Volver a Publicaciones
PUBLICACIÓN
Bases de datos privadas de información comercial que se nutren de registros públicos
28 de marzo, 2023
1. El 16 de marzo de 2023 se han presentado las conclusiones del Abogado General en los asuntos acumulados C-26/22 y C-64/22 (ECLI:EU:C:2023:222) en las que se afronta el importante tema de las bases de datos privadas que se nutren de información que se extrae de bases de datos públicas (y en particular de la información sobre procedimientos concursales).
La cuestión prejudicial que se le presenta al Tribunal de Justicia se suscita en relación con una agencia privada alemana que proporciona información comercial y que recopila la información que consta en el registro público concursal de Alemania. Sucede, no obstante, que la normativa alemana establece que la información del registro público se suprimirá a más tardar seis meses después del levantamiento o desde la firmeza del archivo del procedimiento de insolvencia. No obstante, la referida agencia privada no la suprime hasta transcurridos tres años desde su incorporación. Ello es debido a que las autoridades de control han formalizado con la asociación de las agencias de información comercial unos códigos de conducta en los que se establece que la supresión de la información se realizará tres años después de la inscripción en el fichero.
2. El litigio nacional surge con ocasión de dos sujetos que solicitan la supresión de sus datos personales de la referida base de datos privada, petición que es rechazada y posteriormente confirmada por el dictamen de la autoridad de control competente (Delegado de protección de datos y de libertad de información del estado federado de Hesse). Presentado el correspondiente recurso judicial, el Tribunal de lo Contencioso-Administrativo de Wiesbaden plantea una serie de cuestiones judiciales al Tribunal de Justicia, entre otras cosas, porque el órgano judicial remitente duda de si las inscripciones en los registros públicos pueden trasladarse íntegramente a registros privados y ser objeto de retención, después de ser suprimidos del registro nacional, sin que exista un motivo concreto para la conservación de datos.
3. Pues bien, en opinión del Abogado General este tipo de actuaciones es contraria al Reglamento General de Protección de Datos (Reglamento 2016/679) y en concreto la conservación por una agencia privada de información comercial de datos personales procedentes de un registro público durante un plazo superior a aquel durante el cual se conservan los datos en el registro público.
En concreto, se vulneraría el artículo 6.1.f del citado Reglamento, según el cual una de las condiciones de la licitud del tratamiento de datos personales es que el tratamiento sea «necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales». Por lo tanto, «el interesado tiene derecho a que el responsable del tratamiento suprima sin demora los datos personales que le conciernan cuando dichos datos hayan sido objeto de un tratamiento ilícito con arreglo al artículo 6, apartado 1, de dicho Reglamento» (artículo 17.1. d del Reglamento 2016/679).
Por lo demás, el Abogado General también propone al tribunal que declare que los códigos de conducta elaborados de conformidad con el Reglamento y que eventualmente sean aprobados por la autoridad de control no pueden establecer de manera jurídicamente vinculante unas condiciones para el tratamiento lícito de los datos personales que difieran de las definidas en el artículo 6.1 del Reglamento General de Protección de Datos.
Finalmente, el Abogado General considera que, cuando el Reglamento en su artículo 78.1 dispone que «toda persona física o jurídica tendrá derecho a la tutela judicial efectiva contra una decisión jurídicamente vinculante de una autoridad de control que le concierna», esta disposición debe entenderse en el sentido de que «una decisión jurídicamente vinculante de una autoridad de control está sujeta a un control jurisdiccional pleno sobre el fondo».
La cuestión prejudicial que se le presenta al Tribunal de Justicia se suscita en relación con una agencia privada alemana que proporciona información comercial y que recopila la información que consta en el registro público concursal de Alemania. Sucede, no obstante, que la normativa alemana establece que la información del registro público se suprimirá a más tardar seis meses después del levantamiento o desde la firmeza del archivo del procedimiento de insolvencia. No obstante, la referida agencia privada no la suprime hasta transcurridos tres años desde su incorporación. Ello es debido a que las autoridades de control han formalizado con la asociación de las agencias de información comercial unos códigos de conducta en los que se establece que la supresión de la información se realizará tres años después de la inscripción en el fichero.
2. El litigio nacional surge con ocasión de dos sujetos que solicitan la supresión de sus datos personales de la referida base de datos privada, petición que es rechazada y posteriormente confirmada por el dictamen de la autoridad de control competente (Delegado de protección de datos y de libertad de información del estado federado de Hesse). Presentado el correspondiente recurso judicial, el Tribunal de lo Contencioso-Administrativo de Wiesbaden plantea una serie de cuestiones judiciales al Tribunal de Justicia, entre otras cosas, porque el órgano judicial remitente duda de si las inscripciones en los registros públicos pueden trasladarse íntegramente a registros privados y ser objeto de retención, después de ser suprimidos del registro nacional, sin que exista un motivo concreto para la conservación de datos.
3. Pues bien, en opinión del Abogado General este tipo de actuaciones es contraria al Reglamento General de Protección de Datos (Reglamento 2016/679) y en concreto la conservación por una agencia privada de información comercial de datos personales procedentes de un registro público durante un plazo superior a aquel durante el cual se conservan los datos en el registro público.
En concreto, se vulneraría el artículo 6.1.f del citado Reglamento, según el cual una de las condiciones de la licitud del tratamiento de datos personales es que el tratamiento sea «necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales». Por lo tanto, «el interesado tiene derecho a que el responsable del tratamiento suprima sin demora los datos personales que le conciernan cuando dichos datos hayan sido objeto de un tratamiento ilícito con arreglo al artículo 6, apartado 1, de dicho Reglamento» (artículo 17.1. d del Reglamento 2016/679).
Por lo demás, el Abogado General también propone al tribunal que declare que los códigos de conducta elaborados de conformidad con el Reglamento y que eventualmente sean aprobados por la autoridad de control no pueden establecer de manera jurídicamente vinculante unas condiciones para el tratamiento lícito de los datos personales que difieran de las definidas en el artículo 6.1 del Reglamento General de Protección de Datos.
Finalmente, el Abogado General considera que, cuando el Reglamento en su artículo 78.1 dispone que «toda persona física o jurídica tendrá derecho a la tutela judicial efectiva contra una decisión jurídicamente vinculante de una autoridad de control que le concierna», esta disposición debe entenderse en el sentido de que «una decisión jurídicamente vinculante de una autoridad de control está sujeta a un control jurisdiccional pleno sobre el fondo».
