Diario del Derecho. Edición de 22/08/2017
  • Diario del Derecho en formato RSS
  • ISSN 2254-1438
  • EDICIÓN DE 15/02/2012
 
 

Tratamiento de datos de carácter personal

El Tribunal Supremo avala el tratamiento de datos de carácter personal sin necesidad de que el interesado dé su consentimiento

15/02/2012
Compartir: 

Se anula el art. 10.2 b) del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de la LOPD, por exceder de lo previsto de el art. 7 de la Directiva 95/46/CE.

Iustel

Así, en este último precepto se establecen aquellos supuestos que los Estados miembros han de tener en cuenta para autorizar el tratamiento de datos personales, refiriéndose a aquel en el que el tratamiento es necesario para la satisfacción del interés legítimo perseguido por los responsables del tratamiento o por el tercero o terceros a los que se comuniquen los datos, sin otros condicionamiento que el de la prevalencia del interés o de los derechos y libertades fundamentales del interesado que requieren protección; sin embargo, en el art. 10.2 b) del Reglamento se contempla la necesidad del consentimiento previo del interesado para el tratamiento o cesión de los daros de carácter personal, que los datos figuren en fuentes accesibles al público y el responsable del fichero, o el tercero a quien se comuniquen los datos, tenga un interés legítimo para su tratamiento o conocimiento, siempre que no se vulneren los derechos y libertades fundamentales del interesado.

SENTENCIA

TRIBUNAL SUPREMO

SALA DE LO CONTENCIOSO-ADMINISTRATIVO

SECCIÓN: SEXTA

En la Villa de Madrid, a ocho de Febrero de dos mil doce.

Visto por la Sala Tercera del Tribunal Supremo, constituida en Sección por los señores al margen anotados, el recurso contencioso administrativo que con el número 25/08 ante la misma pende de resolución, interpuesto por la representación procesal de la FEDERACIÓN DE COMERCIO ELECTRÓNICO Y MARKETING DIRECTO contra Real Decreto 1720/2007, de 21 de diciembre, siendo parte recurrida la Administración General del Estado, la Asociación de Usuarios de la Comunicación y la Unión General de Trabajadores.

ANTECEDENTES DE HECHO

PRIMERO.- Por !a representación procesal de la Federación de Comercio Electrónico y Marketing Directo, se interpuso recurso contencioso administrativo contra el Real Decreto 1720/07, el cual fue admitido por la Sala, motivando la publicación del preceptivo anuncio en el Boletín Oficial del Estado y la reclamación del expediente administrativo que, una vez recibido se entregó al Procurador Don Manuel Lanchares Prelado, para que, en !a representación que ostenta, formalizase la demanda dentro del plazo de veinte días, lo que verificó con el oportuno escrito en el que, después de exponer los hechos y alegar los fundamentos de derecho que estimó oportunos, terminó suplicando que:"... previos los trámites oportunos proceda a:

1.- Declarar la nulidad de pleno derecho del Real Decreto 1720/2007, nulidad que resulta de lo dispuesto en los artículo 23.2 de la Ley 50/1997 y 62.2 de la Ley 30/1992, dada la infracción de los preceptos legales y constitucionales mencionados en el cuerpo de este escrito, en particular la infracción grave y generalizada del procedimiento de elaboración de Reglamentos previsto en el artículo 24 de la Ley 50/1997.

2.- Subsidiariamente, declarar la nulidad de pleno derecho de los artículos del Real Decreto 1720/1997 mencionados a continuación, nulidad que resulta de lo dispuesto en los artículos 23.2 de la Ley 50/1997 y 62.2 de la Ley 30/1992, dada la infracción de los preceptos legales y constitucionales y la restricción de las libertades comunitarias de Libre Circulación mencionados en el cuerpo de este escrito y por los motivos manifestados. Así, se interesa la nulidad de:

Artículo 5.1 q) in fine RLOPD

Artículo 49 RLOPD

Artículo 47 RLOPD

Art. 12.1, segundo párrafo

Art. 8.5 RLOPD

Art. 18 RLOPD

Art. 20.1 RLOPD

Apartados 2 a) y 2b) del Artículo 10 RLOPD

Artículo 45.1 b) in fine RLOPD. Artículo 46, apartados 2,3 y 4 RLOPD.

Artículo 13.4 RLOPD. Artículo 42 RLOPD

Artículo 38, apartado 1a) (la frase "y respecto de la cual no se haya entablado reclamación judicial, arbitral o administrativa, o tratándose de servicios financieros, no se haya planteado una reclamación en los términos previstos en el Reglamento de los Comisionados para la defensa del cliente de servicios financieros, aprobado por Real Decreto 303/2004, de 20 de febrero"), y apartado 1 b), 38.2 y 38.3 RLOPD

Artículo 41 LOPD

Artículo 15 LORD

Artículo 83 LOPD.

3.- Todo ello con imposición de costas a la Administración demandada, de conformidad con lo establecido en el artículo 139 de la Ley Jurisdiccional."

También instó el planteamiento de cuestión prejudicial ante el Tribunal de Justicia de las Comunidades Europeas, proponiendo tas siguientes cuestiones:

"1. ¿Es compatible con el Derecho comunitario Europeo -en particular con la Directiva 95/46/CE, de 24 de octubre de 1995 y/o con las libertades fundamentales consagradas en el Tratado Constitutivo de la Comunidad Europea -particularmente sus artículos 28 y/o 49- que un Estado miembro apruebe o mantenga en vigor en sus disposiciones normativas nacionales obligaciones adicionales no contempladas en los siguientes artículos de la Directiva:

- Artículo 2 d)

- Artículo 14 b

- Artículo 10

- Artículo 12 c)

-Artículo 11

-Artículo 17.3

- Artículo 7

- Artículo 6

que causen o supongan restricciones a la Ubre circulación de datos personales?

2. ¿Es compatible con el Derecho comunitario Europeo -en particular con la Directiva 95/46/CE, de 24 de octubre de 1995 y/o con las libertades fundamentales consagradas en el Tratado Constitutivo de la Comunidad Europea -particularmente sus artículos 28 y/o 49- que un Estado miembro establezca nuevas restricciones y requisitos adicionales a los supuestos que legitiman el tratamiento de datos personales establecidos en el artículo 7 de la Directiva y/o que el supuesto establecido en el artículo 7.f) de la Directiva no se configure como un principio para la legitimación del tratamiento de carácter autónomo sino vinculado a la concurrencia de algún otro de los requisitos establecidos en el artículo 7 de la Directiva?

3. ¿Es compatible con el Derecho comunitario Europeo -en particular con la Directiva 95/46/CE, de 24 de octubre de 1995 y/o con las libertades fundamentales consagradas en el Tratado Constitutivo de la Comunidad Europea -particularmente sus artículos 28 y/o 49- que un Estado miembro apruebe o mantenga en vigor en sus disposiciones normativas nacionales materias que excedan el ámbito de la Directiva como los establecidos en

- Artículo 5.1. q) in fine Real Decreto 1720/2007

- Artículo 49 Real Decreto 1720/2007

- Artículo 12.1, segundo párrafo Real Decreto 1720/2007

- Artículo 8.5 Real Decreto 1720/2007

- Artículo 18 Real Decreto 1720/2007 -Artículo 20,1 Real Decreto 1720/2007

- Artículo, apartados 10.2a) y 10,2 b) Real Decreto 1720/2007

- Artículo 42 Real Decreto 1720/2007 que causen o supongan restricciones a la libre circulación de datos personales?"

SEGUNDO.- El Abogado del Estado, la Asociación de Usuarios de la Comunicación y la Unión General de Trabajadores se opusieron a la demanda con escritos en los que, después de exponer los hechos y fundamentos de derecho que estimaron procedentes, terminaron suplicando a la Sala, por el Abogado el Estado, que dicte sentencia "..declarando la falta de legitimación activa de la parte recurrente para impugnar los artículos 38, 41 y 42 RLOPD impugnado o, subsidiariamente de lo anterior, desestimando el presente recurso contencioso administrativo en su integridad por ser el citado RLOPD, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, plenamente conforme a derecho", por el Letrado de la Asociación de Usuarios de la Comunicación, que proceda"... a dictar sentencia por la que se desestime íntegramente el recurso contencioso administrativo interpuesto por FECEMD contra el Real Decreto 1720/2007, de 21 de diciembre, por manifiestamente infundado, con los demás pronunciamientos legales que procedan", y por el Letrado de la Unión General de Trabajadores, que "... dicte en su día sentencia inadmitiendo la demanda presentada por la Federación de Comercio Electrónico y Marketing directo y, subsidiariamente, la desestime, con expresa imposición de costas a la recurrente".

TERCERO.- Por auto de fecha 16 de abril de 2009 se acordó el recibimiento a prueba del recurso por término de treinta días comunes a las partes para proponer y practicarla, verificándose la realización de las que fueron admitidas con el resultado que se recoge en las actuaciones.

CUARTO.- Acordándose sustanciar este pleito por conclusiones sucintas, se concedió a las partes el término sucesivo de quince días cumplimentándolos con sus respectivos escritos en los que tras alegar lo que estimaron conveniente, terminaron dando por reproducidas las súplicas de demanda y contestación.

QUINTO.- Conclusas las actuaciones, se señaló para votación y fallo la audiencia del día VEINTISÉIS DE MAYO DE DOS MIL DIEZ, en cuyo acto tuvo lugar su celebración.

SEXTO.- Por providencia de 16 de junio del presente, se acordó oír a las partes por plazo común de cinco días para que alegaran sobre la posibilidad de plantear cuestión prejudicial respecto de alguno de los preceptos impugnados, dictando sentencia respecto de los demás, con el resultado que obra en autos.

SÉPTIMO.- Con fecha 15 de julio de 2010 se dicta Auto del tenor literal siguiente:

"En la Villa de Madrid, a quince de julio de dos mil diez.

HECHOS

1. La “Federación Comercio Electrónico y Marketing Directo” (en lo sucesivo, “FECEMD”) ha interpuesto recurso contencioso-administrativo contra numerosos artículos del Real Decreto 1720/2007, de 21 de diciembre (Boletín Oficial del Estado -en adelante-, “BOE”, de 19 de enero de 2008, p. 4103), por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (BOE de 14 de diciembre, p. 43088),

2. Entre los preceptos impugnados se encuentra el artículo 10, apartado 2.a), supuesto primero, y 2.b), párrafo primero, a los que FECEMD imputa la infracción del artículo 7, letra f), de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales ya la libre circulación de estos datos (DO L 281, p. 31).

3. No obstante, y para el caso de que este Tribunal albergara dudas sobre esa oposición de la norma reglamentaria a tas previsiones de la Directiva 95/46/CE, FECEMD solicita en la demanda que se plantee al Tribunal de Justicia de la Unión Europea la siguiente cuestión prejudicial:

"¿Es compatible con el Derecho Comunitario Europeo -en particular con la Directiva 95/46/CE, de 24 de octubre de 1995 y/o con las libertades fundamentales consagradas en el Tratado Constitutivo de la Comunidad Europea -particularmente sus artículos 28 y/o 49- que un Estado miembro establezca nuevas restricciones y requisitos adicionales a los supuestos que legitiman el tratamiento de datos personales establecidos en el artículo 7 de la Directiva y/o que el supuesto establecido en el artículo 7.f) de la Directiva no se configure como un principio para la legitimación del tratamiento de carácter autónomo sino vinculado a la concurrencia de algún otro de los requisitos establecidos en el artículo 7 de la Directiva?".

4. Quienes han intervenido como partes demandadas se han opuesto al reenvío de una cuestión prejudicial.

Siendo Ponente el Excmo. Sr. D. Juan Carlos Trillo Alonso, Magistrado de la Sala

RAZONAMIENTOS JURÍDICOS

1.- El marco jurídico interno.

1.1. La Ley Orgánica 15/1999, que transpone al derecho español la Directiva 95/46/CE, exige para que los datos puedan ser tratados la mediación del inequívoco consentimiento del afectado, salvo que la ley disponga otra cosa (artículo 6.1).

1.2. Por excepción, no considera preciso el consentimiento, entre otros supuestos (artículo 6.2, in fine):

“[...] cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legitimo perseguido por et responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.)

1.3. El artículo 11, apartado 1, reitera la necesidad del consentimiento para que puedan comunicarse a terceros los datos de carácter personal, exigencia que no estima precisa, según el apartado 2:

b) Cuando se trate de datos recogidos de fuentes accesibles al público.

1.4. El artículo 3.J) define las “fuentes accesibles al público” como:

“[...] aquellos ficheros cuya consulta puede ser realizada, por cualquier persona, no impedida por una norma limitativa o sin más exigencia que, en su caso, el abono de una contraprestación. Tienen la condición de fuentes de acceso público, exclusivamente, e) censo promocional, los repertorios telefónicos en los términos previstos por su normativa específica y las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, titulo, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes de acceso público los diarios y boletines oficiales y los medios de comunicación.”

1.4. El Gobierno español ha desarrollado la Ley Orgánica 15/1999 mediante el Real Decreto 1720/2007, que, en su artículo 10, después de permitir el tratamiento y la cesión de los datos de carácter personal si el interesado presta previamente su consentimiento (apartado 1), dispone en el apañado 2:

“No obstante, será posible el tratamiento o la cesión de datos de carácter personal sin necesidad del consentimiento del interesado cuando:

a) Lo autorice una norma con rango de ley o una norma de derecho comunitario y, en particular, cuando concurra uno de los supuestos siguientes:

El tratamiento o la cesión tengan por objeto la satisfacción de un interés legítimo del responsable del tratamiento o del cesionario amparado por dichas normas, siempre que no prevalezca el interés o los derechos y libertades fundamentales de tos interesados previstos en el artículo 1 de la Ley Orgánica 15/1999, de 13 de diciembre.

El tratamiento o la cesión de los datos sean necesarios para que el responsable del tratamiento cumpla un deber que le imponga una de dichas normas.

b) Los datos objeto de tratamiento o de cesión figuren en fuentes accesibles al público y el responsable del fichero, o el tercero a quien se comuniquen los datos, tengan un interés legítimo para su tratamiento o conocimiento, siempre que no se vulneren los derechos y libertades fundamentales del interesado.

No obstante, las Administraciones públicas sólo podrán comunicar al amparo de este apartado los datos recogidos de fuentes accesibles al público a responsables de ficheros de titularidad privada cuando se encuentren autorizadas para ello con una norma con rango de ley.”

2.- El derecho comunitario.

2.1. La Carta de los derechos fundamentales de la Unión Europea (última publicación oficial, DO C 83, p. 389), dentro del título III, dedicado a las “Libertades”, dispone en el artículo 8 que:

“1. Toda persona tiene derecho a la protección de los datos de carácter personal que te conciernan.

2. Estos datos se tratarán de modo leal, para fines concretos y sobre la base del consentimiento de la persona afectada o en virtud de otro fundamento legitimo previsto por la ley (...)”

2.2. Por su parte, la Directiva 95/46/CE, que aspira a realizar una armonización completa (sentencia del Tribunal de Justicia de la Unión Europea de 6 de noviembre de 2003, Lindqvist, asunto C-101/01, apartado 96), tiene por designio el asegurarla libre circulación de datos personales de unos Estados miembros a otros, sin menoscabo de la protección de los derechos fundamentales (tercer considerando).

2.2. Como quiera que las diferencias existentes en la tutela dispensada por los distintos países, achacables a la disparidad de las disposiciones nacionales sobre el particular, son susceptibles de obstaculizar esa libre transmisión de datos, aspira a equiparar los niveles de protección entre todos los Estados miembros, coordinando sus legislaciones, de modo que dispensen una protección equivalente, sin perjuicio de reconocerles un margen de maniobra, que han de ejercer de conformidad con el derecho comunitario y dentro de los límites de la propia Directiva (considerandos séptimo a noveno, artículo 5 y sentencia Undqvist, ya citada, apartado 97).

2.3. Con ese propósito, obliga a los Estados miembros a garantizar, con arreglo a su texto, tas libertades y los derechos fundamentales de los individuos en lo que respecta al tratamiento de los datos personales, sin que les quepa restringir ni prohibir la libre circulación de esos datos por motivos relacionados con tal tutela (artículo 1o, cuyo apartado 1 se transpone en el artículo 1.° de nuestra Ley Orgánica 15/1999).

2.4. Con el anterior propósito, el legislador de la Unión proclamó el principio, hoy incluido en la Carta, de que el tratamiento de datos personales sólo puede efectuarse si el interesado ha dado su consentimiento de forma inequívoca [artículo 7, letra a)] o concurren otras causas legítimas, que relaciona en las letras siguientes, y entre las que se encuentra la de resultar el tratamiento:

“[...] necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o los terceros a los que se comuniquen los datos, siempre que no prevalezca el interés o los derechos y libertades fundamentales del interesado que requieran protección con arreglo al apartado 1 del artículo 1 de la presente Directiva.”

3. Los presupuestos del reenvío prejudicial

3.1. Esta Sala se enfrenta con un litigio en el que FECEMD demanda la nulidad del artículo 10, apartado 2, letra b), del Real Decreto 1720/2007 porque considera que, al igual que las normas legales que le sirven de cobertura (los artículos 6 y 11 de la Ley Orgánica 15/1999), no traspone debidamente el artículo 7, letra f), de la Directiva 95/46/CE, infringiendo esta norma de derecho comunitario.

3.2. En particular, considera que el derecho español añade al interés legítimo como presupuesto del tratamiento de los datos sin consentimiento del titular un requisito que no está presente en la mencionada Directiva: que los datos consten en fuentes accesibles al público.

3.3. La respuesta a esa pretensión depende, en gran medida, de la interpretación que el Tribunal de Justicia dé al artículo 7, letra f), de la Directiva 95/46/CE, pues si concluye que nada impide que los Estados miembros exijan, además de la concurrencia del repetido interés, la presencia de los datos en fuentes accesibles al público, habrá que concluir que la Ley española y el Reglamento que la desarrolla se ajustan en este punto al ordenamiento jurídico de la Unión.

3.4. Si, por el contrarío, es criterio del Tribunal de Justicia que no les cabe a los Estados miembros añadir requisitos adicionales a aquella exigencia, debería inaplicarse, para el caso de que se pueda reconocer al repetido artículo 7, apañado ñ), efecto directo, la previsión legislativa interna, quedando huérfano de cobertura el artículo 10, apartado 2, tetra b), del Real Decreto 1720/2007.

3.5. La pertinencia del diálogo prejudicial depende, en segundo lugar, de que haya dudas razonables sobre la interpretación del derecho comunitario, esto es, que no quepa deducir de los términos de la norma comunitaria una sola solución hermenéutica, que se impondría por su propia evidencia no sólo al órgano jurisdiccional remitente sino al resto de órganos jurisdiccionales de los diferentes Estados miembros, incluido el propio Tribunal de Justicia [sentencia de 6 de octubre de 1982, CILFIT (283/81, apañado 16)j.

En el caso de autos, la existencia de esas dudas resulta patente. Las respectivas posiciones de las partes, manifestadas en el debate procesal, son divergentes. Por otro lado, como sabemos, la Directiva 95/46/CE aspira a una armonización completa de las legislaciones nacionales, al tiempo que quiere establecer un equilibrio entre los dos pilares sobre los que pivota su regulación: la libre circulación entre los Estados miembros de los datos de carácter personal sin merma alguna de los derechos y libertades fundamentales del interesado. Duda esta Sala, si como excepción al principio de consentimiento inequívoco de este último para el tratamiento y circulación de los datos, la concurrencia de un interés legítimo en el responsable de aquél o en los destinatarios de éstos, debe operar como única exigencia, bastando su presencia para que el consentimiento resulte innecesario o si, por el contrarío, en garantía de aquellos derechos y libertades fundamentales pueden los Estados miembros añadir exigencia adicionales.

4. Las cuestiones prejudiciales

4.1. Primera cuestión prejudicial

4.1.1. Ya hemos indicado que resulta presupuesto insoslayable para el tratamiento de los datos de carácter personal que medie el consentimiento inequívoco del interesado [articulo 7, letra a), de la Directiva 95/46/CE], no obstante cabe que, sin mediar el mismo, el tratamiento pueda ¡levarse a cabo si concurre un interés legítimo del responsable del tratamiento o de los destinatarios de los datos, siempre que no deba prevalecer el interés de los derechos y libertades fundamentales del titular de los datos [letra f) del mismo precepto].

4.1.2. El legislador español ha asumido dicha regulación (artículo 6 de la Ley Orgánica 15/1999), pero ha adicionado a la concurrencia de aquel interés legítimo la condición de que los datos figuren en fuentes accesibles al público (apartado 2, in fine).

4.1.3. El titular de la potestad reglamentaria ha reproducido dicha previsión del legislador, matizando, sin embargo, que las Administraciones sólo pueden comunicar a los responsables de ficheros de titularidad privada los datos recogidos en fuentes accesibles al público sin están autorizadas para ello por una norma con rango de ley (artículo 10, apartado 2, letra b), del Real Decreto 1720/2007].

4.1.4. La Ley española considera fuentes accesibles a! público los ficheros que puedan ser consultados libremente sin más requisito que el pago de una contraprestación. A renglón seguido relaciona esos ficheros mediante una lista exhaustiva y cerrada: “el censo promocional, los repertorios telefónicos en los términos previstos por su normativa específica y las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, titulo, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes de acceso público los diarios y boletines oficiales y los medios de comunicación” [artículo 3, tetra j), de la Ley Orgánica 15/1999}.

4.1.5. La conclusión parece evidente; aún mediando el interés legítimo del responsable del tratamiento o de los destinatarios de los datos, sino media consentimiento inequívoco del titular sólo cabe tratar y comunicar los datos que constan en los ficheros relacionados. De este modo, la ley española y el reglamento que la desarrolla restringen el ámbito del artículo 7, letra f), de la Directiva 95/46/CE.

4.1.6. A juicio de esta Sala, esa restricción erige un obstáculo a la Ubre circulación de los datos de carácter personal no querido, en principio, por la norma comunitaria, que sólo limita en tales supuestos la libre circulación si así lo demanda el interés de los derechos y tas libertades fundamentales del titular de los datos.

4.1.7. La única posibilidad de salvar la contradicción sería entender que, por definición y en abstracto, la circulación de datos de carácter personal que consten en otros ficheros distintos de los relacionados por el legislador español sin el consentimiento del afectado vulnera sus derechos y libertades fundamentales. Pero no parece que este desenlace sea el querido por el legislador comunitario.

4.1.8. En primer lugar, porque rompe la armonización total perseguida por la norma de derecho comunitario, al establecer una lista cerrada y exhaustiva de fuentes accesibles al público, siendo plausible que oíros Estados miembros puedan considerar como tales otro tipo de ficheros. En segundo término, porque a nuestro entender, el artículo 7, tetra f), de la Directiva, está pensando en coyunturas singulares, atendibles y susceptibles de análisis en función de las características del caso concreto y no acudiendo a categorizaciones genéricas y abstractas. En otros términos, si, no mediando consentimiento del afectado, concurre un interés legítimo del responsable o de los destinatarios de los datos, el tratamiento resulta posible salvo que, en atención a la naturaleza de los datos y del soporte, a las condiciones subjetivas del afectado, a la finalidad perseguida, etc., deba darse prevalencia a los derechos fundamentales, en particular, al derecho a la intimidad de! titular de los datos, en esa tensión que preside su convivencia con la necesidad de garantizar en el territorio de la Unión la libre circulación de tal clase de datos.

4.1.9. Cabe añadir a lo anterior que el artículo 1, apartado 2, de la Directiva 95/46/CE, prohíbe a los Estados miembros restringir la libre circulación de los datos personales por motivos relacionados con la protección de las libertades y de los derechos fundamentales de las personas físicas, y, en particular, del derecho a la intimidad, en lo que respecta a su tratamiento. Por ello, lo que hace la norma comunitaria es disciplinar esa circulación sin merma de la garantía de los citados derechos y libertades fundamentales, por lo que no cabe que los Estados miembros impongan mayores restricciones que las prevista por el legislador comunitario. Los Estados miembros no pueden establecer otras excepciones y limitaciones que (as que se contemplan en el artículo 13 de la repetida Directiva, entre tos que no es encuentra un restricción como la añadida por el legislador español en el artículo 6, apartado 2, in fine, de la Ley Orgánica 15/1999 y en el 10, apartado 2, letra b), del Real Decreto 1720/2007.

4.1.10. En este sentido y en relación con otra de las finalidades que legitiman el tratamiento de los datos personales sin consentimiento del titular (resultar “necesario para el cumplimiento de una misión de Interés público” (artículo 7, letra e], el Tribunal de Justicia ha señalado que la noción de “necesidad” no puede tener un contenido variable en función de los Estados miembros [sentencia de 16 de diciembre de 2008, Heinz Huber (C- 524/06, apartado 52)].

4.1.11. Debe tenerse en cuenta también que, para el Tribunal de Justicia, los ficheros que tengan por objeto información publicada están comprendidos en el ámbito de aplicación de la Directiva 95/46/CE [sentencia de 16 de diciembre de 2008, Tietosuojavaltuutettu (C-73/07, apartado 49 y punto 3 de ¡a parte dispositiva)], por lo que, en principio, un legislador nacional no puede definir y acotar unilateralmente tos ficheros que tienen tal condición, pues

se trata de una noción de derecho comunitario necesitada de una aplicación y, por consiguiente, interpretación uniformes.

4.1.12 En suma, procede preguntar al Tribunal de Justicia si el artículo 7, letra f), de la Directiva 95/46/CE debe interpretarse en el sentido de que se opone a una normativa nacional que, no mediando consentimiento del afectado y para permitir el tratamiento de sus datos de carácter personal que resulte necesario para satisfacer un interés legítimo del responsable o de los terceros a los que se van a comunicar, exige además de que no se lesionen los derechos y libertades fundamentales de aquel que los datos consten en fuentes accesibles al público.

4.2. Segunda cuestión prejudicial

4.2.1. Si la respuesta del Tribunal de Justicia fuere afirmativa, esta Sala de enfrentaría a una norma reglamentaria (el artículo 10, apartado 2, letra b), del Real Decreto 1720/2007) que desarrolla una previsión legal (el artículo 6, apartado 2, in fine, de la Ley Orgánica 15/1999) contraría al ordenamiento jurídico de la Unión Europea.

4.2.2. Las consecuencias de esta constatación son distintas según que pueda reconocerse al artículo 7, letra f), de la Directiva 95/46/CE efecto directo, pues, en tal circunstancia, nos veríamos obligados a desplazar la norma legal interna [sentencia de 9 de marzo de 1978, Simmenthal (asunto 106/77, passim]. En esta tesitura, la disposición reglamentaria quedaría carente de la necesaria cobertura legal, insoslayable en el sistema jurídico español, procediendo declarar su nulidad.

4.2.3. Por consiguiente, ha de preguntarse también al Tribunal de Justicia si el artículo 7, letra f), de la Directiva 95/46/CE reúne los requisitos que exige la jurisprudencia comunitaria para reconocerle efecto directo, esto es, si, desde el punto de vista de su contenido, es incondicional y suficientemente preciso, pudiendo ser invocado por los justiciables ante sus jueces nacionales en la medida en la que les reconoce derechos esgrimibles frente al poder público [sentencia de 19 de enero de 1982, Becker (asunto 8/81, apartado 25].

5. Sobre la suspensión del procedimiento.

Circunscrita la duda interpretativa de los preceptos reglamentarlos impugnados, con relación al derecho comunitario, a las expresadas en el precedente, en atención al carácter preferente que para el señalamiento de los recursos directos interpuestos contra las disposiciones generales prevé el artículo 66 de la Ley Jurisdiccional, y a la circunstancia no menos relevante del elevado número de preceptos objeto de impugnación, se entiende adecuado limitaría suspensión de dictar sentencia única y exclusivamente respecto al artículo 10 del Reglamento, siendo de significar al efecto la inexistencia de una conexión tal entre dicho precepto y los demás recurridos que pudieran verse afectados por la sentencia que en su día dicte el Tribunal de Justicia de las Comunidades Europeas, así como ¡a conveniencia de no demorar por más tiempo la resolución de éstos.

LA SALA ACUERDA:

Primero.- Suspender única y exclusivamente el procedimiento respecto de la impugnación del artículo 10, apartados 2. a) y b) del Reglamento de la Ley Orgánica de Protección de Datos, hasta la resolución del incidente prejudicial planteado y dictar sentencia con relación a los demás artículos impugnados.

Segundo.- Plantear al Tribunal de Justicia de las Comunidades Europeas las siguientes cuestiones prejudiciales:

1a) “¿Debe interpretarse el artículo 7, letra f), de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, en el sentido de que se opone a una normativa nacional que, no mediando consentimiento del afectado y para permitir el tratamiento de sus datos de carácter persona! que resulte necesario para satisfacer un interés legítimo del responsable o de los terceros a los que se vayan a comunicar, exige además de que no se lesionen los derechos y libertades fundamentales de aquel que los datos consten en fuentes accesibles al público?”

2o) “¿Concurren en el mencionado artículo 7, tetra f), las condiciones que exige la jurisprudencia del Tribunal de Justicia de la Unión Europea para atribuirle efecto directo?”

Lo mandó la Sala y firman los Magistrados Excmos. Sres. al inicio designados."

OCTAVO.- Con igual fecha a la del auto referido precedentemente se dictó sentencia cuyo fallo dice así:

"PRIMERO.- DECLARAR LA INADMISIBILIDAD del recurso contencioso administrativo interpuesto por la FEDERACIÓN DE COMERCIO ELECTRÓNICO Y MARKETING DIRECTO, contra Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en el extremo que Impugna los artículos 38, 41 y 42.

SEGUNDO.- Estimarlo en parte y anular, por disconforme a derecho, el artículo 18 de la disposición reglamentaría.

TERCERO.- Dejar imprejuzgada la impugnación del artículo 10.2.a) y b), por planteamiento de cuestión prejudicial ante el Tribunal de Justicia de las Comunidades Europeas, y hasta que dicho Tribunal se pronuncie sobre la cuestión de mención.

CUARTO.- Sin hacer especial condena en costas".

NOVENO.- En respuesta a la cuestión prejudicial planteada, el Tribunal Superior de Justicia de la Unión Europea dicta sentencia del siguiente tenor:

SENTENCIA DEL TRIBUNAL DE JUSTICIA (Sala Tercera) de 24 de noviembre de 2011

“Tratamiento de datos personales - Directiva 95/46/CE - Artículo 7; letra f) - Efecto directo”

En los asuntos acumulados C-468/10 y C-469/10, que tienen por objeto sendas peticiones de decisión prejudicial planteadas, con arreglo al artículo 267 TFUE, por el Tribunal Supremo (España), mediante resoluciones de 15 de julio de 2010, recibidas en el Tribunal de Justicia el 28 de septiembre de 2010, en los procedimientos entre Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) (asunto C-468/10), Federación de Comercio Electrónico y Marketing Directo (FECEMD) (asunto C-469/10) y Administración del Estado, en el que participan: Unión General de Trabajadores (UGT) (asuntos C-468/10 y C-469/10), Telefónica de España, S.A.U. (asunto C-468/10), Franco Telecom España, S.A. (asuntos C-468/10 y C-469/10), Telefónica Móviles de España, S.A.U. (asunto C-469/10), Vodafone España, S.A. (asunto C-469/10), Asociación de Usuarios de la Comunicación (asunto C-469/10),

EL TRIBUNAL DE JUSTICIA (Sala Tercera),

Integrado por el Sr. K. Lenaerts (Ponente), Presidente de Sala, y la Sra. R. Silva de Lapueiia y los Sres. E. Juhász, T. von Danwitz y D. Svéby, Jueces; Abogado General: Sr. P. Mengozzi; Secretaria: Sra. M. Ferreira, administradora principal; habiendo considerado los escritos obrantes en autos y celebrada la vista el 15 de septiembre de 2011; consideradas las observaciones presentadas:

- en nombre de la Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF), por los Sres. C. Alonso Martínez y A. Creus Carreras, abogados;

- en nombre de la Federación de Comercio Electrónico y Marketing Directo (FECEMD), por los Sres. R. García del Poyo Vizcaya y M.Á. Serrano Pérez, abogados;

- en nombre del Gobierno español, por el Sr. M. Muñoz Pérez, en calidad de agente;

- en nombre de la Comisión Europea, por la Sra. I. Martínez del Peral y el Sr. B. Martenczuk, en calidad de agentes; vista la decisión adoptada por el Tribunal de Justicia, oído el Abogado General, de que el asunto sea juzgado sin conclusiones; dicta la siguiente

Sentencia

1. Las peticiones de decisión prejudicial tienen por objeto la interpretación del artículo 7, letra t), de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la Ubre circulación de estos datos (DO L 281, p. 31).

2. Dichas peticiones se presentaron en el marco de sendos litigios entre, por una parte, la Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) y la Federación de Comercio Electrónico y Marketing Directo (FECEMD), y, por otra parte, la Administración del Estado.

Marco jurídico

Derecho de la Unión

La Directiva 95/46

3. Los considerandos séptimo, octavo y décimo de la Directiva 95/46 se expresan en los siguientes términos:

“(7) Considerando que las diferencias entre los niveles de protección de los derechos y libertades de las personas y, en particular, de la intimidad, garantizados en los Estados miembros por lo que respecta al tratamiento de datos personales, pueden impedir la transmisión de dichos datos del territorio de un Estado miembro al de otro; que, por lo tanto, estas diferencias pueden constituir un obstáculo para el ejercicio de una serie de actividades económicas a escala comunitaria, falsear la competencia e impedir que fas administraciones cumplan los cometidos que les Incumben en virtud del Derecho comunitario; que estas diferencias en los niveles de protección se deben a la disparidad existente entre las disposiciones legales, reglamentarías y administrativas de los Estados miembros; (8) Considerando que, para eliminar los obstáculos a la circulación de datos personales, el nivel de protección de los derechos y libertades de las personas, por lo que se refiere al tratamiento de dichos datos, debe ser equivalente en todos los Estados miembros; que ese objetivo, esencial para el mercado interior, no puede lograrse mediante la mera actuación de los Estados miembros, teniendo en cuenta, en particular, las grandes diferencias existentes en la actualidad entre las legislaciones nacionales aplicables en la materia y la necesidad de coordinar las legislaciones de los Estados miembros para que el flujo transfronterizo de datos personales sea regulado de forma coherente y de conformidad con el objetivo del mercado interior [,..]; que, por tanto, es necesario que la Comunidad intervenga para aproximar las legislaciones; [...}

(10) Considerando que las legislaciones nacionales relativas al tratamiento de datos personales tienen por objeto garantizar el respeto de los derechos y libertades fundamentales, particularmente del derecho al respeto de la vida privada reconocido en el artículo 8 del Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales, firmado en Roma el 4 de noviembre de 1950 (en lo sucesivo, “CEDH”)], así como en los principios generales del Derecho comunitario; que, por lo tanto, la aproximación de dichas legislaciones no debe conducir a una disminución de la protección que garantizan sino que, por el contrarío, debe tener por objeto asegurar un alto nivel de protección dentro de la Comunidad”.

4 El artículo 1 de dicha Directiva, titulado “Objeto de la Directiva”, tiene ¡a siguiente redacción:

“1. Los Estados miembros garantizarán, con arreglo a las disposiciones de la presente Directiva, la protección de las libertades y de los derechos fundamentales de las personas físicas, y, en particular, del derecho a la Intimidad, en lo que respecta al tratamiento de los datos personales.

2. Los Estados miembros no podrán restringir ni prohibir la libre circulación de datos personales entre los Estados miembros por motivos relacionados con la protección garantizada en virtud del apartado 1.”

5. El artículo 5 de la misma Directiva es del siguiente tenor:

“Los Estados miembros precisarán, dentro de los límites de las disposiciones del presente capítulo, fas condiciones en que son lícitos los tratamientos de datos personales.”

6. El artículo 7 de la Directiva 95/46 establece:

“Los Estados miembros dispondrán que el tratamiento de datos personales sólo pueda efectuarse si:

a) el interesado ha dado su consentimiento de forma inequívoca, o [..]

f) es necesario para ¡a satisfacción del interés legitimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, siempre que no prevalezca el interés o los derechos y libertades fundamentales del interesado que requieran protección con arreglo al apartado 1 del artículo 1 de la presente Directiva.”

7. El artículo 13, apartado 1, de esta Directiva dispone:

“Los Estados miembros podrán adoptar medidas legales para limitar el alcance de las obligaciones y los derechos previstos en el apartado 1 del artículo 6, en el artículo 10, en el apartado 1 del artículo 11, y en los artículos 12 y 21 cuando tal limitación constituya una medida necesaria para la salvaguardia de:

a) la seguridad del Estado;

b) la defensa;

o) la seguridad pública;

d) la prevención, la investigación, la detección y la represión de infracciones penales o de las infracciones de la deontología en las profesiones reglamentadas;

e) un interés económico y financiero importante de un Estado miembro o de la Unión Europea, incluidos los asuntos monetarios, presupuestarios y fiscales;

f) una función de control, de inspección o reglamentaria relacionada, aunque sólo sea ocasionalmente, con el ejercicio de la autoridad pública en los casos a que hacen referencia las letras c), d) y e);

g) la protección del interesado o de los derechos y libertades de otras personas.”

Derecho nacional

La Ley Orgánica 15/1999

8. La Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (BOE n° 298, de 14 de diciembre de 1999, p. 43088) adapta el Derecho español a la Directiva 95/46.

9. El artículo 3, letra j), de la Ley Orgánica 15/1999 enumera las “fuentes accesibles al público” en una lista exhaustiva y taxativa, del siguiente tenor:

“[...] aquellos ficheros cuya consulta puede ser realizada, por cualquier persona, no impedida por una norma limitativa o sin más exigencia que, en su caso, el abono de una contraprestación. Tienen la consideración de fuentes de acceso público, exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos por su normativa específica y las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes de acceso público los diarios y boletines oficiales y los medios de comunicación.”

10. El artículo 6, apartado 1, de la Ley Orgánica 15/1999 supedita el tratamiento de los datos a la prestación del consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. Así, el artículo 6, apartado 2, in fine, de dicha Ley dispone que no será preciso el consentimiento, entre otros supuestos, “cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”.

11. El artículo 11, apartado 1, de la Ley Orgánica 15/1999 recuerda la necesidad del consentimiento del interesado para poder comunicar a terceros los datos de carácter personal, si bien el apartado 2 de dicho artículo dispone que el consentimiento no será necesario, en particular, cuando se trate de datos recogidos de fuentes accesibles al público.

El Real Decreto 1720/2007

12. El Gobierno español desarrolló la Ley Orgánica 15/1999 mediante el Real Decreto

1720/2007, de 21 de diciembre (BOE n° 17, de 19 de enero de 2008, p. 4103).

13. El artículo 10, apartado 1, del Real Decreto 1720/2007 autoriza el tratamiento y la cesión de los datos de carácter personal si el interesado presta previamente su consentimiento para ello.

14. No obstante, el artículo 10, apartado 2, del Real Decreto 1720/2007 dispone;

“[.,.] será posible el tratamiento o la cesión de los datos de carácter personal sin necesidad del consentimiento del interesado cuando:

a) Lo autorice una norma con rango de ley o una norma de derecho comunitario y, en particular, cuando concurra uno de los supuestos siguientes:

El tratamiento o la cesión tengan por objeto la satisfacción de un interés legítimo del responsable del tratamiento o del cesionario amparado por dichas normas, siempre que no prevalezca el interés o los derechos y libertades fundamentales de los interesados previstos en el artículo 1 de la Ley Orgánica 15/1999, de 13 de diciembre.

El tratamiento o la cesión de los datos sean necesarios para que el responsable del tratamiento cumpla un deber que le imponga una de dichas normas.

b) Los datos objeto de tratamiento o de cesión figuren en fuentes accesibles al público y el responsable del fichero, o el tercero a quien se comuniquen los datos, tenga un interés legitimo para su tratamiento o conocimiento, siempre que no se vulneren los derechos y libertades fundamentales del interesado.

No obstante, las Administraciones públicas sólo podrán comunicar al amparo de este apartado los datos recogidos de fuentes accesibles al público a responsables de ficheros de titularidad privada cuando se encuentren autorizadas para ello por una norma con rango de ley.”

Litigios principales y cuestiones prejudiciales

15. La ASNEF, por una parte, y la FECEMD, por otra parte, interpusieron recurso contencioso-administrativo contra diversos artículos del Real Decreto 1720/2007.

16. Entre los preceptos Impugnados se encuentra el artículo 10, apartado 2, letras a), supuesto primero, y b), párrafo primero, de dicho Real Decreto, a los que la ASNEF y la FECEMD imputan la infracción del artículo 7, letra f), de la Directiva 95/46.

17. En particular, la ASNEF y la FECEMD consideran que el Derecho español añade al requisito del interés legítimo como presupuesto del tratamiento de los datos sin consentimiento del titular un requisito que no está presente en la Directiva 95/46: que los datos consten en fuentes accesibles al público.

18. El Tribunal Supremo opina que el fundamento de los recursos interpuestos por ASNEF y FECEMD depende en gran medida de la interpretación que haga el Tribunal de Justicia del artículo 7, letra f), de la Directiva 95/46. Así, señala que si el Tribunal de Justicia estimase que no corresponde a los Estados miembros añadir requisitos adicionales a los establecidos en esa disposición y que a dicha disposición puede reconocérsele efecto directo, el artículo 10, apartado 2, letra b), del Real Decreto 1720/2007 debería inaplicarse.

19. El Tribunal Supremo explica que, en el caso de que no exista consentimiento del interesado, para autorizar el tratamiento de sus datos de carácter personal, necesario para la satisfacción de un interés legítimo del responsable de ese tratamiento o de los terceros a quienes se comuniquen los datos, el Derecho español exige, además del respeto de los derechos y libertades fundamentales del interesado, que los datos figuren en los ficheros enumerados en el artículo 3, letra j), de la Ley Orgánica 15/1999. A este respecto considera que la Ley Orgánica 15/1999 y el Real Decreto 1720/2007 restringen el ámbito del artículo 7, letra f), de la Directiva 95/46.

20. Según el Tribunal Supremo, esta restricción constituye un obstáculo a la libre circulación de los datos de carácter personal que únicamente sería compatible con la Directiva 95/46 si viniera exigida por el interés o los derechos y libertades fundamentales del titular de los datos.

De ello deduce que la única posibilidad de salvarla contradicción entre la Directiva 95/46 y el ordenamiento español sería considerar que la libre circulación de los datos de carácter personal que figuren en ficheros distintos de los enumerados en el artículo 3, letra}), de la Ley Orgánica 15/1999 vulnera el interés o los derechos y libertades fundamentales del titular de los datos.

21. No obstante, el Tribunal Supremo se pregunta si tal interpretación es conforme a la voluntad del legislador de la Unión.

22. En estas circunstancias, por considerar que la solución de los dos asuntos de que conoce depende de la interpretación de disposiciones del Derecho de la Unión, el Tribunal Supremo decidió suspender el procedimiento y plantear al Tribunal de Justicia las siguientes cuestiones prejudiciales, formuladas en idénticos términos en ambos asuntos:

“1) ¿Debe interpretarse el artículo 7, letra f), de la Directiva 95/46 (...j en el sentido de que se opone a una normativa nacional que, no mediando consentimiento del afectado y para permitir el tratamiento de sus datos de carácter personal que resulte necesario para satisfacer un interés legítimo del responsable o de los terceros a los que se vayan a comunicar, exige además de que no se lesionen los derechos y libertades fundamentales de aquel que los datos consten en fuentes accesibles al público?

2) ¿Concurren en el mencionado artículo 7, letra f), las condiciones que exige ¡a jurisprudencia del Tribunal de Justicia [...]para atribuirle efecto directo?”

23. Mediante auto del Presidente del Tribunal de Justicia de 26 de octubre de 2010 se acumularon tos asuntos C-468/10 y 0469/10 a efectos de las fases escrita y oral del procedimiento y de la sentencia.

Sobre las cuestiones prejudiciales

Sobre la primera cuestión

24. Mediante su primera cuestión, el órgano jurisdiccional remitente pregunta, en lo sustancia!, si el artículo 7, letra f), de la Directiva 95/46 debe interpretarse en el sentido de que se opone a una normativa nacional que, para permitir el tratamiento de datos personales necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, exige, en el caso de que no exista consentimiento del interesado, no sólo que se respeten los derechos y libertades fundamentales de éste, sino además que dichos datos figuren en fuentes accesibles al público.

25. El artículo 1 de la Directiva 95/46 impone a los Estados miembros el deber de garantizar la protección de las libertades y de los derechos fundamentales de las personas físicas, y, en particular, del derecho a la intimidad, en lo que respecta al tratamiento de los datos personales (véase, en este sentido, la sentencia de 16 de diciembre de 2008, Huber, C-524/06, Rec. p. I-9705, apartado 47).

26. Con arreglo a lo dispuesto en el capítulo II de la Directiva 95/46, titulado “Condiciones generales para la licitud del tratamiento de datos personales”, sin perjuicio de las excepciones admitidas al amparo de su artículo 13, todo tratamiento de datos personales debe ser conforme, por una parte, con los principios relativos a la calidad de los datos, enunciados en el artículo 6 de dicha Directiva, y, por otra, con alguno de los seis principios relativos a la legitimación del tratamiento de datos, enumerados en su artículo 7 (véanse, en este sentido, las sentencias de 20 de mayo de 2003, Ósterrelchischer Rundfunk y otros, C-465/00, C-138/01 yC-139/01, Rec. p. 1-4989, apartado 65,yHuber, antes citada, apartado 48).

27. Del séptimo considerando de la Directiva 95/46 se desprende que las diferencias entre los regímenes nacionales aplicables al tratamiento de datos personales pueden afectar seriamente al establecimiento y al funcionamiento del mercado interior (véase la sentencia de 6 de noviembre de 2003, íindqvist, C-101/01, Rec. p. 1-12971, apartado 79).

28. En este contexto, procede recordar que la Directiva 95/46 tiene por objeto, tal y como se desprende, en particular, de su octavo considerando, equiparar el nivel de protección de los derechos y libertades de las personas por lo que se refiere al tratamiento de datos personales en todos los Estados miembros. Su décimo considerando añade que la aproximación de las legislaciones nacionales en la materia no debe conducir a una disminución de la protección que garantizan sino que, por el contrario, debe tener por objeto asegurar un alto nivel de protección dentro de la Unión (véanse, en este sentido, las sentencias antes citadas Lindqvlst, apartado 95, y Huber, apartado 50).

29. Se ha declarado así que la armonización de dichas legislaciones nacionales no se limita a una armonización mínima, sino que constituye, en principio, una armonización completa. Desde este punto de vista, la Directiva 95/46 trata de asegurar la libre circulación de datos personales, garantizando al mismo tiempo un alto nivel de protección de (os derechos e intereses de las personas a las que se refieren dichos datos (véase la sentencia Lindqvlst, antes citada, apartado 96).

30. Así pues, se deduce del objetivo consistente en asegurar un nivel de protección equivalente en todos los Estados miembros que el artículo 7 de la Directiva 95/46 establece una lista exhaustiva y taxativa de los casos en que un tratamiento de datos personales puede considerarse lícito.

31. Corroboran esta interpretación los términos “sólo pueda efectuarse si” y la conjunción “o”, empleados en el artículo 7 de la Directiva 95/46, que ponen de manifiesto el carácter exhaustivo y taxativo de la lista que figura en dicho artículo.

32. De ello se desprende que los Estados miembros no pueden ni añadir al artículo 7 de la Directiva 95/46 nuevos principios relativos a la legitimación de los tratamientos de datos personales ni imponer exigencias adicionales que vendrían a modificar el alcance de alguno de los seis principios establecidos en dicho articulo.

33. No se opone a la anterior interpretación el artículo 5 de la Directiva 95/46. En efecto, dicho artículo solo autoriza a los Estados miembros a precisar, dentro de los límites del capítulo II de la Directiva, y, por ende, del artículo 7 de ésta, las condiciones en que los tratamientos de datos personales son lícitos.

34. Por lo tanto, el margen de apreciación de que disponen los Estados miembros en virtud deleitado artículo 5 únicamente puede utilizarse de conformidad con el objetivo perseguido por la Directiva 95/46, que consiste en mantener un equilibrio entre la libre circulación de datos personales y la tutela del derecho a la intimidad (véase la sentencia Lindqvist, antes citada, apartado 97).

35. La Directiva 95/46 contiene normas que se caracterizan por una cierta flexibilidad y deja en muchos casos en manos de los Estados miembros la tarea de regular los detalles o de elegir entre varias opciones (véase la sentencia Lindqvist, antes citada, apartado 83). Es preciso distinguir, pues, entre medidas nacionales que establecen exigencias adicionales que modifican el alcance de un principio fijado en el artículo 7 de la Directiva 95/46, por una parte, y medidas nacionales que se limitan a precisar alguno de estos principios, por otra parte. El primer tipo de medida nacional está prohibido, y únicamente en el contexto del segundo tipo de medida nacional disponen los Estados miembros de un margen de apreciación, con arreglo al artículo 5 de la Directiva 95/46.

36. Se desprende de lo anterior que los Estados miembros tampoco pueden introducir, al amparo de lo dispuesto en el artículo 5 de la Directiva 95/46, principios relativos a la legitimación de los tratamientos de datos personales distintos a los enunciados en el artículo 7 de esa Directiva ni modificar, mediante exigencias adicionales, el alcance de los seis principios establecidos en dicho artículo 7.

37. En el presente asunto, el artículo 7, letra f), de la Directiva 95/46 dispone que el tratamiento de datos personales es lícito sí “es necesario para la satisfacción del Interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, siempre que no prevalezca el interés o los derechos y libertades fundamentales del Interesado que requieran protección con arreglo al apartado 1 del artículo 1 de la presente Directiva”.

38. Dicho artículo 7, letra f), establece dos requisitos acumulativos para que un tratamiento de datos personales sea licito, a saber, por una parte, que ese tratamiento de datos personales sea necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, y por otra parte, que no prevalezcan los derechos y libertades fundamentales del interesado.

39. De ello se sigue que, en lo que respecta al tratamiento de datos personales, el artículo 7, letra f), de la Directiva 95/46 se opone a toda normativa nacional que, en el caso de que no exista consentimiento del interesado, imponga exigencias adicionales que se sumen a los dos requisitos acumulativos mencionados en el apartado anterior.

40. No obstante, ha de tenerse en cuenta que el segundo de esos requisitos exige una ponderación de los derechos e intereses en conflicto, que dependeré, en principio, de las circunstancias concretas del caso particular de que se trate y en cuyo marco la persona o institución que efectúe la ponderación deberá tener en cuenta la Importancia de los derechos que ¡os artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea confieren al interesado (en lo sucesivo, “Carta”).

41. A este respecto, procede señalar que el artículo 8, apartado 1, de la Carta declara que

“toda persona tiene derecho a la protección de los datos de carácter personal que le conciernan”. Este derecho fundamental se halla íntimamente ligado al derecho al respeto de la vida privada, consagrado en el artículo 7 de dicha Carta (sentencia de 9 de noviembre de 2010, Volker und Markus Schecke y Eifert, C-92/09 y C-93/09, Rec. p. 1-0000, apartado 47).

42. Según la jurisprudencia del Tribunal de Justicia, el respeto del derecho a (a vida privada en lo que respecta al tratamiento de los datos de carácter personal, reconocido por los artículos 7 y 8 de la Carta, se aplica a toda Información sobre una persona física identificada o identificable (véase la sentencia Volker und Markus Schecke y Eifert, antes citada, apartado 52). No obstante, de los artículos 8, apartado 2, y 52, apartado 1, de la Carta se desprende que, bajo ciertas condiciones, pueden introducirse limitaciones a dicho derecho.

43. Además, corresponde a los Estados miembros, a la hora de adaptar su ordenamiento jurídico a la Directiva 95/46, procurar basarse en una interpretación de ésta que les permita garantizar un justo equilibrio entre los distintos derechos y libertades fundamentales protegidos por el ordenamiento jurídico de la Unión (véase, por analogía, la sentencia de 29 de enero de 2008, Promusicae, C-275/06, Rec. p. 1-271, apartado 68).

44. En lo que respecta a la ponderación requerida por el artículo 7, letra f), de la Directiva 95/46, cabe tomar en consideración el hecho de que la gravedad de la lesión de los derechos fundamentales de la persona afectada por dicho tratamiento puede variar en función de que los datos figuren ya, o no, en fuentes accesibles al público.

45. En efecto, a diferencia de los tratamientos de datos que figuran en fuentes accesibles al público, los tratamientos de datos que figuran en fuentes no accesibles al público implican necesariamente que el responsable del tratamiento y, en su caso, el tercero o terceros a quienes se comuniquen los datos dispondrán en lo sucesivo de ciertas informaciones sobre la vida privada del interesado. Esta lesión, más grave, de tos derechos del interesado consagrados en los artículos 7 y 8 de la Carta debe ser apreciada en su justo valor, contrapesándola con el Interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos.

46. A este respecto, procede subrayar que nada se opone a que, en ejercicio del margen de apreciación que les confiere el artículo 5 de la Directiva 95/46, los Estados miembros establezcan los principios que deben regir dicha ponderación.

47. No obstante, si una normativa nacional excluye la posibilidad de tratar determinadas categorías de datos personales, estableciendo con carácter definitivo el resultado de la ponderación de los derechos e intereses en conflicto respecto de tales categorías, sin permitir un resultado diferente en atención a las circunstancias particulares de cada caso concreto, no se trata ya de una precisión en el sentido del citado artículo 5.

48. Por lo tanto, sin perjuicio del artículo 8 de la Directiva 95/46, relativo a! tratamiento de determinadas categorías particulares de datos, disposición que no se discute en el litigio principal, el artículo 7, letra f), de dicha Directiva se opone a que un Estado miembro excluya de forma categórica y generalizada la posibilidad de someter a un tratamiento de datos determinadas categorías de datos personales, sin permitir ponderar los derechos e intereses en conflicto en cada caso concreto.

49. Habida cuenta de estas consideraciones, procede responder a la primera cuestión que el artículo 7, letra f), de la Directiva 95/46 debe Interpretarse en el sentido de que se opone a una normativa nacional que, para permitir el tratamiento de datos personales necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, exige, en el caso de que no exista consentimiento del interesado, no sólo que se respeten los derechos y libertades fundamentales de éste, sino además que dichos datos figuren en fuentes accesibles al público, excluyendo así de forma categórica y generalizada todo tratamiento de datos que no figuren en tales fuentes.

Sobre la segunda cuestión

50. Mediante su segunda cuestión, el órgano jurisdiccional remitente pregunta, en lo sustancial, si el artículo 7, letra f), de la Directiva 95/46 tiene efecto directo.

51. A este respecto procede recordar que, según reiterada jurisprudencia del Tribunal de Justicia, siempre que las disposiciones de una directiva resulten ser, desde el punto de vista de su contenido, incondicionales y suficientemente precisas, los particulares podrán invocarlas frente al Estado, en particular cuando éste no haya adaptado el Derecho nacional a la Directiva dentro del plazo señalado o cuando haya procedido a una adaptación Incorrecta (véase la sentencia de 3 de marzo de 2011, Auto Nikolovi, C-203/10, Rea p. I-OOOO, apartado 61 y jurisprudencia que se cita).

52. Resulta obligado hacer constar que el artículo 7, letra f), de la Directiva 95/46 es una disposición suficientemente precisa para poder ser invocada por un particular y aplicada por los órganos jurisdiccionales nacionales. Además, si bien no puede negarse que la Directiva 95/46 confiere a los Estados miembros un margen de apreciación más o menos grande para la aplicación de algunas de sus disposiciones, el citado artículo 7, letra f), enuncia, por su parte, una obligación incondicional (véase, por analogía, la sentencia Osterreichischer Rundfunk y otros, antes citada, apartado 100).

53. El empleo de la expresión “siempre que” en el propio texto del artículo 7, letra f), de la Directiva 95/46 no tiene entidad suficiente para poner en entredicho, por sí solo, el carácter incondicional de dicha disposición, en el sentido de la referida jurisprudencia.

54. En efecto, con esta expresión se pretende establecer uno de los dos requisitos acumulativos formulados en el artículo 7, letra f), de la Directiva 95/46, al cumplimiento de los cuales queda supeditada la posibilidad de tratar datos de carácter personal sin el consentimiento del interesado. Como dicho requisito esté definido, no priva al citado artículo 7, letra f), de su carácter preciso e incondicional.

55. Por lo tanto, procede responder a la segunda cuestión que el artículo 7, letra f), de la Directiva 95/46 tiene efecto directo.

Costas

56. Dado que el procedimiento tiene, para fas partes del litigio principal, el carácter de un incidente promovido ante el órgano jurisdiccional nacional, corresponde a éste resolver sobre las costas. Los gastos efectuados por quienes, no siendo partes del litigio principal, han presentado observaciones ante el Tribunal de Justicia no pueden ser objeto de reembolso.

En virtud de todo lo expuesto, el Tribunal de Justicia (Sala Tercera) declara:

1). El artículo 7, letra f), de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y ala libre circulación de estos datos, debe interpretarse en el sentido de que se opone a una normativa nacional que, para permitir el tratamiento de datos personales necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, exige, en el caso de que no exista consentimiento del interesado, no sólo que se respeten los derechos y libertades fundamentales de éste, sino además que dichos datos figuren en fuentes accesibles al público, excluyendo así de forma categórica y generalizada todo tratamiento de datos que no figuren en tales fuentes.

2). El artículo 7, letra f), de la Directiva 95/46 tiene efecto directo.

Firmas"

DÉCIMO,- Por providencia de 1 de diciembre de 2011 se da traslado de la anterior sentencia a las partes personadas para que aleguen lo que a su derecho convenga, por término de diez días, evacuando dicho traslado, dentro del término legal, el Procurador don Manuel Lanchares Perlado, en nombre y representación de la Federación Española de Comercio Electrónico y Marketing Directo, mediante escrito en el que suplicaba que "... se dicte Sentencia por la que; a) Declare la nulidad del artículo 10.2.b) del Real Decreto 1720/2007, por ser contraria al artículo 7, letra f), de la Directiva 95/46. b) Declare la nulidad del artículo 6.2 de la Ley Orgánica 15/1999 por ser contraria al artículo 7, letra f) de la Directiva 95/46, o subsidiariamente declare su inaplicabilidad, haciendo constar expresamente a la administración española que dichos artículos son contrarios al derecho comunitario", y por el Abogado del Estado, en el nombre y representación que ostenta, oponiéndose a la solicitud de nulidad de dicho artículos.

DECIMOPRIMERO.- Por resolución de 11 de enero de 2012 se señaló para deliberación y fallo la audiencia del día UNO DE FEBRERO DE DOS MIL DOCE, en cuyo acto ha tenido lugar su celebración.

Siendo Ponente el Excmo. Sr. D. JUAN CARLOS TRILLO ALONSO, Magistrado de la Sección

FUNDAMENTOS DE DERECHO

PRIMERO.- En consideración a lo expresado en los antecedentes de hecho, las únicas cuestiones que quedan por resolver son las relativas a la pretendida declaración de nulidad de los artículos 10.2.b) del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y 6.2 de la indicada Ley Orgánica, o, a la también instada subsidiariamente declaración de inaplicabilidad de dicho precepto legal, con expresa mención de que dichos artículos son contrarios al derecho comunitario (suplico del escrito presentado por la recurrente en el trámite de alegaciones, conferido por providencia de 1 de diciembre de 2.011).

En efecto, resuelto por sentencia de 15 de julio de 2010, dictada en los presentes autos, la impugnación de los demás artículos que en el suplico de! escrito de demanda se cuestionaban como conformes a derecho y se instaba su nulidad, queda ahora por resolver la también demandada en aquel suplico declaración de nulidad de los apartados 2 a) y 2 b), del artículo 10 del citado Reglamento, así como la petición de que se declare la nulidad del artículo 6.2 de (a Ley Orgánica 15/99 o, subsidiariamente, su inaplicabilidad, adicionada por la recurrente, conforme ya vimos, en el suplico del escrito presentado con ocasión del trámite de alegaciones conferido por providencia de 1 de diciembre de 2.011.

SEGUNDO.- La petición de declaración de nulidad que del artículo 6.2 de la Ley Orgánica 15/99 formula la recurrente en el suplico del escrito presentado con ocasión del trámite de alegaciones conferido por providencia de 1 de diciembre de 2011, o la también subsidiaria que en él se insta, de declaración de inaplicabilidad de dicho precepto, no solo no repara en que la concreción de los temas de debate viene determinada por los escritos rectores de los autos en cuanto delimitadores de la litis, en la que la discusión giró exclusivamente en torno a la contradicción de los apartados 2 a) y 2 b) del artículo 10 del Reglamento con el artículo 7 de la Directiva y en que la inaplicabilidad del referido precepto legal habrá de plantearse en su caso ante un acto de aplicación, sino también en que esta jurisdicción, conforme resulta del artículo 1.1 de su Ley Reguladora, no extiende su conocimiento a disposiciones con rango de ley.

TERCERO.- Centrado nuestro análisis, por razones de congruencia con el suplico del escrito de demanda, en si el artículo 10.2 a) y b) del Real Decreto 1720/2007 es o no conforme a derecho, y ello, también por razones de congruencia con la fundamentación de dicho escrito rector, en consideración a si los requisitos que se contemplan en la indicada norma reglamentaria como legitimadora del tratamiento o cesión de datos excede de lo previsto en el artículo 7 de la Directiva 95/48/CE, parece oportuno recordar, como punto de partida del análisis de mención, lo siguiente:

1.- El artículo 7 de la Directiva ordena a los Estados miembros que dispongan que el tratamiento de datos personales solo puede efectuarse cuando concurra alguno de los supuestos previstos en los apartados que refiere. Dice así el artículo:

'los Estados miembros dispondrán que el tratamiento de datos personales sólo pueda efectuarse si:

a) el interesado ha dado su consentimiento de forma inequívoca,

b) es necesario para la ejecución de un contrato en el que el interesado sea parte o para la aplicación de medidas precontractuales adoptadas a petición del interesado, o

c) es necesario para el cumplimiento de una obligación jurídica a la que esté sujeto el responsable del tratamiento, o

d) es necesario para proteger el interés vital del interesado, o

e) es necesario para el cumplimiento de una misión de interés público o inherente al ejercicio del poder público conferido al responsable del tratamiento o aun tercero a quien se comuniquen los datos, o

f) es necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, siempre que no prevalezca el interés o los derechos y libertades fundamentales del interesado que requieran protección con arreglo al apartado 1 del artículo 1 de la presente Directiva".

2.- El artículo 10 del Reglamento contempla aquellos supuestos que legitiman el tratamiento o cesión de Sos datos, previendo en su apartado 1, con la categoría de regia general, aquel en que el tratamiento o cesión es consentido con anterioridad por el interesado, y en el apartado 2, letras a) y b), excepciones a esa regia general del consentimiento previo, en los términos siguientes:

"2. No obstante, seré posible el tratamiento o la cesión de los datos de carácter personal sin necesidad del consentimiento del interesado cuando:

a) Lo autorice una norma con rango de ley o una norma de derecho comunitario y, en particular, cuando concurra uno de los supuestos siguientes:

El tratamiento o la cesión tengan por objeto la satisfacción de un interés legitimo del responsable del tratamiento o del cesionario amparado por dichas normas, siempre que no prevalezca el interés o los derechos y libertades fundamentales de los interesados previstos en el artículo 1 de la Ley Orgánica 15/1999, de 13 de diciembre.

El tratamiento o la cesión de los datos sena necesarios para que el responsable del tratamiento cumpla un deber que te imponga una de dichas normas.

b) Los datos objeto de tratamiento o de cesión figuren en fuentes accesibles al público y el responsable del fichero, o el tercero a quien se comunique los datos, tenga un interés legítimo para su tratamiento o conocimiento, siempre que no se vulneren ¡os derechos y libertades fundamentales del interesado.

No obstante, ¡as Administraciones públicas sólo podrán comunicar al amparo de este apartado los datos recogidos de fuentes accesibles al público a responsables de ficheros de titularidad privada cuando se encuentren autorizadas para ello por una norma con rango de ley".

CUARTO.- Sosteniéndose en el escrito de demanda que ni el artículo 6 ni el artículo 11 de la Ley Orgánica de Protección de Datos de Carácter Personal han acertado a transponer correctamente el artículo 7 f) de la Directiva, y que tampoco lo hace el artículo 10, apartados 2 a) y b) del Reglamento, y ello con fundamento en la consideración de que el interés legítimo del responsable es por si mismo título habilitante sin necesidad del consentimiento del interesado, y en que la exigencia en el artículo 10.2.a), supuesto primero, de que el interés esté amparado en una norma con rango de Ley o una norma de derecho comunitario, y en el artículo 10.2 b), de que los datos que vayan a tratarse para un interés legítimo del responsable figuren en fuentes accesibles al público, supone adicionar unos requisitos a la previsión del artículo 7 f) de la Directiva, ante la duda que suscitó si la exigencia reglamentaria de que los datos figuren en fuentes accesibles al público suponía una vulneración por el estado español de esa norma de derecho comunitario, por Auto de 15 de julio de 2010, tal como recogimos en el sexto antecedente de hecho, decidimos plantear ante el Tribunal de Justicia de las Comunidades Europeas, con suspensión del procedimiento, única y exclusivamente respecto de la impugnación del artículo 10, apartados 2.a) y b) del Reglamento, dos cuestiones prejudiciales del siguiente tenor:

1a) “¿Debe interpretarse el artículo 7, letra f), de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, en el sentido de que se opone a una normativa nacional que, no mediando consentimiento del afectado y para permitir el tratamiento de sus datos de carácter personal que resulte necesario para satisfacer un interés legítimo del responsable o de los terceros a los que se vayan a comunicar, exige además de que no se lesionen los derechos y libertades fundamentales de aquel que los datos consten en fuentes accesibles al público?”

2o) “¿Concurren en el mencionado artículo 7, letra f), las condiciones que exige la jurisprudencia del Tribunal de Justicia de la Unión Europea para atribuirle efecto directo?”

QUINTO.- Resueltas las cuestiones prejudiciales por Sentencia de 24 de noviembre de 2011 del Tribunal de Justicia de las Comunidades Europeas, al declarar que el artículo 7, letra f) de la Directiva "... debe interpretarse en el sentido de que se opone a una normativa nacional que, para permitir el tratamiento de datos personales necesarios para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, exige, en el caso de que no exista el consentimiento del interesado, no sólo que se respeten ¡os derechos y libertades fundamentales de éste, sino además que dichos datos figuren en fuentes accesibles al público, excluyendo así, de forma categórica y generalizada, todo tratamiento de datos que no figuren en tales fuentes" y que dicho artículo "... tiene efecto directo", procede que ahora nos pronunciemos sobre la impugnación de los apartados 2 a), supuesto primero, y b) del artículo 10 del Reglamento, imprejuzgados en la sentencia de 15 de julio de 2010.

SEXTO.- En cuanto a la impugnación del artículo 10.2 a), supuesto primero, en el que se prevé como excepción al consentimiento del interesado para el tratamiento o la cesión de datos de carácter personal el que lo autorice una norma con rango de ley o una norma de derecho comunitario, advierte el Abogado del Estado y está en lo cierto, que en efecto este Tribunal no incluyó tal extremo en las cuestiones prejudiciales planteadas.

La razón para ello es que no se observó entonces, ni se observa ahora, confrontación entre la norma reglamentaria y la comunitaria. El que la reglamentaria establezca como excepción a la necesidad del consentimiento del interesado aquellos supuestos en que el tratamiento o la cesión están autorizados con una norma con rango de ley o una norma de derecho comunitario, ninguna adición limitativa supone con respecto a la regulación comunitaria como parece entender la recurrente.

No deja de ser significativo que la recurrente, en el escrito presentado en el trámite conferido por providencia de 1 de diciembre de 2011, limite en el suplico sus pretensiones impugnatorias con respecto al artículo 10.1 a).

Podría observarse una adición limitativa si se entendiera que la previsión del apartado 2 del artículo 10 exige, a falta de consentimiento del interesado, que se den los supuestos contemplados en las letras a) y b) de dicho apartado, esto es, que si no concurre la autorización de una norma con rango de ley o una norma de derecho comunitario, no está legitimado el tratamiento o cesión, aún cuando concurrieren los requisitos exigidos en el apartado b), pero como no es esa la interpretación que debe darse al precepto de mención, en cuanto claramente recoge en su apartados a) y b) dos supuestos diferenciados que por si solos legitiman el tratamiento o cesión sin necesidad del consentimiento del interesado, lejos de apreciarse un criterio restrictivo en la norma reglamentaria con respecto a la comunitaria, lo que se aprecia es la previsión en el Reglamento de un supuesto habilitador no expresamente previsto en la norma comunitaria.

También podría observarse una adición limitativa si la ley nacional habilitadora estableciera condiciones a los supuestos previstos en el artículo 7 de la Directiva, pero se comprenderá que no es ahora el momento de considerar en abstracto tal posibilidad, en todo caso siempre superable por la aplicación directa del referido artículo 7.

Lo expuesto justifica el rechazo a la impugnación del artículo 10.2 a), supuesto primero.

SÉPTIMO,- Mayores dificultades ofrece el pronunciamiento que se nos pide sobre la conformidad o no a derecho del artículo 10.2 b) del Reglamento.

No cuestionándose la primacía del derecho comunitario, fundamentada en su naturaleza específica original (Sentencia Costa c. Enol), ni el que la declaración que de efecto directo del artículo 7, letra f) de la Directiva realiza el Tribunal de Justicia supone que produce efectos jurídicos inmediatos sin necesidad de normas nacionales para su aplicación, y que por ello puede hacerse valer ante las autoridades administrativas y judiciales cuando se observe su trasgresión, es claro que la conformidad a derecho de la norma reglamentaria que examinamos no puede defenderse, como hace la Abogacía del Estado, con apoyo en que su texto es mero desarrollo armónico del artículo 6.2 de la Ley Orgánica 15/1999 que excepciona de la necesidad del consentimiento del interesado, previsto en el apartado 1, como regla general, para el tratamiento de datos de carácter personal, entre otros supuestos, cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el tercero a quien se le comuniquen los datos, siempre que no se vulneren los derechos fundamentales del interesado.

Tampoco ofrece duda que la redacción del artículo 10.2 b) del Reglamento difiere de la del artículo 7.f) de la Directiva. Mientras que en este último artículo, siguiendo un sistema de lista, se establecen aquellos supuestos que los Estados miembros han de tener en cuenta para autorizar el tratamiento de datos personales, refiriéndose en el apartado f) a aquel en el que tratamiento es necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, sin otro condicionamiento que el de la prevalecía del interés o de los derechos y libertades fundamentales del interesado que requieren protección con arreglo al apartado 1 del artículo 1 de la Directiva, en el artículo 10.2b) del Reglamento se contempla, como excepción a la regla general que contiene el apartado 1, a saber, la necesidad del consentimiento previo del interesado para el tratamiento o cesión de los datos de carácter personal, que los datos figuren en fuentes accesibles al público y el responsable del fichero, o e! tercero a quien se comuniquen los datos, tenga un interés legítimo para su tratamiento o conocimiento, siempre que no se vulneren los derechos y libertades fundamentales del interesado.

Con independencia de la distinta técnica normativa seguida en el artículo 7 de fa Directiva y en el artículo 10 del Reglamento, circunstancia a la que la recurrente, en el recurso 23/08, en el que también se impugnan los apartados a) y b) del artículo 10.1, concede un valor decisorio al considerarla como suficiente para el acogimiento de la impugnación del precepto reglamentario, bajo el entendimiento de que las excepciones deben ser tratadas de forma restrictiva, esto es, en atención a una interpretación futura por los Tribunales y por la Agencia Española de Protección de Datos que, obviamente, debe realizarse a la luz del artículo 7 de la Directiva, sí procede resaltar que la mención en el apartado 2 b) del reglamentario a que los datos objeto de tratamiento o cesión figuren en fuentes accesibles al público, no se contiene en el apartado f) de la norma comunitaria.

Sobre ello se pronunció el Tribunal de Justicia en el sentido ya recogido en los antecedentes de hecho y que ahora, por su relevancia, reproducimos: "El artículo 7, letra f), de la Directiva 95/46/CE de! Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, debe interpretarse en el sentido de que se opone a una normativa nacional que, para permitir el tratamiento de datos personales necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, exige, en el caso de que no exista consentimiento del interesado, no sólo que se respeten los derechos y libertades fundamentales de éste, sino además que dichos datos figuren en fuentes accesibles al público, excluyendo así de forma categórica y generalizada todo tratamiento de datos que no figuren en tales fuentes".

Pues bien, a la vista del pronunciamiento del Tribunal de Justicia, necesariamente nuestra solución no puede ser otra que la de estimación de la impugnación de dicho precepto, sin que constituyan obstáculo las alegaciones del Abogado del Estado, quien afirma que la inclusión en el fallo del Tribunal de Justicia de la frase "... excluyendo así de forma categórica y generalizada todo tratamiento de datos que no figuren en tales fuentes", matiza el alcance de la conclusión que precede en el sentido de que la contradicción con el derecho de la Unión únicamente tendrá lugar solo cuando la exigencia de que los datos figuren en fuentes accesibles al público excluya de forma categórica y generalizada todo tratamiento de datos que no figuren en tales fuentes.

Y es que el alcance condicionado que del pronunciamiento del Tribunal de Justicia propugna en definitiva el Abogado del Estado, es fruto de una interpretación que esta Sala no comparte.

Lo que expresa el Tribunal es que con la exigencia de que los datos figuren en fuentes accesibles al público se excluye de forma categórica y generalizada todo tratamiento de datos que no figuren en tales fuentes, y declara tal proceder contrario al artículo 7 f) de la Directiva.

No otra es la interpretación que permite la literalidad del pronunciamiento del Tribunal de Justicia, conclusión sin duda reforzada cuando tras expresar en el fundamento 38 que "Dicho artículo 7, letra f), establece dos requisitos acumulativos para que un tratamiento de datos personales sea lícito, a saber, por una parte, que ese tratamiento de datos personales sea necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen ¡os datos, y, por otra parte, que no prevalezcan los derechos y libertades fundamentales del interesado", dice en el 39 que "De ello se sigue que, en lo que respecta al tratamiento de datos personales, el artículo 7, letra f), de la Directiva 95/46 se opone a toda normativa nacional que, en el caso de que no exista consentimiento del interesado, imponga exigencias adicionales que se sumen a los dos requisitos acumulativos mencionados en el apartado anterior".

Cierto es que el fundamento 40 de la sentencia refiere que el requisito de la no prevalencia del interés o de los derechos y libertades del interesado exige una ponderación de los derechos e intereses en conflicto que habrá de estar a las circunstancias concretas de cada caso; cierto es también que en el 43 alude a que los Estados miembros, a la hora de adaptar su ordenamiento jurídico a la Directiva, deben procurar basarse en una interpretación de ésta que les permita garantizar un justo equilibrio entre los intereses en conflicto; cierto es igualmente que en el 45, a efectos ponderativos, se diferencia entre tratamiento de datos que figuran en fuentes accesibles al público y aquellos que no figuran, y que en el 46 se reconoce a los Estados miembros, en el margen de apreciación que les confiere el artículo 5 de la Directiva, que los Estados miembros establezcan los principios que deben regir la ponderación. Pero, como a continuación veremos, tales consideraciones del Tribunal de Justicia no empecen a lo precedentemente dicho.

La ponderación de los derechos o intereses en conflicto constituye un principio fundamental en la materia. Al concepto de ponderación se refiere el artículo 7 f) de la Directiva cuando hace mención a la prevalencia de intereses, derechos o libertades, pero tal concepto no puede extralimitarse, como pretende el Abogado del Estado con sus alegaciones relativas a los apartados mencionados de la sentencia, cuando en definitiva viene a sostener que el que los datos figuren en fuentes accesibles al público no actúa como requisito y sí como elemento de ponderación.

El fundamento 47 de la sentencia, matizando "ad cautelam" el reconocimiento que en el 46 se realiza a que los Estados miembros establezcan los principios que deban regir la ponderación, razona, a modo de pórtico de la conclusión final alcanzada, que "No obstante, si una normativa nacional excluye la posibilidad de tratar determinadas categorías de datos personales, estableciendo con carácter definitivo el resultado de la ponderación de los derechos e intereses en conflicto respecto de tales categorías, sin permitir un resultado diferente en atención a las circunstancias particulares de cada caso concreto, no se trata ya de una precisión en el sentido del citado artículo 5".

La circunstancia de que los datos figuren en fuentes accesibles al público, referenciada en el artículo 10.2 b) de! Reglamento, no actúa como elemento de ponderación. Ninguna dificultad de redacción habría para darle ese carácter. Actúa, y a ello se refiere la sentencia en su fundamento 47, como requisito habilitante que, por adicionarse a la previsión de! artículo 7 f) de la Directiva, debe declararse nulo. Es de observar el uso de la conjunción copulativa "y" entre la exigencia de que los datos figuren en fuentes accesibles al público y la del interés legítimo del responsable del tratamiento o del tercero o terceros a quienes se les comuniquen los datos.

OCTAVO.- No se aprecian motivos para hacer un especia! pronunciamiento de condena en costas.

FALLAMOS

Extender el pronunciamiento de estimación del recurso contencioso administrativo interpuesto por la representación procesal de la Federación de Comercio Electrónico y Marketing Directo, contra Real Decreto 1720/2007, de 21 de diciembre, que realizamos en sentencia de 15 de julio de 2010, al artículo 10.2.b) del Real Decreto de mención, que anulamos por disconforme a derecho, sin hacer especial condena en costas.

Así, por esta sentencia, lo pronunciamos, mandamos y firmamos

PUBLICACIÓN.- Leída y publicada ha sido la anterior sentencia por el Excmo, Sr. Magistrado Ponente D. Juan Carlos Trillo Alonso, estando la Sala celebrando audiencia pública en el mismo día de su fecha, de lo que, como Secretario, certifico.

Comentarios

Escribir un comentario

Para poder opinar es necesario el registro. Si ya es usuario registrado, escriba su nombre de usuario y contraseña:

 

Si desea registrase en www.iustel.com y poder escribir un comentario, puede hacerlo a través el siguiente enlace: Registrarme en www.iustel.com.

  • Iustel no es responsable de los comentarios escritos por los usuarios.
  • No está permitido verter comentarios contrarios a las leyes españolas o injuriantes.
  • Reservado el derecho a eliminar los comentarios que consideremos fuera de tema.

Revista El Cronista:

Revista El Cronista del Estado Social y Democrático de Derecho

Lo más leído:

Secciones:

Boletines Oficiales:

 

© PORTALDERECHO 2001-2017

Icono de conformidad con el Nivel Doble-A, de las Directrices de Accesibilidad para el Contenido Web 1.0 del W3C-WAI: abre una nueva ventana