SENTENCIA DEL TRIBUNAL DE JUSTICIA (Sala Tercera)
de 7 de mayo de 2009 (*)
«Protección de las personas físicas en lo que respecta al tratamiento de datos personales – Directiva 95/46/CE – Protección de la intimidad – Supresión de los datos – Derecho de acceso a los datos y a la información sobre los destinatarios de los datos – Plazo para ejercer el derecho de acceso»
En el asunto C‑553/07,
que tiene por objeto una petición de decisión prejudicial planteada, con arreglo al artículo 234 CE, por el Raad van State (Países Bajos), mediante resolución de 5 de diciembre de 2007, recibida en el Tribunal de Justicia el 12 de diciembre de 2007, en el procedimiento entre
College van burgemeester en wethouders van Rotterdam
y
M.E.E. Rijkeboer,
EL TRIBUNAL DE JUSTICIA (Sala Tercera),
integrado por el Sr. A. Rosas, Presidente de Sala, y los Sres. A. Ó Caoimh, J. Klučka y U. Lõhmus y la Sra. P. Lindh (Ponente), Jueces;
Abogado General: Sr. D. Ruiz-Jarabo Colomer;
Secretaria: Sra. M. Ferreira, administradora principal;
habiendo considerado los escritos obrantes en autos y celebrada la vista el 20 de noviembre de 2008;
consideradas las observaciones presentadas:
– en nombre del College van burgemeester en wethouders van Rotterdam, por el Sr. R. de Bree, advocaat;
– en nombre del Sr. M.E.E. Rijkeboer, por el Sr. W. van Bentem, juridisch adviseur;
– en nombre del Gobierno neerlandés, por las Sras. C.M. Wissels y C. ten Dam, en calidad de agentes;
– en nombre del Gobierno checo, por el Sr. M. Smolek, en calidad de agente;
– en nombre del Gobierno griego, por las Sras. E.-M. Mamouna y V. Karra, en calidad de agentes;
– en nombre del Gobierno español, por el Sr. M. Muñoz Pérez, en calidad de agente;
– en nombre del Gobierno del Reino Unido, por las Sras. Z. Bryanston-Cross y H. Walker, en calidad de agentes, asistidas por el Sr. J. Stratford, Barrister;
– en nombre de la Comisión de las Comunidades Europeas por los Sres. R. Troosters y C. Docksey, en calidad de agentes;
oídas las conclusiones del Abogado General, presentadas en audiencia pública el 22 de diciembre de 2008;
dicta la siguiente
Sentencia
1 La petición de decisión prejudicial tiene por objeto la interpretación del artículo 12, letra a), de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (DO L 281, p. 31) (en lo sucesivo, la «Directiva»).
2 Dicha petición se presentó en el marco de un litigio entre el Sr. Rijkeboer y el College van burgemester en wethouders van Rotterdam (en lo sucesivo, «College»), en relación a la desestimación parcial por este último de la solicitud de acceso de aquél a la información sobre la comunicación a terceros de sus datos personales durante los dos años anteriores a su solicitud.
Marco jurídico
Normativa comunitaria
3 Los considerandos segundo y décimo de la Directiva, atinentes a los derechos y libertades fundamentales, proclaman:
«2) Considerando que los sistemas de tratamiento de datos están al servicio del hombre; que deben, cualquiera que sea la nacionalidad o la residencia de las personas físicas, respetar las libertades y derechos fundamentales de las personas físicas y, en particular, la intimidad, y contribuir al progreso económico y social, al desarrollo de los intercambios, así como al bienestar de los individuos;
[…]
10) Considerando que las legislaciones nacionales relativas al tratamiento de datos personales tienen por objeto garantizar el respeto de los derechos y libertades fundamentales, particularmente del derecho al respeto de la vida privada reconocido en el artículo 8 del Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales, así como en los principios generales del Derecho comunitario; [...]».
4 Según el vigesimoquinto considerando de la Directiva, los principios relativos a la protección de la persona tienen su expresión, por una parte, en las distintas obligaciones que incumben a los responsables del tratamiento de los datos, obligaciones relativas, en particular, a la calidad de los datos y, por otra parte, en los derechos otorgados a las personas cuyos datos sean objeto de tratamiento de ser informadas acerca de dicho tratamiento, de poder acceder a los datos, de poder solicitar su rectificación o incluso de oponerse a su tratamiento en determinadas circunstancias.
5 El cuadragésimo considerando de la Directiva, relativo a la obligación de informar al interesado cuando los datos no se han recabado de éste, dispone que no es necesario imponer dicha obligación si resulta imposible informarle, o ello implica esfuerzos desproporcionados y que a este respecto puede tomarse en consideración el número de interesados, la antigüedad de los datos y las posibles medidas compensatorias.
6 Conforme al cuadragésimo primer considerando de la Directiva, cualquier persona debe disfrutar del derecho de acceso a los datos que le conciernan y sean objeto de tratamiento, para cerciorarse, en particular, de su exactitud y de la licitud de su tratamiento.
7 El artículo 1, titulado «Objeto de la Directiva», estipula lo siguiente:
«1. Los Estados miembros garantizarán, con arreglo a las disposiciones de la presente Directiva, la protección de las libertades y de los derechos fundamentales de las personas físicas, y, en particular, del derecho a la intimidad, en lo que respecta al tratamiento de los datos personales.
2. Los Estados miembros no podrán restringir ni prohibir la libre circulación de datos personales entre los Estados miembros por motivos relacionados con la protección garantizada en virtud del apartado 1.»
8 El concepto de «datos personales» se define en el artículo 2, letra a), de la Directiva como toda información sobre una persona física identificada o identificable (el «interesado»).
9 Por «tratamiento de datos personales» («tratamiento»), el artículo 2, letra b), de la Directiva, entiende:
«cualquier operación o conjunto de operaciones, efectuadas o no mediante procedimientos automatizados, y aplicadas a datos personales, como la recogida, registro, organización, conservación, elaboración o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma que facilite el acceso a los mismos, cotejo o interconexión, así como su bloqueo, supresión o destrucción.»
10 Según el artículo 2, letra b), de la Directiva, el «responsable del tratamiento» es la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que sólo o conjuntamente con otros determine los fines y los medios del tratamiento de datos personales.
11 El artículo 2, letra g), de la Directiva, define el «destinatario» como la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que reciba comunicación de datos, se trate o no de un tercero, tal como se define a éste último, en el artículo 2, letra f).
12 El artículo 6 de la Directiva enuncia los principios relativos a la calidad de los datos. En lo que respecta a su conservación, el párrafo 1, letra e), establece que los Estados miembros dispondrán que los datos personales sean «conservados en una forma que permita la identificación de los interesados durante un período no superior al necesario para los fines para los que fueron recogidos o para los que se traten ulteriormente. Los Estados miembros establecerán las garantías apropiadas para los datos personales archivados por un período más largo del mencionado, con fines históricos, estadísticos o científicos».
13 Los artículos 10 y 11 de la Directiva, disponen la información que el responsable del tratamiento de los datos o su representante deberán comunicar a la persona interesada, en los casos en que, respectivamente, recaben los datos del propio interesado o no los recaben de éste.
14 El artículo 12 de la Directiva, titulado «Derecho de acceso», se redacta en los siguientes términos:
«Los Estados miembros garantizarán a todos los interesados el derecho de obtener del responsable del tratamiento:
a) libremente, sin restricciones y con una periodicidad razonable y sin retrasos ni gastos excesivos:
– la confirmación de la existencia o inexistencia del tratamiento de datos que le conciernen, así como información por lo menos de los fines de dichos tratamientos, las categorías de datos a que se refieran y los destinatarios o las categorías de destinatarios a quienes se comuniquen dichos datos;
– la comunicación, en forma inteligible, de los datos objeto de los tratamientos, así como toda la información disponible sobre el origen de los datos;
– el conocimiento de la lógica utilizada en los tratamientos automatizados de los datos referidos al interesado, al menos en los casos de las decisiones automatizadas a que se refiere el apartado 1 del artículo 15;
b) en su caso, la rectificación, la supresión o el bloqueo de los datos cuyo tratamiento no se ajuste a las disposiciones de la presente Directiva, en particular a causa del carácter incompleto o inexacto de los datos;
c) la notificación a los terceros a quienes se hayan comunicado los datos de toda rectificación, supresión o bloqueo efectuado de conformidad con la letra b), si no resulta imposible o supone un esfuerzo desproporcionado.»
15 El artículo 13, párrafo 1, de la Directiva, titulado «Excepciones y limitaciones», autoriza a los Estados miembros a adoptar medidas legales para limitar el alcance de lo establecido en sus artículos 6 y 12, cuando tal limitación constituya una medida necesaria para la salvaguardia de la seguridad del Estado, la defensa, la prevención, la investigación, la detección y la represión de infracciones penales o de las infracciones de la deontología en las profesiones reglamentadas, la protección del interesado o de los derechos y libertades de otras personas.
16 La Directiva establece en su artículo 14 que los Estados miembros reconocerán al interesado el derecho a oponerse, en determinadas condiciones, a que los datos que le conciernan sean objeto de tratamiento.
17 Según el artículo 17, apartado 1, párrafo segundo, de la Directiva, los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, que deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse.
18 Conforme al artículo 22 y al artículo 23, apartado 1, de la Directiva, los Estados miembros establecerán que toda persona disponga de un recurso judicial en caso de violación de los derechos que le garanticen las disposiciones de Derecho nacional aplicables al tratamiento de que se trate y que toda persona que sufra un perjuicio como consecuencia de un tratamiento ilícito o de una acción incompatible con las disposiciones nacionales adoptadas en aplicación de la presente Directiva, tenga derecho a obtener del responsable del tratamiento la reparación del perjuicio sufrido.
Normativa nacional
19 El ordenamiento jurídico neerlandés fue adaptado a la Directiva 95/46 mediante un texto general, la Ley relativa a la protección de datos personales (Wet bescherming persoonsgegevens). Por otro lado, se modificaron determinadas leyes sectoriales con objeto de adaptarlas a la Directiva. Tal es el caso de la normativa nacional controvertida en el procedimiento principal, la Ley sobre la gestión de padrones municipales (Wet gemeentelijke basisadministratie persoonsgegevens, Stb. 1994, nº 494, en lo sucesivo, «Wet GBA»).
20 En virtud del artículo 103, apartado 1, de la Wet GBA, el College van burgemeester en wethouders comunica por escrito, previa solicitud, al interesado, en un plazo de cuatro semanas, si los datos del padrón municipal que le conciernen se han facilitado a un solicitante o a un tercero en el año anterior a la solicitud.
21 Según el artículo 110 de la Wet GBA, el College conserva la mención de dicha comunicación durante el período de un año a partir de la comunicación, salvo si ésta se desprende de otro modo del fichero de datos.
22 De las observaciones escritas del College resulta, que los datos conservados por el municipio hacen constancia en particular del nombre, la fecha de nacimiento, los datos administrativos, el número de identificación fiscal, la vecindad civil, el domicilio en el municipio y la fecha de empadronamiento, el estado civil, la curatela, la patria potestad, la nacionalidad y el derecho de estancia de los extranjeros.
Litigio principal y cuestión prejudicial
23 Mediante escrito de 26 de octubre de 2005, el Sr. Rijkeboer solicitó del College una relación de todas las comunicaciones a terceros de información relativa a él procedente de la base de datos de padrón municipal, efectuadas durante los dos años anteriores a su petición. En particular, deseaba conocer la identidad de dichas personas y el contenido de la información facilitada. El Sr. Rijkeboer, que se había mudado a otro municipio, quería saber concretamente a quién se había comunicado su domicilio anterior.
24 Mediante resoluciones de 27 y de 29 de noviembre de 2005, el College desestimó parcialmente la petición del Sr. Rijkeboer, suministrándole sólo los datos relativos al año anterior, en aplicación del artículo 103, apartado 1, de la Wet GBA.
25 La comunicación de los datos se registra mediante el denominado «Logisch Ontwerp GBA». Se trata de un sistema automatizado creado por el Ministerie van Binnenlandse Zaken en Koninkrijkrelaties (Ministerio de Asuntos Exteriores y Asuntos de la Corona). Según la petición de decisión prejudicial, los datos solicitados por el Sr. Rijkeboer, anteriores en más de un año a la fecha de la solicitud, fueron automáticamente cancelados, de conformidad con lo establecido en el artículo 110 de la Wet GBA.
26 El Sr. Rijkeboer presentó una reclamación contra la resolución del College por la que se le denegaba la información sobre los destinatarios a los que se había comunicado información relativa a su persona durante el período inmediatamente anterior al año de presentación de su solicitud. La citada reclamación se desestimó mediante resolución de 13 de febrero de 2006, por lo que el Sr. Rijkeboer interpuso un recurso ante el Rechtbank Rotterdam.
27 Dicho tribunal declaró fundado el recurso al considerar que la limitación del derecho a la información sobre la comunicación de datos al año anterior a la solicitud, tal como se prevé en el artículo 103, apartado 1, de la Wet GBA, no es compatible con el artículo 12 de la Directiva sobre protección de datos. En su opinión, esta limitación tampoco encuentra base alguna en los intereses enunciados con carácter limitativo en el artículo 13 de la Directiva.
28 Contra esta resolución el College interpuso un recurso en apelación ante el Raad van State. Esta jurisdicción constata que el artículo 12 de la Directiva relativo al derecho de acceso a los datos, no fija un plazo determinado para el ejercicio del citado derecho. Según dicha jurisdicción, de la lectura de dicha disposición no se infiere sin más que los Estados miembros no puedan establecer ninguna restricción al derecho de información sobre los destinatarios o categorías de destinatarios a los que se comunican los datos relativos al interesado, pero alberga ciertas dudas al respecto.
29 Ante esta situación, el Raad van State decidió suspender el procedimiento principal y plantear al Tribunal de Justicia la siguiente cuestión prejudicial:
«La limitación legal de la comunicación de datos al año anterior a la solicitud, ¿es compatible con el artículo 12 […] letra a), de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de sus datos y a su libre circulación, interpretado en relación con el artículo 6, apartado 1, letra e), de la citada Directiva y con el principio de proporcionalidad?»
Sobre la cuestión prejudicial
30 Procede recordar con carácter preliminar que, en el marco del sistema de cooperación judicial establecido por el artículo 234 CE, corresponde al Tribunal de Justicia interpretar las disposiciones de Derecho comunitario. En lo que atañe a las disposiciones nacionales, su interpretación corresponde a los órganos jurisdiccionales nacionales (véase la sentencia de 14 de febrero de 2008, Gysen, C‑449/06, Rec. p. I‑553, apartado 17).
31 Por consiguiente, procede entender la cuestión planteada por el tribunal remitente, en esencia, en el sentido de que su objeto es que se determine si, según la Directiva, en particular su artículo 12, letra a), el derecho de acceso del interesado a la información sobre los destinatarios o las categorías de destinatarios a quienes se comunican los datos relativos a su persona, así como el contenido de los datos comunicados, puede circunscribirse al período de un año anterior a la solicitud de acceso.
32 Dicho órgano jurisdiccional pone de relieve dos artículos de la Directiva, a saber, el artículo 6, apartado 1, letra e), relativo a la conservación de los datos personales y el artículo 12, letra a), relativo al derecho de acceso a éstos. En cambio, ni la citada jurisdicción ni ninguna de las partes que han presentado observaciones al Tribunal de Justicia, invoca las excepciones enunciadas en el artículo 13 de la Directiva.
33 El artículo 6 de la Directiva alude a la calidad de los datos. Su apartado 1, letra e), impone a los Estados miembros el deber de prever que los datos personales sean conservados durante un período no superior al necesario para los fines para los que fueron recogidos o para los que se traten ulteriormente. Por tanto, los datos deberán ser destruidos cuando se cumplan dichos fines.
34 Conforme al artículo 12, letra a), de la Directiva, los Estados miembros garantizarán a todos los interesados un derecho de acceso a los datos personales que le conciernen, así como información sobre los destinatarios o las categorías de destinatarios a quienes se comuniquen dichos datos, sin establecer un plazo concreto.
35 La finalidad de los dos artículos antes citados es, por tanto, la protección del interesado. El órgano jurisdiccional remitente pretende saber si existe un vínculo entre dichos artículos, de modo que el derecho de acceso a la información sobre los destinatarios o las categorías de destinatarios a quienes se comuniquen los datos y sobre el contenido de los datos comunicados, podría depender del plazo de conservación de los mismos.
36 En las observaciones presentadas al Tribunal de Justicia se aprecian distintos puntos de vista respecto a la interacción entre ambos artículos.
37 El College, al igual que los gobiernos neerlandés, checo, español y del Reino Unido, defienden que el derecho de acceso a la información sobre los destinatarios o las categorías de destinatarios, reflejado en el artículo 12, letra a), de la Directiva, se contempla para los datos que están siendo objeto de tratamiento en el presente, y no para los datos tratados en el pasado. Según éstos, toda vez que los datos han sido borrados, conforme a la normativa nacional, la persona afectada ya no puede tener acceso a ellos. Esta consecuencia no es, a su juicio, contraria a la Directiva.
38 El College y el Gobierno neerlandés sostienen, por consiguiente, que el artículo 103, apartado 1, de la Wet GBA, según el cual el municipio informa al interesado, a petición de éste, de los datos comunicados a los destinatarios durante el año anterior a su solicitud, va más allá de las exigencias impuestas por la Directiva.
39 La Comisión y el Gobierno griego estiman, por su parte, que la Directiva prevé un derecho de acceso no sólo para el presente, sino también de cara al período anterior a la solicitud de acceso. Sin embargo, sus puntos de vista divergen en lo que se refiere al plazo concreto de ejercicio del derecho de acceso.
40 Para apreciar el alcance del citado derecho de acceso, garantizado por la Directiva, es preciso, primeramente, determinar a qué tipos de datos se aplica y, a continuación, referirse a la finalidad del artículo 12, letra a), de la Directiva a la luz de los objetivos de la misma.
41 En un caso como el del Sr. Rijkeboer, dos tipos de datos entran en juego.
42 El primer tipo se refiere a los datos de carácter privado sobre una persona, que obran en poder del municipio, como el nombre o domicilio, que constituyen, en este caso, los datos principales. Se desprende de las observaciones orales formuladas por el College y el Gobierno neerlandés, que tales datos pueden ser objeto de un plazo de conservación más largo. Constituyen «datos personales» en el sentido del artículo 2, letra a), de la Directiva, puesto que se trata de información sobre una persona física identificada o identificable (véanse, en este sentido, las sentencias de 20 mayo de 2003, Österreichischer Rundfunk y otros, C‑465/00, C‑138/01 y C‑139/01, Rec. p. I‑4989, apartado 64, de 6 noviembre de 2003, Lindqvist, C‑101/01, Rec. p. I‑12971, apartado 24, y de 16 de diciembre de 2008, Huber, C‑524/06, Rec. p. I‑0000, apartado 43).
43 El segundo tipo atañe a la información sobre los destinatarios o categorías de destinatarios a quienes se comunican los datos principales y a la información sobre el contenido de éstos, por lo que hace referencia al tratamiento de los datos principales. Conforme a la normativa nacional controvertida en el procedimiento principal, la conservación de dicha información se limita al período de un año.
44 La limitación en el tiempo del derecho de acceso a la información sobre el destinatario o los destinatarios de los datos de carácter personal, y sobre el contenido de la información transmitida, objeto del litigio principal, afecta, así pues, a esta segunda categoría de datos.
45 A fin de determinar si el artículo 12, letra a), de la Directiva autoriza o no tal limitación temporal, es preciso interpretar dicho artículo a la luz de los objetivos de la Directiva.
46 El objeto de la Directiva, expresado en su artículo 1, es la protección de las libertades y de los derechos fundamentales de las personas físicas, y, en particular, del derecho a la intimidad, en lo que respecta al tratamiento de los datos personales y la libre circulación de datos personales entre los Estados miembros.
47 El valor dado a la protección de la intimidad se pone de manifiesto en los considerandos segundo y décimo, y es jurisprudencia reiterada del Tribunal de Justicia (véanse, en este sentido, las sentencias Österreichischer Rundfunk y otros, apartado 70, y Lindqvist, apartados 97 y 99, antes citadas, de 29 de enero de 2008, Promusicae, C‑275/06, Rec. p. I‑271, apartado 63, y de 16 de diciembre de 2008, Satakunnan Markkinapörssi y Satamedia, C‑73/07, Rec. p. I‑7075, apartado 52).
48 Por otro lado, tal y como se desprende del vigesimoquinto considerando de la Directiva, los principios de protección deben encontrar su expresión, por una parte, en las obligaciones impuestas a los responsables del tratamiento de los datos, obligaciones relativas en particular, a la calidad de los datos –objeto del artículo 6 de la Directiva– y, por otra parte, en los derechos reconocidos a las personas cuyos datos están siendo tratados, para poder acceder a dichos datos, solicitar su rectificación e, incluso, oponerse a su tratamiento en determinadas circunstancias.
49 El citado derecho a la intimidad conlleva que la persona de que se trata pueda cerciorarse de la exactitud y de la licitud del tratamiento de sus datos personales, esto es, en particular, de que los datos principales son exactos, y de que son comunicados a los destinatarios autorizados. Como establece el cuadragésimo primer considerando de la Directiva, para poder efectuar las comprobaciones necesarias, cualquier persona debe disfrutar del derecho de acceso a los datos que le conciernan y sean objeto de tratamiento.
50 A este respecto, el artículo 12, letra a), de la Directiva, contempla un derecho de acceso a los datos principales y a la información sobre los destinatarios o las categorías de los destinatarios a quienes se comuniquen dichos datos.
51 El citado derecho de acceso es indispensable para que el interesado pueda ejercer los derechos que se contemplan en el artículo 12, letras b) y c), de la Directiva, a saber, en su caso, cuando el tratamiento no se ajuste a las disposiciones de la misma, obtener del responsable del tratamiento de los datos, la rectificación, la supresión o el bloqueo de los datos [letra b)], o que proceda a notificar a los terceros a quienes se hayan comunicado los datos, toda rectificación, supresión o bloqueo efectuado, si no resulta imposible o supone un esfuerzo desproporcionado [letra c)].
52 El derecho de acceso es, igualmente, condición necesaria para el ejercicio por el interesado del derecho de oposición al tratamiento de sus datos personales, contemplado en el artículo 14 de la Directiva, como lo es para el derecho a recurrir por los daños sufridos, previsto en los artículos 22 y 23 de ésta.
53 La Directiva no precisa si el derecho de acceso a la información sobre los destinatarios o categorías de destinatarios de los datos principales y sobre el contenido de los datos comunicados concierne al pasado y, en su caso, a qué período del pasado.
54 A este respecto, debe señalarse que, para garantizar el efecto útil de las disposiciones a que se refieren los apartados 51 y 52 de la presente sentencia, el citado derecho debe necesariamente afectar al pasado. De no ser así, el interesado no estaría en condiciones de ejercer eficazmente su derecho a exigir la rectificación, la supresión o el bloqueo de los datos que se presume ilícitos o incorrectos, ni de interponer un recurso judicial y obtener la compensación por el daño sufrido.
55 Se suscita la cuestión de saber cuál es la extensión del citado derecho en el pasado.
56 El Tribunal ya ha declarado que las disposiciones de la Directiva son relativamente generales, dado que deben aplicarse a un gran número de situaciones, muy diversas entre sí, y que la Directiva contiene normas que se caracterizan por una cierta flexibilidad, que deja en muchos casos en manos de los Estados miembros la tarea de regular los detalles o de elegir entre varias opciones (véase la sentencia Lindqvist, antes citada, apartado 83). El Tribunal ha reconocido igualmente que los Estados miembros disponían, en muchos aspectos, de un amplio margen de maniobra para la adaptación de los Derechos nacionales a la Directiva (véase la sentencia Lindqvist, antes citada, apartado 84). Dicha flexibilidad, que se constata a la hora de adaptar la normativa nacional al artículo 12, letra a), de la Directiva, no es, sin embargo, ilimitada.
57 El sometimiento a plazo del derecho de acceso a la información sobre los destinatarios o categorías de destinatarios a los que se comunican los datos y al contenido de lo comunicado debe permitir al afectado ejercer los distintos derechos contemplados en la Directiva y mencionados en los apartados 51 y 52 de la presente sentencia.
58 El período de conservación de los datos principales puede servir como un criterio útil, no siendo, aun así, decisivo.
59 En efecto, el ámbito de aplicación de la Directiva es muy amplio, como ha reconocido el Tribunal (véanse las sentencias Österreichischer Rundfunky y otros, apartado 43, así como Lindqvist, apartado 88, antes citadas), y los datos de carácter personal a los que se refiere la Directiva, heterogéneos. El período de conservación de estos últimos, definido según el artículo 6, apartado 1, letra e), de la Directiva, en función de los fines para las que fueron recabados o posteriormente tratados, puede por tanto ser diferente. Cuando el período de conservación de los datos principales es muy prolongado, el interés de la persona afectada, de cara al ejercicio de las distintas vías de intervención y de recurso mencionadas en el apartado 57 de esta sentencia, puede, en determinados casos, disminuir. Si, por ejemplo, los destinatarios de tales datos son numerosos, o la frecuencia con la que se comunican los datos a un número más restringido de destinatarios sigue siendo elevada, la obligación de conservar todo ese tiempo la información sobre los destinatarios o las categorías de los destinatarios de los datos y su contenido, podría suponer una carga excesiva para el responsable del tratamiento.
60 Sin embargo, la Directiva no exige que los Estados miembros impongan una carga semejante al responsable del tratamiento.
61 En este sentido, el artículo 12, letra c), de la Directiva, prevé expresamente una reserva a la obligación de aquél de notificar a los terceros a los que se han comunicado los datos la rectificación, supresión o bloqueo de los datos, en particular, si resulta imposible o supone un esfuerzo desproporcionado.
62 Según se contempla en otros puntos de la Directiva, puede tenerse en cuenta el carácter desproporcionado de ciertas medidas. En relación con la obligación de informar al interesado, el cuadragésimo considerando de la Directiva señala que el número de interesados y la antigüedad de los datos pueden ser tomados en consideración a este respecto. Además, según el artículo 17 de la Directiva relativo a la seguridad del tratamiento, los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización pertinentes para asegurar un nivel de seguridad adecuado, teniendo en cuenta el estado de la técnica y el coste de su aplicación en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse en atención a los riesgos del tratamiento y la naturaleza de los datos.
63 A la misma conclusión se llega con respecto al establecimiento de un plazo relativo al derecho de acceso a la información sobre los destinatarios o categorías de destinatarios de los datos y a la información sobre su contenido. Además de lo expuesto en el apartado 57 de la presente sentencia, los Estados miembros pueden servirse de una serie de parámetros, en particular las disposiciones de Derecho interno aplicables en materia de plazo para interponer un recurso, la naturaleza más o menos sensible de los datos principales, el período de conservación de dichos datos y el número de destinatarios.
64 Corresponde, por tanto, a los Estados miembros, fijar un plazo de conservación de la información atinente a los destinatarios o categorías de destinatarios a los que se comunican los datos y el contenido de éstos, así como configurar el acceso a dicha información guardando un justo equilibrio entre, por un lado, el interés del afectado en proteger su intimidad, concretamente a través de los derechos de rectificación, supresión y bloqueo de los datos cuyo tratamiento no se ajuste a las disposiciones de la Directiva, y los derechos a oponerse justificadamente al tratamiento y a recurrir judicialmente y, por otro lado, la carga que la obligación de dicha información puede representar para el responsable del tratamiento.
65 Por otra parte, a la hora de fijar dicho plazo, es preciso tomar en consideración las obligaciones derivadas del artículo 6, letra e), de la Directiva, con vistas a garantizar que los datos de carácter personal sean conservados de forma tal que permita la identificación de los interesados durante un período no superior al necesario para los fines para los que fueron recogidos o para los que se traten ulteriormente.
66 En el caso de autos, una normativa que limita la conservación de la información sobre los destinatarios o las categorías de destinatarios de los datos y el contenido de lo transmitido, al período de un año, limitando correlativamente el acceso a dicha información, si bien los datos principales son guardados durante mucho más tiempo, no constituye un justo equilibrio entre el interés tutelado y la obligación discutidos, a menos que pueda demostrarse que un período de conservación más largo constituye una carga excesiva para el responsable del tratamiento. Corresponde al juez nacional, sin embargo, efectuar las comprobaciones necesarias a la luz de las consideraciones expuestas en los apartados anteriores.
67 Habida cuenta de las consideraciones precedentes, la alegación de determinados Estados miembros, según la cual la aplicación de los artículos 10 y 11 de la Directiva dejaría sin efecto la concesión retroactiva del derecho de acceso a la información sobre los destinatarios o categorías de destinatarios, contemplado en el artículo 12, letra a), de la Directiva, no puede acogerse.
68 En efecto, procede señalar que los artículos 10 y 11 de la Directiva imponen una serie de obligaciones al responsable del tratamiento o a su representante, como informar a la persona afectada, en determinadas condiciones, de los destinatarios o categorías de destinatarios de los datos. El responsable del tratamiento de los datos o su representante deben comunicar de oficio dicha información a la persona afectada, a partir del momento en que reciben los datos o, si los datos no se recaban directamente del propio interesado, desde el momento del registro o, en su caso, en el momento de la primera comunicación de datos.
69 Los citados artículos imponen por tanto obligaciones distintas de las que se desprenden del artículo 12, letra a), de la Directiva. Por consiguiente, éstos no mitigan en modo alguno la obligación que incumbe a los Estados miembros, de establecer que el responsable del tratamiento ha de dar a la persona afectada acceso a la información relativa a los destinatarios o categorías de destinatarios y a los datos comunicados, si dicho interesado decide ejercer el derecho de acceso que le confiere el artículo 12, letra a), de la Directiva. Los Estados miembros deben adoptar medidas encaminadas a adaptar sus Derechos internos, por un lado, al contenido de los artículos 10 y 11 de la Directiva, relativos a la obligación de informar, y por otro, a lo dispuesto en el artículo 12, letra a), de la Directiva, sin que los artículos 10 y 11 de la Directiva, puedan atenuar las obligaciones derivadas de este último artículo.
70 Por tanto, procede responder a la cuestión planteada en los siguientes términos:
– El artículo 12, letra a), de la Directiva obliga a los Estados miembros a garantizar un derecho de acceso a la información sobre los destinatarios o categorías de destinatarios a quienes se comunican los datos y al contenido de la información comunicada, no sólo para el presente, sino también para el pasado. Corresponde a los Estados miembros fijar un plazo de conservación de dicha información, así como el acceso correlativo a ésta, guardando un justo equilibrio entre, por un lado, el interés del afectado en proteger su intimidad, concretamente a través de las distintas vías de intervención y de recurso previstas por la Directiva y, por otro, la carga que la obligación de dicha información puede representar para el responsable del tratamiento.
– Una normativa que limita la conservación de la información sobre los destinatarios o las categorías de destinatarios de los datos y el contenido de los datos transmitidos, al período de un año, limitando correlativamente el acceso a dicha información, si bien los datos principales se conservan durante mucho más tiempo, no constituye un justo equilibrio entre el interés tutelado y la obligación discutida, a menos que pueda demostrarse que un período de conservación más largo constituiría una carga excesiva para el responsable del tratamiento. Corresponde al juez nacional efectuar las comprobaciones necesarias.
Costas
71 Dado que el procedimiento tiene, para las partes del litigio principal, el carácter de un incidente promovido ante el órgano jurisdiccional nacional, corresponde a éste resolver sobre las costas. Los gastos efectuados por quienes, no siendo partes del litigio principal, han presentado observaciones ante el Tribunal de Justicia no pueden ser objeto de reembolso.
En virtud de todo lo expuesto, el Tribunal de Justicia (Sala Tercera) declara:
El artículo 12, letra a), de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, obliga a los Estados miembros a garantizar un derecho de acceso a la información sobre los destinatarios o categorías de destinatarios a quienes se comunican los datos y al contenido de la información comunicada, no sólo para el presente, sino también para el pasado. Corresponde a los Estados miembros fijar un plazo de conservación de dicha información, así como el acceso correlativo a ésta, guardando un justo equilibrio entre, por un lado, el interés del afectado en proteger su intimidad, concretamente a través de las distintas vías de intervención y de recurso previstas por la Directiva 95/46 y, por otro, la carga que la obligación de dicha información puede representar para el responsable del tratamiento.
Una normativa que limita la conservación de la información sobre los destinatarios o las categorías de destinatarios de los datos y el contenido de los datos transmitidos al período de un año, limitando correlativamente el acceso a dicha información, si bien los datos se conservan durante mucho más tiempo, no constituye un justo equilibrio entre el interés tutelado y la obligación discutida, a menos que pueda demostrarse que un período de conservación más largo constituiría una carga excesiva para el responsable del tratamiento. Corresponde al juez nacional efectuar las comprobaciones necesarias.
Firmas