C-169/23 Másdi

SENTENCIA DEL TRIBUNAL DE JUSTICIA (Sala Tercera)

de 28 de noviembre de 2024 ( *1 )

«Procedimiento prejudicial — Protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos — Reglamento (UE) 2016/679 — Datos tratados al emitir un certificado COVID‑19 — Datos que no se han obtenido del propio interesado — Información que debe facilitarse — Excepción a la obligación de información — Artículo 14, apartado 5, letra c) — Datos generados por el responsable del tratamiento en su propio procedimiento — Derecho de reclamación — Competencia de la autoridad de control — Artículo 77, apartado 1 — Medidas adecuadas para proteger los intereses legítimos del interesado establecidas por el Derecho del Estado miembro que se aplique al responsable del tratamiento — Medidas referidas a la seguridad del tratamiento de los datos — Artículo 32»

En el asunto C‑169/23 [Másdi], ( i )

que tiene por objeto una petición de decisión prejudicial planteada, con arreglo al artículo 267 TFUE, por la Kúria (Tribunal Supremo, Hungría), mediante resolución de 8 de febrero de 2023, recibida en el Tribunal de Justicia el 17 de marzo de 2023, en el procedimiento entre

Nemzeti Adatvédelmi és Információszabadság Hatóság

UC,

EL TRIBUNAL DE JUSTICIA (Sala Tercera),

integrado por la Sra. K. Jürimäe, Presidenta de la Sala Segunda, en funciones de Presidenta de la Sala Tercera, el Sr. K. Lenaerts, Presidente del Tribunal de Justicia, en funciones de Juez de la Sala Tercera, y los Sres. N. Jääskinen, M. Gavalec (Ponente) y N. Piçarra, Jueces;

Abogada General: Sra. L. Medina;

Secretario: Sr. A. Calot Escobar;

habiendo considerado los escritos obrantes en autos;

consideradas las observaciones presentadas:

–	en nombre de la Nemzeti Adatvédelmi és Információszabadság Hatóság, por el Sr. G. J. Dudás, ügyvéd;

–	en nombre de UC, por los Sres. D. Karsai y V. Łuszcz, ügyvédek;

–	en nombre del Gobierno húngaro, por la Sra. Zs. Biró-Tóth y el Sr. M. Z. Fehér, en calidad de agentes;

–	en nombre del Gobierno checo, por la Sra. L. Březinová y los Sres. M. Smolek y J. Vláčil, en calidad de agentes;

–	en nombre de la Comisión Europea, por los Sres. A. Bouchagiar, C. Kovács y H. Kranenborg, en calidad de agentes;

oídas las conclusiones de la Abogada General, presentadas en audiencia pública el 6 de junio de 2024;

dicta la siguiente

Sentencia

La petición de decisión prejudicial tiene por objeto la interpretación de los artículos 14, apartados 1 y 5, letra c), 32 y 77, apartado 1, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO 2016, L 119, p. 1; correcciones de errores en DO 2018, L 127, p. 3, y DO 2021, L 74, p. 35; en lo sucesivo, «RGPD»).

Esta petición se ha presentado en el contexto de un litigio entre la Nemzeti Adatvédelmi és Információszabadság Hatóság (Autoridad Nacional de Protección de Datos y Libertad de Información, Hungría; en lo sucesivo, «autoridad nacional») y UC en relación con la existencia de una obligación de información respecto al tratamiento de datos personales por parte de la Budapest Főváros Kormányhivatala (Delegación del Gobierno en Budapest Capital, Hungría; en lo sucesivo, «Administración emisora»), encargada de expedir certificados de inmunidad a las personas vacunadas contra la COVID‑19 o que hayan contraído esta enfermedad.

Marco jurídico

Derecho de la Unión

RGPD

A tenor de los considerandos 1, 10 y 61 a 63 del RGPD:

«(1)

La protección de las personas físicas en relación con el tratamiento de datos personales es un derecho fundamental. El artículo 8, apartado 1, de la Carta de los Derechos Fundamentales de la Unión Europea […] y el artículo 16 [TFUE, apartado 1,] establecen que toda persona tiene derecho a la protección de los datos de carácter personal que le conciernan.

[…]

(10)

Para garantizar un nivel uniforme y elevado de protección de las personas físicas y eliminar los obstáculos a la circulación de datos personales dentro de la Unión [Europea], el nivel de protección de los derechos y libertades de las personas físicas por lo que se refiere al tratamiento de dichos datos debe ser equivalente en todos los Estados miembros. Debe garantizarse en toda la Unión que la aplicación de las normas de protección de los derechos y libertades fundamentales de las personas físicas en relación con el tratamiento de datos de carácter personal sea coherente y homogénea. En lo que respecta al tratamiento de datos personales para el cumplimiento de una obligación legal, para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento, los Estados miembros deben estar facultados para mantener o adoptar disposiciones nacionales a fin de especificar en mayor grado la aplicación de las normas del presente Reglamento. […]

[…]

(61)

Se debe facilitar a los interesados la información sobre el tratamiento de sus datos personales en el momento en que se obtengan de ellos o, si se obtienen de otra fuente, en un plazo razonable, dependiendo de las circunstancias del caso. Si los datos personales pueden ser comunicados legítimamente a otro destinatario, se debe informar al interesado en el momento en que se comunican al destinatario por primera vez. El responsable del tratamiento que proyecte tratar los datos para un fin que no sea aquel para el que se recogieron debe proporcionar al interesado, antes de dicho tratamiento ulterior, información sobre ese otro fin y otra información necesaria. Cuando el origen de los datos personales no pueda facilitarse al interesado por haberse utilizado varias fuentes, debe facilitarse información general.

(62)

Sin embargo, no es necesario imponer la obligación de proporcionar información cuando el interesado ya posea la información, cuando el registro o la comunicación de los datos personales estén expresamente establecidos por ley, o cuando facilitar la información al interesado resulte imposible o exija un esfuerzo desproporcionado. […]

(63)	Los interesados deben tener derecho a acceder a los datos personales recogidos que le[s] conciernan y a ejercer dicho derecho con facilidad y a intervalos razonables, con el fin de conocer y verificar la licitud del tratamiento. […]»

4	El artículo 1 de este Reglamento, bajo la rúbrica «Objeto», dispone en su apartado 2: «El presente Reglamento protege los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales.»

A tenor del artículo 4 del citado Reglamento, con el título «Definiciones»:

«A efectos del presente Reglamento se entenderá por:

1)	“datos personales”: toda información sobre una persona física identificada o identificable (“el interesado”); […]

“tratamiento”: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;

[…]

7)	“responsable del tratamiento” o “responsable”: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; […]

[…]».

El artículo 6 del RGPD, titulado «Licitud del tratamiento», establece lo siguiente en su apartado 1:

«El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:

[…]

c)	el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;

[…]

e)	el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;

[…]».

El artículo 9 de este Reglamento, bajo la rúbrica «Tratamiento de categorías especiales de datos personales», dispone, en sus apartados 1 y 2, lo siguiente:

«1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física.

2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:

[…]

el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional,

[…]».

8	El capítulo III del RGPD, titulado «Derechos del interesado», comprende varias secciones, entre ellas su sección 2, bajo el tenor «Información y acceso a los datos personales».

En esta sección 2 figuran el artículo 13, relativo a la «información que deberá facilitarse cuando los datos personales se obtengan del interesado», el artículo 14, referido a la «información que deberá facilitarse cuando los datos personales no se hayan obtenido del interesado», y el artículo 15, relativo al «derecho de acceso del interesado».

A tenor del artículo 14 del RGPD:

«1. Cuando los datos personales no se hayan obtenid[o] del interesado, el responsable del tratamiento le facilitará la siguiente información:

a)	la identidad y los datos de contacto del responsable y, en su caso, de su representante;

b)	los datos de contacto del delegado de protección de datos, en su caso;

c)	los fines del tratamiento a que se destinan los datos personales, así como la base jurídica del tratamiento;

d)	las categorías de datos personales de que se trate;

e)	los destinatarios o las categorías de destinatarios de los datos personales, en su caso;

f)	en su caso, la intención del responsable de transferir datos personales a un destinatario en un tercer país u organización internacional […].

2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente respecto del interesado:

a)	el plazo durante el cual se conservarán los datos personales o, cuando eso no sea posible, los criterios utilizados para determinar este plazo;

b)	cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable del tratamiento o de un tercero;

c)	la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, y a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;

d)	cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basada en el consentimiento antes de su retirada;

e)	el derecho a presentar una reclamación ante una autoridad de control;

f)	la fuente de la que proceden los datos personales y, en su caso, si proceden de fuentes de acceso público;

g)	la existencia de decisiones automatizadas, […].

[…]

4. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de los datos personales para un fin que no sea aquel para el que se obtuvieron, proporcionará al interesado, antes de dicho tratamiento ulterior, información sobre ese otro fin y cualquier otra información pertinente indicada en el apartado 2.

5. Las disposiciones de los apartados 1 a 4 no serán aplicables cuando y en la medida en que:

a)	el interesado ya disponga de la información;

la comunicación de dicha información resulte imposible o suponga un esfuerzo desproporcionado, en particular para el tratamiento con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, a reserva de las condiciones y garantías indicadas en el artículo 89, apartado 1, o en la medida en que la obligación mencionada en el apartado 1 del presente artículo pueda imposibilitar u obstaculizar gravemente el logro de los objetivos de tal tratamiento. En tales casos, el responsable adoptará medidas adecuadas para proteger los derechos, libertades e intereses legítimos del interesado, inclusive haciendo pública la información;

c)	la obtención o la comunicación esté expresamente establecida por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento y que establezca medidas adecuadas para proteger los intereses legítimos del interesado, o

d)	cuando los datos personales deban seguir teniendo carácter confidencial sobre la base de una obligación de secreto profesional regulada por el Derecho de la Unión o de los Estados miembros, incluida una obligación de secreto de naturaleza legal.»

El artículo 32 de dicho Reglamento, titulado «Seguridad del tratamiento», tiene el siguiente tenor:

«1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:

a)	la seudonimización y el cifrado de datos personales;

b)	la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;

c)	la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;

d)	un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.

2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.

3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo.

4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros.»

El artículo 55 del mismo Reglamento, que lleva por título «Competencia», dispone lo siguiente en su apartado 1:

«Cada autoridad de control será competente para desempeñar las funciones que se le asignen y ejercer los poderes que se le confieran de conformidad con el presente Reglamento en el territorio de su Estado miembro.»

El artículo 57 del RGPD, titulado «Funciones», establece, en su apartado 1:

«Sin perjuicio de otras funciones en virtud del presente Reglamento, incumbirá a cada autoridad de control, en su territorio:

a)	controlar la aplicación del presente Reglamento y hacerlo aplicar;

[…]

c)	asesorar, con arreglo al Derecho de los Estados miembros, al Parlamento nacional, al Gobierno y a otras instituciones y organismos sobre las medidas legislativas y administrativas relativas a la protección de los derechos y libertades de las personas físicas con respecto al tratamiento;

[…]».

El artículo 58 de ese Reglamento, bajo la rúbrica «Poderes», dispone en su apartado 3:

«Cada autoridad de control dispondrá de todos los poderes de autorización y consultivos indicados a continuación:

[…]

emitir, por iniciativa propia o previa solicitud, dictámenes destinados al Parlamento nacional, al Gobierno del Estado miembro o, con arreglo al Derecho de los Estados miembros, a otras instituciones y organismos, así como al público, sobre cualquier asunto relacionado con la protección de los datos personales;

[…]».

El artículo 77 del citado Reglamento, con el tenor «Derecho a presentar una reclamación ante una autoridad de control», establece lo siguiente en su apartado 1:

«Sin perjuicio de cualquier otro recurso administrativo o acción judicial, todo interesado tendrá derecho a presentar una reclamación ante una autoridad de control, en particular en el Estado miembro en el que tenga su residencia habitual, lugar de trabajo o lugar de la supuesta infracción, si considera que el tratamiento de datos personales que le conciernen infringe el presente Reglamento.»

El artículo 78 del RGPD, titulado «Derecho a la tutela judicial efectiva contra una autoridad de control», tiene el siguiente tenor:

«1. Sin perjuicio de cualquier otro recurso administrativo o extrajudicial, toda persona física o jurídica tendrá derecho a la tutela judicial efectiva contra una decisión jurídicamente vinculante de una autoridad de control que le concierna.

2. Sin perjuicio de cualquier otro recurso administrativo o extrajudicial, todo interesado tendrá derecho a la tutela judicial efectiva en caso de que la autoridad de control que sea competente en virtud de los artículos 55 y 56 no dé curso a una reclamación o no informe al interesado en el plazo de tres meses sobre el curso o el resultado de la reclamación presentada en virtud del artículo 77.

3. Las acciones contra una autoridad de control deberán ejercitarse ante los tribunales del Estado miembro en que esté establecida la autoridad de control.

4. Cuando se ejerciten acciones contra una decisión de una autoridad de control que haya sido precedida de un dictamen o una decisión del Comité en el marco del mecanismo de coherencia, la autoridad de control remitirá al tribunal dicho dictamen o decisión.»

Reglamento (UE) 2021/953

El artículo 10 del Reglamento (UE) 2021/953 del Parlamento Europeo y del Consejo, de 14 de junio de 2021, relativo a un marco para la expedición, verificación y aceptación de certificados COVID‑19 interoperables de vacunación, de prueba diagnóstica y de recuperación (certificado COVID digital de la UE) a fin de facilitar la libre circulación durante la pandemia de COVID‑19 (DO 2021, L 211, p. 1), con el título «Protección de los datos personales», establecía lo siguiente en su apartado 1:

«El [RGPD] se aplicará al tratamiento de datos personales efectuado en aplicación del presente Reglamento.»

Derecho húngaro

A tenor del artículo 2, apartado 1, del a koronavírus elleni védettségi igazolásról szóló 60/2021. (II.12.) Korm. rendelet [Decreto de Gobierno n.o 60/2021 (II.12.) sobre el Certificado de Inmunidad frente al Coronavirus], de 12 de febrero de 2021, en su versión aplicable al litigio principal (en lo sucesivo, «Decreto n.o 60/2021»):

«El certificado de inmunidad contendrá:

a)	el nombre del interesado;

b)	el número de pasaporte del interesado, en caso de que disponga de uno;

c)	el número y el identificador del documento de identidad permanente del interesado, en caso de que disponga de uno;

d)	el número de serie del certificado de inmunidad;

e)	cuando se presente certificado de vacunación, la fecha en que se administró la vacuna;

f)	cuando se presente prueba de haber superado la infección, la fecha de validez de la prueba;

g)	un código de almacenamiento de datos, legible ópticamente mediante dispositivos informáticos, generado a partir de los datos mencionados en las letras a) a f);

las siguientes indicaciones, a modo de advertencias de texto:

ha)	“Para su validez, la tarjeta debe exhibirse junto con el documento de identidad o con el pasaporte”;

hb)	“No es transferible”;

hc)	“Los derechos asociados al certificado pueden consultarse en la página de Internet koronavirus.gov.hu”.»

19	De conformidad con el artículo 2, apartados 6 y 7, del Decreto n.o 60/2021, la Administración emisora expedirá el certificado de inmunidad a favor de toda persona física legitimada, bien de oficio o previa solicitud.

El artículo 3, apartado 3, de este Decreto dispone:

«En los supuestos contemplados en el artículo 2, apartado 6, letras c) y d), la Administración emisora recopilará, mediante transmisión automática de información —si fuere necesario, a través de los servicios correspondientes del Registro de Ordenación Electrónica de los Datos de Identificación—,

a)	del operador del EESZT [(Elektronikus Egészségügyi Szolgáltatási Tér) (Área de Servicios Sanitarios Electrónicos, Hungría)]: el número de seguridad social del interesado, los datos contemplados en el artículo 2, apartado 1, letras e) y g), así como los datos contemplados en el apartado 1;

b)	del organismo encargado del registro de datos personales y direcciones: el nombre, los identificadores documentales del pasaporte y del documento de identidad permanente y la dirección del interesado.»

Litigio principal y cuestiones prejudiciales

21	La Administración emisora expidió a UC, una persona física, un certificado de inmunidad que acreditaba su vacunación contra la COVID‑19 con arreglo al Decreto n.o 60/2021.

El 30 de abril de 2021, UC inició un procedimiento administrativo referido al tratamiento de sus datos personales presentando, ante la autoridad nacional, una reclamación sobre la base del artículo 77, apartado 1, del RGPD, con el objetivo de que se ordenara a la Administración emisora adecuar sus operaciones de tratamiento a lo dispuesto en el RGPD. En su reclamación, alegaba, entre otros extremos, que la Administración emisora no había elaborado ni publicado un folleto informativo sobre el tratamiento de los datos personales relativos a la emisión de los certificados de inmunidad y que no había información acerca de la finalidad y la base jurídica del tratamiento de tales datos ni sobre cuáles eran los derechos que asistían a los interesados y cómo podían ejercerse.

En el procedimiento iniciado a raíz de esta reclamación, la Administración emisora declaró que desempeñaba sus funciones relativas a la emisión de los certificados de inmunidad en virtud del artículo 2 del Decreto n.o 60/2021 y que el tratamiento de los datos personales tenía como fundamento jurídico los artículos 6, apartado 1, letra e), y 9, apartado 2, letra i), del RGPD, por lo que respecta al tratamiento de datos personales comprendidos en categorías especiales.

Además, la Administración emisora indicó que obtenía los datos personales que trataba de otro organismo, de conformidad con lo dispuesto en el Decreto n.o 60/2021. Sobre esta base, afirmó que, en virtud del artículo 14, apartado 5, letra c), del RGPD, no estaba obligada a facilitar información sobre el tratamiento. No obstante, elaboró y publicó en su página de Internet el folleto informativo sobre el tratamiento solicitado.

25	Mediante resolución de 15 de noviembre de 2021, la autoridad nacional desestimó la reclamación de UC y concluyó que la Administración emisora no estaba obligada a informar, dado que procedía aplicar al tratamiento en cuestión la excepción prevista en el artículo 14, apartado 5, letra c), del RGPD.

En particular, esta autoridad consideró que el Decreto n.o 60/2021 constituía la base legal para el tratamiento que obligaba expresamente a la Administración emisora a obtener los datos en cuestión. Según dicha autoridad, la publicación de información sobre el tratamiento de los datos personales por la Administración emisora, en su página de Internet, constituía una buena práctica y no una obligación legal.

Además, la autoridad nacional examinó de oficio si existían medidas adecuadas para proteger los intereses legítimos del interesado, mencionadas en el artículo 14, apartado 5, letra c), segundo inciso, del RGPD, y declaró que las disposiciones de los artículos 2, 3 y 5 a 7 del Decreto n.o 60/2021 debían considerarse constitutivas de tales medidas.

28	UC interpuso un recurso contencioso-administrativo contra esta resolución ante el Fővárosi Törvényszék (Tribunal General de la Capital, Hungría), que la anuló y ordenó a dicha autoridad que tramitara un nuevo procedimiento.

En su sentencia, dicho tribunal señaló que la excepción prevista en el artículo 14, apartado 5, letra c), del RGPD no resultaba aplicable, ya que en el contexto de los certificados de inmunidad se generan datos que el responsable del tratamiento no obtiene de otro organismo, sino que genera él mismo en el ejercicio de sus funciones. Así ocurre, según el citado tribunal, con el número de serie del certificado de inmunidad, con el plazo de validez del certificado expedido a una persona que haya contraído la enfermedad, con el código QR incorporado a la tarjeta, con el código de barras y con otros códigos alfanuméricos que figuran en el justificante de entrega, así como con los datos personales generados durante el procedimiento del responsable del tratamiento en relación con la tramitación del asunto. A juicio de ese tribunal, solo los datos personales obtenidos de otro organismo podían incluirse en la excepción prevista en el artículo 14, apartado 5, letra c), del RGPD.

30	La autoridad nacional interpuso un recurso de casación contra dicha sentencia ante la Kúria (Tribunal Supremo, Hungría), que es el tribunal remitente.

31	En este contexto, dicho tribunal se pregunta, en primer lugar, si la excepción prevista en el artículo 14, apartado 5, letra c), del RGPD puede referirse a todos los tipos de tratamiento de datos personales, con exclusión de los referidos a datos personales obtenidos del interesado.

En caso afirmativo, el citado tribunal se pregunta si, en un procedimiento de reclamación con arreglo al artículo 77, apartado 1, del RGPD, la autoridad de control es competente para comprobar, con el fin de pronunciarse sobre la aplicabilidad de esta excepción, si el Derecho nacional del responsable del tratamiento establece medidas adecuadas para proteger los intereses legítimos del interesado.

En caso afirmativo, el tribunal remitente desea saber, por último, si esta comprobación versa también sobre el carácter adecuado de las medidas que el responsable del tratamiento está obligado a aplicar, en virtud del artículo 32 del RGPD, para garantizar la seguridad del tratamiento de datos personales.

En tales circunstancias, la Kúria (Tribunal Supremo) decidió suspender el procedimiento y plantear al Tribunal de Justicia las siguientes cuestiones prejudiciales:

«1)

¿Debe interpretarse el artículo 14, apartado 5, letra c), en relación con el artículo 14, apartado 1, y con el considerando 62 del [RGPD], en el sentido de que la excepción prevista en el artículo 14, apartado 5, letra c), no se refiere a los datos generados en el propio procedimiento del responsable del tratamiento, sino únicamente a los datos que el responsable del tratamiento haya obtenido expresamente de otra persona?

En el supuesto de que el artículo 14, apartado 5, letra c), del RGPD también resulte de aplicación a los datos generados en el propio procedimiento del responsable del tratamiento, ¿debe interpretarse el derecho a presentar una reclamación ante una autoridad de control, consagrado en el artículo 77, apartado 1, del RGPD, en el sentido de que una persona física que alegue un incumplimiento de la obligación de facilitar información puede solicitar, al ejercer su derecho a presentar una reclamación, que se examine si, de conformidad con el artículo 14, apartado 5, letra c), del RGPD, el Derecho del Estado miembro establece medidas adecuadas para proteger los intereses legítimos del interesado?

En caso de respuesta afirmativa a la segunda cuestión, ¿puede interpretarse el artículo 14, apartado 5, letra c), del RGPD en el sentido de que las “medidas adecuadas” mencionadas en dicha disposición implican que el legislador nacional debe transponer (mediante norma jurídica) las medidas relativas a la seguridad de los datos establecidas en el artículo 32 del RGPD?»

El 16 de enero de 2024, el Tribunal de Justicia invitó a los interesados mencionados en el artículo 23 del Estatuto del Tribunal de Justicia de la Unión Europea a que respondieran a ciertas preguntas por escrito, con arreglo al artículo 61 del Reglamento de Procedimiento del Tribunal de Justicia. Respondieron a esas preguntas las partes demandante y demandada en el litigio principal, los Gobiernos húngaro y checo y la Comisión Europea.

Sobre las cuestiones prejudiciales

Primera cuestión prejudicial

Mediante su primera cuestión prejudicial, el tribunal remitente pregunta, en esencia, si el artículo 14, apartado 5, letra c), del RGPD debe interpretarse en el sentido de que la excepción a la obligación de información al interesado por parte del responsable del tratamiento, prevista en esa disposición, afecta únicamente a los datos personales que el responsable del tratamiento haya obtenido de una persona distinta del interesado o si afecta también a los datos personales generados por el propio responsable en el ejercicio de sus funciones.

37	El artículo 14, apartados 1, 2 y 4, de este Reglamento determina la información que el responsable del tratamiento está obligado a facilitar al interesado, en el sentido del artículo 4, punto 1, del citado Reglamento, cuando los datos personales no se hayan obtenido del interesado.

El artículo 14, apartado 5, del mismo Reglamento enumera ciertas excepciones a tal obligación. Entre estas excepciones, la letra c) del mencionado apartado 5 dispone que dicha obligación no será aplicable cuando y en la medida en que la obtención o la comunicación esté expresamente establecida por el Derecho de la Unión o el Derecho del Estado miembro que se aplique al responsable del tratamiento y que establezca medidas adecuadas para proteger los intereses legítimos del interesado.

Para determinar si esta excepción comprende los datos personales generados por el propio responsable del tratamiento, en el ejercicio de sus funciones, a partir de datos obtenidos de una persona distinta del interesado, con arreglo a reiterada jurisprudencia, ha de tenerse en cuenta no solo el tenor de la disposición que la establece, sino también el contexto de dicha disposición y los objetivos perseguidos por la normativa de la que forma parte (véase, en este sentido, la sentencia de 12 de enero de 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, apartado 32 y jurisprudencia citada).

40	En primer lugar, se debe determinar, a la vista del tenor del artículo 14, apartado 5, letra c), del RGPD, el objeto de «la obtención o la comunicación» mencionada en esta disposición.

En efecto, existe, en primer término, cierta divergencia en las diferentes versiones lingüísticas de la referida disposición. La versión francesa de esta disposición hace referencia a la obtención o la comunicación de «informaciones» («informations»), mientras que, por un lado, las versiones húngara («adat»), estonia («isikuandmed»), croata («podataka»), lituana («duomenų»), neerlandesa («gegevens»), portuguesa («dados»), rumana («datelor») y sueca («uppgifter») hacen referencia a la obtención o la comunicación de los «datos»; por otro lado, la versión finesa contiene un término («tietojen») que puede referirse tanto a «datos» como a «información» y, por último, las versiones búlgara, española, checa, danesa, alemana, griega, inglesa, italiana, letona, maltesa, polaca, eslovaca y eslovena no mencionan el objeto de la obtención o de la comunicación.

Pues bien, según jurisprudencia también reiterada, la formulación utilizada en una de las versiones lingüísticas de una disposición del Derecho de la Unión no puede constituir la única base para la interpretación de dicha disposición ni se le puede reconocer carácter prioritario frente a otras versiones lingüísticas. Las disposiciones de Derecho de la Unión deben, en efecto, ser interpretadas y aplicadas de modo uniforme, a la luz de las versiones en todas las lenguas de la Unión. En caso de divergencia entre versiones lingüísticas de una disposición del Derecho de la Unión, la disposición de que se trate debe interpretarse en función de la estructura general y de la finalidad de la normativa en que se integra (sentencia de 21 de marzo de 2024, Cobult, C‑76/23, EU:C:2024:253, apartado 25 y jurisprudencia citada).

Por lo que respecta a la estructura general del RGPD, el artículo 14, apartado 5, de este Reglamento debe interpretarse a la luz de sus considerandos 61 y 62, que se refieren, por un lado, a los «datos personales [obtenidos y a] los datos personales […] comunicados» y al «registro o [a] la comunicación de los datos personales […] expresamente establecidos por ley» y, por otro lado, a la «información» facilitada o que debe facilitarse. La interpretación según la cual «la obtención o la comunicación», en el sentido del artículo 14, apartado 5, letra c), del RGPD, tiene por objeto datos personales se ve confirmada además por el amplio alcance del concepto de «tratamiento», en el sentido del artículo 4, punto 2, del RGPD, que abarca cualquier operación aplicada a datos personales [véase, en este sentido, la sentencia de 5 de octubre de 2023, Ministerstvo zdravotnictví (Aplicación móvil Covid‑19), C‑659/22, EU:C:2023:745, apartado 27 y jurisprudencia citada].

En cuanto a la finalidad de la normativa de la que forma parte el artículo 14, apartado 5, letra c), del RGPD, basta con observar, al igual que hace la Abogada General en el punto 31 de sus conclusiones, que la ratio legis de esta excepción reside en el hecho de que la obligación de información al interesado impuesta por el artículo 14, apartados 1, 2 y 4, de dicho Reglamento no se justifica cuando otra disposición del Derecho de la Unión o del Derecho de un Estado miembro obliga al responsable del tratamiento, de manera suficientemente completa y vinculante, a proporcionar a dicho interesado información relativa a la obtención o comunicación de datos personales. En efecto, en el supuesto comprendido en el artículo 14, apartado 5, letra c), los interesados deben tener un conocimiento suficiente de las modalidades y finalidades de la obtención o de la comunicación de esos datos.

45	En consecuencia, procede considerar, a la luz del tenor del artículo 14, apartado 5, letra c), del RGPD en el conjunto de sus versiones lingüísticas, que esta disposición debe entenderse referida a la obtención o la comunicación de datos personales.

En segundo término, es preciso declarar que el tenor del artículo 14, apartado 5, letra c), del RGPD no limita la excepción que establece únicamente a los datos personales obtenidos por el responsable del tratamiento de una persona distinta del interesado, como tampoco excluye los datos que hayan sido generados por el propio responsable del tratamiento, en el ejercicio de sus funciones, a partir de tales datos.

De ello se deduce que los datos personales que han sido objeto de «obtención», en el sentido de dicha disposición, por el responsable del tratamiento son todos aquellos que este recoge de una persona distinta del interesado y los que él mismo ha generado, en el ejercicio de su función, a partir de datos obtenidos de una persona distinta del interesado.

En segundo lugar, procede señalar que el ámbito de aplicación material del artículo 14 del RGPD se define de manera negativa en relación con el artículo 13 de este mismo Reglamento. Como se desprende de los propios títulos de estas disposiciones, el citado artículo 13 versa sobre la información que deberá facilitarse cuando los datos personales se obtengan del interesado, mientras que el mencionado artículo 14 se refiere a la que deberá facilitarse cuando los datos personales no se hayan obtenido del interesado. Habida cuenta de esta dicotomía, todos los supuestos en los que los datos no se obtengan del interesado están comprendidos en el ámbito de aplicación material de dicho artículo 14.

Por consiguiente, de la interpretación conjunta de los artículos 13 y 14 del RGPD se desprende que tanto los datos personales obtenidos por el responsable del tratamiento de una persona distinta del interesado como los datos generados por el propio responsable del tratamiento, que, por su naturaleza, tampoco han sido obtenidos del interesado, están comprendidos en el ámbito de aplicación del referido artículo 14. De ello resulta que la excepción establecida en dicho artículo 14, apartado 5, letra c), abarca ambas categorías de datos.

En tercer lugar, procede interpretar el artículo 14, apartado 5, letra c), del RGPD en un sentido conforme con el objetivo perseguido por este Reglamento, que consiste, en particular, como se desprende de su artículo 1, interpretado a la luz de sus considerandos 1 y 10, en garantizar un nivel elevado de protección de los derechos y libertades fundamentales de las personas físicas, sobre todo de su derecho a la vida privada respecto del tratamiento de los datos personales, consagrado en el artículo 8, apartado 1, de la Carta de los Derechos Fundamentales y en el artículo 16 TFUE, apartado 1 (véase, en este sentido, la sentencia de 7 de marzo de 2024, IAB Europe, C‑604/22, EU:C:2024:214, apartado 53 y jurisprudencia citada)

51	A este respecto, del considerando 63 del RGPD se desprende que el legislador de la Unión quiso que los interesados, en el sentido de dicho Reglamento, dispongan del derecho a acceder a los datos personales recogidos que les conciernan, con el fin de conocer y verificar la licitud de su tratamiento.

52	De este modo, el responsable del tratamiento puede verse dispensado de la obligación de información que le incumbe normalmente frente a los interesados, siempre que estos puedan ejercer un control sobre sus datos personales y ejercitar los derechos que les confiere el RGPD.

De conformidad con el objetivo perseguido por este Reglamento, la excepción a la obligación de información al interesado, prevista en el artículo 14, apartado 5, letra c), del RGPD, requiere, por un lado, que la obtención o la comunicación de los datos personales por el responsable del tratamiento esté expresamente establecida por el Derecho de la Unión o el Derecho de los Estados miembros que se aplique a dicho responsable del tratamiento. Por otro lado, este Derecho debe establecer medidas adecuadas para proteger los intereses legítimos del interesado.

De ello se desprende que, para ser plenamente conforme con el objetivo perseguido por el RGPD, la aplicación del artículo 14, apartado 5, letra c), de este Reglamento está supeditada al cumplimiento escrupuloso de los requisitos que establece esta disposición, a saber, en particular, la existencia de un nivel de protección del interesado que sea al menos equivalente al garantizado por el artículo 14, apartados 1 a 4, del referido Reglamento.

Habida cuenta de las consideraciones anteriores, procede responder a la primera cuestión prejudicial que el artículo 14, apartado 5, letra c), del RGPD debe interpretarse en el sentido de que la excepción a la obligación de información al interesado por parte del responsable del tratamiento, prevista en esa disposición, afecta indistintamente a todos los datos personales que el responsable del tratamiento no haya obtenido directamente del interesado, ya hayan sido obtenidos por el responsable del tratamiento de una persona distinta del interesado, ya hayan sido generados por el propio responsable del tratamiento en el ejercicio de sus funciones.

Cuestiones prejudiciales segunda y tercera

Mediante sus cuestiones prejudiciales segunda y tercera, que procede examinar conjuntamente, el tribunal remitente pregunta, en esencia, si los artículos 14, apartado 5, letra c), y 77, apartado 1, del RGPD deben interpretarse en el sentido de que, en un procedimiento de reclamación, la autoridad de control es competente para comprobar si el Derecho del Estado miembro que se aplique al responsable del tratamiento establece medidas adecuadas para proteger los intereses legítimos del interesado, a efectos de aplicar la excepción prevista en dicho artículo 14, apartado 5, letra c), y, en caso afirmativo, si tal comprobación versa también sobre la adecuación de las medidas que el responsable del tratamiento está obligado a aplicar, en virtud del artículo 32 del citado Reglamento, para garantizar la seguridad del tratamiento de los datos personales.

En primer lugar, procede recordar que, según el artículo 77, apartado 1, del RGPD, sin perjuicio de cualquier otro recurso administrativo o acción judicial, todo interesado tiene derecho a presentar una reclamación ante una autoridad de control si considera que el tratamiento de datos personales que le conciernen infringe dicho Reglamento.

Por lo que se refiere a la competencia de las autoridades de control, el artículo 55, apartado 1, del citado Reglamento establece que cada autoridad de control es competente, en el territorio de su Estado miembro, para desempeñar las funciones que se le asignen y ejercer los poderes que se le confieran en virtud del mismo Reglamento.

59	En cuanto a tales funciones, el artículo 57, apartado 1, letra a), del RGPD dispone que incumbe a cada autoridad de control, en su territorio, controlar la aplicación de este Reglamento y hacerlo aplicar.

60	El RGPD no contiene ninguna disposición que permita sustraer determinados aspectos de la aplicación de la excepción prevista en el artículo 14, apartado 5, letra c), de dicho Reglamento a la competencia de las mencionadas autoridades de control.

En virtud de esta disposición, el responsable del tratamiento está dispensado de facilitar al interesado la información contemplada en el artículo 14, apartados 1, 2 y 4, del RGGP cuando y en la medida en que, por una parte, la obtención o la comunicación de datos personales esté expresamente establecida por el Derecho de la Unión o el Derecho del Estado miembro que se aplique al responsable del tratamiento y, por otra parte, tal Derecho establezca medidas adecuadas para proteger los intereses legítimos del interesado.

Por consiguiente, una reclamación presentada con arreglo al artículo 77, apartado 1, del RGPD puede fundamentarse en el incumplimiento de la obligación de información por parte del responsable del tratamiento derivado de la inobservancia de los requisitos de aplicación de la excepción prevista en el artículo 14, apartado 5, letra c), de dicho Reglamento.

Por lo que respecta al primer requisito, recordado en el apartado 61 de la presente sentencia, la autoridad de control que conoce de esa reclamación puede verse obligada a comprobar si el Derecho de la Unión o el Derecho nacional establece que el responsable del tratamiento deba obtener o comunicar datos personales.

En cuanto al segundo requisito, procede señalar, como hace la Abogada General en los puntos 67 y 69 de sus conclusiones, que el alcance de la expresión «medidas adecuadas para proteger los intereses legítimos del interesado» no se concreta en el RGPD. Dicho esto, las disposiciones del Derecho de la Unión o del Derecho del Estado miembro que establezcan esas medidas y que se apliquen al responsable del tratamiento deben garantizar, como se ha señalado en el apartado 54 de la presente sentencia, un nivel de protección del interesado en relación con el tratamiento de sus datos personales que sea al menos equivalente al establecido en el artículo 14, apartados 1 a 4, de dicho Reglamento. Así pues, esas disposiciones deben permitir al interesado ejercer un control sobre sus datos personales y ejercitar los derechos que le confiere el RGPD.

65	A tal efecto, es preciso, en particular, que las referidas disposiciones indiquen, de manera clara y previsible, la fuente a partir de la cual el interesado obtendrá información sobre el tratamiento de los datos personales que le conciernen.

En el contexto de la transmisión de datos personales entre organismos de un Estado miembro y de la generación de esos datos por un responsable del tratamiento a partir de los datos obtenidos de una persona distinta del interesado, es preciso indicar que, en caso de reclamación por este último, corresponderá a la autoridad de control comprobar, en particular, si el Derecho nacional o el Derecho de la Unión pertinente define con suficiente precisión los diferentes tipos de datos personales que se deben obtener o comunicar, así como los datos personales que el responsable del tratamiento debe generar en el ejercicio de sus funciones, y si ese Derecho establece la manera en que el interesado tiene acceso efectivo a la información contemplada en el artículo 14, apartados 1, 2 y 4, del RGPD.

No obstante, como subraya la Comisión en sus observaciones escritas, la comprobación por una autoridad de control de si se cumplen todos los requisitos para aplicar la excepción prevista en el artículo 14, apartado 5, letra c), del RGPD no forma parte de un examen de validez de las disposiciones pertinentes del Derecho nacional. Dicha autoridad se pronunciará únicamente acerca de si, en un caso concreto, el responsable del tratamiento tiene o no derecho a invocar la excepción prevista en esa disposición frente al interesado.

En cuanto al resultado de tal comprobación, procede recordar que, en virtud del artículo 78 del referido Reglamento, cuando, en un caso concreto, la autoridad de control decide que la reclamación del interesado es infundada, este deberá disponer, en su Estado miembro, del derecho a la tutela judicial efectiva contra esa decisión desestimatoria.

En cambio, cuando dicha autoridad considere que la reclamación está fundada y no se cumplan los requisitos para aplicar la excepción prevista en el artículo 14, apartado 5, letra c), del referido Reglamento, conminará al responsable del tratamiento a que facilite la información al interesado, de conformidad con el artículo 14, apartados 1, 2 y 4, del mismo Reglamento.

En segundo lugar, por lo que respecta a si esta comprobación debe versar también sobre la adecuación de las medidas que, a la luz del artículo 32 del RGPD, debe aplicar el responsable del tratamiento para garantizar la seguridad del tratamiento, procede subrayar que el artículo 14, apartado 5, letra c), de dicho Reglamento establece una excepción únicamente a la obligación de información prevista en el referido artículo 14, apartados 1, 2 y 4, sin establecer una excepción a las obligaciones contenidas en otras disposiciones del mismo Reglamento, entre las que se encuentra su artículo 32.

El mencionado artículo 32 obliga al responsable y al eventual encargado del tratamiento a aplicar las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad en el tratamiento de los datos personales que sea adecuado. La adecuación de tales medidas debe ser apreciada en cada caso concreto, teniendo en cuenta los riesgos vinculados al tratamiento en cuestión y valorando si la naturaleza, el contenido y la adopción de esas medidas se adaptan a estos riesgos (véanse, en este sentido, las sentencias de 14 de diciembre de 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, apartados 42, 46 y 47, y de 25 de enero de 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, apartados 37 y 38).

A la vista de los términos respectivos de estas dos disposiciones, procede señalar que las obligaciones establecidas en el artículo 32 del RGPD, que deben cumplirse en cualquier caso y con independencia de la existencia o no de una obligación de información en virtud del artículo 14 de dicho Reglamento, difieren en su naturaleza y alcance de la obligación de información prevista en ese artículo 14.

Así, en caso de reclamación con arreglo al artículo 77, apartado 1, del RGPD, como consecuencia de que el responsable del tratamiento haya invocado erróneamente la excepción prevista en el artículo 14, apartado 5, letra c), de dicho Reglamento, el objeto de las comprobaciones que deberá efectuar la autoridad de control queda delimitado únicamente por el ámbito de aplicación del artículo 14 del mencionado Reglamento, sin que la observancia del artículo 32 de este forme parte de tales comprobaciones.

Habida cuenta de las consideraciones anteriores, procede responder a las cuestiones prejudiciales segunda y tercera que los artículos 14, apartado 5, letra c), y 77, apartado 1, del RGPD deben interpretarse en el sentido de que, en un procedimiento de reclamación, la autoridad de control es competente para comprobar si el Derecho del Estado miembro que se aplique al responsable del tratamiento establece medidas adecuadas para proteger los intereses legítimos del interesado, a efectos de aplicar la excepción prevista en dicho artículo 14, apartado 5, letra c). Sin embargo, no es objeto de tal comprobación la adecuación de las medidas que el responsable del tratamiento está obligado a aplicar, en virtud del artículo 32 del citado Reglamento, para garantizar la seguridad del tratamiento de datos personales.

Costas

Dado que el procedimiento tiene, para las partes del litigio principal, el carácter de un incidente promovido ante el órgano jurisdiccional remitente, corresponde a este resolver sobre las costas. Los gastos efectuados por quienes, no siendo partes del litigio principal, han presentado observaciones ante el Tribunal de Justicia no pueden ser objeto de reembolso.

En virtud de todo lo expuesto, el Tribunal de Justicia (Sala Tercera) declara:

El artículo 14, apartado 5, letra c), del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos),

debe interpretarse en el sentido de que

la excepción a la obligación de información al interesado por parte del responsable del tratamiento, prevista en esa disposición, afecta indistintamente a todos los datos personales que el responsable del tratamiento no haya obtenido directamente del interesado, ya hayan sido obtenidos por el responsable del tratamiento de una persona distinta del interesado, ya hayan sido generados por el propio responsable del tratamiento en el ejercicio de sus funciones.

Los artículos 14, apartado 5, letra c), y 77, apartado 1, del Reglamento 2016/679

deben interpretarse en el sentido de que,

en un procedimiento de reclamación, la autoridad de control es competente para comprobar si el Derecho del Estado miembro que se aplique al responsable del tratamiento establece medidas adecuadas para proteger los intereses legítimos del interesado, a efectos de aplicar la excepción prevista en dicho artículo 14, apartado 5, letra c). Sin embargo, no es objeto de tal comprobación la adecuación de las medidas que el responsable del tratamiento está obligado a aplicar, en virtud del artículo 32 del citado Reglamento, para garantizar la seguridad del tratamiento de datos personales.

Firmas

( *1 ) Lengua de procedimiento: húngaro.

( i ) La denominación del presente asunto es ficticia. No se corresponde con el nombre de ninguna parte en el procedimiento.

Eureka está añadiendo enlaces…