Edición provisional
SENTENCIA DEL TRIBUNAL DE JUSTICIA (Sala Quinta)
de 18 de junio de 2026 (*)
« Procedimiento prejudicial — Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Artículo 5, apartado 1, letra e) — Limitación del plazo de conservación — Artículo 6, apartado 1, párrafo primero, letra e) — Licitud, en relación con un contrato laboral, del tratamiento de dichos datos en el marco de un procedimiento judicial — Artículo 17, apartado 3, letra e) — Inexistencia de la obligación de suprimir esos datos cuando el tratamiento sea necesario para la formulación, el ejercicio o la defensa de reclamaciones — Datos obtenidos por el empresario para demostrar un incumplimiento grave de sus obligaciones por parte del empleado — Utilización de pruebas obtenidas ilegalmente »
En el asunto C‑484/24,
que tiene por objeto una petición de decisión prejudicial planteada, con arreglo al artículo 267 TFUE, por el Landesarbeitsgericht Niedersachsen (Tribunal Regional de lo Laboral de Baja Sajonia, Alemania), mediante resolución de 8 de mayo de 2024, recibida en el Tribunal de Justicia el 10 de julio de 2024, en el procedimiento entre
NTH Haustechnik GmbH
y
EM,
EL TRIBUNAL DE JUSTICIA (Sala Quinta),
integrado por la Sra. M. L. Arastey Sahún, Presidenta de Sala, y los Sres. J. Passer, E. Regan (Ponente), D. Gratsias y B. Smulders, Jueces;
Abogado General: Sr. D. Spielmann;
Secretario: Sr. G. Chiapponi, administrador;
habiendo considerado los escritos obrantes en autos y celebrada la vista el 2 de julio de 2025;
consideradas las observaciones presentadas:
– en nombre del Gobierno alemán, por los Sres. J. Möller y P.‑L. Krüger, en calidad de agentes;
– en nombre del Gobierno húngaro, por el Sr. M. Z. Fehér y las Sras. K. Szíjjártó y Zs. Biró-Tóth, en calidad de agentes;
– en nombre del Gobierno finlandés, por las Sras. A. Laine y H. Leppo, en calidad de agentes;
– en nombre de la Comisión Europea, por los Sres. A. Bouchagiar, F. Erlbacher y H. Kranenborg, en calidad de agentes;
oídas las conclusiones del Abogado General, presentadas en audiencia pública el 16 de octubre de 2025;
dicta la siguiente
Sentencia
1 La petición de decisión prejudicial tiene por objeto la interpretación de los artículos 5, 6, 9, 13 y 17 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO 2016, L 119, p. 1; corrección de errores en DO 2018, L 127, p. 3, y en DO 2021, L 74, p. 35; en lo sucesivo, «RGPD»).
2 Esta petición se ha presentado en el contexto de un litigio entre NTH Haustechnik GmbH (en lo sucesivo, «NTH») y su antigua empleada EM, en relación con la indemnización del daño supuestamente sufrido por esta sociedad por la reventa en línea no autorizada de bienes de su propiedad.
Marco jurídico
Derecho de la Unión
3 Los considerandos 1, 2, 4, 7, 10, 20, 39 y 41 del RGPD disponen lo siguiente:
«(1) La protección de las personas físicas en relación con el tratamiento de datos personales es un derecho fundamental. El artículo 8, apartado 1, de la Carta de los Derechos Fundamentales de la Unión Europea (“la Carta”) y el artículo 16 [TFUE], apartado 1, […] establecen que toda persona tiene derecho a la protección de los datos de carácter personal que le conciernan.
(2) Los principios y normas relativos a la protección de las personas físicas en lo que respecta al tratamiento de sus datos de carácter personal deben, cualquiera que sea su nacionalidad o residencia, respetar sus libertades y derechos fundamentales, en particular el derecho a la protección de los datos de carácter personal. El presente Reglamento pretende contribuir a la plena realización de un espacio de libertad, seguridad y justicia y de una unión económica, al progreso económico y social, al refuerzo y la convergencia de las economías dentro del mercado interior, así como al bienestar de las personas físicas.
[…]
(4) El tratamiento de datos personales debe estar concebido para servir a la humanidad. El derecho a la protección de los datos personales no es un derecho absoluto, sino que debe considerarse en relación con su función en la sociedad y mantener el equilibrio con otros derechos fundamentales, con arreglo al principio de proporcionalidad. El presente Reglamento respeta todos los derechos fundamentales y observa las libertades y los principios reconocidos en la Carta conforme se consagran en los Tratados, en particular el respeto de la vida privada y familiar, del domicilio y de las comunicaciones, la protección de los datos de carácter personal, la libertad de pensamiento, de conciencia y de religión, la libertad de expresión y de información, la libertad de empresa, el derecho a la tutela judicial efectiva y a un juicio justo, y la diversidad cultural, religiosa y lingüística.
[…]
(7) Estos avances requieren un marco más sólido y coherente para la protección de datos en la Unión Europea, respaldado por una ejecución estricta, dada la importancia de generar la confianza que permita a la economía digital desarrollarse en todo el mercado interior. Las personas físicas deben tener el control de sus propios datos personales. Hay que reforzar la seguridad jurídica y práctica para las personas físicas, los operadores económicos y las autoridades públicas.
[…]
(10) Para garantizar un nivel uniforme y elevado de protección de las personas físicas y eliminar los obstáculos a la circulación de datos personales dentro de la Unión, el nivel de protección de los derechos y libertades de las personas físicas por lo que se refiere al tratamiento de dichos datos debe ser equivalente en todos los Estados miembros. Debe garantizarse en toda la Unión que la aplicación de las normas de protección de los derechos y libertades fundamentales de las personas físicas en relación con el tratamiento de datos de carácter personal sea coherente y homogénea. En lo que respecta al tratamiento de datos personales para el cumplimiento de una obligación legal, para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento, los Estados miembros deben estar facultados para mantener o adoptar disposiciones nacionales a fin de especificar en mayor grado la aplicación de las normas del presente Reglamento. Junto con la normativa general y horizontal sobre protección de datos por la que se aplica la Directiva 95/46/CE [del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (DO 1995, L 281, p. 31)], los Estados miembros cuentan con distintas normas sectoriales específicas en ámbitos que precisan disposiciones más específicas. El presente Reglamento reconoce también un margen de maniobra para que los Estados miembros especifiquen sus normas, inclusive para el tratamiento de categorías especiales de datos personales […]. En este sentido, el presente Reglamento no excluye el Derecho de los Estados miembros que determina las circunstancias relativas a situaciones específicas de tratamiento, incluida la indicación pormenorizada de las condiciones en las que el tratamiento de datos personales es lícito.
[…]
(20) Aunque el presente Reglamento se aplica, entre otras, a las actividades de los tribunales y otras autoridades judiciales, en virtud del Derecho de la Unión o de los Estados miembros pueden especificarse las operaciones de tratamiento y los procedimientos de tratamiento en relación con el tratamiento de datos personales por los tribunales y otras autoridades judiciales. A fin de preservar la independencia del poder judicial en el desempeño de sus funciones, incluida la toma de decisiones, la competencia de las autoridades de control no debe abarcar el tratamiento de datos personales cuando los tribunales actúen en ejercicio de su función judicial. El control de esas operaciones de tratamiento de datos ha de poder encomendarse a organismos específicos establecidos dentro del sistema judicial del Estado miembro, los cuales deben, en particular, garantizar el cumplimiento de las normas del presente Reglamento, concienciar más a los miembros del poder judicial acerca de sus obligaciones en virtud de este y atender las reclamaciones en relación con tales operaciones de tratamiento de datos.
[…]
(39) Todo tratamiento de datos personales debe ser lícito y leal. Para las personas físicas debe quedar totalmente claro que se están recogiendo, utilizando, consultando o tratando de otra manera datos personales que les conciernen, así como la medida en que dichos datos son o serán tratados. El principio de transparencia exige que toda información y comunicación relativa al tratamiento de dichos datos sea fácilmente accesible y fácil de entender, y que se utilice un lenguaje sencillo y claro. Dicho principio se refiere en particular a la información de los interesados sobre la identidad del responsable del tratamiento y los fines del mismo y a la información añadida para garantizar un tratamiento leal y transparente con respecto a las personas físicas afectadas y a su derecho a obtener confirmación y comunicación de los datos personales que les conciernan que sean objeto de tratamiento. Las personas físicas deben tener conocimiento de los riesgos, las normas, las salvaguardias y los derechos relativos al tratamiento de datos personales, así como del modo de hacer valer sus derechos en relación con el tratamiento. En particular, los fines específicos del tratamiento de los datos personales deben ser explícitos y legítimos, y deben determinarse en el momento de su recogida. Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para los fines para los que sean tratados. Ello requiere, en particular, garantizar que se limite a un mínimo estricto su plazo de conservación. Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios. […]
[…]
(41) Cuando el presente Reglamento hace referencia a una base jurídica o a una medida legislativa, esto no exige necesariamente un acto legislativo adoptado por un parlamento, sin perjuicio de los requisitos de conformidad del ordenamiento constitucional del Estado miembro de que se trate. Sin embargo, dicha base jurídica o medida legislativa debe ser clara y precisa y su aplicación previsible para sus destinatarios, de conformidad con la jurisprudencia del Tribunal de Justicia de la Unión Europea […] y del Tribunal Europeo de Derechos Humanos.»
4 El artículo 1 del RGPD, titulado «Objeto», dispone:
«1. El presente Reglamento establece las normas relativas a la protección de las personas físicas en lo que respecta al tratamiento de los datos personales y las normas relativas a la libre circulación de tales datos.
2. El presente Reglamento protege los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales.
3. La libre circulación de los datos personales en la Unión no podrá ser restringida ni prohibida por motivos relacionados con la protección de las personas físicas en lo que respecta al tratamiento de datos personales.»
5 El artículo 2 del RGPD, bajo la rúbrica «Ámbito de aplicación material», establece, en sus apartados 1 y 2:
«1. El presente Reglamento se aplica al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero.
2. El presente Reglamento no se aplica al tratamiento de datos personales:
a) en el ejercicio de una actividad no comprendida en el ámbito de aplicación del Derecho de la Unión;
b) por parte de los Estados miembros cuando lleven a cabo actividades comprendidas en el ámbito de aplicación del capítulo 2 del título V del [Tratado UE];
c) efectuado por una persona física en el ejercicio de actividades exclusivamente personales o domésticas;
d) por parte de las autoridades competentes con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales, o de ejecución de sanciones penales, incluida la de protección frente a amenazas a la seguridad pública y su prevención.»
6 El artículo 4 del RGPD, con el epígrafe «Definiciones», dispone lo siguiente:
«A efectos del presente Reglamento se entenderá por:
[…]
2) “tratamiento”: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;
[…]
6) “fichero”: todo conjunto estructurado de datos personales, accesibles con arreglo a criterios determinados, ya sea centralizado, descentralizado o repartido de forma funcional o geográfica;
[…]».
7 El capítulo II del RGPD, titulado «Principios», engloba los artículos 5 a 11 del Reglamento.
8 El artículo 5 del RGPD, bajo la rúbrica «Principios relativos al tratamiento [de los datos personales]», dispone lo siguiente en su apartado 1:
«1. Los datos personales serán:
a) tratados de manera lícita, leal y transparente en relación con el interesado (“licitud, lealtad y transparencia”);
b) recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales (“limitación de la finalidad”);
c) adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados (“minimización de datos”);
[…]
e) mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado (“limitación del plazo de conservación”);
[…]».
9 El artículo 6 del RGPD, con el epígrafe «Licitud del tratamiento», dispone:
«1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.
2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras c) y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX.
3. La base del tratamiento indicado en el apartado 1, letras c) y e), deberá ser establecida por:
a) el Derecho de la Unión, o
b) el Derecho de los Estados miembros que se aplique al responsable del tratamiento.
La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido.
4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
a) cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
b) el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
c) la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
d) las posibles consecuencias para los interesados del tratamiento ulterior previsto;
e) la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización.»
10 El artículo 9 del RGPD, que lleva por título «Tratamiento de categorías especiales de datos personales», establece:
«1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física.
2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
[…]
f) el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
[…]
3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes.
4. Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud.»
11 El capítulo III del RGPD, bajo el epígrafe «Derechos del interesado», engloba los artículos 12 a 23 del Reglamento.
12 El artículo 13 del RGPD, titulado «Información que deberá facilitarse cuando los datos personales se obtengan del interesado», dispone:
«1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
a) la identidad y los datos de contacto del responsable y, en su caso, de su representante;
b) los datos de contacto del delegado de protección de datos, en su caso;
c) los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
d) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
e) los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
f) en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión [Europea], o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición.
2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
a) el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
b) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
d) el derecho a presentar una reclamación ante una autoridad de control;
e) si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
f) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado.
3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2.
4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.»
13 El artículo 17 del RGPD, con la rúbrica «Derecho de supresión (“el derecho al olvido”)», establece:
«1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
[…]
b) el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
[…]
d) los datos personales hayan sido tratados ilícitamente;
[…]
3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
[…]
e) para la formulación, el ejercicio o la defensa de reclamaciones.»
14 El artículo 23 del RGPD, con el titulado «Limitaciones», dispone:
«1. El Derecho de la Unión o de los Estados miembros que se aplique al responsable o [a]l encargado del tratamiento podrá limitar, a través de medidas legislativas, el alcance de las obligaciones y de los derechos establecidos en los artículos 12 a 22 y el artículo 34, así como en el artículo 5, en la medida en que sus disposiciones se correspondan con los derechos y obligaciones contemplados en los artículos 12 a 22, cuando tal limitación respete en lo esencial los derechos y libertades fundamentales y sea una medida necesaria y proporcionada en una sociedad democrática para salvaguardar:
[…]
e) otros objetivos importantes de interés público general de la Unión o de un Estado miembro […]
f) la protección de la independencia judicial y de los procedimientos judiciales;
[…]
i) la protección del interesado o de los derechos y libertades de otros;
j) la ejecución de demandas civiles.
2. En particular, cualquier medida legislativa indicada en el apartado 1 contendrá como mínimo, en su caso, disposiciones específicas relativas a:
a) la finalidad del tratamiento o de las categorías de tratamiento;
b) las categorías de datos personales de que se trate;
c) el alcance de las limitaciones establecidas;
d) las garantías para evitar accesos o transferencias ilícitos o abusivos;
e) la determinación del responsable o de categorías de responsables;
f) los plazos de conservación y las garantías aplicables habida cuenta de la naturaleza, alcance y objetivos del tratamiento o las categorías de tratamiento;
g) los riesgos para los derechos y libertades de los interesados, y
h) el derecho de los interesados a ser informados sobre la limitación, salvo si puede ser perjudicial a los fines de esta.»
Derecho alemán
Ley Fundamental de la República Federal de Alemania
15 A tenor del artículo 92 de la Grundgesetz für die Bundesrepublik Deutschland (Ley Fundamental de la República Federal de Alemania), de 23 de mayo de 1949 (BGBl. 1949 I, p. 1):
«El poder de juzgar recae sobre los jueces y lo ejercen el Bundesverfassungsgericht [(Tribunal Constitucional Federal, Alemania)], los tribunales federales previstos en la presente Ley Fundamental y los tribunales de los estados federados.»
Ley de Enjuiciamiento Civil
16 El artículo 138 de la Zivilprozessordnung (Ley de Enjuiciamiento Civil), en su versión aplicable al litigio principal, titulado «Obligación de explicar los hechos; obligación de veracidad», dispone:
«(1) Las partes deberán presentar sus declaraciones sobre los hechos con exhaustividad y veracidad.
(2) Cada parte deberá pronunciarse sobre los hechos alegados por la otra parte.
(3) Los hechos que no sean expresamente rebatidos se considerarán admitidos, a no ser que la intención de rebatirlos se infiera de las restantes declaraciones de la parte correspondiente.
(4) La declaración de desconocimiento solo se admitirá respecto a hechos que no constituyan actos propios de la parte ni hayan sido objeto de su propia percepción.»
17 El artículo 286 de dicha Ley, titulado «Libre valoración de la prueba», establece:
«(1) El tribunal decidirá, teniendo en cuenta la totalidad de las declaraciones formuladas en el procedimiento y el resultado de una eventual práctica de la prueba, desde su libre convicción, si una afirmación sobre los hechos debe considerarse cierta o no cierta. En la sentencia se expondrán los motivos que hayan contribuido a formar la convicción judicial.
(2) El tribunal solo estará vinculado por normas legales en materia de prueba en los casos previstos por la presente Ley.»
18 El artículo 355 de la referida Ley, con la rúbrica «Inmediatez de la práctica de la prueba», tiene el siguiente tenor:
«(1) La práctica de la prueba tendrá lugar ante el tribunal que conozca del fondo del asunto. Solo podrá encomendarse a un miembro de dicho tribunal o a otro tribunal en los supuestos previstos en la presente Ley.
(2) La resolución por la que se ordene el modo de practicar la prueba no será recurrible.»
Ley Federal de Protección de Datos
19 El artículo 3 de la Bundesdatenschutzgesetz (Ley Federal de Protección de Datos), de 30 de junio de 2017 (BGBl. 2017 I, p. 2097), en su versión aplicable al litigio principal, con el título «Tratamiento de datos personales por organismos públicos», dispone lo siguiente:
«El tratamiento de datos personales por parte de un organismo público será admisible cuando sea necesario para el cumplimiento de una misión que sea competencia del responsable del tratamiento o en el ejercicio de poderes públicos conferidos al responsable del tratamiento.
[…]»
20 El artículo 26 de la Ley Federal de Protección de Datos, en su versión aplicable al litigio principal, titulado «Tratamiento de datos para los fines de la relación laboral», establece:
«(1) Los datos personales de los empleados podrán ser objeto de tratamiento para los fines de la relación laboral si resulta necesario para decidir sobre la formalización de una relación laboral o, una vez formalizada la relación laboral, para su ejecución o extinción, o para el ejercicio o cumplimiento de los derechos y obligaciones de la representación legal de los empleados derivados de una ley o de un instrumento de regulación colectiva, de un acuerdo de empresa o de un acuerdo de servicio (convenio colectivo). Con el fin de descubrir la existencia de delitos, los datos personales de los empleados podrán ser objeto de tratamiento siempre que exista una sospecha fundada en indicios concretos, que deben demostrarse, de que el interesado ha cometido un delito en el ámbito de la relación laboral, que el tratamiento sea necesario para descubrir el delito y que no prevalezca el interés legítimo del empleado o empleados en excluir el tratamiento, y, en particular, que la naturaleza y el alcance del tratamiento no sean desproporcionados en relación con los motivos que lo causaron.
(2) Cuando el tratamiento de los datos personales de los empleados se efectúe sobre la base de un consentimiento, para apreciar si este se ha prestado de modo libremente voluntario, deberá tenerse en cuenta, en particular, la dependencia del empleado en la relación laboral, así como las circunstancias en las que se haya dado el consentimiento. Existirá libre voluntad, en particular, cuando el empleado logre una ventaja jurídica o económica o si el empleador y el trabajador tienen intereses convergentes. El consentimiento deberá otorgarse por escrito o telemáticamente, salvo que sea necesaria otra forma debido a circunstancias particulares. El empleador estará obligado a informar por escrito al empleado sobre la finalidad del tratamiento de los datos y de su derecho a retirar su consentimiento, previsto en el artículo 7, apartado 3, del [RGPD].
[…]
(5) El responsable del tratamiento deberá adoptar medidas adecuadas para garantizar, en particular, el cumplimiento de los principios relativos al tratamiento establecidos en el artículo 5 del [RGPD].
(6) Los derechos de participación de las organizaciones representativas de los empleados no se verán afectados.
(7) Los apartados 1 a 6 se aplicarán también cuando los datos personales, incluidas las categorías especiales de datos personales de los empleados, sean tratados sin que estén contenidos o destinados a ser incluidos en un fichero.
(8) Son “empleados” en el sentido de la presente Ley:
1. Las trabajadoras y los trabajadores, incluidos los trabajadores y las trabajadoras cedidos por empresas de trabajo temporal en las relaciones con el usuario;
[…]».
Litigio principal y cuestiones prejudiciales
21 NTH, una empresa de calefacción y aire acondicionado, contrató a EM, que estaba casada con el gerente de NTH.
22 El 31 de octubre de 2019, se extinguió la relación laboral entre NTH y EM. Posteriormente, hasta su separación del gerente de NTH, que tuvo lugar el 26 de junio de 2022, EM siguió teniendo acceso a los locales de NTH y utilizando los ordenadores que se encontraban en ellos.
23 Inmediatamente después de esta separación, actuando básicamente a través de su empleado F., que es el hijo del gerente de NTH y de EM, NTH comprobó que EM había vendido por cuenta propia, a través de la plataforma de ventas en línea eBay, bienes cuya propiedad reivindica NTH, por un valor global de reventa de 13 217,09 euros. A la vista del precio de compra de estos bienes y del importe de los gastos administrativos generados por la necesidad de reemplazarlos, NTH sostiene que el importe total del daño que ha sufrido asciende a 46 567,91 euros.
24 EM niega haber vendido dichos bienes sin el conocimiento de NTH. Alega que eran principalmente bienes devueltos por clientes o bienes defectuosos u obsoletos que NTH no habría podido utilizar y que, por tanto, ya no tenían valor para ella. Aduce que NTH se los cedió gratuitamente y que los vendió para satisfacer los gastos de la familia que formaba con el gerente de NTH.
25 El Landesarbeitsgericht Niedersachsen (Tribunal Regional de lo Laboral de Baja Sajonia, Alemania), que es el tribunal remitente, indica que NTH tuvo conocimiento de las ventas realizadas por EM accediendo a la cuenta privada de esta en la plataforma de ventas en línea eBay. Para ello, el empleado F. utilizó el nombre de usuaria y la contraseña de EM en esta plataforma de ventas.
26 En cuanto a cómo tuvo conocimiento ese empleado del nombre de usuaria y de la contraseña, el gerente de NTH afirma que el empleado F. obtuvo la información sobre el uso que EM hacía de dicha plataforma consultando el historial de navegación del ordenador propiedad de la empresa que EM utilizaba y que tuvo conocimiento de la contraseña consultando una «carpeta familiar» creada en su servidor. EM, por su parte, afirma no haber guardado esa contraseña en las unidades de almacenamiento informático de NTH. En cambio, sostiene que el gerente de NTH declaró haber perdido el teléfono móvil registrado a nombre de la empresa que ella utilizaba de cara a poder solicitar una nueva tarjeta SIM (Subscriber Identity Module, módulo de identificación de abonado) al correspondiente operador telefónico, lo que, en su opinión, permitió a la citada empresa utilizar el número de teléfono asociado a ese teléfono para modificar, en la misma plataforma, la contraseña de su cuenta privada y acceder a ella.
27 El tribunal remitente no excluye que la recogida de datos llevada a cabo por NTH para conocer las ventas efectuadas por EM en la plataforma de ventas en línea eBay se realizara ilícitamente.
28 En cualquier caso, ese tribunal indica que se inclina por considerar que los datos recogidos por NTH constituyen un tratamiento de datos, en el sentido del RGPD.
29 Sin embargo, según dicho tribunal, la jurisprudencia del Tribunal de Justicia no permite determinar con claridad, primero, si las normas del Derecho procesal alemán son suficientemente precisas para cumplir los requisitos del RGPD, en particular en lo que respecta a los criterios que se han de aplicar para determinar en qué circunstancias está prohibida la utilización de tales datos; segundo, si, en el ejercicio de su función judicial, los órganos jurisdiccionales alemanes pueden basarse en el artículo 17, apartado 3, letra e), del RGPD para tratar esos datos, y, por último, cuáles son los criterios con arreglo a los cuales se debe apreciar, en detalle, si el tratamiento de datos realizado en el ejercicio de esa función está autorizado, especialmente cuando, como en el caso de autos, una parte podría haber recogido ciertos datos ilícitamente.
30 En particular, el tribunal remitente señala, en primer lugar, que, en virtud del artículo 6, apartado 3, párrafo primero, del RGPD, la base del tratamiento indicado en el apartado 1, párrafo primero, letras c) y e), de dicho artículo, a falta de disposiciones del Derecho de la Unión, debe ser establecida por el Derecho del Estado miembro que se aplique al responsable de ese tratamiento, Derecho que, de conformidad con la interpretación que hace ese tribunal del párrafo segundo del artículo 6, apartado 3, debe determinar la finalidad del tratamiento. Además, según el citado tribunal, de la jurisprudencia del Tribunal de Justicia resultante de la sentencia de 24 de febrero de 2022, Valsts ieņēmumu dienests (Tratamiento de datos personales con fines fiscales) (C‑175/20, EU:C:2022:124), apartado 83, se desprende que, para cumplir el requisito de proporcionalidad, que se refleja específicamente en el artículo 5, apartado 1, letra c), del RGPD, la normativa en la que se basa el tratamiento debe establecer reglas claras y precisas que regulen el alcance y la aplicación de la medida en cuestión e impongan unas exigencias mínimas y, en particular, indicar en qué circunstancias y con arreglo a qué requisitos puede adoptarse una medida que contemple tal tratamiento.
31 Por consiguiente, el tribunal remitente se pregunta si el artículo 6, apartado 3, párrafo segundo, del RGPD debe interpretarse en el sentido de que, cuando un órgano jurisdiccional, en el ejercicio de su función judicial, adopta un acto que supone una injerencia en los derechos fundamentales de una parte y lleva a cabo el consiguiente tratamiento de datos, basta con que ese tratamiento sea necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos, o si, habida cuenta, en particular, del artículo 8, apartado 2, de la Carta, procede exigir que la base jurídica de dicho tratamiento incluya precisiones acerca de las circunstancias y las condiciones en las que ese órgano jurisdiccional puede utilizar los datos aportados por las partes.
32 En el supuesto de que el Tribunal de Justicia llegase a la conclusión de que los actos judiciales de tratamiento de datos que suponen una injerencia en los derechos fundamentales deben basarse en disposiciones legales que contengan tales precisiones, el tribunal remitente pregunta si una normativa nacional, como la controvertida en el litigio principal, cumple los requisitos establecidos por el RGPD. Según el tribunal remitente, dicha normativa no contiene ninguna indicación sobre los requisitos que se deben cumplir, o sobre los criterios que se deben ponderar, para poder determinar si un órgano jurisdiccional puede tener en cuenta los elementos de hecho alegados por una parte o puede practicar la prueba que esta propone. En particular, el tribunal remitente se pregunta sobre las consecuencias de que no exista ninguna disposición que regule los supuestos en los que la parte interesada haya obtenido ilícitamente los datos personales en los que se basa o los supuestos en que se sirva de pruebas que haya obtenido utilizando ilícitamente datos personales. También se pregunta sobre las consecuencias de que las normas que, en Derecho alemán, regulan la utilización de tales datos tengan una naturaleza exclusivamente jurisprudencial.
33 En segundo lugar, el tribunal remitente señala que, en su jurisprudencia, el Bundesarbeitsgericht (Tribunal Supremo de lo Laboral, Alemania) ha indicado que del artículo 17 del RGPD se desprende claramente que un órgano jurisdiccional también puede tratar datos personales cuando la recogida de tales datos, llevada a cabo por una parte en una fase precontenciosa o extrajudicial, resulte contraria a Derecho en virtud del RGPD o del Derecho nacional de protección de datos de que se trate y que, por consiguiente, no procede plantear al Tribunal de Justicia una petición de decisión prejudicial sobre esta cuestión.
34 No obstante, según el Bundesarbeitsgericht (Tribunal Supremo de lo Laboral), si bien el artículo 17, apartado 3, letra e), del RGPD establece una excepción al derecho a la supresión de los datos que han sido tratados ilícitamente, en la medida en que ese tratamiento sea «necesario» para la formulación, el ejercicio o la defensa de reclamaciones, esta disposición solo se refiere al mencionado derecho de supresión.
35 En cualquier caso, el tribunal remitente considera que hay que preguntarse si el artículo 6, apartado 1, letra e), o el artículo 9, apartado 2, letra f), del RGPD constituyen el fundamento de los tratamientos de datos personales efectuados por los órganos jurisdiccionales nacionales en el ejercicio de su función judicial o si tales órganos jurisdiccionales también pueden basarse en el artículo 17, apartado 3, letra e), del RGPD.
36 En el supuesto de que el Tribunal de Justicia llegase a la conclusión de que el artículo 17, apartado 3, letra e), del RGPD puede constituir tal fundamento por lo que respecta al tratamiento efectuado en el ejercicio de la función judicial de los órganos jurisdiccionales nacionales, el tribunal remitente se pregunta cómo habría que aplicar esta disposición y si esta última conlleva la prohibición de utilizar los datos, por ejemplo, cuando no se ocultó la recogida inicial de datos y esta fue utilizada para acreditar el incumplimiento doloso de una obligación.
37 En tercer lugar, el tribunal remitente se pregunta sobre los criterios materiales que deben regir los actos de tratamiento de datos efectuados en el ejercicio de una función judicial.
38 En particular, el citado tribunal se pregunta, en primer término, si, en el supuesto de datos obtenidos ilícitamente, pero cuya autenticidad y exactitud material no se cuestionan como tales, los órganos jurisdiccionales nacionales deben llevar a cabo un examen de proporcionalidad y una ponderación exhaustiva de los intereses en juego. También se plantea si esos órganos jurisdiccionales deben apreciar si procede distinguir esa situación de aquella en la que la otra parte impugna tanto el modo en que se obtuvieron los datos de que se trate, calificándolo de ilícito, como la autenticidad o la exactitud material de estos.
39 En segundo término, el tribunal remitente subraya que EM llevaba mucho tiempo sin utilizar el sistema informático de NTH cuando esta, a efectos del procedimiento principal, extrajo algunos de los datos allí almacenados. Además, dicho tribunal señala que el artículo 5, apartado 1, letra e), del RGPD establece, en esencia, que los datos personales no pueden ser mantenidos durante más tiempo del necesario para los fines del tratamiento. Por consiguiente, se pregunta sobre las consecuencias que, para aplicar esta disposición, cabe extraer de que esos datos se hubiesen recogido mucho antes, o incluso se hubiesen conservado durante un período largo, y, por último, de que existiesen obligaciones contractuales de supresión que no se observaron.
40 En tercer término, el tribunal remitente se plantea si basta con que una parte invoque un interés general en la prueba y si el Derecho de la Unión no exige que se consideren otros aspectos de los que resulte que el interés en la obtención de pruebas merece cierta protección, a pesar de que se menoscabe el derecho de la otra parte.
41 En cuarto término, dicho tribunal se pregunta, por un lado, sobre la posibilidad de que el empresario demandante invoque, en una situación como la controvertida en el litigio principal, el artículo 47, apartado 2, de la Carta para justificar la recogida y el tratamiento de los datos personales que ha realizado, y, por otro lado, sobre las consecuencias que deben extraerse de que ese empresario pueda haber incumplido sus obligaciones de información en virtud del artículo 13 del RGPD.
42 En quinto término, el referido tribunal señala que, en el apartado 55 de la sentencia de 2 de marzo de 2023, Norra Stockholm Bygg (C‑268/21, EU:C:2023:145), el Tribunal de Justicia declaró que, para tener en cuenta el artículo 5, apartado 1, del RGPD, y, en particular, el principio de «minimización de datos» que figura en la letra c) de dicha disposición, el órgano jurisdiccional nacional debe determinar si la divulgación de los datos personales es adecuada y pertinente para garantizar el objetivo perseguido por las disposiciones aplicables del Derecho nacional y si este objetivo no puede alcanzarse recurriendo a medios de prueba menos intrusivos en relación con la protección de los datos personales de un número elevado de terceros, como, por ejemplo, el examen de testigos seleccionados. Así pues, se pregunta si esta solución es extrapolable al caso de autos, ya que, por ejemplo, podrían verse afectados los datos de los compradores de la plataforma de ventas en línea eBay.
43 En estas circunstancias, el Landesarbeitsgericht Niedersachsen (Tribunal Regional de lo Laboral de Baja Sajonia) decidió suspender el procedimiento y plantear al Tribunal de Justicia las siguientes cuestiones prejudiciales:
«1) ¿Satisfacen las disposiciones del artículo 92 de la Ley Fundamental [de la República Federal de Alemania] y de los artículos 138, 286 y 355 y siguientes de la Ley de Enjuiciamiento Civil[, en su versión aplicable al litigio principal,] el principio de precisión de las disposiciones legales que se deriva de los artículos 8, apartado 2, y 52, apartado 1, de la [Carta] y del artículo 5, apartado 1, letra c), del [RGPD] en un supuesto de actividad judicial autónoma de tratamiento con arreglo al artículo 6, apartados 1, letra e), y 3, del RGPD cuando la actividad judicial de tratamiento supone una injerencia en los derechos fundamentales de una de las partes o de un tercero?
2) a) ¿Puede un órgano jurisdiccional nacional, en el contexto de un tratamiento de datos (en particular, de datos personales), invocar la habilitación que le confiere el artículo 17, apartado 3, letra e), del RGPD para tal tratamiento o constituyen los artículos 6 y 9 del RGPD el único fundamento posible para ejercer una actividad judicial de tratamiento?
b) En caso de que el artículo 17, apartado 3, letra e), del RGPD pueda constituir, en principio, un fundamento jurídico para una actividad judicial de tratamiento:
aa) ¿Lo es también en los casos en los que los datos no hayan sido obtenidos inicialmente de forma lícita por una de las partes del procedimiento o por un tercero?
bb) ¿El tratamiento leal de datos [artículo 5, apartado 1, letra a), del RGPD] inicialmente obtenidos de forma ilícita implica, con arreglo al Derecho derivado, una restricción del tratamiento judicial, de manera que el artículo 17, apartado 3, letra e), del RGPD solo resulta aplicable en determinadas circunstancias o con determinadas limitaciones?
cc) ¿Debe entenderse el artículo 17, apartado 3, letra e), del RGPD en el sentido de que toda prohibición de utilización judicial de datos obtenidos inicialmente de manera ilícita decae (es decir, que el órgano jurisdiccional debe utilizar dicha información) siempre que la recogida inicial de datos no se llevase a cabo de forma encubierta y que se haya utilizado para demostrar un incumplimiento doloso de obligaciones?
3) Con independencia de si la actividad judicial de tratamiento se somete al artículo 17, apartado 3, letra e), del RGPD, a los artículos 6, apartados 1, párrafo primero, letras c) o e), y 3, y 9 del RGPD o a otras disposiciones del Derecho de la Unión:
a) ¿Se deduce de los principios de necesidad y de “minimización de los datos”, que rigen en materia de protección de datos en virtud del artículo 52, apartado 1, segunda frase, de la [Carta] y del artículo 5, apartado 1, letra a), del RGPD, especialmente respecto al tratamiento de datos inicialmente recogidos o almacenados de forma ilícita, la necesidad de un control exhaustivo de la proporcionalidad y de una ponderación por parte de los órganos jurisdiccionales?
b) ¿Qué consecuencias tiene el artículo 5, apartado 1, letra e), del RGPD, con arreglo al cual los datos personales solo pueden mantenerse durante el tiempo necesario para los fines del tratamiento, sobre la posterior actividad judicial de tratamiento de datos, en particular en los casos en que:
– los datos se hubieran recogido inicialmente para otros fines,
– haya transcurrido un tiempo prolongado desde la obtención inicialmente ilícita de los datos,
– se haya mantenido durante un tiempo prolongado el almacenamiento ilícito de los datos,
– la obtención ilícita de datos afecte a datos que fueron almacenados (en su caso, ilícitamente) largo tiempo atrás, o
– el organismo o persona que efectúa el tratamiento o la recogida de los datos se haya comprometido unilateralmente o por contrato individual o convenio colectivo a su supresión dentro de un determinado plazo, pero, pese a todo, no haya efectuado la supresión?
c) ¿Implican el artículo 8 de la [Carta] y los artículos 6, apartados 1, párrafo primero, letras c) o e), y 3, y 9 del RGPD que el juez nacional solo puede utilizar pruebas obtenidas vulnerando los derechos de la personalidad si la parte sobre la que recae la carga de la prueba tiene un interés legítimo mayor al mero establecimiento de los elementos invocados, o el Derecho de la Unión no establece ninguna norma a este respecto, de modo que corresponde al ordenamiento jurídico nacional adoptar disposiciones al respecto?
d) ¿Se deduce del artículo 47, párrafo segundo, de la Carta, que consagra el derecho a la tutela judicial efectiva y, en particular, a un juicio justo, según el cual las partes de un procedimiento civil en principio han de tener ocasión de fundamentar suficientemente el objetivo del ejercicio de su acción y de presentar pruebas a tal fin, que el tratamiento judicial de datos personales del trabajador demandante, recogidos ilícitamente por el empresario, solo puede calificarse de indebido y desproporcionado en sentido estricto si la recogida de los datos se revela, desde el punto de vista del Derecho de la Unión, como una infracción grave de los artículos 7 y 8 de la Carta, siendo totalmente insuficiente cualquier otra posible sanción para el empresario (por ejemplo, indemnización en virtud del artículo 82 del RGPD e imposición de multas administrativas en virtud del artículo 83 del RGPD), o puede el carácter indebido y desproporcionado derivarse ya de otras infracciones menos graves en materia de protección de datos cometidas en la obtención inicial de los datos?
e) Al decidir si utiliza en su actividad judicial de tratamiento de datos los datos obtenidos inicialmente por una de las partes o por un tercero, ¿debe tener en cuenta el órgano jurisdiccional si quien obtuvo los datos cumplió con las obligaciones de información que le incumben en virtud del artículo 13 del RGPD? En caso de respuesta afirmativa a esta pregunta, ¿en qué condiciones y conforme a qué criterios debe tener el órgano jurisdiccional en cuenta esta circunstancia?
f) El hecho de que el órgano jurisdiccional, al tratar datos personales, se halla vinculado por el RGPD y por la [Carta], ¿engloba también los datos personales de terceros? ¿Cómo repercute una eventual infracción en materia de datos personales cometida frente a un tercero durante la recogida inicial de los datos en la posterior actividad judicial de tratamiento de datos en un litigio entre dos partes? ¿Puede (o no) una parte invocar una infracción no cometida contra ella, sino contra un tercero?»
Sobre las cuestiones prejudiciales
Sobre la admisibilidad
44 Con carácter preliminar, procede recordar que, si bien, según jurisprudencia reiterada, las cuestiones sobre la interpretación del Derecho de la Unión planteadas por el juez nacional en el marco fáctico y normativo definido bajo su responsabilidad, y cuya exactitud no corresponde verificar al Tribunal de Justicia, disfrutan de una presunción de pertinencia, en cambio, tales cuestiones son inadmisibles cuando resulte evidente que la interpretación solicitada del Derecho de la Unión no guarda relación alguna ni con la realidad ni con el objeto del litigio principal, cuando el problema planteado sea de naturaleza hipotética o cuando no disponga de los elementos de hecho o de Derecho necesarios para dar una respuesta útil a las cuestiones que se le hayan planteado [véase, en este sentido, la sentencia de 18 de junio de 2024, Bundesrepublik Deutschland (Efecto de una resolución por la que se concede el estatuto de refugiado), C‑753/22, EU:C:2024:524, apartado 44 y jurisprudencia citada].
45 En el caso de autos, procede señalar que, en sus cuestiones prejudiciales, el tribunal remitente se refiere en varias ocasiones al artículo 9 del RGPD, relativo a determinadas categorías especiales de datos personales, a saber, los que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, así como los datos genéticos y los datos biométricos, en la medida en que sean tratados para identificar de manera unívoca a una persona física, o incluso los datos relativos a la salud o los relativos a la vida sexual o a la orientación sexual de una persona física.
46 Pues bien, dado que de los autos que obran en poder del Tribunal de Justicia se desprende que el litigio principal no versa sobre tales datos, las cuestiones prejudiciales planteadas por el tribunal remitente deben considerarse inadmisibles en la medida en que tienen por objeto la interpretación del artículo 9 del RGPD.
Primera cuestión prejudicial
47 Con carácter preliminar, procede indicar que la cuestión prejudicial planteada se fundamenta en la premisa de que los tratamientos de datos personales realizados por un órgano jurisdiccional en el ejercicio de su función judicial solo pueden basarse en el artículo 6, apartado 1, letra e), del RGPD, referido a los tratamientos de datos personales necesarios para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento.
48 Pues bien, por una parte, hay que señalar que, en ciertas situaciones, cabe aplicar a un mismo tratamiento varias condiciones alternativas de licitud.
49 Por otra parte, si bien determinados tratamientos de datos personales efectuados por un órgano jurisdiccional pueden considerarse necesarios para el cumplimiento de esa misión realizada en interés público o en el ejercicio de poderes públicos, los tratamientos de datos personales que puede llevar a cabo un órgano jurisdiccional, como en el litigio principal, con ocasión de las proposiciones de prueba de las partes, presentan la particularidad de ser, en principio, necesarios para el cumplimiento de la obligación legal que incumbe a dicho órgano jurisdiccional, a saber, la de pronunciarse sobre la admisibilidad de tales proposiciones de prueba y, cuando estas últimas han sido declaradas admisibles a la luz de los criterios establecidos al efecto por el Derecho nacional, la de tenerlas en cuenta para dictar su resolución.
50 Por consiguiente, el Tribunal de Justicia estima que, para dar una respuesta útil al tribunal remitente, hay que examinar las distintas cuestiones prejudiciales que se le han planteado en el presente asunto a la luz del artículo 6, apartado 1, letra c), del RGPD, y no del artículo 6, apartado 1, letra e), de dicho Reglamento.
51 En estas circunstancias, procede considerar que, mediante su primera cuestión prejudicial, el tribunal remitente pregunta, en esencia, si el artículo 6, apartados 1, párrafo primero, letra c), y 3, del RPGD, en relación con los artículos 8, apartado 2, y 52 de la Carta, debe interpretarse en el sentido de que se opone a una normativa nacional que, por lo que respecta a la utilización de datos personales en el examen de los hechos y en la práctica de la prueba por un órgano jurisdiccional, se limita a establecer que corresponde a las partes presentar elementos de hecho detallados y veraces y a obligar al órgano jurisdiccional a tomarlos íntegramente en consideración, en su caso, antes de apreciarlos, sin indicar las circunstancias y condiciones en las que el órgano jurisdiccional puede utilizar los hechos alegados y las pruebas aportadas por las partes que contienen datos personales.
52 En primer lugar, procede recordar que, ciertamente, en el estado actual del Derecho de la Unión, corresponde exclusivamente al Derecho nacional determinar las normas relativas a la admisibilidad y a la apreciación de los elementos de hecho y de prueba (véanse, en este sentido, las sentencias de 6 de octubre de 2020, La Quadrature du Net y otros, C‑511/18, C‑512/18 y C‑520/18, EU:C:2020:791, apartado 223, y de 5 de abril de 2022, Commissioner of An Garda Síochána y otros, C‑140/20, EU:C:2022:258, apartado 127).
53 No obstante, en virtud del artículo 2, apartado 1, del RGPD, este último se aplica a todo «tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero», sin perjuicio de determinados supuestos contemplados en el artículo 2, apartados 2 y 3, de dicho Reglamento. Pues bien, dado que los tratamientos realizados por los tribunales y otras autoridades judiciales no forman parte de los supuestos contemplados en el artículo 2, apartados 2 y 3, el citado Reglamento puede aplicarse, como lo confirma, además, su considerando 20, a los tratamientos efectuados por esos tribunales y autoridades.
54 A este respecto, el artículo 4, punto 2, del RGPD define el «tratamiento» como cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.
55 Al emplear, en dicha definición, la expresión «cualquier operación», el legislador de la Unión quiso dar un alcance amplio al concepto de «tratamiento» (sentencia de 5 de diciembre de 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, apartado 50 y jurisprudencia citada).
56 Es cierto que, para que un tratamiento de datos personales esté comprendido en el ámbito de aplicación del RGPD, es preciso, además, de conformidad con el artículo 2, apartado 1, del citado Reglamento, que el tratamiento esté total o parcialmente automatizado o que, cuando no esté automatizado, los datos de que se trate estén contenidos o destinados a ser incluidos en un fichero.
57 Pues bien, por una parte, un tratamiento de datos personales debe considerarse que está total o parcialmente automatizado, en el sentido de dicha disposición, cuando implique recurrir a operaciones técnicas sin intervención humana alguna (véase, en este sentido y por analogía, la sentencia de 6 de noviembre de 2003, Lindqvist, C‑101/01, EU:C:2003:596, apartado 26).
58 Por otra parte, el artículo 4, punto 6, del RGPD define el «fichero» como todo conjunto estructurado de datos personales, accesibles con arreglo a criterios determinados, ya sea centralizado, descentralizado o repartido de forma funcional o geográfica.
59 No obstante, aun cuando el RGPD no se aplica a la admisibilidad de las proposiciones de prueba, hay que considerar que un órgano jurisdiccional efectúa un tratamiento de datos personales, en el sentido de dicho Reglamento, en particular, cuando incorpora documentos que contienen datos personales a los autos, como los del procedimiento controvertido en el litigio principal, siempre que esos autos estén comprendidos en el concepto de «fichero» en el sentido de los artículos 2, apartado 1, y 4, punto 6, del RGPD.
60 Asimismo, cuando esos documentos se comunican a un órgano jurisdiccional en soporte electrónico y dicho órgano jurisdiccional consulta, extrae, conserva o utiliza esos datos, efectúa un tratamiento, en el sentido del RGPD.
61 En particular, puesto que cada transmisión de datos a un responsable de tratamiento diferente del anterior conlleva un correlativo acto de recogida por su parte [véase, en este sentido, la sentencia de 30 de abril de 2024, La Quadrature du Net y otros (Datos personales y lucha contra la vulneración de derechos de propiedad intelectual), C‑470/21, EU:C:2024:370, apartado 62], se ha de considerar que un órgano jurisdiccional realiza ese acto de recogida cuando recaba, sobre la base de los documentos en soporte electrónico que le transmitió una parte, determinados datos personales que figuran en esos documentos.
62 En el caso de autos, corresponderá al tribunal remitente comprobar, a la luz de las consideraciones anteriores, si cabe estimar comprendidos en el ámbito de aplicación del RGPD los tratamientos de datos personales controvertidos en el litigio principal, bien porque se refieran a datos destinados a ser accesibles desde los autos procesales de ese asunto con arreglo a criterios determinados, bien porque estén total o parcialmente automatizados, como ocurre, en particular, cuando las pruebas han sido remitidas en soporte electrónico y los tratamientos han consistido en consultar, extraer, conservar o utilizar datos personales a partir de tales pruebas.
63 En segundo lugar, es preciso señalar que el principal objetivo perseguido por el RGPD, tal como se desprende de su artículo 1 y de sus considerandos 1, 2, 7 y 10, consiste en garantizar un nivel elevado de protección de los derechos y libertades fundamentales de las personas físicas, sobre todo de su derecho a la vida privada respecto del tratamiento de los datos personales, consagrado en el artículo 8, apartado 1, de la Carta y en el artículo 16 TFUE, apartado 1 (véase, en este sentido, la sentencia de 4 de octubre de 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:858, apartado 26 y jurisprudencia citada).
64 De conformidad con este objetivo, para que sea lícito, todo tratamiento de datos personales comprendido en el ámbito de aplicación del RGPD debe respetar los principios previstos en el capítulo II de dicho Reglamento y los derechos de las personas afectadas establecidos en su capítulo III (véase, en este sentido, la sentencia de 2 de marzo de 2023, Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, apartado 43 y jurisprudencia citada).
65 En virtud del artículo 6, apartado 1, párrafo primero, del RGPD, un tratamiento de datos personales comprendido en el ámbito de aplicación de dicho Reglamento solo será lícito en la medida en que esté incluido al menos en una de las condiciones alternativas de licitud que se enuncian en esa disposición [véase, en este sentido, la sentencia de 5 de junio de 2023, Comisión/Polonia (Independencia y vida privada de los jueces), C‑204/21, EU:C:2023:442, apartado 335 y jurisprudencia citada].
66 Pues bien, por lo que respecta a un tratamiento basado en la condición alternativa de licitud prevista en el artículo 6, apartado 1, párrafo primero, letra c), del RGPD, el artículo 6, apartado 3, párrafo primero, del RGPD precisa que la base de ese tratamiento debe ser establecida por el Derecho de la Unión o el Derecho del Estado miembro que se aplique al responsable del tratamiento.
67 Así, puesto que el Derecho de la Unión no regula el modo de exponer los hechos y de practicar la prueba ante los órganos jurisdiccionales nacionales, el artículo 6, apartado 3, párrafo primero, del RGPD exige que el tratamiento de datos personales efectuado en virtud de esa condición alternativa de licitud tenga una base jurídica en el Derecho nacional (véase, en este sentido, la sentencia de 2 de marzo de 2023, Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, apartado 32).
68 En lo relativo a la forma y al contenido que debe tener esta base jurídica, sin perjuicio de los requisitos vinculados al supuesto mencionado en la tercera frase del artículo 6, apartado 3, del RGPD, la citada disposición se limita a exigir, por lo que respecta a los tratamientos contemplados en el artículo 6, apartado 1, párrafo primero, letra c), de dicho Reglamento, que la finalidad de esos tratamientos quede determinada en dicha base jurídica, que la misma base jurídica cumpla un objetivo de interés público y que sea proporcionada a ese objetivo.
69 En cambio, ni del artículo 6, apartado 3, del RGPD ni de ninguna otra disposición de ese Reglamento se desprende que en esa base jurídica se deba exponer el objetivo que esta persigue en el Derecho nacional, entendiéndose que el «objetivo» son los fines generales perseguidos por el tratamiento de que se trate y los «fines» son las finalidades específicas y concretas de ese tratamiento [véase, en este sentido, la sentencia de 20 de noviembre de 2025, Policejní prezidium (Conservación de datos biométricos y genéticos), C‑57/23, EU:C:2025:905, apartado 81].
70 Es cierto que, cuando el legislador de un Estado miembro adopta una base jurídica que autoriza tratamientos con arreglo al artículo 6, apartado 1, párrafo primero, letra c), del RGPD, dicho legislador aplica el Derecho de la Unión, con lo que, en virtud del artículo 51 de la Carta, esa base jurídica deberá ser conforme con la Carta.
71 Pues bien, como subraya el tribunal remitente, el Tribunal de Justicia dedujo del artículo 8, apartado 2, de la Carta, que no hace sino reflejar, concretándola, la exigencia prevista en el artículo 52 de la Carta de que cualquier limitación del ejercicio de derechos fundamentales reconocidos por dicha Carta debe ser establecida por la ley [véase, en este sentido, la sentencia de 20 de noviembre de 2025, Policejní prezidium (Conservación de datos biométricos y genéticos), C‑57/23, EU:C:2025:905, apartado 51], que toda base jurídica que permita la injerencia en el derecho a la protección de los datos personales debe definir ella misma el alcance de la limitación del ejercicio de ese derecho que puede generar (véase, en este sentido, la sentencia de 6 de octubre de 2020, Privacy International, C‑623/17, EU:C:2020:790, apartado 65 y jurisprudencia citada).
72 Además, en lo relativo a la exigencia prevista en el artículo 52 de la Carta, el Tribunal de Justicia ha declarado que toda injerencia en el derecho a la protección de los datos personales debe llevarse a cabo respetando el principio de proporcionalidad, lo que exige que toda normativa que suponga tal injerencia establezca reglas claras y precisas que regulen el alcance y la aplicación de la medida en cuestión e impongan unas exigencias mínimas, de modo que las personas cuyos datos personales sean tratados dispongan de garantías suficientes que permitan proteger de manera eficaz esos datos contra los riesgos de abuso, así como contra cualquier acceso o uso ilícito de esos datos [véanse, en este sentido, las sentencias de 24 de febrero de 2022, Valsts ieņēmumu dienests (Tratamiento de datos personales con fines fiscales), C‑175/20, EU:C:2022:124, apartado 55 y jurisprudencia citada, y de 16 de noviembre de 2023, Roos y otros/Parlamento, C‑458/22 P, EU:C:2023:871, apartado 69 y jurisprudencia citada].
73 En particular, la base jurídica de un tratamiento de datos deberá indicar en qué circunstancias y con arreglo a qué requisitos puede adoptarse una medida que contemple el tratamiento de tales datos, garantizando así que la injerencia se limite a lo estrictamente necesario (véase, en este sentido, la sentencia de 16 de julio de 2020, Facebook Ireland y Schrems, C‑311/18, EU:C:2020:559, apartado 176 y jurisprudencia citada).
74 No obstante, el Tribunal de Justicia, remitiéndose a una jurisprudencia reiterada del Tribunal Europeo de Derechos Humanos, ha precisado también que el término «ley» —utilizado en el artículo 8, apartado 2, de la Carta, en la expresión «fundamento previsto por la ley»— debe entenderse en su acepción material y no formal (véase, en este sentido, la sentencia de 16 de noviembre de 2023, Roos y otros/Parlamento, C‑458/22 P, EU:C:2023:871, apartado 61 y jurisprudencia citada).
75 Además, según esta jurisprudencia del Tribunal Europeo de Derechos Humanos, dicha acepción del término «ley» —en la expresión «prevista por la ley», recogida en el artículo 8, apartado 2, del CEDH— implica que ese término se refiere al texto en vigor tal como lo hayan interpretado los órganos jurisdiccionales competentes (véase, en este sentido, TEDH, sentencia de 23 de enero de 2025, H.W. c. Francia, CE:ECHR:2025:0123JUD 001380521, § 65).
76 Asimismo, el considerando 41 del RGPD menciona expresamente que, cuando este Reglamento hace referencia a una base jurídica o a una medida legislativa, esto no exige necesariamente un acto legislativo adoptado por un parlamento, sin perjuicio de los requisitos de conformidad del ordenamiento constitucional del Estado miembro de que se trate. Sin embargo, dicha base jurídica o medida legislativa debe ser clara y precisa y su aplicación previsible para sus destinatarios, de conformidad con la jurisprudencia del Tribunal de Justicia y del Tribunal Europeo de Derechos Humanos.
77 Por consiguiente, la exigencia, expuesta en el artículo 6, apartado 3, del RGPD, de establecer una base jurídica para todo tratamiento que tenga como fundamento las condiciones alternativas de licitud previstas en el artículo 6, apartado 1, párrafo primero, letras c) y e), de dicho Reglamento debe entenderse en el sentido de que no implica necesariamente la existencia de un acto legislativo, ya que el concepto de «Derecho de los Estados miembros que se aplique al responsable del tratamiento» también puede comprender la jurisprudencia nacional, siempre que esta sea clara y precisa y su aplicación previsible para sus destinatarios (véase, en este sentido, la sentencia de 12 de septiembre de 2024, HTB Neunte Immobilien Portfolio y Ökorenta Neue Energien Ökostabil IV, C‑17/22 y C‑18/22, EU:C:2024:738, apartados 71 y 72).
78 Además, dado que el artículo 6, apartado 3, párrafo segundo, del RGPD exige que la base jurídica del tratamiento en cuestión cumpla un objetivo de interés público y sea proporcional al fin legítimo perseguido, esa jurisprudencia también debe cumplir tales condiciones (véase, en este sentido, la sentencia de 12 de septiembre de 2024, HTB Neunte Immobilien Portfolio y Ökorenta Neue Energien Ökostabil IV, C‑17/22 y C‑18/22, EU:C:2024:738, apartado 73 y jurisprudencia citada).
79 En el caso de autos, de la resolución de remisión se desprende que las disposiciones legislativas controvertidas en el litigio principal no establecen los requisitos que se han de cumplir para considerar admisibles las pruebas o los hechos en los que se contienen datos personales que anteriormente fueron tratados ilícitamente. Por consiguiente, corresponderá al tribunal remitente, para asegurarse de que estas disposiciones sean conformes con el RGPD, comprobar que son objeto de una jurisprudencia clara, precisa y de aplicación previsible, que establezca ella misma las circunstancias y las condiciones en las que el órgano jurisdiccional puede utilizar los hechos alegados y las pruebas aportadas por las partes en los que se contienen datos personales, que cumpla un objetivo de interés público y que sea proporcionada a este.
80 Habida cuenta de todo lo anterior, procede responder a la primera cuestión prejudicial que el artículo 6, apartados 1, párrafo primero, letra c), y 3, del RPGD, en relación con los artículos 8, apartado 2, y 52 de la Carta, debe interpretarse en el sentido de que no se opone a una normativa nacional que, por lo que respecta al tratamiento de datos personales efectuado en el examen de los hechos y en la práctica de la prueba por un órgano jurisdiccional, se limita a establecer que corresponde a las partes presentar elementos de hecho detallados y veraces y a obligar al órgano jurisdiccional a tomarlos íntegramente en consideración, en su caso, antes de apreciarlos, sin indicar las circunstancias y las condiciones en las que el órgano jurisdiccional puede utilizar los hechos alegados y las pruebas aportadas por las partes en los que se contienen datos personales, siempre que exista una jurisprudencia nacional clara, precisa y de aplicación previsible que establezca ella misma las circunstancias y las condiciones en las que el órgano jurisdiccional puede utilizar los hechos alegados y las pruebas aportadas por las partes en los que se contienen datos personales, que esa jurisprudencia cumpla un objetivo de interés público y que sea proporcionada a este.
Segunda cuestión prejudicial, letra a)
81 Mediante su segunda cuestión prejudicial, letra a), el tribunal remitente pregunta, en esencia, si el artículo 17, apartado 3, letra e), del RGPD debe interpretarse en el sentido de que establece una condición alternativa de licitud que pueda cumplir un tratamiento para ser conforme con el artículo 5, apartado 1, letra a), de dicho Reglamento y que se distinga de las enumeradas en el artículo 6, apartado 1, párrafo primero, del RGPD.
82 A este respecto, procede recordar que, en virtud del artículo 5, apartado 1, letra a), del RGPD, todo tratamiento de datos personales debe ser, en particular, lícito, lo que implica, como se recuerda en el apartado 64 de la presente sentencia, que ese tratamiento sea conforme con todos los principios previstos en el capítulo II del RGPD y respete los derechos de las personas afectadas que figuran en su capítulo III.
83 Entre estos principios, el artículo 6, apartado 1, párrafo primero, del RGPD establece una lista exhaustiva y taxativa de supuestos en los que un tratamiento de datos personales puede considerarse lícito. Así pues, para que pueda ser considerado como tal, de conformidad con el artículo 5, apartado 1, letra a), del RGPD, un tratamiento debe estar comprendido en uno de los casos previstos en ese artículo 6, apartado 1, párrafo primero [véase, en este sentido, la sentencia de 4 de mayo de 2023, Bundesrepublik Deutschland (Buzón electrónico judicial), C‑60/22, EU:C:2023:373, apartado 56 y jurisprudencia citada].
84 Es cierto que, en virtud del artículo 17, apartado 3, letra e), del RGPD, el derecho de los interesados a obtener del responsable del tratamiento la supresión de sus datos, en particular, como se desprende del artículo 17, apartado 1, letra d), de dicho Reglamento, cuando estos hayan sido tratados ilícitamente, no se aplica cuando el tratamiento sea necesario para la formulación, el ejercicio o la defensa de reclamaciones.
85 No obstante, el hecho de que el artículo 17, apartado 3, letra e), del RGPD introduzca una excepción a ese derecho de supresión no implica que esta disposición deba interpretarse en el sentido de que establece, como tal, una condición alternativa de licitud autónoma en la que pueda basarse el tratamiento de datos personales necesario para la formulación, el ejercicio o la defensa de reclamaciones para ser conforme con el artículo 5, apartado 1, letra a), del RGPD. En efecto, al ser exhaustiva y taxativa la lista de las condiciones alternativas de licitud expuestas en el artículo 6, apartado 1, párrafo primero, del RGPD, como se desprende del apartado 83 de la presente sentencia, no cabe considerar que la situación contemplada en el artículo 17, apartado 3, letra e), de ese Reglamento sea una condición alternativa de licitud.
86 A la vista de todo lo anterior, procede responder a la segunda cuestión prejudicial, letra a), que el artículo 17, apartado 3, letra e), del RGPD debe interpretarse en el sentido de que esta disposición no establece una condición alternativa de licitud que pueda cumplir un tratamiento para ser conforme con el artículo 5, apartado 1, letra a), de dicho Reglamento y que se distinga de las enumeradas en el artículo 6, apartado 1, párrafo primero, del RGPD.
Segunda cuestión prejudicial, letra b)
87 Habida cuenta de la respuesta dada a la segunda cuestión prejudicial, letra a), no procede responder a la letra b) de dicha cuestión prejudicial.
Tercera cuestión prejudicial, letra a)
88 De entrada, es preciso indicar que el principio de «minimización de datos», sobre el que versa exclusivamente la tercera cuestión prejudicial, letra a), no se enuncia, como parece considerar el tribunal remitente a la vista del tenor de la cuestión prejudicial, en el artículo 5, apartado 1, letra a), del RGPD, sino en el artículo 5, apartado 1, letra c), de dicho Reglamento.
89 Además, de la petición de decisión prejudicial se desprende que, cuando menciona un control de la proporcionalidad del tratamiento previsto y una «ponderación» exhaustiva de los intereses en juego, el citado tribunal se pregunta acerca de la necesidad, en virtud del artículo 52, apartado 1, segunda frase, de la Carta, de verificar, para cada tratamiento de datos personales efectuado, tanto que los datos que se tratan en ese caso permiten cumplir el objetivo perseguido por dicho tratamiento, y para ello son estrictamente necesarios, como que la gravedad de la injerencia en los derechos fundamentales que conlleva la consideración de esos datos a efectos de realizar el tratamiento en cuestión guarda relación con el interés que presenta, para el responsable del tratamiento, el recurso a esos datos para realizar el mencionado tratamiento.
90 Por consiguiente, se ha de entender que, mediante su tercera cuestión prejudicial, letra a), el tribunal remitente pregunta, en esencia, si el artículo 5, apartado 1, letra c), del RGPD, en relación con el artículo 52, apartado 1, segunda frase, de la Carta, debe interpretarse en el sentido de que el principio de «minimización de datos» exige al órgano jurisdiccional que, en cada tratamiento de datos personales que lleve a cabo, vele por que se respete el principio de proporcionalidad, asegurándose de que los datos que se tratan en ese caso permiten alcanzar el objetivo perseguido por dicho tratamiento, y para ello son estrictamente necesarios, y de que la gravedad de la injerencia en los derechos fundamentales que conlleva la consideración de esos datos a efectos de realizar el tratamiento en cuestión guarda relación con el interés que presenta, para ese órgano jurisdiccional, el recurso a esos datos para realizar el mencionado tratamiento.
91 A este respecto, por una parte, como se desprende del artículo 52, apartado 1, segunda frase, de la Carta, para que, dentro del respeto del principio de proporcionalidad, puedan introducirse limitaciones al ejercicio de los derechos fundamentales que la Carta garantiza, tales limitaciones deben ser necesarias y responder efectivamente a objetivos de interés general reconocidos por la Unión o a la necesidad de protección de los derechos y libertades de los demás.
92 Más concretamente, las excepciones a la protección de los datos personales y las limitaciones de esta última operan dentro del marco de lo estrictamente necesario, entendiéndose que, cuando se ofrezca una elección entre varias medidas adecuadas para la consecución de los objetivos legítimos perseguidos, deberá recurrirse a la menos onerosa de ellas. Además, no puede perseguirse legítimamente un objetivo de interés general sin tener en cuenta que tal objetivo debe conciliarse con los derechos fundamentales a los que afecta la medida —conciliación que debe realizarse efectuando una ponderación equilibrada entre el objetivo de interés general y los derechos en cuestión— para garantizar que los inconvenientes causados por esa medida no sean desmesurados en relación con los objetivos perseguidos. Así pues, la posibilidad de justificar una limitación a los derechos garantizados en los artículos 7 y 8 de la Carta debe apreciarse midiendo la gravedad de la injerencia que implica tal limitación y verificando que la importancia del objetivo de interés general perseguido por dicha limitación guarda relación con esa gravedad (sentencia de 21 de marzo de 2024, Landeshauptstadt Wiesbaden, C‑61/22, EU:C:2024:251, apartado 83 y jurisprudencia citada).
93 En consecuencia, el respeto del principio de proporcionalidad exige que solo puedan introducirse limitaciones a los derechos fundamentales garantizados por la Carta, en primer término, si la medida controvertida persigue uno o varios objetivos de interés general reconocidos por la Unión y efectivamente permite alcanzar esos objetivos; en segundo término, si las injerencias derivadas de dicha obligación se limitan a lo estrictamente necesario, en el sentido de que tales objetivos no podrían alcanzarse razonablemente de manera igualmente eficaz por otros medios menos gravosos para los derechos fundamentales de los interesados, y, en tercer término, si esas injerencias no son desproporcionadas con respecto a los mismos objetivos, lo que implica, en particular, una ponderación de estos y la gravedad de dichas injerencias (sentencia de 21 de marzo de 2024, Landeshauptstadt Wiesbaden, C‑61/22, EU:C:2024:251, apartado 84 y jurisprudencia citada).
94 Por otra parte, el artículo 5, apartado 1, letra c), del RGPD, al establecer que los datos personales sometidos a tratamiento serán adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados, supedita el tratamiento de datos personales al respeto del principio de «minimización de datos» [véase, en este sentido, la sentencia de 22 de junio de 2021, Latvijas Republikas Saeima (Puntos por infracciones de tráfico), C‑439/19, EU:C:2021:504, apartado 104].
95 Ahora bien, aunque este principio es un «reflejo» del principio de proporcionalidad (véase, en este sentido, la sentencia de 9 de enero de 2025, Mousse, C‑394/23, EU:C:2025:2, apartado 24 y jurisprudencia citada), esta circunstancia no implica, sin embargo, que dicha disposición aplique, por sí sola, el principio de proporcionalidad y, por tanto, las tres condiciones recordadas en el apartado 91 de la presente sentencia.
96 A este respecto, procede señalar que los requisitos establecidos en el artículo 5, apartado 1, letra c), del RGPD, y que bastan para justificar que esta disposición pueda ser considerada un reflejo del principio de proporcionalidad, permiten garantizar que la opción de recurrir a determinados datos y no a otros cumple las dos primeras condiciones que se derivan del respeto de ese principio.
97 Por una parte, del propio sentido de los términos «adecuado» y «pertinente» se desprende que, cuando los datos cumplen estos dos requisitos, son capaces de alcanzar los fines del tratamiento de que se trate y, a fortiori, el objetivo de dicho tratamiento. Por otra parte, dado que estos datos están limitados a lo necesario con respecto a los fines para los que son tratados, también están limitados con respecto al objetivo perseguido con carácter más general cuando se decide recurrir a tales datos para llevar a cabo el tratamiento en cuestión.
98 En cuanto a la tercera condición recordada en el apartado 93 de la presente sentencia, es preciso señalar que el hecho de cumplir una de las condiciones alternativas de licitud mencionadas en el artículo 6, apartado 1, párrafo primero, del RGPD ya permite limitar, en principio, los tratamientos a los que pueden someterse los datos de que se trate no solo a los necesarios para alcanzar un objetivo legítimo, sino también a los que presenten un interés legítimo que va más allá de la gravedad de la injerencia en los derechos fundamentales garantizados en los artículos 7 y 8 de la Carta que conllevan esos tratamientos.
99 Así, por lo que respecta a los tratamientos comprendidos en el artículo 6, apartado 1, párrafo primero, letra c), del RGPD, es decir, los necesarios para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, el artículo 6, apartado 3, párrafo segundo, de ese Reglamento prevé expresamente que el Derecho de la Unión o el Derecho de los Estados miembros que sirve de base jurídica para esos tratamientos, y que establece, por tanto, la obligación cuyo cumplimiento exige los tratamientos, debe cumplir un objetivo de interés público y ser proporcionado al fin legítimo perseguido.
100 De este modo, esta última disposición establece expresamente la exigencia de que la obligación legal aplicable al responsable del tratamiento y que sirve de base al tratamiento de datos personales sea el resultado de que se ponderen, en la adopción de esa base jurídica, por un lado, los derechos fundamentales al respeto de la vida privada y a la protección de los datos personales, consagrados en los artículos 7 y 8 de la Carta, y, por otro lado, los objetivos que en ese supuesto persiguen legítimamente el Derecho de la Unión o el Derecho de los Estados miembros (véase, por analogía, la sentencia de 4 de octubre de 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, apartado 124 y jurisprudencia citada).
101 Pues bien, dado que, de conformidad con el artículo 5, apartado 1, letra c), del RGPD, para realizar los tratamientos, únicamente cabe utilizar datos adecuados, pertinentes y limitados a lo necesario en relación con los fines perseguidos, cuando esa obligación sea el resultado de tal ponderación, los datos que cumplirán esas exigencias serán forzosamente tan solo aquellos cuyo tratamiento presente un interés legítimo que vaya más allá de la gravedad de la injerencia en los derechos fundamentales garantizados en los artículos 7 y 8 de la Carta que conllevan dichos tratamientos.
102 En el caso de los tratamientos de datos personales que un órgano jurisdiccional debe llevar a cabo cuando examina las proposiciones de prueba de las partes, habida cuenta de que tales tratamientos son necesarios para que se respete el derecho a un juicio justo, procede señalar que, para cumplir con el principio de «minimización de datos», dicho órgano jurisdiccional deberá verificar únicamente que los datos que trata cumplen las condiciones previstas en el artículo 5, apartado 1, letra c), del RGPD, sin que sea necesario, a estos efectos específicamente, y, por tanto, además de la obligación, establecida en el artículo 6, apartado 3, párrafo segundo, del RGPD, por lo que respecta a la base legal que obliga a los tratamientos en cuestión, de que sea proporcionada al fin legítimo perseguido, ponderar los intereses en juego, independientemente de que tal ponderación sea exhaustiva o no.
103 A la vista de todo lo anterior, procede responder a la tercera cuestión prejudicial, letra a), que el artículo 5, apartado 1, letra c), del RGPD, en relación con el artículo 52, apartado 1, segunda frase, de la Carta, debe interpretarse en el sentido de que el principio de «minimización de datos» no exige al órgano jurisdiccional que, en cada tratamiento de datos personales que lleve a cabo, vele por que se respete el principio de proporcionalidad, asegurándose de que los datos que se tratan en ese caso permiten alcanzar el objetivo perseguido por dicho tratamiento, y para ello son estrictamente necesarios, y de que la gravedad de la injerencia en los derechos fundamentales que conlleva la consideración de esos datos a efectos de realizar el tratamiento guarda relación con el interés que presenta, para ese órgano jurisdiccional, el recurso a esos datos para realizar el mencionado tratamiento, siempre que se cumplan las condiciones previstas en el artículo 5, apartado 1, letra c), del RGPD.
Tercera cuestión prejudicial, letras b) a d)
104 Habida cuenta de lo indicado en el apartado 49 de la presente sentencia, procede considerar que, mediante su tercera cuestión prejudicial, letras b) a d), el tribunal remitente pregunta, en esencia, si los artículos 7 y 8 de la Carta, el artículo 5, apartado 1, del RGPD, el artículo 6, apartado 1, párrafo primero, letra c), del RGPD, en relación con su apartado 3, y el principio de «minimización de datos» deben interpretarse en el sentido de que se oponen a que un juez nacional utilice pruebas que contienen datos personales obtenidos vulnerando el derecho a la protección de la vida privada y el derecho a la protección de los datos personales por la parte que se las transmitió, cuando dicha parte no tiene un interés legítimo en ese tratamiento que vaya más allá del mero interés probatorio de los hechos alegados.
105 A este respecto, procede subrayar, por un lado, que, si bien el derecho a la protección de la vida privada y el derecho a la protección de los datos personales, contemplados en los artículos 7 y 8 de la Carta, pueden, en determinadas situaciones, entrar en conflicto con el derecho a la tutela judicial efectiva, garantizado en el artículo 47 de la Carta, en lo relativo a los tratamientos de datos personales comprendidos en el ámbito de aplicación del RGPD, debe considerarse que los mecanismos que permiten encontrar un justo equilibrio entre los distintos derechos fundamentales e intereses en juego se recogen en el propio Reglamento (véase, en este sentido, la sentencia de 17 de junio de 2021, M.I.C.M., C‑597/19, EU:C:2021:492, apartado 112).
106 En particular, la proporcionalidad de las posibles vulneraciones del derecho a la protección de la vida privada y del derecho a la protección de los datos personales, contemplados en los artículos 7 y 8 de la Carta, cometidas por un tratamiento comprendido en el ámbito de aplicación del RGPD se garantiza aplicando tanto los principios establecidos en el artículo 5, apartado 1, de dicho Reglamento como los requisitos inherentes a cada condición alternativa de licitud prevista en el artículo 6, apartado 1, párrafo primero, de dicho Reglamento, en su caso, en relación con su apartado 3.
107 Por consiguiente, siempre que se cumplan los requisitos del tratamiento lícito de los datos personales con arreglo a dicho Reglamento, se entenderá que, en principio, este tratamiento satisface asimismo lo exigido por los artículos 7 y 8 de la Carta [sentencia de 5 de junio de 2023, Comisión/Polonia (Independencia y vida privada de los jueces), C‑204/21, EU:C:2023:442, apartado 332].
108 Por otro lado, como subrayó, en esencia, el Abogado General en el punto 32 de sus conclusiones, ni el artículo 5, apartado 1, del RGPD ni ninguno de los demás derechos y principios enunciados en los capítulos II y III de ese Reglamento prohíben de manera general y absoluta a una autoridad pública, como un órgano jurisdiccional, tener en cuenta datos personales que la persona que se los transmitió trató anteriormente de modo ilícito, en el sentido de dicho Reglamento.
109 Es cierto que el artículo 5, apartado 1, letra a), del RGPD establece como principio que el tratamiento de datos personales no solo debe ser lícito y transparente, sino también leal.
110 Sin embargo, del considerando 39 de ese Reglamento se desprende que el objetivo perseguido por este principio de lealtad, que se confunde con el perseguido por el principio de transparencia, es velar por que los interesados tengan conocimiento de la existencia de un tratamiento de sus datos personales y que, en este contexto, reciban la información necesaria para ejercer sus derechos.
111 Por consiguiente, la repercusión que tiene el hecho de que los datos tratados hubieran sido tratados anteriormente, por la parte que los transmitió, de modo ilícito, en el sentido del artículo 5, apartado 1, letra a), del RGPD, depende de la condición alternativa de licitud invocada por el responsable del tratamiento para justificar dicho tratamiento. En efecto, ante esos datos, algunas de esas condiciones alternativas pueden no resultar aplicables como consecuencia de los requisitos que establecen.
112 Así, por lo que respecta a la condición alternativa de licitud contemplada en el artículo 6, apartado 1, párrafo primero, letra f), del RGPD, el hecho de que el responsable del tratamiento supiera o hubiera debido saber que algunos de los datos que le fueron transmitidos habían sido recogidos o conservados anteriormente de manera ilícita excluye que quepa considerar que la recogida de esos datos, llevada a cabo por el referido responsable del tratamiento después de que fueran transmitidos, persigue intereses legítimos y, en consecuencia, cumple esa condición alternativa de licitud.
113 No obstante, se debe señalar que los tratamientos de datos personales efectuados por un órgano jurisdiccional en relación con los datos personales que figuran en las proposiciones de prueba de las partes son, en principio, necesarios para cumplir con la obligación legal que incumbe a dicho órgano jurisdiccional, a saber, la de pronunciarse sobre la admisibilidad de tales proposiciones de prueba y, cuando estas han sido declaradas admisibles a la luz de los criterios que el Derecho nacional establece al efecto, la de tenerlas en cuenta para dictar su resolución.
114 Pues bien, el artículo 6, apartado 1, párrafo primero, letra c), del RGPD no menciona ningún requisito que permita excluir que un órgano jurisdiccional pueda basarse en esta condición alternativa de licitud cuando los datos personales controvertidos que figuran en una proposición de prueba hayan sido tratados anteriormente por la persona que los transmitió de modo ilícito, en el sentido de dicho Reglamento.
115 Es cierto que el artículo 6, apartado 3, del RGPD precisa que la base jurídica de los tratamientos de datos personales con arreglo al artículo 6, apartado 1, párrafo primero, letra c), del referido Reglamento debe estar establecida por el Derecho de la Unión o el Derecho del Estado miembro que se aplique al responsable del tratamiento, que dicha base jurídica puede contener disposiciones específicas para adaptar la aplicación de las normas de este Reglamento a las necesidades que dichos tratamientos persiguen y que, en cualquier caso, el Derecho de la Unión o de ese Estado miembro debe cumplir un objetivo de interés público y ser proporcionado al fin legítimo perseguido (véase, en este sentido, la sentencia de 2 de marzo de 2023, Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, apartado 31).
116 Por lo que respecta a esta condición de proporcionalidad y a los requisitos que exige, se ha de señalar que, según la jurisprudencia recordada en el apartado 93 de la presente sentencia, en primer término, la base jurídica que sirve de fundamento al tratamiento controvertido debe permitir cumplir el objetivo de interés público perseguido; en segundo término, solo debe autorizar los tratamientos que se mantengan dentro de los límites de lo estrictamente necesario, lo que supone que no existan otras medidas menos gravosas para los derechos y libertades de los interesados que permitan alcanzar ese objetivo de manera igualmente eficaz, y, en tercer término, esa base jurídica debe ser proporcionada, en sentido estricto, de modo que, tras ponderar todos los elementos pertinentes, no autorice tratamientos que generen limitaciones a los derechos y libertades de los interesados que sean desmedidas a la luz de la importancia atribuida a la consecución de dicho objetivo.
117 Pues bien, el hecho de que la obligación legal que exige el tratamiento de los datos personales que figuran en las proposiciones de prueba formuladas por las partes también se aplique a los datos personales obtenidos vulnerando el derecho a la protección de la vida privada y el derecho a la protección de los datos personales por la parte que se los haya transmitido a un órgano jurisdiccional no permite excluir que dicha base jurídica cumpla esos requisitos.
118 En primer lugar, por lo que respecta al primer requisito recordado en el apartado 93 de la presente sentencia, en el supuesto de que el tratamiento de datos personales lo lleve a cabo un órgano jurisdiccional, hay que considerar que la obligación legal que exige a ese órgano jurisdiccional pronunciarse sobre la admisibilidad de las proposiciones de prueba formuladas por las partes y, cuando tales proposiciones de prueba sean admisibles, de tenerlas en cuenta para dictar su resolución persigue un objetivo de interés público, ya que guarda relación con el respeto de un derecho fundamental, a saber, el derecho a un juicio justo, consagrado en el artículo 47 de la Carta.
119 En segundo lugar, también hay que considerar que esta obligación permite alcanzar el mencionado objetivo de interés público, y para ello es estrictamente necesaria, aun cuando los datos en cuestión hayan sido obtenidos ilícitamente. En particular, dado que el derecho a un juicio justo exige que el órgano jurisdiccional se pronuncie sobre la admisibilidad de las proposiciones de prueba formuladas por las partes y, cuando esas proposiciones de prueba sean admisibles, las tenga en cuenta para dictar su resolución, no parece que ninguna otra medida cumpla ese objetivo tan eficazmente como la medida que consiste en permitir a los órganos jurisdiccionales tratar los datos personales que figuran en las proposiciones de prueba formuladas por las partes.
120 Por último, procede recordar, como lo confirma el considerando 4 del RGPD, que el derecho a la protección de los datos personales no es un derecho absoluto, sino que debe tomarse en consideración en relación con su función en la sociedad y ponderarse, de conformidad con el principio de proporcionalidad, con otros derechos fundamentales, como el derecho a la tutela judicial efectiva, garantizado en el artículo 47 de la Carta (véase, en este sentido, la sentencia de 2 de marzo de 2023, Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, apartado 49).
121 Habida cuenta de la función esencial que desempeña en la sociedad el derecho a un juicio justo, no parece que el hecho de obligar a un órgano jurisdiccional a tratar los datos personales que figuran en las proposiciones de prueba de las partes, incluso cuando esos datos han sido obtenidos vulnerando el derecho a la protección de la vida privada y el derecho a la protección de los datos personales, pueda menoscabar de modo desmedido esos derechos, en los términos en los que los garantizan los artículos 7 y 8 de la Carta.
122 Por consiguiente, la obligación que incumbe a un órgano jurisdiccional, de conformidad con el derecho a un juicio justo, de tratar todos los datos personales que figuran en las proposiciones de prueba cumple los requisitos del artículo 6, apartado 3, del RGPD, aun cuando esta obligación verse sobre datos obtenidos vulnerando los derechos de la personalidad y la parte que los transmitió al órgano jurisdiccional no tenga un interés legítimo en ese tratamiento que vaya más allá del mero interés probatorio de los hechos alegados.
123 Dicho esto, los datos utilizados en esos casos deben limitarse, de conformidad con el artículo 5, apartado 1, letra c), del RGPD, a los datos adecuados, pertinentes y necesarios en relación con los fines para los que son tratados.
124 Pues bien, a este respecto, en lo relativo, en primer lugar, a los datos de carácter personal utilizados en los tratamientos que el órgano jurisdiccional lleva a cabo para decidir acerca de la admisibilidad de las proposiciones de prueba y de la pertinencia de los hechos invocados por una parte a la luz de las normas del Derecho nacional aplicable en la materia, procede subrayar que el derecho a un juicio justo, en los términos reconocidos en el artículo 47 de la Carta, implica que las partes estén en condiciones de proponer al órgano jurisdiccional las pruebas que consideren pertinentes.
125 Consecuentemente, por lo que respecta a los recursos judiciales destinados a garantizar la salvaguardia de los derechos que el Derecho de la Unión confiere a los destinatarios, el hecho de que, para pronunciarse sobre la admisibilidad de las proposiciones de prueba, un órgano jurisdiccional deba tratar datos personales no implica, en principio, ninguna violación del principio de «minimización de los datos», puesto que, en esta fase, esos datos son precisamente adecuados, pertinentes y necesarios para que el órgano jurisdiccional pueda pronunciarse sobre dicha admisibilidad. Lo mismo sucede con los recursos judiciales en los que no se invoca el Derecho de la Unión, cuando el Derecho del Estado miembro de que se trate reconoce a las partes un derecho de alcance análogo al derecho a un juicio justo, garantizado en el artículo 47 de la Carta.
126 En cambio, una vez que el órgano jurisdiccional ha declarado que los documentos que contienen los datos personales que le fueron transmitidos son admisibles a la luz de la normativa que el Derecho nacional establece al efecto, ese órgano jurisdiccional deberá examinar, antes de incorporarlos a los autos, si tales datos se limitan a los necesarios en relación con los fines perseguidos, esto es, permitir a dicho órgano jurisdiccional dictar una resolución lo más informada posible a la luz de las circunstancias pertinentes del asunto y respetar el principio de contradicción, o si debe adoptar determinadas medidas que reduzcan el número de los datos considerados, como una anonimización parcial o total de los documentos en cuestión, aunque sin vulnerar los derechos de las demás partes.
127 Dicho esto, el hecho de que los datos de que se trate se obtuvieran vulnerando el derecho a la protección de la vida privada y el derecho a la protección de los datos personales, contemplados en los artículos 7 y 8 de la Carta, no resulta en sí mismo determinante, al exigir los criterios establecidos en el artículo 5, apartado 1, letra c), del RGPD que esos datos sean adecuados, pertinentes y se limiten a lo necesario en relación con los fines perseguidos.
128 En lo referente, en segundo lugar, a los datos personales utilizados en los tratamientos que lleva a cabo un órgano jurisdiccional para adoptar su resolución, habida cuenta del derecho a un juicio justo, todos los datos que figuran en los documentos que han sido declarados admisibles y han sido incorporados a los autos deben considerarse, en principio, adecuados, pertinentes y limitados a lo necesario en relación con los fines de tales tratamientos, puesto que, de conformidad con ese derecho a un juicio justo, el órgano jurisdiccional está obligado a tener en cuenta todas esas pruebas, en particular, para apreciar su pertinencia.
129 En tercer y último lugar, por lo que respecta a la divulgación de esos datos por parte de un órgano jurisdiccional al notificar o publicar su resolución, un tratamiento de este tipo exige tener en cuenta, a fin de velar por que los datos se limiten a lo necesario en relación con los fines para los que se tratan, que dicho órgano jurisdiccional considere no solo la necesidad de poder ejecutar la resolución, de informar a los terceros que también pudieran verse afectados por los hechos de que se trate y de proteger a los justiciables contra las derivas de una justicia secreta (véase, en este sentido, TEDH, sentencia de 2 de junio de 2022, Straume c. Letonia, CE:ECHR:2022:0602JUD005940214, § 124), sino también la posibilidad de adoptar determinadas medidas, como la anonimización o la seudonimización de esos mismos datos, para minimizar el menoscabo del derecho a la protección de los datos personales que puede conllevar tal divulgación.
130 Habida cuenta de todo lo anterior, procede responder a la tercera cuestión prejudicial, letras b) a d), que los artículos 7 y 8 de la Carta, el artículo 5, apartado 1, del RGPD, el artículo 6, apartado 1, párrafo primero, letra c), del citado Reglamento, en relación con su apartado 3, y el principio de «minimización de datos» deben interpretarse en el sentido de que no se oponen a que un juez nacional utilice pruebas que contienen datos personales obtenidos vulnerando el derecho a la protección de la vida privada y el derecho a la protección de los datos personales por la parte que se las transmitió, cuando dicha parte no tiene un interés legítimo en ese tratamiento que vaya más allá del mero interés probatorio de los hechos alegados. En cambio, antes de divulgar esos datos a las partes o a terceros, el órgano jurisdiccional debe comprobar que esos datos se limitan a lo necesario en relación con los fines para los que se realiza la divulgación y, en su caso, debe adoptar determinadas medidas para minimizar el menoscabo al derecho a la protección de los datos personales que puede conllevar tal divulgación.
Tercera cuestión prejudicial, letra e)
131 Mediante su tercera cuestión prejudicial, letra e), el tribunal remitente pregunta, en esencia, si el artículo 13, apartados 1 y 2, del RGPD debe interpretarse en el sentido de que se opone a que un órgano jurisdiccional nacional utilice, en el ejercicio de su función judicial, datos obtenidos por una persona que incumplió las obligaciones de información que le incumben en virtud de dicha disposición.
132 A este respecto, del artículo 13, apartados 1 y 2, del RGPD se desprende que, cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará la información relacionada en esos apartados.
133 Dado que esta disposición forma parte del capítulo III del RGPD, hay que considerar que los citados apartados establecen requisitos que se han de cumplir para que la recogida de datos personales sea lícita.
134 Por lo demás, la obligación prevista en el mencionado artículo 13 contribuye al cumplimiento del requisito establecido en el artículo 5, apartado 1, letra a), del RGPD, que forma parte del capítulo II de dicho Reglamento, según el cual todo tratamiento de datos personales debe ser leal y transparente, con lo que, también por este motivo, se ha de cumplir dicha obligación.
135 No obstante, sin que sea necesario determinar si, para garantizar el efecto útil del artículo 17, apartado 3, letra e), del RGPD, esta disposición debe ser interpretada en el sentido de que el hecho de que la parte interesada haya obtenido los datos controvertidos incumpliendo tal obligación no conlleva que el tratamiento consistente en la transmisión de pruebas que contienen esos datos a un órgano jurisdiccional deba considerarse ilícito, procede recordar que, como se declara en el apartado 108 de la presente sentencia, ni el artículo 5, apartado 1, del RGPD ni ninguno de los demás derechos y principios establecidos en los capítulos II y III de ese Reglamento prohíben de manera general y absoluta al responsable del tratamiento tener en cuenta datos personales que la persona que se los transmitió trató anteriormente de modo ilícito, en el sentido de dicho Reglamento.
136 Por consiguiente, procede responder a la tercera cuestión prejudicial, letra e), que el artículo 13, apartados 1 y 2, del RGPD debe interpretarse en el sentido de que no se opone a que un órgano jurisdiccional nacional utilice, en el ejercicio de su función judicial, datos obtenidos por una parte o un tercero que incumplió las obligaciones de información que les incumben en virtud de dicha disposición.
Tercera cuestión prejudicial, letra f)
137 Mediante su tercera cuestión prejudicial, letra f), el tribunal remitente pregunta, en esencia, si el RGPD debe interpretarse en el sentido de que un órgano jurisdiccional está obligado, en el ejercicio de su función judicial, a velar por el cumplimiento de ese Reglamento cuando trata datos personales relativos a terceros al procedimiento pendiente ante él y si el Derecho de la Unión exige que una de las partes en dicho procedimiento pueda invocar que tales datos fueron recogidos o conservados ilícitamente, en el sentido del citado Reglamento, por la otra parte, vulnerando los derechos que ese Reglamento confiere a esos terceros.
138 A este respecto, del artículo 288 TFUE se desprende que un reglamento es un acto de alcance general, obligatorio en todos sus elementos y directamente aplicable en todos los Estados miembros.
139 Dado que los principios establecidos en el capítulo II del RGPD se aplican con independencia de cualquier consideración relacionada con la situación procesal de los interesados o de que el responsable del tratamiento sea un órgano jurisdiccional, el citado Reglamento, en relación con el artículo 288 TFUE, debe interpretarse en el sentido de que el órgano jurisdiccional está obligado, en el ejercicio de su función jurisdiccional, a observar dicho Reglamento cuando trata datos personales relativos a terceros al procedimiento pendiente ante él.
140 En cambio, la cuestión de si una parte puede invocar una ilegalidad cometida en perjuicio de un tercero, al no existir ninguna disposición al respecto en el Derecho de la Unión, está comprendida en el ámbito de la autonomía procesal de los Estados miembros.
141 Es cierto que, por lo que respecta a los recursos judiciales destinados a garantizar la salvaguardia de los derechos que el Derecho de la Unión confiere a los justiciables, en virtud del principio de autonomía procesal, aplicable si el Derecho de la Unión no establece ninguna disposición, la regulación procesal de esos recursos no debe ser menos favorable que la que rige situaciones similares de carácter interno (principio de equivalencia) ni hacer imposible en la práctica o excesivamente difícil el ejercicio de los derechos conferidos por el Derecho de la Unión (principio de efectividad) (véase, en este sentido, la sentencia de 6 de octubre de 2020, La Quadrature du Net y otros, C‑511/18, C‑512/18 y C‑520/18, EU:C:2020:791, apartado 223 y jurisprudencia citada).
142 Por otro lado, esta regulación procesal también debe ser conforme con el derecho a un juicio justo, en los términos garantizados en el artículo 47 de la Carta, Carta que se aplica, en virtud de su artículo 51, siempre que los Estados miembros apliquen el Derecho de la Unión.
143 Sin embargo, es preciso señalar que ni el principio de efectividad ni el derecho a un juicio justo garantizado en el artículo 47 de la Carta exigen, en principio, que se reconozca a las partes en un procedimiento judicial la posibilidad de invocar una infracción del RGPD cometida en perjuicio de terceros a ese procedimiento.
144 Por consiguiente, procede responder a la tercera cuestión prejudicial, letra f), que el RGPD debe interpretarse en el sentido de que un órgano jurisdiccional está obligado, en el ejercicio de su función judicial, a velar por el cumplimiento de ese Reglamento cuando trata datos personales relativos a terceros al procedimiento. El Derecho de la Unión no exige que una de las partes en dicho procedimiento pueda invocar que tales datos fueron recogidos o conservados ilícitamente, en el sentido del citado Reglamento, por la otra parte, vulnerando los derechos que ese Reglamento confiere a esos terceros.
Costas
145 Dado que el procedimiento tiene, para las partes del litigio principal, el carácter de un incidente promovido ante el órgano jurisdiccional remitente, corresponde a este resolver sobre las costas. Los gastos efectuados por quienes, no siendo partes del litigio principal, han presentado observaciones ante el Tribunal de Justicia no pueden ser objeto de reembolso.
En virtud de todo lo expuesto, el Tribunal de Justicia (Sala Quinta) declara:
1) El artículo 6, apartados 1, párrafo primero, letra c), y 3, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), en relación con los artículos 8, apartado 2, y 52 de la Carta de los Derechos Fundamentales de la Unión Europea,
debe interpretarse en el sentido de que
no se opone a una normativa nacional que, por lo que respecta al tratamiento de datos personales efectuado en el examen de los hechos y en la práctica de la prueba por un órgano jurisdiccional, se limita a establecer que corresponde a las partes presentar elementos de hecho detallados y veraces y a obligar al órgano jurisdiccional a tomarlos íntegramente en consideración, en su caso, antes de apreciarlos, sin indicar las circunstancias y las condiciones en las que el órgano jurisdiccional puede utilizar los hechos alegados y las pruebas aportadas por las partes en los que se contienen datos personales, siempre que exista una jurisprudencia nacional clara, precisa y de aplicación previsible que establezca ella misma las circunstancias y las condiciones en las que el órgano jurisdiccional puede utilizar los hechos alegados y las pruebas aportadas por las partes en los que se contienen datos personales, que esa jurisprudencia cumpla un objetivo de interés público y que sea proporcionada a este.
2) El artículo 17, apartado 3, letra e), del Reglamento 2016/679
debe interpretarse en el sentido de que
esta disposición no establece una condición alternativa de licitud que pueda cumplir un tratamiento para ser conforme con el artículo 5, apartado 1, letra a), de dicho Reglamento y que se distinga de las enumeradas en el artículo 6, apartado 1, párrafo primero, de ese Reglamento.
3) El artículo 5, apartado 1, letra c), del Reglamento 2016/679, en relación con el artículo 52, apartado 1, segunda frase, de la Carta de los Derechos Fundamentales,
debe interpretarse en el sentido de que
el principio de «minimización de datos» no exige al órgano jurisdiccional que, en cada tratamiento de datos personales que lleve a cabo, vele por que se respete el principio de proporcionalidad, asegurándose de que los datos que se tratan en ese caso permiten alcanzar el objetivo perseguido por dicho tratamiento, y para ello son estrictamente necesarios, y de que la gravedad de la injerencia en los derechos fundamentales que conlleva la consideración de esos datos a efectos de realizar el tratamiento guarda relación con el interés que presenta, para ese órgano jurisdiccional, el recurso a esos datos para realizar el mencionado tratamiento, siempre que se cumplan las condiciones previstas en el artículo 5, apartado 1, letra c), del Reglamento 2016/679.
4) Los artículos 7 y 8 de la Carta de los Derechos Fundamentales, el artículo 5, apartado 1, del Reglamento 2016/679, el artículo 6, apartado 1, párrafo primero, letra c), de este Reglamento, en relación con su apartado 3, y el principio de «minimización de datos»
deben interpretarse en el sentido de que
no se oponen a que un juez nacional utilice pruebas que contienen datos personales obtenidos vulnerando el derecho a la protección de la vida privada y el derecho a la protección de los datos personales por la parte que se las transmitió, cuando dicha parte no tiene un interés legítimo en ese tratamiento que vaya más allá del mero interés probatorio de los hechos alegados. En cambio, antes de divulgar esos datos a las demás partes o a terceros, el órgano jurisdiccional debe comprobar que esos datos se limitan a lo necesario en relación con los fines para los que se realiza la divulgación y, en su caso, debe adoptar determinadas medidas para minimizar el menoscabo al derecho a la protección de los datos personales que puede conllevar tal divulgación.
5) El artículo 13, apartados 1 y 2, del Reglamento 2016/679
debe interpretarse en el sentido de que
no se opone a que un órgano jurisdiccional nacional utilice, en el ejercicio de su función judicial, datos obtenidos por una parte o un tercero que incumplió las obligaciones de información que les incumben en virtud de dicha disposición.
6) El Reglamento 2016/679
debe interpretarse en el sentido de que
un órgano jurisdiccional está obligado, en el ejercicio de su función judicial, a velar por el cumplimiento de ese Reglamento cuando trata datos personales relativos a terceros al procedimiento. El Derecho de la Unión no exige que una de las partes en dicho procedimiento pueda invocar que tales datos fueron recogidos o conservados ilícitamente, en el sentido del citado Reglamento, por la otra parte, vulnerando los derechos que ese Reglamento confiere a esos terceros.
Firmas
* Lengua de procedimiento: alemán.