Sentencia del TJUE: supresión de datos en registros mercantiles

El pasado 4 de octubre de 2024, el Tribunal de Justicia de la Unión Europea (TJUE) publicó una nueva sentencia en materia de protección de datos, esta vez, pronunciándose sobre cuándo y cómo se puede ejercer el derecho de supresión de los datos personales que figuran en registros públicos, como el Registro Mercantil.

El Reglamento General de Protección de Datos (RGPD) establece que este derecho se reconoce a los interesados cuando concurra alguna de las circunstancias previstas en el artículo 17, como que los datos ya no sean necesarios para los fines para los que fueron recogidos o tratados, que el interesado retire su consentimiento o que los datos se hayan tratado de forma ilícita. Sin embargo, el RGPD también prevé algunas excepciones y limitaciones a este derecho, como cuando el tratamiento sea necesario para el cumplimiento de una obligación legal, para el ejercicio de la libertad de expresión e información o para fines de archivo en interés público, entre otros.

Procedimiento judicial

El caso se originó a raíz de la negativa de la Agencia de Registros de Bulgaria a suprimir ciertos datos personales de la interesada OL, que fueron publicados en un contrato de sociedad registrado en el Registro Mercantil. Estos datos incluían, entre otros, su nombre completo, número de identificación y dirección. OL solicitó la supresión de estos datos, alegando que no había dado su consentimiento para su tratamiento o, en su defecto, que lo había revocado.

Dada la inacción de la Agencia, OL planteó el caso ante los tribunales de Bulgaria, llegando el litigio al TJUE, que debe aclarar si la publicación de estos datos en el Registro Mercantil, y la negativa a suprimirlos, es compatible con el RGPD, en particular con el derecho de supresión (o derecho al olvido) establecido en su artículo 17.

Cuestiones prejudiciales planteadas al TJUE

El Tribunal Supremo de lo Contencioso-Administrativo de Bulgaria plantea varias cuestiones al TJUE, entre las que destacan:

1. ¿Está el Estado obligado a permitir la publicidad en el Registro Mercantil de datos personales no requeridos por la ley?
2. ¿Puede considerarse que el tratamiento de estos datos es necesario para el cumplimiento de una función de interés público?

Respuestas del Tribunal de Justicia de la UE

El TJUE, tras recordar el objetivo del RGPD de garantizar un nivel elevado de protección de los derechos y libertades fundamentales de las personas físicas, en particular de su derecho a la protección de los datos personales, ha aclarado los criterios para aplicar el artículo 17 del RGPD en este caso.

A tal efecto, el TJUE ha señalado que el derecho de supresión no es absoluto, sino que debe ponderarse con otros derechos e intereses en juego, como el derecho a la libertad de expresión e información, el derecho a la seguridad jurídica y la protección de los intereses de terceros.

Así, el TJUE ha indicado que la Directiva 2017/1132, sobre determinados aspectos del Derecho de sociedades, persigue el objetivo de garantizar la publicidad de los actos e indicaciones relativos a las sociedades, en particular la identidad de las personas que tienen el “poder de obligarlas”, para proteger los intereses de terceros y facilitar el tráfico mercantil transfronterizo. Por tanto, el TJUE ha considerado que la publicidad de los datos personales mínimos exigidos por dicha Directiva o por el Derecho nacional, como los nombres de los socios o los representantes legales, es necesaria para el cumplimiento de una obligación legal y de una misión realizada en interés público, y que puede prevalecer sobre el derecho de supresión, salvo que existan razones preponderantes y legítimas propias de la situación particular del interesado.

Sin perjuicio de lo anterior, el TJUE también ha señalado que el derecho de supresión puede prevalecer sobre la publicidad de los datos personales que no sean mínimos ni exigidos por la Directiva 2017/1132 o por el Derecho nacional y que hayan sido facilitados voluntariamente por el interesado o por un tercero al responsable del tratamiento, como en este caso, la dirección o el número de identificación. De acuerdo con el TJUE, cualquier exceso en la publicación de datos debe ser evaluado cuidadosamente para no vulnerar los derechos fundamentales de las personas afectadas.

Consideraciones finales

Esta sentencia subraya el deber de los Estados miembros de garantizar que los registros mercantiles, aunque necesarios para la transparencia en las actividades comerciales, respeten los derechos de protección de datos personales de los individuos. El TJUE ha dejado claro que los derechos de los interesados, como el derecho a la supresión de sus datos, no deben quedar relegados en aras de la publicidad mercantil, a menos que sea estrictamente necesario y proporcionado.

En definitiva, la protección de datos personales en el ámbito mercantil sigue siendo un tema de análisis y ponderación, donde se debe encontrar un equilibrio entre la transparencia pública y los derechos individuales reconocidos por el RGPD.