Asunto T‑343/13

CN

contra

Parlamento Europeo

«Responsabilidad extracontractual — Petición dirigida al Parlamento — Difusión en el sitio de Internet del Parlamento de determinados datos de carácter personal — Inexistencia de violación suficientemente caracterizada de una norma jurídica que confiere derechos a los particulares»

Sumario — Sentencia del Tribunal General (Sala Sexta) de 3 de diciembre de 2015

1.      Responsabilidad extracontractual — Requisitos — Ilegalidad — Violación suficientemente caracterizada del Derecho de la Unión — Exigencia de una inobservancia manifiesta y grave de los límites de su facultad de apreciación por parte de las instituciones — Infracción de las normas relativas a la protección de los datos personales — Inclusión

[Art. 340 TFUE, párr. 2; Carta de los Derechos Fundamentales de la Unión Europea, art. 8; Reglamento (CE) nº 45/2001 del Parlamento Europeo y del Consejo]

2.      Instituciones de la Unión Europea — Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (CE) nº 45/2001 — Datos relativos a la salud — Concepto — Interpretación amplia — Límites

[Reglamento (CE) nº 45/2001 del Parlamento Europeo y del Consejo, art. 10, ap. 1]

3.      Instituciones de la Unión Europea — Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (CE) nº 45/2001 — Exigencia de licitud del tratamiento — Consentimiento del interesado — Concepto — Presentación de una petición que contiene información sensible a través del sitio de Internet del Parlamento Europeo — Información suministrada al peticionario antes de la presentación que le permite apreciar la accesibilidad del público a su petición — Licitud del tratamiento

[Reglamento (CE) nº 45/2001 del Parlamento Europeo y del Consejo, arts. 2, letra h), 5, letra d), y 10, ap. 2, letra a)]

4.      Responsabilidad extracontractual — Requisitos — Ilegalidad — Violación suficientemente caracterizada del Derecho de la Unión — Invocación de ilegalidades derivadas de una violación de derechos de terceros — Improcedencia

(Art. 340 TFUE, párr. 2)

5.      Instituciones de la Unión Europea — Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (CE) nº 45/2001 — Derecho a la supresión de los datos — Requisito — Tratamiento ilícito de los datos en cuestión — Supresión por cortesía de datos tratados lícitamente — Observancia de un plazo razonable

[Reglamento (CE) nº 45/2001 del Parlamento Europeo y del Consejo, art. 16]

6.      Derechos fundamentales — Respeto de la vida privada — Protección de datos personales — Divulgación de datos con el consentimiento del interesado — Injerencia en la vida privada — Inexistencia

7.      Responsabilidad extracontractual — Requisitos — Ilegalidad — Perjuicio — Relación de causalidad — Requisitos acumulativos — Incumplimiento de uno de los requisitos — Desestimación de la totalidad del recurso de indemnización

(Art. 340 TFUE, párr. 2)

8.      Responsabilidad extracontractual — Requisitos — Perjuicio real y cierto causado por un acto ilegal — Daños materiales y morales — Carga de la prueba

(Art. 340 TFUE, párr. 2)

9.      Responsabilidad extracontractual — Requisitos — Relación de causalidad — Perjuicio constituido por los gastos correspondientes al procedimiento administrativo previo — Gastos derivados de la libre elección del demandante — Inexistencia de relación de causalidad entre el comportamiento de la institución y el perjuicio

(Art. 340 TFUE, párr. 2)

1.      En materia de responsabilidad extracontractual de la Unión, el requisito del comportamiento ilegal de las instituciones de la Unión requiere la violación suficientemente caracterizada de una norma jurídica que tiene por objeto conferir derechos a los particulares. El criterio decisivo para considerar que una violación del Derecho de la Unión está suficientemente caracterizada reside en la inobservancia manifiesta y grave, por una institución de la Unión, de los límites impuestos a su facultad de apreciación.

A este respecto, dado que, en lo que atañe a los actos de las instituciones y órganos de la Unión, el derecho a la protección de los datos personales consagrado por el artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea se desarrolla por el Reglamento nº 45/2001, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones y los organismos comunitarios y a la libre circulación de estos datos, y por las normas de desarrollo de dicho Reglamento adoptadas por cada institución, todas esas disposiciones tienen por objeto conferir derechos a los particulares. Por tanto, pueden ser invocadas por un demandante en el marco de su recurso de indemnización.

(véanse los apartados 44 y 47)

2.      Debe darse una interpretación amplia a la expresión «datos relativos a la salud», que figura en el artículo 10, apartado 1, del Reglamento nº 45/2001, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones y los organismos comunitarios y a la libre circulación de estos datos, de modo que comprenda la información relativa a todos los aspectos, tanto físicos como psíquicos, de la salud de una persona. Sin embargo, dicho concepto no puede ampliarse hasta dar cabida a expresiones que no conllevan la divulgación de ningún dato relativo a la salud o a la condición médica de una persona.

(véase el apartado 50)

3.      Dado que el artículo 2, letra h), del Reglamento nº 45/2001, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones y los organismos comunitarios y a la libre circulación de estos datos, no impone ningún requisito en cuanto a la forma del consentimiento de una persona a un tratamiento de datos personales, la presentación de la petición al Parlamento Europeo puede considerarse una manifestación de voluntad por parte del interesado.

En efecto, una lectura atenta de la información suministrada por el Parlamento debería haber permitido a un peticionario razonablemente atento apreciar el alcance de su acción y las consecuencias de la misma. A este respecto, en lo que atañe a una petición relativa al hecho de que una institución de la Unión no tuvo debidamente en cuenta, a efectos de su carrera, el estado de salud del peticionario, funcionario de la Unión, y el de su hijo, dicha manifestación de voluntad fue específica, pues el Parlamento informó al peticionario, en el momento de la presentación, de que su queja sería accesible a través de Internet, y este último dio su consentimiento explícito marcando las casillas de un formulario relativas al tratamiento público y a la inscripción en un registro accesible a través de Internet, sin que su consentimiento deba deducirse implícitamente de acción alguna. Dadas estas circunstancias, procede considerar que el peticionario dio su consentimiento explícito para la divulgación de la información sensible relativa a su salud, en el sentido del artículo 10, apartado 2, letra a), del Reglamento nº 45/2001. Tales consideraciones se aplican mutatis mutandis al tratamiento de datos personales del peticionario distintos de sus datos personales sensibles.

Por otra parte, por lo que respecta a los datos personales que no figuran entre aquellos a los que se refiere el artículo 10, apartado 1, del Reglamento nº 45/2001, como los relativos a la carrera del peticionario, su tratamiento está sujeto al régimen previsto en el artículo 5 de dicho Reglamento. En virtud del artículo 5, letra d), de dicho Reglamento, el tratamiento puede efectuarse, en particular, cuando el interesado ha dado su consentimiento de forma inequívoca. Dicho de otro modo, el tratamiento puede efectuarse cuando el interesado ha dado su consentimiento con certeza y sin ambigüedad. A este respecto, mientras que el artículo 10, apartado 2, letra a), del Reglamento nº 45/2001 requiere que el consentimiento sea explícito, el artículo 5, letra d), de dicho Reglamento exige un consentimiento dado de forma inequívoca. Dada la naturaleza de los datos personales sensibles, es lógico considerar que los requisitos exigidos para el consentimiento con arreglo al artículo 5, letra d), del Reglamento nº 45/2001 no puedan ser más estrictos que los previstos en el artículo 10, apartado 2, letra a), de dicho Reglamento.

(véanse los apartados 59, 70, 74 y 76 a 79)

4.      En materia de responsabilidad extracontractual de la Unión, para garantizar el efecto útil del requisito relativo a la violación de una norma jurídica que confiere derechos a los particulares es necesario que la protección ofrecida por la norma invocada sea efectiva respecto de la persona que la invoca y, por tanto, que dicha persona esté entre aquellas a las que la norma en cuestión confiere derechos. No puede admitirse como fuente de indemnización una norma que no protege al particular contra la ilegalidad que invoca, sino a otro particular. De ello se deduce que un demandante no puede invocar, en el marco de su recurso de indemnización, ilegalidades derivadas de la supuesta violación de los derechos de un tercero.

(véase el apartado 86)

5.      El artículo 16 del Reglamento nº 45/2001, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones y los organismos comunitarios y a la libre circulación de estos datos, confiere el derecho a obtener la supresión de los datos personales sólo cuando el tratamiento es ilícito. Por tanto, dicha disposición no puede invocarse en apoyo de una solicitud de supresión cuando el tratamiento es lícito. El hecho de que la institución de la Unión de que se trata decidiera acoger una solicitud de supresión no implica, en sí mismo, el reconocimiento de la ilegalidad de la publicación inicial.

A este respecto, el artículo 12, apartado 3, de las Normas de desarrollo del Reglamento nº 45/2001, adoptadas por el Parlamento Europeo, dispone que, si una solicitud de supresión es aceptada, deberá aplicarse de inmediato. Ahora bien, dicha disposición contempla las situaciones en las que la solicitud se acepta porque está fundada, a saber, porque el tratamiento es ilegal. En tales circunstancias es lógico que deba ejecutarse sin demora. En cambio, cuando la solicitud carece de fundamento, pero se acepta por cortesía, no hay motivo para imponer una obligación de ejecución sin demora. En tal caso, el Parlamento sólo está obligado a cumplir su compromiso en un plazo razonable.

(véanse los apartados 90 y 100)

6.      Por lo que respecta a la divulgación de información personal por una institución de la Unión, no es posible considerar que hay injerencia de una autoridad pública en la vida privada, en el sentido del artículo 8 del Convenio Europeo de Derechos Humanos, cuando el interesado da su consentimiento para dicha divulgación.

(véase el apartado 107)

7.      Véase el texto de la resolución.

(véase el apartado 110)

8.      Véase el texto de la resolución.

(véanse los apartados 118 y 119)

9.      Véase el texto de la resolución.

(véanse los apartados 123 y 124)