Opinion of Advocate General Medina delivered on 6 June 2024.

JurisdictionEuropean Union
Celex Number62023CC0169
ECLIECLI:EU:C:2024:474
Date06 June 2024
CourtCourt of Justice (European Union)

Edición provisional

CONCLUSIONES DE LA ABOGADA GENERAL

SRA. LAILA MEDINA

presentadas el 6 de junio de 2024 (1)

Asunto C169/23 [Másdi] (i)

Nemzeti Adatvédelmi és Információszabadság Hatóság

contra

UC

[Petición de decisión prejudicial planteada por la Kúria (Tribunal Supremo, Hungría)]

«Procedimiento prejudicial — Protección de datos personales — Reglamento (UE) 2016/679 — Tratamiento de datos para la emisión de un certificado COVID‑19 — Información que debe facilitarse cuando los datos personales no se han obtenido del interesado — Artículo 14, apartado 1 — Excepciones a la obligación de facilitar información — Obtención o comunicación expresamente establecida por el Derecho de la Unión o por el Derecho de los Estados miembros — Medidas adecuadas para proteger los intereses legítimos del interesado — Artículo 14, apartado 5, letra c) — Derecho a presentar una reclamación ante una autoridad de control — Artículo 77»






I. Introducción

1. Una de las obligaciones más importantes del responsable del tratamiento es la obligación de proporcionar información al interesado. En sus conclusiones presentadas en el asunto Bara y otros, el Abogado General Cruz Villalón lo aclaró con elocuencia al afirmar que el requisito de informar al interesado «garantiza la transparencia de todo tratamiento». (2) La obligación de información constituye un derecho clave del interesado a recibir información sobre el tratamiento de sus datos. Según la doctrina jurídica, (3) el derecho a la información «constituye una concreción» del principio de transparencia y «es el punto focal» de todos los demás derechos. En efecto, la imposición de numerosos requisitos de información permite al interesado ejercer otros importantes derechos reconocidos por el Reglamento (UE) 2016/679. (4)

2. El presente asunto se plantea en el contexto de la expedición de certificados COVID‑19. En él se insta al Tribunal de Justicia, por primera vez, a que interprete una excepción fundamental de la obligación de información que incumbe al responsable del tratamiento, prevista en el artículo 14, apartado 5, letra c), del RGPD. Dicha excepción se examinará en relación con las facultades de la autoridad de control en el marco de una reclamación presentada por el interesado.

II. Marco jurídico

A. Derecho de la Unión

3. El artículo 14 del RGPD, titulado «Información que deberá facilitarse cuando los datos personales no se hayan obtenido del interesado», dispone, en sus apartados 1, 2 y 5:

«1. Cuando los datos personales no se hayan obtenidos del interesado, el responsable del tratamiento le facilitará la siguiente información:

a) la identidad y los datos de contacto del responsable y, en su caso, de su representante;

b) los datos de contacto del delegado de protección de datos, en su caso;

c) los fines del tratamiento a que se destinan los datos personales, así como la base jurídica del tratamiento;

d) las categorías de datos personales de que se trate;

e) los destinatarios o las categorías de destinatarios de los datos personales, en su caso;

f) en su caso, la intención del responsable de transferir datos personales a un destinatario en un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión [Europea] […].

2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente respecto del interesado:

a) el plazo durante el cual se conservarán los datos personales o, cuando eso no sea posible, los criterios utilizados para determinar este plazo;

b) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable del tratamiento o de un tercero;

c) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, y a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;

d) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basada en el consentimiento antes de su retirada;

e) el derecho a presentar una reclamación ante una autoridad de control;

f) la fuente de la que proceden los datos personales y, en su caso, si proceden de fuentes de acceso público;

g) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado.

[…]

5. Las disposiciones de los apartados 1 a 4 no serán aplicables cuando y en la medida en que:

[…]

c) la obtención o la comunicación esté expresamente establecida por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento y que establezca medidas adecuadas para proteger los intereses legítimos del interesado, o

[…]».

4. El artículo 32 del RGPD, titulado «Seguridad del tratamiento», establece en su apartado 1:

«Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo […]

[…]».

5. El artículo 77 del RGPD, titulado «Derecho a presentar una reclamación ante una autoridad de control», preceptúa en su apartado 1:

«Sin perjuicio de cualquier otro recurso administrativo o acción judicial, todo interesado tendrá derecho a presentar una reclamación ante una autoridad de control, en particular en el Estado miembro en el que tenga su residencia habitual, lugar de trabajo o lugar de la supuesta infracción, si considera que el tratamiento de datos personales que le conciernen infringe el presente Reglamento.»

B. Derecho húngaro

6. En virtud del artículo 2, apartado 1, letras a) a g), del a koronavírus elleni védettségi igazolásról szóló 60/2021. (II.12.) Korm. rendelet (Decreto del Gobierno 60/2021 sobre el Certificado de Inmunidad frente al Coronavirus), de 12 de febrero (en lo sucesivo, «Decreto 60/2021»), en la versión aplicable al litigio principal, tiene el siguiente tenor:

«El certificado de inmunidad indicará:

a) el nombre del interesado;

b) el número de pasaporte del interesado, en caso de que disponga de uno;

c) el número y el identificador del documento de identidad permanente del interesado, en caso de que disponga de uno;

d) el número de serie del certificado de inmunidad;

e) cuando se presente certificado de vacunación, la fecha en que se administró la vacuna;

f) cuando se presente prueba de haber superado la infección, la fecha de validez de la prueba;

g) un código de almacenamiento de datos, legible ópticamente mediante dispositivos informáticos, generado a partir de los datos mencionados en las letras a) a f);

[…]».

7. De conformidad con el artículo 2, apartados 6 y 7, del Decreto 60/2021, la Budapest Főváros Kormányhivatala (Delegación del Gobierno en Budapest Capital, Hungría; en lo sucesivo, «Delegación del Gobierno en Budapest») debía emitir el certificado de inmunidad a favor de la persona física legitimada, bien de oficio o previa solicitud.

8. En virtud del artículo 3, apartado 3, del Decreto 60/2021:

«En los supuestos contemplados en el artículo 2, apartado 6, letras c) y d), la [Delegación del Gobierno en Budapest] recopilará, mediante transmisión automática de información —si fuere necesario, a través de los servicios correspondientes del összerendelési nyilvántartás [(Registro de Ordenación Electrónica de los Datos de Identificación, Hungría)]—,

a) del operador del EESZT [Elektronikus Egészségügyi Szolgáltatási Tér (Área de Servicios Sanitarios Electrónicos)]: el número de seguridad social del interesado, los datos contemplados en el artículo 2, apartado 1, letras e) y g), así como los datos contemplados en el apartado 1;

b) del organismo encargado del registro de datos personales y direcciones: el nombre, los identificadores documentales del pasaporte y del documento de identidad permanente y la dirección del interesado.»

III. Procedimiento principal y cuestiones prejudiciales

9. UC, persona física, recibió de la Delegación del Gobierno en Budapest un certificado de inmunidad que acreditaba que había sido vacunado contra la COVID‑19.

10. El 30 de abril de 2021, UC presentó, sobre la base del artículo 77, apartado 1, del RGPD, una reclamación ante la Nemzeti Adatvédelmi és Információszabadság Hatóság (Autoridad Nacional de Protección de Datos y Libertad de Información, Hungría; en lo sucesivo, «Autoridad Húngara de Control»). UC solicitó a dicha autoridad que ordenara a la Delegación del Gobierno en Budapest que adecuase sus operaciones de tratamiento a lo dispuesto en el RGPD. En su reclamación, UC alegó, entre otros extremos, que la Delegación del Gobierno en Budapest no había elaborado ni publicado un folleto informativo sobre el tratamiento de los datos relativos a la emisión de los certificados de inmunidad y que no había suficiente información acerca de la finalidad y base jurídica del tratamiento ni sobre cuáles eran los derechos que asistían a los interesados y cómo podían ejercerse.

11. En el procedimiento iniciado a raíz de la presentación de la reclamación, la Delegación del Gobierno en Budapest declaró que desempeñaba sus funciones relativas a la emisión de los certificados de inmunidad en virtud del artículo 2 del Decreto 60/2021, y que la base jurídica del tratamiento era el artículo 6, apartado 1, letra e)...

To continue reading

Request your trial

VLEX uses login cookies to provide you with a better browsing experience. If you click on 'Accept' or continue browsing this site we consider that you accept our cookie policy. ACCEPT