Excusatio non petita...
En no pocas ocasiones olvidamos la vieja distinción romana entre autoritas y potestas. Debe por tanto advertirse al amable lector frente a las confusiones que el oropel de un cargo pueda provocar. Este artículo se escribe más desde el punto de vista del investigador universitario que trata de aportar un elemento para el debate jurídico y, en la medida de sus posibilidades algo de claridad en la discusión, que desde la posición que confiere el honor de presidir la Asociación Profesional Española de Privacidad.
Sin embargo, y desde esta posición institucional, resulta necesario apelar al rigor de los profesionales en la aplicación del derecho fundamental a la protección de datos. Especialmente en momentos en los que una interpretación extensiva de las consecuencias de la sentencia que motiva este artículo pudiera hacer pasar del triunfalismo a la imprudencia.
En éste ámbito están en juego derechos fundamentales las soluciones, por mucho que pueda parecer lo contrario, nunca son matemáticas es necesario aquilatar los hechos, manejar los conceptos y ponderar los intereses en conflicto. La resolución judicial no ofrece carta blanca a nadie para nada, de hecho nada más lejos de la realidad.
El interés legítimo ese oscuro objeto de deseo ... periodístico
La publicación de la sentencia del Tribunal Supremo de 8 de febrero por la que se deroga el art. 10.2.b) del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (RLOPD) ha dado lugar a titulares ciertamente extremos.
Así por ejemplo, Expansión titulaba el día 13 del mismo mes que «Las empresas podrán comercializar datos personales sin pedir permiso» gracias a la citada sentencia que ponía fin a una épica batalla histórica entre la Agencia Española de Protección de Datos (AEPD) y las empresas de comercio electrónico y de crédito. Aunque en realidad, el contenido de la noticia real se resumía en la afirmación de que la sentencia permitirá utilizar datos sin consentimiento cuando medie el interés legítimo.
Probablemente el uso del verbo comercializar, acompañado por un titular de Público conforme al cual «El Supremo mutila la protección de datos personales», hizo saltar todas las alarmas y despertó una cierta confusión.
En el origen el Tribunal de Justicia de la Unión Europea
La sentencia del Tribunal Supremo trae su origen de la cuestión prejudicial resuelta por el Tribunal de Justicia de la Unión Europea en sentencia dictada en los asuntos C-468/10 y C-469/10. También en esta ocasión en las redes sociales, blogs y Twitter, se publicaron afirmaciones del tipo "Reglamento derogado o anulado por el Tribunal de Justicia", "Varapalo a la AEPD", o "nuevo golpe al Reglamento", por citar algunos.
Conviene recordar, En primer lugar, la función de la cuestión prejudicial. Conforme al art. 267 TFUE la cuestión prejudicial es un mecanismo de colaboración de los órganos jurisdiccionales de los Estados miembros con el Tribunal de Justicia que permite al juez nacional dirigirse al TJUE con la finalidad de que le aclare dudas relevantes, para resolver un litigio.
Estas dudas se refieren a la interpretación de los Tratados y de los actos adoptados por las instituciones, órganos u organismos de la Unión. En la práctica alcanza al Derecho originario y al derivado, tratados internacionales, otras normas y principios y es un recurso que facilita la interpretación uniforme del Derecho de la UE. Por tanto, en este caso de lo que se trataba era de conocer el sentido del art. 7.f) de la Directiva 95/46/CE.
El objetivo del Tribunal de Justicia cuando se pronuncia sobre la interpretación o la validez del Derecho de la Unión es proporcionar una respuesta útil para la solución del litigio, pero es el órgano jurisdiccional nacional quien tendrá que deducir las consecuencias que corresponda y, en su caso, declarar inaplicable la norma nacional.
Por otra parte, el Derecho procedente de las instituciones europeas se integra en los sistemas jurídicos de los Estados miembros que están obligados a respetarlo y se caracteriza por su primacía sobre los Derechos nacionales. La consecuencia es simple de exponer, aunque compleja en su aplicación: si una norma nacional es contraria a una disposición europea, las autoridades de los Estados miembros deben aplicar la disposición europea.
El Derecho nacional no se anula ni deroga, pero su carácter obligatorio queda suspendido. Se trata de un principio que deriva de la naturaleza específica de las comunidades europeas, de la transferencia de competencias y del llamado principio de atribución. Tienen por objeto satisfacer la necesidad de garantizar una aplicación homogénea de los tratados en todos los Estados Miembros salvaguardando el carácter obligatorio de las normas comunitarias y en particular las del art. 288 TFUE, reglamentos, directivas y decisiones, que son obligatorios en todos sus elementos.
La primacía del Derecho europeo sobre los Derechos nacionales es absoluta y el poder judicial está igualmente sujeto al principio de primacía. Por ello, corresponde al juez nacional hacer respetar el principio de primacía y hacer uso del procedimiento prejudicial, en caso de duda en cuanto a la aplicación de este principio.
La primera consecuencia del principio de primacía es la inaplicación, -que no derogación del derecho nacional-, de modo que la norma interna incompatible anterior se inaplica y la norma interna incompatible posterior afecta, vicia, la producción de actos legislativos nacionales, que también si inaplicarán. El juez no debe esperar a la derogación o plantear la cuestión de inconstitucionalidad: debe excluir la norma nacional posterior y aplicar la de la Unión. El deber de inaplicación alcanza a todos los poderes públicos y afecta a las relaciones entre particulares.
Por último, aunque las directivas son normas que imponen una obligación de resultado, y por su naturaleza no implican eficacia directa, ésta si se produce cuando no se trasponen en plazo o se trasponen inadecuadamente a condición de que: 1) Expire el plazo de trasposición. 2) Se de una ausencia, insuficiencia o deficiencia en la adaptación. 3) Que la disposición sea clara, precisa, e incondicional. La eficacia directa se predica en la relación particulares y el Estado, y éste no puede beneficiarse del incumplimiento con independencia de la forma en la que actúe.
¿Cómo interpreta el TJUE las relaciones entre el art. 10.2.b RLOPD y la Directiva? En primer lugar, conviene reproducir el tenor literal de esta norma, tanto en su considerandos como en el articulado:
(30) Considerando que para ser lícito el tratamiento de datos personales debe basarse además en el consentimiento del interesado o ser necesario con vistas a la celebración o ejecución de un contrato que obligue al interesado, o para la observancia de una obligación legal o para el cumplimiento de una misión de interés público o para el ejercicio de la autoridad pública o incluso para la realización de un interés legítimo de una persona, siempre que no prevalezcan los intereses o los derechos y libertades del interesado; que, en particular, para asegurar el equilibrio de los intereses en juego, garantizando a la vez una competencia efectiva, los Estados miembros pueden precisar las condiciones en las que se podrán utilizar y comunicar a terceros datos de carácter personal, en el desempeño de actividades legítimas de gestión ordinaria de empresas y otras entidades; que los Estados miembros pueden asimismo establecer previamente las condiciones en que pueden efectuarse comunicaciones de datos personales a terceros con fines de prospección comercial o de prospección realizada por una institución benéfica u otras asociaciones o fundaciones, por ejemplo de carácter político, dentro del respeto de las disposiciones que permiten a los interesados oponerse, sin alegar los motivos y sin gastos, al tratamiento de los datos que les conciernan;
(45) Considerando que cuando se pudiera efectuar lícitamente un tratamiento de datos por razones de interés público o del ejercicio de la autoridad pública, o en interés legítimo de una persona física, cualquier persona deberá, sin embargo, tener derecho a oponerse a que los datos que le conciernan sean objeto de un tratamiento, en virtud de motivos fundados y legítimos relativos a su situación concreta; que los Estados miembros tienen, no obstante, la posibilidad de establecer disposiciones nacionales contrarias;
Artículo 7
Los Estados miembros dispondrán que el tratamiento de datos personales sólo pueda efectuarse si:
f) es necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, siempre que no prevalezca el interés o los derechos y libertades fundamentales del interesado que requieran protección con arreglo al apartado 1 del artículo 1 de la presente Directiva.
Visto el derecho aplicable, sobre el que más adelante se regresará. EL TJUE se pregunta «si el artículo 7, letra f), de la Directiva 95/46 debe interpretarse en el sentido de que se opone a una normativa nacional que, para permitir el tratamiento de datos personales necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, exige, en el caso de que no exista consentimiento del interesado, no sólo que se respeten los derechos y libertades fundamentales de éste, sino además que dichos datos figuren en fuentes accesibles al público». La respuesta del TJCE precisa cual es el margen de apreciación, esto es la capacidad de disponer más o menos ampliamente cuando trasponen una directiva, señalando que en este caso:
«los Estados miembros no pueden ni añadir al artículo 7 de la Directiva 95/46 nuevos principios relativos a la legitimación de los tratamientos de datos personales ni imponer exigencias adicionales que vendrían a modificar el alcance de alguno de los seis principios establecidos en dicho artículo».
Pero realiza un juicio de valor esencial. No es lo mismo introducir «exigencias adicionales que modifican el alcance de un principio fijado en el artículo 7» que «medidas nacionales que se limitan a precisar alguno de estos principios». En este último caso «los Estados miembros de un margen de apreciación, con arreglo al artículo 5 de la Directiva 95/46». Además, se precisa « tampoco pueden introducir, al amparo de lo dispuesto en el artículo 5 de la Directiva 95/46, principios relativos a la legitimación de los tratamientos de datos personales distintos a los enunciados en el artículo 7 de esa Directiva ni modificar, mediante exigencias adicionales, el alcance de los seis principios establecidos en dicho artículo 7».
Para finalizar con el examen de esta cuestión, es importante subrayar que el TJUE precisa que un “interés legítimo” no es cualquier interés, ya que se requiere un juicio de ponderación que tenga en cuenta los derechos y libertades de los afectados.
«38 Dicho artículo 7, letra f), establece dos requisitos acumulativos para que un tratamiento de datos personales sea lícito, a saber, por una parte, que ese tratamiento de datos personales sea necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, y, por otra parte, que no prevalezcan los derechos y libertades fundamentales del interesado».
En opinión del Tribunal, lo que no encaja con las previsiones de la Directiva es una norma que no permita esa ponderación y cierre completamente cualquier aplicación del principio de interés legítimo en todos y cada uno de los casos. Por ello concluye:
«49 Habida cuenta de estas consideraciones, procede responder a la primera cuestión que el artículo 7, letra f), de la Directiva 95/46 debe interpretarse en el sentido de que se opone a una normativa nacional que, para permitir el tratamiento de datos personales necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, exige, en el caso de que no exista consentimiento del interesado, no sólo que se respeten los derechos y libertades fundamentales de éste, sino además que dichos datos figuren en fuentes accesibles al público, excluyendo así de forma categórica y generalizada todo tratamiento de datos que no figuren en tales fuentes».
Es necesario no obstante, subrayar un elemento crucial: el interés legítimo, no es cualquier interés. No es una carta blanca para que los responsables puedan tratar datos y la Agencia Española de Protección de Datos, muy oportunamente se apresuró a precisarlo:
«Ello no significa, sin embargo, que la mera invocación de un interés legítimo deba considerarse suficiente para legitimar el tratamiento de datos personales sin el consentimiento del afectado. En los fundamentos de la Sentencia, el propio Tribunal precisa la interpretación que debe darse a dicho artículo, subrayando la necesidad de realizar en cada caso concreto una ponderación entre el interés legítimo de quien va a tratar los datos y los derechos fundamentales de los ciudadanos afectados, con el fin de determinar cuál prevalece atendiendo a las circunstancias concurrentes».
La segunda, y seguramente conclusión fundamental de la resolución del TJUE fue reconocer efecto directo al art. 7. f) de la Directiva.
La sentencia del Tribunal Supremo
Considerando el contenido de la sentencia dictada por la Sección Sexta, debe subrayarse el hecho de que esta comienza recordando a las partes lo evidente. A pesar de que el art. 10.2.b) RLOPS sea poco menos que trasposición clarificada del art. 6.2 LOPD, no es posible declara la nulidad de este último. Y ello por dos razones evidentes: 1) El principio de primacía, como arriba se exponía no funciona así, hay que esperar a un acto aplicativo; y 2) el Tribunal Supremo carece de competencia para derogar una norma contenida en una ley orgánica.
«SEGUNDO.- La petición de declaración de nulidad que del artículo 6.2 de la Ley Orgánica 15/99 formula la recurrente en el suplico del escrito presentado con ocasión del trámite de alegaciones conferido por providencia de 1 de diciembre de 2011, o la también subsidiaria que en él se insta, de declaración de inaplicabilidad de dicho precepto, no solo no repara en que la concreción de los temas de debate viene determinada por los escritos rectores de los autos en cuanto delimitadores de la litis, en la que la discusión giró exclusivamente en torno a la contradicción de los apartados 2 a ) y 2 b) del artículo 10 del Reglamento con el artículo 7 de la Directiva y en que la inaplicabilidad del referido precepto legal habrá de plantearse en su caso ante un acto de aplicación, sino también en que esta jurisdicción, conforme resulta del artículo 1.1 de su Ley Reguladora , no extiende su conocimiento a disposiciones con rango de ley».
El Tribunal Supremo, resuelve la cuestión en el fundamento jurídico séptimo de la sentencia. Primero, como es lógico, no cuestiona en absoluto el principio de primacía y concluye que la doctrina del efecto directo comporta la imposibilidad de que una autoridad nacional pueda hacer valer el art. 10.2.b) RLOPD.
SEPTIMO.- (…)
No cuestionándose la primacía del derecho comunitario, fundamentada en su naturaleza específica original (Sentencia Costa c. Enel), ni el que la declaración que de efecto directo del artículo 7, letra f) de la Directiva realiza el Tribunal de Justicia supone que produce efectos jurídicos inmediatos sin necesidad de normas nacionales para su aplicación, y que por ello puede hacerse valer ante las autoridades administrativas y judiciales cuando se observe su trasgresión, es claro que la conformidad a derecho de la norma reglamentaria que examinamos no puede defenderse, como hace la Abogacía del Estado, con apoyo en que su texto es mero desarrollo armónico del artículo 6.2 de la Ley Orgánica 15/1999 que excepciona de la necesidad del consentimiento del interesado, previsto en el apartado 1, como regla general, para el tratamiento de datos de carácter personal, entre otros supuestos, cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el tercero a quien se le comuniquen los datos, siempre que no se vulneren los derechos fundamentales del interesado».
Por otra parte, mientras que el interés legítimo es uno más entre los supuestos del art. 7 de la Directiva, en el Reglamento de Desarrollo de la LOPD, se configura como excepción a la regla general:
Tampoco ofrece duda que la redacción del artículo 10.2 b) del Reglamento difiere de la del artículo 7.f) de la Directiva. Mientras que en este último artículo, siguiendo un sistema de lista, se establecen aquellos supuestos que los Estados miembros han de tener en cuenta para autorizar el tratamiento de datos personales, refiriéndose en el apartado f) a aquel en el que tratamiento es necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, sin otro condicionamiento que el de la prevalencia del interés o de los derechos y libertades fundamentales del interesado que requieren protección con arreglo al apartado 1 del artículo 1 de la Directiva, en el artículo 10.2b) del Reglamento se contempla, como excepción a la regla general que contiene el apartado 1, a saber, la necesidad del consentimiento previo del interesado para el tratamiento o cesión de los datos de carácter personal, que los datos figuren en fuentes accesibles al público y el responsable del fichero, o el tercero a quien se comuniquen los datos, tenga un interés legítimo para su tratamiento o conocimiento, siempre que no se vulneren los derechos y libertades fundamentales del interesado».
Esta excepción, a juicio del Tribunal Supremo, no puede ser interpretada como un caso más entre otros posibles, e impone una restricción contraria a la Directiva que determina su anulación:
«Con independencia de la distinta técnica normativa seguida en el artículo 7 de la Directiva y en el artículo 10 del Reglamento, circunstancia a la que la recurrente, en el recurso 23/08, en el que también se impugnan los apartados a) y b) del artículo 10.1, concede un valor decisorio al considerarla como suficiente para el acogimiento de la impugnación del precepto reglamentario, bajo el entendimiento de que las excepciones deben ser tratadas de forma restrictiva, esto es, en atención a una interpretación futura por los Tribunales y por la Agencia Española de Protección de Datos que, obviamente, debe realizarse a la luz del artículo 7 de la Directiva, sí procede resaltar que la mención en el apartado 2 b) del reglamentario a que los datos objeto de tratamiento o cesión figuren en fuentes accesibles al público, no se contiene en el apartado f) de la norma comunitaria.
(…)
Pues bien, a la vista del pronunciamiento del Tribunal de Justicia, necesariamente nuestra solución no puede ser otra que la de estimación de la impugnación de dicho precepto, sin que constituyan obstáculo las alegaciones del Abogado del Estado, quien afirma que la inclusión en el fallo del Tribunal de Justicia de la frase "... excluyendo así de forma categórica y generalizada todo tratamiento de datos que no figuren en tales fuentes" , matiza el alcance de la conclusión que precede en el sentido de que la contradicción con el derecho de la Unión únicamente tendrá lugar solo cuando la exigencia de que los datos figuren en fuentes accesibles al público excluya de forma categórica y generalizada todo tratamiento de datos que no figuren en tales fuentes».
¿Tiene mi cliente interés legítimo?
El diccionario de la RAE define un interés como «provecho, utilidad, ganancia». Sin embargo, ofrece una interesante acotación ya que también define el interés legítimo como el «interés de una persona reconocido y protegido por el derecho» o la «situación jurídica que se ostenta en relación con la actuación de otra persona y que conlleva la facultad de exigirle, a través de un procedimiento administrativo o judicial, un comportamiento ajustado a derecho». Por tanto, una primera conclusión es obvia el mero un interés comercial, económico o de cualquier otro tipo no será interés legítimo si no se halla reconocido y protegido por el Ordenamiento Jurídico, si las normas deben ser interpretadas conforme al sentido propio de las palabras que las integran.
Pero, es más, si se retoma la lectura de la Directiva su considerando trigésimo señala qu:
(30) () los Estados miembros pueden precisar las condiciones en las que se podrán utilizar y comunicar a terceros datos de carácter personal, en el desempeño de actividades legítimas de gestión ordinaria de empresas y otras entidades; que los Estados miembros pueden asimismo establecer previamente las condiciones en que pueden efectuarse comunicaciones de datos personales a terceros con fines de prospección comercial o de prospección realizada por una institución benéfica u otras asociaciones o fundaciones;
Dicho de otro modo, y precisando el uso de la palabra “comercializar” por el citado artículo periodístico, puesto que el Tribunal Supremo no ha anulado el conjunto del Capítulo Segundo del Título Cuarto sobre «Tratamientos para actividades de publicidad y prospección comercial», parece evidente que cualquier tratamiento que responda al interés legítimo por el sector deberá encontrar acomodo en la vigente regulación.
En segundo lugar, como el considerando cuadragésimo quinto subraya, y el RLOPD regula, subsiste el derecho de oposición:
(45) Considerando que cuando se pudiera efectuar lícitamente un tratamiento de datos por razones de interés público o del ejercicio de la autoridad pública, o en interés legítimo de una persona física, cualquier persona deberá, sin embargo, tener derecho a oponerse a que los datos que le conciernan sean objeto de un tratamiento, en virtud de motivos fundados y legítimos relativos a su situación concreta; que los Estados miembros tienen, no obstante, la posibilidad de establecer disposiciones nacionales contrarias;»
En cualquier caso, y ateniendo al tenor literal de la Directiva deben abordarse dos problemas. El primero de ellos consiste en la determinación de la presencia de un interés legítimo. Un concepto que, a pesar de la claridad del diccionario de la RAE, no deja de ser extremadamente lábil. Así, en el ámbito procesal este interés puede vincularse a la posibilidad de accionar (STS 2720/2008) o recurrir (STS 9129/2002), y éste no puede consistir en un «deseo un tanto difuso» o «una expectativa» (STS 8701/2011).
En segundo lugar, el art. 7.f) de la Directiva impone una condición. No basta con la presencia de interés legítimo, éste cede cuando prevalezca el interés o los derechos y libertades fundamentales del interesado. Y aquí, el operador jurídico se enfrenta a una operación arriesgada, ya que no hay que hacer un juicio de ponderación sino dos.
En primer lugar, puede que concurra un interés del titular de los datos en que estos no sean tratados, tan legítimo como el del responsable en tratarlos. Además, es una excepción a la regla general, "siempre que no prevalezca", que debe ser tenida en cuenta por el responsable. La norma no establece una suerte de "solve et repete", no dice "siempre que no se oponga". Y ello, no es una cuestión banal ya que obliga al responsable a transitar por la frontera de las excepciones al consentimiento, que no es ocioso recordar al tratarse de un derecho fundamental deberán interpretarse restrictivamente.
En segundo lugar, si además están en juego derechos fundamentales se impone un juicio de idoneidad de modo que no bastará con que la medida, en este caso el tratamiento, sea legítima sino idónea o adecuada al fin perseguido, un juicio de necesidad para determinar si de entre todas las posibilidades es la menos lesiva o gravosa para el derecho fundamental, y finalmente, un juicio de proporcionalidad que establezca si ofrece más ventajas para el interés general que perjuicios.
Y además, el resto de la LOPD
Por otra parte, como acertadamente subraya el comunicado de APEP, la aplicación del principio de interés legítimo no excluye, sino que exige la aplicación del conjunto de lo dispuesto por la legislación vigente. Por ello, la sentencia del Tribunal Supremo debe ser entendida en sus justos términos:
1) El TJUE ha declarado el efecto directo de la Directiva, y cabe entender que ello determinará la inaplicación del art. 6.2 LOPD por las autoridades nacionales.
2) La Sentencia del Tribunal Supremo anula el art. 10.2.b) RLOPD, lo que elimina una restricción no admisible desde el punto de vista del Derecho de la Unión Europea, pero a condición de que rija el principio de primacía respecto de la LOPD.
3) La resolución no ofrece ningún cheque en blanco debe demostrarse que concurre interés legítimo y ponderarse los intereses en conflicto.
4) Debe garantizarse un riguroso cumplimiento de la LOPD y en particular del deber de información y de la satisfacción de los derechos de acceso, rectificación y muy en particular, oposición al tratamiento.
ElDerecho.com no comparte necesariamente ni se responsabiliza de las opiniones expresadas por los autores o colaboradores de esta publicación