Asunto C‑178/22

Desconocidos

(Petición de decisión prejudicial planteada por el Tribunale di Bolzano/Landesgericht Bozen)

Sentencia del Tribunal de Justicia (Gran Sala) de 30 de abril de 2024

«Procedimiento prejudicial — Tratamiento de los datos personales en el sector de las comunicaciones electrónicas — Confidencialidad de las comunicaciones — Proveedores de servicios de comunicaciones electrónicas — Directiva 2002/58/CE — Artículo 15, apartado 1 — Artículos 7, 8, 11 y 52, apartado 1, de la Carta de los Derechos Fundamentales de la Unión Europea — Acceso a esos datos solicitado por una autoridad nacional competente para el enjuiciamiento de delitos de hurto con circunstancias agravantes — Definición del concepto de “delito grave” cuya persecución puede justificar una injerencia grave en los derechos fundamentales — Competencia de los Estados miembros — Principio de proporcionalidad — Alcance del control previo del juez sobre las solicitudes de acceso a los datos conservados por los proveedores de servicios de comunicaciones electrónicas»

1. Aproximación de las legislaciones — Sector de las telecomunicaciones — Tratamiento de los datos personales y protección de la intimidad en el sector de las comunicaciones — Directiva 2002/58/CE — Facultad de los Estados miembros para limitar el alcance de determinados derechos y obligaciones — Normativa nacional que permite a las autoridades nacionales acceder a los datos de tráfico y localización con fines de lucha contra la delincuencia grave — Acceso a esos datos para perseguir delitos de hurto con circunstancias agravantes — Existencia de una injerencia en los derechos a la intimidad y a la protección de datos personales — Criterios de apreciación — Duración del período de acceso a los datos — Solicitud de acceso a los datos de los usuarios de servicios de comunicaciones electrónicas que no estén abonados a dichos servicios — Falta de pertinencia

   [Carta de los Derechos Fundamentales de la Unión Europea, arts. 7 y 8; Directiva 2002/58/CE del Parlamento Europeo y del Consejo, en su versión modificada por la Directiva 2009/136/CE, arts. 2, letra a), 5, ap. 1, y 15, ap. 1]

   (véanse los apartados 36 y 39 a 41)

2. Aproximación de las legislaciones — Sector de las telecomunicaciones — Tratamiento de los datos personales y protección de la intimidad en el sector de las comunicaciones — Directiva 2002/58/CE — Facultad de los Estados miembros para limitar el alcance de determinados derechos y obligaciones — Normativa nacional que permite a las autoridades nacionales acceder a los datos de tráfico y localización con fines de lucha contra la delincuencia grave — Acceso a esos datos para perseguir delitos de hurto con circunstancias agravantes — Concepto de delito grave — Competencia de los Estados miembros para definir ese concepto — Límites — Respeto del principio de proporcionalidad — Verificación en el marco de un control previo efectuado por un órgano jurisdiccional o un organismo administrativo independiente — Alcance de dicho control

   (Carta de los Derechos Fundamentales de la Unión Europea, arts. 7, 8, 11 y 52, ap. 1; Directiva 2002/58/CE del Parlamento Europeo y del Consejo, en su versión modificada por la Directiva 2009/136/CE, art. 15, ap. 1)

   (véanse los apartados 44 a 51 y 54 a 63 y el fallo)

Resumen

En una petición de decisión prejudicial planteada por el Giudice delle indagini preliminari presso il Tribunale di Bolzano (Juez de Instrucción del Tribunal de Bolzano, Italia), la Gran Sala del Tribunal de Justicia aclara a quién corresponde definir el concepto de «delito grave» a efectos de la aplicación del artículo 15, apartado 1, de la Directiva sobre la privacidad y las comunicaciones electrónicas. ( 1 ) También se pronuncia sobre el alcance del control previo del juez nacional de las solicitudes de acceso a los datos almacenados por los proveedores de servicios de comunicaciones electrónicas.

A raíz de dos hurtos de teléfono móvil, la Procura della Repubblica presso il Tribunale di Bolzano (Fiscalía del Tribunal de Bolzano, Italia) inició dos procesos penales contra autores desconocidos por delitos de hurto con circunstancias agravantes. Con el fin de identificar a los autores de dichos hurtos, la Fiscalía solicitó al órgano jurisdiccional remitente, sobre la base de una disposición de Derecho nacional, ( 2 ) autorización para recabar de las compañías telefónicas los extractos telefónicos de los teléfonos sustraídos.

Al albergar dudas sobre la compatibilidad de esta disposición nacional, que establece que la pena máxima privativa de libertad no inferior a tres años, con la que se castiga un delito, puede justificar la comunicación de extractos telefónicos a las autoridades públicas, con la Directiva sobre la privacidad y las comunicaciones electrónicas, interpretada a la luz de la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «Carta»), el órgano jurisdiccional remitente preguntó al Tribunal de Justicia acerca de la interpretación de dicha Directiva.

Apreciación del Tribunal de Justicia

En primer lugar, por lo que respecta a la naturaleza de la injerencia en los derechos fundamentales al respeto de la intimidad y a la protección de los datos personales, ( 3 ) causada por el acceso a extractos telefónicos, el Tribunal de Justicia estima que esta injerencia puede calificarse de grave y que, por consiguiente, tal acceso solo puede concederse en el contexto de la lucha contra la delincuencia grave. El Tribunal de Justicia señala que, para apreciar la existencia de una injerencia grave en estos derechos fundamentales, el hecho de que los datos a los que se solicitó el acceso no sean los de los propietarios de los teléfonos móviles de que se trata, sino los de las personas que utilizaron esos teléfonos después de sus presuntos hurtos, carece de pertinencia. En efecto, de la Directiva sobre la privacidad y las comunicaciones electrónicas ( 4 ) se desprende que la obligación de principio de garantizar la confidencialidad de las comunicaciones electrónicas y la confidencialidad de los datos de tráfico asociados a ellas se refiere a las comunicaciones realizadas por los usuarios de la red pública de comunicaciones. Pues bien, esta Directiva define el concepto de «usuario» como la persona física que utiliza un servicio de comunicaciones electrónicas disponible para el público sin que necesariamente se haya abonado a dicho servicio.

En segundo lugar, por lo que respecta a la definición del concepto de «delito grave», el Tribunal de Justicia recuerda que, en la medida en que la Unión no haya legislado en la materia, la legislación penal y las normas de procedimiento penal son competencia de los Estados miembros. No obstante, estos deben ejercer esta competencia respetando el Derecho de la Unión.

A este respecto, observa que la definición de las infracciones penales, de las circunstancias atenuantes y agravantes y de las sanciones refleja tanto la realidad social como las tradiciones jurídicas, que varían no solo entre los Estados miembros, sino también en el tiempo. Pues bien, estas realidades y tradiciones revisten una importancia indudable para determinar los delitos graves.

Por lo tanto, habida cuenta del reparto de competencias entre la Unión y los Estados miembros y de las importantes diferencias entre los sistemas jurídicos nacionales en el ámbito penal, corresponde a los Estados miembros definir los «delitos graves».

No obstante, el Tribunal de Justicia subraya que esta definición de «delito grave» debe respetar las exigencias derivadas de la Directiva sobre la privacidad y las comunicaciones electrónicas, ( 5 ) interpretada a la luz de la Carta. ( 6 ) De ello se deduce que los Estados miembros no pueden desnaturalizar el concepto de «delito grave» y, por extensión, el de «delincuencia grave», incluyendo infracciones que manifiestamente no son graves habida cuenta de las condiciones sociales imperantes en el Estado miembro de que se trate. Para comprobar la inexistencia de tal desnaturalización es esencial que, ante un riesgo de injerencia grave en los derechos fundamentales, el acceso de las autoridades nacionales a los datos conservados esté supeditado a un control previo efectuado bien por un órgano jurisdiccional, bien por una entidad administrativa independiente.

En tercer y último lugar, para apreciar si la definición de «delitos graves» resultante de la disposición nacional no es demasiado amplia, el Tribunal de Justicia señala, en primer término, que se basa en un criterio objetivo una definición según la cual los «delitos graves», para cuyo fin puede concederse el acceso, son aquellos para los que la pena máxima privativa de libertad es al menos igual a una duración que la ley determina.

En segundo término, subraya, no obstante, que la definición que se da en Derecho nacional de los «delitos graves» no debe ser tan amplia que el acceso a dichos datos se convierta en la regla más que en la excepción. De este modo, no podría abarcar la gran mayoría de las infracciones penales, lo que sucedería si el umbral se fijara en un nivel excesivamente bajo. Pues bien, un umbral fijado por referencia a una pena máxima privativa de libertad no inferior a tres años no parece, a este respecto, excesivamente bajo.

Dicho esto, dado que la definición de «delitos graves» no se establece por referencia a una pena mínima, sino a una pena máxima, el Tribunal de Justicia no excluye que el acceso a los datos, constitutivo de una injerencia grave en los derechos fundamentales, pueda solicitarse con fines de enjuiciamiento de delitos que, en realidad, no son constitutivos de delincuencia grave.

No obstante, la fijación de un umbral a partir del cual la pena de reclusión máxima con que se castiga un delito justifica que se califique de delito grave no es necesariamente contraria al principio de proporcionalidad.

Por una parte, tal parece ser el caso de la disposición nacional controvertida, puesto que parece abarcar, en particular, los casos en los que el acceso no puede calificarse de injerencia grave, ya que no se refiere a un conjunto de datos que permita extraer conclusiones precisas sobre la vida privada de las personas afectadas.

Por otra parte, el órgano jurisdiccional o la entidad administrativa independiente, que interviene en el marco de un control previo, debe estar facultado para denegar o restringir dicho acceso cuando constate que la injerencia en los derechos fundamentales es grave cuando sea evidente que la infracción en cuestión no está comprendida efectivamente en el ámbito de la delincuencia grave.

En efecto, el órgano jurisdiccional o la entidad encargada de dicho control debe poder garantizar un justo equilibrio entre, por una parte, los intereses legítimos relacionados con las necesidades de la investigación penal y, por otra parte, los derechos al respeto de la vida privada y a la protección de los datos personales.

En particular, dicho órgano jurisdiccional o entidad debe poder excluir tal acceso cuando se solicite en el marco de un procedimiento penal por un delito que manifiestamente no es grave.

El Tribunal de Justicia concluye de ello que la Directiva sobre la privacidad y las comunicaciones electrónicas, interpretada a la luz de la Carta, no se opone a una disposición nacional que obliga al juez nacional a autorizar el acceso a un conjunto de datos de tráfico o de localización cuando este se solicita con fines de investigación de delitos castigados con una pena máxima privativa de libertad no inferior a tres años, siempre que, no obstante, dicho juez esté facultado para denegar dicho acceso si se solicita en el marco de una investigación sobre un delito que manifiestamente no es grave, a la luz de las condiciones sociales existentes en el Estado miembro de que se trate.

( 1 ) Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas) (DO 2002, L 201, p. 37), en su versión modificada por la Directiva 2009/136/CE del Parlamento Europeo y del Consejo, de 25 de noviembre de 2009 (DO 2009, L 337, p. 11) (en lo sucesivo, «Directiva sobre la privacidad y las comunicaciones electrónicas»).

( 2 ) A saber, el artículo 132, apartado 3, del Decreto Legislativo n. 196 — Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al regolamento (UE) n. 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE [Decreto Legislativo n.o 196, por el que se establece el código en materia de protección de datos personales, por el que se adapta el Derecho nacional al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE], de 30 de junio de 2003 (suplemento ordinario a la GURI n.o 174, de 29 de julio de 2003), en su redacción aplicable al litigio principal.

( 3 ) Garantizados en los artículos 7 y 8 de la Carta.

( 4 ) Artículo 5, apartado 1, de la Directiva sobre la privacidad y las comunicaciones electrónicas.

( 5 ) Artículo 15, apartado 1, de la Directiva sobre la privacidad y las comunicaciones electrónicas.

( 6 ) Artículos 7, 8, 11 y 52, apartado 1, de la Carta.