Case nº C-434/16 of Tribunal de Justicia, December 20, 2017

• Resolution Date: December 20, 2017
• Issuing Organization: Tribunal de Justicia
• Decision Number: C-434/16

En el asunto C-434/16,

que tiene por objeto una petición de decisión prejudicial planteada, con arreglo al artículo 267 TFUE, por la Supreme Court (Tribunal Supremo, Irlanda), mediante resolución de 29 de julio de 2016, recibida en el Tribunal de Justicia el 4 de agosto de 2016, en el procedimiento entre

Peter Nowak

y

Data Protection Commissioner,

EL TRIBUNAL DE JUSTICIA (Sala Segunda),

integrado por el Sr. M. Ilešič (Ponente), Presidente de Sala, el Sr. A. Rosas, las Sras. C. Toader y A. Prechal, y el Sr. E. Jarašiūnas, Jueces;

Abogado General: Sra. J. Kokott,

Secretario: Sr. M. Aleksejev, administrador;

habiendo considerado los escritos obrantes en autos y celebrada la vista el 22 de junio de 2017;

consideradas las observaciones presentadas:

- en nombre del Sr. Nowak, por el Sr. G. Rudden, Solicitor, y el Sr. N. Travers, SC;

- en nombre del Data Protection Commissioner, por el Sr. D. Young, Solicitor, y el Sr. P.A. McDermott, SC;

- en nombre de Irlanda, por las Sras. E. Creedon y L. Williams, y por el Sr. A. Joyce, en calidad de agentes, asistidos por la Sra. A. Caroll, Barrister;

- en nombre del Gobierno checo, por los Sres. M. Smolek y J. Vláčil, en calidad de agentes;

- en nombre del Gobierno helénico, por las Sras. G. Papadaki y S. Charitaki, en calidad de agentes;

- en nombre del Gobierno húngaro, por el Sr. M.Z. Fehér y la Sra. A. Pálfy, en calidad de agentes;

- en nombre del Gobierno austriaco, por el Sr. G. Eberhard, en calidad de agente;

- en nombre del Gobierno polaco, por el Sr. B. Majczyna, en calidad de agente;

- en nombre del Gobierno portugués, por los Sres. L. Inez Fernandes y M. Figueiredo y por la Sra. I. Oliveira, en calidad de agentes;

- en nombre de la Comisión Europea, por los Sres. D. Nardi y H. Kranenborg, en calidad de agentes;

oídas las conclusiones del Abogado General, presentadas en audiencia pública el 20 de julio de 2017;

dicta la siguiente

Sentencia

1 La petición de decisión prejudicial tiene por objeto la interpretación de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (DO 1995, L 281, p. 31).

2 Esta petición se ha presentado en el marco de un litigio entre el Sr. Peter Nowak y el Data Protection Commissioner (Comisario de Protección de Datos, Irlanda), en relación con la negativa de esa autoridad a permitir al Sr. Nowak el acceso al escrito corregido de un examen en el que éste participó como aspirante, basada en que los datos allí contenidos no eran de carácter personal.

Marco jurídico

Derecho de la Unión

Directiva 95/46

3 La Directiva 95/46, que, según su artículo 1, tiene por objeto la protección de las libertades y de los derechos fundamentales de las personas físicas y, en particular, del derecho a la intimidad, en lo que respecta al tratamiento de los datos personales, y la eliminación de los obstáculos a la libre circulación de dichos datos, dispone en sus considerandos vigesimoquinto, vigesimosexto y cuadragésimo primero lo siguiente:

(25) Considerando que los principios de la protección tienen su expresión, por una parte, en las distintas obligaciones que incumben a las personas [...] que efectúen tratamientos -obligaciones relativas, en particular, a la calidad de los datos, la seguridad técnica, la notificación a las autoridades de control y las circunstancias en las que se puede efectuar el tratamiento- y, por otra parte, en los derechos otorgados a las personas cuyos datos sean objeto de tratamiento de ser informadas acerca de dicho tratamiento, de poder acceder a los datos, de poder solicitar su rectificación o incluso de oponerse a su tratamiento en determinadas circunstancias;

(26) Considerando que los principios de la protección deberán aplicarse a cualquier información relativa a una persona identificada o identificable; que, para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona, para identificar a dicha persona; que los principios de la protección no se aplicarán a aquellos datos hechos anónimos de manera tal que ya no sea posible identificar al interesado; [...]

[...]

(41) Considerando que cualquier persona debe disfrutar del derecho de acceso a los datos que le conciernan y sean objeto de tratamiento, para cerciorarse, en particular, de su exactitud y de la licitud de su tratamiento [...]

.

4 El concepto de «datos personales» se define en el artículo 2, letra a), de esta Directiva como «toda información sobre una persona física identificada o identificable (el interesado). Se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos característicos de su identidad física, fisiológica, psíquica, económica, cultural o social».

5 El artículo 6 de la misma Directiva, incluido en la sección I -titulada «Principios relativos a la calidad de los datos»- del capítulo II, tiene el siguiente tenor:

1. Los Estados miembros dispondrán que los datos personales sean:

a) tratados de manera leal y lícita;

b) recogidos con fines determinados, explícitos y legítimos, y no ser tratados posteriormente de manera incompatible con dichos fines; no se considerará incompatible el tratamiento posterior de datos con fines históricos, estadísticos o científicos, siempre y cuando los Estados miembros establezcan las garantías oportunas;

c) adecuados, pertinentes y no excesivos con relación a los fines para los que se recaben y para los que se traten posteriormente;

d) exactos y, cuando sea necesario, actualizados; deberán tomarse todas las medidas razonables para que los datos inexactos o incompletos, con respecto a los fines para los que fueron recogidos o para los que fueron tratados posteriormente, sean suprimidos o rectificados;

e) conservados en una forma que permita la identificación de los interesados durante un período no superior al necesario para la consecución de los fines para los que fueron recogidos o para los que se traten posteriormente. Los Estados miembros establecerán las garantías apropiadas para los datos personales archivados por un período más largo del mencionado, con fines históricos, estadísticos o científicos.

2. Incumbirá al responsable del tratamiento garantizar el cumplimiento de lo dispuesto en el apartado 1.

6 El artículo 7 de la Directiva 95/46, incluido en la sección II -titulada «Principios relativos a la legitimación del tratamiento de datos»- del capítulo II, establece lo siguiente:

Los Estados miembros dispondrán que el tratamiento de datos personales sólo pueda efectuarse si:

a) el interesado ha dado su consentimiento de forma inequívoca, o

[...]

c) es necesario para el cumplimiento de una obligación jurídica a la que esté sujeto el responsable del tratamiento, o

[...]

e) es necesario para el cumplimiento de una misión de interés público o inherente al ejercicio del poder público conferido al responsable del tratamiento o a un tercero a quien se comuniquen los datos, o

f) es necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, siempre que no prevalezca[n] el interés o los derechos y libertades fundamentales del interesado que requieran protección con arreglo al apartado 1 del artículo 1 de la presente Directiva.

7 El artículo 12 de dicha Directiva, titulado «Derecho de acceso», dispone:

Los Estados miembros garantizarán a todos los interesados el derecho de obtener del responsable del tratamiento:

a) libremente, sin restricciones y con una periodicidad razonable y sin retrasos ni gastos excesivos:

- la confirmación de la existencia o inexistencia del tratamiento de datos que le conciernen, así como información por lo menos de los fines de dichos tratamientos, las categorías de datos a que se refieran y los destinatarios o las categorías de destinatarios a quienes se comuniquen dichos datos;

- la comunicación, en forma inteligible, de los datos objeto de los tratamientos, así como toda la información disponible sobre el origen de los datos;

[...]

b) en su caso...