Un ciudadano solicitó a Österreichische Post, el principal operador de servicios postales y logísticos de Austria, que le facilitara la identidad de los destinatarios a los que había comunicado sus datos personales.
Para ello se basó en el Reglamento General de Protección de Datos de la UE (el RGPD). Dicho Reglamento establece que el interesado tiene derecho a obtener del responsable del tratamiento información sobre los destinatarios o las categorías de destinatarios a los que hayan sido o vayan a ser comunicados sus datos personales.
En respuesta a esta solicitud, Österreichische Post se limitó a señalar que utilizaba los datos, dentro de los límites legales, en el ejercicio de su actividad como editorial de guías telefónicas y que ofrecía estos datos personales a clientes comerciales con fines de marketing. El ciudadano demandó entonces a Österreichische Post ante los tribunales austriacos.
Durante el procedimiento judicial, Österreichische Post informó además al ciudadano de que sus datos personales habían sido transmitidos a clientes, entre los que se encontraban anunciantes del sector de la venta por correspondencia y del comercio físico, empresas informáticas, editores de directorios y asociaciones como organizaciones caritativas, organizaciones no gubernamentales (ONG) o partidos políticos.
El Oberster Gerichtshof (Tribunal Supremo de lo Civil y Penal, Austria), que conoce del asunto en última instancia, desea saber si el RGPD concede al responsable del tratamiento la libertad de elegir si comunica la identidad concreta de los destinatarios o solo las categorías de destinatarios, o si ofrece al interesado el derecho a conocer su identidad concreta.
En su sentencia de hoy, el Tribunal de Justicia responde que, en el supuesto de que esos datos hayan sido o vayan a ser comunicados a destinatarios, el responsable del tratamiento está obligado a facilitar al interesado, cuando lo solicite, la identidad de esos destinatarios. Solo cuando (aún) no sea posible identificar a esos destinatarios puede aquel limitarse a indicar únicamente las categorías de destinatarios de que se trate. Lo mismo sucede cuando el responsable demuestre que la solicitud es manifiestamente infundada o excesiva.
El Tribunal de Justicia subraya que este derecho de acceso del interesado es necesario para permitirle ejercer otros derechos reconocidos por el RGDP, esto es, el derecho de rectificación, el derecho de supresión (“derecho al olvido”), el derecho a la limitación del tratamiento, el derecho de oposición al tratamiento, así como el derecho a recurrir por los daños sufridos.
SENTENCIA DEL TRIBUNAL DE JUSTICIA (Sala Primera)
de 12 de enero de 2023 (*)
“Procedimiento prejudicial - Protección de las personas físicas en lo que respecta al tratamiento de datos personales - Reglamento (UE) 2016/679 - Artículo 15, apartado 1, letra c) - Derecho de acceso del interesado a sus datos - Información sobre los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales - Limitaciones”
En el asunto C-154/21,
que tiene por objeto una petición de decisión prejudicial planteada, con arreglo al artículo 267 TFUE, por el Oberster Gerichtshof (Tribunal Supremo de lo Civil y Penal, Austria), mediante resolución de 18 de febrero de 2021, recibida en el Tribunal de Justicia el 9 de marzo de 2021, en el procedimiento entre
RW
y
Österreichische Post AG,
EL TRIBUNAL DE JUSTICIA (Sala Primera),
integrado por el Sr. A. Arabadjiev, Presidente de Sala, el Sr. L. Bay Larsen, Vicepresidente del Tribunal de Justicia, en funciones de Juez de la Sala Primera, y los Sres. P. G. Xuereb y A. Kumin y la Sra. I. Ziemele (Ponente), Jueces;
Abogado General: Sr. G. Pitruzzella;
Secretario: Sr. A. Calot Escobar;
habiendo considerado los escritos obrantes en autos;
consideradas las observaciones presentadas:
- en nombre de RW, por el Sr. R. Haupt, Rechtsanwalt;
- en nombre de Österreichische Post AG, por el Sr. R. Marko, Rechtsanwalt;
- en nombre del Gobierno austriaco, por los Sres. G. Kunnert y A. Posch y por la Sra. J. Schmoll, en calidad de agentes;
- en nombre del Gobierno checo, por los Sres. M. Smolek y J. Vláčil, en calidad de agentes;
- en nombre del Gobierno italiano, por la Sra. G. Palmieri, en calidad de agente, asistida por la Sra. M. Russo, avvocato dello Stato;
- en nombre del Gobierno letón, por las Sras. J. Davidoviča, I. Hūna y K. Pommere, en calidad de agentes;
- en nombre del Gobierno rumano, por las Sras. L.-E. Baţagoi, E. Gane y A. Wellman, en calidad de agentes;
- en nombre del Gobierno sueco, por la Sra. H. Eklinder, el Sr. J. Lundberg, las Sras. C. Meyer-Seitz, A. M. Runeskjöld, M. Salborn Hodgson, R. Shahsavan Eriksson y H. Shev y el Sr. O. Simonsson, en calidad de agentes;
- en nombre de la Comisión Europea, por los Sres. F. Erlbacher y H. Kranenborg, en calidad de agentes;
oídas las conclusiones del Abogado General, presentadas en audiencia pública el 9 de junio de 2022;
dicta la siguiente
Sentencia
1 La petición de decisión prejudicial tiene por objeto la interpretación del artículo 15, apartado 1, letra c), del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO 2016, L 119, p. 1, y corrección de errores en DO 2021, L 074, p. 35; en lo sucesivo, “RGPD”).
2 Esta petición se ha presentado en el contexto de un litigio entre RW y Österreichische Post AG (en lo sucesivo, “Österreichische Post”) en relación con una solicitud de acceso a datos personales en virtud del artículo 15, apartado 1, letra c), del RGPD.
Marco jurídico
3 Los considerandos 4, 9, 10, 39, 63 y 74 del RGPD están redactados como sigue:
“(4) [] El derecho a la protección de los datos personales no es un derecho absoluto sino que debe considerarse en relación con su función en la sociedad y mantener el equilibrio con otros derechos fundamentales, con arreglo al principio de proporcionalidad. []
[]
(9) Aunque los objetivos y principios de la Directiva 95/46/CE [del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (DO 1995, L 281, p. 31)] siguen siendo válidos, ello no ha impedido que la protección de los datos en el territorio de la Unión [Europea] se aplique de manera fragmentada, ni la inseguridad jurídica ni una percepción generalizada entre la opinión pública de que existen riesgos importantes para la protección de las personas físicas, en particular en relación con las actividades en línea. Las diferencias en el nivel de protección de los derechos y libertades de las personas físicas, en particular del derecho a la protección de los datos de carácter personal, en lo que respecta al tratamiento de dichos datos en los Estados miembros pueden impedir la libre circulación de los datos de carácter personal en la Unión. Estas diferencias pueden constituir, por lo tanto, un obstáculo al ejercicio de las actividades económicas a nivel de la Unión, falsear la competencia e impedir que las autoridades cumplan las funciones que les incumben en virtud del Derecho de la Unión. Esta diferencia en los niveles de protección se debe a la existencia de divergencias en la ejecución y aplicación de la Directiva 95/46/CE.
10) Para garantizar un nivel uniforme y elevado de protección de las personas físicas y eliminar los obstáculos a la circulación de datos personales dentro de la Unión, el nivel de protección de los derechos y libertades de las personas físicas por lo que se refiere al tratamiento de dichos datos debe ser equivalente en todos los Estados miembros. []
[]
(39) Todo tratamiento de datos personales debe ser lícito y leal. Para las personas físicas debe quedar totalmente claro que se están recogiendo, utilizando, consultando o tratando de otra manera datos personales que les conciernen, así como la medida en que dichos datos son o serán tratados. El principio de transparencia exige que toda información y comunicación relativa al tratamiento de dichos datos sea fácilmente accesible y fácil de entender, y que se utilice un lenguaje sencillo y claro. []
[]
(63) Los interesados deben tener derecho a acceder a los datos personales recogidos que le conciernan y a ejercer dicho derecho con facilidad y a intervalos razonables, con el fin de conocer y verificar la licitud del tratamiento. [] Todo interesado debe, por tanto, tener el derecho a conocer y a que se le comuniquen, en particular, los fines para los que se tratan los datos personales, su plazo de tratamiento, sus destinatarios, la lógica implícita en todo tratamiento automático de datos personales y, por lo menos cuando se base en la elaboración de perfiles, las consecuencias de dicho tratamiento. [] Este derecho no debe afectar negativamente a los derechos y libertades de terceros, incluidos los secretos comerciales o la propiedad intelectual y, en particular, los derechos de propiedad intelectual que protegen programas informáticos. No obstante, estas consideraciones no deben tener como resultado la negativa a prestar toda la información al interesado. []
[]
(74) Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como el riesgo para los derechos y libertades de las personas físicas.”
4 El artículo 1 del RGPD, titulado “Objeto”, dispone, en su apartado 2:
“El presente Reglamento protege los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales.”
5 El artículo 5 del RGPD, titulado “Principios relativos al tratamiento”, establece:
“1. Los datos personales serán:
a) tratados de manera lícita, leal y transparente en relación con el interesado (“licitud, lealtad y transparencia”);
[]
2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (“responsabilidad proactiva”).”
6 El artículo 12 del RGPD, titulado “Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado”, dispone:
“1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios.
2. El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos en virtud de los artículos 15 a 22. En los casos a que se refiere el artículo 11, apartado 2, el responsable no se negará a actuar a petición del interesado con el fin de ejercer sus derechos en virtud de los artículos 15 a 22, salvo que pueda demostrar que no está en condiciones de identificar al interesado.
[]
5. La información facilitada en virtud de los artículos 13 y 14 así como toda comunicación y cualquier actuación realizada en virtud de los artículos 15 a 22 y 34 serán a título gratuito. Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo, el responsable del tratamiento podrá:
a) cobrar un canon razonable en función de los costes administrativos afrontados para facilitar la información o la comunicación o realizar la actuación solicitada, o
b) negarse a actuar respecto de la solicitud.
El responsable del tratamiento soportará la carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud.
[]”
7 El artículo 13 del RGPD, titulado “Información que deberá facilitarse cuando los datos personales se obtengan del interesado”, establece en su apartado 1 lo siguiente:
“Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
[]
e) los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
[]”.
8 El artículo 14 del RGPD, con la rúbrica “Información que deberá facilitarse cuando los datos personales no se hayan obtenido del interesado”, dispone en su apartado 1:
“Cuando los datos personales no se hayan [obtenido] del interesado, el responsable del tratamiento le facilitará la siguiente información:
[]
e) los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
[]”.
9 A tenor del artículo 15 del RGPD, titulado “Derecho de acceso del interesado”:
“1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
a) los fines del tratamiento;
b) las categorías de datos personales de que se trate;
c) los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales;
d) de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
e) la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
f) el derecho a presentar una reclamación ante una autoridad de control;
g) cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
h) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado.
2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia.
3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común.
4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros.”
10 El artículo 16 del RGPD, titulado “Derecho de rectificación”, dispone:
“El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la rectificación de los datos personales inexactos que le conciernan. Teniendo en cuenta los fines del tratamiento, el interesado tendrá derecho a que se completen los datos personales que sean incompletos, inclusive mediante una declaración adicional.”
11 A tenor del artículo 17 del RGPD, titulado “Derecho de supresión (“el derecho al olvido”)”:
“1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
a) los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
b) el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
c) el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
d) los datos personales hayan sido tratados ilícitamente;
e) los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
f) los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1.
2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos.
[]”
12 El artículo 18 del RGPD, titulado “Derecho a la limitación del tratamiento”, dispone, en su apartado 1:
“El interesado tendrá derecho a obtener del responsable del tratamiento la limitación del tratamiento de los datos cuando se cumpla alguna de las condiciones siguientes:
a) el interesado impugne la exactitud de los datos personales en un plazo que permita al responsable verificar la exactitud de los mismos;
b) el tratamiento sea ilícito y el interesado se oponga a la supresión de los datos personales y solicite en su lugar la limitación de su uso;
c) el responsable ya no necesite los datos personales para los fines del tratamiento, pero el interesado los necesite para la formulación, el ejercicio o la defensa de reclamaciones;
d) el interesado se haya opuesto al tratamiento en virtud del artículo 21, apartado 1, mientras se verifica si los motivos legítimos del responsable prevalecen sobre los del interesado.
[]”
13 El artículo 19 del RGPD tiene el siguiente tenor:
“El responsable del tratamiento comunicará cualquier rectificación o supresión de datos personales o limitación del tratamiento efectuada con arreglo al artículo 16, al artículo 17, apartado 1, y al artículo 18 a cada uno de los destinatarios a los que se hayan comunicado los datos personales, salvo que sea imposible o exija un esfuerzo desproporcionado. El responsable informará al interesado acerca de dichos destinatarios, si este así lo solicita.”
14 Según el artículo 21 del RGPD, titulado “Derecho de oposición”:
“1. El interesado tendrá derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular, a que datos personales que le conciernan sean objeto de un tratamiento basado en lo dispuesto en el artículo 6, apartado 1, letras e) o f), incluida la elaboración de perfiles sobre la base de dichas disposiciones. El responsable del tratamiento dejará de tratar los datos personales, salvo que acredite motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los intereses, los derechos y las libertades del interesado, o para la formulación, el ejercicio o la defensa de reclamaciones.
2. Cuando el tratamiento de datos personales tenga por objeto la mercadotecnia directa, el interesado tendrá derecho a oponerse en todo momento al tratamiento de los datos personales que le conciernan, incluida la elaboración de perfiles en la medida en que esté relacionada con la citada mercadotecnia.
3. Cuando el interesado se oponga al tratamiento con fines de mercadotecnia directa, los datos personales dejarán de ser tratados para dichos fines.
4. A más tardar en el momento de la primera comunicación con el interesado, el derecho indicado en los apartados 1 y 2 será mencionado explícitamente al interesado y será presentado claramente y al margen de cualquier otra información.
5. En el contexto de la utilización de servicios de la sociedad de la información, y no obstante lo dispuesto en la Directiva 2002/58/CE [del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas) (DO 2002, L 201, p. 37)], el interesado podrá ejercer su derecho a oponerse por medios automatizados que apliquen especificaciones técnicas.
6. Cuando los datos personales se traten con fines de investigación científica o histórica o fines estadísticos de conformidad con el artículo 89, apartado 1, el interesado tendrá derecho, por motivos relacionados con su situación particular, a oponerse al tratamiento de datos personales que le conciernan, salvo que sea necesario para el cumplimiento de una misión realizada por razones de interés público.”
15 El artículo 79 del RGPD, titulado “Derecho a la tutela judicial efectiva contra un responsable o encargado del tratamiento”, establece en su apartado 1:
“Sin perjuicio de los recursos administrativos o extrajudiciales disponibles, incluido el derecho a presentar una reclamación ante una autoridad de control en virtud del artículo 77, todo interesado tendrá derecho a la tutela judicial efectiva cuando considere que sus derechos en virtud del presente Reglamento han sido vulnerados como consecuencia de un tratamiento de sus datos personales.”
16 El artículo 82 del RGPD, titulado “Derecho a indemnización y responsabilidad”, dispone en su apartado 1:
“Toda persona que haya sufrido daños y perjuicios materiales o inmateriales como consecuencia de una infracción del presente Reglamento tendrá derecho a recibir del responsable o el encargado del tratamiento una indemnización por los daños y perjuicios sufridos.”
Litigio principal y cuestión prejudicial
17 El 15 de enero de 2019, RW solicitó a Österreichische Post, en virtud del artículo 15 del RGPD, acceso a los datos personales que le concernían que esta conservaba o había conservado en el pasado, así como, en caso de que los datos se hubieran comunicado a terceros, la identidad de esos destinatarios.
18 En respuesta a esta solicitud, Österreichische Post se limitó a señalar que utilizaba los datos, dentro de los límites legales, en el ejercicio de su actividad como editorial de guías telefónicas y que ofrecía estos datos personales a clientes comerciales con fines de marketing. Asimismo, se remitió a un sitio de Internet que ofrecía más información, también relativa a otros fines del tratamiento de datos. Österreichische Post no comunicó a RW la identidad de los destinatarios concretos de los datos.
19 RW demandó a Österreichische Post ante los tribunales austriacos solicitando que se ordenase a esta que le facilitase, en particular, la identidad del destinatario o de los destinatarios a los que se habían comunicado sus datos personales.
20 Durante el procedimiento judicial así iniciado, Österreichische Post informó a RW de que sus datos personales habían sido tratados con fines de marketing y transmitidos a clientes, entre los que se encontraban anunciantes del sector de la venta por correspondencia y del comercio físico, empresas informáticas, editores de directorios y asociaciones como organizaciones caritativas, organizaciones no gubernamentales (ONG) o partidos políticos.
21 Los tribunales de primera instancia y de apelación desestimaron el recurso de RW por considerar que el artículo 15, apartado 1, letra c), del RGPD, en la medida en que se refiere a “los destinatarios o las categorías de destinatarios”, concede al responsable del tratamiento la posibilidad de indicar al interesado únicamente las categorías de destinatarios sin tener que facilitar los nombres de los destinatarios concretos a quienes son transmitidos los datos personales.
22 RW interpuso recurso de casación ante el Oberster Gerichtshof (Tribunal Supremo de lo Civil y Penal, Austria), órgano jurisdiccional remitente.
23 Este órgano jurisdiccional se pregunta sobre la interpretación del artículo 15, apartado 1, letra c), del RGPD, por cuanto el tenor de esta disposición no permite saber claramente si esta concede al interesado el derecho a acceder a la información relativa a los destinatarios concretos de los datos comunicados o si el responsable del tratamiento puede elegir discrecionalmente el modo de dar curso a una solicitud de acceso a la información sobre los destinatarios.
24 Dicho órgano jurisdiccional señala, no obstante, que la ratio legis de la mencionada disposición aboga a favor de la interpretación según la cual el interesado es quien tiene la opción de solicitar información relativa a las categorías de destinatarios o a los destinatarios concretos de sus datos personales. A su juicio, cualquier interpretación contraria menoscabaría gravemente la efectividad de las vías de recurso de que dispone el interesado para proteger sus datos. En su opinión, si se diera a los responsables la posibilidad de optar entre indicar a los interesados los destinatarios concretos o indicar únicamente las categorías de destinatarios, es de temer que, en la práctica, casi ninguno de ellos facilitaría la información relativa a los destinatarios concretos.
25 Además, en opinión del órgano jurisdiccional remitente, a diferencia de los artículos 13, apartado 1, letra e), y 14, apartado 1, letra e), del RGPD, que obligan al responsable del tratamiento a facilitar la información a que estos hacen referencia, el artículo 15, apartado 1, de este Reglamento hace hincapié en el alcance del derecho de acceso del interesado, lo que también parece indicar, según dicho órgano jurisdiccional, que el interesado tiene derecho a elegir entre solicitar información sobre los destinatarios concretos o sobre las categorías de destinatarios.
26 Por último, el órgano jurisdiccional remitente añade que el derecho de acceso establecido en el artículo 15, apartado 1, del RGPD no se refiere únicamente a los datos personales tratados en el presente, sino también a todos los datos tratados en el pasado. A este respecto, señala que las consideraciones expuestas en la sentencia de 7 de mayo de 2009, Rijkeboer (C-553/07, EU:C:2009:293), basadas en la finalidad del derecho de acceso establecido en la Directiva 95/46, pueden transponerse al derecho de acceso contemplado en el artículo 15 del RGPD, máxime cuando de los considerandos 9 y 10 de este Reglamento puede deducirse que el legislador de la Unión no pretendió reducir el nivel de protección en relación con la citada Directiva.
27 En estas circunstancias, el Oberster Gerichtshof (Tribunal Supremo de lo Civil y Penal) decidió suspender el procedimiento y plantear al Tribunal de Justicia la siguiente cuestión prejudicial:
“¿Debe interpretarse el artículo 15, apartado 1, letra c), del [RGPD] en el sentido de que, en el caso de comunicaciones previstas respecto de las que aún no se hayan determinado los destinatarios concretos, el derecho de acceso se limita a la información sobre las categorías de destinatarios, mientras que, en el caso de que los datos ya hayan sido comunicados, el derecho de acceso debe extenderse necesariamente también a la información sobre los destinatarios de esas comunicaciones?”
Sobre la cuestión prejudicial
28 Mediante su cuestión prejudicial, el órgano jurisdiccional remitente pregunta, en esencia, si el artículo 15, apartado 1, letra c), del RGPD debe interpretarse en el sentido de que el derecho de acceso del interesado a los datos personales que le conciernen, establecido en dicha disposición, implica, cuando esos datos hayan sido o vayan a ser comunicados a destinatarios, la obligación del responsable del tratamiento de facilitar a ese interesado la identidad concreta de tales destinatarios.
29 Con carácter preliminar, procede recordar que, según reiterada jurisprudencia, la interpretación de una disposición del Derecho de la Unión requiere tener en cuenta no solo su tenor, sino también el contexto en el que se inscribe, así como los objetivos y la finalidad que persigue el acto del que forma parte (sentencia de 15 de marzo de 2022, Autorité des marchés financiers, C-302/20, EU:C:2022:190, apartado 63). Además, cuando una disposición del Derecho de la Unión pueda ser objeto de varias interpretaciones, deberá darse prioridad a la que permita garantizar su eficacia (sentencia de 7 de marzo de 2018, Cristal Union, C-31/17, EU:C:2018:168, apartado 41 y jurisprudencia citada).
30 Por lo que respecta, en primer lugar, a la redacción del artículo 15, apartado 1, letra c), del RGPD, se debe recordar que esta disposición establece que el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la información relativa a los destinatarios o a las categorías de destinatarios a los que se comunicaron o serán comunicados esos datos personales.
31 A este respecto, procede señalar que los términos “destinatarios” y “categorías de destinatarios” que figuran en la mencionada disposición se utilizan sucesivamente, sin que sea posible deducir un orden de prioridad entre uno y otro.
32 Así pues, es preciso observar que el tenor del artículo 15, apartado 1, letra c), del RGPD no permite determinar, de manera unívoca, si el interesado tiene, en el supuesto de que hayan sido o vayan a ser comunicados datos personales que le conciernen, derecho a ser informado de la identidad concreta de los destinatarios de estos datos.
33 A continuación, por lo que respecta al contexto en el que se inscribe el artículo 15, apartado 1, letra c), del RGPD, es preciso recordar, en primer lugar, que el considerando 63 de este Reglamento establece que el interesado debe tener derecho a conocer y a que se le comunique, en particular, la identidad de los destinatarios de esos datos personales y no precisa que ese derecho pueda limitarse únicamente a las categorías de destinatarios, como señaló el Abogado General en el punto 23 de sus conclusiones.
34 En segundo lugar, también ha de recordarse que, para dar cumplimiento al derecho de acceso, todo tratamiento de datos personales de las personas físicas debe ser conforme con los principios enunciados en el artículo 5 del RGPD (véase, en este sentido, la sentencia de 16 de enero de 2019, Deutsche Post, C-496/17, EU:C:2019:26, apartado 57).
35 Pues bien, entre estos principios figura el principio de transparencia a que se refiere el artículo 5, apartado 1, letra a), del RGPD, que implica, como resulta del considerando 39 de este Reglamento, que el interesado de que se trate disponga de información sobre la forma en la que son tratados sus datos personales y que esa información sea fácilmente accesible y comprensible.
36 En tercer lugar, es preciso señalar, como ha subrayado el Abogado General en el punto 21 de sus conclusiones, que, a diferencia de los artículos 13 y 14 del RGPD, que obligan al responsable del tratamiento a facilitar al interesado la información relativa a las categorías de destinatarios o a los destinatarios concretos de los datos personales que le conciernen, en función de si estos datos se han obtenido o no del interesado, el artículo 15 del RGPD establece un verdadero derecho de acceso en favor del interesado, de modo que este debe tener la posibilidad de elegir entre obtener información sobre los destinatarios específicos a los que los mencionados datos hayan sido o vayan a ser comunicados, cuando sea posible, y obtener información sobre las categorías de destinatarios.
37 En cuarto lugar, el Tribunal de Justicia ya ha declarado que el ejercicio de este derecho de acceso debe permitir al interesado comprobar no solo que los datos personales que le conciernen son exactos, sino también que son tratados lícitamente (véanse, por analogía, las sentencias de 17 de julio de 2014, YS y otros, C-141/12 y C-372/12, EU:C:2014:2081, apartado 44, y de 20 de diciembre de 2017, Nowak, C-434/16, EU:C:2017:994, apartado 57), en concreto, que son comunicados a los destinatarios autorizados (véase, por analogía, la sentencia de 7 de mayo de 2009, Rijkeboer, C-553/07, EU:C:2009:293, apartado 49).
38 En particular, este derecho de acceso es necesario para permitir al interesado ejercer, en su caso, su derecho de rectificación, su derecho de supresión (“derecho al olvido”) y su derecho a la limitación del tratamiento, reconocidos, respectivamente, en los artículos 16, 17 y 18 del RGDP (véanse, por analogía, las sentencias de 17 de julio de 2014, YS y otros, C-141/12 y C-372/12, EU:C:2014:2081, apartado 44, y de 20 de diciembre de 2017, Nowak, C-434/16, EU:C:2017:994, apartado 57), así como su derecho de oposición al tratamiento de sus datos personales, contemplado en el artículo 21 del RGPD, y su derecho a recurrir por los daños sufridos, previsto en los artículos 79 y 82 del RGPD (véase, por analogía la sentencia de 7 de mayo de 2009, Rijkeboer, C-553/07, EU:C:2009:293, apartado 52).
39 Así pues, para garantizar la efectividad de todos los derechos mencionados en el apartado anterior de la presente sentencia, el interesado debe tener, en particular, derecho a ser informado de la identidad de los destinatarios concretos cuando sus datos personales ya hayan sido comunicados.
40 Esta interpretación se ve confirmada, en quinto y último lugar, por la lectura del artículo 19 del RGPD, que establece, en su primera frase, que el responsable del tratamiento comunicará, en principio, a cada uno de los destinatarios a los que se hayan comunicado los datos personales, cualquier rectificación o supresión de datos personales o limitación del tratamiento y, en su segunda frase, que este responsable informará al interesado acerca de dichos destinatarios, si este así lo solicita.
41 De este modo, el artículo 19, segunda frase, del RGPD confiere expresamente al interesado el derecho a ser informado acerca de los destinatarios concretos de los datos que le conciernen por el responsable del tratamiento en el marco de la obligación que este tiene de informar a todos los destinatarios del ejercicio de los derechos de que ese interesado dispone en virtud de los artículos 16, 17, apartado 1, y 18 del RGPD.
42 Del análisis contextual que precede se desprende que el artículo 15, apartado 1, letra c), del RGPD constituye una de las disposiciones que tienen por objeto garantizar, en favor del interesado, la transparencia de los modos de tratamiento de los datos personales, que le permite, como ha señalado el Abogado General en el punto 33 de sus conclusiones, ejercer las prerrogativas previstas, en particular, en los artículos 16 a 19, 21, 79 y 82 del RGPD.
43 Por consiguiente, cabe considerar que la información facilitada al interesado en virtud del derecho de acceso establecido en el artículo 15, apartado 1, letra c), del RGPD debe ser la más exacta posible. En particular, este derecho de acceso implica la posibilidad de que el interesado obtenga del responsable del tratamiento la información sobre los destinatarios concretos a los que se comunicaron o serán comunicados los datos o que, alternativamente, opte por limitarse a solicitar información relativa a las categorías de destinatarios.
44 Por último, por lo que respecta a la finalidad que persigue el RGPD, procede señalar que este Reglamento tiene por objeto, en particular, tal y como se desprende de su considerando 10, garantizar un nivel elevado de protección de las personas físicas dentro de la Unión (sentencia de 6 de octubre de 2020, La Quadrature du Net y otros, C-511/18, C-512/18 y C-520/18, EU:C:2020:791, apartado 207). A este respecto, como ha señalado en esencia el Abogado General en el punto 14 de sus conclusiones, el marco jurídico general creado por el RGPD desarrolla las exigencias derivadas del derecho fundamental a la protección de los datos personales consagrado en el artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea, en particular, las exigencias expresamente previstas en el apartado 2 de dicho artículo (véase, en este sentido, la sentencia de 9 de marzo de 2017, Manni, C-398/15, EU:C:2017:197, apartado 40).
45 Pues bien, este objetivo refuerza la interpretación del artículo 15, apartado 1, del RGPD que figura en el apartado 43 de la presente sentencia.
46 Por consiguiente, del objetivo perseguido por el RGPD también resulta que el interesado tiene derecho a obtener del responsable del tratamiento información sobre los destinatarios concretos a los que hayan sido o vayan a ser comunicados los datos personales que le conciernen.
47 Dicho esto, es preciso subrayar, por último, que, como resulta del considerando 4 del RGPD, el derecho a la protección de los datos personales no es un derecho absoluto. En efecto, este derecho debe considerarse según su función en la sociedad y ponderarse con otros derechos fundamentales, de conformidad con el principio de proporcionalidad, tal como el Tribunal de Justicia reiteró, en esencia, en el apartado 172 de la sentencia de 16 de julio de 2020, Facebook Ireland y Schrems (C-311/18, EU:C:2020:559).
48 Por tanto, cabe admitir que, en determinadas circunstancias, no sea posible facilitar información sobre destinatarios concretos. En consecuencia, el derecho de acceso podrá limitarse a la información sobre las categorías de destinatarios cuando no sea posible comunicar la identidad de los destinatarios concretos, en particular, cuando estos aún no se conozcan.
49 Además, procede recordar que, en virtud del artículo 12, apartado 5, letra b), del RGPD, el responsable del tratamiento puede, de conformidad con el principio de responsabilidad contemplado en el artículo 5, apartado 2, de dicho Reglamento y en su considerando 74, negarse a actuar respecto de las solicitudes del interesado cuando estas sean manifiestamente infundadas o excesivas, si bien se ha precisado que este responsable del tratamiento soporta la carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud.
50 En el presente asunto, de la petición de decisión prejudicial resulta que Österreichische Post denegó la solicitud presentada por RW con arreglo al artículo 15, apartado 1, del RGPD, que tenía por objeto que aquella le facilitara la identidad de los destinatarios a los que había comunicado los datos personales que le concernían. Corresponde al órgano jurisdiccional remitente comprobar si, habida cuenta de las circunstancias del litigio principal, Österreichische Post acreditó el carácter manifiestamente infundado o excesivo de dicha solicitud.
51 Habida cuenta de todas las consideraciones anteriores, procede responder a la cuestión prejudicial que el artículo 15, apartado 1, letra c), del RGPD debe interpretarse en el sentido de que el derecho de acceso del interesado a los datos personales que le conciernen, establecido en dicha disposición, implica, cuando esos datos hayan sido o vayan a ser comunicados a destinatarios, la obligación del responsable del tratamiento de facilitar a ese interesado la identidad de esos destinatarios, a menos que no sea posible identificarlos o que dicho responsable del tratamiento demuestre que las solicitudes de acceso del interesado son manifiestamente infundadas o excesivas en el sentido del artículo 12, apartado 5, del RGPD, en cuyo caso este podrá indicar al interesado únicamente las categorías de destinatarios de que se trate.
Costas
52 Dado que el procedimiento tiene, para las partes del litigio principal, el carácter de un incidente promovido ante el órgano jurisdiccional remitente, corresponde a este resolver sobre las costas. Los gastos efectuados por quienes, no siendo partes del litigio principal, han presentado observaciones ante el Tribunal de Justicia no pueden ser objeto de reembolso.
En virtud de todo lo expuesto, el Tribunal de Justicia (Sala Primera) declara:
El artículo 15, apartado 1, letra c), del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos),
debe interpretarse en el sentido de que
el derecho de acceso del interesado a los datos personales que le conciernen, establecido en dicha disposición, implica, cuando esos datos hayan sido o vayan a ser comunicados a destinatarios, la obligación del responsable del tratamiento de facilitar a ese interesado la identidad de esos destinatarios, a menos que no sea posible identificarlos o que dicho responsable del tratamiento demuestre que las solicitudes de acceso del interesado son manifiestamente infundadas o excesivas en el sentido del artículo 12, apartado 5, del Reglamento 2016/679, en cuyo caso este podrá indicar al interesado únicamente las categorías de destinatarios de que se trate.
