Edición provisional
CONCLUSIONES DE LA ABOGADA GENERAL
SRA. LAILA MEDINA
presentadas el 23 de octubre de 2025 (1)
Asuntos acumulados C‑258/23 a C‑260/23
IMI — Imagens Médicas Integradas, S. A. (C‑258/23),
Synlabhealth II, S. A. (C‑259/23),
SIBS — Sociedade Gestora de Participações Sociais, S. A.,
SIBS, Cartões — Produção e Processamento de Cartões, S. A.,
SIBS Processos — Serviços Interbancários de Processamento, S. A.,
SIBS International, S. A.,
SIBS Pagamentos, S. A.,
SIBS Gest, S. A.,
SIBS Forward Payment Solutions, S. A.,
SIBS MB, S. A. (C‑260/23)
contra
Autoridade da Concorrência
[Petición de decisión prejudicial planteada por el Tribunal da Concorrência, Regulação e Supervisão (Tribunal de Competencia, Regulación y Supervisión, Portugal)]
« Procedimiento prejudicial — Infracción de las normas en materia de competencia — Incautación de documentos profesionales — Orden emitida por el Ministerio Fiscal — Carta de los Derechos Fundamentales de la Unión Europea — Artículo 8 — Vulneración del derecho al respeto de los datos de carácter personal — Autorización judicial previa »
Introducción
1.        En mis conclusiones presentadas el 20 de junio de 2024 en los presentes asuntos acumulados, (2) propuse a la (antigua) Cuarta Sala del Tribunal de Justicia que el artículo 7 de la Carta de los Derechos Fundamentales de la Unión Europea (3) se interpretara en el sentido de que no se opone a la normativa de un Estado miembro en virtud de la cual, en el marco de una investigación por infracción de los artículos 101 TFUE o 102 TFUE, la autoridad nacional de competencia procede a la incautación de correos electrónicos cuyo contenido está relacionado con el objeto de la inspección sin disponer de una autorización judicial previa. Sin embargo, esta consideración está sujeta a que se establezcan una regulación legal estricta de las facultades de la autoridad de competencia y garantías adecuadas y suficientes contra el abuso y la arbitrariedad. Tales garantías deben adoptar, en particular, la forma de un control jurisdiccional a posteriori completo de las medidas en cuestión. (4)
2.        Tras la sentencia de 4 de octubre de 2024 dictada en el asunto Bezirkshauptmannschaft Landeck, (5) el Tribunal de Justicia decidió, a instancia de la (antigua) Cuarta Sala y con arreglo al artículo 60, apartado 3, del Reglamento de Procedimiento del Tribunal de Justicia, atribuir los presentes asuntos a la Gran Sala. En dicha sentencia, el Tribunal de Justicia declaró, en particular, que el artículo 4, apartado 1, letra c), de la Directiva (UE) 2016/680, (6) a la luz de los artículos 7, 8 y 52, apartado 1, de la Carta, no se opone a una normativa nacional que concede a las autoridades competentes la posibilidad de acceder a los datos personales contenidos en un teléfono móvil con el fin de prevenir, investigar, detectar y perseguir infracciones penales. Sin embargo, el Tribunal de Justicia declaró que el ejercicio de esta posibilidad debe estar sometido, entre otras condiciones, al control previo de un órgano jurisdiccional o de una entidad administrativa independiente, salvo en casos de urgencia debidamente justificados. (7)
3.        En el marco de las presentes conclusiones complementarias, el Tribunal de Justicia me ha invitado a examinar si las enseñanzas de la sentencia Landeck deben tenerse en cuenta para responder al órgano jurisdiccional remitente de los presentes asuntos, en particular por lo respecta a la tercera cuestión prejudicial. El Tribunal de Justicia considera necesario determinar si la exigencia de control previo de un órgano jurisdiccional o de una entidad administrativa independiente puede transponerse a las investigaciones realizadas en materia de competencia para identificar infracciones de los artículos 101 TFUE o 102 TFUE, en especial, cuando los correos electrónicos incautados por la autoridad nacional de competencia y los documentos resultantes de esos correos contienen datos de carácter personal.
4.        Por consiguiente, las presentes conclusiones recogen el razonamiento expuesto en mis primeras conclusiones con arreglo a la nueva petición del Tribunal de Justicia. Por lo que respecta a la exposición detallada del marco jurídico, de los antecedentes del litigio, de los procedimientos principales y del procedimiento ante el Tribunal de Justicia, me permito remitirme a los puntos 3 a 19 de mis primeras conclusiones. Dicha exposición solo precisa ser completada con la indicación de que, tras la reapertura de la fase oral del procedimiento, la Gran Sala del Tribunal de Justicia celebró una vista oral el 3 de junio de 2025, en la que participaron las partes del procedimiento principal, los Gobiernos portugués, helénico, finlandés y sueco, la Comisión Europea y el Órgano de Vigilancia de la AELC.
Apreciación
5.        Procede recordar que, mediante la tercera cuestión prejudicial planteada en los presentes asuntos, el órgano jurisdiccional remitente desea que se dilucide, en esencia, si el artículo 7 de la Carta se opone a la incautación, sin autorización previa de una autoridad judicial, de los correos electrónicos intercambiados entre los administradores y los empleados de una empresa y de los documentos profesionales resultantes de esos correos, en el marco de una investigación de acuerdos y prácticas prohibidos por los artículos 101 TFUE y 102 TFUE. (8) Más específicamente, el órgano jurisdiccional remitente se pregunta si tal incautación puede ser autorizada por una entidad como el Ministerio Fiscal portugués al que, según dicho órgano jurisdiccional, incumbe representar al Estado, defender los intereses determinados por la ley y ejercer la acción penal sobre la base del principio de legalidad. (9)
6.        Procede comenzar señalando que, según el tenor de su cuestión prejudicial, el órgano jurisdiccional remitente se limita a recabar del Tribunal de Justicia la interpretación del artículo 7 de la Carta en el contexto de las incautaciones, normalmente efectuadas por las autoridades nacionales de competencia, de correos electrónicos de carácter profesional intercambiados entre los administradores y los empleados de las empresas investigadas. No obstante, en la medida en que estas incautaciones pueden afectar no solo a comunicaciones comprendidas en el ámbito de aplicación del artículo 7 de la Carta, (10) sino también, de manera consustancial, a datos de carácter personal protegidos por el artículo 8 de la Carta, procede examinar igualmente esta cuestión desde el punto de vista de esta última disposición para dar una respuesta útil al órgano jurisdiccional remitente. (11)
7.        A este respecto, procede recordar que el artículo 8 de la Carta proclama, en su apartado 1, el derecho a la protección de los datos de carácter personal. Este artículo también impone, en su apartado 2, que esos datos se traten respetando determinadas condiciones, de lo que depende la licitud del tratamiento en cuestión. (12) Aunque su naturaleza es diferente, (13) el derecho a la protección de los datos de carácter personal se halla íntimamente ligado al respeto de la vida privada y familiar consagrado en el artículo 7 de la Carta, al que completa. (14)
8.        Por otra parte, el derecho a la protección de los datos de carácter personal se opone a que terceros recojan información relativa a personas físicas identificadas o identificables o tengan acceso a dicha información, ya sean esos terceros autoridades públicas o el público en general, salvo que la recogida o el acceso se produzca en virtud de un tratamiento que responda a las exigencias establecidas en el artículo 8, apartado 2, de la Carta. (15) Fuera de este supuesto, debe considerarse que la recogida de datos de carácter personal y el acceso a estos, que constituyen un tratamiento de dichos datos, (16) limitan el derecho garantizado en el artículo 8, apartado 1, de la Carta. (17)
9.        En el caso que nos ocupa, en relación con los correos electrónicos intercambiados entre los administradores y los empleados de una empresa y a los documentos profesionales resultantes de esos correos, es evidente que, habida cuenta de que dichos correos electrónicos y documentos también pueden contener datos personales en el sentido del artículo 4, punto 1, del Reglamento general de protección de datos, (18) la incautación efectuada por una autoridad nacional de competencia en el marco de una investigación constituye una limitación al ejercicio del derecho garantizado por el artículo 8 de la Carta.
10.      Sin embargo, de reiterada jurisprudencia se desprende que el derecho fundamental a la protección de los datos de carácter personal no constituye una prerrogativa absoluta, sino que debe ser considerado en relación con su función en la sociedad y ponderarse con otros derechos fundamentales. (19) Así pues, podrán introducirse limitaciones a ese derecho, siempre que, de conformidad con el artículo 52, apartado 1, de la Carta, sean establecidas por la ley y respeten el contenido esencial del derecho fundamental y el principio de proporcionalidad. (20)
11.      En primer lugar, por lo que respecta a la exigencia relativa a la previsión legal, esta exigencia implica que la base jurídica que autorice una limitación a un derecho fundamental habrá de definir con suficiente claridad y precisión el alcance de tal limitación. (21)
12.      A este respecto, ha de señalarse que el Reglamento general de protección de datos, que es aplicable a las autoridades nacionales de competencia en el marco de las investigaciones que llevan a cabo, (22) dispone, en particular, en su artículo 6, apartado 1, letra e), que el tratamiento de datos será lícito cuando sea necesario para el cumplimiento de una misión realizada en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Según la jurisprudencia del Tribunal de Justicia, esta disposición, leída en relación con el artículo 6, apartado 3, de dicho Reglamento, (23) exige una base jurídica que sirva de fundamento al tratamiento de datos personales por los responsables de ese tratamiento que actúen en el marco de la ejecución de una misión inherente al ejercicio de la autoridad pública. (24)
13.      En el presente asunto, corresponderá al órgano jurisdiccional remitente examinar esos elementos de manera concreta. Sin embargo, por un lado, es meridiano que el tratamiento de datos personales, cuando se inscribe en el marco de una investigación efectuada por una autoridad nacional de competencia, es inherente al ejercicio de la potestad pública. (25) Por otro lado, como apunté en mis primeras conclusiones, (26) las diligencias controvertidas en los procedimientos principales se basan en artículos de la lei n.º 19/2012 (novo regime jurídico da concorrência) [Ley n.º 19/2012 (Nuevo Régimen Jurídico de la Competencia)], de 8 de mayo de 2012, que permiten incautar documentación profesional para obtener pruebas de comportamientos contrarios a la competencia.
14.      De ello resulta que, aunque la incautación de correos electrónicos por la autoridad nacional de competencia de que se trata en los procedimientos principales constituye una limitación al derecho garantizado en el artículo 8 de la Carta, esta limitación cuenta con una cobertura jurídica de conformidad con la primera exigencia establecida en el artículo 52, apartado 1, de la Carta.
15.      En segundo lugar, por lo que respecta a la exigencia relativa al respeto del contenido esencial del derecho a la protección de los datos de carácter personal, la doctrina subraya la dificultad de identificar el núcleo duro de ese derecho. (27) A esta dificultad se añade la de trazar una clara línea de demarcación entre el derecho al respeto de la vida privada, al que se refiere el artículo 7 de la Carta, y el derecho a la protección de los datos de carácter personal, contemplado en el artículo 8 de la Carta. (28)
16.      En cualquier caso, observo que, en su jurisprudencia, el Tribunal de Justicia tiende a considerar que solo una recogida ilimitada de datos contenidos en comunicaciones electrónicas o un acceso generalizado a dichos datos por las autoridades públicas, sin que se prevean garantías específicas contra los tratamientos ilegales con el fin de proteger tales datos, puede menoscabar el contenido esencial del derecho fundamental a la protección de los datos personales. (29)
17.      En este caso, sin perjuicio de las comprobaciones que incumbe realizar al órgano jurisdiccional remitente, procede señalar que la incautación de la correspondencia profesional entre administradores y empleados de una empresa investigada no conlleva, por lo general, una recogida ilimitada de datos de carácter personal ni un acceso generalizado a estos. Como indiqué en mis primeras conclusiones, (30) la incautación de dicha correspondencia viene limitada por el objeto de la investigación definido en la resolución de inspección, de lo que resulta que la recogida de datos de tal correspondencia quede restringida a los datos que guarden relación con las prácticas contrarias a la competencia investigadas. Además, los datos de carácter personal que hayan sido recogidos no pueden utilizarse para fines distintos de la identificación del comportamiento contrario a la competencia que es objeto de la investigación. Por último, como explicaré más adelante en las presentes conclusiones, (31) la incautación de una correspondencia profesional por una autoridad nacional de competencia se rige generalmente por garantías de procedimiento adicionales destinadas a salvaguardar, en particular, la seguridad, la integridad y la confidencialidad de esos datos.
18.      De ello se deduce que, siempre que la incautación de los correos electrónicos que son objeto de los procedimientos principales no haya dado lugar a una recogida generalizada de datos de carácter personal, en los términos de la jurisprudencia del Tribunal de Justicia, no puede considerarse que dicha incautación menoscabe el contenido esencial del artículo 8 de la Carta.
19.      En tercer lugar, por lo que respecta al principio de proporcionalidad, procede recordar que, según reiterada jurisprudencia del Tribunal de Justicia, solo podrán introducirse limitaciones al derecho a la protección de los datos de carácter personal cuando sean necesarias y respondan efectivamente a objetivos de interés general reconocidos por la Unión o a la necesidad de protección de los derechos y libertades de los demás. Además, dichas limitaciones no deben exceder de lo estrictamente necesario y la normativa que autorice una injerencia de esta índole debe establecer reglas claras y precisas que regulen el alcance y la aplicación de la medida en cuestión. (32)
20.      En primer término, como señalé en mis primeras conclusiones, (33) las incautaciones efectuadas por las autoridades nacionales de competencia cuando estas aplican, de conformidad con los artículos 3, apartado 1, y 5 del Reglamento (CE) n.º 1/2003, (34) los artículos 101 TFUE y 102 TFUE, tienen por objeto detectar prácticas contrarias a estas últimas disposiciones, que son de orden público. Dichas disposiciones prohíben las prácticas colusorias y los abusos de posición dominante, respectivamente, y persiguen el objetivo, indudablemente de interés general, de garantizar que no se falsee la competencia en el mercado interior. Esta formulación, que resulta de la jurisprudencia del Tribunal de Justicia sobre el artículo 7 de la Carta, (35) es plenamente aplicable en el ámbito del artículo 8 de esta.
21.      En segundo término, con el fin de perseguir el objetivo de identificar prácticas contrarias a la competencia en el mercado interior, no parece que ningún otro medio de igual eficacia y menos atentatorio respecto del derecho a la protección de los datos de carácter personal (36) pueda representar una alternativa a la incautación de los correos electrónicos intercambiados entre los administradores y los empleados de una empresa a través del servicio de correo electrónico interno de dicha empresa, puesto que dichos correos electrónicos constituyen una de las principales fuentes que las autoridades de competencia tienen a su disposición para poder detectar la existencia de un comportamiento contrario a la competencia en el mercado interior. El propio artículo 20, apartado 2, del Reglamento n.º 1/2003 permite, como facultad de la Comisión en materia de inspección, la posibilidad de que se efectúen tales incautaciones, (37) lo que el legislador europeo también ha establecido para las autoridades nacionales de competencia desde la adopción de la Directiva (UE) 2019/1, (38) en particular, en el artículo 6, apartado 1, letra c), de esta. Por consiguiente, las incautaciones de correos electrónicos profesionales y la recogida de los datos personales que estos contengan deben considerarse necesarias para perseguir el objetivo de interés general de proteger la competencia en el mercado interior.
22.      En tercer término, en lo relativo al carácter proporcionado de la limitación que implica la incautación de correos electrónicos intercambiados entre los administradores y los empleados de empresas, en particular, para el derecho fundamental garantizado en el artículo 8 de la Carta, el Tribunal de Justicia ha declarado que dicho carácter debe ser apreciado en el contexto en el que se inscribe tal limitación, ponderando el conjunto de elementos pertinentes en cada caso concreto. (39) Según la sentencia Landeck, (40) entre tales elementos se encuentran la gravedad de la limitación impuesta al ejercicio del derecho fundamental en cuestión, la importancia del objetivo de interés general perseguido por dicha limitación, la relación existente entre el propietario de la documentación incautada y la infracción de que se trate o la pertinencia de los datos para comprobar los hechos. (41)
23.      En cuanto a la gravedad de la limitación, esta debe apreciarse, según la jurisprudencia del Tribunal de Justicia, teniendo en cuenta la naturaleza y la sensibilidad de los datos a los que puedan acceder las autoridades públicas. (42) En particular, si el acceso al conjunto de esos datos puede permitir a las autoridades públicas extraer conclusiones «muy precisas» sobre la vida privada del interesado, como sus hábitos de vida cotidiana, los lugares en que reside permanente o temporalmente, sus desplazamientos, las actividades que ejerce, sus relaciones sociales y los círculos sociales que frecuenta, la injerencia en el derecho fundamental protegido por el artículo 8 de la Carta debe considerarse grave, cuando no particularmente grave. (43) Este es el caso igualmente cuando no pueda excluirse que la información de que se trate contenga datos particularmente sensibles, (44) como los que revelan el origen étnico o racial, las opiniones políticas o las convicciones religiosas o filosóficas. (45)
24.      En el presente asunto, debe señalarse que, según el tenor de la petición de decisión prejudicial, la cuestión planteada por el órgano jurisdiccional remitente se refiere a la incautación de correos electrónicos profesionales intercambiados entre los administradores y los empleados de una empresa sometida a inspección en sus locales profesionales o comerciales. (46) Como ya se ha indicado en las presentes conclusiones, es notorio —y, por lo tanto, no procede fundamentar esta afirmación— que, en esos correos electrónicos o en los documentos profesionales adjuntos a ellos, pueden encontrarse datos de carácter personal.
25.      Sin embargo, en mi opinión, la presente situación no es comparable a la examinada por el Tribunal de Justicia en la sentencia Landeck, que tenía por objeto la incautación, por autoridades policiales que actuaban en un domicilio particular, del teléfono móvil personal de una persona física sospechosa de haber cometido una infracción penal y el «acceso completo y no controlado» (47) a todos los datos almacenados en dicho teléfono. Tampoco puede asimilarse a las situaciones a las que se refieren las numerosas sentencias del Tribunal de Justicia relativas, en esencia, al acceso de las autoridades públicas a datos de tráfico o de localización conservados de manera generalizada e indiferenciada por proveedores de servicios de comunicaciones electrónicas. (48)
26.      En efecto, los teléfonos móviles son dispositivos que, en la actualidad, conservan en un solo espacio una gran cantidad de datos personales. Esto incluye los datos de identificación (identidad directa, datos de contacto), los datos de localización (geolocalización, historiales de llamadas y mensajes, navegación), los datos de conexión y de pago (identificadores en línea, datos bancarios) y los datos de aplicaciones y de uso, incluidos los ajustes personales. Entre estos datos, muchos de ellos están comprendidos, además, en alguna categoría especial de datos personales en el sentido del artículo 9 del Reglamento general de protección de datos, como, por ejemplo, los que informan sobre la biometría del interesado, su salud, su vida u orientación sexuales o su origen étnico o racial. A todos esos datos vienen a sumarse, igualmente, otros elementos con un elevado carácter personal, como las comunicaciones o las fotografías. (49) Habida cuenta de su número y variedad, (50) dichos datos pueden proporcionar una imagen muy detallada y exhaustiva de casi todos los ámbitos de la vida privada del interesado, sobre todo si se consideran en conjunto, como ya señaló el Tribunal de Justicia en la sentencia Landeck. (51) Esta consideración es válida, asimismo, como ya he indicado, para los datos conservados de forma generalizada e indiferenciada en servidores digitales de proveedores de servicios electrónicos.
27.      En cambio, considero, al igual que los Gobiernos portugués, helénico, finlandés y sueco, el Órgano de Vigilancia de la AELE y la Comisión, que los datos personales incluidos en correos electrónicos profesionales incautados durante una investigación en materia de competencia, en particular los intercambiados entre los administradores y los empleados de una empresa a través del servicio de correo electrónico interno de esta, no pueden ser objeto de una apreciación como la expuesta.
28.      Efectivamente, ni los correos electrónicos intercambiados entre los administradores y los empleados de una empresa ni los documentos profesionales resultantes de esos correos contienen, en principio, datos que puedan identificar, con la misma precisión y la misma intensidad que un teléfono móvil personal, los hábitos de vida cotidiana de los interesados. A este respecto, por un lado, procede señalar que las autoridades de competencia, cuando efectúan una investigación en los locales comerciales de una empresa, no buscan datos de carácter personal en sí, sino información de naturaleza comercial que pueda demostrar un comportamiento contrario a la competencia por parte de esa empresa. Esto significa que, salvo cuando tengan una pertinencia comercial y sean, por tanto, útiles para incriminar a una empresa, los datos personales resultantes de correos profesionales de administradores y de empleados de empresas solo se recogen a título accesorio. (52) Por otro lado, creo que, en este tipo de correos, los datos de carácter personal pueden aparecer más bien de forma dispersa durante la búsqueda de información comercial de una empresa. En este contexto, las autoridades de competencia, actuando proactivamente y fuera del ámbito de la investigación, (53) tendrían que establecer un sistema que combinase o asociase esos datos personales para que pudiera considerarse que estos permiten cartografiar una imagen detallada del interesado más allá de su esfera profesional, (54) algo que no es, en ningún caso, la finalidad de una investigación. (55)
29.      Por otra parte, aun cuando los correos electrónicos intercambiados entre los administradores y los empleados de una empresa pueden contener referencias a reuniones y viajes de estas personas —en principio, de carácter profesional—, esos correos no incluyen datos de localización o de tráfico de navegación que se hayan recopilado con el fin de establecer un perfil y puedan permitir efectuar un verdadero rastreo del recorrido de dichas personas. (56) Dichos correos tampoco pueden dar información, al mismo nivel que los teléfonos móviles o dispositivos personales similares, sobre las actividades privadas del titular de los datos que figuran en ellos ni sobre las relaciones y los medios sociales frecuentados por este. De nuevo, a falta de un sistema que pueda combinar o asociar todos esos datos, y que quedaría en todo caso fuera del ámbito de la investigación, no considero que pueda establecerse un perfil minucioso y pormenorizado de determinados aspectos personales de la vida de las personas físicas interesadas basándose únicamente en correos electrónicos profesionales.
30.      De ello se sigue que, a diferencia de lo declarado por el Tribunal de Justicia en la sentencia Landeck, la recogida de datos contenidos en correos electrónicos intercambiados entre los administradores y los empleados de una empresa a través del servicio de correo electrónico de esta y en los documentos profesionales resultantes de esos correos no permite, en principio, extraer conclusiones «muy precisas» sobre la vida privada del interesado, en el sentido exigido por la jurisprudencia. Por consiguiente, no puede considerarse que la injerencia en el derecho a la protección de los datos de carácter personal revista un nivel de gravedad elevado, (57) y menos aún que sea particularmente grave, contrariamente a lo que ocurría en el asunto que dio lugar a la sentencia Landeck. (58)
31.      En cuanto a los demás elementos que, de conformidad con la jurisprudencia citada en el punto 22 de las presentes conclusiones, deben tenerse en cuenta para apreciar el carácter proporcionado de una limitación del ejercicio del derecho fundamental garantizado en el artículo 8 de la Carta, procede señalar que el objetivo consistente en reprimir prácticas contrarias a la competencia de envergadura europea, con arreglo a los artículos 101 TFUE y 102 TFUE, es suficientemente importante para considerar que la injerencia causada por la recogida de los datos personales contenidos en correos electrónicos profesionales y por el posterior acceso a dichos datos no es desproporcionada. (59) Además, como ya he indicado, esa recogida y ese acceso son, en principio, accesorios en el marco de la búsqueda de información de naturaleza comercial, que está destinada a incriminar a la empresa investigada. De ello se desprende que, a diferencia de lo constatado por el Tribunal de Justicia en la sentencia Landeck, la recogida de datos personales en el marco de una investigación sobre competencia y el acceso a esos datos no tienen por objeto, en principio, demostrar la responsabilidad en materia de competencia de la persona física titular de dichos datos, sino solamente la de la persona jurídica con la que esa persona física mantiene una relación laboral. (60)
32.      Las consideraciones expuestas en los puntos anteriores abogan por que se considere que una injerencia como la que es objeto de los asuntos principales respeta el principio de proporcionalidad, lo que queda corroborado por el objetivo que persigue la incautación de correos electrónicos intercambiados entre los administradores y los empleados de una empresa. Sin embargo, como varias partes sostuvieron durante la vista, esa apreciación depende igualmente de que se respeten determinadas garantías de procedimiento adicionales. (61) Esas garantías coinciden, en esencia, con los principios recogidos en el artículo 5 del Reglamento general de protección de datos y suelen regir las incautaciones efectuadas por las autoridades nacionales de competencia con arreglo al Derecho de cada Estado miembro. (62) En el presente asunto, corresponde naturalmente al órgano jurisdiccional remitente comprobar que así sea en cuanto atañe a los asuntos principales.
33.      Así, primero, según principios ya bien conocidos, toda investigación efectuada por las autoridades nacionales de competencia debe basarse en una resolución de inspección debidamente motivada, que debe apoyarse, como de hecho menciona la sentencia Landeck, (63) en sospechas razonables sobre la existencia de una infracción, por parte de una empresa, de las normas en materia de competencia previstas por el Tratado. Como ya he indicado en las presentes conclusiones, (64) la resolución de inspección debe ser suficientemente precisa para circunscribir de manera efectiva el ámbito de la investigación, tanto material como temporalmente. En lo referente, concretamente, a los datos de carácter personal, la resolución de inspección debe garantizar que su recogida y el acceso a ellos, incluso a título accesorio, en la búsqueda de información comercial se limiten a lo estrictamente necesario para el objeto de la investigación y se dediquen exclusivamente a los fines de esta. (65) Además, si la investigación se lleva a cabo mediante un programa de investigación informática, como en realidad suele ocurrir, (66) el procedimiento de indexación que precede a la búsqueda de información comercial pertinente para la investigación ha de efectuarse utilizando palabras clave definidas de manera rigurosa con relación al objeto predeterminado de la investigación. Todas estas medidas deben permitir llevar a cabo una investigación respetando el principio de limitación de las finalidades y el principio de minimización de datos que rigen el tratamiento de dichos datos. (67)
34.      Segundo, para cumplir las exigencias de lealtad y transparencia que rigen el tratamiento de datos, (68) la autoridad nacional de competencia de que se trate debe informar a las personas físicas interesadas del eventual tratamiento de sus datos de carácter personal e informarlas de sus derechos de manera transparente y coherente. Por supuesto, el alcance de esta obligación de información puede limitarse cuando sea necesario para proteger la finalidad de la investigación, como prevé expresamente el artículo 23, apartado 1, del Reglamento general de protección de datos. Pues bien, al igual que lo establecido en la Decisión 2018/1927 para las inspecciones llevadas a cabo por la Comisión, (69) considero que la autoridad nacional de competencia debe tramitar todas esas limitaciones de forma transparente y dejar constancia de cada caso de limitación en el correspondiente registro.
35.      Tercero, de conformidad con el principio de limitación del plazo de conservación y con el principio de integridad y de confidencialidad, (70) los datos de carácter personal recogidos deben conservarse en un entorno seguro. A este respecto, el objetivo es impedir cualquier acceso o transferencia ilícitos de datos a personas que no tengan ninguna relación con la investigación y evitar cualquier alteración de tales datos. Además, las autoridades encargadas de la investigación deben conservar los datos de carácter personal únicamente durante el período de tiempo necesario para la investigación, que debe determinarse mediante criterios objetivos, (71) en particular, durante el procedimiento administrativo y los eventuales recursos judiciales. Por otra parte, la recogida de datos de carácter personal y, especialmente, el acceso a estos deben limitarse a un número lo más limitado posible de personas acreditadas o de inspectores, que deben estar sujetos a obligaciones de confidencialidad y a la prohibición de utilizar esos datos para objetivos distintos de los de la investigación. (72) Por último, debe preverse la eliminación de forma segura de los datos de carácter personal, ya sea por su falta de pertinencia para el objeto de la investigación, ya sea por el transcurso del período de tiempo aceptable para su conservación, mediante un mecanismo de supresión general que impida que puedan recuperarse ulteriormente.
36.      Cuarto, de nuevo para respetar la transparencia en el tratamiento de datos de carácter personal, es importante que la recogida de estos datos y el acceso a ellos mediante la selección de los documentos que resulten útiles para la investigación se efectúen en presencia de los representantes de la empresa. Estos deben tener la posibilidad de volver a revisar el conjunto de los documentos provisionales destinados a ser incorporados al expediente y, por ende, de poder comprobar qué datos de carácter personal contienen dichos documentos. También deben estar en condiciones de presentar reclamaciones contra la incorporación al expediente de documentos que contengan datos personales que, por un lado y de modo evidente, no sean pertinentes para la investigación y que, por otro lado, revistan un carácter particular o sensible, lo que debería conducir a los encargados de la investigación a redoblar la protección brindada a dichos datos. (73) Por otra parte, a la luz del principio de minimización ya mencionado, los datos de carácter personal contenidos en documentos incorporados al expediente de forma definitiva, pero no pertinentes como tales para la investigación, deberán ser objeto de un procedimiento de anonimización. Por último, de conformidad con el principio de responsabilidad, (74) es necesario que el responsable de la protección de datos en la autoridad investigadora examine de forma independiente la aplicación de las limitaciones al derecho a la protección de los datos de carácter personal para garantizar que se respeten.
37.      Las garantías descritas en los puntos anteriores, que vienen a sumarse a las obligaciones que las autoridades nacionales de competencia deben respetar con arreglo al Reglamento general de protección de datos, pueden evitar un acceso completo e indiscriminado al conjunto de los datos de una persona física. Por esta razón, siempre que tales garantías estén previstas de manera clara y precisa y se observen, debería considerarse que se cumple el principio de proporcionalidad que exige la aplicación del artículo 8 de la Carta, en particular, en el marco de la incautación de los correos electrónicos intercambiados entre empleados y administradores de una empresa y de los documentos profesionales resultantes de esos correos. Esto es tanto más cierto si se tiene en cuenta, como ya indiqué en mis primeras conclusiones, (75) el hecho de que el Tribunal Europeo de Derechos Humanos y el Tribunal de Justicia han reconocido, en su jurisprudencia, que la injerencia pública puede ir más lejos en el caso de los locales o las actividades profesionales o comerciales que en otros casos. (76)
38.      En este contexto, no considero que el derecho a la protección de los datos de carácter personal a que se refiere el artículo 8 de la Carta exija la autorización previa de una autoridad judicial en el marco de investigaciones llevadas a cabo en materia de Derecho de la competencia.
39.      Como se ha indicado en la introducción de las presentes conclusiones, en la sentencia Landeck, el Tribunal de Justicia declaró, en esencia, que el artículo 8 de la Carta no se opone a una normativa nacional que concede a las autoridades competentes la posibilidad de acceder a los datos contenidos en un teléfono móvil con el fin de prevenir, investigar, detectar y perseguir infracciones penales en general, siempre que el ejercicio de esta posibilidad esté sometido, entre otras condiciones, al control previo de un órgano jurisdiccional o de una entidad administrativa independiente, salvo en casos de urgencia debidamente justificados. (77) A este respecto, el Tribunal de Justicia consideró que, en particular para garantizar el respeto del principio de proporcionalidad en cada caso concreto, ponderando el conjunto de elementos pertinentes, es esencial que, cuando el acceso de las autoridades nacionales competentes a los datos personales entrañe el riesgo de una injerencia grave o particularmente grave en los derechos fundamentales del interesado, ese acceso esté sometido a un control previo. (78)
40.      A este respecto, me gustaría empezar señalando que la exigencia de una autorización judicial previa ya está prevista en el Derecho de la Unión para los casos en que la investigación llevada a cabo por la autoridad nacional de competencia tenga lugar en el domicilio privado de los administradores o de los empleados de una empresa o en locales privados pertenecientes a esas personas. (79) El objetivo de esta norma es proteger uno de los lugares más sensibles de la vida privada de una persona, como ocurría precisamente en el asunto que dio lugar a la sentencia Landeck, en el que la incautación controvertida se realizó en el domicilio de la persona sospechosa de haber cometido una infracción penal.
41.      Por otra parte, de la jurisprudencia se desprende que las exigencias que conlleva la protección de un derecho fundamental contemplado en la Carta pueden ampliarse cuando, con arreglo a la legislación nacional, las pruebas obtenidas durante una investigación puedan utilizarse en un proceso seguido contra una persona física para demostrar que esta ha cometido una infracción penal. (80) De ello se desprende, en relación con el derecho a la protección de los datos de carácter personal establecido en el artículo 8 de la Carta, que puede imponerse la exigencia de una autorización judicial previa cuando los datos personales contenidos en documentos incautados por una autoridad nacional de competencia se utilicen no solo para demostrar la responsabilidad de una empresa en la infracción de las normas de competencia del Tratado, sino también para determinar la responsabilidad penal de una persona física por comportamientos contrarios a la competencia, si esto está previsto en el Derecho nacional del Estado miembro.
42.      Sin embargo, al margen de los supuestos que se refieren, en particular, por un lado, a la incautación de correos electrónicos que contengan datos de carácter personal en el domicilio privado de una persona y, por otro lado, a la incautación de tales correos para incriminar penalmente a una persona física, como en la sentencia Landeck, no considero que el artículo 8 de la Carta exija una autorización previa en sí. Son aplicables aquí las mismas consideraciones que las que han llevado a la jurisprudencia del TEDH y del Tribunal de Justicia a concluir que, en el marco del artículo 7 de la Carta, no es exigible una autorización judicial previa para las inspecciones en materia de competencia efectuadas en los locales de las sociedades, como expliqué en mis primeras conclusiones, (81) a las que me permito remitirme.
43.      En particular, no me parece que la incautación por una autoridad nacional de competencia de correos electrónicos intercambiados entre los administradores y los empleados de una empresa menoscabe el principio de proporcionalidad, sin perjuicio de las consideraciones siguientes. La incautación debe estar sujeta, por un lado, a garantías de procedimiento, como las descritas en las presentes conclusiones, y, por otro lado, a un control jurisdiccional a posteriori, que puede realizarse durante el procedimiento de investigación y dedicarse, en particular, a comprobar si se respetan esas garantías a la luz del artículo 8 de la Carta. (82) La reciente jurisprudencia del Tribunal Europeo de Derechos Humanos relativa al artículo 8 del Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales, hecho en Roma el 4 de noviembre de 1950, abunda en este sentido, como demuestran sus sentencias de 6 de febrero de 2025, Italgomme Pneumatici Srl y otros c. Italia, (83) y de 18 de marzo de 2025, BRD — Groupe Société Générale S. A. c. Rumanía. (84)
44.      Por otra parte, por lo que respecta al argumento de que una autorización judicial previa podría garantizar en mayor medida que se respete el principio de proporcionalidad, como consideró el Tribunal de Justicia en la sentencia Landeck, debe señalarse que si el juez nacional, en el marco de un control a posteriori disponible durante el procedimiento de investigación, observa que las autoridades nacionales de competencia han violado dicho principio como consecuencia de la inobservancia de las garantías de procedimiento, esto puede poner en entredicho la información recopilada durante la investigación y, por consiguiente, invalidar, total o parcialmente, la sustanciación del procedimiento. (85) Por lo tanto, me parece que, ante los riesgos que pueden correrse, las autoridades nacionales de competencia tienen suficiente incentivación para garantizar que se respete el principio de proporcionalidad. A esto se suma, naturalmente, la obligación de facilitar al interesado una solución apropiada en caso de que la autoridad nacional de que se trate haya incurrido en una operación irregular. (86)
45.      De ello se sigue que, al igual que propuse en mis primeras conclusiones con respecto al artículo 7 de la Carta, el artículo 8 de esta debe interpretarse en el sentido de que no se opone a la normativa de un Estado miembro en virtud de la cual, durante una inspección en los locales de una empresa, llevada a cabo en el marco de una investigación por infracción de los artículos 101 TFUE o 102 TFUE, la autoridad nacional de competencia procede a la incautación de correos electrónicos cuyo contenido está relacionado con el objeto de la inspección sin disponer de una autorización judicial previa, siempre que se establezcan, por un lado, una regulación legal estricta de las facultades de dicha autoridad, en los términos descritos en las presentes conclusiones, y, por otro lado, garantías adecuadas y suficientes contra el abuso y la arbitrariedad, en particular, un control jurisdiccional a posteriori de las medidas en cuestión, tanto en el transcurso como al término del procedimiento de investigación.
46.      Dicho esto, procede señalar que, como se desprende de mis primeras conclusiones, la Directiva 2019/1 permite a los Estados miembros establecer, en sus respectivos ordenamientos jurídicos, un mecanismo de autorización previa emitida por una autoridad judicial, incluido el fiscal, (87) a efectos del ejercicio de las facultades de inspección de las autoridades nacionales de competencia. (88) Esto significa que, aun cuando, conforme al análisis expuesto en los puntos anteriores, el artículo 8 de la Carta no exige dicha autorización previa, siempre que se respeten las garantías descritas en las presentes conclusiones y se prevea un control jurisdiccional a posteriori, dicho artículo tampoco se opone a ello. En este contexto, procede considerar que no podrá determinarse ninguna infracción del citado artículo en relación con los Estados miembros que decidan dotarse de tal posibilidad.
47.      Por último, quisiera señalar que, habida cuenta de que tras el análisis efectuado en las presentes conclusiones complementarias opino que las enseñanzas de la sentencia Landeck no deberían considerarse aplicables a las investigaciones llevadas a cabo en materia de competencia, en particular por lo que atañe a la exigencia de autorización previa, no procede pronunciarse sobre si tal autorización puede ser facilitada por una entidad como el Ministerio Fiscal portugués. En cualquier caso, en el supuesto de que el Tribunal de Justicia no comparta mi análisis, basta con indicar que, en su jurisprudencia, dicho Tribunal ha definido las condiciones que permiten considerar que una entidad dedicada a comprobar la legitimidad de las injerencias en los derechos fundamentales es independiente. En particular, la exigencia de independencia presupone gozar de un estatuto que permita actuar de manera objetiva, imparcial y sin influencia externa. (89) En el presente asunto, habida cuenta de que la descripción hecha por el órgano jurisdiccional remitente de las características del Ministerio Fiscal portugués responde a dichas condiciones, estimo que procede considerar que dicho Ministerio Fiscal es una entidad independiente, competente para conceder una autorización previa en los términos exigidos en la sentencia Landeck.
Conclusión
48.      A la luz de todas las consideraciones anteriores, propongo al Tribunal de Justicia que responda a la tercera cuestión prejudicial planteada por el Tribunal da Concorrência, Regulação e Supervisão (Tribunal de Competencia, Regulación y Supervisión, Portugal) en cada uno de los asuntos acumulados C‑258/23 a C‑260/23 del siguiente modo:
«Los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea debe interpretarse en el sentido de que no se oponen a la normativa de un Estado miembro en virtud de la cual, durante una inspección en los locales de una empresa, llevada a cabo en el marco de una investigación por infracción de los artículos 101 TFUE o 102 TFUE, la autoridad nacional de competencia procede al registro y a la incautación de correos electrónicos cuyo contenido está relacionado con el objeto de la inspección sin disponer de una autorización judicial previa, siempre que se establezcan una regulación legal estricta de las facultades de dicha autoridad y garantías adecuadas y suficientes contra el abuso y la arbitrariedad, en particular, un control jurisdiccional a posteriori completo de las medidas en cuestión, tanto en el transcurso como al término del procedimiento de investigación.»
1      Lengua original: francés.
2      Conclusiones de la Abogada General Medina presentadas en los asuntos acumulados IMI y otros (C‑258/23 a C‑260/23, en lo sucesivo, «primeras conclusiones», EU:C:2024:537).
3      En lo sucesivo, «Carta».
4      Primeras conclusiones, punto 63.
5      Sentencia de 4 de octubre de 2024, Bezirkshauptmannschaft Landeck (Tentativa de acceso a los datos personales almacenados en un teléfono móvil) (C‑548/21, en lo sucesivo, «sentencia Landeck», EU:C:2024:830).
6      Directiva del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo (DO 2016, L 119, p. 89).
7      Sentencia Landeck, punto 1 del fallo.
8      Primeras conclusiones, punto 18.
9      Primeras conclusiones, punto 40.
10      Véanse, a este respecto, las primeras conclusiones, puntos 30 y 31.
11      Para un enfoque similar, véase la sentencia Landeck, apartado 60 y jurisprudencia citada.
12      Véase, en particular, la sentencia de 4 de septiembre de 2025, [apartado 40.
13      Sentencia de 21 de diciembre de 2016, Tele2 Sverige y Watson y otros (C‑203/15 y C‑698/15, EU:C:2016:970), apartado 129.
14      Véanse, en este sentido, las sentencias de 24 de noviembre de 2011, Asociación Nacional de Establecimientos Financieros de Crédito (C‑468/10 y C‑469/10, EU:C:2011:777), apartado 41, y de 27 de febrero de 2025, Dun & Bradstreet Austria y otros (C‑203/22, EU:C:2025:117), apartado 51 y jurisprudencia citada.
15      Véase, en este sentido, la sentencia de 18 de junio de 2020, Comisión/Hungría (Transparencia asociativa) (C‑78/18, EU:C:2020:476), apartado 126.
16      Véase el artículo 4, punto 2, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO 2016, L 119, p. 1).
17      Véase, en este sentido, la sentencia de 2 de octubre de 2018, Ministerio Fiscal (C‑207/16, EU:C:2018:788), apartado 51.
18      Los datos personales que se recogen y tratan en el contexto de investigaciones en materia de competencia incluyen en particular, aunque no exhaustivamente, nombres, datos de contacto (correo electrónico, número de teléfono y de fax profesionales y ocasionalmente también datos de contacto privados), el puesto o las funciones de la persona física en una empresa y potencialmente declaraciones y registros hechos por personas o atribuidos a ellas. Véase, a este respecto, Declaración de confidencialidad, Comisión Europea, Dirección General de Competencia, p. 2, disponible en https://competition-policy.ec.europa.eu/system/files/2021‑05/privacy_statement_antitrust_es.pdf.
19      Véase, en particular, la sentencia de 9 de noviembre de 2010, Volker und Markus Schecke y Eifert (C‑92/09 y C‑93/09, EU:C:2010:662), apartado 48 y jurisprudencia citada.
20      Véase la sentencia de 7 de marzo de 2024, Endemol Shine Finland (C‑740/22, EU:C:2024:216), apartado 52 y jurisprudencia citada.
21      Véase la sentencia de 26 de enero de 2023, Ministerstvo na vatreshnite raboti (Registro de datos biométricos y genéticos por la Policía) (C‑205/21, EU:C:2023:49), apartado 65 y jurisprudencia citada.
22      Véanse, a este respecto, los artículos 2, apartado 1, y 4, punto 7, del Reglamento general de protección de datos. Véase, asimismo, en este sentido, la sentencia de 2 de marzo de 2023, Norra Stockholm Bygg (C‑268/21, EU:C:2023:145), apartado 29.
23      Véase, asimismo, el considerando 45 del Reglamento general de protección de datos.
24      Sentencias de 2 de marzo de 2023, Norra Stockholm Bygg (C‑268/21, EU:C:2023:145), apartado 32, y de 20 de octubre de 2022, Koalitsia Demokratichna Bulgaria — Obedinenie (C‑306/21, EU:C:2022:813), apartado 52.
25      Véase, en este sentido, por analogía, la sentencia de 24 de mayo de 2023, Meta Platforms Ireland/Comisión (T‑451/20, EU:T:2023:276), apartado 192.
26      Primeras conclusiones, punto 34.
27      Véanse, a este respecto, González Fuster, G., «Study on the essence of the fundamental rights to privacy and to protection of personal data», Law, Science, Technology & Society Research Group, Vrije Universiteit Brussel, diciembre de 2022, pp. 17 a 23, disponible en https://www.edps.europa.eu/data-protection/our-work/publications/papers/2023‑11‑08-study-essence-fundamental-rights-privacy-and-protection-personal-data_en, y Brkan, M., «The essence of the fundamental rights to privacy and data protection: finding the way through the maze of the CJEU’s constitutional reasoning», German Law Journal, 2019, vol. 20, pp. 867 a 869.
28      Véase, en particular, Kokott, J., y Sobotta, C., «The distinction between privacy and data protection in the jurisprudence of the CJEU and the ECtHR», International Data Privacy Law, 2013, vol. 3, n.º 4, p. 228.
29      Véanse, en este sentido, las sentencias de 8 de abril de 2014, Digital Rights Ireland y otros (C‑293/12 y C‑594/12, EU:C:2014:238), apartado 40; de 21 de diciembre de 2016, Tele2 Sverige y Watson y otros (C‑203/15 y C‑698/15, EU:C:2016:970), apartado 101, y de 21 de junio de 2022, Ligue des droits humains (C‑817/19, EU:C:2022:491), apartado 120, y el dictamen 1/15 (Acuerdo PNR UE-Canadá), de 26 de julio de 2017 (EU:C:2017:592), apartado 151. Por lo que respecta al artículo 7 de la Carta, véase, asimismo, la sentencia de 6 de octubre de 2015, Schrems (C‑362/14, EU:C:2015:650), apartado 94 y jurisprudencia citada.
30      Primeras conclusiones, punto 35.
31      Véanse las presentes conclusiones, puntos 33 a 37.
32      Sentencia de 1 de agosto de 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601), apartado 70 y jurisprudencia citada.
33      Primeras conclusiones, punto 36.
34      Reglamento del Consejo, de 16 de diciembre de 2002, relativo a la aplicación de las normas sobre competencia previstas en los artículos 81 y 82 del Tratado (DO 2003, L 1, p. 1).
35      Véanse, para el artículo 101 TFUE, la sentencia de 22 de marzo de 2022, Nordzucker y otros (C‑151/20, EU:C:2022:203), apartado 51 y jurisprudencia citada, y, para el artículo 102 TFUE, la sentencia de 22 de marzo de 2022, bpost (C‑117/20, EU:C:2022:202), apartado 46 y jurisprudencia citada.
36      Véase, en particular, la sentencia de 26 de enero de 2023, Ministerstvo na vatreshnite raboti (Registro de datos biométricos y genéticos por la Policía) (C‑205/21, EU:C:2023:49), apartado 126 y jurisprudencia citada.
37      Véanse la sentencia de 16 de julio de 2020, Nexans France y Nexans/Comisión (C‑606/18 P, EU:C:2020:571), apartado 63, y la Nota explicativa de las inspecciones ordenadas por la Comisión de conformidad con el artículo 20, apartado 4, del Reglamento (CE) n.º 1/2003 del Consejo, Comisión Europea, Dirección General de Competencia, revisada en marzo de 2024, apartados 4, 9 y 18, disponible en https://competition-policy.ec.europa.eu/document/download/c84d4245-ae08‑492e-bffd-760fa0ca4df8_es?filename=inspections_explanatory_note_es.pdf.
38      Directiva del Parlamento Europeo y del Consejo, de 11 de diciembre de 2018, encaminada a dotar a las autoridades de competencia de los Estados miembros de medios para aplicar más eficazmente las normas sobre competencia y garantizar el correcto funcionamiento del mercado interior (DO 2019, L 11, p. 3). Véase, asimismo, el considerando 32 de esta Directiva.
39      Véanse la sentencia de 30 de abril de 2024, La Quadrature du Net y otros (Datos personales y lucha contra la vulneración de derechos de propiedad intelectual) (C‑470/21, en lo sucesivo, «sentencia La Quadrature du Net», EU:C:2024:370), apartado 107, y la sentencia Landeck, apartado 89.
40      Sentencia Landeck, apartado 90.
41      Aunque la sentencia Landeck tenía por objeto la interpretación de la Directiva 2016/680, relativa, en particular, a la protección de datos en el marco de investigaciones penales, no me suscita objeción alguna que esos mismos elementos, que, en definitiva, subyacen tras la interpretación del artículo 8 de la Carta, en relación con el artículo 52, apartado 1, de esta, se tengan en cuenta en el contexto de las investigaciones en materia de competencia.
42      Sentencia Landeck, apartado 90.
43      Véanse la sentencia de 21 de diciembre de 2016, Tele2 Sverige y Watson y otros (C‑203/15 y C‑698/15, EU:C:2016:970), apartado 99, y la sentencia Landeck, apartado 93.
44      Sentencia Landeck, apartado 94.
45      Véase el artículo 9, apartado 1, del Reglamento general de protección de datos. Véase, asimismo, la sentencia de 26 de enero de 2023, Ministerstvo na vatreshnite raboti (Registro de datos biométricos y genéticos por la Policía) (C‑205/21, EU:C:2023:49), apartado 62.
46      Primeras conclusiones, puntos 32, 39 y 40.
47      Sentencia Landeck, apartados 26, 28 y 30.
48      Véanse, a modo de ejemplo, las sentencias de 6 de octubre de 2020, La Quadrature du Net y otros (C‑511/18, C‑512/18 y C‑520/18, EU:C:2020:791), apartado 119; de 5 de abril de 2022, Commissioner of An Garda Síochána y otros (C‑140/20, EU:C:2022:258), apartado 46; de 20 de septiembre de 2022, SpaceNet y Telekom Deutschland (C‑793/19 y C‑794/19, EU:C:2022:702), apartado 61, y de 17 de noviembre de 2022, Spetsializirana prokuratura (Conservación de los datos de tráfico y de localización) (C‑350/21, EU:C:2022:896), apartado 58 y jurisprudencia citada.
49      Véase, en este sentido, la sentencia Landeck, apartado 26.
50      Véase, en este sentido, la sentencia de 20 de septiembre de 2022, SpaceNet y Telekom Deutschland (C‑793/19 y C‑794/19, EU:C:2022:702), apartado 87.
51      Sentencia Landeck, apartados 92 y 93.
52      Véase, en este sentido, la sentencia de 22 de octubre de 2002, Roquette Frères (C‑94/00, EU:C:2002:603), apartado 45.
53      Véase, a este respecto, la sentencia Landeck, apartado 92, en el que el Tribunal de Justicia consideró, en esencia, que la apreciación de la gravedad del acceso a datos de carácter personal, incluso tratándose de un teléfono móvil personal, debe realizarse «en función […] de las decisiones tomadas por las autoridades [públicas]».
54      Véase, en este sentido, la sentencia La Quadrature du Net, apartados 81 y 96. Véase, en sentido contrario, la sentencia Landeck, apartado 92.
55      Véase, a este respecto, la sentencia La Quadrature du Net, apartado 111, que hace referencia a «situaciones atípicas».
56      Véase, en este sentido, la sentencia La Quadrature du Net, apartado 115.
57      Véase, a este respecto, la sentencia La Quadrature du Net, apartado 113.
58      Sentencia Landeck, apartado 95. Para una opinión divergente, expresada en el marco de un procedimiento de medidas provisionales, véase el auto del Vicepresidente del Tribunal de Justicia de 11 de abril de 2024, Vivendi/Comisión [C‑90/24 P(R), EU:C:2024:318], apartados 95 a 100.
59      Cabe recordar que, en la sentencia Landeck, que tenía por objeto un supuesto delito de tráfico de estupefacientes, el Tribunal de Justicia consideró, en esencia, que la lucha contra una delincuencia no necesariamente grave puede constituir un objetivo de interés general importante que permita considerar proporcionada una injerencia grave o particularmente grave. Véase la sentencia Landeck, apartado 97.
60      Véase, a este respecto, TEDH, sentencia de 18 de marzo de 2025, BRD — Groupe Société Générale S. A. c. Rumanía (CE:ECHR:2025:0318JUD003879813), § 105.
61      Véase, en este sentido, la sentencia La Quadrature du Net, apartado 115. Véase, asimismo, TEDH, sentencia de 18 de marzo de 2025, BRD — Groupe Société Générale S. A. c. Rumanía (CE:ECHR:2025:0318JUD003879813), §§ 107 a 110.
62      Por lo que respecta a las investigaciones llevadas a cabo por la Comisión, véanse la Decisión (UE) 2018/1927 de la Comisión, de 5 de diciembre de 2018, por la que se establecen las normas internas sobre el tratamiento de datos personales por la Comisión Europea en el ámbito de la competencia en relación con la comunicación de información a los interesados y la limitación de determinados derechos (DO 2018, L 313, p. 39), y la Declaración de confidencialidad de la Comisión (véase la nota 18 de las presentes conclusiones).
63      Véase, a este respecto, la sentencia Landeck, apartado 101.
64      Véase el punto 17 de las presentes conclusiones.
65      Véase, en este sentido, la sentencia La Quadrature du Net, apartado 113. Esto debería implicar igualmente que la recogida de datos de carácter personal y el acceso a ellos solo afecte a personas que tengan relación, al menos indirecta, con la supuesta infracción.
66      Véanse, a modo de ejemplo, por lo que respecta a las investigaciones llevadas a cabo por la Comisión, las sentencias de 16 de julio de 2020, Nexans France y Nexans/Comisión (C‑606/18 P, EU:C:2020:571), apartados 15 y 66, y de 24 de septiembre de 2020, Prysmian y Prysmian Cavi e Sistemi/Comisión (C‑601/18 P, EU:C:2020:751), apartados 29 y 60, y la Nota explicativa de las inspecciones ordenadas por la Comisión de conformidad con el artículo 20, apartado 4, del Reglamento (CE) n.º 1/2003 del Consejo, Comisión Europea, Dirección General de Competencia, revisada en marzo de 2024, apartado 10, disponible en https://competition-policy.ec.europa.eu/document/download/c84d4245-ae08‑492e-bffd-760fa0ca4df8_es?filename=inspections_explanatory_note_es.pdf. Véase, asimismo, en el ámbito de la lucha contra el fraude, la sentencia de 28 de octubre de 2021, Vialto Consulting/Comisión (C‑650/19 P, EU:C:2021:879), apartados 65 y 75.
67      Véanse el artículo 5, apartado 1, letras b) y c), del Reglamento general de protección de datos y la sentencia La Quadrature du Net, apartado 113.
68      Véase el artículo 5, apartado 1, letra a), del Reglamento general de protección de datos.
69      Véanse el artículo 3, apartado 2, de la Decisión 2018/1927 y el considerando 15 de esta.
70      Véase el artículo 5, apartado 1, letras e) y f), del Reglamento general de protección de datos.
71      Véanse las sentencias de 8 de abril de 2014, Digital Rights Ireland y otros (C‑293/12 y C‑594/12, EU:C:2014:238), apartado 64, y de 20 de octubre de 2022, Digi (C‑77/21, EU:C:2022:805), apartado 53.
72      Véase la sentencia La Quadrature du Net, apartados 113 y 114.
73      Véase, en este sentido, la sentencia Landeck, apartado 107.
74      Véanse el artículo 5, apartado 2, del Reglamento general de protección de datos y la sentencia La Quadrature du Net, apartado 113.
75      Primeras conclusiones, punto 38.
76      Véase, en particular, TEDH, sentencia de 16 de diciembre de 1992, Niemietz c. Alemania (CE:ECHR:1992:1216JUD001371088), § 31; véase, asimismo, la sentencia de 18 de junio de 2015, Deutsche Bahn y otros/Comisión (C‑583/13 P, EU:C:2015:404), apartado 20.
77      Sentencia Landeck, punto 1 del fallo.
78      Sentencia Landeck, apartado 102.
79      Véase el artículo 7, apartado 2, de la Directiva 2019/1.
80      Véase, en este sentido, la sentencia de 2 de febrero de 2021, Consob (C‑481/19, EU:C:2021:84), apartado 44.
81      Primeras conclusiones, puntos 42 y 44. Véase, en particular, la referencia a la sentencia de 2 de octubre de 2014, Delta Pekárny a.s. c. República Checa (CE:ECHR:2014:1002JUD000009711), §§ 86 y 87 y jurisprudencia citada.
82      Véanse, en este sentido, las sentencias de 18 de junio de 2015, Deutsche Bahn y otros/Comisión (C‑583/13 P, EU:C:2015:404), apartados 32 a 35, y de 9 de marzo de 2023, Les Mousquetaires e ITM Entreprises/Comisión (C‑682/20 P, EU:C:2023:170), apartado 57 y jurisprudencia citada.
83      CE:ECHR:2025:0206JUD003661718, § 137.
84      CE:ECHR:2025:0318JUD003879813, §§ 111 a 116.
85      Véase, en este sentido, la sentencia de 2 de marzo de 2021, Prokuratuur (Condiciones de acceso a los datos relativos a las comunicaciones electrónicas) (C‑746/18, EU:C:2021:152), apartados 43 y 44.
86      Véase, en este sentido, la sentencia de 9 de marzo de 2023, Intermarché Casino Achats/Comisión (C‑693/20 P, EU:C:2023:172), apartados 45 y 46.
87      Véanse el artículo 6, apartado 3, de la Directiva 2019/1 y el considerando 34 de esta.
88      Hasta la fecha, veintiún Estados miembros han establecido un procedimiento de autorización previa para realizar operaciones de inspección y de incautación en locales profesionales, a saber, Alemania, Austria, Bélgica, Bulgaria, Croacia, Dinamarca, Eslovaquia, Eslovenia, España, Estonia, Francia, Hungría, Irlanda, Letonia, Lituania, Luxemburgo, Malta, Polonia, Portugal, Rumanía y Suecia. Véase la nota de investigación 25/005 elaborada por la Dirección de Investigación y Documentación del Tribunal de Justicia de la Unión Europea en el mes de mayo de 2005.
89      Véase la sentencia La Quadrature du Net, apartados 125 y 126.