CELEX: 62010CJ0468
Language: es
Date: 2011-11-24 00:00:00
Title: Sentencia del Tribunal de Justicia (Sala Tercera) de 24 de noviembre de 2011.#Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) (C-468/10) y Federación de Comercio Electrónico y Marketing Directo (FECEMD) (C-469/10) contra Administración del Estado.#Peticiones de decisión prejudicial: Tribunal Supremo - España.#Tratamiento de datos personales - Directiva 95/46/CE - Artículo 7, letra f) - Efecto directo.#Asuntos acumulados C-468/10 y C-469/10.

Asuntos acumulados C‑468/10 y C‑469/10
      Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF)
      y
      Federación de Comercio Electrónico y Marketing Directo (FECEMD)
      contra
      Administración del Estado
      (Peticiones de decisión prejudicial planteadas por el Tribunal Supremo)
      «Tratamiento de datos personales — Directiva 95/46/CE — Artículo 7, letra f) — Efecto directo»
      Sumario de la sentencia
      1.        Aproximación de las legislaciones — Protección de las personas físicas en lo que respecta al tratamiento de datos personales
            — Directiva 95/46/CE — Armonización completa — Lista taxativa de los casos en que es lícito el tratamiento de datos personales
      (Directiva 95/46/CE del Parlamento Europeo y del Consejo, art. 7)
      2.        Aproximación de las legislaciones — Protección de las personas físicas en lo que respecta al tratamiento de datos personales
            — Directiva 95/46/CE — Requisitos para la licitud de un tratamiento de datos personales
      [Carta de los Derechos Fundamentales de la Unión Europea, arts. 7 y 8; Directiva 95/46/CE del Parlamento Europeo y del Consejo,
            arts. 5 y 7, letra f)]
      3.        Aproximación de las legislaciones — Protección de las personas físicas en lo que respecta al tratamiento de datos personales
            — Directiva 95/46/CE — Margen de apreciación de los Estados miembros — Alcance
      (Directiva 95/46/CE del Parlamento Europeo y del Consejo, art. 5)
      4.        Aproximación de las legislaciones — Protección de las personas físicas en lo que respecta al tratamiento de datos personales
            — Directiva 95/46/CE — Requisitos para la licitud de un tratamiento de datos personales
      [Carta de los Derechos Fundamentales de la Unión Europea, arts. 7 y 8; Directiva 95/46/CE del Parlamento Europeo y del Consejo,
            art. 7, letra f)]
      5.        Derechos fundamentales — Respeto de la vida privada — Protección de los datos personales — Limitaciones toleradas en virtud
            de la Carta de los Derechos Fundamentales de la Unión Europea
      (Carta de los Derechos Fundamentales de la Unión Europea, arts. 7, 8 y 52, ap. 1)
      6.        Actos de las instituciones — Directivas — Efecto directo — Requisitos
      [Art. 249 CE, párr. 3; Directiva 95/46/CE del Parlamento Europeo y del Consejo, art. 7, letra f)]
      1.        La armonización de las legislaciones nacionales que pretende la Directiva 95/46, relativa a la protección de las personas
         físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, no se limita a una
         armonización mínima, sino que constituye, en principio, una armonización completa. Desde este punto de vista, dicha Directiva
         trata de asegurar la libre circulación de datos personales, garantizando al mismo tiempo un alto nivel de protección de los
         derechos e intereses de las personas a las que se refieren esos datos. Así pues, se deduce de este objetivo que el artículo
         7 de la Directiva establece una lista exhaustiva y taxativa de los casos en que un tratamiento de datos personales puede considerarse
         lícito. Por consiguiente, los Estados miembros no pueden ni añadir al artículo 7 de la Directiva nuevos principios relativos
         a la legitimación de los tratamientos de datos personales ni imponer exigencias adicionales que vinieran a modificar el alcance
         de alguno de los principios establecidos en dicho artículo.
      
      No se opone a la anterior interpretación la facultad que, en virtud del artículo 5 de la Directiva 95/46, tienen los Estados
         miembros de precisar las condiciones en que los tratamientos de datos personales son lícitos. En efecto, los Estados miembros
         no pueden, amparándose en el margen de apreciación de que disponen en virtud del artículo 5 de la Directiva, introducir principios
         relativos a la legitimación de los tratamientos de datos personales distintos a los enunciados en el artículo 7 de la propia
         Directiva ni modificar, mediante exigencias adicionales, el alcance de los principios establecidos en dicho artículo 7.
      
      (véanse los apartados 29, 30, 32, 33, 35 y 36)
      2.        El artículo 7, letra f), de la Directiva 95/46, relativa a la protección de las personas físicas en lo que respecta al tratamiento
         de datos personales y a la libre circulación de estos datos, debe interpretarse en el sentido de que se opone a una normativa
         nacional que, para permitir el tratamiento de datos personales necesario para la satisfacción del interés legítimo perseguido
         por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, exige, en el caso de que
         no exista consentimiento del interesado, no sólo que se respeten los derechos y libertades fundamentales de éste, sino además
         que dichos datos figuren en fuentes accesibles al público, excluyendo así de forma categórica y generalizada todo tratamiento
         de datos que no figuren en tales fuentes.
      
      En efecto, por una parte, se deduce del objetivo de dicha Directiva de asegurar la libre circulación de datos personales,
         garantizando al mismo tiempo un alto nivel de protección de los derechos e intereses de las personas a las que se refieren
         esos datos, que su artículo 7 establece una lista exhaustiva y taxativa de los casos en que un tratamiento de datos personales
         puede considerarse lícito. Por consiguiente, los Estados miembros no pueden ni añadir nuevos principios relativos a la legitimación
         de los tratamientos de datos personales ni imponer exigencias adicionales que vinieran a modificar el alcance de alguno de
         los principios establecidos en dicho artículo 7. Además, los Estados miembros tampoco pueden introducir, amparándose en el
         artículo 5 de la Directiva, principios relativos a la legitimación de los tratamientos de datos personales distintos a los
         enunciados en el artículo 7 ni modificar, mediante exigencias adicionales, el alcance de los principios establecidos en el
         citado artículo 7. 
      
      Por otra parte, para efectuar la necesaria ponderación de los derechos e intereses en conflicto prevista en el artículo 7,
         letra f), de la propia Directiva, los Estados miembros pueden establecer principios rectores. También pueden tomar en consideración
         el hecho de que la gravedad de la lesión de los derechos fundamentales de la persona afectada por dicho tratamiento puede
         variar en función de que los datos figuren ya, o no, en fuentes accesibles al público. En este último caso, la lesión será
         más grave.
      
      No obstante, si una normativa nacional excluye la posibilidad de tratar determinadas categorías de datos personales, estableciendo
         con carácter definitivo el resultado de la ponderación de los derechos e intereses en conflicto respecto de tales categorías,
         sin permitir un resultado diferente en atención a las circunstancias particulares de cada caso concreto, no se trata ya de
         una mera precisión, sino de una exigencia adicional, prohibida por el artículo 7, letra f), de la Directiva.
      
      (véanse los apartados 29, 30, 32, 36 y 44 a 49, y el punto 1 del fallo)
      3.        La Directiva 95/46, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales
         y a la libre circulación de estos datos, contiene normas que se caracterizan por una cierta flexibilidad y deja en muchos
         casos en manos de los Estados miembros la tarea de regular los detalles o de elegir entre varias opciones. Es preciso distinguir,
         pues, entre medidas nacionales que establecen exigencias adicionales que modifican el alcance de un principio fijado en el
         artículo 7 de dicha Directiva, por una parte, y medidas nacionales que se limitan a precisar alguno de estos principios, por
         otra parte. El primer tipo de medida nacional está prohibido, y únicamente en el contexto del segundo tipo de medida nacional
         disponen los Estados miembros de un margen de apreciación, con arreglo al artículo 5 de la Directiva.
      
      (véase el apartado 35)
      4.        El artículo 7, letra f), de la Directiva 95/46, relativa a la protección de las personas físicas en lo que respecta al tratamiento
         de datos personales y a la libre circulación de estos datos, establece dos requisitos acumulativos para que un tratamiento
         de datos personales sea lícito, a saber, por una parte, que ese tratamiento de datos personales sea necesario para la satisfacción
         del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los
         datos, y, por otra parte, que no prevalezcan los derechos y libertades fundamentales del interesado. El segundo de esos requisitos
         exige una ponderación de los derechos e intereses en conflicto, que dependerá, en principio, de las circunstancias concretas
         del caso particular de que se trate y en cuyo marco la persona o institución que efectúe la ponderación deberá tener en cuenta
         la importancia de los derechos que los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea confieren
         al interesado.
      
      (véanse los apartados 38 y 40)
      5.        El respeto del derecho a la vida privada en lo que respecta al tratamiento de los datos de carácter personal, reconocido por
         los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea, se aplica a toda información sobre una
         persona física identificada o identificable. No obstante, de los artículos 8, apartado 2, y 52, apartado 1, de la Carta se
         desprende que, bajo ciertas condiciones, pueden introducirse limitaciones a este derecho.
      
      (véase el apartado 42)
      6.        Siempre que las disposiciones de una directiva resulten ser, desde el punto de vista de su contenido, incondicionales y suficientemente
         precisas, los particulares podrán invocarlas frente al Estado, en particular cuando éste no haya adaptado el Derecho nacional
         a la Directiva dentro del plazo señalado o cuando haya procedido a una adaptación incorrecta. Es el caso del artículo 7, letra f),
         de la Directiva 95/46, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales
         y a la libre circulación de estos datos. Si bien dicha Directiva confiere a los Estados miembros un margen de apreciación
         más o menos grande para la aplicación de algunas de sus disposiciones, el citado artículo 7, letra f), enuncia una obligación
         incondicional.
      
      (véanse los apartados 51, 52 y 55 y el punto 2 del fallo)
SENTENCIA DEL TRIBUNAL DE JUSTICIA (Sala Tercera)
      de 24 de noviembre de 2011 (*)
      
      «Tratamiento de datos personales – Directiva 95/46/CE – Artículo 7, letra f) – Efecto directo»
      En los asuntos acumulados C‑468/10 y C‑469/10,
      que tienen por objeto sendas peticiones de decisión prejudicial planteadas, con arreglo al artículo 267 TFUE, por el Tribunal
         Supremo (España), mediante resoluciones de 15 de julio de 2010, recibidas en el Tribunal de Justicia el 28 de septiembre de
         2010, en los procedimientos entre
      
      Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) (asunto C‑468/10),
      
      Federación de Comercio Electrónico y Marketing Directo (FECEMD) (asunto C‑469/10)
      
      y
      Administración del Estado,
      en el que participan:
      Unión General de Trabajadores (UGT) (asuntos C‑468/10 y C‑469/10),
      
      Telefónica de España, S.A.U. (asunto C‑468/10),
      
      France Telecom España, S.A. (asuntos C‑468/10 y C‑469/10),
      
      Telefónica Móviles de España, S.A.U. (asunto C‑469/10),
      
      Vodafone España, S.A. (asunto C‑469/10),
      
      Asociación de Usuarios de la Comunicación (asunto C‑469/10),
      
      EL TRIBUNAL DE JUSTICIA (Sala Tercera),
      integrado por el Sr. K. Lenaerts (Ponente), Presidente de Sala, y la Sra. R. Silva de Lapuerta y los Sres. E. Juhász, T. von
         Danwitz y D. Šváby, Jueces;
      
      Abogado General: Sr. P. Mengozzi;
      Secretaria: Sra. M. Ferreira, administradora principal;
      habiendo considerado los escritos obrantes en autos y celebrada la vista el 15 de septiembre de 2011;
      consideradas las observaciones presentadas:
      –        en nombre de la Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF), por los Sres. C. Alonso Martínez y
         A. Creus Carreras, abogados;
      
      –        en nombre de la Federación de Comercio Electrónico y Marketing Directo (FECEMD), por los Sres. R. García del Poyo Vizcaya
         y M.Á. Serrano Pérez, abogados;
      
      –        en nombre del Gobierno español, por el Sr. M. Muñoz Pérez, en calidad de agente;
      –        en nombre de la Comisión Europea, por la Sra. I. Martínez del Peral y el Sr. B. Martenczuk, en calidad de agentes;
      vista la decisión adoptada por el Tribunal de Justicia, oído el Abogado General, de que el asunto sea juzgado sin conclusiones;
      dicta la siguiente
      Sentencia
      1        Las peticiones de decisión prejudicial tienen por objeto la interpretación del artículo 7, letra f), de la Directiva 95/46/CE
         del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que
         respecta al tratamiento de datos personales y a la libre circulación de estos datos (DO L 281, p. 31).
      
      2        Dichas peticiones se presentaron en el marco de sendos litigios entre, por una parte, la Asociación Nacional de Establecimientos
         Financieros de Crédito (ASNEF) y la Federación de Comercio Electrónico y Marketing Directo (FECEMD), y, por otra parte, la
         Administración del Estado.
      
       Marco jurídico
       Derecho de la Unión
       La Directiva 95/46
      3        Los considerandos séptimo, octavo y décimo de la Directiva 95/46 se expresan en los siguientes términos:
      
      «(7)      Considerando que las diferencias entre los niveles de protección de los derechos y libertades de las personas y, en particular,
         de la intimidad, garantizados en los Estados miembros por lo que respecta al tratamiento de datos personales, pueden impedir
         la transmisión de dichos datos del territorio de un Estado miembro al de otro; que, por lo tanto, estas diferencias pueden
         constituir un obstáculo para el ejercicio de una serie de actividades económicas a escala comunitaria, falsear la competencia
         e impedir que las administraciones cumplan los cometidos que les incumben en virtud del Derecho comunitario; que estas diferencias
         en los niveles de protección se deben a la disparidad existente entre las disposiciones legales, reglamentarias y administrativas
         de los Estados miembros;
      
      (8)      Considerando que, para eliminar los obstáculos a la circulación de datos personales, el nivel de protección de los derechos
         y libertades de las personas, por lo que se refiere al tratamiento de dichos datos, debe ser equivalente en todos los Estados
         miembros; que ese objetivo, esencial para el mercado interior, no puede lograrse mediante la mera actuación de los Estados
         miembros, teniendo en cuenta, en particular, las grandes diferencias existentes en la actualidad entre las legislaciones nacionales
         aplicables en la materia y la necesidad de coordinar las legislaciones de los Estados miembros para que el flujo transfronterizo
         de datos personales sea regulado de forma coherente y de conformidad con el objetivo del mercado interior […]; que, por tanto,
         es necesario que la Comunidad intervenga para aproximar las legislaciones;
      
      [...]
      (10)      Considerando que las legislaciones nacionales relativas al tratamiento de datos personales tienen por objeto garantizar el
         respeto de los derechos y libertades fundamentales, particularmente del derecho al respeto de la vida privada reconocido en
         el artículo 8 del Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales[, firmado
         en Roma el 4 de noviembre de 1950 (en lo sucesivo, «CEDH»)], así como en los principios generales del Derecho comunitario;
         que, por lo tanto, la aproximación de dichas legislaciones no debe conducir a una disminución de la protección que garantizan
         sino que, por el contrario, debe tener por objeto asegurar un alto nivel de protección dentro de la Comunidad».
      
      4        El artículo 1 de dicha Directiva, titulado «Objeto de la Directiva», tiene la siguiente redacción:
      
      «1.      Los Estados miembros garantizarán, con arreglo a las disposiciones de la presente Directiva, la protección de las libertades
         y de los derechos fundamentales de las personas físicas, y, en particular, del derecho a la intimidad, en lo que respecta
         al tratamiento de los datos personales.
      
      2.      Los Estados miembros no podrán restringir ni prohibir la libre circulación de datos personales entre los Estados miembros
         por motivos relacionados con la protección garantizada en virtud del apartado 1.»
      
      5        El artículo 5 de la misma Directiva es del siguiente tenor:
      
      «Los Estados miembros precisarán, dentro de los límites de las disposiciones del presente capítulo, las condiciones en que
         son lícitos los tratamientos de datos personales.»
      
      6        El artículo 7 de la Directiva 95/46 establece:
      
      «Los Estados miembros dispondrán que el tratamiento de datos personales sólo pueda efectuarse si:
      a)      el interesado ha dado su consentimiento de forma inequívoca, o
      [...]
      f)      es necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros
         a los que se comuniquen los datos, siempre que no prevalezca el interés o los derechos y libertades fundamentales del interesado
         que requieran protección con arreglo al apartado 1 del artículo 1 de la presente Directiva.»
      
      7        El artículo 13, apartado 1, de esta Directiva dispone:
      
      «Los Estados miembros podrán adoptar medidas legales para limitar el alcance de las obligaciones y los derechos previstos
         en el apartado 1 del artículo 6, en el artículo 10, en el apartado 1 del artículo 11, y en los artículos 12 y 21 cuando tal
         limitación constituya una medida necesaria para la salvaguardia de:
      
      a)      la seguridad del Estado;
      b)      la defensa;
      c)      la seguridad pública;
      d)      la prevención, la investigación, la detección y la represión de infracciones penales o de las infracciones de la deontología
         en las profesiones reglamentadas;
      
      e)      un interés económico y financiero importante de un Estado miembro o de la Unión Europea, incluidos los asuntos monetarios,
         presupuestarios y fiscales;
      
      f)      una función de control, de inspección o reglamentaria relacionada, aunque sólo sea ocasionalmente, con el ejercicio de la
         autoridad pública en los casos a que hacen referencia las letras c), d) y e);
      
      g)      la protección del interesado o de los derechos y libertades de otras personas.»
       Derecho nacional
       La Ley Orgánica 15/1999
      8        La Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (BOE nº 298, de 14 de diciembre de
         1999, p. 43088) adapta el Derecho español a la Directiva 95/46.
      
      9        El artículo 3, letra j), de la Ley Orgánica 15/1999 enumera las «fuentes accesibles al público» en una lista exhaustiva y
         taxativa, del siguiente tenor:
      
      «[…] aquellos ficheros cuya consulta puede ser realizada, por cualquier persona, no impedida por una norma limitativa o sin
         más exigencia que, en su caso, el abono de una contraprestación. Tienen la consideración de fuentes de acceso público, exclusivamente,
         el censo promocional, los repertorios telefónicos en los términos previstos por su normativa específica y las listas de personas
         pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado
         académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes de acceso público los
         diarios y boletines oficiales y los medios de comunicación.»
      
      10      El artículo 6, apartado 1, de la Ley Orgánica 15/1999 supedita el tratamiento de los datos a la prestación del consentimiento
         inequívoco del afectado, salvo que la ley disponga otra cosa. Así, el artículo 6, apartado 2, in fine, de dicha Ley dispone que no será preciso el consentimiento, entre otros supuestos, «cuando los datos figuren en fuentes accesibles
         al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero
         o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del
         interesado».
      
      11      El artículo 11, apartado 1, de la Ley Orgánica 15/1999 recuerda la necesidad del consentimiento del interesado para poder
         comunicar a terceros los datos de carácter personal, si bien el apartado 2 de dicho artículo dispone que el consentimiento
         no será necesario, en particular, cuando se trate de datos recogidos de fuentes accesibles al público.
      
       El Real Decreto 1720/2007
      12      El Gobierno español desarrolló la Ley Orgánica 15/1999 mediante el Real Decreto 1720/2007, de 21 de diciembre (BOE nº 17,
         de 19 de enero de 2008, p. 4103).
      
      13      El artículo 10, apartado 1, del Real Decreto 1720/2007 autoriza el tratamiento y la cesión de los datos de carácter personal
         si el interesado presta previamente su consentimiento para ello.
      
      14      No obstante, el artículo 10, apartado 2, del Real Decreto 1720/2007 dispone:
      
      «[…] será posible el tratamiento o la cesión de los datos de carácter personal sin necesidad del consentimiento del interesado
         cuando:
      
      a)      Lo autorice una norma con rango de ley o una norma de derecho comunitario y, en particular, cuando concurra uno de los supuestos
         siguientes:
      
      –        El tratamiento o la cesión tengan por objeto la satisfacción de un interés legítimo del responsable del tratamiento o del
         cesionario amparado por dichas normas, siempre que no prevalezca el interés o los derechos y libertades fundamentales de los
         interesados previstos en el artículo 1 de la Ley Orgánica 15/1999, de 13 de diciembre.
      
      –        El tratamiento o la cesión de los datos sean necesarios para que el responsable del tratamiento cumpla un deber que le imponga
         una de dichas normas.
      
      b)      Los datos objeto de tratamiento o de cesión figuren en fuentes accesibles al público y el responsable del fichero, o el tercero
         a quien se comuniquen los datos, tenga un interés legítimo para su tratamiento o conocimiento, siempre que no se vulneren
         los derechos y libertades fundamentales del interesado.
      
      No obstante, las Administraciones públicas sólo podrán comunicar al amparo de este apartado los datos recogidos de fuentes
         accesibles al público a responsables de ficheros de titularidad privada cuando se encuentren autorizadas para ello por una
         norma con rango de ley.»
      
       Litigios principales y cuestiones prejudiciales
      15      La ASNEF, por una parte, y la FECEMD, por otra parte, interpusieron recurso contencioso-administrativo contra diversos artículos
         del Real Decreto 1720/2007.
      
      16      Entre los preceptos impugnados se encuentra el artículo 10, apartado 2, letras a), supuesto primero, y b), párrafo primero,
         de dicho Real Decreto, a los que la ASNEF y la FECEMD imputan la infracción del artículo 7, letra f), de la Directiva 95/46.
      
      17      En particular, la ASNEF y la FECEMD consideran que el Derecho español añade al requisito del interés legítimo como presupuesto
         del tratamiento de los datos sin consentimiento del titular un requisito que no está presente en la Directiva 95/46: que los
         datos consten en fuentes accesibles al público.
      
      18      El Tribunal Supremo opina que el fundamento de los recursos interpuestos por ASNEF y FECEMD depende en gran medida de la interpretación
         que haga el Tribunal de Justicia del artículo 7, letra f), de la Directiva 95/46. Así, señala que si el Tribunal de Justicia
         estimase que no corresponde a los Estados miembros añadir requisitos adicionales a los establecidos en esa disposición y que
         a dicha disposición puede reconocérsele efecto directo, el artículo 10, apartado 2, letra b), del Real Decreto 1720/2007 debería
         inaplicarse.
      
      19      El Tribunal Supremo explica que, en el caso de que no exista consentimiento del interesado, para autorizar el tratamiento
         de sus datos de carácter personal, necesario para la satisfacción de un interés legítimo del responsable de ese tratamiento
         o de los terceros a quienes se comuniquen los datos, el Derecho español exige, además del respeto de los derechos y libertades
         fundamentales del interesado, que los datos figuren en los ficheros enumerados en el artículo 3, letra j), de la Ley Orgánica
         15/1999. A este respecto considera que la Ley Orgánica 15/1999 y el Real Decreto 1720/2007 restringen el ámbito del artículo
         7, letra f), de la Directiva 95/46.
      
      20      Según el Tribunal Supremo, esta restricción constituye un obstáculo a la libre circulación de los datos de carácter personal
         que únicamente sería compatible con la Directiva 95/46 si viniera exigida por el interés o los derechos y libertades fundamentales
         del titular de los datos. De ello deduce que la única posibilidad de salvar la contradicción entre la Directiva 95/46 y el
         ordenamiento español sería considerar que la libre circulación de los datos de carácter personal que figuren en ficheros distintos
         de los enumerados en el artículo 3, letra j), de la Ley Orgánica 15/1999 vulnera el interés o los derechos y libertades fundamentales
         del titular de los datos.
      
      21      No obstante, el Tribunal Supremo se pregunta si tal interpretación es conforme a la voluntad del legislador de la Unión.
      
      22      En estas circunstancias, por considerar que la solución de los dos asuntos de que conoce depende de la interpretación de disposiciones
         del Derecho de la Unión, el Tribunal Supremo decidió suspender el procedimiento y plantear al Tribunal de Justicia las siguientes
         cuestiones prejudiciales, formuladas en idénticos términos en ambos asuntos:
      
      «1)      ¿Debe interpretarse el artículo 7, letra f), de la Directiva 95/46 […] en el sentido de que se opone a una normativa nacional
         que, no mediando consentimiento del afectado y para permitir el tratamiento de sus datos de carácter personal que resulte
         necesario para satisfacer un interés legítimo del responsable o de los terceros a los que se vayan a comunicar, exige además
         de que no se lesionen los derechos y libertades fundamentales de aquel que los datos consten en fuentes accesibles al público?
      
      2)      ¿Concurren en el mencionado artículo 7, letra f), las condiciones que exige la jurisprudencia del Tribunal de Justicia [...]
         para atribuirle efecto directo?»
      
      23      Mediante auto del Presidente del Tribunal de Justicia de 26 de octubre de 2010 se acumularon los asuntos C‑468/10 y C‑469/10
         a efectos de las fases escrita y oral del procedimiento y de la sentencia.
      
       Sobre las cuestiones prejudiciales
       Sobre la primera cuestión
      24      Mediante su primera cuestión, el órgano jurisdiccional remitente pregunta, en lo sustancial, si el artículo 7, letra f), de
         la Directiva 95/46 debe interpretarse en el sentido de que se opone a una normativa nacional que, para permitir el tratamiento
         de datos personales necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por
         el tercero o terceros a los que se comuniquen los datos, exige, en el caso de que no exista consentimiento del interesado,
         no sólo que se respeten los derechos y libertades fundamentales de éste, sino además que dichos datos figuren en fuentes accesibles
         al público.
      
      25      El artículo 1 de la Directiva 95/46 impone a los Estados miembros el deber de garantizar la protección de las libertades y
         de los derechos fundamentales de las personas físicas, y, en particular, del derecho a la intimidad, en lo que respecta al
         tratamiento de los datos personales (véase, en este sentido, la sentencia de 16 de diciembre de 2008, Huber, C‑524/06, Rec.
         p. I‑9705, apartado 47).
      
      26      Con arreglo a lo dispuesto en el capítulo II de la Directiva 95/46, titulado «Condiciones generales para la licitud del tratamiento
         de datos personales», sin perjuicio de las excepciones admitidas al amparo de su artículo 13, todo tratamiento de datos personales
         debe ser conforme, por una parte, con los principios relativos a la calidad de los datos, enunciados en el artículo 6 de dicha
         Directiva, y, por otra, con alguno de los seis principios relativos a la legitimación del tratamiento de datos, enumerados
         en su artículo 7 (véanse, en este sentido, las sentencias de 20 de mayo de 2003, Österreichischer Rundfunk y otros, C‑465/00,
         C‑138/01 y C‑139/01, Rec. p. I‑4989, apartado 65, y Huber, antes citada, apartado 48).
      
      27      Del séptimo considerando de la Directiva 95/46 se desprende que las diferencias entre los regímenes nacionales aplicables
         al tratamiento de datos personales pueden afectar seriamente al establecimiento y al funcionamiento del mercado interior (véase
         la sentencia de 6 de noviembre de 2003, Lindqvist, C‑101/01, Rec. p. I‑12971, apartado 79).
      
      28      En este contexto, procede recordar que la Directiva 95/46 tiene por objeto, tal y como se desprende, en particular, de su
         octavo considerando, equiparar el nivel de protección de los derechos y libertades de las personas por lo que se refiere al
         tratamiento de datos personales en todos los Estados miembros. Su décimo considerando añade que la aproximación de las legislaciones
         nacionales en la materia no debe conducir a una disminución de la protección que garantizan sino que, por el contrario, debe
         tener por objeto asegurar un alto nivel de protección dentro de la Unión (véanse, en este sentido, las sentencias antes citadas
         Lindqvist, apartado 95, y Huber, apartado 50).
      
      29      Se ha declarado así que la armonización de dichas legislaciones nacionales no se limita a una armonización mínima, sino que
         constituye, en principio, una armonización completa. Desde este punto de vista, la Directiva 95/46 trata de asegurar la libre
         circulación de datos personales, garantizando al mismo tiempo un alto nivel de protección de los derechos e intereses de las
         personas a las que se refieren dichos datos (véase la sentencia Lindqvist, antes citada, apartado 96).
      
      30      Así pues, se deduce del objetivo consistente en asegurar un nivel de protección equivalente en todos los Estados miembros
         que el artículo 7 de la Directiva 95/46 establece una lista exhaustiva y taxativa de los casos en que un tratamiento de datos
         personales puede considerarse lícito.
      
      31      Corroboran esta interpretación los términos «sólo pueda efectuarse si» y la conjunción «o», empleados en el artículo 7 de
         la Directiva 95/46, que ponen de manifiesto el carácter exhaustivo y taxativo de la lista que figura en dicho artículo.
      
      32      De ello se desprende que los Estados miembros no pueden ni añadir al artículo 7 de la Directiva 95/46 nuevos principios relativos
         a la legitimación de los tratamientos de datos personales ni imponer exigencias adicionales que vendrían a modificar el alcance
         de alguno de los seis principios establecidos en dicho artículo.
      
      33      No se opone a la anterior interpretación el artículo 5 de la Directiva 95/46. En efecto, dicho artículo solo autoriza a los
         Estados miembros a precisar, dentro de los límites del capítulo II de la Directiva, y, por ende, del artículo 7 de ésta, las
         condiciones en que los tratamientos de datos personales son lícitos.
      
      34      Por lo tanto, el margen de apreciación de que disponen los Estados miembros en virtud del citado artículo 5 únicamente puede
         utilizarse de conformidad con el objetivo perseguido por la Directiva 95/46, que consiste en mantener un equilibrio entre
         la libre circulación de datos personales y la tutela del derecho a la intimidad (véase la sentencia Lindqvist, antes citada,
         apartado 97).
      
      35      La Directiva 95/46 contiene normas que se caracterizan por una cierta flexibilidad y deja en muchos casos en manos de los
         Estados miembros la tarea de regular los detalles o de elegir entre varias opciones (véase la sentencia Lindqvist, antes citada,
         apartado 83). Es preciso distinguir, pues, entre medidas nacionales que establecen exigencias adicionales que modifican el
         alcance de un principio fijado en el artículo 7 de la Directiva 95/46, por una parte, y medidas nacionales que se limitan
         a precisar alguno de estos principios, por otra parte. El primer tipo de medida nacional está prohibido, y únicamente en el
         contexto del segundo tipo de medida nacional disponen los Estados miembros de un margen de apreciación, con arreglo al artículo
         5 de la Directiva 95/46.
      
      36      Se desprende de lo anterior que los Estados miembros tampoco pueden introducir, al amparo de lo dispuesto en el artículo 5
         de la Directiva 95/46, principios relativos a la legitimación de los tratamientos de datos personales distintos a los enunciados
         en el artículo 7 de esa Directiva ni modificar, mediante exigencias adicionales, el alcance de los seis principios establecidos
         en dicho artículo 7.
      
      37      En el presente asunto, el artículo 7, letra f), de la Directiva 95/46 dispone que el tratamiento de datos personales es lícito
         si «es necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero
         o terceros a los que se comuniquen los datos, siempre que no prevalezca el interés o los derechos y libertades fundamentales
         del interesado que requieran protección con arreglo al apartado 1 del artículo 1 de la presente Directiva».
      
      38      Dicho artículo 7, letra f), establece dos requisitos acumulativos para que un tratamiento de datos personales sea lícito,
         a saber, por una parte, que ese tratamiento de datos personales sea necesario para la satisfacción del interés legítimo perseguido
         por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, y, por otra parte, que no
         prevalezcan los derechos y libertades fundamentales del interesado.
      
      39      De ello se sigue que, en lo que respecta al tratamiento de datos personales, el artículo 7, letra f), de la Directiva 95/46
         se opone a toda normativa nacional que, en el caso de que no exista consentimiento del interesado, imponga exigencias adicionales
         que se sumen a los dos requisitos acumulativos mencionados en el apartado anterior.
      
      40      No obstante, ha de tenerse en cuenta que el segundo de esos requisitos exige una ponderación de los derechos e intereses en
         conflicto, que dependerá, en principio, de las circunstancias concretas del caso particular de que se trate y en cuyo marco
         la persona o institución que efectúe la ponderación deberá tener en cuenta la importancia de los derechos que los artículos
         7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea confieren al interesado (en lo sucesivo, «Carta»).
      
      41      A este respecto, procede señalar que el artículo 8, apartado 1, de la Carta declara que «toda persona tiene derecho a la protección
         de los datos de carácter personal que le conciernan». Este derecho fundamental se halla íntimamente ligado al derecho al respeto
         de la vida privada, consagrado en el artículo 7 de dicha Carta (sentencia de 9 de noviembre de 2010, Volker und Markus Schecke
         y Eifert, C‑92/09 y C‑93/09, Rec. p. I‑0000, apartado 47).
      
      42      Según la jurisprudencia del Tribunal de Justicia, el respeto del derecho a la vida privada en lo que respecta al tratamiento
         de los datos de carácter personal, reconocido por los artículos 7 y 8 de la Carta, se aplica a toda información sobre una
         persona física identificada o identificable (véase la sentencia Volker und Markus Schecke y Eifert, antes citada, apartado
         52). No obstante, de los artículos 8, apartado 2, y 52, apartado 1, de la Carta se desprende que, bajo ciertas condiciones,
         pueden introducirse limitaciones a dicho derecho.
      
      43      Además, corresponde a los Estados miembros, a la hora de adaptar su ordenamiento jurídico a la Directiva 95/46, procurar basarse
         en una interpretación de ésta que les permita garantizar un justo equilibrio entre los distintos derechos y libertades fundamentales
         protegidos por el ordenamiento jurídico de la Unión (véase, por analogía, la sentencia de 29 de enero de 2008, Promusicae,
         C‑275/06, Rec. p. I‑271, apartado 68).
      
      44      En lo que respecta a la ponderación requerida por el artículo 7, letra f), de la Directiva 95/46, cabe tomar en consideración
         el hecho de que la gravedad de la lesión de los derechos fundamentales de la persona afectada por dicho tratamiento puede
         variar en función de que los datos figuren ya, o no, en fuentes accesibles al público.
      
      45      En efecto, a diferencia de los tratamientos de datos que figuran en fuentes accesibles al público, los tratamientos de datos
         que figuran en fuentes no accesibles al público implican necesariamente que el responsable del tratamiento y, en su caso,
         el tercero o terceros a quienes se comuniquen los datos dispondrán en lo sucesivo de ciertas informaciones sobre la vida privada
         del interesado. Esta lesión, más grave, de los derechos del interesado consagrados en los artículos 7 y 8 de la Carta debe
         ser apreciada en su justo valor, contrapesándola con el interés legítimo perseguido por el responsable del tratamiento o por
         el tercero o terceros a los que se comuniquen los datos.
      
      46      A este respecto, procede subrayar que nada se opone a que, en ejercicio del margen de apreciación que les confiere el artículo
         5 de la Directiva 95/46, los Estados miembros establezcan los principios que deben regir dicha ponderación.
      
      47      No obstante, si una normativa nacional excluye la posibilidad de tratar determinadas categorías de datos personales, estableciendo
         con carácter definitivo el resultado de la ponderación de los derechos e intereses en conflicto respecto de tales categorías,
         sin permitir un resultado diferente en atención a las circunstancias particulares de cada caso concreto, no se trata ya de
         una precisión en el sentido del citado artículo 5.
      
      48      Por lo tanto, sin perjuicio del artículo 8 de la Directiva 95/46, relativo al tratamiento de determinadas categorías particulares
         de datos, disposición que no se discute en el litigio principal, el artículo 7, letra f), de dicha Directiva se opone a que
         un Estado miembro excluya de forma categórica y generalizada la posibilidad de someter a un tratamiento de datos determinadas
         categorías de datos personales, sin permitir ponderar los derechos e intereses en conflicto en cada caso concreto.
      
      49      Habida cuenta de estas consideraciones, procede responder a la primera cuestión que el artículo 7, letra f), de la Directiva
         95/46 debe interpretarse en el sentido de que se opone a una normativa nacional que, para permitir el tratamiento de datos
         personales necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero
         o terceros a los que se comuniquen los datos, exige, en el caso de que no exista consentimiento del interesado, no sólo que
         se respeten los derechos y libertades fundamentales de éste, sino además que dichos datos figuren en fuentes accesibles al
         público, excluyendo así de forma categórica y generalizada todo tratamiento de datos que no figuren en tales fuentes.
      
       Sobre la segunda cuestión
      50      Mediante su segunda cuestión, el órgano jurisdiccional remitente pregunta, en lo sustancial, si el artículo 7, letra f), de
         la Directiva 95/46 tiene efecto directo.
      
      51      A este respecto procede recordar que, según reiterada jurisprudencia del Tribunal de Justicia, siempre que las disposiciones
         de una directiva resulten ser, desde el punto de vista de su contenido, incondicionales y suficientemente precisas, los particulares
         podrán invocarlas frente al Estado, en particular cuando éste no haya adaptado el Derecho nacional a la Directiva dentro del
         plazo señalado o cuando haya procedido a una adaptación incorrecta (véase la sentencia de 3 de marzo de 2011, Auto Nikolovi,
         C‑203/10, Rec. p. I‑0000, apartado 61 y jurisprudencia que se cita).
      
      52      Resulta obligado hacer constar que el artículo 7, letra f), de la Directiva 95/46 es una disposición suficientemente precisa
         para poder ser invocada por un particular y aplicada por los órganos jurisdiccionales nacionales. Además, si bien no puede
         negarse que la Directiva 95/46 confiere a los Estados miembros un margen de apreciación más o menos grande para la aplicación
         de algunas de sus disposiciones, el citado artículo 7, letra f), enuncia, por su parte, una obligación incondicional (véase,
         por analogía, la sentencia Österreichischer Rundfunk y otros, antes citada, apartado 100).
      
      53      El empleo de la expresión «siempre que» en el propio texto del artículo 7, letra f), de la Directiva 95/46 no tiene entidad
         suficiente para poner en entredicho, por sí solo, el carácter incondicional de dicha disposición, en el sentido de la referida
         jurisprudencia.
      
      54      En efecto, con esta expresión se pretende establecer uno de los dos requisitos acumulativos formulados en el artículo 7, letra f),
         de la Directiva 95/46, al cumplimiento de los cuales queda supeditada la posibilidad de tratar datos de carácter personal
         sin el consentimiento del interesado. Como dicho requisito está definido, no priva al citado artículo 7, letra f), de su carácter
         preciso e incondicional.
      
      55      Por lo tanto, procede responder a la segunda cuestión que el artículo 7, letra f), de la Directiva 95/46 tiene efecto directo.
      
       Costas
      56      Dado que el procedimiento tiene, para las partes del litigio principal, el carácter de un incidente promovido ante el órgano
         jurisdiccional nacional, corresponde a éste resolver sobre las costas. Los gastos efectuados por quienes, no siendo partes
         del litigio principal, han presentado observaciones ante el Tribunal de Justicia no pueden ser objeto de reembolso.
      
      En virtud de todo lo expuesto, el Tribunal de Justicia (Sala Tercera) declara:
      1)      El artículo 7, letra f), de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa
            a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de
            estos datos, debe interpretarse en el sentido de que se opone a una normativa nacional que, para permitir el tratamiento de
            datos personales necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el
            tercero o terceros a los que se comuniquen los datos, exige, en el caso de que no exista consentimiento del interesado, no
            sólo que se respeten los derechos y libertades fundamentales de éste, sino además que dichos datos figuren en fuentes accesibles
            al público, excluyendo así de forma categórica y generalizada todo tratamiento de datos que no figuren en tales fuentes.
      2)      El artículo 7, letra f), de la Directiva 95/46 tiene efecto directo.
      Firmas
      * Lengua de procedimiento: español.