartado 1, del [RGPD] en el sentido de que el resultado [de la reclamación] que la autoridad de control comunica al interesado:
a)
tiene la naturaleza de una decisión sobre una petición? (esto tendría como consecuencia que el control judicial de una decisión de la autoridad de control sobre una reclamación con arreglo al artículo 78, apartado 1, del RGPD se limitaría, en principio, a la cuestión de si dicha autoridad ha dado curso a la reclamación, ha examinado adecuadamente el objeto de la reclamación y ha informado al reclamante del resultado del examen);
o bien
b)
debe considerarse una decisión administrativa sobre el fondo? (esto tendría como consecuencia que la resolución de una reclamación por parte de la autoridad de control estaría íntegramente sujeta, desde el punto de vista de su contenido, al control judicial con arreglo al artículo 78, apartado 1, del RGPD, debiendo entenderse que, en un caso concreto, por ejemplo, en caso de reducción de la discrecionalidad a cero, la autoridad de control también podría ser obligada por el órgano jurisdiccional a adoptar una medida concreta en el sentido del artículo 58 del RGPD)
2)
¿Una conservación de datos por parte de una agencia privada de información comercial en la que los datos personales de un registro público, como las “bases de datos nacionales” en el sentido del artículo 79, apartados 4 y 5, del Reglamento [2015/848] se conservan sin motivos específicos para poder proporcionar información en caso de que se solicite, es conforme con los artículos 7 y 8 de la [Carta]?
3)
a)
¿Son admisibles, en principio, las bases de datos paralelas privadas (en particular las bases de datos de las agencias de información), creadas al margen de las bases de datos estatales y en las que los datos procedentes de las bases de datos estatales (en el presente caso, comunicaciones relativas a insolvencias) se conservan durante más tiempo de lo previsto en el estricto marco del Reglamento 2015/848, en relación con el Derecho nacional?
b)
En caso de respuesta afirmativa a la tercera cuestión, letra a), ¿se deriva del derecho al olvido previsto en el artículo 17, apartado 1, letra d), del RGPD que tales datos deben suprimirse cuando haya expirado el período de tratamiento previsto para el registro público?
4)
En la medida en que el artículo 6, apartado 1, párrafo primero, letra f), del RGPD deba ser considerado la única base jurídica para la conservación de datos en agencias privadas de información comercial en lo concerniente a los datos conservados también en registros públicos, ¿deberá afirmarse en ese caso que existe un interés legítimo de una agencia de información comercial incluso cuando dicha agencia tome los datos del registro público sin un motivo concreto para que dichos datos estén disponibles en caso de que se soliciten?
5)
¿La ponderación exigida por el artículo 6, apartado 1, párrafo primero, letra f), del RGPD puede quedar suspendida por los códigos de conducta aprobados por las autoridades de control con arreglo al artículo 40 del RGPD que establezcan períodos de examen y de supresión que superen los períodos de conservación de los registros públicos?»
IV. Procedimiento ante el Tribunal de Justicia
27.
La resolución de remisión en el asunto C‑26/22, de 23 de diciembre de 2021, se recibió en la Secretaría del Tribunal de Justicia el 11 de enero de 2022. La resolución de remisión en el asunto C‑64/22, de 31 de enero de 2022, se recibió en la Secretaría del Tribunal de Justicia el 2 de febrero de 2022.
28.
Mediante decisión del Tribunal de Justicia de 11 de febrero de 2022, se ordenó la acumulación de estos asuntos a efectos de las fases escrita y oral del procedimiento, así como de la sentencia.
29.
Las partes de los litigios principales, SCHUFA, los Gobiernos alemán y portugués y la Comisión presentaron observaciones escritas en el plazo establecido en el artículo 23 del Estatuto del Tribunal de Justicia de la Unión Europea.
30.
En la vista celebrada el 26 de enero de 2023, los mandatarios ad litem de las partes de los litigios principales y de SCHUFA y los agentes de la Comisión formularon observaciones orales.
V. Análisis jurídico
A. Observaciones preliminares
31.
Dado que la confianza mutua constituye la base de todo compromiso contractual en una economía de mercado, es comprensible desde un punto de vista empresarial, en principio, que los proveedores de servicios y de bienes deseen conocer a sus clientes, así como los riesgos inherentes a tal compromiso contractual. Las agencias de información comercial pueden contribuir a reforzar esta confianza mutua a través de métodos estadísticos que permiten a las empresas determinar si se cumplen ciertos criterios relevantes, incluida la solvencia de sus clientes, en ese caso concreto. De este modo, ayudan a las empresas a cumplir diversas disposiciones del Derecho de la Unión que les imponen precisamente tal obligación para determinadas categorías de contratos, en particular los contratos de crédito. (
4
) Dicho esto, las mencionadas agencias no son las únicas que prestan estos servicios. Consciente de la necesidad de garantizar una cierta transparencia y previsibilidad en las transacciones financieras, el legislador de la Unión exige a los Estados miembros que creen y lleven uno o varios registros en los que se publique información relativa a los procedimientos de insolvencia.
32.
De lo anterior se deduce que existirán diversas bases de datos en paralelo, a saber, por un lado, los registros «oficiales» gestionados por las autoridades públicas y, por otro lado, las bases de datos administradas por agencias privadas. Este paralelismo puede dar lugar a una competencia entre los sistemas e incluso suscitar conflictos legales si los regímenes jurídicos a los que están sujetos estos registros difieren considerablemente uno del otro. Las diferencias regulatorias pueden llegar a ser especialmente problemáticas si afectan a la protección de datos, dado que sea cual sea la entidad, pública o privada, que gestione el registro, este debe respetar el interés de las personas afectadas en la forma en que se gestionan y almacenan dichos datos. En efecto, en vista de que la información relativa a la situación económica de una persona se distingue por su carácter sensible en relación con el respeto del derecho a la protección de los datos personales y de la vida privada, es necesaria una vigilancia particular.
33.
El RGPD, aplicable desde el 25 de mayo de 2018, ha creado un marco jurídico que tiene por objeto tener en cuenta los intereses antes mencionados en toda la Unión Europea, entre otros, mediante la imposición de ciertas condiciones al tratamiento de datos personales. Así pues, el artículo 6, apartado 1, párrafo primero, letra f), del RGPD exige que el tratamiento sea necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales. Dicho de otro modo, la licitud del tratamiento debe derivarse de una ponderación de los distintos intereses en juego en la que deben prevalecer los intereses legítimos perseguidos por el responsable del tratamiento o por un tercero. Corresponde a la autoridad de control, que, en virtud del artículo 77, apartado 1, del RGPD debe tramitar todas las reclamaciones que puedan presentar los interesados basadas en la vulneración de sus derechos fundamentales, comprobar si se cumplen estas condiciones. Finalmente, si dichos interesados deciden interponer un recurso contra las decisiones de la autoridad de control, de conformidad con el artículo 78, apartado 1, del RGPD, incumbe a los órganos jurisdiccionales nacionales garantizar la tutela judicial efectiva.
34.
Los puntos anteriores de las presentes conclusiones resumen brevemente los diferentes aspectos jurídicos planteados por el órgano jurisdiccional remitente en sus peticiones de decisión prejudicial. La primera cuestión prejudicial tiene por objeto la naturaleza jurídica de una decisión adoptada por la autoridad de control ante la que se ha presentado una reclamación, así como el alcance del control jurisdiccional que puede ejercer el juez en el marco de un recurso interpuesto contra tal decisión. Las cuestiones prejudiciales segunda a quinta se refieren, en esencia, a la licitud de la conservación por parte de las agencias de información comercial de datos personales procedentes de registros públicos. Las cuestiones prejudiciales se examinarán a continuación en el orden en el que las ha planteado el órgano jurisdiccional remitente.
B. Sobre la primera cuestión prejudicial
35.
Habida cuenta de que la primera cuestión prejudicial versa sobre las dos fases de la vía de recurso administrativa, a saber, la reclamación ante la autoridad de control y la tutela judicial ante un juez, reguladas por los artículos 77 y 78 del RGPD, respectivamente, considero oportuno describir sucintamente estas dos fases y, de este modo, abordar los aspectos jurídicos sobre los que pregunta el órgano jurisdiccional remitente.
36.
Tal como he indicado en mis observaciones preliminares, el RGPD tiene por objeto garantizar la protección de las personas físicas en lo que respecta al tratamiento de datos personales, reconocida como derecho fundamental en el artículo 8, apartado 1, de la Carta y en el artículo 16 TFUE, apartado 1. Dado que todo tratamiento de datos personales puede afectar la vida privada, también debe mencionarse la protección garantizada por el artículo 7 de la Carta. (
5
) Además, del artículo 1, apartado 2, del RGPD, en relación con los considerandos 10, 11 y 13 de este Reglamento, se desprende que el legislador de la Unión confía esta misión a los órganos y organismos de la Unión, pero también a las autoridades competentes de los Estados miembros, entre las que figuran las autoridades de control y los órganos jurisdiccionales nacionales. (
6
)
1.
Papel desempeñado por las autoridades de control, incluida la obligación de examinar las reclamaciones
37.
A este respecto, debe señalarse que el artículo 8, apartado 3, de la Carta dispone que el respeto de las normas sobre la protección de los datos de carácter personal está sujeto al control de una autoridad independiente. El artículo 57, apartado 1, letra a), del RGPD aplica esta obligación derivada del Derecho primario, al disponer que cada autoridad de control tiene la función de controlar la aplicación de este Reglamento y hacerlo aplicar. La tramitación de las reclamaciones presentadas por un interesado forma parte de sus responsabilidades, según se desprende expresamente del artículo 57, apartado 1, letra f), del RGPD.
38.
El Tribunal de Justicia ha declarado que, en virtud de esta disposición, «incumbirá a cada autoridad de control, en su territorio, tratar las reclamaciones que cualquier persona, de conformidad con el artículo 77, apartado 1, del [RGPD], pueda presentar si considera que el tratamiento de datos personales que le conciernen infringe el referido Reglamento y examinar su objeto en la medida en que sea necesario». (
7
) En este contexto, procede llamar la atención sobre el hecho de que el Tribunal de Justicia ha subrayado la existencia de la obligación de la autoridad de control de «proceder al tratamiento de esas reclamaciones con toda la diligencia exigible» con el fin de garantizar el respeto de las disposiciones del RGPD. Del mismo modo, debe señalarse que el considerando 141 del RGPD precisa que «la investigación a raíz de una reclamación debe llevarse a cabo […] si procede en el caso concreto» (el subrayado es mío).
39.
Todos estos elementos me conducen a pensar que la autoridad de control tiene una obligación imperativa de tratar las reclamaciones presentadas por un interesado con toda la diligencia exigible en ese caso concreto. (
8
) En la medida en que toda infracción del RGPD puede constituir, en principio, una vulneración de derechos fundamentales, considero que es incompatible con el sistema establecido por este Reglamento conceder a la autoridad de control una potestad discrecional para tramitar o no las reclamaciones. Tal enfoque pondría en entredicho el papel esencial que le confiere el RGPD, consistente en velar por el respeto de las normas sobre protección de los datos personales, y, en consecuencia, iría en contra de los objetivos perseguidos por el legislador de la Unión. (
9
) A fin de cuentas, no debe olvidarse que las reclamaciones constituyen una valiosa fuente de información para la autoridad de control, ya que le permiten detectar las infracciones. (
10
)
40.
Esta interpretación resulta tanto más convincente cuanto que el artículo 57, apartado 1, letra f), del RGPD impone a la autoridad de control una serie de exigencias en el marco de la tramitación de tal reclamación, a saber, la obligación de investigar, en la medida oportuna, el motivo de la reclamación y de informar al reclamante sobre el curso y el resultado de la investigación en un plazo razonable, en particular si fueran necesarias nuevas investigaciones o una coordinación con otra autoridad de control. A esto se añade la obligación, contemplada en el artículo 77, apartado 2, del RGPD, de informar al reclamante sobre el curso y el resultado de la reclamación, inclusive sobre la posibilidad de acceder a la tutela judicial en virtud del artículo 78 del RGPD. Todas estas exigencias, que forman parte del concepto de «buena administración» —que está consagrado en el artículo 41 de la Carta en lo referente, en concreto, a las actividades de las instituciones y los organismos de la Unión—, (
11
) tienen por objeto reforzar el procedimiento de reclamación para convertirlo en un auténtico recurso administrativo.
41.
Si bien la autoridad de control, en calidad de garante del respeto de las disposiciones del RGPD, debe tratar las reclamaciones que se le presenten, diversos elementos militan en favor de una interpretación según la cual esta dispone de una facultad de apreciación a la hora de examinar dichas reclamaciones, así como de un cierto margen de maniobra en cuanto a los medios adecuados para dar cumplimiento a sus funciones. En efecto, el Abogado General Saugmandsgaard Øe ha observado que el artículo 58, apartado 1, del RGPD «otorga a las autoridades de control importantes facultades de investigación» y que estas disponen, en virtud del artículo 58, apartado 2, de este Reglamento, de una «amplia gama de medios […] para llevar a cabo la función que se [les] ha encomendado», refiriéndose en este contexto a las distintas facultades para adoptar medidas correctoras enumeradas en esta disposición. (
12
) Precisó a continuación que, si bien la autoridad de control competente «debe cumplir la misión de vigilancia que se le ha encomendado de forma plena», «la elección del medio más eficaz queda a [su] discreción […] teniendo en cuenta todas las circunstancias […] en cuestión». (
13
) No puedo más que suscribir esta interpretación.
42.
La descripción detallada de la facultad de las autoridades de control para adoptar medidas correctoras pone de relieve el hecho de que el legislador de la Unión no tenía como objetivo hacer del procedimiento de reclamación un procedimiento similar a una petición. Al contrario, el objetivo legislativo parece haber sido crear un mecanismo capaz de proteger de manera eficaz los derechos e intereses de las personas que presentan reclamaciones. Dicho esto, me parece que está claro que este margen de maniobra no puede interpretarse en el sentido de que la autoridad de control dispone de una potestad ilimitada que la habilite para actuar de manera arbitraria. Muy al contrario, la autoridad de control está obligada a utilizar este margen de maniobra respetando los límites que le impone el Derecho de la Unión. Por este motivo tampoco cabe excluir la posibilidad de que la autoridad de control, en calidad de órgano administrativo, se vea obligada a adoptar una determinada medida debido a las circunstancias particulares del caso concreto, en particular cuando exista un riesgo grave de vulneración de los derechos fundamentales del interesado.
43.
Esta interpretación, que concede a la autoridad de control un cierto margen de maniobra en la elección de los medios, se ve corroborada por el artículo 58, apartado 4, del RGPD, que dispone que «el ejercicio de los poderes conferidos a la autoridad de control en virtud del presente artículo estará sujeto a las garantías adecuadas, incluida la tutela judicial efectiva» (el subrayado es mío), de conformidad con el artículo 47 de la Carta. El artículo 78, apartados 1 y 2, del RGPD reconoce, por lo demás, el derecho de toda persona a la tutela judicial efectiva contra una decisión jurídicamente vinculante de una autoridad de control que le concierna o cuando dicha autoridad no dé curso a su reclamación.
44.
Esto nos lleva a la cuestión relativa a la naturaleza jurídica de las decisiones adoptadas por la autoridad de control, que el órgano jurisdiccional remitente ha planteado en sus peticiones de decisión prejudicial. A este respecto, procede mencionar el considerando 141 del RGPD, del que se desprende que «todo interesado debe tener derecho a presentar una reclamación ante una autoridad de control […] y derecho a la tutela judicial efectiva de conformidad con el artículo 47 de la Carta si considera que se vulneran sus derechos con arreglo al presente Reglamento o en caso de que la autoridad de control no responda a una reclamación, rechace o desestime total o parcialmente una reclamación o no actúe cuando sea necesario para proteger los derechos del interesado» (el subrayado es mío). Este considerando tiene en cuenta el hecho de que una decisión de la autoridad de control puede perjudicar al interesado, en particular si esta llega a la conclusión de que la reclamación es infundada, considera que no se ha infringido el RGPD y, en consecuencia, no adopta medidas para corregir la situación que dio lugar a la reclamación. El legislador de la Unión reconoce el efecto jurídicamente vinculante de tal decisión y, por consiguiente, abre para el reclamante una vía de recurso ante un órgano jurisdiccional nacional.
45.
Del mismo modo, debe señalarse que la autoridad de control no puede abstenerse de actuar, dado que del artículo 78, apartado 2, del RGPD se desprende que «todo interesado tendrá derecho a la tutela judicial efectiva en caso de que la autoridad de control que sea competente en virtud de los artículos 55 y 56 no dé curso a una reclamación o no informe al interesado en el plazo de tres meses sobre el curso o el resultado de la reclamación presentada en virtud del artículo 77». Esta circunstancia impide equiparar el procedimiento de reclamación a una petición.
46.
En el presente asunto, tal como ha expuesto el órgano jurisdiccional remitente en sus resoluciones de remisión, la autoridad de control adoptó decisiones jurídicamente vinculantes respecto de los demandantes en los litigios principales. Concluyó, en esencia, que el tratamiento de los datos personales de los demandantes por parte de SCHUFA era lícito en virtud del artículo 6, apartado 1, párrafo primero, letras b) y f), del RGPD y, por tal motivo, descartó implícitamente el recurso a una medida de investigación o correctora.
2.
Alcance del control jurisdiccional de las decisiones adoptadas por la autoridad de control
47.
La tutela judicial a la que se refiere el artículo 78 RGPD constituye la segunda fase de la vía de recurso administrativa prevista en este Reglamento. Debe señalarse en este contexto que tanto la «reclamación» ante la autoridad de control como la «tutela judicial» se conciben como «derechos» del interesado, lo que resulta perfectamente comprensible si se parte de la premisa de que los artículos 77 a 79 del RGPD tienen por objeto aplicar el derecho a la tutela judicial efectiva, consagrado en el artículo 47 de la Carta. Como he indicado anteriormente, (
14
) una lectura combinada de los artículos 58, apartado 4, y 78 del RGPD, a la luz del considerando 141 de ese mismo Reglamento, permite identificar claramente este objetivo. (
15
)
48.
En lo tocante al alcance de la tutela judicial sobre las decisiones adoptadas por la autoridad de control, debe recordarse que las normas nacionales en materia de procedimiento administrativo se aplican generalmente en el marco de la autonomía procesal, sin perjuicio de los principios de equivalencia y de efectividad. (
16
) Sin embargo, considero que la tutela solo puede ser «efectiva» en el sentido del artículo 47 de la Carta y del artículo 78, apartado 1, del RGPD si el órgano jurisdiccional nacional tiene la potestad y la obligación de someter la decisión sobre el fondo de la autoridad de control a un control jurisdiccional pleno para comprobar si la autoridad de control ha aplicado correctamente el RGPD.
49.
Como ha recordado el Tribunal de Justicia en su jurisprudencia, «una normativa que no prevé posibilidad alguna de que el justiciable ejerza acciones en Derecho para acceder a los datos personales que le conciernen o para obtener su rectificación o supresión no respeta el contenido esencial del derecho fundamental a la tutela judicial efectiva que reconoce el artículo 47 de la Carta. En efecto, el artículo 47, párrafo primero, de [la Carta] establece que toda persona cuyos derechos y libertades garantizados por el Derecho de la Unión hayan sido violados tiene derecho a la tutela judicial efectiva, respetando las condiciones establecidas en dicho artículo. En ese sentido, la existencia misma de un control jurisdiccional efectivo para garantizar el cumplimiento de las disposiciones del Derecho de la Unión es inherente a la existencia de un Estado de Derecho». (
17
)
50.
Para determinar el alcance del control jurisdiccional sobre las decisiones adoptadas por la autoridad de control, considero pertinente mencionar en primer lugar el considerando 141 del RGPD, del que se desprende que «la investigación a raíz de una reclamación debe llevarse a cabo, bajo control judicial, si procede en el caso concreto» (el subrayado es mío). En segundo lugar, debe citarse el considerando 143 del RGPD, que establece que «toda persona física o jurídica debe tener derecho a la tutela judicial efectiva ante el tribunal nacional competente contra las decisiones de una autoridad de control que produzcan efectos jurídicos que le afecten. Tales decisiones se refieren en particular al ejercicio de los poderes de investigación, corrección y autorización por parte de la autoridad de control o a la desestimación o rechazo de reclamaciones» (el subrayado es mío). En mi opinión, estos pasajes deben entenderse en el sentido de que la tutela judicial que debe llevar a cabo el órgano jurisdiccional nacional en virtud del artículo 78 del RGPD debe ser plena, es decir, que debe abarcar todos los aspectos pertinentes que están comprendidos en la facultad de apreciación ejercida por la autoridad de control en el marco de la investigación del motivo de una reclamación, así como de su margen discrecional relativo a la elección de las medidas de investigación y de las medidas correctoras.
51.
El objetivo del legislador de la Unión de garantizar una tutela judicial plena sobre toda decisión de una autoridad de control que produzca efectos jurídicos respecto de los interesados que hayan presentado una reclamación ante esta resulta particularmente evidente si se tiene en cuenta otro pasaje del considerando 143 del RGPD, que dispone que «las acciones contra una autoridad de control deben ejercitarse ante los tribunales del Estado miembro en el que esté establecida y tramitarse con arreglo al Derecho procesal de dicho Estado miembro. Dichos tribunales deben tener plena jurisdicción, incluida la competencia para examinar todos los elementos de hecho y de Derecho relativos a la causa de la que conozcan» (el subrayado es mío). (
18
) Considero que únicamente una tutela judicial con tal amplitud responde a las exigencias del artículo 47 de la Carta. (
19
)
52.
En cambio, las alegaciones formuladas por SCHUFA y por el HBDI, que abogan por un control jurisdiccional limitado de las decisiones de las autoridades de control, no me parecen convincentes. En primer término, la «independencia» que se reconoce a la autoridad de control en virtud del artículo 52 del RGPD, que concreta la exigencia prevista en el artículo 8, apartado 3, de la Carta, tiene como objetivo proteger a esta autoridad de toda injerencia indebida, pero no la exime de la obligación de ejercer sus funciones y sus potestades con pleno respeto del Derecho de la Unión y de someter sus decisiones a la tutela judicial efectiva, como cualquier otra autoridad nacional. En segundo término, la existencia del derecho a la tutela judicial contra el responsable del tratamiento, previsto en el artículo 79 del RGPD, no excluye el derecho a presentar un recurso contra una decisión adoptada por la autoridad de control, con arreglo al artículo 78 del RGPD. Estas vías de recurso coexisten de manera autónoma, sin que una sea subsidiaria respecto de la otra, de manera que pueden ejercitarse de forma paralela. (
20
) En consecuencia, no cabe acusar a los demandantes de haber actuado ilícitamente en la defensa de sus derechos protegidos por el RGPD debido a que dieron preferencia a una vía de recurso concreta. Por tanto, estas alegaciones deben desestimarse.
53.
A la vista de las consideraciones precedentes, procede responder a la primera cuestión prejudicial que el artículo 78, apartado 1, del RGPD debe interpretarse en el sentido de que de esta disposición resulta que una decisión jurídicamente vinculante de una autoridad de control está sujeta a un control jurisdiccional pleno sobre el fondo.
C. Sobre las cuestiones prejudiciales segunda a quinta
54.
Las cuestiones prejudiciales segunda a quinta versan, en esencia, sobre la licitud de la conservación por las agencias de información comercial de datos personales procedentes de registros públicos. Las cuestiones prejudiciales formuladas por el órgano jurisdiccional remitente plantean una serie de problemas jurídicos relativos a esta práctica que procede examinar de forma estructurada. En aras de la claridad, considero oportuno agrupar las cuestiones por temas y tratarlas en este orden.
55.
Con el fin de dar al órgano jurisdiccional remitente una respuesta útil para dirimir el litigio del que conoce, el Tribunal de Justicia debe interpretar diversas disposiciones del RGPD que, aunque no se mencionan expresamente en las cuestiones prejudiciales, parecen pertinentes. Tal enfoque es posible dado que, según reiterada jurisprudencia, el Tribunal de Justicia puede extraer del conjunto de los elementos facilitados por el órgano jurisdiccional remitente, y, en particular, de la motivación de la resolución de remisión, las normas y principios del Derecho de la Unión que deben interpretarse a la luz del objeto del litigio principal. (
21
)
56.
Tal análisis detallado me parece tanto más necesario cuanto que el órgano jurisdiccional remitente se refiere en ocasiones exclusivamente a los artículos 7 y 8 de la Carta en sus cuestiones prejudiciales, a pesar de que estas disposiciones no deben aplicarse de forma aislada, como ha explicado el Tribunal de Justicia, sino que deben tenerse en cuenta en el marco de la ponderación prevista en el artículo 6, apartado 1, párrafo primero, letra f), del RGPD. (
22
) Además, en este contexto, debe recordarse que, habida cuenta de que las disposiciones del RGPD implementan los derechos fundamentales de que se trata, la interpretación del Derecho derivado constituye lógicamente el punto de partida de toda exégesis, de modo que este debe leerse a la luz del Derecho primario, del que la Carta forma parte integrante. (
23
) Por lo tanto, incorporaré al análisis que realizaré a continuación todas las disposiciones que me parezcan pertinentes.
1.
Sobre la conformidad de la práctica de las agencias de información comercial con los principios que rigen el tratamiento de datos personales consagrados en el RGPD
57.
El capítulo II del RGPD, que lleva por título «Principios», establece los principios relativos al tratamiento de los datos personales. A continuación, examinaré si la práctica de las agencias de información comercial, consistente en conservar los datos personales procedentes de registros públicos durante un plazo de tres años, es conforme con los principios que considero más pertinentes en el presente contexto, a saber, los principios de licitud, de limitación de la finalidad y de minimización de los datos.
58.
A los efectos del análisis, me basaré en la información aportada por el órgano jurisdiccional remitente y SCHUFA, si bien he de destacar que incumbe a esta última, como responsable del tratamiento, demostrar que se han respetado los principios antes mencionados, en virtud del principio de responsabilidad proactiva enunciado en el artículo 5, apartado 2, del RGPD.
a)
Sobre la conformidad con el principio de licitud [artículo 6, apartado 1, párrafo primero, letra f), del RGPD]
59.
El artículo 5, apartado 1, letra a), del RGPD exige que los datos personales sean tratados de manera lícita, leal y transparente en relación con el interesado. A tenor del artículo 6, apartado 1, del RGPD, el tratamiento de datos personales solo es lícito si se cumple la condición relativa a uno de los motivos enumerados en dicha disposición. Como ha declarado el Tribunal de Justicia, se trata de una lista exhaustiva y taxativa de los supuestos en los que tal tratamiento puede considerarse lícito. (
24
) El órgano jurisdiccional remitente desea averiguar, en esencia, si el artículo 6, apartado 1, párrafo primero, letra f), del RGPD autoriza a una agencia privada de información comercial a conservar datos personales procedentes de registros públicos con el fin de poner dichos datos a disposición de un cliente en caso de solicitud.
60.
Según la jurisprudencia del Tribunal de Justicia, (
25
) el artículo 6, apartado 1, párrafo primero, letra f), del RGPD establece tres requisitos acumulativos para que el tratamiento de datos personales resulte lícito, a saber, en primer lugar, que el responsable del tratamiento o el tercero o los terceros a quienes se transmitan los datos persigan un interés legítimo; en segundo lugar, que el tratamiento de los datos personales sea necesario para la satisfacción de ese interés legítimo y, en tercer lugar, que no prevalezcan los derechos y libertades fundamentales del interesado en la protección de los datos. Si bien corresponde al órgano jurisdiccional remitente apreciar si se cumplen estos requisitos, incumbe al Tribunal de Justicia guiarlo en esta apreciación aclarando las cuestiones jurídicas planteadas.
1) Existencia de un «interés legítimo»
61.
Por lo que respecta, antes de nada, a la prosecución de intereses legítimos, he de recordar que el RGPD y la jurisprudencia reconocen una amplia gama de intereses considerados legítimos. (
26
) Debe precisarse que, de conformidad con el artículo 13, apartado 1, letra d), del RGPD, incumbe al responsable del tratamiento indicar los intereses legítimos perseguidos en el marco del artículo 6, apartado 1, párrafo primero, letra f), del RGPD.
62.
SCHUFA alega que el tratamiento de datos en cuestión sirve para perseguir intereses legítimos de gran importancia. Más concretamente, las agencias de información comercial tratan los datos necesarios para evaluar la solvencia de personas o empresas, con el fin de poder poner esta información a disposición de sus socios contractuales. Esto también protege los intereses económicos de las empresas que desean celebrar contratos vinculados a un crédito. Además, la determinación de la solvencia y la facilitación de información sobre la solvencia constituyen el fundamento del crédito y de la capacidad de funcionamiento de la economía. A su entender, la actividad de dichas agencias contribuye asimismo a concretar los deseos comerciales de los interesados mediante operaciones vinculadas al crédito, dado que la información permite un examen rápido y no burocrático.
63.
Considero que, en principio, no existe ninguna razón objetiva para dudar de la legitimidad del interés de SCHUFA en prestar a sus clientes el servicio comercial descrito anteriormente ni del interés de los clientes de SCHUFA en recurrir a sus servicios para evaluar la solvencia de socios comerciales potenciales en el sentido indicado. Si bien es cierto que la prestación de este tipo de servicios tiene como objetivo obtener una remuneración y, por tanto, constituye el modelo económico de una sociedad privada, no es menos cierto que esta circunstancia no basta, por sí sola, para poner en entredicho el hecho de que en el presente asunto se cumple el primer requisito al que se refiere el artículo 6, apartado 1, párrafo primero, letra f), del RGPD.
64.
Ello es incluso más cierto cuando el objetivo perseguido por el servicio de que se trata es, en esencia, similar al que ha contemplado el legislador de la Unión al adoptar el artículo 24 del Reglamento 2015/848, que obliga a los Estados miembros a crear y llevar en su territorio uno o más registros en los que se publique información relativa a procedimientos de insolvencia. Según se desprende del considerando 76 de dicho Reglamento, el objetivo de estos registros públicos es «mejorar el suministro de información a los acreedores y órganos jurisdiccionales de que se trate [e] impedir la apertura de procedimientos de insolvencia paralelos». Considero que el servicio ofrecido por SCHUFA no tiene otra finalidad. La cuestión de si la existencia de sistemas paralelos puede dar lugar a conflictos legales se examinará más adelante. En esta fase del análisis, basta con señalar que, habida cuenta de esta identidad de objetivos, debe considerarse que el tratamiento de datos efectuado por SCHUFA sirve a un interés legítimo en el sentido del artículo 6, apartado 1, párrafo primero, letra f), del RGPD.
2) «Necesidad» del tratamiento para lograr el interés legítimo
65.
En lo que atañe al requisito basado en la necesidad del tratamiento de los datos personales para la satisfacción del interés legítimo perseguido, a tenor de la jurisprudencia del Tribunal de Justicia, las excepciones y las restricciones al principio de protección de los datos personales deben establecerse sin sobrepasar los límites de lo estrictamente necesario. (
27
) Por lo tanto, es preciso que exista un vínculo estrecho entre el tratamiento y el interés perseguido, a falta de alternativas más respetuosas con la protección de los datos personales, dado que no basta con que el tratamiento presente una mera utilidad para el responsable del tratamiento.
66.
En el presente asunto, se debe demostrar que la recuperación de datos personales relativos a la insolvencia procedentes de registros públicos y su conservación privada constituyen la única posibilidad de que SCHUFA pueda ofrecer esta información precisa a sus clientes con fines comerciales. No puede excluirse que SCHUFA tenga la posibilidad de ofrecer el servicio comercial y de facilitar información sobre la solvencia de las personas mediante el uso de otros datos disponibles. Corresponde al órgano jurisdiccional remitente comprobar si esta posibilidad todavía permitiría a SCHUFA ofrecer este servicio comercial de forma útil a sus clientes.
67.
SCHUFA considera que el tratamiento de datos es necesario. Según esta, si una agencia de información comercial esperara a recibir una solicitud concreta antes de comenzar a recoger los datos, sería imposible proporcionar información en un tiempo razonable. SCHUFA estima que el hecho de que los datos (también) estén accesibles al público durante un cierto período de tiempo no afecta a los intereses legítimos de las agencias que facilitan información comercial ni a la necesidad del tratamiento.
68.
Si la conservación de datos personales procedentes de registros públicos no fuera necesaria para permitir a SCHUFA ofrecer su servicio comercial a sus clientes, este tratamiento no podría ser lícito en virtud del artículo 6, apartado 1, párrafo primero, letra f), del RGPD. En cambio, si se cumple el segundo requisito de esta disposición, el órgano jurisdiccional remitente también deberá examinar el tercer y último requisito acumulativo establecido en dicha disposición.
3) Ponderación de los distintos intereses en juego
69.
Por último, en cuanto a la ponderación entre, por un lado, los intereses del responsable del tratamiento y, por otro lado, los intereses o los derechos y libertades fundamentales del interesado, según la jurisprudencia del Tribunal de Justicia, corresponde al órgano jurisdiccional remitente efectuar una ponderación de los intereses en juego. (
28
) A este respecto, las Directrices del antiguo Grupo de Trabajo del artículo 29, actualmente «Comité Europeo de Protección de Datos», cuyas funciones se definen en el artículo 70 del RGPD, enumeran los siguientes criterios que se deben tener en cuenta en dicha ponderación: i) evaluación del interés legítimo del responsable del tratamiento; ii) impacto sobre los interesados; iii) equilibrio provisional y iv) garantías adicionales aplicadas por el responsable del tratamiento para impedir cualquier impacto indebido sobre los interesados. (
29
) En aras de un análisis detallado y lógico, propongo aplicar estos criterios a los asuntos principales. Tal enfoque contribuirá, por añadidura, a una aplicación más coherente del RGPD, de conformidad con los objetivos contemplados por el legislador de la Unión.
i) Evaluación del «interés legítimo» del responsable del tratamiento
70.
Por lo que respecta al primer criterio, debe hacerse constar que el interés tanto de SCHUFA como de sus clientes es de naturaleza puramente económica. Las agencias privadas conservan datos personales importados de registros públicos con el fin de ofrecer a sus clientes el servicio consistente en facilitar información sobre la solvencia del interesado, empleando, entre otros, dichos datos. Como ya he explicado anteriormente, (
30
) tal interés parece legítimo a los efectos del presente análisis.
ii) Impacto del tratamiento sobre los interesados
71.
En lo referente al segundo criterio, es decir, al impacto del tratamiento sobre el interesado, el plazo de supresión parece ser el factor pertinente. Cuanto más largo sea el plazo de conservación de los datos en las bases de datos de agencias privadas de información comercial, mayores serán las consecuencias para el interesado. En el presente asunto, los datos personales de los demandantes en los litigios principales se trataron en el registro público con el fin de «mejorar el suministro de información a los acreedores y órganos jurisdiccionales de que se trate y de impedir la apertura de procedimientos de insolvencia paralelos», como exige el considerando 76 del Reglamento 2015/848. Al realizar la ponderación de los distintos intereses, el legislador alemán consideró que el plazo durante el cual la publicación de los datos relativos a un procedimiento concursal en tales registros públicos era necesaria para alcanzar este objetivo era de seis meses. Por consiguiente, la conservación de los datos personales más allá de este plazo de seis meses parece tener, a priori, un efecto negativo considerable en el interesado.
72.
De la jurisprudencia del Tribunal de Justicia resulta que existen otros factores que deben tenerse en cuenta en el marco del análisis, a saber, el modo de acceso a las bases de datos y las facilidades ofrecidas para la difusión de los datos personales. (
31
) Para expresarlo de forma sencilla, cuanto más fácilmente accesible resulte la información para el público, más grave será la injerencia en los derechos fundamentales del interesado. Eso es particularmente cierto cuando el número de usuarios que tienen acceso a los datos del interesado es elevado. (
32
) Por tanto, me parece evidente que, incluso si los datos ya están disponibles en los registros públicos durante ese período de seis meses, el hecho de que se conserven y estén disponibles en paralelo en las bases de datos de las agencias privadas de información comercial supone un impacto adicional en la vida privada del individuo, que viene a acumularse a las consecuencias negativas de la disponibilidad de esos datos en los registros públicos.
73.
Un factor adicional que debe tenerse en cuenta en el análisis es la naturaleza potencialmente sensible de los datos en cuestión. (
33
) De manera general, puede afirmarse que el impacto sobre el interesado aumenta en función del carácter sensible de los datos personales. A este respecto, debe señalarse que, según la jurisprudencia del Tribunal de Justicia, los datos personales relativos al cobro de deudas son efectivamente datos sensibles para la vida privada del interesado. (
34
) La puesta a disposición de este tipo de datos a un número en principio ilimitado de usuarios, por tanto, puede considerarse una importante injerencia en los derechos fundamentales de dicho interesado. (
35
)
74.
Por último, me parece indispensable tener también en cuenta el factor tiempo. En efecto, incluso un tratamiento lícito de datos puede dejar ser conforme con el RGPD con el tiempo cuando dichos datos no sean pertinentes o dejen de serlo, o sean excesivos en relación con la finalidad para la cual se recogieron originalmente. Desde esta perspectiva, tengo serias dudas sobre cómo podría estar justificado el almacenamiento de datos personales durante un plazo de tres años cuando el legislador nacional considera que un plazo de conservación de seis meses, es decir, un período de tiempo considerablemente más breve, basta ampliamente para tomar en consideración los intereses comerciales de los operadores económicos. Quisiera señalar que SCHUFA no ha sido capaz de ofrecer una respuesta clara y convincente a esta pregunta, (
36
) a pesar de que le corresponde, en virtud del artículo 5, apartado 2, del RGPD, demostrar que se han respetado los principios relativos al tratamiento de datos personales. (
37
)
iii) Equilibrio provisional
75.
La valoración de todos los elementos mencionados en los puntos anteriores me lleva a concluir que las considerables consecuencias negativas que tendrá la conservación de los datos para el interesado más allá del plazo de seis meses de que se trata parecen prevalecer sobre el interés comercial de la agencia privada y de sus clientes en conservar los datos una vez expirado este plazo. En este contexto, es importante destacar que se supone que la remisión de la deuda restante concedida debe permitir al beneficiario volver a participar en la vida económica. (
38
) Los demandantes en los litigios principales y la Comisión también llamaron la atención sobre este aspecto en la vista. Pues bien, este objetivo se vería obstaculizado si las agencias privadas de información comercial estuvieran autorizadas a conservar datos personales en sus bases de datos tras la supresión de dichos datos del registro público.
iv) Garantías adicionales
76.
Finalmente, en lo que atañe a las garantías adicionales que potencialmente puede establecer el responsable del tratamiento para prevenir todo impacto injustificado sobre los interesados, en las resoluciones de remisión o en las observaciones de SCHUFA no figura ningún elemento que permita percibir la existencia de tales garantías.
4) Conclusión provisional
77.
En atención a las consideraciones anteriores, opino que la conservación de datos por una agencia privada de información comercial no puede ser lícita en virtud del artículo 6, apartado 1, párrafo primero, letra f), del RGPD a partir del momento en que los datos personales relativos a una insolvencia se hayan suprimido de los registros públicos.
78.
En lo referente al plazo de seis meses durante el cual los datos personales también están disponibles en los registros públicos, corresponde al órgano jurisdiccional remitente ponderar los intereses y el impacto sobre el interesado antes mencionados, con el fin de determinar si la conservación paralela de estos datos por agencias privadas de información comercial es lícita en virtud del artículo 6, apartado 1, párrafo primero, letra f), del RGPD.
b)
Sobre la conformidad con los principios de limitación de la finalidad y de minimización de los datos [artículo 5, apartado 1, letras b) y c), del RGPD]
79.
Con arreglo al principio de limitación de la finalidad, establecido en el artículo 5, apartado 1, letra b), del RGPD, se debe velar por que los datos personales recogidos con un fin determinado no sean tratados ulteriormente de manera incompatible con dichos fines. En el presente caso, los datos relativos a la insolvencia y a una remisión de la deuda restante han sido tratados por las autoridades públicas en el marco de la ejecución de obligaciones legales.
80.
Sin embargo, por lo que respecta a la utilización ulterior de los datos por una agencia privada, debe examinarse, en virtud del RGPD y aplicando los criterios establecidos en el artículo 6, apartado 4, de dicho Reglamento, si el fin contemplado es compatible con el fin inicial. Las letras a), b) y d) de esta disposición son especialmente pertinentes en el presente asunto. Establecen los siguientes criterios: i) la relación entre el fin inicial y el fin ulterior; ii) el contexto en el que se han recogido los datos y, en particular, la relación entre los interesados y el responsable del tratamiento y iii) las posibles consecuencias para el interesado del tratamiento ulterior previsto.
81.
En primer término, parece que la relación entre los fines es débil, aunque solo sea porque el fin inicial está previsto por la ley, más concretamente en el Derecho de la Unión, que impone a los Estados miembros la obligación de crear y llevar registros, (
39
) y porque el responsable del tratamiento es una autoridad pública que actúa en el marco de las funciones que le encomienda la ley, mientras que el fin ulterior es perseguido por una entidad privada, en el marco de una actividad comercial consistente en proporcionar información económica sobre las personas.
82.
En segundo término, en cuanto al contexto en el que se han recogido los datos, debe hacerse constar que no existe relación alguna entre el responsable del tratamiento y el interesado, dado que la recogida de los datos se realiza indirectamente a través de los registros y, por tanto, el interesado no tiene conocimiento del hecho de que puede darse a sus datos un uso ulterior, ni por quién ni con qué finalidad. Este aspecto parece particularmente grave desde el punto de vista de la protección de los datos personales, ya que, por regla general, nadie puede esperar razonablemente un tratamiento posterior de sus datos personales. (
40
) El hecho de que la ley establezca un plazo determinado para la conservación de los datos en los registros públicos puede llevar a pensar razonablemente que los datos en cuestión se suprimirán tras la expiración de dicho plazo.
83.
En tercer término, en lo tocante a las posibles consecuencias que puede tener el tratamiento ulterior para los interesados, debe destacarse que la información relativa a los procedimientos concursales siempre se utilizará como un factor negativo en caso de una futura evaluación de la solvencia y de la capacidad de pago de la persona física afectada, lo que tiene un impacto significativo en los derechos de esa persona. Una imagen falsa de su situación económica puede producir efectos desfavorables para el interesado, al complicar notablemente el ejercicio de sus libertades, o incluso estigmatizarlo en la sociedad. Habida cuenta de que el interesado puede enfrentarse a una denegación de bienes y servicios, podría ser víctima de una discriminación injustificada.
84.
A la vista de estos tres criterios, que deben cumplirse para que la utilización de los datos personales sea conforme con el fin inicial, como exige el artículo 6, apartado 4, del RGPD, parece dudoso que la utilización ulterior de esos datos pueda ser conforme con ese fin.
85.
Por añadidura, se ha de señalar que, al establecer en seis meses el plazo máximo durante el cual la situación de insolvencia y la resolución judicial relativa a la remisión de la deuda restante son objeto de una publicación si se cumplen las condiciones legales, el legislador nacional ya ha tenido en cuenta la satisfacción del interés público y ha ponderado los intereses de los acreedores, por una parte, y los intereses y derechos de las personas insolventes, por otra parte. (
41
) El tratamiento de datos personales por agencias privadas durante un plazo seis veces más largo que el previsto por la ley para los registros públicos parece excesivo y penaliza de facto al interesado, aunque la ley no contemple claramente nada en este sentido. En efecto, como ya he señalado, se supone que la remisión de la deuda restante concedida debe permitir al beneficiario participar de nuevo en la vida económica. Pues bien, este objetivo se vería obstaculizado si las agencias privadas de información comercial estuvieran autorizadas a conservar datos personales en sus bases de datos tras la supresión de estos del registro público. (
42
) A falta de prueba en contrario, existe el riesgo de que las condiciones de acceso a la base de datos puedan haberse concebido con la intención de sustraerse a la legislación nacional adoptada por el Estado miembro con el fin de cumplir las obligaciones que le impone el Derecho de la Unión. (
43
)
86.
Asimismo, parece desproporcionado «reutilizar» una situación pasada y ya aclarada desde el punto de vista jurídico, como la remisión de la deuda restante, en evaluaciones futuras, en lugar de utilizar factores actualizados, en el momento del análisis de los riesgos, para garantizar una evaluación más precisa y objetiva de la situación económica del interesado. En efecto, cabe preguntarse sobre el valor de una información relativa a la situación económica de una persona de hace varios años. Los datos personales relativos a una circunstancia que se remonta a hace un tiempo no proporcionan mucha información fiable sobre la situación económica actual del interesado. El legislador alemán parece haber reconocido este problema y haber extraído de él las conclusiones adecuadas al optar por un plazo de conservación de los datos considerablemente más corto.
87.
Por último, estimo que la manera de proceder de las agencias de información comercial va en contra del principio de la minimización de los datos consagrado en el artículo 5, apartado 1, letra c), del RGPD, en virtud del cual los datos personales deben ser adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados. A este respecto, efectivamente se plantea la cuestión de qué sentido tiene ofrecer datos personales que ya son accesibles al público en los registros creados por los Estados miembros. Tal actividad más bien me parece que puede dar lugar a una difusión de información sensible que no es realmente necesaria para responder a los intereses comerciales de los operadores económicos. (
44
)
88.
Por las razones anteriormente expuestas, considero que la conservación de estos datos por una agencia privada de información comercial no constituye una práctica conforme con los principios de limitación de la finalidad y de minimización de los datos, consagrados respectivamente en las letras b) y c) del artículo 5, apartado 1, del RGPD.
c)
Conclusión provisional
89.
El análisis precedente me lleva a concluir que la práctica de las agencias de información comercial, consistente en conservar datos personales procedentes de registros públicos durante un plazo de tres años, no es conforme con los principios que rigen el tratamiento de los datos personales consagrados en el RGPD. Dicho esto, debe precisarse que esta conclusión se basa en una apreciación de los hechos que, a fin de cuentas, corresponde realizar al órgano jurisdiccional remitente, que es quien debe dirimir el litigio.
2.
Sobre el recurso al derecho de supresión (artículo 17, apartado 1, del RGPD)
90.
El órgano jurisdiccional remitente desea saber, asimismo, si el «derecho al olvido» consagrado en el artículo 17 del RGPD implica que los datos personales se supriman de las bases de datos de una agencia privada de información comercial, que existen de forma paralela a los registros públicos y contienen los mismos datos. El órgano jurisdiccional remitente establece una distinción entre el período durante el cual los datos personales también están disponibles en el registro público y el período durante el cual dichos datos ya no están disponibles en este.
91.
El artículo 17, apartado 1, letra d), del RGPD establece el derecho absoluto del interesado a que sus datos personales se supriman cuando hayan sido objeto de un tratamiento ilícito. (
45
) Por consiguiente, en el supuesto de que, habida cuenta de la conclusión a la que he llegado en el marco de mi análisis, (
46
) el órgano jurisdiccional remitente declare que SCHUFA no podía tratar los datos personales de los demandantes de manera lícita en virtud del artículo 6, apartado 1, párrafo primero, letra f), del RGPD, tal tratamiento sería ilícito si no le fuera aplicable ningún otro motivo contemplado en el artículo 6, apartado 1, del RGPD. En tal caso, SCHUFA debería suprimir los datos personales de los demandantes y estos tendrían un derecho en este sentido, independientemente de que hubieran solicitado la supresión de esos datos en el período anterior o posterior a la supresión de dichos datos del registro público. Tal resultado también parece ajustarse a las exigencias del artículo 5, apartado 1, letra e), del RGPD, que dispone que los datos personales serán «mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales» (el subrayado es mío).
92.
A este respecto, quisiera atraer la atención sobre el artículo 79, apartado 5, del Reglamento 2015/848, que pone de relieve la importancia que ha concedido el legislador de la Unión al derecho de supresión, en particular cuando las autoridades tratan datos personales con un carácter especialmente sensible, como los relativos a la solvencia de los interesados. Con arreglo a esta disposición, «como parte de la información que debe facilitarse a los titulares de los datos para que puedan ejercer sus derechos, y en particular el derecho a la cancelación de datos, los Estados miembros informarán a dichos titulares acerca del período de accesibilidad establecido para los datos personales almacenados en los registros de insolvencia» (el subrayado es mío). Es evidente que el legislador de la Unión ha reconocido la necesidad de suprimir este tipo de datos cuando su almacenamiento deje de estar justificado.
93.
Aunque las peticiones de decisión prejudicial solo se refieren a la interpretación del artículo 17, apartado 1, letra d), del RGPD, considero que la letra c) de ese apartado 1 también puede resultar pertinente a los efectos de la sentencia que debe dictarse en los presentes asuntos, a saber, en el supuesto de que el órgano jurisdiccional remitente estime, contrariamente a la conclusión a la que he llegado basándome en la información disponible, que SCHUFA podía tratar los datos personales de los demandantes de manera lícita en virtud del artículo 6, apartado 1, párrafo primero, letra f), del RGPD. La referida disposición establece el derecho a la supresión de los datos personales cuando el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, del RGPD y no prevalezcan otros motivos legítimos para el tratamiento. Esta redacción implica que cualesquiera «otros motivos legítimos para el tratamiento» constituyen una excepción al derecho del interesado a oponerse al tratamiento y a obtener la supresión de sus datos personales. Por consiguiente, se supone que el interesado dispone de un derecho a oponerse al tratamiento y de un derecho de supresión a menos que existan otros motivos legítimos. (
47
)
94.
Considero que, en aras de una protección efectiva de los datos personales, no deberían existir obstáculos significativos al ejercicio del derecho de supresión, especialmente cuando existen en el mercado diversas agencias de información comercial que conservan datos en paralelo al registro público. Si se hiciera excesivamente difícil el ejercicio de este derecho debido a una interpretación estricta del artículo 17, apartado 1, del RGPD, cabría el riesgo de que la protección que pretende ofrecer el RGPD fuera burlada por los competidores. Pues bien, debe recordarse que el legislador de la Unión tenía como objetivo «garantizar […] en toda la Unión que la aplicación de las normas de protección de los derechos y libertades fundamentales de las personas físicas en relación con el tratamiento de datos [personales] sea coherente y homogénea» (el subrayado es mío), según se desprende del considerando 10 del RGPD. Por lo tanto, el interesado debe poder invocar sus derechos frente a todas las agencias que infringen estas normas. Dado que SCHUFA no es más que una entre muchas grandes agencias de información comercial en Alemania, sería preciso establecer si la conservación de los datos personales en paralelo al registro público constituye una práctica extendida entre dichas agencias.
95.
En consecuencia, en esta fase del análisis, debe señalarse que, en principio, los demandantes pueden ejercitar el derecho de supresión, con arreglo al artículo 17, apartado 1, del RGPD. El resultado solo sería diferente en el caso de que una agencia privada de información comercial lograra «[acreditar] motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los intereses, los derechos y las libertades del interesado», en el sentido del artículo 21, apartado 1, del RGPD. En la medida en que la información disponible no permite detectar motivos imperiosos que puedan concurrir en los litigios principales, corresponde al órgano jurisdiccional remitente establecer los hechos y efectuar, en su caso, una ponderación de los intereses en conflicto.
96.
En atención a las consideraciones precedentes, el artículo 17, apartado 1, letra d), del RGPD debe interpretarse en el sentido de que el interesado tiene derecho a que el responsable del tratamiento suprima sin demora los datos personales que le conciernan cuando dichos datos hayan sido objeto de un tratamiento ilícito con arreglo al artículo 6, apartado 1, de dicho Reglamento. El artículo 17, apartado 1, letra c), del RGPD debe interpretarse en el sentido de que el interesado, en principio, tiene derecho a que el responsable del tratamiento suprima sin demora los datos personales que le conciernan cuando se oponga al tratamiento en virtud del artículo 21, apartado 1, de dicho Reglamento. Corresponde al órgano jurisdiccional remitente examinar si existen, con carácter excepcional, motivos legítimos imperiosos para el tratamiento.
3.
Sobre el recurso a un código de conducta en el sentido del artículo 40 del RGPD para establecer plazos de examen y de supresión que excedan de los plazos de conservación previstos para los registros públicos
97.
El órgano jurisdiccional remitente también quiere saber si es conforme con el Derecho de la Unión establecer en un código de conducta, en el sentido del artículo 40 del RGPD, unos plazos de examen y de supresión que excedan de los plazos de conservación previstos para los registros públicos sin que sea necesario efectuar la ponderación prevista en el artículo 6, apartado 1, párrafo primero, letra f), de este Reglamento.
98.
A este respecto, de entrada, debe señalarse que, según el órgano jurisdiccional remitente, actualmente no existe ninguna normativa nacional que establezca los plazos de supresión aplicables a las bases de datos llevadas por las agencias de información comercial. Sin embargo, parece que las partes interesadas perciben el código de conducta adoptado conjuntamente por las autoridades de control y la asociación de las agencias de información comercial como una especie de «base jurídica» que puede legitimar la práctica antes descrita. Tal concepción me parece criticable desde un punto de vista jurídico por los siguientes motivos.
99.
Jurídicamente, tal código de conducta únicamente representa un compromiso voluntario entre quienes lo han elaborado y adoptado, es decir, la asociación antes mencionada y sus miembros. Del mismo modo, el hecho de que dicho código de conducta haya sido aprobado por una autoridad de control únicamente significa que esta, en su calidad de autoridad administrativa, se considera vinculada por este código de conducta. Sin embargo, me parece evidente que carece de fuerza vinculante frente a terceros en virtud del principio jurídico pacta tertiis nec nocent nec prosunt. En caso contrario, no solo las personas físicas cuyos datos son objeto de tratamiento se verían afectadas, sino también las sociedades que no hubieran participado en la elaboración de tal código de conducta.
100.
Por definición, un código de conducta no tiene valor normativo en un ordenamiento jurídico, sino que tiene más bien por objeto precisar las disposiciones de un acto normativo para facilitar su aplicación. Esta interpretación se ve corroborada por los apartados 1 y 2 del artículo 40 RGPD, de los que se desprende que los códigos de conducta que elaboren las asociaciones y otros organismos representativos de categorías de responsables o encargados del tratamiento están destinados, por un lado, «a contribuir a la correcta aplicación» y, por otro lado, a «especificar la aplicación» de este Reglamento (el subrayado es mío). Así pues, habida cuenta de que la función del código de conducta en cuestión se limita a garantizar la correcta aplicación del RGPD en un sector determinado, no puede constituir, por sí solo, el fundamento jurídico que justifique un tratamiento de datos personales. (
48
)
101.
El fundamento jurídico que justifica tal tratamiento solo puede hallarse en el artículo 6 del RGPD o, si existe una cláusula de apertura aplicable, en el Derecho nacional. Ya he indicado en las presentes conclusiones que el artículo 6 del RGPD establece una lista exhaustiva y taxativa de los supuestos en los que un tratamiento de datos personales puede considerarse lícito. (
49
) Por consiguiente, las reglas del código de conducta no pueden tener como efecto la ampliación de esta lista sin infringir al mismo tiempo el Derecho de la Unión.
102.
Pues bien, considero que sucede precisamente esto cuando, como en el presente asunto, estas reglas imponen a las agencias de información comercial la obligación de conservar los datos de los interesados durante un plazo de tres años, es decir, durante un período de tiempo prolongado que no puede justificarse en virtud de los principios que rigen el tratamiento de los datos personales consagrados en el RGPD. Más concretamente, como he demostrado en el marco de mi análisis, la conservación de estos datos no puede considerarse lícita en virtud del artículo 6, apartado 1, párrafo primero, letra f), del RGPD durante el período posterior a la supresión de los datos personales relativos a una insolvencia de los registros públicos. (
50
)
103.
En consecuencia, debe señalarse, en esta fase del análisis, que los códigos de conducta que dan lugar a un resultado diferente del que se habría obtenido aplicando el artículo 6, apartado 1, párrafo primero, letra f), del RGPD no pueden tomarse en consideración en la ponderación efectuada en virtud de esta disposición. En su condición de «responsables del tratamiento» en el sentido del artículo 4, punto 7, del RGPD, las agencias de información comercial no pueden escudarse en las reglas del código de conducta que ellas mismas han elaborado para eludir válidamente sus obligaciones derivadas de dicho Reglamento.
104.
Habida cuenta de las consideraciones precedentes, considero que el artículo 40, apartados 2 y 5, del RGPD debe interpretarse en el sentido de que los códigos de conducta elaborados de conformidad con estas disposiciones y que eventualmente sean aprobados por la autoridad de control no pueden establecer de manera jurídicamente vinculante unas condiciones para el tratamiento lícito de los datos personales que difieran de las definidas en el artículo 6, apartado 1, del RGPD.
VI. Conclusión
105.
A la vista de las consideraciones precedentes, propongo al Tribunal de Justicia que responda de la siguiente manera a las cuestiones prejudiciales planteadas por el Verwaltungsgericht Wiesbaden (Tribunal de lo Contencioso-Administrativo de Wiesbaden, Alemania):
«1)
El artículo 78, apartado 1, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos),
debe interpretarse en el sentido de que
de esta disposición resulta que una decisión jurídicamente vinculante de una autoridad de control está sujeta a un control jurisdiccional pleno sobre el fondo.
2)
El artículo 6, apartado 1, párrafo primero, letra f), del Reglamento 2016/679
debe interpretarse en el sentido de que:
se opone a la conservación por una agencia privada de información comercial de datos personales procedentes de un registro público, como las “bases de datos nacionales” en el sentido del artículo 79, apartados 4 y 5, del Reglamento (UE) 2015/848 del Parlamento Europeo y del Consejo, de 20 de mayo de 2015, sobre procedimientos de insolvencia, durante un plazo superior a aquel durante el cual se conservan los datos en el registro público. Corresponde al órgano jurisdiccional remitente verificar si la conservación de los datos durante el plazo autorizado para el registro público cumple los requisitos del artículo 6, apartado 1, párrafo primero, letra f), del Reglamento 2016/679.
3)
El artículo 17, apartado 1, letra d), del Reglamento 2016/679
debe interpretarse en el sentido de que
el interesado tiene derecho a que el responsable del tratamiento suprima sin demora los datos personales que le conciernan cuando dichos datos hayan sido objeto de un tratamiento ilícito con arreglo al artículo 6, apartado 1, de dicho Reglamento.
El artículo 17, apartado 1, letra c), del Reglamento 2016/679
debe interpretarse en el sentido de que
el interesado, en principio, tiene derecho a que el responsable del tratamiento suprima sin demora los datos personales que le conciernan cuando se oponga al tratamiento en virtud del artículo 21, apartado 1, de dicho Reglamento. Corresponde al órgano jurisdiccional remitente examinar si existen, con carácter excepcional, motivos legítimos imperiosos para el tratamiento.
4)
El artículo 40, apartados 2 y 5, del Reglamento 2016/679
debe interpretarse en el sentido de que
los códigos de conducta elaborados de conformidad con estas disposiciones y que eventualmente sean aprobados por la autoridad de control no pueden establecer de manera jurídicamente vinculante unas condiciones para el tratamiento lícito de los datos personales que difieran de las definidas en el artículo 6, apartado 1, de dicho Reglamento.»
(
1
)	Lengua original: francés.
(
2
)	DO 2016, L 119, p. 1.
(
3
)	DO 2015, L 141, p. 19.
(
4
)	Se trata en concreto de los artículos 18 y 21 de la Directiva 2014/17/UE del Parlamento Europeo y del Consejo, de 4 de febrero de 2014, sobre los contratos de crédito celebrados con los consumidores para bienes inmuebles de uso residencial y por la que se modifican las Directivas 2008/48/CE y 2013/36/UE y el Reglamento n.o 1093/2010 (DO 2014, L 60, p. 34), así como de los artículos 8 y 9 de la Directiva 2008/48/CE del Parlamento Europeo y del Consejo, de 23 de abril de 2008, relativa a los contratos de crédito al consumo y por la que se deroga la Directiva 87/102/CEE del Consejo (DO 2008, L 133, p. 66).
(
5
)	Véanse las conclusiones del Abogado General Szpunar presentadas en el asunto Latvijas Republikas Saeima (Puntos por infracciones de tráfico) (C‑439/19, EU:C:2020:1054), punto 48.
(
6
)	Sentencia de 15 de junio de 2021, Facebook Ireland y otros (C‑645/19, EU:C:2021:483), apartados 44 y 45.
(
7
)	Sentencia de 16 de julio de 2020, Facebook Ireland y Schrems (C‑311/18, EU:C:2020:559), apartado 109.
(
8
)	Véase, en este sentido, Kotschy, W.: «Article 77. Right to lodge a complaint with a supervisory authority», en Kuner, C., Bygrave, L. A., Docksey, C. y Drechsler, L. (eds.): The EU General Data Protection Regulation (GDPR), Oxford, 2020, p. 1123.
(
9
)	Véase, en este sentido, Härting, N., Flisek, C. y Thiess, L.: «DSGVO: Der Verwaltungsakt wird zum Normalfall – Das neue Beschwerderecht», Computer und Recht, 5/2018, p. 299, que recuerdan que, con arreglo al artículo 57, apartado 1, letra a), del RGPD, la autoridad de control tiene la función de controlar la aplicación del RGPD y hacerlo aplicar en interés de los interesados. Según los autores, esta no debe permanecer de brazos cruzados cuando se vulneren los derechos de un ciudadano mediante un tratamiento de datos personales. Al contrario, la autoridad de control tiene la obligación de remediar la situación y de hacer uso de las facultades de que dispone en virtud del artículo 58, apartado 2, del RGPD.
(
10
)	Véase, en este sentido, Hijmans, H.: «Article 55. Tasks», en Kuner, C., Bygrave, L. A., Docksey, C. y Drechsler, L. (eds.): The EU General Data Protection Regulation (GDPR), Oxford, 2020, pp. 934 y 936.
(
11
)	Véanse mis conclusiones presentadas en el asunto Parlamento/UZ (C‑894/19 P, EU:C:2021:497), punto 68, para una explicación detallada del concepto de «buena administración» en el Derecho administrativo de la Unión.
(
12
)	Conclusiones del Abogado General Saugmandsgaard Øe presentadas en el asunto Facebook Ireland y Schrems (C‑311/18, EU:C:2019:1145), puntos 146 y 147.
(
13
)	Conclusiones del Abogado General Saugmandsgaard Øe presentadas en el asunto Facebook Ireland y Schrems (C‑311/18, EU:C:2019:1145), punto 148.
(
14
)	Véanse los puntos 43 y 44 de las presentes conclusiones.
(
15
)	Véase la sentencia del Tribunal de la AELC (Asociación Europea de Libre Comercio) de 10 de diciembre de 2020 en los asuntos acumulados E‑11/19 y E‑12/19, Adpublisher AG contra J y K, apartado 58, en la que dicho órgano jurisdiccional observa que los artículos 58, apartado 4, y 78 del RGPD «expresan el derecho a la tutela judicial efectiva».
(
16
)	Sentencia de 7 de septiembre de 2021, Klaipėdos regiono atliekų tvarkymo centras (C‑927/19, EU:C:2021:700), apartado 146.
(
17
)	Sentencia de 6 de octubre de 2015, Schrems (C‑362/14, EU:C:2015:650), apartado 95.
(
18
)	Véase la sentencia de 12 de enero de 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2023:2), apartado 41.
(
19
)	Véase, en este sentido, Kotschy, W.: «Article 77. Right to lodge a complaint with a supervisory authority», en Kuner, C., Bygrave, L. A., Docksey, C. y Drechsler, L. (eds.): The EU General Data Protection Regulation (GDPR), Oxford, 2020, pp. 1127 a 1130.
(
20
)	Véanse las conclusiones del Abogado General Richard de la Tour presentadas en el asunto Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2022:661), puntos 43 y ss.
(
21
)	Sentencias de 11 de noviembre de 2020, DenizBank (C‑287/19, EU:C:2020:897), apartado 59, y de 24 de febrero de 2022, Glavna direktsia Pozharna bezopasnost i zashtita na naselenieto (C‑262/20, EU:C:2022:117), apartado 33.
(
22
)	Sentencia de 11 de diciembre de 2019, Asociaţia de Proprietari bloc M5A‑ScaraA (C‑708/18, EU:C:2019:1064), apartado 32.
(
23
)	Sentencia de 26 de abril de 2022, Polonia/Parlamento y Consejo (C‑401/19, EU:C:2022:297), apartado 47.
(
24
)	Sentencias de 22 de junio de 2021, Latvijas Republikas Saeima (Puntos por infracciones de tráfico) (C‑439/19, EU:C:2021:504), apartado 99, y de 1 de agosto de 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601), apartado 67.
(
25
)	Sentencia de 17 de junio de 2021, M.I.C.M. (C‑597/19, EU:C:2021:492), apartado 106.
(
26
)	Véanse, a este respecto, las conclusiones del Abogado General Rantos presentadas en el asunto Meta Platforms y otros (Condiciones generales del servicio de una red social) (C‑252/21, EU:C:2022:704), punto 60.
(
27
)	Véanse las sentencias de 4 de mayo de 2017, Rīgas satiksme (C‑13/16, EU:C:2017:336), apartado 30, y de 17 de junio de 2021, M.I.C.M. (C‑597/19, EU:C:2021:492), apartado 110.
(
28
)	Sentencias de 17 de junio de 2021, M.I.C.M. (C‑597/19, EU:C:2021:492), apartado 111, y de 4 de mayo de 2017, Rīgas satiksme (C‑13/16, EU:C:2017:336), apartado 31.
(
29
)	Dictamen 06/2014 sobre el concepto de interés legítimo del responsable del tratamiento de los datos en virtud del artículo 7 de la Directiva 95/46, WP 217 de 9 de abril de 2014, título III.3.4 («Factores clave que deben considerarse al efectuar la prueba de sopesamiento»).
(
30
)	Véanse los puntos 61 a 63 de las presentes conclusiones.
(
31
)	Sentencias de 13 de mayo de 2014, Google Spain y Google (C‑131/12, EU:C:2014:317), apartados 86 y 87, y de 11 de diciembre de 2019, Asociaţia de Proprietari bloc M5A‑ScaraA (C‑708/18, EU:C:2019:1064), apartado 57.
(
32
)	Sentencia de 1 de agosto de 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601), apartado 92.
(
33
)	Sentencia de 11 de diciembre de 2019, Asociaţia de Proprietari bloc M5A‑ScaraA (C‑708/18, EU:C:2019:1064), apartado 57.
(
34
)	Sentencia de 13 de mayo de 2014, Google Spain y Google (C‑131/12, EU:C:2014:317), apartado 98.
(
35
)	Véase la sentencia de 22 de noviembre de 2022, Luxembourg Business Registers (C‑37/20 y C‑601/20, EU:C:2022:912), apartados 39 a 42, en la que el Tribunal de Justicia consideró la puesta a disposición del público en general de esta información sobre los titulares reales de las sociedades y otras entidades jurídicas una vulneración de los derechos garantizados por los artículos 7 y 8 de la Carta. En su razonamiento, el Tribunal de Justicia tuvo en cuenta la naturaleza sensible de los datos personales en cuestión, así como el hecho de que la información resultaba accesible a un número potencialmente ilimitado de personas.
(
36
)	En la vista, SCHUFA hizo referencia al hecho de que algunas personas volverían a ser insolventes, lo que, según esta agencia, justificaba un plazo de conservación de tres años.
(
37
)	Gutowski, M.: «OLG Schleswig: Eintragung erfolgter Restschuldbefreiung in Datenbanken von Auskunfteien über die Löschungsfrist für das Insolvenzbekanntmachungsportal hinaus», Neue Zeitschrift für Insolvenz- und Sanierungsrecht, 18/2021, p. 799, expresa dudas sobre la utilidad de prever la conservación de datos de una persona durante tres años a los efectos de determinar su situación económica.
(
38
)	Véase, en este sentido, Heyer, H.‑U.: «Schein‑Datenschutz», Zeitschrift für Verbraucher-, Privat- und Nachlassinsolvenz, 2019, p. 46.
(
39
)	Véase el punto 31 de las presentes conclusiones.
(
40
)	Véase la sentencia de 11 de diciembre de 2019, Asociaţia de Proprietari bloc M5A‑ScaraA (C‑708/18, EU:C:2019:1064), apartado 58.
(
41
)	La alegación formulada por SCHUFA en la vista según la cual el legislador alemán no ha hecho nada para reducir el plazo de tres años aplicado por esta agencia privada no parece invalidar esta conclusión. De hecho, pueden existir diversas razones por las que un Estado miembro no haya abordado todavía el problema de las bases de datos paralelas. La finalidad de las peticiones de decisión prejudicial presentadas por el órgano jurisdiccional remitente es precisamente hallar respuestas a este problema con el fin de crear una situación que se ajuste a las exigencias del RGPD.
(
42
)	Véase el punto 75 de las presentes conclusiones.
(
43
)	Ehmann, E.: «Bundesdatenschutzgesetz», en Simitis, S., Hornung, G. y Spiecker, I. (eds.): Datenschutzrecht – DSGVO mit BDSG, 8.a ed., Baden-Baden, 2014, apartado 29, punto 192, considera que deja de existir un interés legítimo para la difusión de los datos personales por una base de datos gestionada por una agencia privada cuando haya expirado el plazo previsto por la legislación nacional para su publicación por un registro público, dado que, en caso contrario, el objetivo legislativo se vería obstaculizado.
(
44
)	Véase la sentencia de 1 de agosto de 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601), apartado 93, de la que se desprende que el requisito relativo a la «necesidad del tratamiento» debe examinarse en relación con el llamado principio de «minimización de los datos».
(
45
)	Dix, A., en Simitis, S., Hornung, G. y Spiecker, I. (eds.): Datenschutzrecht – DSGVO mit BDSG, Baden-Baden, 2018, artículo 17, punto 14.
(
46
)	Véase el punto 77 de las presentes conclusiones.
(
47
)	Kranenborg, H.: «Article 17. Right to erasure (“right to be forgotten”)», en Kuner, C., Bygrave, L. A., Docskey, C. y Drechsler, L. (eds.): The EU General Data Protection Regulation (GDPR), Oxford, 2020, p. 481, explica que el artículo 21, apartado 1, del RGPD tiene como efecto la inversión de la carga de la prueba, de manera que el responsable del tratamiento de los datos, en lugar del interesado, debe demostrar la existencia de motivos legítimos imperiosos para justificar el tratamiento. Si este responsable no logra hacerlo, los datos en cuestión deben suprimirse.
(
48
)	Es importante atraer la atención sobre el hecho de que el código de conducta de que se trata [Verhaltensregeln für die Prüf- und Löschfristen von personenbezogenen Daten durch die deutschen Wirtschaftsauskunfteien (Código de Conducta relativo a los Plazos de Control y Supresión de Datos Personales por las Agencias Alemanas de Información Comercial), de 25 de mayo de 2018] indica que sus reglas «no contienen ninguna norma sobre la justificación material del almacenamiento de los datos personales». También resulta de dicho código de conducta que «la regulación de los plazos de almacenamiento y de supresión no es indicativa de la legalidad de su almacenamiento. Los plazos de supresión y de almacenamiento siguientes serán de aplicación con independencia de si los datos subyacentes se han recogido y almacenado en virtud de una base legal o sobre la base del consentimiento» (el subrayado es mío). Esto demuestra, en mi opinión, que los autores de dicho código debían ser conscientes del hecho de que el código de conducta no constituye un fundamento jurídico que pueda legitimar el tratamiento de datos.
(
49
)	Véase el punto 59 de las presentes conclusiones.
(
50
)	Véase el punto 77 de las presentes conclusiones.