Source: https://tc.vlex.es/vid/proteccion-datos-personales-principio-794643405
Timestamp: 2019-10-23 08:29:32
Document Index: 156132837

Matched Legal Cases: ['artículo 58', 'artículo 35', 'artículo 34', 'artículo 19', 'artículo 58', 'e contrario', 'artículo 9', 'artículo 8', 'artículo 6']

STC 76/2019, 22 de Mayo de 2019 - Jurisprudencia - VLEX 794643405
Número de Recurso: 1405-2019
En el recurso de inconstitucionalidad núm. 1405-2019 interpuesto por el Defensor del Pueblo contra el apartado 1 del art. 58 bis de la Ley Orgánica 5/1985, de 19 de junio, del régimen electoral general, incorporado a esta por la disposición final tercera, apartado dos, de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales. Ha comparecido y formulado alegaciones el abogado del Estado. Ha sido ponente el magistrado don Cándido Conde-Pumpido Tourón.
El Defensor del Pueblo argumenta que el legislador no limita el tratamiento de datos personales que revelen opiniones políticas por parte de los partidos políticos en el marco de sus actividades electorales, y no establece cuáles son las garantías a las que se refiere el precepto impugnado, ni los criterios para determinarlas, ni el vehículo normativo que deba contenerlas, ni la autoridad o poder público que deba establecerlas, y ni siquiera realiza referencia alguna a los derechos de los titulares de los datos ni al modo y condiciones en que estos pueden ejercitarlos. De este modo, cualquier dato personal relativo a opiniones políticas, aun siendo un dato sensible especialmente protegido, puede ser objeto de tratamiento sin que hubiera sido aportado para este fin, o sin que su titular lo consienta, o sin que tenga noticia del tratamiento ni de su finalidad y sin que sepa en qué condiciones puede ejercer sus derechos de oposición y cancelación. Todo es posible, señala el recurso, al no haber precisado el legislador como debía, por mor del art. 53.1 CE, en qué consisten y cuáles son esas “garantías adecuadas”, con lo que los poderes de disposición y control sobre los datos personales que forman parte del contenido esencial del derecho del art. 18.4 CE quedan en cuestión, propiciándose una situación evidente de inseguridad jurídica contraria a su art. 9.3 que, en el contexto tecnológico actual, afecta también al derecho a la libertad ideológica del art. 16 y al derecho a la participación política del art. 23.1, todos ellos de la Constitución.
Argumenta también el recurso que el poder de disposición y control sobre los datos personales (STC 292/2000 , FJ 7) adquiere una relevancia extraordinaria cuando los datos concernidos son, como ocurre en este caso, los relativos a las opiniones políticas, los cuales, por su vinculación con otros derechos y libertades, como la ideológica (art. 16.1 CE) y las de expresión y comunicación [art. 20.1 a) y d) CE], así como el principio de igualdad (art. 14 CE), pertenecen a la categoría de datos especialmente protegidos.
Sin embargo, sostiene el Defensor del Pueblo, esta línea normativa acorde con la regulación internacional y europea se rompe con la tramitación de una enmienda de adición (núm. 331), que incorpora una nueva disposición final tercera que modifica la Ley Orgánica de régimen electoral general (LOREG) y le añade el nuevo artículo 58 bis , cuyo apartado primero, lejos de atender a la protección especial que en el contexto tecnológico actual debe proporcionarse a los datos que revelen opiniones políticas de las personas, abre la puerta a su tratamiento por los partidos políticos. El precepto ampara el tratamiento (la recopilación lo es), en principio prohibido, de datos personales relativos a opiniones políticas. Lo ampara genéricamente en el “interés público”, no en un interés público esencial como pide la norma europea. Y para obtener este amparo basta con la oferta de unas inciertas e indeterminadas “garantías adecuadas” que ni el precepto ni la norma en la que se inserta la LOREG concretan en absoluto. Y lo hace a favor de los partidos políticos “en el marco de sus actividades electorales”, otro concepto indeterminado que no tiene por qué coincidir con el periodo legalmente previsto en cada proceso de elecciones con la campaña electoral.
La mencionada enmienda se justificó en el contenido del considerando 56 del Reglamento Europeo 2016/679/UE, cuyo tenor literal es el siguiente: “Si, en el marco de actividades electorales, el funcionamiento del sistema democrático exige en un Estado miembro que los partidos políticos recopilen datos personales sobre las opiniones políticas de las personas, puede autorizarse el tratamiento de estos datos por razones de interés público, siempre que se ofrezcan garantías adecuadas”. Sin embargo, el mero valor interpretativo y no normativo del considerando no solo no proporciona amparo al precepto impugnado, sino que confirma las dudas que suscita, ya que la referencia al interés público al que genéricamente alude el art. 58 bis .1 LOREG se vincula en el considerando citado al que se daría si lo “exige el funcionamiento del sistema democrático” y no cualquier otro.
A juicio del Defensor del Pueblo, la genérica mención al “interés público” sin especificarlo no basta para fundamentar la intromisión que en el derecho a la protección de datos de carácter personal implica el amparo que se otorga al tratamiento de los datos relativos a opiniones políticas a favor de los partidos políticos en el también impreciso marco de sus actividades electorales. Además, la determinación de las “garantías adecuadas” a las que alude el precepto sin concretarlas implica necesariamente la regulación de las facultades atribuidas a los sujetos concernidos, esto es, a los titulares de los datos, así como las posibilidades de actuación que les correspondan, en definitiva, las facultades de disposición y control respecto de esos datos cuya recopilación se autoriza, lo que sin duda es parte integrante del contenido esencial del derecho a la protección de datos del art. 18.4 CE. Esa regulación debe contenerse en la ley por imperativo del art. 53.1 CE, sin que quepa derivarla en ningún caso, ni explícita ni implícitamente, como aquí ocurre, a otro poder, operador o instancia, y sin que el legislador pueda abdicar de su deber de regular concreta y pormenorizadamente las restricciones al derecho fundamental que se derivan de la autorización concedida a los partidos políticos para recopilar datos personales relativos a las opiniones políticas. Así pues, de acuerdo con lo afirmado en el fundamento jurídico 10 de la STC 292/2000 , el Defensor del Pueblo concluye que la mera mención al interés público y a la garantías adecuadas sin concretar ni cuál es aquel ni cuáles sean estas implica una intromisión directa en el derecho a la protección de datos personales, contraria, por tanto, a los arts. 18.4 y 53.1 CE. Dicho de otro modo, no se respeta el contenido esencial del derecho a la protección de datos cuando se ampara la recopilación de datos relativos a opiniones políticas sin fijar los límites de tal amparo; y no se respeta el principio de reserva de ley cuando el legislador abdica de su deber de concretar las condiciones y requisitos en las que ese tratamiento en principio prohibido deviene en legítimo.
La inconcreción de la norma respecto de las garantías que han de rodear la recopilación de datos personales relativos a las opiniones políticas por parte de los partidos políticos también produce una afectación indeseable respecto de la libertad ideológica garantizada por el art. 16 CE, al que se han referido las SSTC 19/1985 , de 13 de febrero, y 20/1990 , de 15 de febrero. La redacción del art. 58 bis .1, en cuanto ampara la recopilación por los partidos políticos de las opiniones políticas expresadas por los ciudadanos siempre que se “ofrezcan garantías adecuadas” pero sin establecer dichas garantías, supone una injerencia indebida en la libertad ideológica, al posibilitar el tratamiento de las opiniones políticas para un fin distinto del que motivó su expresión o manifestación y sin que quepa predecir las consecuencias que puedan derivarse de dicho tratamiento, el cual, además, con la tecnología disponible para el tratamiento combinado y masivo de datos procedentes de fuentes diversas, es potencialmente revelador de la propia ideología y contrario a la garantía del art. 16.2 CE.
A juicio del Defensor del Pueblo resulta indicativo que la enmienda núm. 331, origen del precepto, incluía un número 2 con las siguientes previsiones: “2. Cuando la difusión de propaganda electoral en redes sociales o medios equivalentes se base en la elaboración sistemática y exhaustiva de perfiles electorales de personas físicas, deberá realizarse una previa evaluación de impacto relativa a la protección de datos personales en los términos previstos en el artículo 35 del Reglamento (UE) 2016/79. Dicha difusión no podrá realizarse cuando se identifique un alto riesgo para los derechos y libertades de las personas y no se adopten las medidas necesarias para impedirlo.- Quedan prohibidas las actividades de propaganda electoral basadas en la elaboración de perfiles electorales en redes sociales o equivalentes cuando no se informe a sus destinatarios sobre su finalidad, la identidad del responsable, o la entidad contratada para su realización y los criterios de selección.” Este punto 2 de la enmienda, que no superó el trámite y no figura en el texto finalmente aprobado, evidencia la preocupación por las consecuencias que sobre los derechos de los electores puede tener la elaboración sistemática y exhaustiva de perfiles electorales. Pese a ello, el legislador, aun siendo consciente del riesgo que las nuevas tecnologías y el tratamiento masivo de datos puede suponer para los derechos y libertades de las personas y, en lo que aquí interesa, para la libertad ideológica y el derecho a no hacer pública la propia, ha abdicado de su deber de incluir detalladamente las garantías adecuadas para la recopilación de datos personales que revelen opiniones políticas. No solo se ampara la recopilación, sino también se autoriza a los partidos políticos, coaliciones y agrupaciones electorales a utilizar datos personales (incluidos los relativos a opiniones políticas) obtenidos en páginas web y otras fuentes de acceso público para la realización de actividades políticas durante el período electoral (art. 58 bis .2 LOREG). En razón de todo ello, se considera que el art. 58 bis .1 LOREG resulta contrario al art. 16 CE.
También está comprometido el derecho a la participación política en los asuntos públicos que garantiza el art. 23 CE. Esta libertad difícilmente puede darse en un entorno tecnológico en el que las modernas técnicas de análisis de la conducta sobre la base del tratamiento masivo de datos y la inteligencia artificial permiten procedimientos complejos orientados a modificar, forzar o desviar la voluntad de los electores y sin que estos sean conscientes de ello. A los poderes públicos les corresponde “promover las condiciones para que la libertad y la igualdad del individuo y de los grupos en que se integra sean reales y efectivas; remover los obstáculos que impidan o dificulten su plenitud y facilitar la participación de todos los ciudadanos en la vida política, económica, cultural y social” (art. 9 CE). Y si bien el Tribunal Constitucional tiene declarado que “en rigor, en el ámbito de los procesos electorales, solo en casos muy extremos cabrá admitir la posibilidad de que un mensaje tenga capacidad suficiente para forzar o desviar la voluntad de los electores, dado el carácter íntimo de la decisión del voto y los medios legales existentes para garantizar la libertad del sufragio” (STC 136/1999 , de 20 de julio, FJ 16), en el contexto actual, muy diferente al de hace dos décadas, la garantía de la libertad de sufragio exigiría una acción positiva del legislador para que la misma no se viera comprometida. Nuevamente aquí la inconcreción del art. 58 bis .1 LOREG respecto de los límites precisos en los que los partidos políticos pueden recopilar datos personales relativos a opiniones políticas de los ciudadanos y el uso que puedan darle a esa recopilación genera una afectación negativa de la libertad de sufragio, contraria al art. 23.1 CE.
Por último, se fundamenta la vulneración del principio de seguridad jurídica (art. 9.3 CE). El nuevo art. 58 bis .1 LOREG declara amparada la recopilación de datos personales relativos a las opiniones políticas de las personas que lleven a cabo los partidos políticos con una total imprecisión. Un “interés público” genérico, las “actividades electorales” que los partidos pueden realizar en cualquier momento y no solo durante la campaña electoral y unas “garantías adecuadas” que, en el mejor de los casos, un operador jurídico avezado tendría serias dificultades para deducir de la interpretación conjunta de la normativa electoral y de la vigente en materia de protección de datos personales tanto nacional (de aplicación solo supletoria art. 2.3 de la Ley Orgánica de protección de datos (LOPD), como proveniente del Derecho internacional y europeo derivado.
Sin desconocer la doctrina del Tribunal Constitucional sobre la infracción del principio de seguridad jurídica (STC 150/1990 , FJ 8), el Defensor del Pueblo entiende que, en el contexto tecnológico actual y frente a los riesgos evidentes que el tratamiento masivo de la información puede suponer para la intimidad personal, la protección de datos personales, la libertad ideológica y la libertad de participación política, resulta inexcusable —en términos propios del Tribunal— el esfuerzo del legislador por alumbrar una normativa abarcable y comprensible para la mayoría de los ciudadanos a los que va dirigida; puesto que una legislación confusa, oscura e incompleta dificulta su aplicación y, además de socavar la certeza del Derecho y la confianza de los ciudadanos en el mismo, puede terminar por empañar el valor de la justicia. En razón de todo ello, se considera que el art. 58 bis .1 LOREG resulta contrario al art. 9.3 CE.
Por providencia de 12 de marzo de 2019, el Pleno del Tribunal Constitucional, a propuesta de la sección primera, acordó admitir a trámite el recurso de inconstitucionalidad, dar traslado de la demanda y documentos presentados, conforme establece el artículo 34 Ley Orgánica del Tribunal Constitucional (LOTC), al Congreso de los Diputados y al Senado, por conducto de sus presidentes, y al Gobierno, a través del Ministerio de Justicia, al objeto de que en el plazo de quince días pudieran personarse en el proceso y formular las alegaciones que estimaren convenientes. También se ordenó publicar la incoación del recurso en el “Boletín Oficial del Estado”, lo que se produjo en su núm. 64, de 15 de marzo de 2019.
Para responder a la demanda altera el orden de las imputaciones de inconstitucionalidad, y comienza por la relativa a la inseguridad jurídica, pues considera que, de no existir esa vulneración, esto es, de cumplirse el requisito de la exigencia de “garantías adecuadas”, decaerían las alegaciones sobre la supuesta vulneración de derechos fundamentales.
Para determinar las “garantías adecuadas” para la aplicación del precepto impugnado, afirma que debe acudirse a las previsiones del precepto impugnado y de la Ley Orgánica de protección de datos (LOPD), y que así lo ha entendido la Agencia Española de Protección de Datos (AEPD) en dos documentos de indudable trascendencia, que el abogado del Estado manifiesta que hace suyos. Es lógico, se dice, que la reforma de la LOREG, al incluir el apartado impugnado, no desarrolle las garantías adecuadas por la aplicación supletoria de la LOPD en la que se encuentran perfectamente previstas. Para explicar el fundamento de la previsión normativa impugnada es preciso conocer el contexto en que se adopta, que, frente a lo que afirma el Defensor del Pueblo, tiene por finalidad asegurar que la recopilación de este tipo de datos, en procesos electorales, es de indudable interés público y que la ley, al regularla, incrementa las garantías frente a situaciones de hecho en que se proceda a recopilar estos datos contraviniendo los derechos fundamentales implicados.
- Como se deduce de la motivación de la enmienda, el precepto pretende evitar situaciones como la que causó el caso denominado “ Cambridge analytica ” en el que se produjo una utilización indebida de datos de los ciudadanos. De la enmienda se deduce también que la base jurídica que determina los límites de recopilación de datos es el considerando 56 del Reglamento (UE) 2016/679 y normativa de desarrollo.
- En tercer lugar, el precepto impugnado no puede ser interpretado ni aplicado aisladamente sino en el ámbito de la LOPD y del Reglamento de protección de datos, dado su carácter expresamente supletorio. Una explicación exhaustiva a esta cuestión se encuentra en el informe elaborado por los servicios jurídicos de la AEPD que, como entidad independiente, tiene por finalidad asegurar que no se produce una vulneración del artículo 19.3 CE ( sic ). La AEPD ha emitido dos documentos de imprescindible análisis en los que, sin innovar la ley, que le está vedado, lleva a cabo una interpretación conforme de este precepto: el informe de la asesoría jurídica de la agencia núm. 210070/2018, publicado en la página web de la AEPD; y la Circular 1/2019, de 7 de marzo, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales relativos a opiniones políticas y envío de propaganda electoral por medios electrónicos o sistemas de mensajería por parte de partidos políticos, federaciones, coaliciones y agrupaciones de electores al amparo del artículo 58 bis de la Ley Orgánica 5/1985, de 19 de junio, de régimen electoral general, publicada en el “Boletín Oficial del Estado” núm. 60, de 11 de marzo de 2019, y que reproduce parcialmente en su escrito.
Concluye que, por la aplicación directa del reglamento y supletoria de la LOPD, queda perfectamente concretada, frente a lo que se afirma de contrario, la constitucionalidad del precepto impugnado que, en lo que se refiere a las “garantías adecuadas”, debe integrarse con lo expresado en las citadas normas tal y como ha sido interpretado por la AEPD en la circular mencionada. Por ello, no resulta de aplicación el fundamento jurídico 10 de la STC 292/2000 . En ningún caso este precepto vulnera, como se afirma en el último fundamento jurídico de la demanda, las exigencias de la seguridad jurídica (art. 9.3 CE), tal y como han sido interpretadas por el Tribunal, entre otras, en la STC 136/2011 , de 13 de septiembre, citada en la demanda. Por el contrario, debe aplicarse la jurisprudencia constitucional que dispone que “cada norma singular no constituye un elemento aislado e incomunicado en el mundo del Derecho”, de forma que solo en casos excepcionales de incertidumbre razonablemente insuperable podría concluirse que una norma infringe el principio de seguridad jurídica (STC 150/1990 , FJ 8). El operador jurídico que debe aplicar la disposición impugnada puede conocer, mediante la aplicación directa del reglamento y la supletoria de la LOPD, el régimen de “garantías adecuadas” necesario para aplicar este precepto: lo contrario supondría tener que reiterar innecesariamente en la LOREG el contenido de las normas mencionadas, cuando, como ha entendido la AEPD, dichas garantías se encuentran perfectamente determinadas.
A la luz de las alegaciones anteriores, se señala que decaen el resto de los argumentos invocados en la demanda:
- El precepto en ningún caso vulnera la libertad ideológica (art. 16 CE), puesto que no se obliga a ciudadano alguno a manifestar su opinión política conforme al fundamento jurídico 12 de la STC 20/1990 , y en ningún caso el tratamiento de las opiniones políticas expresadas se podrá utilizar para un fin distinto del que motivó su expresión o manifestación.
El Defensor del Pueblo ha interpuesto el presente recurso de inconstitucionalidad contra el apartado primero del art. 58 bis de la Ley Orgánica 5/1985, de 19 de junio, del régimen electoral general, incorporado a esta por la disposición final tercera, apartado dos, de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales. El art. 58 bis dispone lo siguiente:
Artículo cincuenta y ocho bis . Utilización de medios tecnológicos y datos personales en las actividades electorales.
Podemos asumir, por tanto, ya que no lo controvierten las alegaciones de las partes, que el apartado 1 del art. 58 bis de la Ley Orgánica del régimen electoral general (LOREG) constituye una injerencia en el derecho fundamental a la protección de datos personales garantizado por el art. 18.4 CE. Lo que está en discusión es si la citada disposición legal cumple con las exigencias que derivan de la Constitución y de nuestra doctrina constitucional.
En apoyo de su alegato, el Defensor del Pueblo cita nuestra jurisprudencia sobre el derecho fundamental a la protección de datos personales, y en concreto el pronunciamiento específico sobre las garantías adecuadas que a este respecto se contiene en el fundamento jurídico 10 de la STC 292/2000 , de 30 de noviembre; el art. 8 del Convenio Europeo para la protección de los Derechos Humanos y las Libertades Fundamentales, hecho en Roma el 14 de noviembre de 1950; el art. 6 del Convenio del Consejo de Europa para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, hecho en Estrasburgo el 28 de enero de 1981 y, por último, el “Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos)”, y en especial los apartados 1 y 2 del art. 9.
Los diversos instrumentos jurídico-internacionales que alega el Defensor del Pueblo, si bien “no constituyen canon para el enjuiciamiento de la adecuación a la Constitución de normas dotadas de rango legal” (por todas, STC 140/2018 , de 20 de diciembre, FJ 6), pueden tener relevancia a la hora de interpretar las disposiciones que sí integran el parámetro de constitucionalidad. Como hemos declarado reiteradamente a lo largo de nuestra jurisprudencia, las disposiciones de los acuerdos internacionales sobre derechos humanos válidamente celebrados y publicados oficialmente en España constituyen, a tenor del art. 10.2 CE, valiosos criterios hermenéuticos del sentido y alcance mínimo de los derechos y libertades que la Constitución reconoce. De suerte que los mencionados instrumentos normativos pueden ser tenidos en cuenta, y lo serán más adelante, para corroborar el sentido y alcance del específico derecho fundamental que ha reconocido nuestra Constitución en orden a la protección de los datos personales.
Por lo que respecta al Reglamento (UE) 2016/679, que entró en vigor el 25 de mayo de 2018 y al que ya se ha referido la STC 58/2018 , de 4 de junio, FJ 5, debemos señalar que si bien tiene también valor interpretativo a los efectos del art. 10.2 CE, de la misma forma que en el pasado se lo atribuimos a la Directiva 95/46/CE que ha sido sustituida por aquel (SSTC 94/1998 , de 4 de mayo, FJ 4; 144/1999 , de 22 de julio, FJ 8; 202/1999 , de 8 de noviembre, FJ 5; 70/2009 , de 23 de marzo, FJ 2, y 29/2013 , de 11 de febrero, FJ 5). No obstante, la eficacia jurídica del Reglamento (UE) 2016/679 que alega el Defensor del Pueblo no se agota, desde luego, en el valor hermenéutico que despliega a los efectos del art. 10.2 CE, esto es, en el plano de la constitucionalidad, pues en el seno de nuestro ordenamiento jurídico representa sobre todo un acto jurídico “obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro”, como luce al final del texto, con las características inherentes al Derecho de la Unión Europea.
A este Tribunal le corresponde aplicar la Constitución. Cuando, como ocurre en este proceso, se le demanda el enjuiciamiento constitucional del desarrollo legislativo de un derecho fundamental que se halla en la actualidad parcialmente determinado por el Derecho de la Unión Europea, como es la protección de datos personales, “[l]as exigencias derivadas del Derecho de la Unión no pueden ser irrelevantes a la hora de establecer los márgenes constitucionalmente admisibles de libertad de apreciación política” (STC 1/2012 , de 13 de enero, FJ 9). Sin que ello implique de forma alguna que el análisis de constitucionalidad pueda o deba incluir un examen sobre la compatibilidad entre el reglamento europeo y la ley interna, ni que un eventual juicio de incompatibilidad pueda derivar en la declaración de inconstitucionalidad de una ley interna por oposición a una disposición de Derecho de la Unión, pues cualquier análisis de compatibilidad entre el Derecho de la Unión Europea y la Ley Orgánica 3/2018 se dirimirá en términos de legalidad ordinaria y selección del derecho aplicable en un primer término, y no en clave de contradicción con la Constitución de la norma interna eventualmente contraria al Derecho de la Unión ( mutatis mutandis , STC 140/2018 , FJ 6).
Para un correcto enjuiciamiento constitucional de la impugnación central, antes de formular en el fundamento jurídico siguiente el parámetro de constitucionalidad aplicable, debemos exponer sucintamente el régimen jurídico del tratamiento de datos personales relativos a las opiniones políticas de las personas. Ello implica aludir al contenido tanto del Reglamento (UE) 2016/679 o Reglamento general de protección de datos (en adelante, RGPD) como de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales (en adelante, LOPDyGDD), pues en la actualidad ambas fuentes configuran conjuntamente, de forma directa o supletoria, el desarrollo del derecho fundamental a la protección de datos de carácter personal que exigen los arts. 18.4 y 81.1 CE, dado que el art. 2.3 LOPDyGDD declara la supletoriedad del reglamento general y de la Ley Orgánica 3/2018, a falta de legislación específica, también para los tratamientos a los que el reglamento general no resulte directamente aplicable por afectar a actividades no comprendidas en el ámbito de aplicación del Derecho de la Unión Europea.
El tratamiento de las categorías especiales de datos personales es uno de los ámbitos en los que de manera expresa el Reglamento general de protección de datos ha reconocido a los Estados miembros “margen de maniobra” a la hora de “especificar sus normas”, tal como lo califica su considerando 10. Este margen de configuración legislativa se extiende tanto a la determinación de las causas habilitantes para el tratamiento de datos personales especialmente protegidos —es decir, a la identificación de los fines de interés público esencial y la apreciación de la proporcionalidad del tratamiento al fin perseguido, respetando en lo esencial el derecho a la protección de datos— como al establecimiento de “medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado” [art. 9.2 g) RGPD]. El reglamento contiene, por tanto, una obligación concreta de los Estados miembros de establecer tales garantías, en el caso de que habiliten para tratar los datos personales especialmente protegidos.
Así, la primera circunstancia habilitante para el tratamiento de los datos personales especialmente protegidos, recogida en la letra a) del apartado 2 del art. 9 RGPD, consiste en el consentimiento explícito del interesado: cuando “el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado”. Sin embargo, el legislador español ha optado por excluir plenamente la eficacia habilitante del consentimiento del afectado. Con arreglo al art. 9.1 LOPDyGDD, “el solo consentimiento del afectado no bastará para levantar la prohibición del tratamiento de datos cuya finalidad principal sea identificar su ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico”.
Y para “los tratamientos de datos contemplados en las letras g), h) e i) del artículo 9.2 del Reglamento (UE) 2016/679 fundados en el Derecho español”, el art. 9.2 LOPDyGDD señala que “deberán estar amparados en una norma con rango de ley, que podrá establecer requisitos adicionales relativos a su seguridad y confidencialidad”.
En suma, el art. 58 bis LOREG, cuyo apartado 1 es el objeto del presente recurso de inconstitucionalidad, contiene una modificación normativa introducida por el legislador orgánico para hacer posible un tratamiento de datos que, de no existir dicha habilitación, estaría prohibido tanto por el Derecho de la Unión como por nuestro ordenamiento jurídico, tal como se refleja en los arts. 9.1 RGPD y 9.2 LOPDyGDD.
La impugnación tiene por objeto un precepto legal, cuya doble singularidad estriba en el destinatario y el objeto de la habilitación. Por un lado, los sujetos habilitados para recopilar los datos personales no pueden considerarse “meras personas jurídico-privadas titulares del derecho de asociación contemplado en el art. 22 CE” (STC 226/2016 , de 22 de diciembre, FJ 6), pues son instrumento fundamental para la participación política (art. 6 CE) y ejercen “cierta función pública” (STC 3/1981 , de 2 de febrero, FJ 2) en su condición de “organizaciones sociales de relevancia constitucional” (STC 18/1984 , de 7 de febrero, FJ 3). Por ello, este Tribunal debe velar por que, en este como en otros ámbitos, la actuación de los partidos políticos tenga bajo sus pies un suelo firme de Estado de Derecho, ajeno a la incertidumbre y la arbitrariedad. Por otro lado, los datos personales que pueden recopilarse integran una categoría especial de datos, que, como la información relativa a la salud (STC 70/2009 , FJ 2), son especialmente sensibles y, por tanto, dignos de especial protección para la garantía de los derechos fundamentales.
Como ya se indicó, en la presente impugnación no está en discusión cuál es el derecho fundamental principalmente afectado, el derecho fundamental a la protección de datos personales; ni tampoco lo están la definición de su contenido, su alcance o sus límites, aspectos que fueron abordados en detalle en los fundamentos jurídicos 5 a 9 de la ya citada STC 292/2000 , a los que ahora nos remitimos íntegramente.
A los efectos del presente proceso bastará recordar que “el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso”, y que estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos, “se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular”. A su vez, “ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos”, “exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que los rectifique o los cancele” (STC 292/2000 , FJ 7).
El art. 18.4 CE no solo “consagra un derecho fundamental autónomo a controlar el flujo de informaciones que conciernen a cada persona” (SSTC 11/1998 , de 13 de enero, FJ 5; 96/2012 , FJ 6, y 151/2014 , de 25 de septiembre, FJ 7), sino también, como se desprende de su último inciso (“para garantizar […] el pleno ejercicio de sus derechos”), un derecho instrumental ordenado a la protección de otros derechos fundamentales, esto es, “un instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los restantes derechos de los ciudadanos” (STC 292/2000 , de 30 de septiembre, FJ 5). Así, hemos afirmado el carácter instrumental del derecho fundamental reconocido en el art. 18.4 CE para la garantía de la libertad sindical (SSTC 11/1998 , de 13 de enero, FJ 5; 60/1998 , de 16 de marzo, FJ 1; 124/1998 , de 15 de junio, FJ 2; y 126/1998 , de 15 de junio, FJ 2), y así también debemos entenderlo, desde luego, con respecto a la libertad ideológica.
La libertad ideológica consagrada en el art. 16 CE tiene una dimensión positiva, pues se protege “sin más limitación, en sus manifestaciones, que la necesaria para el mantenimiento del orden público protegido por la ley” (apartado 1), y también una dimensión negativa, pues incluye el derecho de toda persona a no “ser obligado a declarar sobre su ideología” (apartado 2).
En síntesis, la libertad ideológica comprende “la proclamación de ideas o posiciones políticas propias o adhesión a las ajenas” (STC 235/2007 , de 7 de noviembre, FJ 9), tanto individual como colectivamente, así como la posibilidad de abandonarlas o cambiarlas por otras en todo momento, pero también el secreto o silencio sobre las ideas o posiciones políticas propias, sin ser objeto de coacción o perturbación alguna antes o después de su proclamación o modificación, ni derivada del silencio libremente elegido.
Este Tribunal ha tenido ocasión de destacar la importancia del derecho consagrado en el art. 16.1 CE. Como afirmamos en la STC 20/1990 , de 20 de febrero, FJ 3: “sin la libertad ideológica consagrada en el art. 16.1 CE, no serían posibles los valores superiores de nuestro ordenamiento jurídico que se propugnan en el art. 1.1 de la misma para constituir el Estado social y democrático de derecho que en dicho precepto se instaura”.
Asimismo, en la STC 120/1992 , de 27 de junio, FJ 8, aludimos a la faceta externa de ese derecho en los siguientes términos: “la libertad ideológica […] no se agota en una dimensión interna del derecho a adoptar una determinada posición intelectual ante la vida y cuanto le concierne y a representar o enjuiciar la realidad según personales convicciones. Comprende, además, una dimensión externa de agere licere , con arreglo a las propias ideas sin sufrir por ello sanción o demérito ni padecer la compulsión o la injerencia de los poderes públicos”.
Como los demás derechos, el derecho fundamental a la protección de datos personales no tiene carácter absoluto. Puede ser restringido por medio de la ley, siempre que ello responda a un fin de interés general, y los requisitos y el alcance de la restricción estén suficientemente precisados en la ley y respeten el principio de proporcionalidad. A los efectos del presente proceso deben destacarse dos requisitos de esos límites:
- En primer lugar, toda injerencia estatal en el ámbito de los derechos fundamentales y las libertades públicas debe responder a un fin constitucionalmente legítimo o encaminarse a la protección o la salvaguarda de un bien constitucionalmente relevante, pues “si bien este Tribunal ha declarado que la Constitución no impide al Estado proteger derechos o bienes jurídicos a costa del sacrificio de otros igualmente reconocidos y, por tanto, que el legislador pueda imponer limitaciones al contenido de los derechos fundamentales o a su ejercicio, también hemos precisado que, en tales supuestos, esas limitaciones han de estar justificadas en la protección de otros derechos o bienes constitucionales (SSTC 104/2000 , de 13 de abril, FJ 8 y las allí citadas) y, además, han de ser proporcionadas al fin perseguido con ellas (SSTC 11/1981 , FJ 5, y 196/1987 , FJ 6)” (STC 292/2000 , FJ 15).
- En segundo lugar, por mandato expreso de la Constitución, toda injerencia estatal en el ámbito de los derechos fundamentales y las libertades públicas, ora incida directamente sobre su desarrollo (art. 81.1 CE), ora limite o condicione su ejercicio (art. 53.1 CE), precisa una habilitación legal (por todas, STC 49/1999 , de 5 de abril, FJ 4). En la STC 49/1999 , FJ 4, definimos la función constitucional de esa reserva de ley en los siguientes términos:
Esa reserva de ley a que, con carácter general, somete la Constitución española la regulación de los derechos fundamentales y libertades públicas reconocidos en su Título I, desempeña una doble función, a saber: de una parte, asegura que los derechos que la Constitución atribuye a los ciudadanos no se vean afectados por ninguna injerencia estatal no autorizada por sus representantes; y, de otra, en un Ordenamiento jurídico como el nuestro en el que los Jueces y Magistrados se hallan sometidos "únicamente al imperio de la Ley" y no existe, en puridad, la vinculación al precedente (SSTC 8/1981 , 34/1995 , 47/1995 y 96/1996 ) constituye, en definitiva, el único modo efectivo de garantizar las exigencias de seguridad jurídica en el ámbito de los derechos fundamentales y las libertades públicas. Por eso, en lo que a nuestro Ordenamiento se refiere, hemos caracterizado la seguridad jurídica como una suma de legalidad y certeza del Derecho (STC 27/1981 , fundamento jurídico 10).
Esta doble función de la reserva de ley se traduce en una doble exigencia: por un lado, la necesaria intervención de la ley para habilitar la injerencia; y, por otro lado, esa norma legal “ha de reunir todas aquellas características indispensables como garantía de la seguridad jurídica”, esto es, “ha de expresar todos y cada uno de los presupuestos y condiciones de la intervención” (STC 49/1999 , FJ 4). En otras palabras, “no sólo excluye apoderamientos a favor de las normas reglamentarias […], sino que también implica otras exigencias respecto al contenido de la Ley que establece tales límites” (STC 292/2000 , FJ 15).
La segunda exigencia mencionada constituye la dimensión cualitativa de la reserva de ley, y se concreta en las exigencias de previsibilidad y certeza de las medidas restrictivas en el ámbito de los derechos fundamentales. En la STC 292/2000 , FJ 15, señalamos que, aun teniendo un fundamento constitucional, las limitaciones del derecho fundamental establecidas por una ley “pueden vulnerar la Constitución si adolecen de falta de certeza y previsibilidad en los propios límites que imponen y su modo de aplicación”, pues “la falta de precisión de la ley en los presupuestos materiales de la limitación de un derecho fundamental es susceptible de generar una indeterminación sobre los casos a los que se aplica tal restricción”; “al producirse este resultado, más allá de toda interpretación razonable, la ley ya no cumple su función de garantía del propio derecho fundamental que restringe, pues deja que en su lugar opere simplemente la voluntad de quien ha de aplicarla”. En la misma sentencia y fundamento jurídico precisamos también el tipo de vulneración que acarrea la falta de certeza y previsibilidad en los propios límites: “no sólo lesionaría el principio de seguridad jurídica (art. 9.3 CE), concebida como certeza sobre el ordenamiento aplicable y expectativa razonablemente fundada de la persona sobre cuál ha de ser la actuación del poder aplicando el Derecho (STC 104/2000 , FJ 7, por todas), sino que al mismo tiempo dicha ley estaría lesionando el contenido esencial del derecho fundamental así restringido, dado que la forma en que se han fijado sus límites lo hacen irreconocible e imposibilitan, en la práctica, su ejercicio (SSTC 11/1981 , FJ 15; 142/1993 , de 22 de abril, FJ 4, y 341/1993 , de 18 de noviembre, FJ 7)”.
La necesidad de establecer las garantías adecuadas para procurar el respeto del contenido esencial del derecho fundamental a la protección de datos personales fue señalada específicamente en el fundamento jurídico 10 de la STC 292/2000 , que ha sido correctamente invocado por el Defensor del Pueblo. Del mencionado fundamento jurídico se extraen las siguientes conclusiones:
Asimismo, del examen conjunto de los fundamentos jurídicos 7 y 10 de la STC 292/2000 se deduce que las “garantías adecuadas” o “garantías mínimas exigibles a una ley sometida al insoslayable respeto al contenido esencial del derecho fundamental cuyo ejercicio regula” deben diferenciarse también del “haz de facultades que componen el contenido del derecho fundamental a la protección de datos de carácter personal”, que, como se indicó antes, son aquellas que otorgan al titular del derecho fundamental “un poder de disposición y de control sobre los datos personales”.
Esta doctrina sobre las garantías adecuadas es también la que sigue la jurisprudencia del Tribunal de Justicia de la Unión Europea. En la sentencia de la Gran Sala de 8 de abril de 2014, asuntos acumulados C-293/12 y C-594/12, Digital Rights Ireland Ltd , apartado 54, el Tribunal de Justicia señaló lo siguiente: “la normativa de la Unión de que se trate debe establecer reglas claras y precisas que regulen el alcance y la aplicación de la medida en cuestión y establezcan unas exigencias mínimas de modo que las personas cuyos datos se hayan conservado dispongan de garantías suficientes que permitan proteger de manera eficaz sus datos de carácter personal contra los riesgos de abuso y contra cualquier acceso o utilización ilícitos respecto de tales datos (véanse, por analogía, en lo que respecta al artículo 8 del Convenio Europeo de Derechos Humanos, las sentencias del Tribunal Europeo de Derechos Humanos, Liberty y otros c. Reino Unido de 1 de julio de 2008, núm. 58243/00, §§62 y 63; Rotaru c. Rumanía , antes citada, §§57 a 59, y S y Marper c. Reino Unido , antes citada, §§99).”
La necesidad de disponer de garantías adecuadas es especialmente importante cuando el tratamiento afecta a categorías especiales de datos, también llamados datos sensibles, pues el uso de estos últimos es susceptible de comprometer más directamente la dignidad, la libertad y el libre desarrollo de la personalidad.
La exigencia de especial protección de esta categoría de datos está prevista en el Convenio para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, de 28 de enero de 1981 (instrumento de ratificación publicado en el “Boletín Oficial del Estado” núm. 274, de 15 de noviembre de 1985), cuyo artículo 6 establece lo siguiente: “Los datos de carácter personal que revelen el origen racial, las opiniones políticas, las convicciones religiosas u otras convicciones, así como los datos de carácter personal relativos a la salud o a la vida sexual, no podrán tratarse automáticamente a menos que el derecho interno prevea garantías apropiadas. […].” Esa exigencia ha sido igualmente afirmada por la Agencia Española de Protección de Datos. De acuerdo con el preámbulo de su Circular 1/2019, esas garantías adecuadas y específicas para proteger los intereses y derechos fundamentales de los afectados “adquieren una especial relevancia tanto por la importancia de los datos personales objeto de tratamiento como por tratarse de tratamientos a gran escala de categorías especiales que entrañarán un alto riesgo para los derechos y libertades de las personas físicas difícilmente mitigable si no se toman medidas adecuadas”. Asimismo, como ya se indicó en el fundamento jurídico 4 de esta sentencia, el Reglamento (UE) 2016/679 reitera la exigencia de que el legislador que regule el tratamiento de datos personales relativos a las opiniones políticas establezca dichas garantías adecuadas [art. 9.2 g) y considerando 56].
En conclusión, las opiniones políticas son datos personales sensibles cuya necesidad de protección es, en esa medida, superior a la de otros datos personales. Una protección adecuada y específica frente a su tratamiento constituye, en suma, una exigencia constitucional, sin perjuicio de que, como se ha visto, también represente una exigencia derivada del Derecho de la Unión Europea. Por tanto, el legislador está constitucionalmente obligado a adecuar la protección que dispensa a dichos datos personales, en su caso, imponiendo mayores exigencias a fin de que puedan ser objeto de tratamiento y previendo garantías específicas en su tratamiento, además de las que puedan ser comunes o generales.
La primera tacha de inconstitucionalidad que se dirige a la disposición legal impugnada es que no especifica el interés público esencial que fundamenta la restricción del derecho fundamental.
Constituye una constatación elemental la de que la disposición legal impugnada no identifica en ningún momento ese interés público esencial. Presupone que ha de existir, pero no llega a especificarlo (“se encontrará amparada en el interés público únicamente cuando se ofrezcan garantías adecuadas”).
Y, como ya se indicó, tampoco lo identifica el Reglamento general de protección de datos, pues su considerando 56 —que reproducimos en el fundamento jurídico 4— se limita a prever la posibilidad de que en algún Estado miembro se aprecie una finalidad legítima en la recogida de datos personales relativos a las opiniones personales de las personas, sin identificarla por sí misma para el conjunto de los Estados miembros.
En la ya citada STC 292/2000 , en la que también se enjuició una injerencia legislativa en el derecho a la protección de datos personales, rechazamos que la identificación de los fines legítimos de la restricción pudiera realizarse mediante conceptos genéricos o fórmulas vagas:
16. […] De igual modo, respecto al derecho a la protección de datos personales cabe estimar que la legitimidad constitucional de la restricción de este derecho no puede estar basada, por sí sola, en la actividad de la Administración Pública. Ni es suficiente que la Ley apodere a ésta para que precise en cada caso sus límites, limitándose a indicar que deberá hacer tal precisión cuando concurra algún derecho o bien constitucionalmente protegido. Es el legislador quien debe determinar cuándo concurre ese bien o derecho que justifica la restricción del derecho a la protección de datos personales y en qué circunstancias puede limitarse y, además, es él quien debe hacerlo mediante reglas precisas que hagan previsible al interesado la imposición de tal limitación y sus consecuencias. Pues en otro caso el legislador habría trasladado a la administración el desempeño de una función que sólo a él compete en materia de derechos fundamentales en virtud de la reserva de Ley del art. 53.1 CE, esto es, establecer claramente el límite y su regulación.
Esta argumentación es plenamente trasladable al presente enjuiciamiento. De igual modo, por tanto, debemos concluir que la legitimidad constitucional de la restricción del derecho fundamental a la protección de datos personales no puede estar basada, por sí sola, en la invocación genérica de un indeterminado “interés público”. Pues en otro caso el legislador habría trasladado a los partidos políticos —a quienes la disposición impugnada habilita para recopilar datos personales relativos a las opiniones políticas de las personas en el marco de sus actividades electorales— el desempeño de una función que solo a él compete en materia de derechos fundamentales en virtud de la reserva de ley del art. 53.1 CE, esto es, establecer claramente sus límites y su regulación.
Tampoco puede aceptarse, por igualmente imprecisa, la finalidad aducida por el abogado del Estado, que se refiere al funcionamiento del sistema democrático, pues también encierra un grado elevado de incertidumbre y puede suponer un razonamiento circular. Por un lado, los partidos políticos son de por sí “cauces necesarios para el funcionamiento del sistema democrático” (por todas, STC 48/2003 , de 12 de marzo, FJ 5); y, por otro lado, todo el funcionamiento del sistema democrático persigue, en último término, la salvaguardia de los fines, valores y bienes constitucionales, pero ello no alcanza a identificar la razón por la cual haya de restringirse el derecho fundamental afectado.
La segunda tacha de inconstitucionalidad que se dirige a la disposición legal impugnada es que no limita el tratamiento regulando pormenorizadamente las restricciones al derecho fundamental. La disposición legal impugnada solo recoge una condición limitativa del tratamiento de datos que autoriza: la recopilación de datos personales relativos a las opiniones políticas de las personas solo podrá llevarse a cabo “en el marco de sus actividades electorales”. Se trata de una condición que apenas contribuye a constreñir el uso de la habilitación conferida. De una parte, el desarrollo de las actividades electorales no tiene por qué contraerse al proceso electoral, expresión que, en cambio, es la utilizada en el apartado 2 del art. 58 bis LOREG. De otra, los procesos electorales son relativamente frecuentes en nuestro sistema político. Más allá de la citada condición (“en el marco de sus actividades electorales”), la disposición legal impugnada carece de reglas sobre el alcance y contenido de los tratamientos de datos que autoriza.
En definitiva, desde las exigencias de certeza que han de presidir cualquier injerencia en un derecho fundamental, es también patente que el apartado 1 del art. 58 bis LOREG, al no hacer referencia alguna a los presupuestos y condiciones del tratamiento de datos personales relativos a las opiniones políticas, resulta insuficiente para determinar si las operaciones que puedan llevar a cabo los partidos políticos serán o no “el fruto previsible de la razonable aplicación de lo decidido por el legislador” (SSTC 49/1999 , de 5 de abril, FJ 4; y 154/2014 , de 22 de septiembre, FJ 7).
Según reiterada doctrina constitucional, la reserva de ley no se limita a exigir que una ley habilite la medida restrictiva de derechos fundamentales, sino que también es preciso, conforme tanto a exigencias denominadas —unas veces— de predeterminación normativa y —otras— de calidad de la ley como al respeto al contenido esencial del derecho, que en esa regulación el legislador, que viene obligado de forma primaria a ponderar los derechos o intereses en pugna, predetermine los supuestos, las condiciones y las garantías en que procede la adopción de medidas restrictivas de derechos fundamentales. Ese mandato de predeterminación respecto de elementos esenciales, vinculados también en último término al juicio de proporcionalidad de la limitación del derecho fundamental, no puede quedar deferido a un ulterior desarrollo legal o reglamentario, ni tampoco se puede dejar en manos de los propios particulares.
La lectura del apartado impugnado o del precepto legal en su totalidad, reproducido en el fundamento jurídico primero, permite descartar la primera de las interpretaciones, pues su redacción literal ni contiene ni especifica en forma alguna las imprescindibles garantías y se limita a reconocer que deben ofrecerse “garantías adecuadas”, sin más precisiones. Esa falta de regulación por el legislador se erige, de hecho, en el presupuesto, y en la razón de ser, de la aprobación de la Circular 1/2019, de 7 de marzo, de la Agencia Española de Protección de Datos, pues, como se indica en su preámbulo, “[p]recisamente por la existencia de un alto riesgo para los derechos y libertades de las personas físicas dichas garantías, al no haberse establecido por el legislador, deben identificarse por esta Agencia Española de Protección de Datos”.
Tampoco se puede acoger la segunda interpretación avanzada por el abogado del Estado, pues convertiría el contenido o la justificación de las enmiendas de las que traen causa las disposiciones legales en parte integrante de su programa normativo a pesar de que ese contenido o esa justificación no se hubiera incorporado a su tenor literal.
El contenido y la justificación de las enmiendas presentadas, debatidas y, en su caso, aprobadas total o parcialmente durante la elaboración de un texto legislativo (SSTC 110/2017 , de 19 de octubre, FJ 3; y 63/2018 , de 7 de junio, FJ 9, por todas) constituyen, como los demás trabajos y debates parlamentarios (SSTC 108/1986 , de 29 de julio, FJ 13; 109/1988 , de 29 de mayo, FJ 2; 15/2000 , de 20 de enero, FJ 7; y 90/2009 , de 20 de abril, FJ 6, por todas), importante elemento hermenéutico para desentrañar el alcance y el sentido de las normas, pero no pueden suplir o sanar las insuficiencias constitucionales de que adolezcan estas últimas.
Las garantías adecuadas frente a la recopilación de datos personales relativos a las opiniones políticas de las personas tampoco se encuentran establecidas en el doble marco normativo que resulta aplicable, el Reglamento (UE) 2016/679 y la Ley Orgánica 3/2018; garantías que, según el abogado del Estado, la Circular 1/2019 solo habría codificado, sin innovarlas en ningún momento.
(ii) La insuficiencia legal que venimos analizando tampoco puede ser colmada, en ejercicio de sus potestades, por la Agencia Española de Protección de Datos. La agencia es la autoridad administrativa independiente a la que se encomienda la interpretación y aplicación de la normativa de protección de datos (arts. 57 y 58 RGPD y 44 y sigs. LOPDyGDD), y su potestad normativa, mediante la aprobación de circulares, está circunscrita al dictado de “disposiciones que fijen los criterios a que responderá la actuación de esta autoridad” en la aplicación de lo dispuesto en el Reglamento (UE) 2016/679 y en la Ley Orgánica 3/2018 (art. 55.1 LOPDyGDD). Por tanto, la circunstancia de que, con posterioridad a la interposición del presente recurso contra la ley, la presidencia de la Agencia Española de Protección de Datos haya aprobado la Circular 1/2019, de 7 de marzo, para abordar esa laguna, tal como se indicó anteriormente, no puede subsanar la insuficiencia constitucional de la que adolece el art. 58 bis LOREG introducido por la Ley Orgánica 3/2018 por lo que se refiere a la recopilación de datos personales relativos a las opiniones políticas en el marco de actividades electorales. Una interpretación distinta vaciaría de contenido el principio de reserva legal que consagra la Constitución y que de forma reiterada ha invocado nuestra jurisprudencia previa en materia de protección de datos personales.
(iii) La falta de previsión legal de un elemento cuya previsión es necesaria para que se pueda considerar que se respeta el contenido esencial, tampoco se puede superar con la técnica de la interpretación conforme, pues esta técnica, que viene impuesta por el principio de conservación de la ley, se aplica cuanto existen “varias interpretaciones posibles igualmente razonables” y permite descartar aquella o aquellas que darían lugar a que el precepto incurriera en inconstitucionalidad [SSTC 168/2016 , de 6 de octubre, FJ 4 b); y 97/2018 , de 19 de septiembre, FJ 7, por todas]. En el presente caso no estamos ante “varias interpretaciones posibles igualmente razonables”, sino ante la insuficiencia de regulación detectada en una norma de desarrollo de un derecho fundamental.
En atención a todo lo expuesto, el Tribunal Constitucional, por la autoridad que le confiere la Constitución de la Nación española, ha decidido estimar el presente recurso de inconstitucionalidad y, en consecuencia, declarar contrario a la Constitución y nulo el apartado 1 del art. 58 bis de la Ley Orgánica 5/1985, de 19 de junio, del régimen electoral general, incorporado a esta por la disposición final tercera, apartado dos, de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales.
SAP Pontevedra 313/2009, 12 de Junio de 2009