Petición de decisión prejudicial planteada por el Landesarbeitsgericht Niedersachsen (Alemania) el 10 de julio de 2024 – NTH Haustechnik GmbH / EM

(Asunto C-484/24, NTH Haustechnik)

(C/2024/6402)

Lengua de procedimiento: alemán

Órgano jurisdiccional remitente

Landesarbeitsgericht Niedersachsen

Partes en el procedimiento principal

Parte demandante: NTH Haustechnik GmbH

Parte demandada: EM

Cuestiones prejudiciales

¿Satisfacen las disposiciones del artículo 92 de la Grundgesetz (Ley Fundamental alemana) y de los artículos 138, 286 y 355 y siguientes de la Zivilprozessordnung (Ley de Enjuiciamiento Civil) el principio de precisión de las disposiciones legales que se deriva de los artículos 8, apartado 2, y 52, apartado 1, de la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «Carta») y del artículo 5, apartado 1, letra c), del Reglamento general de protección de datos (en lo sucesivo, «RGPD») (1) en un supuesto de actividad judicial autónoma de tratamiento con arreglo al artículo 6, apartados 1, letra e), y 3, del RGPD, cuando la actividad judicial de tratamiento supone una injerencia en los derechos fundamentales de una de las partes o de un tercero?

¿Puede un órgano jurisdiccional nacional, en el contexto de un tratamiento de datos (en particular, de datos personales), invocar la habilitación que le confiere el artículo 17, apartado 3, letra e), del RGPD para tal tratamiento o constituyen los artículos 6 y 9 del RGPD el único fundamento posible para una actividad judicial de tratamiento?

b)	En caso de que el artículo 17, apartado 3, letra e), del RGPD pueda constituir, en principio, el fundamento jurídico válido para una actividad judicial de tratamiento:

aa)	¿Lo es también en los casos en los que los datos no hayan sido obtenidos inicialmente de forma lícita por una de las partes del procedimiento o por un tercero?

bb)

¿El tratamiento leal de datos [artículo 5, apartado 1, letra a), del RGPD] inicialmente obtenidos de forma ilícita implica, con arreglo al Derecho derivado, una restricción del tratamiento judicial, de manera que el artículo 17, apartado 3, letra e), del RGPD solo resulta aplicable en determinadas circunstancias o con determinadas limitaciones?

cc)

¿Debe entenderse el artículo 17, apartado 3, letra e), del RGPD en el sentido de que toda prohibición de utilización judicial de datos obtenidos inicialmente de manera ilícita decae (es decir, que el órgano jurisdiccional debe utilizar dicha información) siempre que la recogida inicial de datos no se llevase a cabo de forma encubierta y que se haya utilizado para demostrar un incumplimiento doloso de obligaciones?

Con independencia de si la actividad judicial de tratamiento se somete al artículo 17, apartado 3, letra e), del RGPD, a los artículos 6, apartados 1, letras c) o e), y 3, y 9 del RGPD o a otras disposiciones del Derecho de la Unión:

¿Se deduce de los principios de necesidad y de minimización de los datos, que rigen en materia de protección de datos en virtud del artículo 52, apartado 1, segunda frase, de la Carta y del artículo 5, apartado 1, letra a), del RGPD, especialmente respecto al tratamiento de datos inicialmente recogidos o almacenados de forma ilícita, la necesidad de un control exhaustivo de la proporcionalidad y de una ponderación por parte de los órganos jurisdiccionales?

¿Qué consecuencias tiene el artículo 5, apartado 1, letra e), del RGPD, con arreglo al cual los datos personales solo pueden mantenerse durante el tiempo necesario para los fines del tratamiento, sobre la posterior actividad judicial de tratamiento de datos, en particular en los casos en que:

—	los datos se hubieran recogido inicialmente para otros fines,

—	haya transcurrido un tiempo prolongado desde la obtención inicialmente ilícita de los datos,

—	se haya mantenido durante un tiempo prolongado el almacenamiento ilícito de los datos,

—	la obtención ilícita de datos afecte a datos que fueron almacenados (en su caso, ilícitamente) largo tiempo atrás, o

—	el organismo o persona que efectúa el tratamiento o la recogida de los datos se haya comprometido unilateralmente o por contrato individual o convenio colectivo a su supresión dentro de un determinado plazo, pero, pese a todo, no haya efectuado la supresión?

¿Se deduce del Derecho de la Unión, en particular del artículo 8 de la Carta y de los artículos 6, apartados 1, letras c) o e), y 3, y 9 del RGPD, que el órgano jurisdiccional nacional solo puede utilizar pruebas obtenidas violando los derechos de la personalidad si existe un interés legítimo de la parte a la que incumbe la carga de la prueba que vaya más allá del mero interés probatorio, o no se deduce del Derecho de la Unión norma alguna a este respecto, de modo que corresponde al ordenamiento jurídico nacional adoptar las disposiciones correspondientes?

¿Se deduce del artículo 47, párrafo segundo, de la Carta, que consagra el derecho a la tutela judicial efectiva y, en particular, a un juicio justo, según el cual las partes de un procedimiento civil en principio han de tener ocasión de fundamentar suficientemente el objetivo del ejercicio de su acción y de presentar pruebas a tal fin, que el tratamiento judicial de datos personales del trabajador demandante, recogidos ilícitamente por el empresario, solo puede calificarse de indebido y desproporcionado en sentido estricto si la recogida de los datos se revela, desde el punto de vista del Derecho de la Unión, como una infracción grave de los artículos 7 y 8 de la Carta, siendo totalmente insuficiente cualquier otra posible sanción para el empresario (por ejemplo, indemnización en virtud del artículo 82 del RGPD e imposición de multas administrativas en virtud del artículo 83 del RGPD), o puede el carácter indebido y desproporcionado derivarse ya de otras infracciones menos graves en materia de protección de datos cometidas en la obtención inicial de los datos?

Al decidir si utiliza en su actividad judicial de tratamiento de datos los datos obtenidos inicialmente por una de las partes o por un tercero, ¿debe tener en cuenta el órgano jurisdiccional si quien obtuvo los datos cumplió con las obligaciones de información que le incumben en virtud del artículo 13 del RGPD? En caso de respuesta afirmativa a esta pregunta, ¿en qué condiciones y conforme a qué criterios debe tener el órgano jurisdiccional en cuenta esta circunstancia?

El hecho de que el órgano jurisdiccional, al tratar datos personales, se halla vinculado por el RGPD y por la Carta, ¿engloba también los datos personales de terceros? ¿Cómo repercute una eventual infracción en materia de datos personales cometida frente a un tercero durante la recogida inicial de los datos en la posterior actividad judicial de tratamiento de datos en un litigio entre dos partes? ¿Puede (o no) una parte invocar una infracción cometida no contra ella, sino contra un tercero?

(1) Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO 2016, L 119, p. 1).