Sentencia del TJUE: comunicación de datos personales a un tercero

El Tribunal de Justicia de la Unión Europea (TJUE) dictó el pasado 12 de septiembre de 2024 una sentencia de gran interés (ECLI:EU:C:2024:738), en la que valora la posibilidad de aplicar tres bases de legitimación del RGPD, en concreto el 6.1.b (tratamiento necesario para la ejecución de un contrato), 6.1.c (obligación legal) y 6.1.f (interés legítimo) en relación con una solicitud de acceso a datos identificativos y de contacto de los socios que participan indirectamente en un fondo de inversión a través de sociedades fiduciarias.

Cabe decir que, si bien la STJUE se centra en un caso muy particular (inversiones en fondos de inversión a través de una sociedad fiduciaria), la interpretación de los citados artículos resulta igualmente de interés a la hora de valorar, por parte de cualquier responsable del tratamiento, la aplicación de tales bases jurídicas.

Hechos

El TJUE resuelve una cuestión prejudicial planteada en los asuntos acumulados C-17/22 y C-18/22, que tienen por objeto la solicitud, por parte de dos sociedades de inversión (Demandantes), de los datos identificativos y de contacto (nombre y direcciones de correo electrónico) de los socios que invierten indirectamente en fondos de inversión a través de sociedades fiduciarias (Demandadas), con el fin de contactar con ellos y negociar la adquisición de sus participaciones o coordinarse con ellas para formar una voluntad común en el ámbito societario.

Las Demandadas se oponen a revelar los datos de sus socios, alegando que (i) los contratos fiduciarios y de participación contienen cláusulas que prohíben la divulgación de los datos y que (ii) las Demandantes persiguen sus propios intereses económicos, como publicitar sus productos de inversión, crear inquietud entre los inversores o adquirir participaciones por debajo de su valor.

Por su parte, las Demandantes niegan tales intenciones, y alegan que tienen derecho a ponerse en contacto con el resto de los socios comanditarios titulares de participaciones en los fondos de inversión para lo que alegan tener base de legitimación suficiente: la aplicación del 6.1.b (tratamiento necesario para la ejecución de un contrato), y 6.1.f (interés legítimo) del RGPD.

Cuestiones prejudiciales

El tribunal alemán que conoce de los asuntos C-17/22 y C-18/22 plantea una cuestión prejudicial al TJUE, para que interprete el artículo 6 del RGPD, que regula las condiciones que se deben cumplir para que el tratamiento de datos personales de los interesados sea lícito.

En concreto, el órgano jurisdiccional remitente se pregunta si la divulgación de los datos solicitados por las Demandantes puede considerarse necesaria para la ejecución de un contrato o para la satisfacción de intereses legítimos. A su vez, el TJUE considera oportuno reformular las cuestiones prejudiciales planteadas a fin de que abarquen también la interpretación del artículo 6.1.c, entendiendo que el tribunal alemán pregunta también si puede entenderse que la divulgación es necesaria para el cumplimiento de una obligación legal.

Pronunciamiento del TJUE

En primer lugar, el TJUE recuerda que, de conformidad con el artículo 5.1 RGPD, los datos personales deben ser tratados de manera lícita, leal y transparente en relación con el interesado. Así, el artículo 6.1 RGPD contiene una lista exhaustiva y taxativa de los casos en los que el tratamiento de datos puede considerarse lícito.

Por ello, resulta necesario comprobar si se da alguno de los casos de licitud de las letras b), c) o f) del artículo 6.1 RGPD.

En atención a lo anterior, el TJUE resuelve que:

• La divulgación de los datos puede estar justificada por una obligación legal, en el sentido del artículo 6.1.c) del RGPD, cuando el tratamiento se base en el Derecho del Estado miembro o en la jurisprudencia de ese Estado, siempre que sea clara, precisa y que su aplicación sea previsible para los destinatarios. El TJUE deja al tribunal nacional la tarea de comprobar si se cumplen estos requisitos y si no existen otras medidas que permitan garantizar la transparencia entre los socios y sean menos lesivas para la protección de los datos personales.
• La divulgación de los datos no es necesaria para la ejecución de un contrato, en el sentido del artículo 6.1.b) del RGPD, cuando el contrato excluye expresamente la divulgación de los datos a otros titulares de participaciones. Además, el tratamiento de datos debe ser objetivamente indispensable para lograr una finalidad que forme parte integrante de la prestación contractual destinada a los interesados, lo que no se da en este caso.
• La divulgación de los datos solo puede considerarse necesaria para la satisfacción de intereses legítimos, en el sentido del artículo 6.1.f) del RGPD, cuando se haya ponderado dicho interés y no prevalezcan los intereses o los derechos y libertades fundamentales de los interesados. Como alternativa a la cesión, el TJUE señala que es posible que las Demandantes pidan a las Demandadas que transmitan su solicitud al socio en cuestión, para que este pueda decidir libremente si desea ponerse en contacto con ellas o no, lo que supondría una injerencia menor en el derecho a la protección de la confidencialidad. En todo caso, el TJUE indica que el tribunal nacional debe tener en cuenta las expectativas del interesado y, a este respecto, que es probable que los socios no esperen razonablemente que se divulguen sus datos.

Esta sentencia del TJUE supone una importante aportación a la interpretación de las bases de legitimación previstas en el RGPD, especialmente en el ámbito de los fondos de inversión, y pone de relieve la necesidad de realizar un análisis caso por caso, teniendo en cuenta las circunstancias concretas y los principios de necesidad, proporcionalidad y minimización de los datos. 

Autores: Pablo Tena Sanz, con la colaboración de Ángela Pérez Camblor