Edición provisional

CONCLUSIONES DEL ABOGADO GENERAL

SR. JEAN RICHARD DE LA TOUR

presentadas el 4 de septiembre de 2025 (1)

Asunto C‑414/24

Datenschutzbehörde,

Dra. G S

con intervención de

Bundesministerin für Justiz,

D GmbH

[Petición de decisión prejudicial planteada por el Verwaltungsgerichtshof (Tribunal Supremo de lo Contencioso-Administrativo, Austria)]

« Procedimiento prejudicial — Protección de datos personales — Reglamento (UE) 2016/679 — Artículos 77 y 79 — Vías de recurso — Ejercicio paralelo — Articulación entre una reclamación administrativa y una acción judicial — Autonomía procesal de los Estados miembros — Principio de efectividad »

I.      Introducción

1.        La presente petición de decisión prejudicial tiene por objeto la interpretación de los artículos 77, apartado 1, y 79, apartado 1, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos). (2)

2.        Esta petición se ha presentado en el contexto de un litigio entre la doctora GS (en lo sucesivo, «GS») y la Österreichische Datenschutzbehörde (Autoridad de Protección de Datos, Austria; en lo sucesivo, «DSB») relativo a la desestimación, por dicha autoridad, de la reclamación presentada ante ella por GS, debido a que esta había ejercitado previamente una acción judicial relativa al mismo asunto.

3.        La petición de decisión prejudicial trae causa de la sentencia de 12 de enero de 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, [ (3)] en la que el Tribunal de Justicia declaró que las vías de recurso previstas en los artículos 77, apartado 1, y 78, apartado 1, del RGPD, por una parte, y en el artículo 79, apartado 1, de dicho Reglamento, por otra, pueden ejercerse de manera concurrente e independiente. Los referidos artículos 77, apartado 1, y 78, apartado 1, se refieren, respectivamente, al derecho a presentar una reclamación ante una autoridad de control (4) y al derecho a ejercitar una acción judicial contra la resolución adoptada por esa autoridad. Por su parte, el mencionado artículo 79, apartado 1, reconoce el derecho a la tutela judicial efectiva contra un responsable o encargado del tratamiento.

4.        El Verwaltungsgerichtshof (Tribunal Supremo de lo Contencioso-Administrativo, Austria), órgano jurisdiccional remitente, solicita orientación al Tribunal de Justicia sobre la articulación de estas vías de recurso y, más concretamente, sobre la posibilidad de que la autoridad de control desestime una reclamación cuando se haya ejercitado previamente una acción judicial con el mismo objeto, aun cuando dicho procedimiento siga pendiente o la resolución dictada con ocasión de este aún no sea firme.

5.        El alcance de esta cuestión es significativo, habida cuenta de la voluntad del legislador de la Unión, por un lado, de imponer una obligación particular de diligencia a la autoridad de control y, por el otro, de reforzar el derecho a la tutela judicial efectiva, consagrado en el artículo 47 de la Carta de los Derechos Fundamentales de la Unión Europea. (5)

6.        En las presentes conclusiones, propondré al Tribunal de Justicia que declare que los artículos 77, apartado 1, y 79, apartado 1, del RGPD deben interpretarse en el sentido de que se oponen a que una autoridad de control ante la que se haya presentado una reclamación de conformidad con dicho artículo 77, apartado 1, pueda desestimarla por haberse ejercitado previamente una acción judicial conforme al mencionado artículo 79, apartado 1, con el mismo objeto, cuando la resolución adoptada en el procedimiento que trae causa de esa acción aún no sea firme.

7.        Comenzaré mi análisis recordando el carácter concurrente e independiente de las vías de recurso previstas, por un lado, en los artículos 77, apartado 1, y 78, apartado 1, del RGPD y, por el otro, en el artículo 79, apartado 1, de dicho Reglamento. Recordaré también la obligación de los Estados miembros de coordinar estas vías de recurso para evitar que se dicten resoluciones contradictorias. Demostraré que esta obligación de coordinación no puede poner en entredicho el carácter concurrente e independiente de las vías de recurso ofrecidas por el RGPD ni autoriza a la autoridad de control a desestimar la reclamación de la que conoce en lugar de suspender su examen mientras no haya concluido definitivamente el procedimiento judicial iniciado con arreglo al artículo 79, apartado 1, del citado Reglamento.

II.    Marco jurídico

A.      Derecho de la Unión

8.        El artículo 17 del RGPD, titulado «Derecho de supresión (“el derecho al olvido”)», dispone en su apartado 1, letra d):

«El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:

[…]

d)      los datos personales hayan sido tratados ilícitamente.»

9.        En el capítulo VI del RGPD, bajo el epígrafe «Autoridades de control independientes», la sección 1, relativa a la «Independencia», comprende los artículos 51 a 54. En virtud del artículo 51, apartado 1, de dicho Reglamento:

«Cada Estado miembro establecerá que sea responsabilidad de una o varias autoridades públicas independientes […] supervisar la aplicación del presente Reglamento, con el fin de proteger los derechos y las libertades fundamentales de las personas físicas en lo que respecta al tratamiento y de facilitar la libre circulación de datos personales en la Unión.»

10.      El artículo 52, apartado 1, del RGPD tiene el siguiente tenor:

«Cada autoridad de control actuará con total independencia en el desempeño de sus funciones y en el ejercicio de sus poderes de conformidad con el presente Reglamento.»

11.      Dentro de la sección 2 del capítulo VI del RGPD, titulada «Competencia, funciones y poderes» y que comprende los artículos 55 a 59, el artículo 57, apartado 1, letras a) y f), establece:

«Sin perjuicio de otras funciones en virtud del presente Reglamento, incumbirá a cada autoridad de control, en su territorio:

a)      controlar la aplicación del presente Reglamento y hacerlo aplicar;

[…]

f)      tratar las reclamaciones presentadas por un interesado o por un organismo, organización o asociación de conformidad con el artículo 80, e investigar, en la medida oportuna, el motivo de la reclamación e informar al reclamante sobre el curso y el resultado de la investigación en un plazo razonable, en particular si fueran necesarias nuevas investigaciones o una coordinación más estrecha con otra autoridad de control.»

12.      De conformidad con el artículo 58, apartado 4, del RGPD:

«El ejercicio de los poderes conferidos a la autoridad de control en virtud del presente artículo estará sujeto a las garantías adecuadas, incluida la tutela judicial efectiva y al respeto de las garantías procesales, establecidas en el Derecho de la Unión y de los Estados miembros de conformidad con la Carta.»

13.      El artículo 77 del RGPD, titulado «Derecho a presentar una reclamación ante una autoridad de control», dispone:

«1.      Sin perjuicio de cualquier otro recurso administrativo o acción judicial, todo interesado tendrá derecho a presentar una reclamación ante una autoridad de control, en particular en el Estado miembro en el que tenga su residencia habitual, lugar de trabajo o lugar de la supuesta infracción, si considera que el tratamiento de datos personales que le conciernen infringe el presente Reglamento.

2.      La autoridad de control ante la que se haya presentado la reclamación informará al reclamante sobre el curso y el resultado de la reclamación, inclusive sobre la posibilidad de acceder a la tutela judicial en virtud del artículo 78.»

14.      El artículo 78 del RGPD, titulado «Derecho a la tutela judicial efectiva contra una autoridad de control», prevé en su apartado 1:

«Sin perjuicio de cualquier otro recurso administrativo o extrajudicial, toda persona física o jurídica tendrá derecho a la tutela judicial efectiva contra una decisión jurídicamente vinculante de una autoridad de control que le concierna.»

15.      El artículo 79 del RGPD, titulado «Derecho a la tutela judicial efectiva contra un responsable o encargado del tratamiento», dispone en su apartado 1:

«Sin perjuicio de los recursos administrativos o extrajudiciales disponibles, incluido el derecho a presentar una reclamación ante una autoridad de control en virtud del artículo 77, todo interesado tendrá derecho a la tutela judicial efectiva cuando considere que sus derechos en virtud del presente Reglamento han sido vulnerados como consecuencia de un tratamiento de sus datos personales.»

16.      El artículo 81 del RGPD, bajo el epígrafe «Suspensión de los procedimientos», preceptúa en sus apartados 2 y 3:

«2.      Cuando un procedimiento relativo a un mismo asunto en relación con el tratamiento por el mismo responsable o encargado esté pendiente ante un tribunal de otro Estado miembro, cualquier tribunal competente distinto de aquel ante el que se ejercitó la acción en primer lugar podrá suspender su procedimiento.

3.      Cuando dicho procedimiento esté pendiente en primera instancia, cualquier tribunal distinto de aquel ante el que se ejercitó la acción en primer lugar podrá también, a instancia de una de las partes, inhibirse en caso de que el primer tribunal sea competente para su conocimiento y su acumulación sea conforme a Derecho.»

B.      Derecho austriaco

17.      El apartado 1 del artículo 94 de la Bundes-Verfassungsgesetz (Ley Constitucional Federal) tiene el siguiente tenor:

«La justicia es independiente de la Administración en todas las instancias.»

18.      El artículo 24 de la Bundesgesetz zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Ley Federal de Protección de las Personas Físicas en el Tratamiento de los Datos Personales), (6) de 17 de agosto de 1999, en su versión aplicable a los hechos del litigio principal, titulado «Reclamaciones dirigidas a la Autoridad de Protección de Datos», establece, en sus apartados 1 y 4:

«(1)      Todo interesado tendrá derecho a presentar una reclamación ante la Autoridad de Protección de Datos cuando considere que el tratamiento de sus datos personales infringe el RGPD […].

[…]

(4)      El derecho a que una reclamación sea tramitada se extingue si el reclamante no la presenta en el plazo de un año desde que tuvo conocimiento de los hechos o, a más tardar, en el plazo de tres años desde que supuestamente se produjeron los hechos. Cualquier reclamación posterior será rechazada.»

III. Hechos del litigio principal y cuestiones prejudiciales

19.      El 3 de julio de 2017, GS, invocando la legislación vigente antes de la entrada en vigor del RGPD, solicitó (7) a la sociedad D GmbH, propietaria de una plataforma en línea de búsqueda de médicos que permitía a los usuarios escribir valoraciones y opiniones sobre los facultativos, la supresión de determinados datos personales. Esta solicitud fue denegada mediante escrito de 10 de julio de 2017.

20.      En noviembre de 2017, GS presentó una demanda contra D ante la jurisdicción civil, en la que alegaba, en particular, que se había vulnerado su derecho a la protección de datos, y por la que solicitaba que se ordenase la supresión de sus datos personales publicados por D y el cese en cualquier tratamiento ulterior de dichos datos.

21.      El 22 de junio de 2018, tras la entrada en vigor del RGPD, GS volvió a solicitar a D que suprimiese sus datos personales de la plataforma, petición esta que también fue denegada mediante escrito de 6 de julio de 2018.

22.      Por consiguiente, el 26 de julio de 2018, GS, presentó, con arreglo al artículo 77 del RGPD, una reclamación contra D ante la DSB sobre la base, en particular, del artículo 17 de dicho Reglamento, que garantiza el derecho de supresión. En tal reclamación, GS solicitaba a la DSB que declarase que se habían vulnerado sus derechos y que ordenase a D la supresión de todos los datos de su plataforma y el cese en cualquier tratamiento ulterior de dichos datos.

23.      Mediante resolución de 4 de enero de 2019, la DSB desestimó las pretensiones formuladas por GS por considerar que la reclamación y la acción civil ejercitada en noviembre de 2017 tenían el mismo objeto, a saber, la supresión de los datos personales de GS de la plataforma de D. Pues bien, a juicio de dicha autoridad, desde un punto de vista sistemático, la presentación paralela o sucesiva de una reclamación ante una autoridad de control y de una acción judicial sobre la misma cuestión es contraria al mecanismo de tutela judicial previsto en el RGPD.

24.      Mediante sentencia de 4 de diciembre de 2020, el Bundesverwaltungsgericht (Tribunal Federal de lo Contencioso-Administrativo, Austria) desestimó el recurso interpuesto contra dicha resolución. Anteriormente, mediante sentencia de 23 de julio de 2020, se había desestimado el recurso interpuesto por GS ante un tribunal civil en noviembre de 2017. El 4 de diciembre de 2020, dicha sentencia todavía no era firme.

25.      En su sentencia, el Bundesverwaltungsgericht (Tribunal Federal de lo Contencioso-Administrativo) declaró que el RGPD había establecido deliberadamente un doble mecanismo de tutela jurídica y que, por consiguiente, procedía confirmar que, en principio, la DSB era competente para pronunciarse sobre dicha reclamación. En cambio, el citado tribunal señaló que el plazo de preclusión de un año previsto en el artículo 24, apartado 4, de la Ley de Protección de Datos había expirado. Dado que GS tuvo conocimiento de la publicación de sus datos por D el 3 de julio de 2017 y puesto que en el curso del procedimiento no se alegó ningún otro elemento de hecho sustancial, cuando el 26 de julio de 2018 GS presentó su reclamación con arreglo al artículo 77 del RGPD ya se había extinguido su derecho a que esta se tramitase. El cambio legislativo, a saber, la entrada en vigor del RGPD, no interrumpió el plazo de preclusión. El Bundesverwaltungsgericht (Tribunal Federal de lo Contencioso-Administrativo) concluyó que, dado que la presentación fuera de plazo de una reclamación en virtud del artículo 77 del RGPD también es motivo de desestimación, la reclamación de GS se había desestimado correctamente.

26.      GS y DSB interpusieron sendos recursos de casación contra dicha sentencia ante el Verwaltungsgerichtshof (Tribunal Supremo de lo Contencioso-Administrativo).

27.      Dicho órgano jurisdiccional no está de acuerdo con el Bundesverwaltungsgericht (Tribunal Federal de lo Contencioso-Administrativo) en lo que atañe a la expiración del plazo de reclamación de GS. En efecto, dado que GS invocó por primera vez el derecho de supresión, en el sentido del artículo 17, apartado 1, del RGPD, tras la entrada en vigor de dicho Reglamento, el 22 de junio de 2018, el plazo del artículo 24, apartado 4, de la Ley de Protección de Datos no comenzó a correr hasta el momento en que GS tuvo conocimiento del correo electrónico de D, de 6 de julio de 2018, en el que comunicaba su denegación de la solicitud de supresión. Por tanto, el Verwaltungsgerichtshof (Tribunal Supremo de lo Contencioso-Administrativo) considera que la motivación expuesta por el Bundesverwaltungsgericht (Tribunal Federal de lo Contencioso-Administrativo) no puede justificar la desestimación por la DSB de la reclamación de GS, presentada de conformidad con el artículo 77 del RGPD.

28.      No obstante, el Verwaltungsgerichtshof (Tribunal Supremo de lo Contencioso-Administrativo) examina si la desestimación de esta reclamación fue, en el fondo, conforme a Derecho sobre la base de otros motivos. Tras recordar lo declarado por el Tribunal de Justicia en sus sentencias Nemzeti Adatvédelmi és Információszabadság Hatóság y de 7 de diciembre de 2023, SCHUFA Holding (Exoneración del pasivo insatisfecho), [ (8)] el órgano jurisdiccional remitente se pregunta, en particular, sobre el motivo invocado por la DSB, relativo a la existencia de un procedimiento judicial pendiente que tiene por objeto el mismo asunto. En efecto, el artículo 94, apartado 1, de la Ley Constitucional Federal dispone que la justicia es independiente de la Administración en todas las instancias. Como expone el órgano jurisdiccional remitente, este artículo garantiza un principio de separación de la justicia y la Administración, que exige que un asunto se asigne en su totalidad a efectos de su ejecución, ya sea a los tribunales o a las autoridades administrativas. Por tanto, según el órgano jurisdiccional remitente, el citado artículo se opone a que los tribunales y las autoridades administrativas se pronuncien de manera concurrente o sucesiva en un mismo asunto. (9)

29.      En primer término, el órgano jurisdiccional remitente se pregunta si puede desestimarse una reclamación presentada ante la autoridad de control con arreglo al artículo 77 del RGPD cuando se ha iniciado previamente un procedimiento judicial con arreglo al artículo 79 del RGPD en el mismo asunto y dicho procedimiento sigue pendiente ante el tribunal competente.

30.      El órgano jurisdiccional remitente recuerda que, en su sentencia Nemzeti Adatvédelmi és Információszabadság Hatóság, el Tribunal de Justicia declaró que los artículos 77 a 79 del RGPD permiten un ejercicio concurrente e independiente de las vías de recurso previstas, por una parte, en los artículos 77, apartado 1, y 78, apartado 1, de dicho Reglamento y, por otra parte, en el artículo 79, apartado 1, del mismo Reglamento, y que corresponde a los Estados miembros, de acuerdo con el principio de autonomía procesal, establecer la forma de articular estas vías de recurso para salvaguardar la efectividad de la protección de los derechos garantizados por el referido Reglamento, la aplicación coherente y homogénea de las disposiciones de este y el derecho a la tutela judicial efectiva consagrado en el artículo 47 de la Carta.

31.      Dicho órgano jurisdiccional considera que, para evitar la existencia de resoluciones contradictorias, lo que «pondría en peligro el objetivo de garantizar una aplicación coherente y homogénea de las normas de protección de las libertades y derechos fundamentales de las personas físicas en relación con el tratamiento de datos personales en toda la Unión», (10) sería posible admitir, siguiendo el modelo del artículo 81, apartados 2 y 3, del RGPD, que, cuando un mismo litigio esté pendiente ante los tribunales civiles y la autoridad administrativa, el órgano al que se haya acudido en segundo lugar deba desestimar la demanda o la reclamación.

32.      Según el mismo órgano jurisdiccional, aunque la forma nacional de articulación de que se trata no coincide plenamente con los mecanismos previstos en el RGPD para las situaciones que implican a varios Estados miembros, parece razonable considerarla válida, habida cuenta de su finalidad.

33.      El órgano jurisdiccional remitente añade que, aunque el principio de tutela judicial efectiva invocado por el Tribunal de Justicia se refiere principalmente a la situación de un interesado afectado por el tratamiento de datos personales que ejerce un recurso, al responsable contra el que se dirige la reclamación también se le debe reconocer el derecho a la tutela judicial efectiva, que podría verse afectado debido a la carga nada desdeñable que podría suponer la sustanciación de dos procedimientos paralelos, en particular por lo que respecta a los gastos de representación procesal para esos dos procedimientos.

34.      Así pues, considera que el mero hecho de que un asunto esté pendiente ante un tribunal, ante el que se ha ejercitado una acción en virtud del artículo 79 del RGPD, se opone a que ese asunto pueda ser sustanciado válidamente por la autoridad de control con arreglo al artículo 77 de dicho Reglamento cuando la reclamación ante esta se ha presentado con posterioridad a la interposición del recurso judicial.

35.      No obstante, el citado órgano jurisdiccional señala que, en caso de que se desestime una reclamación presentada con arreglo al artículo 77 del RGPD debido únicamente a la litispendencia de una acción judicial, en el momento de la desestimación aún no existe una resolución sobre el fondo relativa a la supuesta infracción en materia de protección de datos y, por tanto, tampoco hay riesgo de resoluciones contradictorias.

36.      En segundo término, en caso de respuesta negativa a su primera cuestión prejudicial, el órgano jurisdiccional remitente desea saber si una reclamación presentada ante la autoridad de control con arreglo al artículo 77 del RGPD puede desestimarse por existir ya una resolución judicial sobre el fondo recaída en un procedimiento incoado con arreglo al artículo 79 del RGPD.

37.      Según dicho órgano jurisdiccional, desestimar, con arreglo al principio de la primera autoridad que se hace cargo, una reclamación presentada ante la autoridad de control a partir del momento en el que se dicta una resolución sobre el fondo en el procedimiento judicial tiene en cuenta el objetivo de evitar resoluciones contradictorias. No obstante, precisa que es posible considerar que una resolución que aún no ha devenido firme difícilmente puede generar seguridad para el interesado en cuanto al mantenimiento de dicha resolución.

38.      En estas circunstancias, el Verwaltungsgerichtshof (Tribunal Supremo de lo Contencioso-Administrativo) decidió suspender el procedimiento y plantear al Tribunal de Justicia las siguientes cuestiones prejudiciales:

«1)      ¿Deben interpretarse los artículos 77 y 79 del [RGPD] habida cuenta de las consideraciones formuladas por el Tribunal de Justicia en las sentencias [Nemzeti Adatvédelmi és Információszabadság Hatóság] y [SCHUFA Holding], en el sentido del que la posibilidad prevista por el Derecho interno de rechazar una reclamación presentada ante una autoridad de control con arreglo al artículo 77 del RGPD por haberse presentado previamente una acción judicial con arreglo al artículo 79 del RGPD en el mismo asunto y por estar pendiente dicha acción ante el tribunal constituye una forma válida de articular ambas vías de recurso (en el sentido de la citada jurisprudencia del Tribunal de Justicia)?

2)      En caso de respuesta negativa a la primera cuestión, ¿deben interpretarse los artículos 77 y 79 del [RGPD] habida cuenta de las consideraciones formuladas por el Tribunal de Justicia en las sentencias [Nemzeti Adatvédelmi és Információszabadság Hatóság] y [SCHUFA Holding], en el sentido del que la posibilidad prevista por el Derecho interno de rechazar una reclamación presentada ante una autoridad de control con arreglo al artículo 77 del RGPD por haber recaído ya una resolución sobre el fondo (si bien aún no firme) en el procedimiento seguido en relación con el mismo asunto con arreglo al artículo 79 del RGPD constituye una forma válida de articular ambas vías de recurso (en el sentido de la citada jurisprudencia del Tribunal de Justicia)?»

39.      Han presentado observaciones escritas GS, D, la DSB, los Gobiernos austriaco, italiano y húngaro, y la Comisión Europea.

IV.    Análisis

40.      Para poder pronunciarse sobre el recurso del que conoce, el órgano jurisdiccional remitente desea obtener del Tribunal de Justicia precisiones sobre la articulación entre, por un lado, una reclamación presentada ante una autoridad de control con arreglo al artículo 77, apartado 1, del RGPD y, por el otro, una acción judicial ejercitada en virtud del artículo 79, apartado 1, de dicho Reglamento.

41.      Así pues, mediante sus cuestiones prejudiciales, que propongo examinar conjuntamente, el órgano jurisdiccional remitente solicita, en esencia, al Tribunal de Justicia que declare si una autoridad de control, ante la que se ha presentado una reclamación en virtud del artículo 77, apartado 1, del RGPD, puede desestimar dicha reclamación cuando se ha ejercitado previamente una acción judicial con arreglo al artículo 79, apartado 1, del mencionado Reglamento con el mismo objeto (primera cuestión prejudicial) o cuando en el procedimiento judicial que trae causa de esa acción se ha dictado una resolución que todavía no es firme (segunda cuestión prejudicial).

42.      En mi opinión, la respuesta a ambas cuestiones debe ser negativa. Además, debo observar que, a pesar de que la DSB desestimó la reclamación de GS, tanto el Gobierno austriaco como la citada autoridad de control comparten esta opinión.

43.      Con carácter preliminar, procede recordar que el capítulo VIII del RGPD regula, en particular, las vías de recurso que permiten proteger los derechos del interesado cuando los datos personales que le conciernen han sido objeto de un tratamiento supuestamente contrario a las disposiciones de dicho Reglamento. De este modo, la protección de estos derechos puede reclamarse, bien directamente por el interesado, con arreglo a los artículos 77 a 79 del Reglamento, bien por una entidad autorizada, mediando o no mandato a tal efecto, en virtud del artículo 80 del mismo Reglamento. (11)

44.      Con vistas a aclarar al órgano jurisdiccional remitente si la desestimación por la autoridad de control de una reclamación presentada ante ella en virtud del artículo 77, apartado 1, del RGPD, por haberse ejercitado previamente una acción judicial con arreglo al artículo 79, apartado 1, de dicho Reglamento con el mismo objeto, aun cuando la resolución dictada en el procedimiento del que trae causa esa acción aún no sea firme, constituye una forma admisible de acumulación de las vías de recurso previstas por dicho Reglamento, procede recordar que, para interpretar una disposición del Derecho de la Unión, han de tenerse en cuenta no solo su tenor, sino también su contexto y los objetivos perseguidos por la normativa de la que forma parte. (12)

45.      Por lo que respecta al tenor de las disposiciones pertinentes del RGPD, procede recordar, antes de nada, que el artículo 77, apartado 1, de dicho Reglamento precisa que, «sin perjuicio de cualquier otro recurso administrativo o acción judicial», todo interesado tendrá derecho a presentar una reclamación ante una autoridad de control. A continuación, con arreglo al artículo 78, apartado 1, del citado Reglamento, toda persona física o jurídica tendrá derecho a la tutela judicial efectiva contra una decisión jurídicamente vinculante de una autoridad de control que le concierna, «sin perjuicio de cualquier otro recurso administrativo o extrajudicial». Por último, el artículo 79, apartado 1, del mismo Reglamento garantiza a todo interesado el derecho a la tutela judicial efectiva, «sin perjuicio de los recursos administrativos o extrajudiciales disponibles, incluido el derecho a presentar una reclamación ante una autoridad de control en virtud del artículo 77».

46.      Según el Tribunal de Justicia, estas disposiciones del RGPD ofrecen diferentes vías de recurso a las personas que invocan una infracción de dicho Reglamento, entendiéndose que cada una de estas vías de recurso debe poder ejercerse «sin perjuicio» de las demás. (13) El RGPD no establece una competencia prioritaria o exclusiva ni ninguna regla de primacía de la apreciación efectuada por la autoridad o por los órganos jurisdiccionales a los que hace referencia en cuanto a la existencia de una vulneración de los derechos conferidos por ese Reglamento. (14) Dicho de otro modo, el legislador de la Unión quiso poner a disposición de los interesados un sistema completo de vías de recurso en el que el derecho a interponer un recurso judicial y la posibilidad de presentar una reclamación administrativa o extrajudicial coexisten de forma autónoma, sin que una vía sea subsidiaria respecto de la otra.

47.      Por tanto, el recurso previsto en el artículo 78, apartado 1, del RGPD, cuyo objeto es el examen de la legalidad de la decisión de una autoridad de control adoptada sobre la base del artículo 77 de dicho Reglamento, y el previsto en el artículo 79, apartado 1, de ese mismo Reglamento pueden ejercerse de manera concurrente e independiente. (15) Lo mismo sucede con las reclamaciones presentadas ante las autoridades de control de conformidad con el artículo 77, apartado 1, del RGPD.

48.      Tal afirmación se ve confirmada por el contexto en el que se inscriben las disposiciones del RGPD (16) y por los objetivos perseguidos por dicho Reglamento. A este respecto, del considerando 10 de dicho Reglamento se desprende en particular que este tiene por objeto garantizar un nivel elevado de protección de las personas físicas por lo que se refiere al tratamiento de datos personales en la Unión. El considerando 11 del referido Reglamento señala, además, que la protección efectiva de estos datos exige que se refuercen los derechos de los interesados. Por tanto, la decisión del legislador de la Unión de conceder a los interesados la posibilidad de ejercitar de forma concurrente e independiente las vías de recurso previstas, por una parte, en los artículos 77, apartado 1, y 78, apartado 1, del RGPD y, por otra parte, en el artículo 79, apartado 1, de ese mismo Reglamento se enmarca en el objetivo del citado Reglamento. (17) Asimismo, el Tribunal de Justicia ha declarado que la puesta a disposición de varias vías de recurso refuerza el objetivo enunciado en el considerando 141 del RGPD de garantizar a cualquier interesado que estime que se han vulnerado sus derechos con arreglo a ese Reglamento el derecho a la tutela judicial efectiva de conformidad con el artículo 47 de la Carta. (18) Debo añadir que tal interpretación también se ve corroborada por el proceso legislativo que dio lugar a la adopción del RGPD. En efecto, en el Consejo de la Unión Europea, la República de Austria explicó su negativa a refrendar dicho texto, en particular, habida cuenta de la posibilidad, prevista en el Reglamento, de ejercitar al mismo tiempo varias vías de recurso. (19) Sin embargo, esta posibilidad se mantuvo en la versión final del Reglamento.

49.      Habida cuenta de lo declarado por el Tribunal de Justicia en su sentencia Nemzeti Adatvédelmi és Információszabadság Hatóság, considero que admitir que una autoridad de control, ante la que se haya presentado una reclamación en virtud del artículo 77, apartado 1, del RGPD, pueda desestimarla por haberse ejercitado previamente una acción judicial conforme al artículo 79, apartado 1, de dicho Reglamento con el mismo objeto, cuando la resolución dictada en el procedimiento que trae causa de esa acción aún no sea firme, sería contrario a la posibilidad que ofrece el RGPD a los interesados de interponer recursos paralelos relativos al mismo tratamiento de datos personales.

50.      Es cierto que, en mis conclusiones presentadas en el asunto Nemzeti Adatvédelmi és Információszabadság Hatóság, tuve ocasión de señalar que esta posibilidad puede presentar un inconveniente, a saber, la inseguridad jurídica que puede generar la existencia de resoluciones contradictorias en un mismo Estado miembro. Pues bien, aunque el legislador de la Unión ha tenido en cuenta en el RGPD el riesgo de que autoridades de control u órganos jurisdiccionales de Estados miembros diferentes adopten decisiones contradictorias, no sucede lo mismo con las decisiones de este tipo adoptadas dentro de un mismo Estado miembro. (20) En estas circunstancias, corresponde a cada Estado miembro establecer los instrumentos procesales que permitan evitar que se adopten decisiones contradictorias en relación con un mismo tratamiento de datos personales. (21)

51.      En el asunto que dio lugar a la sentencia Nemzeti Adatvédelmi és Információszabadság Hatóság, se planteaba al Tribunal de Justicia una situación en la que el tribunal que conocía de un recurso interpuesto sobre la base del artículo 78, apartado 1, del RGPD podía verse obligado a adoptar una resolución contraria a una resolución firme, adoptada previamente por el tribunal que conoció de un recurso interpuesto sobre la base del artículo 79, apartado 1, de dicho Reglamento.

52.      En ese supuesto, el Tribunal de Justicia declaró, por una parte, que la existencia de dos resoluciones contradictorias pondría en peligro el objetivo de garantizar una aplicación coherente y homogénea de las normas de protección de las libertades y derechos fundamentales de las personas físicas en relación con el tratamiento de datos personales en toda la Unión, enunciado en el considerando 10 de dicho RGPD. (22) En efecto, según el Tribunal de Justicia, la protección concedida en virtud de una resolución dictada a raíz de un recurso interpuesto sobre la base del artículo 79, apartado 1, de dicho Reglamento por la que se declare la existencia de una infracción de las disposiciones de este último no sería coherente con una segunda resolución judicial resultante de un recurso interpuesto sobre la base del artículo 78, apartado 1, del citado Reglamento que tenga un resultado contrario. (23) Por otra parte, de ello resultaría una disminución de la protección de las personas físicas en lo que respecta al tratamiento de datos personales que les conciernen, ya que tal incoherencia crearía una situación de inseguridad jurídica. (24)

53.      Por tanto, es preciso que los Estados miembros velen por que la posibilidad de que los interesados puedan ejercer vías de recurso paralelas no ponga en entredicho la efectividad de la protección de los derechos que el RGPD les confiere. Corresponde a los Estados miembros elegir qué mecanismos procesales son más adecuados para permitir una articulación armoniosa de las vías de recurso previstas en los artículos 77 a 79 de dicho Reglamento.

54.      A este respecto, el Tribunal de Justicia ha precisado que, a falta de normativa de la Unión en la materia, cada Estado miembro debe configurar, en virtud del principio de autonomía procesal de los Estados miembros, la regulación de los procedimientos administrativos y judiciales destinados a asegurar un nivel elevado de salvaguarda de los derechos que el Derecho de la Unión confiere a los justiciables. (25) No obstante, la regulación de la aplicación de vías de recurso concurrentes e independientes no debe poner en entredicho el efecto útil y la protección efectiva de los derechos garantizados por el RGPD. (26) En efecto, esa regulación no debe ser menos favorable que la referente a los recursos semejantes establecidos para la protección de los derechos reconocidos por el ordenamiento jurídico interno (principio de equivalencia) ni hacer imposible en la práctica o excesivamente difícil el ejercicio de los derechos conferidos por el ordenamiento jurídico de la Unión (principio de efectividad). (27) Asimismo, el Tribunal de Justicia ha subrayado que los Estados miembros deben asegurarse de que la regulación concreta del ejercicio de los recursos previstos en los artículos 77, apartado 1, 78, apartado 1, y 79, apartado 1, de dicho Reglamento se ajuste efectivamente a las exigencias derivadas del derecho a la tutela judicial efectiva consagrado en el artículo 47 de la Carta. (28)

55.      En mis conclusiones presentadas en el asunto Nemzeti Adatvédelmi és Információszabadság Hatóság, (29) observé, en particular, que los Estados miembros podrían establecer la posibilidad o la obligación de que un órgano jurisdiccional ante el que se haya interpuesto un recurso en virtud del artículo 79, apartado 1, del RGPD, estando pendiente un procedimiento de reclamación en virtud del artículo 77, apartado 1, de dicho Reglamento o bien una acción judicial con arreglo al artículo 78, apartado 1, de ese mismo Reglamento, suspenda el procedimiento pendiente ante él y no se pronuncie hasta que se haya adoptado una decisión en uno u otro de esos procedimientos. (30) De este modo, señalé que, en mi opinión, la suspensión de un procedimiento puede constituir una solución para evitar la adopción de resoluciones contradictorias que puedan menoscabar la seguridad jurídica. (31)

56.      Esta solución me parece especialmente adecuada en el contexto del presente asunto. Así pues, una autoridad de control que conoce de una reclamación presentada con arreglo al artículo 77, apartado 1, del RGPD debería estar autorizada a suspender su examen de esta cuando se haya ejercitado previamente una acción judicial conforme al artículo 79, apartado 1, de dicho Reglamento con el mismo objeto, y la resolución adoptada en el procedimiento que trae causa de esa acción aún no sea firme.

57.      En cambio, considero que la desestimación de una reclamación en este contexto se opone al principio de efectividad, en la medida en que esta forma de articulación de las vías de recurso puede poner en cuestión la protección efectiva de los derechos garantizados por el RGPD. En efecto, tal desestimación me parece contraria al principio mismo de un sistema completo de recursos que puedan ejercerse de manera concurrente e independiente. Además, la desestimación de una reclamación no constituye necesariamente una medida adecuada para evitar la adopción de resoluciones contradictorias.

58.      A este respecto, es preciso señalar que, cuando la autoridad de control desestima una reclamación debido a la litispendencia de un recurso judicial interpuesto con arreglo al artículo 79, apartado 1, del RGPD, aún no puede estar segura de que se dictará una resolución sobre el fondo en el marco de dicho recurso. Así pues, este podría ser desestimado por un motivo procesal, como una causa de inadmisibilidad, sin que se emita un pronunciamiento en cuanto al fondo.

59.      Por otra parte, aun cuando dicho recurso dé lugar, como en el presente asunto, a una resolución sobre el fondo, esta podría impugnarse mediante recursos internos. Por ello, a diferencia de lo que sugiere la Comisión en sus observaciones, (32) el carácter firme o no de la resolución me parece importante. En mi opinión, la autoridad de control no puede desestimar de entrada una reclamación debido a que una acción judicial ejercitada con arreglo al artículo 79, apartado 1, del RGPD ha dado lugar a una resolución, mientras esta no haya adquirido firmeza y, por tanto, aún pueda ser recurrida.

60.      En definitiva, mientras la contradicción entre la resolución adoptada por una autoridad de control que conoce del asunto en virtud del artículo 77, apartado 1, del RGPD y la resolución aún no firme dictada por un tribunal que conoce del asunto de conformidad con el artículo 79, apartado 1, de dicho Reglamento sea meramente hipotética, dicha autoridad no puede desestimar la reclamación que se ha presentado ante ella sobre la base de ese riesgo de contradicción.

61.      En apoyo de esta interpretación, cabe subrayar la importancia del derecho a presentar una reclamación ante una autoridad de control, consagrado en el artículo 77, apartado 1, del RGPD, con el fin de garantizar una protección efectiva de los derechos garantizados por dicho Reglamento. Esta protección resulta, en particular, de los amplios poderes conferidos por dicho Reglamento a la autoridad de control para apreciar la existencia de un tratamiento ilícito de los datos personales del interesado y adoptar las medidas adecuadas para remediarlo.

62.      En este contexto, he de observar que el artículo 51, apartado 1, del RGPD obliga a los Estados miembros a establecer una o varias autoridades públicas independientes que se encarguen de supervisar la aplicación de este Reglamento. El establecimiento de tales autoridades, que también se prevé en el Derecho primario de la Unión, a saber, en el artículo 8, apartado 3, de la Carta y en el artículo 16 TFUE, apartado 2, constituye un elemento esencial del respeto de la protección de las personas físicas en lo que respecta al tratamiento de datos personales. (33) La función principal de dichas autoridades es, en virtud de los artículos 51, apartados 1 y 2, y 57, apartado 1, letras a) y g), del RGPD, controlar la aplicación de dicho Reglamento y hacerlo aplicar, a la vez que contribuir a su aplicación coherente en la Unión, con el fin de proteger los derechos y las libertades fundamentales de las personas físicas en lo que respecta al tratamiento de sus datos personales y de facilitar la libre circulación de tales datos dentro de la Unión. (34)

63.      En particular, en virtud del artículo 57, apartado 1, letra f), del RGPD, incumbe a cada autoridad de control, en su territorio, tratar las reclamaciones que cualquier persona, de conformidad con el artículo 77, apartado 1, de ese Reglamento, pueda presentar si considera que un tratamiento de datos personales que le conciernen infringe el referido Reglamento, así como examinar su objeto en la medida en que sea necesario. La autoridad de control debe proceder al tratamiento de esas reclamaciones con toda la diligencia exigible. (35) Así, el Tribunal de Justicia ha declarado que, aunque la elección del medio adecuado y necesario corresponde a la autoridad de control y es esta la que debe proceder a esa elección tomando en consideración todas las circunstancias del tratamiento de datos personales de que se trate, dicha autoridad sigue estando obligada a llevar a cabo con toda la diligencia exigible su misión de velar por el pleno cumplimiento del RGPD. (36)

64.      Para controlar la aplicación del RGPD y garantizar su cumplimiento, el artículo 58 de dicho Reglamento atribuye distintos poderes a las autoridades de control. De este modo, el artículo 58, apartado 1, del RGPD confiere a tales autoridades importantes poderes de investigación. Cuando una de esas autoridades, al finalizar su investigación, constata una infracción de las disposiciones de dicho Reglamento, está obligada a reaccionar de modo adecuado con el fin de subsanar la insuficiencia constatada. A tal efecto, el artículo 58, apartado 2, del referido Reglamento enumera los diferentes poderes correctivos de que dispone la autoridad de control. (37)

65.      El Tribunal de Justicia ha deducido de lo anterior que el procedimiento de reclamación, que no se asemeja al de una petición, se concibe como un mecanismo capaz de proteger de manera eficaz los derechos y los intereses de los interesados. (38) Desde esta perspectiva, la autoridad de control está obligada a intervenir cuando la adopción de una o varias de las medidas correctoras previstas en el artículo 58, apartado 2, del RGPD sea, habida cuenta de todas las circunstancias del caso concreto, adecuada, necesaria y proporcionada para subsanar la deficiencia constatada y garantizar el pleno respeto de dicho Reglamento. (39)

66.      En mi opinión, sería contrario a este objetivo y a la obligación de diligencia que recae sobre la autoridad de control privar de entrada a un interesado del beneficio de tal mecanismo permitiendo a dicha autoridad desestimar su reclamación por haberse ejercitado previamente una acción judicial conforme al artículo 79 del citado Reglamento con el mismo objeto, cuando la resolución dictada en el procedimiento que trae causa de esa acción aún no sea firme. En cambio, la suspensión del examen de esta reclamación a la espera de una resolución judicial que haya adquirido firmeza me parece conforme tanto con la exigencia de salvaguardar la protección efectiva de los derechos garantizados por el RGPD como con la de evitar la existencia de resoluciones contradictorias en un mismo Estado miembro.

67.      Es cierto que desestimar por tal motivo la reclamación presentada ante la autoridad de control con arreglo al artículo 77, apartado 1, del RGPD no impide necesariamente que el interesado pueda presentar una nueva reclamación ante dicha autoridad una vez que el procedimiento judicial haya concluido definitivamente debido a un motivo procesal o por el desistimiento del interesado.

68.      Sin embargo, presentar una nueva reclamación puede resultar imposible si, como en Austria, el Derecho nacional establece a tal fin un plazo de admisibilidad que ya ha expirado. En ese supuesto, el interesado podría verse privado de toda protección efectiva si su acción judicial se desestimara por un motivo procesal sin que se emita una resolución sobre el fondo o si desistiera de dicha acción.

69.      Por otra parte, y de manera más general, tal solución, que hace recaer sobre el interesado la responsabilidad de acudir de nuevo a la autoridad de control tras la desestimación inicial de su reclamación, me parece contraria a la obligación de diligencia que pesa sobre dicha autoridad. En efecto, esta obligación supone, como he indicado anteriormente, que la citada autoridad debe proceder al tratamiento de una reclamación presentada ante ella con toda la diligencia exigible. Tal obligación exige, en particular, que, cuando se presente una reclamación ante la autoridad de control y esta sea informada de la existencia de una acción judicial ejercitada con arreglo al artículo 79, apartado 1, del RGPD en relación con los mismos hechos, la referida autoridad tenga en cuenta, en el marco del examen de esa reclamación, la resolución que ponga fin definitivamente al procedimiento. Entre tanto, dicho examen debería suspenderse.

V.      Conclusión

70.      Habida cuenta de todas las consideraciones que preceden, propongo al Tribunal de Justicia que responda del siguiente modo a las cuestiones prejudiciales planteadas por el Verwaltungsgerichtshof (Tribunal Supremo de lo Contencioso-Administrativo, Austria):

«Los artículos 77, apartado 1, y 79, apartado 1, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos)

deben interpretarse en el sentido de que

se oponen a que una autoridad de control ante la que se haya presentado una reclamación de conformidad con dicho artículo 77, apartado 1, pueda desestimarla por haberse ejercitado previamente una acción judicial conforme al mencionado artículo 79, apartado 1, con el mismo objeto, cuando la resolución adoptada en el procedimiento que trae causa de esa acción aún no sea firme.»

1      Lengua original: francés

2      DO 2016, L 119, p. 1; en lo sucesivo, «RGPD».

3      C‑132/21, en lo sucesivo, «sentencia Nemzeti Adatvédelmi és Információszabadság Hatóság», EU:C:2023:2.

4      A tenor del artículo 4, punto 21, del RGPD, una autoridad de control es «la autoridad pública independiente establecida por un Estado miembro con arreglo a lo dispuesto en el artículo 51 [de dicho Reglamento]».

5      En lo sucesivo, «Carta».

6      BGBl. I, 165/1999; en lo sucesivo, «Ley de Protección de Datos».

7      Esta solicitud se basaba en la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (DO 1995, L 281, p. 31).

8      C‑26/22 y C‑64/22, en lo sucesivo, «sentencia SCHUFA Holding», EU:C:2023:958.

9      El órgano jurisdiccional remitente se refiere a la sentencia del Verfassungsgerichtshof (Tribunal Constitucional, Austria), de 14 de octubre de 1970, G 20/70.

10      El órgano jurisdiccional remitente cita la sentencia Nemzeti Adatvédelmi és Információszabadság Hatóság, apartado 54.

11      Véase, en particular, la sentencia de 4 de octubre de 2024, Lindenapotheke (C‑21/23, EU:C:2024:846), apartado 47 y jurisprudencia citada.

12      Véase, en particular, la sentencia de 4 de octubre de 2024, Lindenapotheke (C‑21/23, EU:C:2024:846), apartado 52 y jurisprudencia citada.

13      Véase la sentencia Nemzeti Adatvédelmi és Információszabadság Hatóság, apartado 34. Véase asimismo, en lo que atañe a la posibilidad de que el competidor de una empresa ejercite una acción ante la jurisdicción civil contra dicha empresa sobre la base del incumplimiento de la prohibición de las prácticas comerciales desleales derivado de la supuesta infracción, por la referida empresa, de las obligaciones previstas en el RGPD, la sentencia de 4 de octubre de 2024, Lindenapotheke (C‑21/23, EU:C:2024:846), apartado 53.

14      Véase la sentencia Nemzeti Adatvédelmi és Információszabadság Hatóság, apartado 35.

15      Véanse las sentencias Nemzeti Adatvédelmi és Információszabadság Hatóság, apartado 35 y fallo; SCHUFA Holding, apartado 66, y de 30 de abril de 2025, Inspektorat kam Visshia sadeben savet (C‑313/23, C‑316/23 y C‑332/23, EU:C:2025:303), apartado 128.

16      Véase la sentencia Nemzeti Adatvédelmi és Információszabadság Hatóság, apartados 36 a 41.

17      Véase la sentencia Nemzeti Adatvédelmi és Információszabadság Hatóság, apartado 42.

18      Véanse las sentencias Nemzeti Adatvédelmi és Információszabadság Hatóság, apartado 44, y SCHUFA Holding, apartado 66. En esta última sentencia, el Tribunal de Justicia dedujo de ello que la existencia del derecho a la tutela judicial efectiva contra un responsable o encargado del tratamiento, establecido en el artículo 79, apartado 1, del RGPD, no afecta al alcance del control jurisdiccional ejercido, en el marco de un recurso interpuesto en virtud del artículo 78, apartado 1, de dicho Reglamento, respecto de una decisión relativa a una reclamación adoptada por una autoridad de control (apartado 67 de dicha sentencia).

19      Véase el resultado de la votación sobre la adopción del RGPD en el documento 7920/16 del Consejo, de 14 de abril de 2016, disponible en la siguiente dirección de Internet: https://data.consilium.europa.eu/doc/document/ST-7920‑2016-INIT/es/pdf, p. 7. Esta interpretación es compartida por el Oberster Gerichtshof (Tribunal Supremo de lo Civil y Penal, Austria), como se refleja en su sentencia de 23 de mayo de 2019, 6Ob91/19d, apartado 4.5.

20      Véanse mis conclusiones presentadas en el asunto Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2022:661), punto 57.

21      Véanse mis conclusiones presentadas en el asunto Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2022:661), punto 58.

22      Véase la sentencia Nemzeti Adatvédelmi és Információszabadság Hatóság, apartado 54.

23      Véase la sentencia Nemzeti Adatvédelmi és Információszabadság Hatóság, apartado 55.

24      Véase la sentencia Nemzeti Adatvédelmi és Információszabadság Hatóság, apartado 56.

25      Véase la sentencia Nemzeti Adatvédelmi és Információszabadság Hatóság, apartado 45.

26      Véase la sentencia Nemzeti Adatvédelmi és Információszabadság Hatóság, apartado 47.

27      Véase la sentencia Nemzeti Adatvédelmi és Információszabadság Hatóság, apartado 48.

28      Véase, en particular, la sentencia de 30 de abril de 2025, Inspektorat kam Visshia sadeben savet (C‑313/23, C‑316/23 y C‑332/23, EU:C:2025:303), apartado 136 y jurisprudencia citada.

29      C‑132/21, EU:C:2022:661.

30      Véanse mis conclusiones presentadas en el asunto Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2022:661), punto 69.

31      Véanse mis conclusiones presentadas en el asunto Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2022:661), punto 70.

32      Véanse las observaciones de la Comisión, apartado 49.

33      Véase, en particular, la sentencia de 30 de abril de 2025, Inspektorat kam Visshia sadeben savet (C‑313/23, C‑316/23 y C‑332/23, EU:C:2025:303), apartado 119 y jurisprudencia citada.

34      Véase, en particular, la sentencia de 30 de abril de 2025, Inspektorat kam Visshia sadeben savet (C‑313/23, C‑316/23 y C‑332/23, EU:C:2025:303), apartado 120 y jurisprudencia citada.

35      Véanse, en particular, las sentencias SCHUFA Holding, apartado 56 y jurisprudencia citada, y de 26 de septiembre de 2024, Land Hessen (Obligación de actuar de la autoridad de protección de datos) (C‑768/21, EU:C:2024:785), apartado 32.

36      Véanse las sentencias de 16 de julio de 2020, Facebook Ireland y Schrems (C‑311/18, EU:C:2020:559), apartado 112, y de 26 de septiembre de 2024, Land Hessen (Obligación de actuar de la autoridad de protección de datos) (C‑768/21, EU:C:2024:785), apartado 37. En esta última sentencia, el Tribunal de Justicia también señaló que el margen de apreciación de que dispone la autoridad de control está limitado por la necesidad de garantizar un nivel coherente y elevado de protección de los datos personales mediante una aplicación rigurosa de las normas, como se desprende de los considerandos 7 y 10 del RGPD (apartado 38).

37      Véase, en particular, la sentencia SCHUFA Holding, apartado 57 y jurisprudencia citada.

38      Véase la sentencia SCHUFA Holding, apartado 58.

39      Véanse las sentencias de 26 de septiembre de 2024, Land Hessen (Obligación de actuar de la autoridad de protección de datos) (C‑768/21, EU:C:2024:785), apartado 42, y de 30 de abril de 2025, Inspektorat kam Visshia sadeben savet (C‑313/23, C‑316/23 y C‑332/23, EU:C:2025:303), apartado 132.