CELEX: 62021CC0077
Language: es
Date: 2022-03-31 00:00:00
Title: Conclusiones del Abogado General Sr. P. Pikamäe, presentadas el 31 de marzo de 2022.###

Edición provisional
CONCLUSIONES DEL ABOGADO GENERAL
SR. PRIIT PIKAMÄE
presentadas el 31 de marzo de 2022 (1)

Asunto C‑77/21

Digi Távközlési és Szolgáltató Kft.

contra

Nemzeti Adatvédelmi és Információszabadság Hatóság

[Petición de decisión prejudicial planteada por el Fővárosi Törvényszék (Tribunal General de la Capital, Hungría)]
«Procedimiento prejudicial — Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Artículo 5, apartado 1, letras b) y e) — Principio de limitación de la finalidad — Principio de limitación del plazo de conservación — Datos personales de clientes recogidos y almacenados de forma lícita — Creación de otra base de datos interna específica a raíz de un fallo técnico — Comprobación a posteriori de los fines del tratamiento — Doble fin — Diferencia entre los fines del tratamiento y los fines de la recogida de los datos — Compatibilidad del tratamiento con los fines de la recogida — Artículo 6, apartado 4 — No supresión de la base de datos tras la subsanación del fallo técnico — Consecución de los fines del tratamiento»

1.        ¿En qué condiciones un proveedor de acceso a Internet y de televisión puede conservar los datos personales de sus clientes, recogidos y ya almacenados de forma lícita, en un soporte interno adicional, sin su consentimiento explícito, pero para subsanar un fallo técnico?

2.        Esa es una de las cuestiones que se suscitan en el presente asunto, que permitirá al Tribunal de Justicia completar su jurisprudencia, cada vez más abundante, sobre el Reglamento (UE) 2016/679, (2) en particular, en lo que respecta al principio de limitación de la finalidad y del plazo de conservación consagrados en el artículo 5, apartado 1, letras b) y e), de dicha norma.
I.      Marco jurídico

3.        Resultan pertinentes en el presente asunto los artículos 4 a 6, 13 y 32 del RGPD.
II.    Litigio principal y cuestiones prejudiciales

4.        Digi Távközlési és Szolgáltató Kft. (en lo sucesivo, «Digi») es uno de los principales proveedores de servicios de Internet y de televisión en Hungría.

5.        En abril de 2018, tras un fallo técnico que afectó al funcionamiento de un servidor, Digi creó una base de datos «de prueba» en la que copió los datos personales de aproximadamente la tercera parte de sus clientes particulares.

6.        El 23 de septiembre de 2019, Digi tuvo conocimiento de que un «hacker ético» había tenido acceso a los datos personales de unas 322 000 personas. Fue el propio hacker quien señaló el ataque por escrito a dicha empresa en un correo electrónico de 21 de septiembre de 2019, recuperando, a modo de demostración, uno de los registros de la base de datos de prueba. Digi corrigió el fallo y celebró un contrato de confidencialidad con dicha persona, a la que ofreció una recompensa.

7.        Tras suprimir la base de datos de prueba, Digi notificó la violación de la seguridad de datos personales el 25 de septiembre de 2019 a la Nemzeti Adatvédelmi és Információszabadság Hatóság (Autoridad Nacional de Protección de Datos y de Libertad de la Información, Hungría; en lo sucesivo, «Autoridad»), que abrió una investigación.

8.        Mediante decisión de 18 de mayo de 2020, la Autoridad declaró, en particular, por un lado, que Digi había infringido el artículo 5, apartado 1, letras b) y e), del RGPD, al no suprimir la base de datos de prueba tras la realización de las pruebas necesarias y la corrección de los errores, de modo que había conservado en esa base de datos de prueba un gran número de datos de clientes durante casi dieciocho meses sin ninguna finalidad en un fichero que permitía la identificación de los interesados, y que no suprimir esa base de datos había posibilitado directamente la violación de la seguridad de los datos personales. Por otro lado, la Autoridad estimó que Digi había infringido el artículo 32, apartados 1 y 2, del RGPD. En esas circunstancias, la Autoridad impuso a Digi una multa por importe de 100 000 000 forintos húngaros (HUF) (aproximadamente 270 000 euros).

9.        Digi impugnó la legalidad de dicha decisión ante el órgano jurisdiccional remitente.

10.      Dicho tribunal señala que los datos personales que Digi copió en la base de datos de prueba fueron recogidos a efectos de la conclusión de contratos de abono y que la licitud de la recogida de los datos no ha sido cuestionada por la Autoridad. Sin embargo, desearía saber si, al copiar a otra base de datos unos datos que fueron recogidos con una finalidad determinada, se modifica la finalidad de la recogida y del tratamiento de los datos. Añade que también debe determinarse si es compatible con la finalidad de la recogida de los datos el hecho de crear una base de datos de prueba y continuar tratando los datos de clientes de este modo. A este respecto, el principio de limitación de la finalidad no ofrece indicaciones claras sobre cuáles son los sistemas internos del responsable del tratamiento en los que este está autorizado para efectuar el tratamiento de datos recogidos legítimamente, ni si dicho responsable puede copiar tales datos en una base de datos de prueba sin que se altere la finalidad de la recogida de datos.

11.      En caso de que la creación de una base de datos de prueba no sea compatible con la finalidad de la recogida, el órgano jurisdiccional remitente se pregunta además si, en la medida en que la finalidad del tratamiento de los datos de clientes en otra base de datos no era la corrección de errores, sino la conclusión de contratos, el tiempo necesario de conservación viene determinado por la corrección de los errores o más bien por la ejecución de las obligaciones contractuales.

12.      En estas circunstancias, el Fővárosi Törvényszék (Tribunal General de la Capital, Hungría) decidió suspender el procedimiento y plantear al Tribunal de Justicia las siguientes cuestiones prejudiciales:
«1)      ¿Debe interpretarse el concepto de “limitación de la finalidad” definido en el artículo 5, apartado 1, letra b), del [RGPD], en el sentido de que es conforme con dicho concepto el hecho de que el responsable del tratamiento conserve paralelamente en otra base de datos unos datos personales que, por lo demás, fueron recogidos y conservados con una finalidad legítima limitada o, por el contrario, por lo que respecta a la base de datos paralela, ya no es válida la finalidad legítima limitada de la recogida de datos?
2)      En caso de que se responda a la primera cuestión prejudicial en el sentido de que la conservación paralela de datos resulta en sí misma incompatible con el principio de “limitación de la finalidad”, ¿es compatible con el principio de “limitación del plazo de conservación” establecido en el artículo 5, apartado 1, letra e), del [RGPD] el hecho de que el responsable del tratamiento conserve paralelamente en otra base de datos unos datos personales que, por lo demás, fueron recogidos y conservados con una finalidad legítima limitada?»
III. Procedimiento ante el Tribunal de Justicia

13.      Han presentado observaciones escritas las partes demandante y demandada en el litigio principal, los Gobiernos húngaro, checo y portugués y la Comisión Europea. En la vista celebrada el 17 de enero de 2022 formularon observaciones orales las partes demandante y demandada en el litigio principal, el Gobierno húngaro y la Comisión.
IV.    Análisis

A.      Sobre la admisibilidad

14.      La Autoridad y el Gobierno húngaro han manifestado sus dudas sobre la admisibilidad de la petición de decisión prejudicial alegando que las cuestiones planteadas no reflejan los hechos del litigo principal y no son directamente pertinentes para la resolución de este.

15.      De reiterada jurisprudencia del Tribunal de Justicia se desprende que corresponde exclusivamente al juez nacional que conoce del litigio y que debe asumir la responsabilidad de la decisión jurisdiccional que se ha de pronunciar apreciar, a la luz de las particularidades del asunto, tanto la necesidad de una decisión prejudicial para poder dictar sentencia como la pertinencia de las cuestiones que plantea al Tribunal de Justicia. Por consiguiente, cuando las cuestiones planteadas se refieren a la interpretación o a la validez de una norma del Derecho de la Unión, en principio, el Tribunal de Justicia está obligado a pronunciarse. De ello se deduce que las cuestiones planteadas por los órganos jurisdiccionales nacionales disfrutan de una presunción de pertinencia. La negativa del Tribunal de Justicia a pronunciarse sobre una cuestión prejudicial planteada por un órgano jurisdiccional nacional solo es posible cuando resulta evidente que la interpretación solicitada no tiene relación alguna con la realidad o con el objeto del litigio principal, cuando el problema sea de naturaleza hipotética o cuando el Tribunal de Justicia no disponga de los elementos de hecho y de Derecho necesarios para responder adecuadamente a las cuestiones que se le hayan planteado. En el caso de autos, la petición de decisión prejudicial contiene elementos de hecho y Derecho suficientes para comprender el alcance de las cuestiones prejudiciales. Asimismo, y ante todo, ningún elemento de los autos que obran en poder del Tribunal de Justicia permite considerar que la interpretación del Derecho de la Unión que se solicita no tenga relación con la realidad o con el objeto del litigio principal o sea de naturaleza hipotética. (3)

16.      Conviene señalar, a este respecto, que el órgano jurisdiccional remitente conoce de un recurso de anulación de una decisión por la que se sanciona a Digi, en su condición de responsable del tratamiento, por una supuesta violación de los principios de limitación de la finalidad y del plazo de conservación consagrados en el artículo 5, apartado 1, letras b) y e), del RGPD, sobre el que versa la petición de decisión prejudicial de interpretación de dicho órgano jurisdiccional. Por consiguiente, procede declarar la admisibilidad de la petición de decisión prejudicial.
B.      Sobre el marco jurídico de análisis

17.      Ha de señalarse que la petición de decisión prejudicial versa en exclusiva sobre la interpretación del artículo 5 del RGPD en el contexto de un litigio principal relativo a la licitud de un tratamiento de datos personales realizado por Digi, uno de los principales proveedores de servicios de Internet y de televisión en Hungría que tiene, por consiguiente, la condición de proveedor que ofrece acceso a servicios de comunicación al público en línea.

18.      Pues bien, es preciso señalar que el artículo 1 de la Directiva 2002/58/CE (4) dispone, en su apartado 1, que esa Directiva prevé la armonización de las disposiciones nacionales necesarias para garantizar, en particular, un nivel equivalente de protección de las libertades y los derechos fundamentales y, en particular, del derecho a la intimidad y la confidencialidad, en lo que respecta al tratamiento de los datos personales en el sector de las comunicaciones electrónicas. Además, el artículo 3 de la Directiva 2002/58 dispone que dicha Directiva se aplica al tratamiento de datos personales en relación con la prestación de servicios de comunicaciones electrónicas disponibles al público en las redes públicas de comunicaciones de la Unión, incluidas las redes públicas de comunicaciones que den soporte a dispositivos de identificación y recopilación de datos. Por lo tanto, debe considerarse que dicha Directiva regula las actividades de los proveedores de tales servicios. (5)

19.      De conformidad con su artículo 1, apartado 2, la Directiva 2002/58 especifica y completa la Directiva 95/46/CE (6) a los efectos mencionados en dicho apartado 1, teniendo en cuenta que, con arreglo al artículo 94, apartado 2, del RGPD, toda referencia a la Directiva 95/46 realizada en la Directiva 2002/58 se entenderá hecha a ese Reglamento. (7) Según el considerando 10 de la Directiva 2002/58, en el sector de las comunicaciones electrónicas es de aplicación la Directiva 95/46, en particular para todas las cuestiones relativas a la protección de los derechos y las libertades fundamentales que no están cubiertas de forma específica por las disposiciones de la Directiva 2002/58, incluidas las obligaciones del responsable del tratamiento de los datos y los derechos de las personas. (8)

20.      De la petición de decisión prejudicial se desprende que el litigio principal no guarda relación con la utilización de los servicios de comunicaciones electrónicas por parte de los abonados de Digi ni, por consiguiente, con la protección de las comunicaciones realizadas y de los correspondientes datos de tráfico que se rige por la Directiva 2002/58, sino que se enmarca en el ámbito del funcionamiento interno de esa empresa. Es pacífico que, en 2018, tras un fallo técnico del servidor que se tradujo en la imposibilidad de acceder a la base de datos inicial de sus abonados, Digi creó un fichero denominado «prueba» en el que copió los datos personales de parte de sus clientes. (9) Después de subsanar ese fallo, Digi siguió almacenando esos datos en la base de datos adicional hasta septiembre de 2019, momento en el que se produjo un ataque informático que afectó a dicha base. Esa actividad desarrollada por Digi es un «tratamiento de datos personales» del que esa empresa es «responsable», en el sentido de las definiciones proporcionadas en el artículo 4, puntos 2 y 7, del RGPD. Además, la Autoridad ha sancionado a Digi por su condición de tal, al haber incumplido en esa ocasión las obligaciones que le incumben, en particular, con arreglo al artículo 5, apartado 1, letras b) y e), del RGPD.

21.      A este respecto debe recordarse que, sin perjuicio de las excepciones permitidas con arreglo al artículo 23 del RGPD, todo tratamiento de datos personales debe respetar los principios que lo rigen y los derechos del interesado reconocidos, respectivamente, en los capítulos II y III de dicho Reglamento. En particular, todo tratamiento de datos de carácter personal debe, por una parte, ser conforme con los principios establecidos en el artículo 5 de dicho Reglamento y, por otra parte, cumplir las condiciones de licitud enumeradas en el artículo 6 del mismo Reglamento. (10)

22.      A tenor del artículo 5 del RGPD, incumbe al responsable del tratamiento garantizar que los datos personales sean «tratados de manera lícita, leal y transparente» [letra a)], que sean «recogidos con fines determinados, explícitos y legítimos, y no [sean] tratados ulteriormente de manera incompatible con dichos fines» [letra b)], que sean «adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que se recaben y para los que se traten ulteriormente» [letra c)], que sean «exactos y, si fuera necesario, actualizados» [letra d)], y, por último, que sean «mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines para los que fueron recabados o para los que se traten ulteriormente» [letra d)], quedando el tratamiento de datos con fines históricos, estadísticos o científicos sujeto a disposiciones específicas. En este marco, el mencionado responsable debe adoptar todas las medidas razonables para que los datos que no responden a los requisitos de esta disposición sean suprimidos o  rectificados. (11)
C.      Sobre el alcance de la petición de decisión prejudicial

23.      El órgano jurisdiccional remitente solicita al Tribunal de Justicia indicaciones sobre la interpretación de los principios de limitación de la finalidad y de limitación del plazo de conservación consagrados en el artículo 5, apartado 1, letras b) y e), del RGPD, respectivamente, lo cual se ha traducido en el planteamiento de dos cuestiones prejudiciales distintas relativas a estas disposiciones. Sin embargo, la segunda cuestión prejudicial, referida al principio de limitación del plazo de conservación de los datos, únicamente se plantea de forma condicional, en caso de que el tratamiento en cuestión sea incompatible con el principio de limitación de la finalidad.

24.      Pues bien, ha de señalarse que las exigencias relativas al tratamiento de datos personales enunciadas en el artículo 5 del RGPD son claramente acumulativas y autónomas las unas de las otras. (12) La problemática del respeto del principio de limitación del plazo de conservación es independiente desde el punto de vista jurídico de la relativa al principio de limitación de la finalidad. En la decisión que constituye el objeto del litigio principal, la Autoridad considera que el almacenamiento de datos en un soporte adicional interno dio lugar a la vulneración de los dos principios independientes antes citados.

25.      Aun cuando el tribunal remitente ha limitado formalmente su segunda cuestión prejudicial al imprimirle carácter condicional, tal circunstancia no obsta para que el Tribunal de Justicia le proporcione todos los elementos de interpretación que puedan serle útiles para enjuiciar el litigio principal, extrayendo del conjunto de datos aportados por dicho órgano jurisdiccional, y especialmente de la motivación de la resolución de remisión, los elementos del Derecho de la Unión que requieren una interpretación, teniendo en cuenta el objeto del litigio principal. (13)
D.      Sobre la licitud del tratamiento a la luz de los principios de limitación de la finalidad y del plazo de conservación

1.      Consideraciones preliminares

26.      Considero necesario analizar, con carácter preliminar, el alcance respectivo de los principios definidos en el artículo 5, apartado 1, letras b) y e), del RGPD a la luz del concepto de conservación empleado en la resolución de remisión y en los escritos de las partes interesadas a efectos de definir la operación de tratamiento censurada desde dos perspectivas. El primero  está relacionado con la acción misma de la conservación o salvaguarda de los datos, en este caso, el almacenamiento en una base de datos interna adicional de una copia de los datos de una parte de los abonados de Digi. El segundo se refiere a la conservación en el sentido de mantener en el tiempo esa base de datos. La cuestión que se plantea entonces es la de la duración del almacenamiento de los datos. A este respecto, la cuestión temporal antes citada no guarda relación, en mi opinión, con el principio de limitación de la finalidad, sino exclusivamente con el principio de limitación del plazo de conservación.

27.      El principio de limitación de la finalidad, establecido en el artículo 5, apartado 1, letra b), del RGPD, tiene dos vertientes: por un lado, los datos personales deben recogerse con fines «determinados, explícitos y legítimos» y, por otro lado, no pueden ser «tratados ulteriormente de manera incompatible» con dichos fines. Este principio pretende delimitar de la forma más clara posible la utilización de los datos personales garantizando el equilibrio entre el respecto de los derechos fundamentales de los interesados a la vida privada y a la protección de datos y el reconocimiento de cierta flexibilidad al responsable del tratamiento para gestionar esos datos como exige el entorno digital y sus imprevistos.

28.      En su segunda vertiente, que es la que interesa en mayor medida en el presente asunto, ese principio pretende definir los límites en los que pueden reutilizarse datos personales recogidos para una finalidad concreta. De conformidad con el artículo 5, apartado 1, letra b), del RGPD, todo tratamiento posterior a la recogida debe considerarse un «tratamiento ulterior» y, por consiguiente, responder a la exigencia de compatibilidad salvo excepciones. (14) Dicha compatibilidad traduce la necesidad de que exista una relación concreta, lógica y suficientemente estrecha entre el fin de la recogida de los datos y su tratamiento ulterior. En otras palabras, el citado tratamiento no puede estar desligado del fin inicial de la recogida de los datos o estar en contradicción con él, y su objeto debe cohonestarse con la razón de ser de la recogida, al margen de cualquier cuestión temporal.

29.      El principio de limitación de la finalidad no constituye una manifestación del principio de proporcionalidad en sentido estricto, a diferencia de lo que ocurre con el de limitación del plazo de conservación enunciado en el artículo 5, apartado 1, letra e), del RGPD. Como ha precisado el Tribunal de Justicia, de las exigencias establecidas en dicho artículo se deduce que incluso un tratamiento inicialmente lícito de datos puede devenir, con el tiempo, incompatible con dicho Reglamento cuando estos datos ya no sean necesarios en relación con los fines para los que se recogieron o trataron. Este es el caso, en particular, cuando son inadecuados, no pertinentes o ya no pertinentes o son excesivos en relación con estos fines y el tiempo transcurrido. (15)

30.      Así, se trata de apreciar, en el marco del principio de limitación del plazo de conservación, el carácter proporcionado del tratamiento en relación con su finalidad a la luz del transcurso del tiempo. Será contrario a ese principio conservar datos durante más tiempo del preciso, es decir, durante un período superior al necesario para los fines para los que se han conservado esos datos. (16) Los datos deben destruirse una vez cumplidos los fines del tratamiento. (17) Por consiguiente, el principio de limitación del plazo de conservación permite responder a la pregunta de cuándo dejó de estar justificado el almacenamiento de los datos en un soporte interno adicional de Digi.

31.      Habida cuenta de las consideraciones anteriores, examinaré la licitud del tratamiento en cuestión a la luz de estos dos principios.
2.      Sobre el principio de limitación de la finalidad

32.      Para comprobar si se respeta ese principio, en su segunda vertiente, es preciso determinar con carácter previo el o los fines de la recogida de los datos en cuestión. De los autos puestos a disposición del Tribunal de Justicia resulta que Digi recogió esos datos para concluir y ejecutar contratos de abono ofrecidos en su condición de proveedor de acceso a Internet y de televisión y que las partes en el litigio principal no discrepan sobre la licitud de ese primer tratamiento. Lo mismo ocurre con la ineludible operación de tratamiento posterior consistente en almacenar de tales datos en un soporte específico que llamaremos base de datos inicial. (18) En ese contexto, el órgano jurisdiccional remitente desearía en particular que se respondiera a la pregunta de si el fin determinado, explícito y legítimo de la recogida de los datos se ve «modificado» por el hecho de que estos se copien en una base de datos en paralelo a un primer almacenamiento no censurado por las partes.

33.      Según la jurisprudencia del Tribunal de Justicia, las normas de protección de datos personales contenidas en el RGPD deben respetarse por lo que respecta a todo tratamiento de dichos datos definido en su artículo 2. (19) Desde mi punto de vista, la citada pregunta pone de manifiesto un desconocimiento de la exigencia de apreciar individualmente todas las operaciones de tratamiento de datos posteriores a su recogida que se desprende, en este caso, del artículo 5, apartado 1, letra b), del RGPD.

34.      Dicho de otro modo, cada utilización posterior de esos datos debe examinarse para comprobar su fin particular y, en su caso, su compatibilidad con el de la recogida. La licitud de tal recogida y de un primer almacenamiento de los datos no puede tener una incidencia automática, por efecto contagio, en el respeto del principio de limitación de la finalidad de una actividad de tratamiento ulterior, con independencia de que ese tratamiento tenga por objeto los mismos datos. Como aduce el Gobierno húngaro, no puede considerarse que el responsable del tratamiento está facultado para almacenar datos personales en varios ficheros sin limitación si los ha recogido y tratado inicialmente de forma lícita.

35.      Es preciso pues examinar la compatibilidad entre los fines de la recogida de los datos y su tratamiento ulterior, exigida por el artículo 5, apartado 1, letra b), del RGPD. Sin embargo, esa cuestión solo se plantea, lógicamente, en caso de que el tratamiento se efectúe con fines distintos de los inicialmente declarados.

36.      Así, según el considerando 50 de ese Reglamento, el tratamiento de datos personales «con fines distintos» de aquellos para los que hayan sido recogidos inicialmente solo debe permitirse cuando sea compatible con los fines de tal recogida. El tenor del artículo 6, apartado 4, de ese Reglamento también respalda esa conclusión. Esa disposición recoge una lista no exhaustiva de los criterios que, en un caso concreto, permiten apreciar si el tratamiento «para otro fin» es compatible con el fin para el que se recogieron inicialmente los datos. Por consiguiente, de constatarse que el fin de la recogida de los datos y el fin de su tratamiento ulterior son idénticos, como afirma Digi, ya no se suscitaría la cuestión relativa a la compatibilidad y cabría concluir que ese tratamiento resulta lícito a la luz del principio de limitación de la finalidad. (20)
a)      Sobre los fines del tratamiento

37.      De los autos a disposición del Tribunal de Justicia y más concretamente de las declaraciones de Digi se desprende que, tras un fallo técnico del servidor que impidió el acceso a la base de datos inicial, dicha empresa almacenó una copia de los datos de parte de sus abonados en una base de datos interna adicional denominada base «de prueba» para subsanar la incidencia técnica y garantizar el acceso a los datos conforme a la obligación que impone al responsable del tratamiento el artículo 5, apartado 1, letra f), detallada en el artículo 32 del RGPD. (21) Digi afirma que esa operación de tratamiento contribuía también de esa manera a la consecución del fin para el que se recogieron los datos, a saber, la prestación del servicio contractualmente previsto. En tales circunstancias, el almacenamiento censurado no está ligado a un fin distinto, lo cual excluye cualquier infracción del artículo 5, apartado 1, letra b), de dicho Reglamento.

38.      Aunque evidentemente incumbe al órgano jurisdiccional remitente comprobar la licitud de la mencionada operación de tratamiento a la luz, en particular, de las exigencias que impone el artículo 5 del RGPD y de todas las circunstancias que concurren en el presente asunto, pueden proporcionársele varias indicaciones a este respecto.

39.      En primer término, procede señalar que Digi alega, en esencia, que el tratamiento censurado tienes dos fines, de manera que el fin primero y específico de subsanar el fallo del servidor y de garantizar la disponibilidad de los datos de los abonados ya estaba comprendido en el marco de un objetivo secundario y general relativo a la ejecución de los contratos de abono, que coincide con el de la recogida inicial.

40.      Es perfectamente concebible, en la práctica, que se recojan y traten ulteriormente datos personales con varios fines, supuesto que el RGPD prevé y admite claramente conforme acredita la redacción de  los artículos 5, apartado 1, letra b), y 6, apartado 1, letra a), así como la de sus considerandos 32 y 50. Este planteamiento responde a la necesidad de pragmatismo y flexibilidad que exigen los tratamientos complejos y escasamente lineales de los datos personales en la era digital. Sin embargo, debe tener en cuenta la exigencia de precisión del fin, que es un elemento clave de la aplicación del régimen europeo de protección de datos personales.

41.      Así, un fin definido con un grado de precisión suficiente constituye una garantía fundamental en lo que atañe a la previsibilidad y seguridad jurídica, pues contribuye a que el interesado pueda comprender mejor los posibles usos de sus datos y le permite tomar una decisión con pleno conocimiento de causa. Esa previsibilidad es básica a efectos de apreciar la compatibilidad entre el fin de la recogida de los datos y su tratamiento ulterior, reduciendo así el riesgo de distorsión entre las expectativas razonables de los interesados sobre la posible utilización de sus datos en el futuro y las operaciones realizadas por el responsable del tratamiento. También es preciso especificar el fin para que se puedan aplicar otros requisitos en materia de calidad de los datos como su adecuación, pertinencia, proporcionalidad y exactitud, así como las exigencias relativas a su plazo de conservación de conformidad con el artículo 5, apartado 1, letras c), d) y e), del RGPD.

42.      Por lo tanto, según se señala en el dictamen 3/2013 del Grupo de trabajo del artículo 29, (22) esta exigencia de precisión resulta aplicable a toda operación de tratamiento y no solo a la fase inicial de recogida de los datos. Es interesante destacar que el tratamiento de datos basado en el consentimiento del interesado solo será lícito, de acuerdo con el artículo 6, apartado 1, letra a), del RGPD, si dicho interesado dio su consentimiento para el tratamiento para uno o varios fines «específicos».

43.      En estas circunstancias, aunque un tratamiento determinado puede perseguir dos fines, cada uno de ellos debe ser preciso y tener un nexo objetivo y suficientemente estrecho con la operación de tratamiento de que se trate.

44.      En segundo término, es preciso referirse al contexto particular en el que debe realizarse la apreciación del fin o de los fines del tratamiento ulterior en cuestión.

45.      De conformidad con los considerandos 60 y 61 del RGPD, los principios de tratamiento leal y transparente exigen que se informe al interesado de la existencia de la operación de tratamiento y sus fines y que se le facilite la información sobre el tratamiento de sus datos personales en el momento en que se obtengan de él. A este respecto, el artículo 13, apartado 1, letra c), de dicho Reglamento prevé que cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará información relativa a los fines del tratamiento a que se destinan y la base jurídica del tratamiento.

46.      No obstante, por muy previsor y concienzudo que sea un responsable del tratamiento, es posible que, en el momento en que conciba el tratamiento, no sea capaz de considerar y determinar la naturaleza y el alcance exacto de todas las operaciones que constituyen la cadena de tratamiento de datos. Asimismo, este asunto es un ejemplo perfecto de los problemas que suscita la gestión de un fallo técnico, por definición fortuito, y la posterior realización de un determinado tipo de tratamiento de datos para un fin no especificado inicialmente.

47.      Cuando, como en el presente asunto, la licitud de un tratamiento es apreciada por la autoridad de control y, posteriormente, por el órgano jurisdiccional competente para pronunciarse sobre el recurso dirigido contra una decisión de dicha Autoridad, ese fin se comprueba a posteriori, a la luz de las indicaciones proporcionadas por el responsable del tratamiento durante el procedimiento administrativo. Con arreglo al principio de responsabilidad establecido en el artículo 5, apartado 2, del RGPD, corresponde a este último, en cuanto creador de la operación de tratamiento en cuestión, demostrar la realidad del fin invocado y, en su caso, la compatibilidad del tratamiento con el objetivo de la recogida de los datos. (23)

48.      A este respecto, para comprobar ese fin pueden tenerse en cuenta dos elementos concretos y objetivos. En primer lugar, el artículo 13, apartado 3, del RGPD dispone que, cuando los datos personales de un interesado se obtengan de él y el responsable del tratamiento tiene intención de realizar un tratamiento ulterior para un fin distinto del de la recogida, ese responsable debe facilitar al interesado con carácter previo información sobre ese otro fin (24) así como cualquier otra información pertinente indicada en el apartado 2 de dicha disposición. En segundo lugar, el artículo 30, apartado 1, del RGPD obliga a cada responsable del tratamiento a llevar un registro por escrito, inclusive en formato electrónico, de las actividades de tratamiento efectuadas bajo su responsabilidad y a ponerlo a disposición de la autoridad de control que lo solicite. Ese registro incluye distinta información, entre ella, la relativa a los fines del tratamiento.

49.      En este caso, parece acreditado que Digi no informó a ninguno de los abonados afectados de su intención de duplicar sus datos y almacenarlos en un soporte interno destinado a la realización de pruebas y a la subsanación de errores al considerar que tal operación de tratamiento no tenía un fin distinto de aquel para el que se recogieron los datos y que no estaba por tanto comprendida en el ámbito de aplicación del artículo 13, apartado 3, del RGPD. (25) Además, los autos que obran en poder del Tribunal de Justicia no permiten determinar si Digi puede acogerse a la dispensa prevista en el artículo 30, apartado 5, de dicho Reglamento con respecto a la obligación de llevar un registro. (26)

50.      Ha de señalarse en todo caso que, durante la vista, Digi manifestó claramente que el fallo técnico ocurrido en 2018 no dio lugar a una interrupción del servicio contractualmente previsto y que el almacenamiento censurado se realizó ante el riesgo de que esa interrupción pudiera producirse. Esas declaraciones deben ponerse en relación con comprobaciones materiales objetivas sobre la elección de la denominación de la base de datos llamada base de datos «de prueba», con el hecho de que esa base no contenía los datos de todos los abonados, sino solo de un tercio de ellos, y de que, tras haber sido olvidada por Digi durante los dieciocho meses siguientes a la subsanación del incidente técnico inicial, esa base fue suprimida de forma inmediata tras el ataque informático sufrido en septiembre 2019 que afectó a la seguridad de los datos.

51.      En estas circunstancias, parece posible considerar que el tratamiento censurado tenía como único objetivo, concreto y específico, proteger temporalmente una parte de los datos de abonados en relación con la subsanación de un incidente técnico que afectó al funcionamiento del servidor, es decir, en mi opinión, un fin distinto del de la recogida de los datos.

52.      La Comisión y Digi sostienen, en cambio, que no puede considerarse que ese tratamiento, dirigido a cumplir la obligación de seguridad que impone al responsable del tratamiento el artículo 5, apartado 1, letra f), del RGPD y que se detalla en su artículo 32, persigue un fin nuevo o distinto, so pena de atentar contra el efecto útil de dicho acto y de dar lugar a que se traslade a los interesados una información que carece de interés práctico.

53.      En mi opinión, este planteamiento abstracto y sistemático es contrario a la exigencia de apreciar la licitud de cada operación de tratamiento teniendo en cuenta todas las circunstancias pertinentes del caso. En realidad, es ese planteamiento el que priva de efecto útil a la obligación de informar a los interesados prevista en el artículo 13, apartado 3, del RGPD, información que el responsable del tratamiento debe facilitar a esas personas para garantizarles un tratamiento leal de sus datos. (27) Esta obligación tiene carácter imperativo cuando el tratamiento se realiza, como en el presente asunto, en el marco de una relación contractual y tiene su fundamento en el artículo 6, apartado 1, letra b), de dicho acto, relativo a la necesidad de ejecutar el contrato sin necesidad de recabar el consentimiento de las partes contratantes. Por último, ese enfoque pasa por alto la razón de ser del artículo 5, apartado 1, letra b), del RGPD, a saber, que un tratamiento ulterior que obedece a un fin distinto del de la recogida de los datos no es necesariamente ilícito, pues su compatibilidad con ese fin basta para cumplir lo dispuesto en la citada disposición.
b)      Sobre la compatibilidad del tratamiento

54.      El artículo 5, apartado 1, letra b), del RGPD no contiene ninguna indicación sobre las circunstancias en las que un tratamiento ulterior que tiene un objetivo distinto del fin de la recogida de datos inicial puede considerarse compatible con tal fin. Es preciso remitirse, a este respecto, al artículo 6, apartado 4, del RGPD, en relación con el considerando 50 de dicho acto, que pone de manifiesto un vínculo entre el principio de limitación de la finalidad y la base jurídica del tratamiento de que se trata.

55.      Dicha norma establece así una distinción en lo que respecta a la exigencia de compatibilidad, en función de que el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales esté o no basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, del RGPD

56.      En caso afirmativo, con arreglo al considerando 50, párrafo segundo, del RGPD, el responsable del tratamiento está autorizado a realizar un tratamiento ulterior de los datos personales con independencia de la compatibilidad de los fines. (28) Esta excepción a la exigencia de compatibilidad está justificada, en esencia, por la existencia de otras normas que protegen a los interesados, concretamente, las que prevén que se les informe de los otros fines y de su derecho a oponerse al tratamiento. (29)

57.      En caso negativo, situación que se corresponde con la del presente asunto, a tenor del artículo 6, apartado 4, del RGPD:
«[…]  el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
a)      cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
b)      el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
c)      la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
d)      las posibles consecuencias para los interesados del tratamiento ulterior previsto;
e)      la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización».

58.      A falta de cualquier indicación formal por parte de Digi en el momento de la recogida de los datos sobre el tratamiento ulterior previsto y su fin, es preciso adoptar un enfoque material que, en mi opinión, lleva a concluir que el tratamiento es compatible.

59.      A ese respecto, no cabe duda de que existe una relación entre el fin de la recogida de datos inicial, a saber, la ejecución de un contrato de abono a Internet y televisión, y un tratamiento encaminado a proteger esos datos en una base interna adicional y a realizar pruebas, con total seguridad, dirigidas a subsanar un fallo técnico potencialmente perjudicial para la prestación del servicio contractualmente previsto. Sin solaparse del modo antes indicado, tales fines están lógicamente relacionados.

60.      Ha de señalarse que ese tratamiento no se aparta de las expectativas legítimas de los abonados sobre la utilización ulterior de sus datos. En efecto, no puede considerarse sorprendente o improbable que los datos se almacenen con carácter adicional en un soporte interno debido a la necesidad de resolver un fallo técnico que afecta a la accesibilidad a los datos de la base inicial. Además, los datos en cuestión han seguido siendo tratados por el mismo responsable del tratamiento y no han sido comunicados a terceros, lo cual a priori pone de manifiesto la inexistencia de un impacto negativo. Desde mi punto de vista, el hecho de que, con ocasión de un ataque informático dirigido contra Digi, su autor pudiera acceder a datos que figuran en ese soporte no permite concluir de forma retroactiva que el citado tratamiento es incompatible.
3.      Sobre el principio de limitación del plazo de conservación

61.      De conformidad con el artículo 5, apartado 1, letra e), del RGPD, los datos personales serán mantenidos de forma que se permita la identificación de los interesados (30) durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, del mismo Reglamento, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone dicho Reglamento a fin de proteger los derechos y libertades del interesado.

62.      Como ya se ha declarado, el principio de limitación del plazo de conservación es reflejo del principio de proporcionalidad y del principio de «minimización de los datos», según el cual los datos personales deben ser adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados. (31) En el contexto del principio de limitación del plazo de conservación, la cuestión de la necesidad del tratamiento, contemplada desde la perspectiva temporal, guarda relación con la de la persistencia de sus fines.

63.      Conviene asimismo recordar que el respeto de la exigencia de proporcionalidad supone que las excepciones a la protección de los datos personales y las restricciones a dicha protección deben establecerse sin sobrepasar los límites de lo estrictamente necesario. (32) El Tribunal de Justicia ha declarado claramente que la finalidad del artículo 5, apartado 1, letra e), del RGPD es proteger a los interesados. (33)

64.      De manera igualmente explícita, el considerando 39 del RGPD dispone que el plazo de conservación de los datos debe «limit[arse] a un mínimo estricto» y que, a tal efecto, el responsable del tratamiento ha de establecer plazos para su supresión o revisión periódica. El artículo 13, apartado 2, letra a), del RGPD prevé que el responsable del tratamiento facilite al interesado, en el momento en que se obtengan los datos personales, información complementaria a la enumerada en el apartado 1 de dicho artículo que resulta necesaria para garantizar un tratamiento de datos leal y transparente, relativa en particular, al plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo. (34)

65.      En este contexto es preciso determinar, a la luz de todas las circunstancias del caso, (35) en qué momento podían considerarse alcanzados, en su caso, los fines del almacenamiento de una copia de los datos de una parte de los abonados en una base de datos interna adicional, privando así a ese tratamiento de su razón de ser y obligando a Digi a suprimir datos. Es evidente que incumbe al responsable del tratamiento, en aplicación del principio de responsabilidad previsto en el artículo 5, apartado 2, del RGPD, demostrar la licitud del tratamiento a la luz del principio de limitación del plazo de conservación y del principio de limitación de la finalidad.

66.      En este caso, considerando que el almacenamiento censurado tenía por objeto proteger los datos y contribuía así a la consecución del objetivo de ejecución del contrato de abono, Digi aduce que la duración del plazo de conservación de los datos contenidos en la base de datos de prueba se alineaba con la del período de ejecución de sus obligaciones contractuales, excluyendo así cualquier posible infracción del artículo 5, apartado 1, letra e), del RGPD.

67.      En cuanto a la determinación del fin o de los fines, me remito a todas las observaciones y apreciaciones realizadas al proporcionar una respuesta a la cuestión relativa al respeto del principio de limitación de la finalidad, de la que se desprende que no puede considerarse que el tratamiento en cuestión perseguía un doble fin que incluía la ejecución de los contratos de abono. (36)

68.      En cualquier caso, al margen de la naturaleza del o de los fines perseguidos, el tratamiento de datos consistente en el almacenamiento en un fichero interno adicional también debía limitarse en el tiempo a lo estrictamente necesario. Dicho de otro modo, una vez subsanado el fallo inicial, la circunstancia que justificó la operación de almacenamiento y su mantenimiento desapareció. El objetivo directo y principal de protección de los datos en relación con la subsanación del incidente técnico, tomado de forma aislada o incluso en conjunción con el objetivo indirecto y accesorio de ejecución del contrato de abono, ya no podía justificar que se siguiera realizando el tratamiento.

69.      Ha de señalarse que Digi ha indicado de forma inequívoca que la base de datos de prueba tenía como finalidad garantizar el acceso a los datos de los abonados «hasta la subsanación del error» y que, por un descuido, no la suprimió cuando su existencia ya no estaba justificada por la necesidad de subsanar errores, (37) lo cual demuestra que el tratamiento censurado ya no tenía utilidad y, por consiguiente, carecía de fin. ¿Puede considerarse que una base de datos interna olvidada, según reconoce el propio responsable del tratamiento, durante más de un año y medio puede aún responder a un fin efectivo? Desde mi punto de vista la respuesta debe ser forzosamente negativa.
V.      Conclusión

70.      A la luz de las consideraciones anteriores, propongo al Tribunal de Justicia que responda del modo siguiente al Fővárosi Törvényszék (Tribunal General de la Capital, Hungría):
«1)      El artículo 5, apartado 1, letra b), del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) debe interpretarse en el sentido de que el principio que consagra no se opone a la conservación de datos personales, recogidos y almacenados lícitamente en una base de datos interna adicional, siempre que dicho tratamiento tenga los mismos fines que los de la recogida o, en caso contrario, sea compatible con ellos, extremo que debe acreditar al responsable del tratamiento, incluso cuando el tratamiento se realiza para cumplir la obligación que le incumbe de garantizar una seguridad adecuada de los datos personales, prevista en el artículo 5, apartado 1, letra f), del citado Reglamento.
Cuando ese tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en un acto legislativo de la Unión o de un Estado miembro comprendido en el ámbito del artículo 23, apartado 2, del Reglamento 2016/679, su compatibilidad debe determinarse, en particular, a la luz de los criterios enunciados en el artículo 6, apartado 4, de ese mismo Reglamento.
2)      El artículo 5, apartado 1, letra e), del Reglamento 2016/679 debe interpretarse en el sentido de que el principio que consagra se opone a la conservación de datos de forma que se permita la identificación de los interesados, recogidos y almacenados lícitamente, en una base de datos interna adicional cuya finalidad es subsanar un fallo técnico y proteger temporalmente esos datos, más allá del período necesario para lograr ese objetivo y, por lo tanto, una vez subsanado el incidente, inclusive cuando ese objetivo, directo y principal, puede estar relacionado con el objetivo indirecto y accesorio de ejecución de la prestación del servicio contractualmente previsto.»

1      Lengua original: francés.

2      Reglamento del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO 2016, L 119, p. 1; corrección de errores en DO 2018, L 127, p. 3, y en DO 2021, L 74, p. 35)  (en lo sucesivo, «RGPD»).

3      Sentencia de 16 de julio de 2020, Facebook Ireland y Schrems (C‑311/18, EU:C:2020:559), apartados 73 y 74.

4      Directiva del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas) (DO 2002, L 201, p. 37).

5      Sentencia de 6 de octubre de 2020, Privacy International (C‑623/17, EU:C:2020:790), apartados 34 y 36.

6      Directiva del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (DO 1995, L 281, p. 31)

7      Conviene recordar que dado que el RGPD derogó y sustituyó a la Directiva 95/46 y que las disposiciones pertinentes de aquel Reglamento tienen un alcance sustancialmente idéntico al de las disposiciones pertinentes de esta Directiva, la jurisprudencia del Tribunal de Justicia relativa a la Directiva también resulta aplicable, en principio, al referido Reglamento (sentencia de 17 de junio de 2021, M. I. C. M., C‑597/19, EU:C:2021:492, apartado 107).

8      Véase la sentencia de 11 de noviembre de 2020, Orange Romania (C‑61/19, EU:C:2020:901), para una aplicación exclusiva de las disposiciones de la Directiva 95/46 y del RGPD en un asunto relativo al consentimiento de los clientes de la sociedad Orange România, proveedor de servicios de telecomunicaciones móviles en el mercado rumano, sobre la obtención y conservación de copias de sus documentos de identidad.

9      Del apartado 2 de las observaciones de la Comisión se desprende que esos datos correspondían a la siguiente información: nombre, lugar y fecha de nacimiento, dirección, número de documento de identidad, en algunas ocasiones número personal, dirección de correo electrónico y números de teléfono fijo y móvil de los interesados.

10      Sentencia de 6 de octubre de 2020, La Quadrature du Net y otros (C‑511/18, C‑512/18 y C‑520/18, EU:C:2020:791), apartado 208.

11      Véase, por analogía, la sentencia de 13 de mayo de 2014, Google Spain y Google (C‑131/12, EU:C:2014:317), apartado 72.

12      La autonomía de las obligaciones que incumben al responsable del tratamiento conforme al artículo 5 del RGPD no excluye la existencia de un vínculo entre tales obligaciones constituido, en este caso, por el concepto de fines. La comprobación de la naturaleza y de los fines de una actividad de tratamiento resulta esencial para apreciar si se respetan los principios enunciados en esa disposición y, en particular, los principios de limitación de la finalidad y del plazo de conservación de los datos de que se trata en el litigio principal.

13      Sentencia de 22 de abril de 2021, Profi Credit Slovakia (C‑485/19, EU:C:2021:313), apartado 50.

14      Un tratamiento ulterior con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos debe considerarse un tratamiento lícito compatible con los fines iniciales a tenor de lo dispuesto en el artículo 5, apartado 1, letra b), del RGPD, situación que no concurre en el litigio principal.

15      Véase, por analogía, la sentencia de 13 de mayo de 2014, Google Spain y Google (C‑131/12, EU:C:2014:317), apartado 93.

16      Véanse, en este sentido, las sentencias de 7 de mayo de 2009, Rijkeboer (C‑553/07, EU:C:2009:293), apartado 33, y de 13 de mayo de 2014, Google Spain y Google (C‑131/12, EU:C:2014:317), apartado 92.

17      Véase, en este sentido, la sentencia de 7 de mayo de 2009, Rijkeboer (C‑553/07, EU:C:2009:293), apartado 33.

18      Dada su naturaleza, el artículo 6, apartado 1, letras a) y b), del RGPD parece constituir la base jurídica adecuada de esas operaciones de tratamiento, la cual, por lo demás, no es objeto de debate en el presente asunto.

19      Véase, por analogía, la sentencia de 20 de mayo de 2003, Österreichischer Rundfunk y otros (C‑465/00, C‑138/01 y C‑139/01, EU:C:2003:294), apartado 40.

20      La operación de recogida de los datos personales de los clientes y la de su almacenamiento en la base de datos inicial responden simultáneamente al mismo fin, a saber, la prestación del servicio contractualmente previsto.

21      Véase el apartado 13 de las observaciones de Digi.

22      Órgano consultivo independiente creado en virtud del artículo 29 de la Directiva 95/46 y sustituido por el Comité Europeo de Protección de Datos desde la adopción del RGPD.

23      Véase, por analogía, la sentencia de 11 de noviembre de 2020, Orange Romania (C‑61/19, EU:C:2020:901), apartados 51 y 52.

24      La redacción del artículo 13, apartado 3, del RGPD corrobora el planteamiento de que la exigencia de precisión del fin no solo se aplica a la fase de recogida de los datos, sino que se refiere a toda operación de tratamiento.

25      Esa disposición refleja la flexibilidad en la gestión que se reconoce al responsable del tratamiento cuya apreciación determina en exclusiva que se aplique la obligación de informar a los interesados. Esa facultad exige, de forma correlativa, una comprobación rigurosa de los fines del tratamiento por parte de la autoridad de control, que resulta esencial para garantizar la licitud del tratamiento ulterior y, en particular, el cumplimiento de la exigencia de compatibilidad.

26      En efecto, el alcance de esa obligación se ve mermado por la existencia de una dispensa para las empresas u organizaciones que empleen a menos de 250 personas, a menos que el tratamiento que realicen pueda entrañar un riesgo para los derechos y libertades de los interesados, no sea ocasional, o incluya categorías especiales de datos personales indicadas en el artículo 9, apartado 1, RGPD o datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10 de dicho acto.

27      Sentencia de 11 de noviembre de 2020, Orange Romania (C‑61/19, EU:C:2020:901), apartado 48. Es de destacar que no se ha previsto la aplicación de la exención de la obligación de informar que incumbe al responsable del tratamiento cuando los datos personales no se obtienen del interesado, prevista en el artículo 14, apartado 5, letra b), del RGPD cuando el suministro de esa información es imposible o exige esfuerzos desproporcionados, a las situaciones que se rigen por el artículo 13 de dicho Reglamento.

28      Ha de señalarse que no están comprendidos entre los tratamientos eximidos de la exigencia de compatibilidad los basados en el artículo 6, apartado 1, letra c), del RGPD, relativo a los tratamientos necesarios para el cumplimiento de una obligación legal aplicable al responsable del tratamiento y, en particular, la prevista en el artículo 5, apartado 1, letra f), de dicho Reglamento, relativa a la garantía de seguridad adecuada de los datos.

29      Recordemos que, en virtud del artículo 6, apartado 1, letra a), del RGPD, un tratamiento es lícito si, y en la medida en que, el interesado haya dado su consentimiento para el tratamiento de sus datos personales «para uno o varios fines específicos».

30      Este requisito no constituye objeto de debate en el presente asunto.

31      Véase, en este sentido, la sentencia de 22 de junio de 2021, Latvijas Republikas Saeima (Puntos por infracciones de tráfico) (C‑439/19, EU:C:2021:504), apartado 98.

32      Sentencia de 6 de octubre de 2020, La Quadrature du Net y otros (C‑511/18, C‑512/18 y C‑520/18, EU:C:2020:791), apartado 210.

33      Véase, por analogía, la sentencia de 7 de mayo de 2009, Rijkeboer (C‑553/07, EU:C:2009:293), apartado 35.

34      A la luz de las condiciones en las que se realizó el tratamiento censurado, no se ha dado aplicación a esta disposición en el presente asunto.

35      Sentencia de 13 de mayo de 2014, Google Spain y Google (C‑131/12, EU:C:2014:317), apartado 94.

36      Recuerdo simplemente que la supresión de la base de datos de prueba inmediatamente después del ataque del hacker «ético» contra Digi, con independencia del mantenimiento de las relaciones contractuales con los abonados afectados, contradice de plano la alegación de que el mantenimiento de esa base estaba justificado por la ejecución de los contratos de abono.

37      Véase, en particular, el apartado 22 de las observaciones de Digi.