Meta Platforms Ireland Limited, anciennement Facebook Ireland Limited v Bundesverband der Verbraucherzentralen und Verbraucherverbände - Verbraucherzentrale Bundesverband e.V.

• Jurisdiction: European Union
• ECLI: ECLI:EU:C:2022:322
• Docket Number: C-319/20
• Date: 28 April 2022
• Celex Number: 62020CJ0319
• Court: Court of Justice (European Union)

Edición provisional

SENTENCIA DEL TRIBUNAL DE JUSTICIA (Sala Tercera)

de 28 de abril de 2022 (*)

«Procedimiento prejudicial — Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Artículo 80 — Representación de los interesados por una asociación sin ánimo de lucro — Acción de representación entablada por una asociación de defensa de los intereses de los consumidores sin mandato y con independencia de la vulneración de derechos concretos de un interesado — Acción basada en la prohibición de prácticas comerciales desleales, la infracción de una ley en materia de protección de los consumidores o la prohibición del uso de condiciones generales nulas»

En el asunto C‑319/20,

que tiene por objeto una petición de decisión prejudicial planteada, con arreglo al artículo 267 TFUE, por el Bundesgerichtshof (Tribunal Supremo de lo Civil y Penal, Alemania), mediante resolución de 28 de mayo de 2020, recibida en el Tribunal de Justicia el 15 de julio de 2020, en el procedimiento entre

Meta Platforms Ireland Limited, anteriormente Facebook Ireland Limited,

y

Bundesverband der Verbraucherzentralen und Verbraucherverbände — Verbraucherzentrale Bundesverband e.V.,

EL TRIBUNAL DE JUSTICIA (Sala Tercera),

integrado por la Sra. A. Prechal, Presidenta de la Sala Segunda, en funciones de Presidenta de la Sala Tercera, y los Sres. J. Passer y F. Biltgen, la Sra. L. S. Rossi (Ponente) y el Sr. N. Wahl, Jueces;

Abogado General: Sr. J. Richard de la Tour;

Secretaria: Sra. M. Krausenböck, administradora;

habiendo considerado los escritos obrantes en autos y celebrada la vista el 23 de septiembre de 2021;

consideradas las observaciones presentadas:

– en nombre de Meta Platforms Ireland Limited, por los Sres. H.‑G. Kamann, M. Braun y H. Frey, Rechtsanwälte, y por la Sra. V. Wettner, Rechtsanwältin;

– en nombre del Bundesverband der Verbraucherzentralen und Verbraucherverbände — Verbraucherzentrale Bundesverband e. V., por el Sr. P. Wassermann, Rechtsanwalt;

– En nombre del Gobierno alemán, por los Sres. D. Klebs y J. Möller, en calidad de agentes;

– en nombre del Gobierno austriaco, por los Sres. A. Posch y G. Kunnert y la Sra. J. Schmoll, en calidad de agentes;

– en nombre del Gobierno portugués, por el Sr. L. Inez Fernandes y las Sras. C. Vieira Guerra, P. Barros da Costa y L. Medeiros, en calidad de agentes;

– en nombre de la Comisión Europea, inicialmente por los Sres. F. Erlbacher, H. Kranenborg y D. Nardi y, posteriormente, por los Sres. F. Erlbacher y H. Kranenborg, en calidad de agentes;

oídas las conclusiones del Abogado General, presentadas en audiencia pública el 2 de diciembre de 2021;

dicta la siguiente

Sentencia

1 La petición de decisión prejudicial tiene por objeto la interpretación del artículo 80, apartados 1 y 2, y del artículo 84, apartado 1, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO 2016, L 119, p. 1; en lo sucesivo, «Reglamento General de Protección de Datos»).

2 Esta petición se ha presentado en el contexto de un litigio entre Meta Platforms Ireland Limited, anteriormente Facebook Ireland Limited, con domicilio social en Irlanda, y el Bundesverband der Verbraucherzentralen und Verbraucherverbände — Verbraucherzentrale Bundesverband e. V. (Federación alemana de Organizaciones y Asociaciones de Consumidores, Alemania; en lo sucesivo, «Federación») en relación con una infracción por parte de Meta Platforms Ireland de la normativa alemana sobre protección de datos personales que constituye, a la vez, una práctica comercial desleal, una infracción de la legislación en materia de protección de los consumidores y un incumplimiento de la prohibición del uso de condiciones generales nulas.

Marco jurídico

Derecho de la Unión

Reglamento General de Protección de Datos

3 Los considerandos 9, 10, 13 y 142 del Reglamento General de Protección de Datos enuncian:

«(9) Aunque los objetivos y principios de la Directiva [95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (DO 1995, L 281, p. 31)] siguen siendo válidos, ello no ha impedido que la protección de los datos en el territorio de la Unión se aplique de manera fragmentada, ni la inseguridad jurídica ni una percepción generalizada entre la opinión pública de que existen riesgos importantes para la protección de las personas físicas, en particular en relación con las actividades en línea. Las diferencias en el nivel de protección de los derechos y libertades de las personas físicas, en particular del derecho a la protección de los datos de carácter personal, en lo que respecta al tratamiento de dichos datos en los Estados miembros pueden impedir la libre circulación de los datos de carácter personal en la Unión. Estas diferencias pueden constituir, por lo tanto, un obstáculo al ejercicio de las actividades económicas a nivel de la Unión, falsear la competencia e impedir que las autoridades cumplan las funciones que les incumben en virtud del Derecho de la Unión. Esta diferencia en los niveles de protección se debe a la existencia de divergencias en la ejecución y aplicación de la Directiva [95/46].

(10) Para garantizar un nivel uniforme y elevado de protección de las personas físicas y eliminar los obstáculos a la circulación de datos personales dentro de la Unión, el nivel de protección de los derechos y libertades de las personas físicas por lo que se refiere al tratamiento de dichos datos debe ser equivalente en todos los Estados miembros. Debe garantizarse en toda la Unión que la aplicación de las normas de protección de los derechos y libertades fundamentales de las personas físicas en relación con el tratamiento de datos de carácter personal sea coherente y homogénea. […]

[…]

(13) Para garantizar un nivel coherente de protección de las personas físicas en toda la Unión y evitar divergencias que dificulten la libre circulación de datos personales dentro del mercado interior, es necesario un reglamento que proporcione seguridad jurídica y transparencia a los operadores económicos, incluidas las microempresas y las pequeñas y medianas empresas, y ofrezca a las personas físicas de todos los Estados miembros el mismo nivel de derechos y obligaciones exigibles y de responsabilidades para los responsables y encargados del tratamiento, con el fin de garantizar una supervisión coherente del tratamiento de datos personales y sanciones equivalentes en todos los Estados miembros, así como la cooperación efectiva entre las autoridades de control de los diferentes Estados miembros. […]

[…]

(142) El interesado que considere vulnerados los derechos reconocidos por el presente Reglamento debe tener derecho a conferir mandato a una entidad, organización o asociación sin ánimo de lucro que esté constituida con arreglo al Derecho de un Estado miembro, tenga objetivos estatutarios que sean de interés público y actúe en el ámbito de la protección de los datos personales, para que presente en su nombre una reclamación ante la autoridad de control, ejerza el derecho a la tutela judicial en nombre de los interesados o, si así lo establece el Derecho del Estado miembro, ejerza el derecho a recibir una indemnización en nombre de estos. Un Estado miembro puede reconocer a tal entidad, organización o asociación el derecho a presentar en él una reclamación con independencia del mandato de un interesado y el derecho a la tutela judicial efectiva, cuando existan motivos para creer que se han vulnerado los derechos de un interesado como consecuencia de un tratamiento de datos personales que sea contrario al presente Reglamento. Esa entidad, organización o asociación no puede estar autorizada a reclamar una indemnización en nombre de un interesado al margen del mandato de este último.»

4 El artículo 1 de este Reglamento, titulado «Objeto», dispone en su apartado 1:

«El presente Reglamento establece las normas relativas a la protección de las personas físicas en lo que respecta al tratamiento de los datos personales y las normas relativas a la libre circulación de tales datos.»

5 A tenor del artículo 4, punto 1, del Reglamento General de Protección de Datos:

«A efectos del presente Reglamento se entenderá por:

1) “datos personales”: toda información sobre una persona física identificada o identificable (“el interesado”); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona».

6 El capítulo III del Reglamento General de Protección de Datos, que comprende los artículos 12 a 23, lleva por título «Derechos del interesado».

7 El artículo 12 de este Reglamento, titulado «Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado», establece en su apartado 1:

«El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado...