Edición provisional
CONCLUSIONES DEL ABOGADO GENERAL
SR. DEAN SPIELMANN
presentadas el 16 de octubre de 2025 (1)
Asunto C‑484/24
NTH Haustechnik GmbH
contra
EM
[Petición de decisión prejudicial planteada por el Landesarbeitsgericht Niedersachsen (Tribunal Regional de lo Laboral de Baja Sajonia, Alemania)]
« Procedimiento prejudicial — Protección de los datos personales — Licitud del tratamiento de datos en el marco de un procedimiento judicial en el ámbito laboral — Datos recogidos por el empleador para demostrar que el empleado ha incumplido gravemente sus obligaciones — Tratamiento de pruebas obtenidas de manera ilegal — Principio de limitación del plazo de conservación — Autonomía procesal de los Estados miembros »
Introducción
1.        La cuestión prejudicial objeto de las presentes conclusiones, a petición del Tribunal de Justicia, se refiere a la interpretación del artículo 5, apartado 1, letra e), del Reglamento (UE) 2016/679. (2) En esencia, se solicita al Tribunal de Justicia que se pronuncie sobre si los datos personales presentados como pruebas en un procedimiento judicial nacional, que se han obtenido recurriendo a otros datos personales inicialmente recogidos o conservados infringiendo el principio de limitación del plazo de conservación, pueden ser tratados por el juez nacional de manera lícita, y en qué medida.
2.        La petición de decisión prejudicial ha sido presentada por el Landesarbeitsgericht Niedersachsen (Tribunal Regional de lo Laboral de Baja Sajonia, Alemania) en el marco de un litigio entre NTH Haustechnik GmbH (en lo sucesivo, «NTH») y su antigua empleada (en lo sucesivo, «demandada»), en relación con una acción de indemnización de daños y perjuicios ejercitada para la reparación de un perjuicio derivado de la venta en línea no autorizada, por parte de la demandada, de bienes pertenecientes a NTH.
Marco jurídico
Derecho de la Unión
3.        El artículo
5, apartado
1, del RGPD, titulado «Principios relativos al tratamiento», dispone:
«1.      Los datos personales serán:
a)      tratados de manera lícita, leal y transparente en relación con el interesado (“licitud, lealtad y transparencia”);
[…]
e)      mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado (“limitación del plazo de conservación”);
[…]».
4.        El artículo
6 del RGPD, titulado «Licitud del tratamiento», tiene el siguiente tenor:
«1.      El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
[…]
e)      el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
[…]
2.      Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras c) y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX.
3.      La base del tratamiento indicado en el apartado 1, letras c) y e), deberá ser establecida por:
a)      el Derecho de la Unión, o
b)      el Derecho de los Estados miembros que se aplique al responsable del tratamiento.
La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido.
[…]»
5.        El artículo
23 del RGPD, titulado «Limitaciones», establece:
«1.      El Derecho de la Unión o de los Estados miembros que se aplique al responsable o el encargado del tratamiento podrá limitar, a través de medidas legislativas, el alcance de las obligaciones y de los derechos establecidos en los artículos 12 a 22 y el artículo 34, así como en el artículo 5 en la medida en que sus disposiciones se correspondan con los derechos y obligaciones contemplados en los artículos 12 a 22, cuando tal limitación respete en lo esencial los derechos y libertades fundamentales y sea una medida necesaria y proporcionada en una sociedad democrática para salvaguardar:
[…]
j)      la ejecución de demandas civiles.
[…]»
Derecho alemán
Ley de Enjuiciamiento Civil
6.        El artículo
138 de la Zivilprozessordnung (Ley de Enjuiciamiento Civil), de 30 de enero de 1877, (3) titulado «Obligación de explicar los hechos; obligación de veracidad», dispone, en su versión aplicable al litigio principal:
«(1)      Las partes deberán formular sus observaciones relativas a los hechos con exhaustividad y veracidad.
(2)      Cada parte deberá pronunciarse sobre los hechos alegados por la otra parte.
(3)      Los hechos que no sean expresamente rebatidos se considerarán admitidos, a no ser que la intención de rebatirlos se infiera de las restantes observaciones de la parte correspondiente.
(4)      La declaración de desconocimiento solo se admitirá respecto a hechos que no constituyan actos de la parte ni hayan sido objeto de su propia percepción.»
Ley Federal de Protección de Datos
7.        El artículo 3 de la Bundesdatenschutzgesetz (Ley Federal de Protección de Datos), de 30 de junio de 2017, (4) titulado «Tratamiento de datos personales por organismos públicos», en su versión aplicable al litigio principal, prevé:
«Se autorizará el tratamiento de datos personales por parte de un organismo público cuando sea necesario para el cumplimiento de una misión que sea competencia del responsable del tratamiento o del ejercicio de la autoridad pública conferida al responsable.»
Litigio principal, cuestiones prejudiciales y procedimiento ante el Tribunal de Justicia
8.        NTH es una empresa que explota un negocio de calefacción y aire acondicionado. La demandada era empleada de la empresa y estaba casada con su administrador. El hijo de la demandada y del administrador de NTH también es empleado de dicha empresa.
9.        La relación laboral entre NTH y la demandada concluyó el 31 de octubre de 2019 y los cónyuges se separaron el 26 de junio de 2022. No obstante, hasta la separación, la demandada siguió teniendo la posibilidad de acceder a los locales de la empresa y de utilizar los ordenadores que se encontraban en ellos. La cuestión de si lo hizo únicamente con fines privados o de si siguió realizando actividades para NTH es objeto de controversia.
10.      Inmediatamente después de la separación de los cónyuges, NTH comprobó que la demandada había vendido por su cuenta bienes de la empresa a través de la plataforma de ventas en línea eBay y le reclama daños y perjuicios por ese motivo.
11.      El órgano jurisdiccional remitente señala que NTH tuvo conocimiento de las operaciones de venta de la demandada a través de un acceso informatizado a la cuenta privada de eBay de esta. Para ello, el hijo de la demandada y del administrador de NTH utilizó el nombre de usuaria y la contraseña de la cuenta de eBay de la demandada. La cuestión de cómo tuvo conocimiento de ellos es objeto de controversia.
12.      A este respecto, NTH afirma haber obtenido la información relativa a la utilización de la plataforma de venta en línea eBay por la demandada consultando el historial de navegación del ordenador profesional de la empresa utilizado por esta, y haber tenido conocimiento de la contraseña consultando una «carpeta familiar» creada en el servidor de NTH, en la que se había almacenado la contraseña. Sin embargo, la demandada niega haber guardado su contraseña de usuaria de eBay en las unidades de almacenamiento informático de la empresa y alega que NTH utilizó el teléfono móvil, que estaba registrado a nombre de la empresa, pero que la demandada utilizaba, para modificar la contraseña de la cuenta privada de la demandada en la plataforma eBay y acceder a ella.
13.      El órgano jurisdiccional remitente considera que la recogida y la conservación de los datos efectuadas por NTH, y mediante las que tuvo conocimiento de las ventas de la demandada en la plataforma de venta en línea eBay, pudieron llevarse a cabo de forma ilícita. Considera, además, que su propia actividad judicial y, en su caso, la utilización de los datos recogidos por NTH para adoptar su decisión constituyen un tratamiento de datos en el sentido del RGPD. A este respecto, el órgano jurisdiccional remitente se pregunta, en esencia, cuáles son las condiciones que debe establecer la legislación nacional para los actos de tratamiento de datos efectuados en el marco de una función jurisdiccional, así como cuáles son las bases jurídicas y los criterios sustantivos que deben regir tales actos.
14.      En estas circunstancias, el Landesarbeitsgericht Niedersachsen (Tribunal Regional de lo Laboral de Baja Sajonia) decidió suspender el procedimiento y plantear al Tribunal de Justicia las siguientes cuestiones prejudiciales:
«1)      ¿Satisfacen las disposiciones del artículo 92 de la Grundgesetz (Ley Fundamental alemana) y de los artículos 138, 286, 355 y siguientes de la [Ley de Enjuiciamiento Civil]
el principio de precisión de las disposiciones legales que se deriva de los artículos 8, apartado 2, y 52, apartado 1, de la Carta de los Derechos Fundamentales de la Unión Europea [(5)] y del artículo 5, apartado 1, letra c), del [RGPD] en un supuesto de actividad judicial autónoma de tratamiento con arreglo al artículo 6, apartados 1, letra e), y 3, del RGPD, cuando la actividad judicial de tratamiento supone una injerencia en los derechos fundamentales de una de las partes o de un tercero?
2)      a)      ¿Puede un órgano jurisdiccional nacional, en el contexto de un tratamiento de datos (en particular, de datos personales), invocar la habilitación que le confiere el artículo 17, apartado 3, letra e), del RGPD para tal tratamiento o constituyen los artículos 6 y 9 del RGPD el único fundamento posible para una actividad judicial de tratamiento?
b)      En caso de que el artículo 17, apartado 3, letra e), del RGPD pueda constituir, en principio, el fundamento jurídico válido para una actividad judicial de tratamiento:
aa)      ¿Lo es también en los casos en los que los datos no hayan sido obtenidos inicialmente de forma lícita por una de las partes del procedimiento o por un tercero?
bb)      ¿El tratamiento leal de datos [artículo 5, apartado 1, letra a), del RGPD] inicialmente obtenidos de forma ilícita implica, con arreglo al Derecho derivado, una restricción del tratamiento judicial, de manera que el artículo 17, apartado 3, letra e), del RGPD solo resulta aplicable en determinadas circunstancias o con determinadas limitaciones?
cc)      ¿Debe entenderse el artículo 17, apartado 3, letra e), del RGPD en el sentido de que toda prohibición de utilización judicial de datos obtenidos inicialmente de manera ilícita decae (es decir, que el órgano jurisdiccional debe utilizar dicha información) siempre que la recogida inicial de datos no se llevase a cabo de forma encubierta y que se haya utilizado para demostrar un incumplimiento doloso de obligaciones?
3)      Con independencia de si la actividad judicial de tratamiento se somete al artículo 17, apartado 3, letra e), del RGPD, a los artículos 6, apartados 1, letras c) o e), y 3, y 9 del RGPD o a otras disposiciones del Derecho de la Unión:
a)      ¿Se deduce de los principios de necesidad y de minimización de los datos, que rigen en materia de protección de datos en virtud del artículo 52, apartado 1, segunda frase, de la Carta y del artículo 5, apartado 1, letra a), del RGPD, especialmente respecto al tratamiento de datos inicialmente recogidos o almacenados de forma ilícita, la necesidad de un control exhaustivo de la proporcionalidad y de una ponderación por parte de los órganos jurisdiccionales?
b)      ¿Qué consecuencias tiene el artículo 5, apartado 1, letra e), del RGPD, con arreglo al cual los datos personales solo pueden mantenerse durante el tiempo necesario para los fines del tratamiento, sobre la posterior actividad judicial de tratamiento de datos, en particular en los casos en que:
–        los datos se hubieran recogido inicialmente para otros fines,
–        haya transcurrido un tiempo prolongado desde la obtención inicialmente ilícita de los datos,
–        se haya mantenido durante un tiempo prolongado el almacenamiento ilícito de los datos,
–        la obtención ilícita de datos afecte a datos que fueron almacenados (en su caso, ilícitamente) largo tiempo atrás, o
–        el organismo o persona que efectúa el tratamiento o la recogida de los datos se haya comprometido unilateralmente o por contrato individual o convenio colectivo a su supresión dentro de un determinado plazo, pero, pese a todo, no haya efectuado la supresión?
c)      ¿Se deduce del Derecho de la Unión, en particular del artículo 8 de la Carta y de los artículos 6, apartados 1, letras c) o e), y 3, y 9 del RGPD, que el órgano jurisdiccional nacional solo puede utilizar pruebas obtenidas violando los derechos de la personalidad si existe un interés legítimo de la parte a la que incumbe la carga de la prueba que vaya más allá del mero interés probatorio, o no se deduce del Derecho de la Unión norma alguna a este respecto, de modo que corresponde al ordenamiento jurídico nacional adoptar las disposiciones correspondientes?
d)      ¿Se deduce del artículo 47, párrafo segundo, de la Carta, que consagra el derecho a la tutela judicial efectiva y, en particular, a un juicio justo, según el cual las partes de un procedimiento civil en principio han de tener ocasión de fundamentar suficientemente el objetivo del ejercicio de su acción y de presentar pruebas a tal fin, que el tratamiento judicial de datos personales del trabajador demandante, recogidos ilícitamente por el empresario, solo puede calificarse de indebido y desproporcionado en sentido estricto si la recogida de los datos se revela, desde el punto de vista del Derecho de la Unión, como una infracción grave de los artículos 7 y 8 de la Carta, siendo totalmente insuficiente cualquier otra posible sanción para el empresario (por ejemplo, indemnización en virtud del artículo 82 del RGPD e imposición de multas administrativas en virtud del artículo 83 del RGPD), o puede el carácter indebido y desproporcionado derivarse ya de otras infracciones menos graves en materia de protección de datos cometidas en la obtención inicial de los datos?
e)      Al decidir si utiliza en su actividad judicial de tratamiento de datos los datos obtenidos inicialmente por una de las partes o por un tercero, ¿debe tener en cuenta el órgano jurisdiccional si quien obtuvo los datos cumplió con las obligaciones de información que le incumben en virtud del artículo 13 del RGPD? En caso de respuesta afirmativa a esta pregunta, ¿en qué condiciones y conforme a qué criterios debe tener el órgano jurisdiccional en cuenta esta circunstancia?
f)      El hecho de que el órgano jurisdiccional, al tratar datos personales, se halla vinculado por el RGPD y por la Carta, ¿engloba también los datos personales de terceros? ¿Cómo repercute una eventual infracción en materia de datos personales cometida frente a un tercero durante la recogida inicial de los datos en la posterior actividad judicial de tratamiento de datos en un litigio entre dos partes? ¿Puede (o no) una parte invocar una infracción cometida no contra ella, sino contra un tercero?»
15.      Han presentado observaciones escritas la Comisión Europea y los Gobiernos alemán, húngaro y finlandés. La Comisión y el Gobierno alemán presentaron sus observaciones orales en la vista celebrada el 2 de julio de 2025.
Apreciación
Observaciones preliminares
16.      Mediante la tercera cuestión prejudicial, letra b), objeto de las presentes conclusiones, el órgano jurisdiccional remitente se pregunta, en esencia, sobre las consecuencias que los tratamientos de datos contrarios al principio de limitación del plazo de conservación, establecido en el artículo 5, apartado 1, letra e), del RGPD, tienen sobre la licitud de los «posterior actividad judicial de tratamiento», (6) en el marco de su actividad judicial, de otros datos que solo han podido obtenerse recurriendo a esos primeros datos.
17.      Para la comprensión del asunto, me parece útil precisar que procede distinguir entre dos tipos de datos personales de que se trata en el presente asunto. Por una parte, los datos relativos a la demandada almacenados en el servidor de NTH y en el historial de navegación del ordenador de la empresa utilizado por la demandada, e incluso en el teléfono de la empresa puesto a disposición de esta, permitieron a NTH recuperar la contraseña y el nombre de usuaria de eBay de la demandada para acceder a su cuenta privada en la plataforma de venta en línea eBay. En aras de la comodidad, en las presentes conclusiones utilizaré el término «datos iniciales» con respecto a ellos. Por otra parte, los datos relativos a las ventas de los bienes de la empresa, extraídos del sitio de Internet eBay y que sirvieron de base para la acción judicial ejercitada por NTH contra la demandada, se denominarán «datos de ventas».
18.      En primer lugar, en lo tocante a los datos iniciales, el órgano jurisdiccional remitente ha indicado que la cuestión de cómo el hijo de la demandada y del administrador de NTH tuvo conocimiento de la contraseña y del nombre de usuaria de eBay de la primera es objeto de controversia. No obstante, en el marco de la tercera cuestión prejudicial, letra b), parece partir del postulado de que estos datos fueron recogidos y conservados infringiendo el principio de limitación del plazo de conservación, establecido en el artículo
5, apartado
1, letra e), del RGPD, según el cual los datos personales deben conservarse «durante no más tiempo del necesario para los fines del tratamiento de los datos personales».
19.      A tal efecto, el órgano jurisdiccional remitente hace referencia al hecho de que «los datos se hubieran recogido inicialmente para otros fines». También menciona una recogida ilícita respecto de la que «haya transcurrido un tiempo prolongado», una conservación ilícita «largo tiempo atrás» o que «se haya mantenido durante un tiempo prolongado» y el incumplimiento de una obligación contractual de suprimir los datos recogidos «dentro de un determinado plazo». Entiendo que esto significa que la recopilación de los datos iniciales tenía fines distintos de permitir a la empresa recopilar posteriormente otros datos, a saber, los datos de ventas, a efectos de ejercitar una acción judicial contra la demandada, y que la duración de la conservación de los datos iniciales habría excedido el tiempo necesario para alcanzar los fines para los que se recogieron y conservaron inicialmente. (7)
20.      En segundo lugar, por lo que respecta a los datos de ventas, considero que no pueden estar comprendidos en los supuestos de una recogida inicial que hubiera tenido «fines distintos» y de una conservación respecto de la que hubiera transcurrido un tiempo prolongado, que se hubiera mantenido durante un tiempo prolongado o que se hubiera efectuado incumpliendo una obligación contractual de supresión. En efecto, de los autos no se desprende en modo alguno que NTH haya conservado esos datos durante mucho tiempo o que los haya recogido con un fin distinto del ejercicio de una acción judicial contra la demandada. Por otra parte, no se trata de examinar una hipotética recogida o conservación ilícita de los datos de venta en línea por parte de eBay.
21.      No obstante, en mi opinión, de la petición de decisión prejudicial se desprende que el órgano jurisdiccional remitente parte de la premisa de que, en la medida en que NTH haya infringido efectivamente el principio establecido en el artículo 5, apartado 1, letra e), del RGPD en relación con los datos iniciales, la utilización posterior de esos mismos datos para acceder a la cuenta privada de eBay de la demandada adolece de ilegalidad, así como, en consecuencia, la recogida por parte de NTH de los datos de ventas. (8)
22.      Por lo tanto, el interés del presente asunto reside en la licitud del tratamiento de los datos de ventas, por parte del órgano jurisdiccional remitente, en el marco de su actividad judicial, ya que el RGPD se aplica al conjunto de operaciones de tratamiento efectuadas por las autoridades judiciales, como el órgano jurisdiccional remitente. (9) De ello se sigue que procede tener en cuenta, en la respuesta que debe darse a dicho órgano jurisdiccional, las condiciones de licitud del tratamiento de datos personales previstas en el artículo 6 del RGPD.
23.      Por consiguiente, a los efectos del presente asunto, sugiero al Tribunal de Justicia que reformule la tercera cuestión prejudicial, letra b), de modo que examine si el artículo
5, apartado
1, letra e), del RGPD, en relación con el artículo
6 de dicho Reglamento, debe interpretarse en el sentido de que el principio de «limitación del plazo de conservación», establecido en dicha disposición, se opone a que un órgano jurisdiccional nacional pueda efectuar, en el marco de su actividad judicial, el tratamiento de los datos que han sido obtenidos recurriendo a otros datos cuya recogida inicial o conservación se ha llevado a cabo infringiendo dicho principio, o incluso impone al órgano jurisdiccional nacional exigencias particulares habida cuenta de las modalidades de utilización de esos datos personales.
Sobre la tercera cuestión prejudicial, letra b)
24.      Es preciso recordar que todo tratamiento de datos personales, incluido el tratamiento efectuado por autoridades públicas como los órganos jurisdiccionales, debe respetar los principios que rigen el tratamiento de datos personales y los derechos del interesado enunciados, respectivamente, en los capítulos II y III del RGPD. En particular, tales tratamientos deben ser conformes con los principios establecidos en el artículo 5 de este Reglamento y, habida cuenta del principio de licitud del tratamiento, previsto en el apartado 1, letra a), de dicho artículo, cumplir los requisitos de licitud enumerados en el artículo 6 del mismo. (10) Esta última disposición establece, en su apartado 1, una lista exhaustiva y taxativa de los casos en que un tratamiento de datos personales puede considerarse lícito. En consecuencia, para poder ser considerado legítimo, el tratamiento de datos personales debe estar comprendido en alguno de los casos contemplados en esa disposición. (11)
25.      En particular, el tratamiento de datos personales controvertido en el litigio principal, a saber, su utilización por el órgano jurisdiccional remitente en el marco del proceso judicial, puede estar comprendido en el ámbito de aplicación del artículo 6, apartado 1, letra e), del RGPD, en virtud del cual el tratamiento será lícito si, y en la medida en que, es «necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento», disposición que, por otra parte, se corresponde con el artículo
3 de la Ley Federal de Protección de Datos. (12)
26.      Como se ha dicho en los puntos 16 a 22 de las presentes conclusiones, en el litigio principal se plantea la cuestión de las consecuencias que las distintas infracciones por NTH del principio de limitación del plazo de conservación, establecido en el artículo 5, apartado 1, letra e), del RGPD, en relación con los datos iniciales, tienen sobre la admisibilidad y la utilización de los datos de ventas por parte del órgano jurisdiccional remitente en el marco de su actividad judicial.
27.      A este respecto, ha de recordarse que, según reiterada jurisprudencia, la interpretación de una disposición del Derecho de la Unión requiere tener en cuenta no solo su tenor, sino también el contexto en el que se inscribe, así como los objetivos y la finalidad que persigue el acto del que forma parte. (13)
28.      Por lo que respecta al artículo
5, apartado
1, letra e), del RGPD, el Tribunal de Justicia ya ha señalado que, como se desprende sin ambigüedad del tenor de dicho precepto, el principio de «limitación del plazo de conservación» exige que el responsable del tratamiento sea capaz de demostrar que los datos personales se conservan únicamente durante el tiempo necesario para la consecución de los fines para los cuales fueron recogidos o para los que han sido tratados ulteriormente. Así pues, incluso un tratamiento de datos inicialmente lícito puede devenir, con el tiempo, incompatible con el RGPD cuando los datos ya no sean necesarios para la consecución de tales fines. (14)
29.      Desde un punto de vista contextual, el artículo
5, apartado
1, letra e), del RGPD forma parte de los principios relativos al tratamiento de datos enunciados en el artículo
5 de dicho Reglamento y constituye una expresión del principio de proporcionalidad. Implica proceder a una apreciación del carácter proporcionado del tratamiento en relación con su finalidad a la luz del transcurso del tiempo. Así pues, el considerando 39 del RGPD enuncia expresamente que el plazo de conservación de los datos debe «limit[arse] a un mínimo estricto» y que, «para garantizar que los datos personales no se conservan más tiempo del necesario, el responsable del tratamiento ha de establecer plazos para su supresión o revisión periódica». (15)
30.      En cuanto al objetivo perseguido por el artículo 5, apartado 1, letra e), del RGPD, como se desprende del considerando 10 de dicho Reglamento, este consiste en garantizar un elevado nivel de protección de las personas físicas dentro de la Unión con respecto al tratamiento de sus datos personales. (16)
31.      Así pues, el artículo 5, apartado 1, letra e), del RGPD trata únicamente sobre las exigencias a las que debe responder la conservación de datos personales (17) y, por lo tanto, no permite dar una respuesta precisa a la cuestión de las consecuencias del incumplimiento, por un primer responsable del tratamiento, del principio de limitación del plazo de conservación de datos personales sobre el tratamiento de datos personales por un órgano jurisdiccional nacional en el marco de su actividad judicial. Por otra parte, en mi opinión, tal respuesta no se desprende de ninguna otra disposición de dicho Reglamento.
32.      Ni el artículo
5, apartado
1, letra e), del RGPD ni el artículo
6, apartado
1, letra e), de dicho Reglamento prohíben de manera general y absoluta que una autoridad pública, como un órgano jurisdiccional, esté facultada para tener en cuenta datos obtenidos de una de las partes del litigio recurriendo a otros datos personales cuyo tratamiento por esa parte haya sido contrario al principio de limitación del plazo de conservación.
33.      Pues bien, ante la inexistencia de normas de la Unión en la materia, corresponde al ordenamiento jurídico interno de cada Estado miembro, en virtud del principio de autonomía procesal de los Estados miembros, configurar la regulación procesal de los recursos destinados a garantizar la salvaguardia de los derechos que el Derecho de la Unión confiere a los justiciables, a condición, sin embargo, de que no sea menos favorable que la que rige situaciones similares de carácter interno (principio de equivalencia) y de que no haga imposible en la práctica o excesivamente difícil el ejercicio de los derechos conferidos por el Derecho de la Unión (principio de efectividad). (18) Por otra parte, los Estados deben utilizar su margen de apreciación respetando las condiciones y los límites establecidos por el RGPD y legislar de tal modo que el contenido y los objetivos de este no resulten menoscabados. (19)
34.      Más concretamente, de conformidad con el artículo 6, apartado 3, del RGPD, en relación con los considerandos 10, (20) 20 (21) y 45 (22) de dicho Reglamento, la base jurídica que sirve de fundamento al tratamiento a que se refiere su artículo 6, apartado 1, letra e), ya se trate del Derecho de la Unión o del Derecho del Estado miembro que se aplique al responsable del tratamiento, debe cumplir un objetivo de interés público y ser proporcional al fin legítimo perseguido. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del RGPD, como, entre otras, las condiciones generales que rigen la licitud del tratamiento por parte del responsable o las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento, previstas en el capítulo IX del RGPD. (23) Así pues, los Estados miembros están facultados para mantener o adoptar disposiciones nacionales a fin de especificar en mayor grado la aplicación de las normas de dicho Reglamento, como prevé su artículo 6, apartado 2.
35.      Por otra parte, el RGPD establece que los Estados miembros pueden establecer excepciones, en particular, al artículo
5 de dicho Reglamento, cuando sea necesario para salvaguardar determinados objetivos importantes de interés público general, entre ellos, para el asunto que nos ocupa, «la ejecución de demandas civiles». En efecto, el artículo 23, apartado 1, letra j), (24) del RGPD establece que el Derecho de la Unión y el Derecho de los Estados miembros podrán limitar, a través de medidas legislativas, el alcance de las obligaciones y de los derechos que en él se contemplan, cuando tal limitación respete en lo esencial los derechos y libertades fundamentales y sea una medida necesaria y proporcionada en una sociedad democrática para salvaguardar determinados objetivos importantes de interés público general como el antes mencionado. (25)
36.      Por último, procede recordar que los derechos fundamentales al respeto de la vida privada y a la protección de los datos personales no constituyen prerrogativas absolutas, como se afirma en el considerando 4 del RGPD, sino que deben tomarse en consideración en relación con su función en la sociedad y ponderarse con otros derechos fundamentales, como el derecho a la tutela judicial efectiva, garantizado en el artículo 47 de la Carta. (26)
37.      Así pues, podrán introducirse limitaciones, siempre que, de conformidad con el artículo 52, apartado 1, de la Carta, sean establecidas por la ley y respeten el contenido esencial de los derechos fundamentales y el principio de proporcionalidad. En virtud de este último principio, solo podrán introducirse limitaciones cuando sean necesarias y respondan efectivamente a objetivos de interés general reconocidos por la Unión Europea o a la necesidad de protección de los derechos y libertades de los demás. Estas deberán indicar en qué circunstancias y bajo qué condiciones puede adoptarse una medida que prevea el tratamiento de esos datos, garantizando así que la injerencia se limite a lo estrictamente necesario. Por otra parte, la normativa que conlleve la injerencia debe establecer reglas claras y precisas que regulen el alcance y la aplicación de la medida en cuestión, (27) e imponer unas exigencias mínimas, de modo que las personas cuyos datos personales se vean afectados dispongan de garantías suficientes que permitan proteger de manera eficaz sus datos contra los riesgos de abuso. (28)
38.      He de añadir que el Derecho de la Unión no regula la cuestión de la admisibilidad de las pruebas en los procedimientos judiciales nacionales, que forma parte, de conformidad con el principio de autonomía procesal de los Estados miembros, del Derecho nacional, sin perjuicio del respeto, en particular, de los principios de equivalencia y de efectividad, como se indica en el punto 33 de las presentes conclusiones. (29) El Tribunal Europeo de Derechos Humanos (30) tampoco considera que su función sea determinar la admisibilidad de las pruebas obtenidas ilegalmente, materia que forma parte, ante todo, del Derecho interno. De la jurisprudencia del Tribunal EDH relativa al artículo 6 del Convenio para la Protección de los Derechos Humanos y de las Libertades Fundamentales (31) se desprende, en esencia, que la competencia del Tribunal EDH se refiere a la cuestión de si el procedimiento, incluido el modo en que se obtuvieron las pruebas, es equitativo en su conjunto. Ello implica el examen de la «ilegalidad» en cuestión y, en los casos en que se trate de la vulneración de otro derecho protegido por dicho Convenio, de la naturaleza de dicha vulneración. (32)
39.      Asimismo, el Tribunal de Justicia ya ha declarado que,
en principio, incumbe únicamente al Derecho nacional determinar las normas relativas a la admisibilidad y a la apreciación, en el marco de un proceso penal incoado contra personas sospechosas de haber cometido actos de delincuencia grave, de la información y de las pruebas que se han obtenido mediante una conservación de datos contraria al Derecho de la Unión. Las normas nacionales relativas a la admisibilidad, exclusión o explotación de pruebas que contengan datos personales también deben respetar el principio de contradicción y el derecho a un juicio justo. (33) No puede ser de otro modo en el marco de un procedimiento civil.
40.      De lo anterior resulta que, ante la inexistencia de normas de la Unión en la materia, las cuestiones de la admisibilidad y de las modalidades de utilización de datos personales por un órgano jurisdiccional nacional en el marco de su actividad judicial, incluso cuando esos datos estén indirectamente viciados por un tratamiento contrario al principio de limitación del plazo de conservación de otros datos personales que hayan servido para su obtención, deben tener su base jurídica en el Derecho del Estado miembro que se aplique al responsable del tratamiento, en el sentido del artículo
6, apartado
3, letra b), del RGPD, en relación con el artículo
23, apartado
1, de dicho Reglamento.
41.      Pues bien, de los autos se desprende que una de las bases jurídicas de la presentación de los datos de ventas de los bienes de la empresa como prueba en el marco de una acción judicial es el artículo
138 de la Ley de Enjuiciamiento Civil, que impone a las partes del litigio la obligación de explicar los hechos. El artículo 3 de la Ley Federal de Protección de Datos establece la posibilidad de que un organismo público proceda al tratamiento de datos personales que sea necesario para el cumplimiento de una misión de su competencia. (34)
42.      Por otra parte, el órgano jurisdiccional remitente ha mencionado que ni la Ley Federal de Protección de Datos ni la Ley de Enjuiciamiento Civil contienen normas sobre los requisitos que deben cumplirse o sobre los criterios que deben ponderarse para poder determinar si incumbe a un órgano jurisdiccional tener en cuenta los elementos de hecho que invoca una parte o administrar las pruebas propuestas por una parte, o si ello es posible o lícito. En particular, no se prevé ninguna disposición para los casos en que la parte haya obtenido ilegalmente la información en la que se basa o para aquellos en los que se base en pruebas obtenidas ilegalmente. En el procedimiento civil alemán, incluso ante el tribunal de lo laboral, las prohibiciones sobre el uso de datos solo se aplican de forma jurisprudencial.
43.      De la petición de decisión prejudicial se desprende asimismo, por una parte, que, según reiterada jurisprudencia del Bundesverfassungsgericht (Tribunal Constitucional Federal, Alemania), los órganos jurisdiccionales nacionales están obligados, en principio, para establecer la verdad, a tomar en consideración las pruebas propuestas por las partes, si y en la medida en que una alegación de hecho sea pertinente y deba probarse en cuanto ha sido impugnada. (35)
44.      Por otra parte, el Bundesarbeitsgericht (Tribunal Supremo de lo Laboral, Alemania) consideró, en esencia, que el tratamiento de datos personales por un órgano jurisdiccional es posible aun cuando la recogida de esos datos realizada por una parte en una fase administrativa previa o extrajudicial resulte ilegal en virtud del RGPD o del Derecho nacional en materia de protección de datos. No obstante, si la parte realiza recogidas de datos que vulneran el derecho general de la personalidad del interesado, no basta con que invoque un interés general probatorio. Un órgano jurisdiccional nacional habría en tal caso de tener en cuenta otros elementos, de los que resulte que el interés en la obtención de pruebas merece protección a pesar de la vulneración de la personalidad. (36)
45.      Concluyo de ello que existe una base jurídica nacional que establece los requisitos de admisibilidad y las modalidades de utilización de los datos personales en una situación como la controvertida en el litigio principal.
46.      En efecto, el Tribunal de Justicia ya ha precisado que es indiferente que el tratamiento de datos personales se base en una disposición de Derecho nacional material o procesal. (37) Añadió que «el Derecho del Estado miembro que se aplique al responsable del tratamiento», en el sentido del artículo 6, apartado 3, letra b), del RGPD, o la referencia a una «medida legislativa», en el artículo 23 de dicho Reglamento, no implican necesariamente la adopción de un acto legislativo por un parlamento, sino que abarca también la jurisprudencia nacional, siempre que sea clara y precisa y su aplicación sea previsible para los justiciables, de conformidad con la jurisprudencia del Tribunal de Justicia y del Tribunal EDH. (38)
47.      Por consiguiente, incumbe al órgano jurisdiccional remitente identificar las disposiciones pertinentes del Derecho nacional, así como la jurisprudencia del Estado miembro correspondiente, aplicarlas y comprobar si, por una parte, son conformes con los principios de equivalencia y de efectividad y responden a un objetivo de interés público y, por otra parte, si son necesarias y proporcionadas a dicho objetivo, de modo que puedan estar comprendidas en los supuestos de tratamiento de datos personales considerados lícitos en virtud de lo dispuesto en el artículo 6, apartado 3, letra b), del RGPD, en relación con su artículo
23, apartado 1. (39)
48.      Por lo tanto, corresponde al órgano jurisdiccional remitente, que es el único competente para interpretar el Derecho nacional y la jurisprudencia nacional, determinar la admisibilidad de las pruebas que incluyan datos personales y sus modalidades de utilización, que dependerán de las circunstancias del caso y del tipo de procedimiento de que se trate.
Conclusión
49.      A la luz de las consideraciones anteriores, propongo al Tribunal de Justicia que responda a la tercera cuestión prejudicial, letra b), planteada por el Landesarbeitsgericht Niedersachsen (Tribunal Regional de lo Laboral de Baja Sajonia, Alemania) del siguiente modo:
«El artículo
5, apartado
1, letra e), del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva
95/46/CE (Reglamento general de protección de datos), en relación con el artículo
6 de dicho Reglamento,
debe interpretarse en el sentido de que:
el principio de “limitación del plazo de conservación”, establecido en esta disposición, no se opone a que un órgano jurisdiccional nacional pueda efectuar, en el marco de su actividad judicial, el tratamiento de los datos que han sido obtenidos recurriendo a otros datos cuya recogida inicial o conservación se ha llevado a cabo infringiendo dicho principio.
Corresponde al órgano jurisdiccional nacional velar por que las modalidades de utilización de esos datos personales en el marco de su actividad judicial tengan su fundamento en el Derecho nacional aplicable, sean conformes con los principios de equivalencia y de efectividad, respondan a un objetivo de interés público y sean necesarias y proporcionadas a dicho objetivo.»
1      Lengua original: francés.
2      Reglamento del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos (DO 2016, L 119, p. 1; en lo sucesivo, «RGPD»).
3      BGBl. 2005 I, p. 3202.
4      BGBl. 2017 IS., p. 2097.
5      En lo sucesivo, «Carta».
6      Considero que, por «posterior actividad judicial de tratamiento » en el marco de una actividad judicial, el órgano jurisdiccional remitente se refiere tanto a la admisibilidad de los datos personales presentados como prueba en el proceso como a su utilización, en el marco del procedimiento, para fundamentar su decisión.
7      Sin embargo, albergo algunas dudas en cuanto a los largos períodos de tiempo o a la fecha lejana en el pasado a los que hace referencia el órgano jurisdiccional remitente. En efecto, de los autos se desprende que es objeto de controversia la cuestión de si, entre el final de la relación laboral entre NTH y la demandada, que tuvo lugar el 31 de octubre de 2019, y la separación de los cónyuges, que tuvo lugar el 26 de junio de 2022, la demandada siguió accediendo a los locales de la empresa y utilizando los ordenadores que allí se encontraban con fines profesionales o exclusivamente privados. Si bien corresponde en última instancia al órgano jurisdiccional remitente pronunciarse a este respecto, en el marco de las presentes conclusiones, a la vista del tenor de la tercera cuestión prejudicial, letra b), partiré de la premisa de que la recogida y la conservación de los datos iniciales se llevaron a cabo infringiendo el principio de limitación del plazo de conservación de los datos.
8      A este respecto, ha de señalarse que, como afirma esencialmente la Abogada General Ćapeta en sus conclusiones presentadas en el asunto Norra Stockholm Bygg (C‑268/21, EU:C:2022:755), punto 20, cabe considerar que, en la medida en que un primer tratamiento de datos personales deba ser declarado ilícito a la luz del RGPD, el tratamiento posterior de esos mismos datos con otro fin también adolecería, por extensión, de ilicitud.
9      Véase, en este sentido, la sentencia de 24 de marzo de 2022, Autoriteit Persoonsgegevens (C‑245/20, EU:C:2022:216), apartados 25 y 34.
10      Véanse las sentencias de 20 de octubre de 2022, Digi (C‑77/21, en lo sucesivo, «sentencia Digi», EU:C:2022:805), apartado 49 y jurisprudencia citada; de 2 de marzo de 2023, Norra Stockholm Bygg (C‑268/21, en lo sucesivo, «sentencia Norra Stockholm Bygg», EU:C:2023:145), apartado 29, y de 4 de mayo de 2023, Bundesrepublik Deutschland (Buzón electrónico judicial) (C‑60/22, EU:C:2023:373), apartado 57 y jurisprudencia citada.
11      Véase la sentencia de 4 de octubre de 2024, Koninklijke Nederlandse Lawn Tennisbond, (C‑621/22, EU:C:2024:858), apartado 29 y jurisprudencia citada.
12      Debo señalar que, si bien el Gobierno finlandés sostiene que los actos de tratamiento de datos efectuados en el marco de una actividad judicial constituyen un tratamiento comprendido en el ámbito de aplicación del artículo 6, apartado 1, letra c), del RGPD, y aunque el órgano jurisdiccional remitente hace referencia a dicha disposición en la petición de decisión prejudicial, de los autos no se desprende que el tratamiento de los datos controvertidos en el litigio principal sea necesario para el cumplimiento de una obligación legal aplicable a dicho órgano jurisdiccional.
13      Véase la sentencia Digi, apartado 23 y jurisprudencia citada.
14      Véase la sentencia Digi, apartados 53 y 54.
15      Véanse las conclusiones del Abogado General Pikamäe presentadas en el asunto Digi (C‑77/21, EU:C:2022:248), puntos 29, 30, 62 y 64.
16      Véase la sentencia de 7 de mayo de 2009, Rijkeboer (C‑553/07, EU:C:2009:293), apartados 33 y 35, que se refería al artículo 6, apartado 1, letra e), de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (DO 1995, L 281, p. 31), cuya norma correspondiente se reproduce en el artículo 5, apartado 1, letra e), del RGPD; véase también la sentencia Digi, apartado 59.
17      Véase la sentencia de 11 de diciembre de 2019, Asociaţia de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2019:1064), apartado 29.
18      Véase, por analogía, la sentencia de 2 de marzo de 2021, Prokuratuur (Condiciones de acceso a los datos relativos a las comunicaciones electrónicas) (C‑746/18, EU:C:2021:152), apartado 42.
19      Véase la sentencia de 3 de abril de 2025, Ministerstvo zdravotnictví (Datos relativos al representante de una persona jurídica) (C‑710/23, EU:C:2025:231), apartado 40.
20      «[…] En lo que respecta al tratamiento de datos personales para el cumplimiento de una obligación legal, para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento, los Estados miembros deben estar facultados para mantener o adoptar disposiciones nacionales a fin de especificar en mayor grado la aplicación de las normas del presente Reglamento. […]»
21      «Aunque el presente Reglamento se aplica, entre otras, a las actividades de los tribunales y otras autoridades judiciales, en virtud del Derecho de la Unión o de los Estados miembros pueden especificarse las operaciones de tratamiento y los procedimientos de tratamiento en relación con el tratamiento de datos personales por los tribunales y otras autoridades judiciales. […]»
22      «Cuando se realice en cumplimiento de una obligación legal aplicable al responsable del tratamiento, o si es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos, el tratamiento debe tener una base en el Derecho de la Unión o de los Estados miembros. […]»
23      Véanse las sentencias Norra Stockholm Bygg, apartado 32, y de 3 de abril de 2025, Ministerstvo zdravotnictví (Datos relativos al representante de una persona jurídica) (C‑710/23, EU:C:2025:231), apartado 37.
24      El Gobierno alemán añade que el tratamiento de datos personales por parte del órgano jurisdiccional remitente también puede estar comprendido en el objetivo de protección de la independencia judicial y de los procedimientos judiciales, establecido en el artículo 23, apartado 1, letra f), del RGPD.
25      Véanse, en este sentido, la sentencia de 24 de febrero de 2022, Valsts ieņēmumu dienests (Tratamiento de datos personales con fines fiscales) (C‑175/20, en lo sucesivo, «sentencia Valsts ieņēmumu dienests», EU:C:2022:124), apartado 51, y las conclusiones del Abogado General Pikamäe presentadas en el asunto
I. (Venta de una base de datos) (C‑693/22, EU:C:2024:162), puntos 85 a 88.
26      Véase la sentencia Norra Stockholm Bygg, apartado 49. La cuestión más específica de la ponderación del derecho a la protección de los datos personales y del derecho a la tutela judicial efectiva forma parte de la tercera cuestión prejudicial, letra d), que no es objeto de las presentes conclusiones.
27      Véase, en este sentido, la sentencia de 22 de junio de 2021, Latvijas Republikas Saeima (Puntos por infracciones de tráfico) (C‑439/19, EU:C:2021:504), apartado 105 y jurisprudencia citada.
28      Véase, en este sentido, la sentencia Valsts ieņēmumu dienests, apartado 83 y jurisprudencia citada, en la que se planteaba, en particular, la cuestión del cumplimiento del requisito de proporcionalidad, al que da expresión el artículo 5, apartado 1, letra c), del RGPD. A este respecto, ha de señalarse que la tercera cuestión prejudicial, letra a), que no es objeto de las presentes conclusiones, se refiere más concretamente al examen de la proporcionalidad.
29      Véanse las sentencias de 2 de marzo de 2021, Prokuratuur (Condiciones de acceso a los datos relativos a las comunicaciones electrónicas) (C‑746/18, EU:C:2021:152), apartados 41 a 44, y de 5 de abril de 2022, Commissioner of An Garda Síochána y otros (C‑140/20, EU:C:2022:258), apartado 127.
30      En lo sucesivo, «Tribunal EDH».
31      Firmado en Roma el 4 de noviembre de 1950.
32      Véanse, TEDH, sentencias de 12 de mayo de 2000, Khan c. Reino Unido (CE:ECHR:2000:0512JUD003539497), § 34 y jurisprudencia citada, y de 10 de marzo de 2009, Bykov c. Rusia (CE:ECHR:2009:0310JUD000437802), §§ 88 y 89 y jurisprudencia citada. Véanse también, TEDH, sentencias de 15 de enero de 2015, Dragojević c. Croacia (CE:ECHR:2015:0115JUD006895511), § 129, y de 16 de febrero de 2021, Budak c. Turquía (CE:ECHR:2021:0216JUD006976212), § 71, en las que el Tribunal EDH añadió que, para determinar si el procedimiento en su conjunto ha sido equitativo, es preciso examinar si se ha respetado el derecho de defensa, lo que implica, en particular, examinar si el demandante tuvo la posibilidad de impugnar la autenticidad de las pruebas y de oponerse a su utilización, así como tomar en consideración la calidad de las pruebas, sobre todo si las circunstancias en las que se obtuvieron suscitan dudas sobre su fiabilidad o su exactitud.
33      Véase la sentencia de 6 de octubre de 2020, La Quadrature du Net y otros (C‑511/18, C‑512/18 y C‑520/18, EU:C:2020:791), apartados 221, 222 y 225 a 227, que se refiere, entre otras, a la cuestión de si el Derecho de la Unión se opone a un uso, en el marco de un proceso penal, de la información y de las pruebas que se han obtenido incumpliendo los requisitos derivados de la Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas) (DO 2002, L 201, p. 37).
34      El Gobierno alemán añade que los artículos 138, 286, 355 y ss. de la Ley de Enjuiciamiento Civil se refieren en general a la determinación de los hechos relevantes a efectos de la sentencia, y que las disposiciones del artículo 286 de dicha Ley, en relación con el artículo 103, apartado 1, de la Ley Fundamental, implican que los órganos jurisdiccionales están obligados, en principio, a tomar en consideración los hechos expuestos por las partes y las pruebas que aporten.
35      Véase Bundesverfassungsgericht (Tribunal Constitucional Federal), resolución de 9 de octubre de 2002 (1 BVR 1611/96, BVerfGE 106, 28‑51, DE:BVerfG:2002:rs20021009.1bvr161196), apartado 60.
36      De este modo, la Sala Segunda del Bundesarbeitsgericht (Tribunal Supremo de lo Laboral) consideró, mediante sentencia de 29 de junio de 2023 (2 AZR
297/22, DE:BAG:2023:290623.U.2AZR297.22.0), que tal conclusión resultaba con total claridad del artículo 17 del RGPD. El Gobierno alemán confirma esta interpretación de la sentencia de que se trata. Añade, en esencia, que, de conformidad con esta jurisprudencia, el órgano jurisdiccional también puede verse inducido a descartar determinados medios de prueba cuando su utilización constituya una vulneración grave de los derechos fundamentales de una parte en el proceso. A este respecto, ha de precisarse que la cuestión de la posibilidad de que un justiciable pueda ejercer sus derechos cuando tenga un interés probatorio legítimo forma parte más concretamente de la tercera cuestión prejudicial, letra c), que no es objeto de las presentes conclusiones.
37      Véase la sentencia Norra Stockholm Bygg, apartado 40.
38      Véanse el considerando 41 del RGPD y, en este sentido, las sentencias Valsts ieņēmumu dienests, apartados 52 y 56, y de 12 de septiembre de 2024, HTB Neunte Immobilien Portfolio y Ökorenta Neue Energien Ökostabil IV (C‑17/22 y C‑18/22, EU:C:2024:738), apartado 71.
39      De este modo, el Tribunal de Justicia ya ha considerado que unas disposiciones de Derecho nacional que tienen por objeto la presentación de un documento como prueba pueden estar comprendidas en los casos de tratamiento de datos personales considerados lícitos en virtud de lo dispuesto en el artículo 6, apartados 3 y 4, del RGPD, en relación con el artículo 23, apartado 1, letras f) y j), de este (véase la sentencia Norra Stockholm Bygg, apartado 45), o incluso que, cuando un órgano jurisdiccional ejerce las competencias jurisdiccionales que le confiere el Derecho nacional, el tratamiento de datos personales que dicho órgano jurisdiccional ha de efectuar debe considerarse necesario para la finalidad enunciada en el artículo 6, apartado 1, párrafo primero, letra e), de dicho Reglamento [véase la sentencia de 4 de mayo de 2023, Bundesrepublik Deutschland (Buzón electrónico judicial), C‑60/22, EU:C:2023:373, apartado 73].