CONCLUSIONES DEL ABOGADO GENERAL
SR. NICHOLAS EMILIOU
presentadas el 20 de abril de 2023 (1)
Asunto C‑307/22
FT
contra
DW
[Petición de decisión prejudicial planteada por el Bundesgerichtshof (Tribunal Supremo de lo Civil y Penal, Alemania)]
«Procedimiento prejudicial — Protección de datos personales — Reglamento (UE) 2016/679 — Artículos 12, 15 y 23 — Derecho de acceso del interesado a los datos personales objeto de tratamiento — Derecho a recibir una copia de los datos personales a título gratuito — Reembolso de gastos — Historia clínica de un paciente — Médico que somete los datos a tratamiento»
I. Introducción
1. Los artículos 12 y 15 del Reglamento (UE) 2016/679, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (en lo sucesivo, «RGPD»), (2) confieren a los interesados amplios derechos de acceso a los datos personales objeto de tratamiento. Entre otras cosas, esas disposiciones obligan a los responsables a facilitar a los interesados una copia de esos datos a título gratuito.
2. ¿Pueden solicitar los interesados el acceso a sus datos personales con arreglo a las disposiciones del RGPD con fines no relacionados con la protección de datos? ¿Pueden limitar los Estados miembros el derecho a obtener una copia de los datos exigiendo en determinadas circunstancias a los interesados que abonen los costes que el responsable del tratamiento haya soportado para realizar las copias? ¿Deben facilitar los responsables copias de todos los documentos que contengan datos personales o pueden compilar los datos solicitados por los interesados?
3. Estas son, en esencia, las principales cuestiones que suscita la petición de decisión prejudicial planteada por el Bundesgerichtshof (Tribunal Supremo de lo Civil y Penal, Alemania), en un asunto relativo a la facultad del paciente de obtener, a título gratuito, copias de todos los documentos contenidos en su historia clínica.
II. Marco jurídico
A. Derecho de la Unión
4. Los considerandos 4, 13 y 63 del RGPD están redactados en los siguientes términos:
«(4) […] El derecho a la protección de los datos personales no es un derecho absoluto sino que debe […] mantener el equilibrio con otros derechos fundamentales, con arreglo al principio de proporcionalidad. El presente Reglamento respeta todos los derechos fundamentales y observa las libertades y los principios reconocidos en la Carta conforme se consagran en los Tratados, en particular […] la libertad de empresa […].
(13) […] [Se] alienta a las instituciones y órganos de la Unión y a los Estados miembros […] a tener en cuenta las necesidades específicas de las microempresas y las pequeñas y medianas empresas en la aplicación del presente Reglamento. […]
(63) Los interesados deben tener derecho a acceder a los datos personales recogidos que le conciernan y a ejercer dicho derecho con facilidad y a intervalos razonables, con el fin de conocer y verificar la licitud del tratamiento. Ello incluye el derecho de los interesados a acceder a datos relativos a la salud, por ejemplo los datos de sus historias clínicas que contengan información como diagnósticos, resultados de exámenes, evaluaciones de facultativos y cualesquiera tratamientos o intervenciones practicadas. Todo interesado debe, por tanto, tener el derecho a conocer y a que se le comuniquen, en particular, los fines para los que se tratan los datos personales, su plazo de tratamiento, sus destinatarios, la lógica implícita en todo tratamiento automático de datos personales […]. Este derecho no debe afectar negativamente a los derechos y libertades de terceros […].»
5. El artículo 12 del RGPD, titulado «Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado», tiene el siguiente tenor:
«1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo […].
2. El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos en virtud de los artículos 15 a 22. […]
3. El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, sin dilación indebida y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. […]
[…]
5. La información facilitada en virtud de los artículos 13 y 14 así como toda comunicación y cualquier actuación realizada en virtud de los artículos 15 a 22 y 34 serán a título gratuito. Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo, el responsable del tratamiento podrá:
a) cobrar un canon razonable en función de los costes administrativos afrontados para facilitar la información o la comunicación o realizar la actuación solicitada, o
b) negarse a actuar respecto de la solicitud.
El responsable del tratamiento soportará la carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud.
[…]»
6. Con arreglo al artículo 15 del RGPD, titulado «Derecho de acceso del interesado»:
«1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
[…]
3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. […]
4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros.»
7. Según el artículo 23, apartado 1, del RGPD, relativo a las «Limitaciones»:
«1. El Derecho de la Unión o de los Estados miembros que se aplique al responsable o el encargado del tratamiento podrá limitar, a través de medidas legislativas, el alcance de las obligaciones y de los derechos establecidos en los artículos 12 a 22 […] cuando tal limitación respete en lo esencial los derechos y libertades fundamentales y sea una medida necesaria y proporcionada en una sociedad democrática para salvaguardar:
[…]
e) otros objetivos importantes de interés público general de la Unión o de un Estado miembro, en particular […] la sanidad pública […];
[…]
i) la protección del interesado o de los derechos y libertades de otros;
[…]».
B. Derecho nacional
8. El artículo 630f del Bürgerliches Gesetzbuch (Código Civil; en lo sucesivo, «BGB»), titulado «Documentación del tratamiento», dispone lo siguiente:
«1. A efectos de cumplimentar la información de forma simultánea al tratamiento, el facultativo deberá llevar un historial clínico del paciente, bien en papel o bien en soporte electrónico. […]
2. El facultativo deberá registrar en el historial clínico del paciente todas las medidas que, desde el punto de vista profesional, considere necesarias para el tratamiento actual y futuro, así como sus resultados; en particular, las anamnesis, diagnósticos, exámenes, resultados de exámenes, evaluaciones, terapias y sus efectos, intervenciones y sus efectos, consentimientos y explicaciones. En el historial se registrarán los informes de alta clínica.
[…]»
9. El artículo 630g del BGB, titulado «Consulta del historial clínico», establece:
«1. A su petición, se concederá al paciente de forma inmediata el acceso a su historial clínico íntegro, siempre que no se opongan a ello razones terapéuticas de peso u otros derechos sustanciales de terceros. […]
2. El paciente también podrá solicitar copias electrónicas del historial clínico. Deberá compensar al facultativo por el coste resultante.
[…]»
III. Hechos, procedimiento y cuestiones prejudiciales
10. DW (el demandante en el litigio principal) recibió tratamiento dental de FT (la demandada en el litigio principal). Al sospechar que había recibido un tratamiento inadecuado, DW solicitó a FT que le facilitara, a título gratuito, una copia de toda la documentación clínica que obrase en su poder en relación con su persona. FT estimó que solo estaba obligada a proporcionar una copia de la documentación clínica a cambio de una compensación del coste.
11. DW presentó una demanda contra FT ante el Amtsgericht (Tribunal de lo Civil y Penal, Alemania) que la estimó. FT interpuso un recurso de apelación ante el Landgericht (Tribunal Regional de lo Civil y Penal, Alemania) que lo desestimó alegando que el hecho de que DW hubiera solicitado la información con el fin de estudiar una posible reclamación de responsabilidad médica no excluía los derechos que le asisten con arreglo al artículo 15 del RGPD.
12. En su recurso de casación ante el Bundesgerichtshof (Tribunal Supremo de lo Civil y Penal), FT solicita la anulación de la sentencia del Landgericht (Tribunal Regional de lo Civil y Penal) y que se desestime la demanda de DW. Según el Bundesgerichtshof (Tribunal Supremo de lo Civil y Penal), el éxito del recurso de casación depende de si el tribunal de apelación que se pronunció sobre el recurso en cuanto al fondo incurrió en un error de Derecho al considerar que, como alega DW, la demanda era fundada con arreglo a las disposiciones del RGPD.
13. El Bundesgerichtshof (Tribunal Supremo de lo Civil y Penal) observa que, de conformidad con la legislación nacional, FT no está obligada a facilitar a DW copias de su historia clínica a título gratuito. Sin embargo, como afirma el Landgericht (Tribunal Regional de lo Civil y Penal) el derecho de DW a la entrega gratuita podría resultar directamente del artículo 15, apartado 3, del RGPD, en relación con su artículo 12, apartado 5. Al albergar dudas sobre la correcta interpretación de tales disposiciones, el Bundesgerichtshof (Tribunal Supremo de lo Civil y Penal) decidió suspender el procedimiento y plantear al Tribunal de Justicia las siguientes cuestiones prejudiciales:
«1) ¿Debe interpretarse el artículo 15, apartado 3, primera frase, en relación con el artículo 12, apartado 5, del RGPD en el sentido de que el responsable (en este caso, el médico) no está obligado a facilitar gratuitamente al interesado (en este caso, el paciente) una primera copia de sus datos personales tratados por el responsable, cuando el interesado no requiere la copia para los fines mencionados en el considerando 63, primera frase, del RGPD, de conocer y verificar la licitud del tratamiento, sino para otro fin no relacionado con la protección de datos (si bien legítimo; en este caso, el estudio de una posible reclamación de responsabilidad médica)?
2) En caso de respuesta negativa a la primera cuestión:
a) ¿Es válida como limitación del derecho a una copia gratuita de los datos personales tratados por el responsable, reconocido en el artículo 15, apartado 3, primera frase, en relación con el artículo 12, apartado 5, del RGPD, con arreglo al artículo 23, apartado 1, letra i), del RGPD, una disposición nacional de un Estado miembro que fue adoptada antes de la entrada en vigor del [RGPD]?
b) En caso de respuesta afirmativa a la segunda cuestión, letra a), ¿debe interpretarse el artículo 23, apartado 1, letra i), del RGPD en el sentido de que los derechos y libertades de otros que menciona comprenden también el interés de estos en evitar los gastos asociados a la entrega de una copia de los datos en virtud del artículo 15, apartado 3, primera frase, del RGPD y demás costes ocasionados por la entrega de la copia?
c) En caso de respuesta afirmativa a la segunda cuestión, letra b), ¿es válida como limitación de los derechos y obligaciones derivados del artículo 15, apartado 3, primera frase, en relación con el artículo 12, apartado 5, del RGPD, con arreglo al artículo 23, apartado 1, letra i), del RGPD, una disposición nacional que, en la relación médico-paciente, cuando el primero entregue al segundo una copia de los datos personales de este que figuren en su historial clínico, establece un derecho a la compensación del coste a favor del médico y a cargo del paciente, en todo caso y con independencia de las circunstancias del supuesto concreto?
3) En caso de respuesta negativa a la primera cuestión y a las letras a), b) o c) de la segunda cuestión, ¿comprende el derecho derivado del artículo 15, apartado 3, primera frase, del RGPD, en la relación médico-paciente, el derecho a la entrega de copias de todas las partes del historial clínico que contengan datos personales, o solo se refiere estrictamente a la entrega de una copia de los datos personales del paciente, quedando a elección del médico que efectúa el tratamiento la forma en que compila los datos del paciente interesado?»
14. Han presentado observaciones escritas en el presente procedimiento el Gobierno letón y la Comisión.
IV. Análisis
A. Primera cuestión prejudicial: acceso a los datos para fines no relacionados con la protección de datos
15. Mediante su primera cuestión prejudicial, el órgano jurisdiccional remitente pregunta al Tribunal de Justicia si los artículos 12, apartado 5, y 15, apartado 3, del RGPD deben interpretarse en el sentido de que obligan al responsable del tratamiento a facilitar al interesado una copia de sus datos personales, a título gratuito, cuando el interesado no solicita la copia para los fines mencionados en la primera frase del considerando 63 del RGPD (es decir, conocer y verificar la licitud del tratamiento de sus datos personales), sino para otro fin como estudiar una posible reclamación de responsabilidad médica.
16. En esencia, esta cuestión prejudicial suscita la pregunta de si el interesado tiene derecho a recibir del responsable del tratamiento, al amparo de las disposiciones del RGPD, una copia de sus datos personales cuando con su solicitud persigue fines que, siendo legítimos, no están relacionados con la protección de datos.
17. Desde mi punto de vista, el derecho de acceso que el RGPD confiere a los interesados no está supeditado a su intención de utilizar tales datos con fines relacionados con la protección de datos, como los enunciados en el considerando 63 de ese Reglamento. Esa opinión queda corroborada por la interpretación textual, contextual y sistemática de las disposiciones pertinentes del RGPD.
18. En primer lugar y ante todo, esa limitación no puede deducirse del tenor de los artículos 12 o 15 del RGPD. Esas dos disposiciones establecen, mediante un «juego de espejos», la obligación del responsable del tratamiento de facilitar el acceso a los datos personales objeto de tratamiento y el derecho del interesado a solicitar el acceso a esos mismos datos. (3) Ninguna de esas dos disposiciones impone al interesado la obligación de indicar los motivos de su solicitud de acceso ni confiere al responsable del tratamiento la facultad discrecional de exigir y apreciar esos motivos.
19. El artículo 12 del RGPD obliga al responsable a «tomar […] las medidas oportunas para facilitar […] toda información […] así como cualquier comunicación» correspondiente y a «facilit[ar] al interesado el ejercicio de sus derechos». (4) De hecho, las disposiciones del artículo 12 versan fundamentalmente sobre la manera y el marco temporal en los que el responsable del tratamiento debe conceder acceso, entre otras cosas.(5) El deber del responsable de actuar sin dilación está sujeta a dos únicas excepciones: (i) que se solicite información adicional o no se dé curso a la solicitud ante la existencia de dudas razonables en relación con la identidad del interesado, (6) y (ii) que se cobre un canon razonable o se aduzca una negativa a actuar cuando la solicitud sea manifiestamente infundada o excesiva. (7)
20. El artículo 15 del RGPD también está formulado en términos muy amplios, concediendo a los interesados formas de acceso de gran alcance: obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, información detallada al respecto, (8) así como obtener una copia de los datos personales objeto de tratamiento. (9) No se establece ninguna condición expresa o límite al ejercicio por el interesado de su derecho de acceso con arreglo al artículo 15 del RGPD.
21. No es lo que prevén otras disposiciones del Reglamento que guardan relación con otros derechos de los interesados. Por ejemplo, el artículo 17, apartado 3, del RGPD enumera las situaciones en las que «no se aplic[a]» el derecho al olvido enunciado en los apartados 1 y 2 de esa disposición. El artículo 20 del RGPD, referido al derecho a la portabilidad de los datos, presenta una estructura similar, estableciendo excepciones en su apartado 3. Por su parte, el artículo 21, apartado 6, del RGPD establece las condiciones en las que, en determinadas circunstancias concretas, los interesados pueden ejercer su derecho de oposición, consagrado en el apartado 1 de ese mismo artículo.
22. En estas circunstancias, el considerando 63 no puede interpretarse, en mi opinión, en el sentido de que introduce una condición o limitación al ejercicio del derecho de acceso consagrado en el artículo 15 del RGPD de la que no hay ningún rastro en el texto de esa disposición (ni en su disposición «gemela», el artículo 12 del RGPD).
23. A mi parecer, el considerando 63 tiene por finalidad, en cambio, destacar la importancia del derecho de acceso dentro de la estructura del RGPD. En efecto, ese derecho es instrumental e indispensable para el ejercicio efectivo de muchos otros derechos que el RGPD confiere a los interesados. (10) Es difícil que las personas físicas tengan el «control de sus propios datos personales», como establece vehementemente el considerando 7 del RGPD, si desconocen «el si, el qué y el por qué» del tratamiento. Ello puede explicar por qué el considerando 63 establece que los interesados deben tener derecho de acceso «con el fin de conocer y verificar la licitud del tratamiento». (11) Quizá la redacción del considerando 63 sea poco clara, pero, en mi opinión, de ella no se desprende que el derecho de acceso solo se concede para los fines indicados en él.
24. Ha de señalarse, al hilo de lo anterior, que a menudo sería imposible para el responsable controlar esa condición, de manera que resultaría fácil de eludir para el interesado, dado que dependería de la intención subjetiva de la persona afectada. (12)
25. Asimismo, estoy de acuerdo con el órgano jurisdiccional remitente en que del apartado 44 de la sentencia YS y otros (13) no puede deducirse otra interpretación del artículo 15 del RGPD. En ese pasaje, el Tribunal de Justicia, refiriéndose a las disposiciones de la Directiva 95/46/CE, (14) antecesora del RGPD, declaró que, «como resulta del […] considerando de esta Directiva, para poder efectuar las comprobaciones necesarias, cualquier persona disfruta […] del derecho de acceso a los datos que le conciernan y sean objeto de tratamiento». (15)
26. De este modo, esencialmente, el Tribunal de Justicia no hizo más que citar el tenor del considerando 41 de la Directiva 95/46, cuya redacción era similar a la del considerando 63 del RGPD. Además, como señala acertadamente el órgano jurisdiccional remitente, en el asunto en que recayó la sentencia de 17 de julio de 2014, YS y otros (C‑141/12 y C‑372/12, EU:C:2014:2081), se solicitaba al Tribunal de Justicia que aclarara el concepto de «datos personales» para determinar el alcance del acceso. La presente cuestión prejudicial suscita un problema jurídico diferente, a saber, si la finalidad del acceso que se solicita puede influir en la posibilidad de que se conceda ese acceso, respecto del cual no creo que esa sentencia pueda proporcionar una orientación útil.
27. La interpretación del artículo 15 del RGPD que se propone en las presentes conclusiones también queda respaldada por el artículo 8, apartado 2, de la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «Carta»), referido a la «Protección de datos de carácter personal», según el cual: «toda persona tiene derecho a acceder a los datos recogidos que le conciernan y a obtener su rectificación». (16) En la Carta, el derecho de acceso parece figurar como un derecho autónomo, lógicamente relacionado con el derecho o la intención del titular de ejercitar otros derechos (como el derecho de rectificación (17)), pero en modo alguno supeditado necesariamente a él.
28. Procede añadir, para concluir, que el Comité Europeo de Protección de Datos también propuso esa interpretación del artículo 15 del RGPD en sus «Guidelines 01/2022 on data subject rights — Right of access» (Directrices 01/2022 sobre interesados — derecho de acceso). (18) El apartado 13 de esas Directrices establece: «los responsables del tratamiento no deben apreciar “por qué” el interesado solicita acceso, sino simplemente “qué” solicita interesado […] y si tienen datos personales referentes a esa persona […]. Por ejemplo, el responsable del tratamiento no debería denegar el acceso porque sepa o sospeche que el interesado puede utilizar los datos solicitados para defenderse ante los tribunales en caso de despido o de controversia comercial con el citado responsable».
29. Es interesante destacar que el ejemplo proporcionado en esas Directrices coincide en gran medida con los hechos del asunto que pende ante el órgano jurisdiccional remitente. El hecho de que el demandante en el litigio principal solicitara el acceso a sus datos personales recogidos en su historia clínica, una situación expresamente prevista en el considerando 63 del GDRP, (19) para estudiar si interponía un recurso por mala praxis médica, un objetivo que el órgano jurisdiccional remitente considera acertadamente «legítimo», (20) no faculta, por consiguiente, al responsable para denegar la solicitud del interesado.
30. A la luz de lo anterior, propongo al Tribunal de Justicia que responda a la primera cuestión prejudicial que los artículos 12, apartado 5, y 15, apartado 3, del RGPD deben interpretarse en el sentido de que obligan al responsable del tratamiento a facilitar al interesado una copia de sus datos personales, aun cuando el interesado no la solicite para los fines mencionados en el considerando 63 del RGPD, sino con un fin distinto, no relacionado con la protección de datos.
B. Segunda cuestión prejudicial: acceso a copias a título gratuito
31. Mediante su segunda cuestión prejudicial, el órgano jurisdiccional remitente pregunta al Tribunal de Justicia, en esencia, si el artículo 23, apartado 1, del RGPD se opone a una normativa nacional, adoptada antes de la entrada en vigor del RGPD, que limita el derecho de los interesados a que el responsable les facilite, a título gratuito, una copia de los datos personales objeto de tratamiento, al exigir a los interesados que sufraguen el coste que el responsable del tratamiento haya soportado a este respecto.
1. Regla y excepción
32. De entrada, procede destacar que no cabe duda de que, de conformidad con las disposiciones del RGPD, los interesados tienen, en principio, derecho a que el responsable les facilite una primera copia de sus datos objeto de tratamiento sin coste. Así se desprende expresamente del artículo 12, apartado 5, del RGPD, que dispone que la información facilitada en virtud, entre otros, de su artículo 15 «[será] a título gratuito» y que únicamente cuando «las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo», el responsable del tratamiento podrá «cobrar un canon razonable en función de los costes administrativos afrontados para facilitar la información o la comunicación o realizar la actuación solicitada».
33. Lo anterior también se desprende, aunque de forma implícita, del artículo 15, apartado 3, del RGPD, según el cual «el responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos». (21) Es obvio que eso significa que no puede cobrarse un canon por la primera copia solicitada por el interesado.
34. Sin embargo, de conformidad con el artículo 23, apartado 1, del RGPD, el Derecho de la Unión o de los Estados miembros «podrá limitar, a través de medidas legislativas, el alcance de las obligaciones y de los derechos establecidos en los artículos 12 a 22 […] cuando tal limitación respete en lo esencial los derechos y libertades fundamentales y sea una medida necesaria y proporcionada en una sociedad democrática para salvaguardar» uno de los objetivos enumerados en ese artículo. Uno de esos objetivos, enunciado en la letra e), es la sanidad pública y otro, mencionado en la letra i), son «los derechos y libertades de otros».
35. Una vez enunciado lo anterior, me centraré en el tema principal que suscita esta cuestión prejudicial que, desde mi punto de vista, debe responderse en sentido afirmativo.
2. Requisitos del artículo 23, apartado 1, del RGPD
36. En primer término, no se discute que el derecho de acceso de los interesados a sus datos personales, consagrado en el artículo 15 del RGPD, es uno de los derechos comprendidos en el ámbito del artículo 23, apartado 1, del RGPD y cuyo alcance puede ser limitado, en consecuencia, a través de medidas legislativas del Derecho de la Unión o de los Estados miembros. (22)
37. En segundo término, si los Estados miembros están autorizados con carácter general a limitar el alcance del derecho de acceso, por ejemplo excluyéndolo en determinadas circunstancias o con respecto a determinados datos, también deberían tener permitido, conforme a la máxima a maiore ad minus, (23) introducir una pequeña limitación a su ejercicio. En efecto, solo se limita una forma de acceso (el derecho a obtener una copia de los datos) y únicamente supeditándola al pago por parte de los interesados del coste que soporten los responsables.
38. En tercer término, una limitación como la examinada, expresamente prevista en un código civil o en un instrumento legal equivalente, está prevista en una «medida legislativa», tal como exige el artículo 23, apartado 1, del RGPD. Ese requisito refleja el recogido en el artículo 52, apartado 1, de la Carta según el cual las limitaciones de los derechos fundamentales deben ser «establecida[s] por la ley».
39. En este contexto, procede añadir que el hecho de que la normativa nacional controvertida en el presente asunto sea anterior a la entrada en vigor del RGPD carece, desde mi punto de vista, de toda relevancia a efectos de determinar si esa normativa cumple los requisitos previstos en el artículo 23, apartado 1, del RGPD. Como señaló la Comisión, ni esa disposición ni ninguna otra del RGPD exige que las medidas restrictivas de la Unión o de los Estados miembros estén incluidas en instrumentos legislativos ad hoc y aún menos en instrumentos adoptados después de la entrada en vigor del RGPD. En consecuencia, los Estados miembros pueden tanto mantener como adoptar limitaciones que cumplan los requisitos del artículo 23, apartado 1, del RGPD. Una comparación de las distintas versiones lingüísticas corrobora ese punto de vista. (24)
40. En cuarto término, dada la naturaleza relativamente inocua de la limitación en cuestión, mencionada en el punto 37 anterior, creo que una normativa nacional como la controvertida en el litigio principal no afecta «en lo esencial» ese derecho (otro requisito establecido tanto en el artículo 23, apartado 1, del RGPD como en el artículo 52 apartado 1, de la Carta). Esa normativa no priva a los particulares del nucleus durus de su derecho a la protección de datos. Entre otras cosas, es difícil imaginar situaciones, de entre aquellas que se rigen por la normativa nacional controvertida, en las que el importe de esos costes sea tan significativo que la obligación de los interesados de sufragarlos pueda equipararse, en la práctica, a una denegación de acceso.
41. En quinto lugar, considero que una normativa nacional como la controvertida persigue objetivos permitidos con arreglo al artículo 23, apartado 1, del RGPD y, con carácter más general, legítimos con arreglo al Derecho de la Unión.
42. Sin perjuicio de las comprobaciones que efectúe el órgano jurisdiccional remitente, entiendo que la normativa nacional pertinente tiene por objeto desalentar las solicitudes de copias innecesarias o insustanciales para (i) proteger los intereses económicos de los médicos que suelen operar de forma individual o que trabajan en equipos pequeños y, de esta manera, (ii) garantizar que, mientras ejercen su actividad profesional, los médicos dediquen (la mayor parte de) su tiempo a labores sanitarias básicas en lugar de realizar tareas administrativas que pueden evitarse.
43. El segundo objetivo está relacionado con el fin de proteger la sanidad pública. En su letra e), el artículo 23, apartado 1, prevé expresamente las limitaciones necesarias para proteger «objetivos importantes de interés público general de la Unión o de un Estado miembro» como la «sanidad pública». Ello se ajusta a lo dispuesto en el artículo 35 de la Carta, titulado «Protección de la salud», según el cual «toda persona tiene derecho a acceder a la prevención sanitaria y a beneficiarse de la atención sanitaria en las condiciones establecidas por las legislaciones y prácticas nacionales. Al definirse y ejecutarse todas las políticas y acciones de la Unión se garantizará un nivel elevado de protección de la salud humana». (25)
44. El primer objetivo está desde luego encaminado a proteger un interés (privado) de determinadas personas —los médicos que, en la situación de que se trata en el presente asunto, actúan como responsables del tratamiento— y es de carácter económico. Sin embargo, ninguno de esos elementos entraña que, en principio, sea inaceptable limitar el derecho de acceso.
45. En efecto, con arreglo a su letra i), el artículo 23, apartado 1, del RGPD no se opone las limitaciones necesarias para proteger «los derechos y libertades de otros». Aún más interesante resulta que esa misma expresión se utilice en el artículo 15, apartado 4, y en el considerando 63 [de la versión en lengua inglesa] del RGPD que, precisamente en relación con el derecho a obtener una copia de los datos objeto de tratamiento, establece que ese derecho no «debe afectar negativamente a los derechos y libertades de terceros».
46. De entrada ha de destacarse que los artículos 15, apartado 4, y 23, apartado 1, letra i), y el considerando 63 [de la versión en lengua inglesa] del RGPD hacen referencia a los «derechos y libertades de otros» (26) y no, como otras disposiciones del Reglamento, a «terceros». (27) Eso también significa, lógicamente, que pueden ser aceptables con arreglo a esa disposición las limitaciones necesarias para proteger determinados derechos del responsable. (28)
47. En segundo lugar, el hecho de que uno de los intereses protegidos por la normativa nacional controvertida tenga naturaleza económica no significa, en sí, que no pueda justificar limitaciones con arreglo al artículo 23, apartado 1, del RGPD. El considerando 4 del RGPD es bastante claro: «el derecho a la protección de los datos personales no es un derecho absoluto [y debe] mantener el equilibrio con otros derechos fundamentales, con arreglo al principio de proporcionalidad. El presente Reglamento respeta todos los derechos fundamentales y observa las libertades y los principios reconocidos en la Carta conforme se consagran en los Tratados, en particular […] la libertad de empresa […]». (29)
48. A este respecto conviene recordar que el título II de la Carta («Libertades») incluye varios derechos de naturaleza económica: más allá de la ya citada libertad de empresa (artículo 16 de dicho instrumento), también se encuentra la «libertad profesional y [el] derecho a trabajar» (artículo 15) y el derecho a la propiedad (artículo 17). Los derechos fundamentales de naturaleza económica no pueden considerarse «hijos de un dios menor» en comparación con otros derechos (civiles, sociales o políticos). No es preciso conocer la obra de Ludwig von Mises (30) para comprender que todos esos derechos están inextricablemente vinculados: su disfrute debe ir forzosamente de la mano, pues retirar a las personas sus derechos económicos afectaría inevitablemente a su capacidad para disfrutar plenamente de otros derechos civiles, sociales y políticos y viceversa.
49. Además, como señala el órgano jurisdiccional remitente, el considerando 13 del RGPD alienta a los Estados miembros a «tener en cuenta las necesidades específicas de las microempresas y las pequeñas y medianas empresas en la aplicación del […] Reglamento». Por lo tanto, los Estados miembros están facultados para tener en consideración las características específicas de empresas de tamaño limitado y de los trabajadores por cuenta propia, situación en la que suelen encontrarse los médicos.
50. Por lo tanto, procede concluir que el artículo 23, apartado 1, del RGPD no solo no se opone a limitaciones encaminadas a proteger la sanidad pública, sino tampoco a aquellas dirigidas a proteger derechos económicos fundamentales de las personas, (31) incluidos los de los responsables.
51. Por último, con todo, la normativa nacional que limita el derecho de acceso a los datos personales solo está permitida con arreglo al artículo 23, apartado 1, del RGPD si puede considerarse «una medida necesaria y proporcionada en una sociedad democrática» para salvaguardar los intereses públicos enumerados en ese artículo. Por lo tanto, en línea con un principio bien asentado, esa disposición exige que se lleve a cabo un «examen de proporcionalidad» de la limitación que ha de justificarse.
3. Proporcionalidad de la normativa nacional
52. Para comprobar el carácter proporcionado de la limitación, es preciso examinar tres requisitos acumulativos. La medida debe ser adecuada para lograr el objetivo perseguido («adecuación») y no ir más allá de lo necesario para su consecución («necesidad»). Además, la medida nacional debe ser «proporcionada en sentido estricto», lo cual significa que debe establecer un justo equilibrio entre los intereses en juego (los intereses que el Estado persigue con la medida en cuestión y los intereses de aquellos que se ven afectados por ella de forma desfavorable). (32)
53. Desde mi punto de vista, los tribunales nacionales suelen estar mejor situados para apreciar si medidas nacionales concretas que establecen excepciones a los principios generales del Derecho de la Unión respetan el principio de proporcionalidad. Sin embargo, para ayudar al órgano jurisdiccional remitente a resolver el litigio de que conoce, formularé las siguientes observaciones.
54. Para empezar, creo que una normativa nacional como la controvertida en este asunto es, en principio, adecuada para lograr los objetivos perseguidos por el legislador nacional, lo cual significa que parece apta para contribuir de forma significativa a su consecución. En efecto, el requisito de que los interesados paguen los costes administrativos resultantes del suministro de las copias solicitadas puede desalentarles efectivamente de realizar solicitudes de acceso innecesarias o insustanciales. Eso supone que es menos probable que los médicos deban dedicar su tiempo y recursos a tareas administrativas que pueden evitarse.
55. En segundo lugar, las cuestiones de si una normativa nacional como la controvertida en el litigio principal va más allá de lo necesario para lograr sus objetivos o de si establece un justo equilibrio entre los intereses en juego, desde mi punto de vista, no son tan claras y requerirán, en consecuencia, un análisis más profundo por parte del órgano jurisdiccional remitente.
56. A este respecto, ha de insistirse de nuevo (33) en la naturaleza relativamente inocua de la limitación en cuestión. Mientras que el artículo 15 del RGPD concede varias formas de acceso a los interesados, la normativa nacional controvertida solo limita una de esas formas (el derecho a obtener una copia de los datos) y únicamente supeditándola al pago por los interesados del coste que soporten los responsables a este respecto.
57. No obstante, la Comisión manifestó sus dudas sobre la necesidad de la normativa nacional controvertida, señalando que se aplica a todas las solicitudes de acceso a historias clínicas, al margen del estatuto profesional y del tipo de actividad del médico en cuestión, que puede trabajar por cuenta propia, él solo o en un consultorio médico integrado por varios profesionales, o por cuenta ajena, por ejemplo, en un hospital público o en una gran clínica privada.
58. He de admitir que ciertos argumentos de la Comisión resultan convincentes. Puede ser cierto, en efecto, que no todas las situaciones comprendidas en el ámbito de aplicación de la normativa nacional controvertida son completamente comparables a los efectos del artículo 23, apartado 1, letras e) e i), del RGPD. Por ejemplo, los grandes consultorios médicos, hospitales y clínicas privadas suelen contar con personal y equipos específicamente destinados a realizar todas las tareas administrativas vinculadas a la prestación de servicios sanitarios. Por lo tanto, no es evidente que también en tales casos una normativa nacional como la controvertida tenga el efecto de liberar a los médicos de tener que soportar gastos innecesarios o emplear su valioso tiempo en realizar tareas administrativas que pueden evitarse.
59. Además, a diferencia de los médicos que están obligados a aplicar tarifas fijas, los médicos que pueden fijar sus propios honorarios pueden recobrar, si lo consideran conveniente, los costes adicionales incrementando sus honorarios y «distribuyendo» esos gastos entre todos sus pacientes. En consecuencia, es evidente que algunos médicos precisan de un mayor nivel de «protección legal» que otros.
60. Por otro lado, no obstante, no creo que una norma que trata de forma distinta a los médicos y, por consiguiente, a los pacientes, en función de que los médicos, por ejemplo, (a) trabajen por cuenta propia o ajena, (b) trabajen para «microempresas y pequeñas y medianas empresas», por emplear la expresión recogida en el considerando 13 del RGPD, o para grandes hospitales y clínicas o (c) estén obligados a aplicar tarifas públicas o puedan establecer libremente sus honorarios, sea práctica o razonable y justa.
61. Establecer el criterio correcto para diferenciar entre las situaciones en las que los pacientes deberían soportar los costes y aquellas en las deban correr a cargo de los médicos, para alcanzar de la mejor manera los objetivos fijados por el legislador nacional, no es tarea fácil. Y lo que es más importante, con esa diferenciación se estaría introduciendo cierta complejidad (y probablemente una fuente de confusión) en situaciones en las que, dados los escasos importes monetarios normalmente implicados, sería probablemente más sencillo aplicar una norma automática clara.
62. Como ha declarado el Tribunal de Justicia, no puede denegarse a los Estados miembros la posibilidad de lograr objetivos de interés público mediante la introducción de normas fáciles de aplicar y de controlar. (34) Con carácter más general, como indiqué en unas conclusiones que presenté recientemente, no puede exigirse a los Estados miembros que adopten, en aras de la proporcionalidad, medidas alternativas cuya viabilidad o eficacia sean inciertas o cuando su adopción suponga una carga (organizativa o financiera) intolerable para ellos. (35)
63. Por último, el efecto perverso de una norma con un ámbito más limitado que la controvertida en el presente asunto no puede excluirse: podría alentar a los pacientes a acudir a clínicas más grandes (que proporcionan copias de historias clínicas a título gratuito) en lugar de a pequeños consultorios (que exigen un pago adicional por esas copias).
64. En efecto, la justicia general o, dicho de otro modo, el carácter razonable de las normas alternativas también podría ponerse en entredicho. Si se aprecia desde la perspectiva de los médicos, una norma personalizada que únicamente escude de dichos costes a los médicos independientes y a las consultas pequeñas puede parecer razonable al proteger a los profesionales «más débiles». Sin embargo, desde el punto de vista de los pacientes, esa misma medida puede verse de forma muy distinta. En efecto, los pacientes que reciben servicios sanitarios en grandes hospitales y clínicas, especialmente aquellos en los que los médicos pueden establecer libremente sus honorarios, serían los que se beneficiarían de la norma. Y ello pese a que (i) esos pacientes a menudo tienen mayor capacidad económica que los que recurren a médicos que trabajan por cuenta propia y a que (ii) el coste de las copias de las historias médicas puede constituir una parte muy pequeña (o incluso desdeñable) de los costes generales que soportan por los servicios médicos, por oposición a los pacientes que recurren a servicios médicos a través del sistema nacional de salud (normalmente sin coste o por un precio simbólico). Así que cabría alegar que la protección de los «profesionales más débiles» se haría a costa de los «consumidores más débiles».
65. A la luz de lo anterior, a diferencia de la Comisión, no creo que el planteamiento universal adoptado por el legislador alemán vaya más allá de lo necesario para lograr los objetivos perseguidos por la normativa nacional controvertida. No he logrado identificar ninguna medida alternativa que sea menos restrictiva en lo que respecta a la protección de los datos de las personas físicas y que resulte igual de eficaz para proteger los intereses que la normativa nacional controvertida pretende salvaguardar.
66. Tampoco he detectado ningún elemento que apunte a que el legislador alemán no ha logrado establecer un justo equilibrio entre los distintos intereses en juego.
67. Desde luego, cabría añadir que el equilibrio entre los distintos intereses en juego en lo que respecta al suministro de copias de datos personales fue establecido por el legislador de la Unión: el responsable del tratamiento debe facilitar la primera copia a título gratuito y puede exigir el pago de un canon exclusivamente con respecto a copias abusivas o a cualquier otra copia. Con todo, la amplia redacción del artículo 23, apartado 1, y del considerando 13 del RGPD no se prestan a esa interpretación restrictiva. Tampoco el considerando 63, que se refiere específicamente al derecho de acceso de los interesados a datos sobre «la salud», incluye ninguna referencia concreta a este respecto.
68. Es más, no puede pasarse por alto que, en el ámbito de la protección y mejora de la salud humana, la Unión Europea solo dispone de una competencia de apoyo. (36) El Tribunal de Justicia ha declarado sistemáticamente que corresponde a los Estados miembros decidir qué nivel de protección de la salud pública pretenden asegurar y de qué manera debe alcanzarse ese nivel. Dado que este puede variar de un Estado miembro a otro, es preciso reconocer a los Estados miembros un margen de apreciación. (37)
69. Tras haber ponderado los distintos intereses en juego, el legislador alemán decidió que, en lo que concierne a la solicitud de copias de historias clínicas de los pacientes a los médicos, existían motivos para considerar que el coste correspondiente debería ser soportado por los interesados y no por los responsables. Creo que se trata de una decisión política que, al no ser manifiestamente irracional o inverosímil, está comprendida dentro del margen de apreciación del Estado miembro en cuestión. En todo caso, la tarea de examinar esa elección incumbe al órgano jurisdiccional remitente y no al Tribunal de Justicia.
70. Dicho esto, existe sin duda un elemento que, desde mi punto de vista, el órgano jurisdiccional remitente debería comprobar. En situaciones como las que se rigen por la normativa nacional controvertida, creo que es imperativo que los costes cuyo reembolso puedan solicitar los médicos de los pacientes se limiten a los costes reales de generar y facilitar las copias solicitadas. Esto significa que los costes recuperables son únicamente los referidos al material (como papel, tóner de impresora o de fotocopiadoras, o memorias externas) y el trabajo necesario para ello. Desde mi punto de vista, estos costes no pueden incluir en modo alguno un margen de beneficio para los profesionales. (38) Dado el actual estado de digitalización de documentos y archivos, me sorprendería (y, por consiguiente, me haría sospechar) que el importe normalmente cobrado por los médicos a tal efecto excediera de unos cuantos euros.
71. A la luz de lo anterior, propongo al Tribunal de Justicia que responda a la segunda cuestión prejudicial que el artículo 23, apartado 1, del RGPD no se opone a una normativa nacional que exige al paciente que solicita copias de sus datos personales contenidos en su historia clínica que reembolse al médico los costes que haya soportado, siempre que la limitación del derecho de acceso sea, a la luz de todas las circunstancias pertinentes, necesaria y proporcionada en relación con los objetivos de proteger la sanidad pública y la libertad de empresa de los médicos. En particular, corresponde a los tribunales nacionales comprobar que el coste cuyo reembolso puedan reclamar los médicos a sus pacientes se limite estrictamente al coste efectivamente soportado a estos efectos.
C. Tercera cuestión prejudicial: concepto de «copia de los datos personales»
72. Por último, mediante su tercera cuestión prejudicial, el órgano jurisdiccional remitente pregunta al Tribunal de Justicia si, en la relación médico‑paciente, la expresión «copia de los datos personales objeto de tratamiento», empleada en la primera frase del artículo 15, apartado 3, del RGPD, debe interpretarse en el sentido de que atribuye al interesado un derecho general a obtener una copia completa de los documentos incluidos en su expediente médico.
73. El tema principal que suscita esta cuestión prejudicial ya ha sido abordado, en mi opinión de forma convincente, por el Abogado General Pitruzzella en sus conclusiones recientemente presentadas en el asunto Österreichische Datenschutzbehörde et CRIF. (39)
74. En ese asunto, el órgano jurisdiccional remitente solicitaba aclaraciones del Tribunal de Justicia sobre el alcance del derecho de acceso que el artículo 15 del RGPD atribuye a los interesados. Para abordar esa cuestión, el Abogado General Pitruzzella examinó, entre otras cosas, el concepto de «copia» en el sentido del artículo 15, apartados 3 y 4, del RGPD. Conforme a una interpretación literal, contextual y teleológica de esa disposición, llegó a las siguientes conclusiones, que resultan pertinentes para el presente asunto.
75. En primer lugar, el concepto de «copia» empleado en el artículo 15, apartados 3 y 4, del RGPD debe entenderse como «una reproducción auténtica en forma inteligible de los datos personales solicitados por el interesado, en un soporte material o permanente, que permita al interesado ejercer de forma efectiva el derecho de acceso a sus datos personales, teniendo pleno conocimiento de todos sus datos personales objeto de tratamiento». Añadió que «la forma exacta de la copia vendrá determinada en función de la especificidad de cada caso y, en particular, del tipo de datos personales a los que se solicita acceder y a las exigencias del interesado». (40)
76. En segundo lugar, el artículo 15, apartado 3, del RGPD «no atribuye al interesado un derecho general a obtener una copia parcial o integral del documento que contiene los datos personales del interesado o, cuando los datos personales son tratados en una base de datos, un extracto de la misma». Dicho esto, también aclaró que «esta disposición no excluye que puedan facilitarse al interesado partes de documentos o documentos enteros o extractos de bases de datos cuando ello sea indispensable para garantizar la plena inteligibilidad de los datos personales objeto de tratamiento a los que se solicita acceder». (41)
77. Por motivos de economía procesal, no reproduciré aquí los motivos que le llevaron a adoptar esa postura. Baste señalar que comparto plenamente su opinión al respecto. Después de todo, el RGPD no es una norma sobre acceso a documentos, sino sobre protección de datos. Por consiguiente, su principal objetivo es garantizar el acceso a los datos, no a documentos que contienen datos. Aunque en algunos casos lo primero implica lo segundo, no siempre es así.
78. Dicho esto, considero que, conforme al principio de transparencia (42) y al requisito de que la información se facilite «en forma concisa, transparente, inteligible y de fácil acceso», (43) es posible que, en lo que concierne a documentos recogidos en historias clínicas, el derecho a obtener una copia de los datos objeto de tratamiento puede exigir a menudo que se entregue una copia (total o parcial) de los documentos originales. Especialmente en lo atinente a resultados de análisis o pruebas (que suelen incluir numerosos datos técnicos o imágenes), creo que permitir a los médicos (o a su personal) resumir o compilar esos datos para suministrarlos de forma agregada puede generar el riesgo de que se omitan determinados datos pertinentes (44) o de que se transmitan de forma incorrecta (45) o, en cualquier caso, hacer más difícil para los interesados (a saber, los pacientes) comprobar su exactitud y exhaustividad.
79. Como ya se ha indicado, probablemente por esa razón el considerando 63 del RGPD establece expresamente que el derecho de acceso a datos personales «incluye el derecho de los interesados a acceder a datos relativos a la salud, por ejemplo los datos de sus historias clínicas que contengan información como diagnósticos, resultados de exámenes, evaluaciones de facultativos y cualesquiera tratamientos o intervenciones practicadas».
80. Parece, por lo tanto, que el propio legislador de la Unión insistió en la importancia de que el acceso por los particulares a sus datos personales de salud no solo sea fácilmente inteligible, sino también lo más completo y exacto posible. Al mismo tiempo, está claro que las historias clínicas pueden contener diversos documentos que no incluyen datos personales de los pacientes (por ejemplo, artículos científicos sobre patologías o tratamientos médicos). Es evidente que los pacientes no tienen derecho a acceder a la información contenida en esos artículos ni, por consiguiente, a obtener una copia de ellos con arreglo al RGPD.
81. A ese respecto, ha de señalarse que la normativa nacional controvertida, cuya modificación está siendo debatida actualmente por las autoridades nacionales competentes, (46) puede conceder a los pacientes un derecho de acceso a historias clínicas y, en particular, a obtener copias de los documentos incluidos en ellas, que va más allá del que reconoce el RGPD.
82. No creo que exista ningún motivo por el que eso no sea posible con arreglo al Derecho de la Unión, dado que estaría comprendido en un ámbito jurídico que no está regulado a nivel de la Unión. Además, a mi entender, no hay problemas evidentes de conflicto con las normas del RGPD. Con todo, huelga señalar que un derecho de acceso que va más allá del que reconoce el RGPD se regiría en tal medida exclusivamente por el Derecho nacional. Eso significa que el alcance de ese derecho (por ejemplo, el tipo de documentos en cuestión) y la manera en la que debe facilitarse el acceso (por ejemplo, a título gratuito o a cambio del reembolso de los gastos soportados) son cuestiones que el legislador nacional debe determinar.
83. Por consiguiente, propongo al Tribunal de Justicia que responda a la tercera cuestión prejudicial que, en la relación médico‑paciente, la expresión «copia de los datos personales objeto de tratamiento» utilizada en el artículo 15, apartado 3, del RGPD, no puede interpretarse en el sentido de que confiere al interesado un derecho general a obtener una copia completa de todos los documentos incluidos en su historia clínica. Ello no excluye la posibilidad de que el responsable tenga que facilitar a los interesados una copia total o parcial de algún documento. Así será cuando la copia del documento sea necesaria para garantizar que los datos facilitados sean inteligibles y que el interesado pueda comprobar que los datos proporcionados son completos y exactos.
V. Conclusión
84. A modo de conclusión, propongo al Tribunal de Justicia que responda del siguiente modo a las cuestiones prejudiciales planteadas por el Bundesgerichtshof (Tribunal Supremo de lo Civil y Penal, Alemania):
«Los artículos 12, apartado 5, y 15, apartado 3, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), deben interpretarse en el sentido de que obligan al responsable del tratamiento a facilitar al interesado una copia de sus datos personales, aun cuando el interesado no la solicite para los fines mencionados en el considerando 63 de dicho Reglamento, sino con un fin distinto, no relacionado con la protección de datos.
El artículo 23, apartado 1, del RGPD no se opone a una normativa nacional que exige al paciente que solicita copias de sus datos personales contenidos en su historia clínica que reembolse al médico los costes que haya soportado, siempre que la limitación del derecho de acceso, a la luz de todas las circunstancias pertinentes, se considere necesaria y proporcionada en relación con los objetivos de proteger la sanidad pública y la libertad de empresa de los médicos. En particular, corresponde a los tribunales nacionales comprobar que el coste cuyo reembolso puedan reclamar los médicos a sus pacientes se limite estrictamente al coste efectivamente soportado a estos efectos.
En la relación médico‑paciente, la expresión “copia de los datos personales objeto de tratamiento” utilizada en el artículo 15, apartado 3, del RGPD, no puede interpretarse en el sentido de que confiere al interesado un derecho general a obtener una copia completa de todos los documentos incluidos en su historia clínica. Con todo, el responsable deberá facilitar al interesado una copia total o parcial de los documentos cuando sea necesario para garantizar que los datos facilitados sean inteligibles y que el interesado pueda comprobar que los datos proporcionados son completos y exactos.»