CONCLUSIONES DEL ABOGADO GENERAL
SR. GIOVANNI PITRUZZELLA
presentadas el 9 de junio de 2022 (1)
Asunto C‑154/21
RW
contra
Österreichische Post AG
[Petición de decisión prejudicial planteada por el Oberster Gerichtshof (Tribunal Supremo de lo Civil y Penal, Austria)]
«Procedimiento prejudicial — Protección de los datos personales — Reglamento (UE) 2016/679 — Artículo 15, apartado 1, letra c) — Derecho de acceso del interesado — Información sobre el destinatario concreto o sobre las categorías de destinatarios a los que se han comunicado los datos»
1. Cuando una persona, cuyos datos personales son objeto de tratamiento, pretende obtener del responsable del tratamiento información sobre los terceros a los que se han comunicado tales datos, ¿implica necesariamente su derecho de acceso que reciba información sobre los destinatarios concretos de las comunicaciones que tienen por objeto sus datos personales o el responsable del tratamiento puede limitarse a proporcionar indicaciones únicamente en relación con las categorías de destinatarios de esas comunicaciones?
2. Esta es, en esencia, la cuestión que se formula al Tribunal de Justicia en el marco de la presente petición de decisión prejudicial, planteada por el Oberster Gerichtshof (Tribunal Supremo de lo Civil y Penal, Austria), órgano jurisdiccional remitente, relativa a la interpretación del artículo 15, apartado 1, letra c), del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (2) (en lo sucesivo, «RGPD»).
3. La cuestión planteada por el órgano jurisdiccional remitente se ha suscitado en el marco de un litigio entre RW, una persona física, y Österreichische Post, el principal operador de servicios postales y logísticos en Austria, la cual, a raíz de una solicitud de acceso presentada por RW a sus datos personales, no comunicó a este último ninguna información sobre los destinatarios precisos de las comunicaciones que tienen por objeto sus datos personales.
I. Marco jurídico
4. El artículo 15 del RGPD, titulado «Derecho de acceso del interesado», dispone, en su apartado 1, letra c):
«1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
[…]
c) los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales;
[…]».
II. Hechos, litigio principal y cuestión prejudicial
5. El 15 de enero de 2019, RW, recurrente ante el órgano jurisdiccional remitente, se dirigió a Österreichische Post a fin de tener acceso, con arreglo al artículo 15 del RGPD, en particular, a los datos personales que le concernían que esta conservaba o había conservado en el pasado, así como, en caso de que estos datos se hubieran comunicado a terceros, a la identidad de los destinatarios de esas comunicaciones.
6. En su respuesta, Österreichische Post declaró que utilizaba los datos, dentro de los límites legales, en el marco de sus actividades como editorial de guías telefónicas y que los ofrece a los clientes profesionales con fines de marketing. A continuación, se remitió a un sitio de Internet que ofrecía información general sobre los fines del tratamiento de los datos de RW y que se remitía a otro sitio de Internet. Este segundo sitio de Internet contenía, a su vez, comunicaciones generales sobre la protección de datos y permitía identificar de manera general determinadas categorías de destinatarios a los que Österreichische Post comunicaba los datos personales. Sin embargo, Österreichische Post no reveló en ningún momento a RW los destinatarios concretos de las comunicaciones de sus datos.
7. RW demandó judicialmente a Österreichische Post solicitando que se le condenara a proporcionarle más información de conformidad con el artículo 15 del RGPD, en relación con posibles transferencias de sus datos personales a terceros, así como, en caso de que dichas transferencias se hubieran producido efectivamente, en relación con el destinatario o los destinatarios concretos a los que se han comunicado o se comunicarán esos datos personales. RW alega que la información proporcionada por Österreichische Post no cumple los requisitos legales del artículo 15 del RGPD porque no aclara si esta última ha transmitido o no sus datos personales a terceros y, en caso de haberse producido una transmisión efectiva, quiénes han sido los destinatarios concretos de esas comunicaciones.
8. Los órganos jurisdiccionales de primera instancia y de apelación desestimaron la demanda presentada por RW, afirmando fundamentalmente que, dado que el artículo 15, apartado 1, letra c), del RGPD hace referencia a los destinatarios o a las categorías de destinatarios, dicha disposición brinda al responsable del tratamiento la posibilidad de decidir si limitarse a comunicar al interesado las categorías de destinatarios, sin tener que designar nominalmente a los destinatarios concretos de las comunicaciones que tienen por objeto sus datos personales.
9. RW mantuvo sus pretensiones en el recurso de casación interpuesto ante el órgano jurisdiccional remitente.
10. En el transcurso del procedimiento seguido ante dicho órgano jurisdiccional, Österreichische Post informó a RW de que sus datos habían sido tratados con fines de marketing en la editorial de guías telefónicas y que habían sido transmitidos a clientes profesionales, concepto que comprende empresas con actividad publicitaria de venta a distancia y de comercio tradicional, del sector de las tecnologías de la información, editoriales de guías telefónicas y asociaciones como organizaciones benéficas, ONG o partidos políticos. Sin embargo, aquella no reveló los destinatarios concretos de las comunicaciones de los datos de RW.
11. En estas circunstancias, el órgano jurisdiccional remitente alberga dudas sobre la interpretación del artículo 15 del RGPD realizada por los jueces que conocieron del fondo del asunto y, en consecuencia, decidió suspender el procedimiento y plantear al Tribunal de Justicia la siguiente cuestión prejudicial:
«¿Debe interpretarse el artículo 15, apartado 1, letra c), del [RGPD] en el sentido de que, en el caso de comunicaciones previstas respecto a las que aún no se hayan determinado los destinatarios concretos, el derecho de acceso se limita a la información sobre las categorías de destinatarios, mientras que, en el caso de que los datos ya hayan sido comunicados, el derecho de acceso debe extenderse necesariamente también a la información sobre los destinatarios de esas comunicaciones?»
III. Análisis jurídico
12. Mediante su cuestión prejudicial, el órgano jurisdiccional remitente plantea al Tribunal de Justicia una pregunta relativa a la interpretación del artículo 15, apartado 1, letra c), del RGPD, que versa sobre el alcance del derecho del interesado, previsto en dicha disposición, a obtener información del responsable del tratamiento sobre los destinatarios o las categorías de destinatarios a los que se han comunicado o se comunicarán sus datos personales.
13. El órgano jurisdiccional remitente se pregunta si dicha disposición debe interpretarse en el sentido de que el alcance del referido derecho de acceso del interesado debe distinguirse en función de si los datos ya se han comunicado —en cuyo caso ese derecho debería extenderse a los destinatarios concretos de tales comunicaciones— o si los destinatarios concretos de futuras comunicaciones aún no han sido determinados —en cuyo caso ese derecho debería considerarse limitado a la información sobre las categorías de destinatarios—.
14. A este respecto, procede señalar antes de nada que el artículo 15 del RGDP regula el derecho del interesado, frente al responsable del tratamiento, a acceder a los datos personales que le conciernen y que son objeto de tratamiento, así como a diversa información relativa, en particular, al propio tratamiento. Dicha disposición materializa y precisa el derecho de toda persona a acceder a los datos que le conciernan previsto en el artículo 8, apartado 2, segunda frase, de la Carta de los Derechos Fundamentales de la Unión Europea. (3)
15. Más concretamente, con arreglo al artículo 15, apartado 1, del RGDP, el interesado tendrá, en primer lugar, derecho a obtener del responsable del tratamiento confirmación de la existencia o no de un tratamiento de datos personales que le conciernen. Cuando dicho tratamiento exista, el interesado tendrá derecho a acceder a los datos personales objeto del tratamiento, así como a otra información adicional, que se encuentra detallada en las letras a) a h) de dicha disposición. En este contexto, en virtud del artículo 15, apartado 1, letra c), del RGPD, el interesado tendrá derecho a acceder a la información relativa a «los destinatarios o [a] las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales».
16. La cuestión prejudicial planteada por el órgano jurisdiccional remitente exige interpretar el artículo 15, apartado 1, letra c), del RGPD a fin de determinar el alcance exacto del derecho del interesado, previsto en dicha disposición, a obtener información relativa a los destinatarios de las comunicaciones de sus datos personales.
17. A este respecto, procede recordar que de reiterada jurisprudencia se desprende que la interpretación de una disposición del Derecho de la Unión debe tener en cuenta no solo su tenor, sino también el contexto en el que se inscribe y los objetivos y la finalidad perseguidos por la normativa de la que forma parte. (4)
18. Por otra parte, dado que las disposiciones del RGPD regulan el tratamiento de datos personales que pueden vulnerar las libertades fundamentales y, en particular, el derecho al respeto de la vida privada, deben ser necesariamente interpretadas a la luz de los derechos fundamentales protegidos por la Carta. (5)
19. A continuación, de reiterada jurisprudencia se colige que, cuando una disposición del Derecho de la Unión pueda ser objeto de varias interpretaciones, deberá darse prioridad a la que permita garantizar su eficacia. (6)
20. Por lo que se refiere, antes de nada, a la formulación de la disposición en cuestión, como señalan el propio órgano jurisdiccional remitente y algunas de las partes intervinientes ante el Tribunal de Justicia, el tenor literal del artículo 15, apartado 1, letra c), del RGPD no permite dar una respuesta definitiva a la cuestión de si debe considerarse necesariamente que el derecho de acceso del interesado previsto en dicha disposición comprende el acceso a la información relativa a los destinatarios concretos de las comunicaciones que tienen por objeto datos personales que le conciernen o si tal derecho puede limitarse únicamente al acceso a la información relativa a las categorías de destinatarios. En efecto, en dicha disposición los términos «destinatarios» y «categorías de destinatarios» se utilizan uno después del otro, de forma neutra, sin que sea posible deducir un orden de prioridad entre ambos. Esta disposición tampoco indica explícitamente si es posible elegir entre las dos posibles categorías de informaciones previstas (es decir, los «destinatarios» o las «categorías de destinatarios») ni a quién (es decir, al interesado al responsable del tratamiento) corresponde, en su caso, decidir a qué tipo de información debe garantizarse el acceso.
21. No obstante, como también señala el órgano jurisdiccional remitente, la propia estructura del artículo 15, apartado 1, del RGPD lleva, en mi opinión, a privilegiar una interpretación de la disposición en cuestión en el sentido de que incumbe al interesado (y, por lo tanto, no al responsable del tratamiento, como declararon los dos órganos jurisdiccionales nacionales de instancias inferiores en el presente asunto) elegir entre las dos alternativas previstas en dicha disposición. Contrariamente a otras disposiciones del RGPD, como los artículos 13 y 14, (7) que están estructuradas de modo que establecen una obligación de información a cargo del responsable del tratamiento, la disposición en cuestión prevé un auténtico derecho de acceso a favor del interesado. El ejercicio de ese derecho de acceso por parte del interesado presupone lógicamente que se conceda al titular de tal derecho la posibilidad de decidir si obtener acceso a la información relativa, cuando sea posible, a los destinatarios concretos a los que se han comunicado o se comunicarán los datos o, alternativamente, si limitarse a solicitar información relativa a las categorías de destinatarios.
22. Una interpretación del artículo 15, apartado 1, letra c), del RGPD en el sentido de que prevé el derecho del interesado a solicitar, cuando sea posible, acceso a la información relativa a los destinatarios concretos de las comunicaciones de sus datos personales queda, por lo demás, confirmada por un análisis tanto del contexto en el que se inscribe como de la finalidad de la propia disposición a la luz de los objetivos y de la estructura general específicos del RGPD.
23. A este respecto, he de señalar, antes de nada, que el considerando 63 del RGPD prevé explícitamente que el interesado debe «tener el derecho a conocer y a que se le comuniquen, en particular, los […] destinatarios [de los datos personales]». Este considerando, a la luz del cual debe interpretarse la disposición en cuestión, hace referencia al derecho de acceso del interesado a los destinatarios concretos de las comunicaciones de sus datos personales y no menciona en modo alguno que ese derecho pueda limitarse, a discreción del responsable del tratamiento, únicamente a las categorías de destinatarios.
24. Además, de la jurisprudencia se desprende expresamente que el RGPD tiene como finalidad, en particular, tal y como se desprende de su considerando 10, garantizar un nivel elevado de protección de las personas físicas dentro de la Unión y, a tal efecto, garantizar una aplicación coherente y homogénea de las normas de protección de los derechos fundamentales y libertades de las personas físicas en relación con el tratamiento de datos personales en toda la Unión. (8)
25. A tal fin, todo tratamiento de datos personales debe ser conforme con los principios enunciados en el artículo 5 de dicho Reglamento. (9) Del artículo 5, apartado 1, letra a), del RGPD se desprende, en particular, que los datos personales deben ser tratados de manera transparente en relación con el interesado. (10) En este contexto, el artículo 15 del RGPD, que regula el derecho de acceso del interesado, constituye una disposición fundamental para garantizar que las modalidades mediante las cuales se tratan los datos sean transparentes para los sujetos interesados.
26. Como se colige del considerando 63 del RGPD, (11) tal derecho de acceso tiene como objetivo, en primer lugar, permitir al interesado conocer y verificar la licitud del tratamiento de sus datos. (12) El ejercicio de ese derecho de acceso debe, en particular, permitir al interesado verificar no solo que los datos que le conciernen son exactos, sino también que se hayan comunicado a los destinatarios autorizados. (13) Esto presupone, en principio, que se proporcionen indicaciones lo más precisas posibles.
27. En este contexto, concuerdo con la Comisión en que negar que el derecho de acceso del interesado previsto en el artículo 15, apartado 1, letra c), del RGPD incluye a los destinatarios concretos, limitando ese derecho únicamente a las categorías de destinatarios, equivaldría a impedir que el interesado pudiese verificar íntegramente la licitud del tratamiento efectuado por el responsable y, en particular, verificar la licitud de las comunicaciones de los datos ya efectuadas. Tal interpretación de la disposición en cuestión no permitiría al interesado verificar que sus datos solo se han transmitido a los destinatarios autorizados, contrariamente a las exigencias mencionadas en el punto anterior.
28. En segundo lugar, y en relación con el primer objetivo, dicho derecho de acceso es indispensable, como por otra parte ya ha señalado el Tribunal de Justicia, para que la persona interesada pueda ejercer los derechos de rectificación, de supresión («derecho al olvido») y a la limitación del tratamiento, derechos que le confieren respectivamente los artículos 16, 17 y 18 del RGPD. (14) El Tribunal de Justicia ha aclarado asimismo que el derecho de acceso es, igualmente, condición necesaria para el ejercicio por el interesado del derecho de oposición al tratamiento de sus datos personales, contemplado en el artículo 21 del RGPD, como lo es para el derecho a recurrir por los daños sufridos y a obtener la indemnización por los daños y perjuicios sufridos, previsto en los artículos 79 y 82 del RGPD. (15)
29. Una interpretación de la disposición en cuestión que niegue al interesado la posibilidad de obtener información sobre los destinatarios concretos de las comunicaciones de sus datos personales tendría como consecuencia que, de no conocerse la identidad de estos destinatarios, el interesado no podría ejercer respecto de ellos los derechos que le confieren las disposiciones antes citadas del RGPD o ejercerlos le supondría un esfuerzo desproporcionado. (16) En consecuencia, tal interpretación privaría de efecto útil, en estas situaciones, a dichas disposiciones y a los derechos conferidos por estas.
30. Desde una perspectiva contextual, esta interpretación del artículo 15, apartado 1, letra c), del RGPD queda, por lo demás, confirmada asimismo por el artículo 19 de dicho Reglamento. Esta disposición prevé que «el responsable del tratamiento comunicará cualquier rectificación o supresión de datos personales o limitación del tratamiento efectuada con arreglo al artículo 16, al artículo 17, apartado 1, y al artículo 18 a cada uno de los destinatarios a los que se hayan comunicado los datos personales, salvo que sea imposible o exija un esfuerzo desproporcionado».
31. El artículo 19 del RGPD obliga, por lo tanto, al responsable del tratamiento a informar a todos los destinatarios a los que ha transmitido los datos personales de toda solicitud de rectificación, supresión o limitación del tratamiento a la que deba responder. Los destinatarios, una vez informados, deberán proceder inmediatamente a la rectificación, supresión o limitación del tratamiento, en la medida en que aún estén procesando los datos en cuestión. En el marco de la consecución del objetivo de garantizar un nivel elevado de protección, mencionado en el punto 24 anterior, el artículo 19 del RGPD tiene por objeto, en este sentido, eximir al interesado de la carga —tras haber solicitado la información a que se refiere el artículo 15, apartado 1, letra c), del RGPD— de enviar solicitudes adicionales de rectificación, supresión o limitación del tratamiento a los destinatarios interesados. No obstante, el interesado debe tener la posibilidad de verificar si se ha efectuado efectivamente la rectificación, supresión o limitación a raíz de la notificación del responsable del tratamiento. Desde esta perspectiva, el artículo 19 del RGPD prevé, por lo tanto, que el responsable del tratamiento deberá informar al interesado acerca de dichos destinatarios, si este así lo solicita.
32. El artículo 19 del RGPD confirma que, a fin de garantizar el efecto útil de los derechos de supresión, rectificación o limitación del tratamiento que asisten al interesado, previstos en los artículos 16, 17 y 18 del RGPD, este deberá tener, en principio, derecho a que se le comunique la identidad de los destinatarios concretos cuando sus datos personales ya hayan sido comunicados. Este es, en efecto, el único modo de que el interesado pueda hacer valer sus derechos frente a estos.
33. De las consideraciones anteriores se desprende que el derecho de acceso previsto en el artículo 15, apartado 1, letra c), del RGPD desempeña un papel funcional e instrumental respecto del ejercicio de otras prerrogativas del interesado previstas en el RGPD. De ello se sigue que, a fin de garantizar el efecto útil de todas las disposiciones antes citadas del RGPD, dicha disposición debe interpretarse en el sentido de que el derecho de acceso que prevé ha de contemplar necesariamente, en principio, la posibilidad de obtener del responsable del tratamiento información relativa a los destinatarios concretos de las comunicaciones que tengan por objeto los datos personales del interesado.
34. Sin embargo, la extensión del derecho de acceso previsto en el artículo 15, apartado 1, letra c), del RGPD a los destinatarios concretos de estas comunicaciones está limitada, a mi modo de ver, al menos en dos casos.
35. En primer lugar, en caso de que sea materialmente imposible proporcionar información sobre los destinatarios concretos, por ejemplo, porque estos aún no hayan sido efectivamente identificados, es evidente que no cabe esperar que el responsable del tratamiento comunique información que todavía no existe. Por lo tanto, en este supuesto, previsto explícitamente en la cuestión prejudicial, el derecho de acceso del interesado solo podrá referirse a las categorías de destinatarios.
36. En segundo lugar, como ha señalado el Gobierno italiano, el ejercicio del derecho de acceso del interesado, y el cumplimiento de la obligación correspondiente que incumbe al responsable del tratamiento, debe considerarse a la luz de los principios de equidad y de proporcionalidad.
37. A este respecto, es preciso recordar que, como se desprende de la jurisprudencia del Tribunal de Justicia, los derechos consagrados en los artículos 7 y 8 de la Carta no constituyen prerrogativas absolutas, sino que deben considerarse según su función en la sociedad. (17)
38. En este contexto, por un lado, del artículo 12, apartado 5, que se aplica expresamente asimismo a la disposición objeto de la cuestión prejudicial, resulta explícitamente que las solicitudes del interesado no deben ser manifiestamente infundadas o excesivas y que, si es así, el responsable del tratamiento también puede negarse a actuar respecto de la solicitud. Además, de dicha disposición se colige que este último soportará «la carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud».
39. Además, el propio Tribunal de Justicia ya ha tenido ocasión de aclarar que debe encontrarse un justo equilibrio entre, por un lado, el interés del afectado en proteger su intimidad, concretamente a través de las distintas vías de intervención y de recurso previstas por el RGPD, y, por otro, las cargas que incumbe al responsable del tratamiento. (18) Este justo equilibrio pasa por prestar una mayor atención a la protección de datos y de la vida privada del interesado, como pone de relieve la necesidad de que, para que no se responda a la solicitud presentada por este, será preciso demostrar el carácter manifiestamente infundado o excesivo de tal solicitud.
IV. Conclusión
40. Habida cuenta del conjunto de consideraciones anteriores, propongo al Tribunal de Justicia que responda a la cuestión prejudicial planteada por el Oberster Gerichtshof (Tribunal Supremo de lo Civil y Penal, Austria) del siguiente modo:
«El artículo 15, apartado 1, letra c), del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) debe interpretarse en el sentido de que el derecho de acceso del interesado que prevé debe extenderse necesariamente, cuando este lo solicite, a la indicación de los destinatarios concretos de las comunicaciones que tengan por objeto sus datos personales. Este derecho de acceso únicamente podrá limitarse a la indicación de las categorías de destinatarios cuando sea materialmente imposible identificar a los destinatarios concretos de las comunicaciones que tengan por objeto los datos personales que conciernen al interesado o cuando el responsable del tratamiento demuestre que las solicitudes del interesado son manifiestamente infundadas o excesivas en el sentido del artículo 12, apartado 5, del Reglamento (UE) 2016/679.»