SENTENCIA DEL TRIBUNAL DE JUSTICIA (Gran Sala)

de 16 de diciembre de 2008 ( *1 )

«Protección de datos personales — Ciudadanía de la Unión — Principio de no discriminación por razón de la nacionalidad — Directiva 95/46/CE — Concepto de “necesidad” — Tratamiento general de datos personales relativos a ciudadanos de la Unión nacionales de otro Estado miembro — Registro central de extranjeros»

En el asunto C-524/06,

que tiene por objeto una petición de decisión prejudicial planteada, con arreglo al artículo 234 CE, por el Oberverwaltungsgericht für das Land Nordrhein-Westfalen (Alemania), mediante resolución de 15 de diciembre de 2006, recibida en el Tribunal de Justicia el 28 de diciembre de 2006, en el procedimiento entre

Heinz Huber

Bundesrepublik Deutschland,

EL TRIBUNAL DE JUSTICIA (Gran Sala),

integrado por el Sr. V. Skouris, Presidente, los Sres. P. Jann, C.W.A. Timmermans y K. Lenaerts, Presidentes de Sala, y los Sres. P. Kūris, G. Arestis, U. Lõhmus, E. Levits (Ponente) y L. Bay Larsen, Jueces;

Abogado General: Sr. M. Poiares Maduro;

Secretario: Sr. B. Fülöp, administrador;

habiendo considerado los escritos obrantes en autos y celebrada la vista el 8 de enero de 2008;

consideradas las observaciones presentadas:

—	en nombre del Sr. Huber, por el Sr. A. Widmann, Rechtsanwalt;

—	en nombre del Gobierno alemán, por el Sr. M. Lumma y la Sra. C. Schulze-Bahr, en calidad de agentes, asistidos por el Sr. K. Hailbronner, profesor de universidad;

—	en nombre del Gobierno belga, por la Sra. L. Van den Broeck, en calidad de agente;

—	en nombre del Gobierno danés, por la Sra. B. Weis Fogh, en calidad de agente;

—	en nombre del Gobierno helénico, por la Sra. E.-M. Mamouna y el Sr. K. Boskovits, en calidad de agentes;

—	en nombre del Gobierno italiano, por el Sr. I.M. Braguglia, en calidad de agente, asistido por la Sra. W. Ferrante, avvocato dello Stato;

—	en nombre del Gobierno neerlandés, por las Sras. H.G. Sevenster, C.M. Wissels y C. ten Dam, en calidad de agentes;

—	en nombre del Gobierno finlandés, por el Sr. J. Heliskoski, en calidad de agente;

—	en nombre del Gobierno del Reino Unido, por la Sra. E. O’Neill, en calidad de agente, asistida por la Sra. J. Stratford, Barrister;

—	en nombre de la Comisión de las Comunidades Europeas, por los Sres. C. Docksey y C. Ladenburger, en calidad de agentes;

oídas las conclusiones del Abogado General, presentadas en audiencia pública el 3 de abril de 2008;

dicta la siguiente

Sentencia

La petición de decisión prejudicial tiene por objeto la interpretación del artículo 12 CE, apartado 2, en relación con los artículos 17 CE y 18 CE, del artículo 43 CE, apartado 1, y del artículo 7, letra e), de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (DO L 281, p. 31).

Dicha petición fue presentada en el marco de un litigio entre el Sr. Huber, nacional austriaco residente en Alemania, y la Bundesrepublik Deutschland, representada por el Bundesamt für Migration und Flüchtlinge (Oficina federal de migración y refugiados; en lo sucesivo, «Bundesamt»), en relación con la solicitud del Sr. Huber destinada a la cancelación de los datos sobre su persona en el Registro Central de Extranjeros (Ausländerzentralregister; en lo sucesivo, «AZR»).

Marco jurídico

Normativa comunitaria

El octavo considerando de la Directiva 95/46 afirma:

«Considerando que, para eliminar los obstáculos a la circulación de datos personales, el nivel de protección de los derechos y libertades de las personas, por lo que se refiere al tratamiento de dichos datos, debe ser equivalente en todos los Estados miembros; […].»

El décimo considerando de dicha Directiva añade lo siguiente:

«[…] la aproximación de [las legislaciones nacionales relativas al tratamiento de datos personales] no debe conducir a una disminución de la protección que garantizan sino que, por el contrario, debe tener por objeto asegurar un alto nivel de protección dentro de la Comunidad».

El artículo 1 de la citada Directiva, que lleva como epígrafe «Objeto de la Directiva», establece en su apartado 1:

«Los Estados miembros garantizarán, con arreglo a las disposiciones de la presente Directiva, la protección de las libertades y de los derechos fundamentales de las personas físicas, y, en particular, del derecho a la intimidad, en lo que respecta al tratamiento de los datos personales.»

El artículo 2 de la Directiva incluye, en particular, las definiciones siguientes:

«[…]

“datos personales”: toda información sobre una persona física identificada o identificable (el “interesado”); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social;

“tratamiento de datos personales” (“tratamiento”): cualquier operación o conjunto de operaciones, efectuadas o no mediante procedimientos automatizados, y aplicadas a datos personales, como la recogida, registro, organización, conservación, elaboración o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma que facilite el acceso a los mismos, cotejo o interconexión, así como su bloqueo, supresión o destrucción;

[…].»

El ámbito de aplicación de la Directiva 95/46 se define en su artículo 3 en los siguientes términos:

«1. Las disposiciones de la presente Directiva se aplicarán al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero.

2. Las disposiciones de la presente Directiva no se aplicarán al tratamiento de datos personales:

—

efectuado en el ejercicio de actividades no comprendidas en el ámbito de aplicación del Derecho comunitario, como las previstas por las disposiciones de los títulos V y VI del Tratado de la Unión Europea y, en cualquier caso, al tratamiento de datos que tenga por objeto la seguridad pública, la defensa, la seguridad del Estado (incluido el bienestar económico del Estado cuando dicho tratamiento esté relacionado con la seguridad del Estado) y las actividades del Estado en materia penal;

—	efectuado por una persona física en el ejercicio de actividades exclusivamente personales o domésticas.»

El artículo 7, letra e), de la citada Directiva dispone lo siguiente:

«Los Estados miembros dispondrán que el tratamiento de datos personales sólo pueda efectuarse si:

[…]

e)	es necesario para el cumplimiento de una misión de interés público o inherente al ejercicio del poder público conferido al responsable del tratamiento o a un tercero a quien se comuniquen los datos,

[…].»

A tenor del artículo 4 de la Directiva 68/360/CEE del Consejo, de 15 de octubre de 1968, sobre suspensión de restricciones al desplazamiento y a la estancia de los trabajadores de los Estados miembros y de sus familias dentro de la Comunidad (DO L 257, p. 13; EE 05/01, p. 88):

«1. Los Estados miembros reconocerán el derecho de estancia en su territorio a las personas a que se refiere el artículo 1 que puedan presentar los documentos enumerados en el apartado 3.

2. El derecho de estancia se acreditará mediante la expedición de un documento denominado “tarjeta de estancia de nacional de un Estado miembro de la CEE” […]

3. Para expedir la tarjeta de estancia de nacional de un Estado miembro de la CEE los Estados miembros no podrán pedir más que la presentación de los documentos enumerados a continuación:

—

al trabajador:

a)	el documento al amparo del cual ha entrado en su territorio;

b)	una declaración de contratación suscrita por el empresario o un certificado de trabajo;

—

a los miembros de la familia:

c)	el documento al amparo del cual han entrado en su territorio;

d)	un documento expedido por la autoridad competente del Estado de origen o de procedencia, probatorio de sus vínculos de parentesco;

en los casos a que se refiere los apartados 1 y 2 del artículo 10 del Reglamento (CEE) no 1612/68 [del Consejo, de 15 de octubre de 1968, relativo a la libre circulación de los trabajadores dentro de la Comunidad (DO L 257, p. 2; EE 05/01, p. 77)], un documento expedido por la autoridad competente del Estado de origen o de procedencia, en el que se acredite que están a cargo del trabajador o que conviven en ese país.

[…]»

10	El artículo 10 de la Directiva 68/360 establece: «Los Estados miembros no podrán dejar de aplicar lo dispuesto en la presente Directiva más que por razones de orden público, de seguridad pública o de salud pública.»

A tenor del artículo 4, apartado 1, de la Directiva 73/148/CEE del Consejo, de 21 de mayo de 1973, relativa a la supresión de las restricciones al desplazamiento y a la estancia, dentro de la Comunidad, de los nacionales de los Estados miembros en materia de establecimiento y de prestación de servicios (DO L 172, p. 14; EE 06/01, p. 132):

«Cada Estado miembro reconocerá un derecho de estancia permanente a los nacionales de los otros Estados miembros que se establezcan en su territorio para ejercer en él una actividad por cuenta propia cuando las restricciones correspondientes a dicha actividad hayan sido suprimidas en virtud del Tratado.

El derecho de estancia se acreditará mediante la expedición de un documento denominado “tarjeta de estancia en favor de un nacional de un Estado miembro de las Comunidades Europeas”. Dicho documento tendrá un período de vigencia de cinco años, por lo menos, a partir de su fecha de expedición; será automáticamente renovable.

[…]»

El artículo 6 de la Directiva 73/148 enuncia:

«Para la expedición de la tarjeta y el permiso de residencia, el Estado miembro únicamente podrá exigir al solicitante que:

a)	presente el documento que le haya permitido entrar en su territorio;

b)	aporte la prueba de que está incluido en alguna de las categorías contempladas en los artículos 1 y 4.»

13	El artículo 8 de dicha Directiva reproduce la excepción prevista en el artículo 10 de la Directiva 68/360.

El 29 de abril de 2004, el Parlamento Europeo y el Consejo de la Unión Europea adoptaron la Directiva 2004/38/CE, relativa al derecho de los ciudadanos de la Unión y de los miembros de sus familias a circular y residir libremente en el territorio de los Estados miembros, por la que se modifica el Reglamento (CEE) no 1612/68 y se derogan las Directivas 64/221/CEE, 68/360/CEE, 72/194/CEE, 73/148/CEE, 75/34/CEE, 75/35/CEE, 90/364/CEE, 90/365/CEE y 93/96/CEE (DO L 158, p. 77, y corrección de errores en DO 2004, L 229, p. 35), debiendo ser efectiva la adaptación de los Derechos internos a la misma el 30 de abril de 2006 a más tardar. El artículo 5 de la citada Directiva prevé lo siguiente:

«1. Sin perjuicio de las disposiciones que regulan los documentos de viaje en controles fronterizos nacionales, los Estados miembros admitirán en su territorio a todo ciudadano de la Unión en posesión de un documento de identidad o un pasaporte válidos y a los miembros de su familia que no sean nacionales de un Estado miembro y que estén en posesión de un pasaporte válido.

[…]

5. El Estado miembro podrá exigir al interesado que notifique su presencia en el territorio en un plazo de tiempo razonable y no discriminatorio. El incumplimiento de esta obligación podrá dar lugar a la imposición de sanciones proporcionadas y no discriminatorias contra el interesado.»

El artículo 7, apartado 1, de la misma Directiva regula el derecho de residencia de los ciudadanos de la Unión en un Estado miembro del que no sean nacionales, por un período superior a tres meses, en los términos siguientes:

«Todo ciudadano de la Unión tiene derecho de residencia en el territorio de otro Estado miembro por un período superior a tres meses si:

a)	es un trabajador por cuenta ajena o por cuenta propia en el Estado miembro de acogida, o,

b)	dispone, para sí y los miembros de su familia, de recursos suficientes para no convertirse en una carga para la asistencia social del Estado miembro de acogida durante su período de residencia, así como de un seguro de enfermedad que cubra todos los riesgos en el Estado miembro de acogida, o,

—	está matriculado en un centro público o privado, reconocido o financiado por el Estado miembro de acogida con arreglo a su legislación o a su práctica administrativa, con la finalidad principal de cursar estudios, inclusive de formación profesional, y

—

cuenta con un seguro de enfermedad que cubre todos los riesgos en el Estado miembro de acogida y garantiza a la autoridad nacional competente, mediante una declaración o por cualquier otro medio equivalente de su elección, que posee recursos suficientes para sí y los miembros de su familia para no convertirse en una carga para la asistencia social del Estado miembro de acogida durante su período de residencia, o

[…].»

A tenor del artículo 8 de la citada Directiva:

«1. Sin perjuicio de lo dispuesto en el apartado 5 del artículo 5, para períodos de residencia superiores a tres meses el Estado miembro de acogida podrá imponer a los ciudadanos de la Unión la obligación de registrarse ante las autoridades competentes.

2. El plazo fijado para el registro no podrá ser inferior a tres meses a partir de la fecha de llegada. Se expedirá inmediatamente un certificado de registro que precise el nombre y dirección de la persona registrada y la fecha de registro. El incumplimiento de la obligación de registro podrá conllevar, para la persona interesada, castigos con sanciones proporcionadas y no discriminatorias.

3. Para la expedición del certificado de registro, los Estados miembros sólo podrán exigir:

—	al ciudadano de la Unión contemplado en la letra a) del apartado 1 del artículo 7, que presente un documento de identidad o un pasaporte válidos y una declaración de contratación del empleador o un certificado de empleo, o una prueba de que trabaja por cuenta propia;

—	al ciudadano de la Unión contemplado en la letra b) del apartado 1 del artículo 7, que presente un documento de identidad o un pasaporte válidos y una prueba de que cumple las condiciones establecidas en dicha letra;

—

al ciudadano de la Unión contemplado en la letra c) del apartado 1 del artículo 7, que presente un documento de identidad o un pasaporte válidos, una prueba de que está matriculado en un centro reconocido y de que tiene un seguro de enfermedad que cubra todos los riesgos y la declaración o medio equivalente contemplado en dicha letra. […]»

El artículo 27 de esa misma Directiva, que lleva como epígrafe «Principios generales», dispone lo siguiente:

«1. Sin perjuicio de lo dispuesto en el presente capítulo, los Estados miembros podrán limitar la libertad de circulación y residencia de un ciudadano de la Unión o un miembro de su familia, independientemente de su nacionalidad, por razones de orden público, seguridad pública o salud pública. Estas razones no podrán alegarse con fines económicos.

2. Las medidas adoptadas por razones de orden público o seguridad pública deberán ajustarse al principio de proporcionalidad y basarse exclusivamente en la conducta personal del interesado. La existencia de condenas penales anteriores no constituirá por sí sola una razón para adoptar dichas medidas.

La conducta personal del interesado deberá constituir una amenaza real, actual y suficientemente grave que afecte a un interés fundamental de la sociedad. No podrán argumentarse justificaciones que no tengan relación directa con el caso concreto o que se refieran a razones de prevención general.

3. Para comprobar si el interesado constituye un peligro para el orden público o la seguridad pública, en el momento de expedirse el certificado de registro o, a falta de un sistema de registro, a más tardar tres meses después de su entrada en el territorio o a partir de la fecha de la notificación de su presencia en el territorio, tal como se establece en el apartado 5 del artículo 5, o en el momento de expedirse la tarjeta de residencia, el Estado miembro de acogida podrá, cuando lo juzgue indispensable, pedir al Estado miembro de origen y, en su caso, a otros Estados miembros información sobre los eventuales antecedentes penales de un interesado. Esta consulta no podrá tener carácter sistemático. […]

[…]»

Por último, el Reglamento (CE) no 862/2007 del Parlamento Europeo y del Consejo, de 11 de julio de 2007, sobre las estadísticas comunitarias en el ámbito de la migración y la protección internacional y por el que se deroga el Reglamento (CEE) no 311/76 del Consejo relativo a la elaboración de estadísticas de trabajadores extranjeros (DO L 199, p. 23), determina el marco dentro del cual los Estados miembros transmiten a la Comisión de las Comunidades Europeas las estadísticas relativas a los flujos migratorios en sus respectivos territorios.

Normativa nacional

Con arreglo al artículo 1, apartado 1, de la Gesetz über das Ausländerzentralregister (Ley del Registro Central de Extranjeros) de 2 de septiembre de 1994 (BGBL. 1994 I, p. 2265), en su versión modificada por la Ley de 21 de junio de 2005 (BGBL. 1994 I, p. 1818; en lo sucesivo, «AZRG»), el Bundesamt, que depende del Ministerio Federal del Interior, asume la gestión del AZR, Registro centralizado que recopila determinados datos personales relativos a aquellos extranjeros, entre otros, que residen en el territorio alemán de modo no exclusivamente temporal. Se trata de aquellos extranjeros que residen en dicho territorio por un período superior a tres meses, según resulta de la Allgemeine Verwaltungsvorschrift des Bundesministeriums des Innern zum Gesetz über das AZR und zur AZRG-Durchführungsverordnung (circular administrativa general del Ministerio Federal del Interior relativa a la AZRG y al Reglamento de desarrollo de esta Ley) de 4 de junio de 1996. La información de que se trata se recopila en dos bases de datos gestionadas por separado. Una de ellas contiene los datos personales relativos a aquellos extranjeros que viven o han vivido en Alemania, la otra los relativos a los extranjeros que han presentado una solicitud de visado.

En virtud del artículo 3 de la AZRG, la primera base de datos contiene, en particular, la siguiente información:

—	Denominación del organismo que ha transmitido los datos.

—	Número de referencia atribuido por el Bundesamt.

—	Motivos del registro.

—	Apellido, apellido de soltera, nombres de pila, fecha y lugar de nacimiento, sexo, nacionalidad.

—

Formas diferentes de escribir los nombres y apellidos, nombres y apellidos anteriores, estado civil, información relativa a los documentos de identidad, última residencia en el Estado de origen, información –facilitada voluntariamente– relativa a la religión y a la nacionalidad del cónyuge o pareja.

—	Información sobre entradas y salidas del territorio, situación legal a efectos del derecho de residencia, resoluciones de la Agencia Federal de Empleo sobre autorización de trabajo, reconocimiento de la condición legal de refugiado por otro Estado, fecha de fallecimiento.

—

Resoluciones relativas, entre otras materias, a solicitudes de asilo o a solicitudes anteriores de autorización de residencia, así como información, en su caso, sobre procedimientos de alejamiento, órdenes de detención, sospechas de infracciones de las leyes en materia de tráfico de estupefacientes o de inmigración, participación en actividades terroristas o condenas por tales actividades.

—	Órdenes de búsqueda de personas.

21	En tanto que organismo encargado de la gestión del AZR, el Bundesamt es responsable de la exactitud de los datos registrados en el mismo.

Con arreglo al artículo 1, apartado 2, de la AZRG, mediante el registro y transmisión de los datos personales relativos a los extranjeros, el Budesamt asiste a las Administraciones públicas encargadas de la aplicación de las disposiciones en materia de extranjería y derecho de asilo, así como a otras entidades públicas.

Según el artículo 10, apartado 1, de la citada Ley, toda solicitud procedente de una Administración pública relativa a la consulta del AZR o a la transmisión de los datos personales contenidos en dicho Registro deberá reunir varios requisitos, cuyo cumplimiento habrá de comprobar el Bundesamt caso por caso. En particular, el Bundesamt deberá examinar si los datos solicitados por una Administración son necesarios para el cumplimiento de la misión de esta última, así como el uso preciso al que se destinen tales datos. El Bundesmat está facultado para denegar una solicitud si no cumple los requisitos exigidos.

24	Los artículos 14 a 21 y 25 a 27 de la citada Ley enumeran los datos personales que pueden transmitirse en función de la entidad que hace la correspondiente solicitud.

Así, con arreglo al artículo 14, apartado 1, de la AZRG, pueden comunicarse a todas las Administraciones públicas alemanas los datos relativos a la identidad, domicilio y fecha de fallecimiento, así como información sobre la Administración que tramita el expediente y la decisión de no comunicar los datos.

El artículo 12 de la misma Ley supedita las denominadas solicitudes de grupo, es decir, aquellas que se refieren a un grupo de personas que presentan una o varias características comunes, a diferentes requisitos de fondo y de forma. De tal posibilidad dispone tan sólo un número limitado de entidades públicas. Por otra parte, toda transmisión de datos personales en virtud de una solicitud de ese tipo deberá ser notificada a los controladores federal y regional que velan por la protección de los datos personales.

Además, el artículo 22 de la citada Ley permite que consulten directamente el AZR, mediante un procedimiento automatizado, aquellas entidades públicas que dispongan de una habilitación al efecto. Pero sólo se concede esta facultad en situaciones estrictamente definidas y previa ponderación, por parte del Bundesamt, de los intereses de la persona afectada y del interés general. Por lo demás, tal consulta no resulta posible en el caso de las denominadas solicitudes de grupo. En virtud del artículo 7 de la AZRG, las entidades públicas habilitadas con arreglo al artículo 22 de dicha Ley están asimismo autorizadas a introducir directamente en el AZR datos e información de diversos tipos.

28	Por último, los artículos 25, 26 y 27 de la AZRG establecen qué entidades privadas pueden obtener determinados datos contenidos en el AZR.

El órgano jurisdiccional remitente añade que, en Alemania, todo habitante –tenga o no nacionalidad alemana– debe inscribirse en el padrón municipal de la localidad en donde resida (Einwohnermelderegister). A este respecto, la Comisión precisó que este tipo de registro, el padrón, sólo incluye una parte de los datos contenidos en el AZR, no figurando en el mismo, por ejemplo, los datos relativos a la situación a efectos del derecho de residencia. En la actualidad existen aproximadamente 7.700 padrones municipales.

Antecedentes de hecho del litigio y cuestiones prejudiciales

30	El Sr. Huber, de nacionalidad austriaca, se instaló en Alemania en 1996 para ejercer allí la profesión de agente de seguros por cuenta propia.

En el AZR figuran los siguientes datos referidos al interesado:

—	Apellido, nombre, fecha y lugar de nacimiento, nacionalidad, estado civil, sexo.

—	Relación cronológica de las entradas en el territorio alemán y de las salidas del mismo, condición de residente.

—	Indicaciones sobre los sucesivos pasaportes.

—	Relación de las declaraciones de domicilio anteriores.

—	Referencias del Bundesamt, indicaciones de los servicios que transmitieron los datos y referencias de dichos servicios.

Al considerarse discriminado en razón del tratamiento de que eran objeto los datos sobre su persona contenidos en el AZR –en particular porque tal base de datos no existe para los nacionales alemanes–, el Sr. Huber solicitó el 22 de julio de 2000 la cancelación de los referidos datos. Tal solicitud fue denegada el 29 de septiembre de 2000 por la entidad administrativa responsable a la sazón de llevar aquel Registro.

Como el recurso administrativo interpuesto contra la referida resolución denegatoria obtuvo el mismo resultado negativo, el Sr. Huber interpuso recurso contencioso-administrativo ante el Verwaltungsgericht Köln (Tribunal de lo Contencioso-Administrativo de Colonia), el cual estimó dicho recurso mediante sentencia de 19 de diciembre de 2002. Al proceder de esta manera, el Verwaltungsgericht Köln consideró que el tratamiento general, en el seno del AZR, de los datos relativos a un ciudadano de la Unión que no sea nacional alemán constituye una restricción a efectos de los artículos 49 CE y 50 CE que no puede justificarse por el objetivo de una tramitación rápida de los expedientes relativos al derecho de residencia de los extranjeros. Además, el mismo tribunal estimó que la conservación y el tratamiento de los datos controvertidos eran contrarios a los artículos 12 CE y 18 CE, así como a los artículos 6, apartado 1, letra b), y 7, letra e), de la Directiva 95/46.

La Bundesrepublik Deutschland, personándose a través del Bundesamt, interpuso contra la mencionada sentencia recurso de apelación ante el Oberverwaltungsgericht für das Land Nordrhein-Westfalen (Tribunal Superior de lo Contencioso-Administrativo del Land de Norte de Renania-Westfalia), el cual consideró que las diferentes cuestiones de Derecho que se le habían planteado requerían una interpretación del Derecho comunitario por parte del Tribunal de Justicia.

En primer lugar, el órgano jurisdiccional remitente subraya que, según reiterada jurisprudencia del Tribunal de Justicia, un ciudadano de la Unión que reside legalmente en el territorio de un Estado miembro del que no es nacional puede invocar el artículo 12 CE en todas las situaciones comprendidas en el ámbito de aplicación del Derecho comunitario. A este respecto, dicho órgano jurisdiccional se remite a las sentencias de 12 de mayo de 1998, Martínez Sala (C-85/96, Rec. p. I-2691), apartado 63; de 20 de septiembre de 2001, Grzelczyk (C-184/99, Rec. p. I-6193), apartado 32, y de 15 de marzo de 2005, Bidar (C-209/03, Rec. p. I-2119), apartado 32. Por consiguiente, el Sr. Huber, al haber ejercitado su derecho a la libre circulación tal como el artículo 18 CE, apartado 1, le confiere ese derecho, puede invocar legítimamente la prohibición de discriminación prevista en el artículo 12 CE.

Pues bien, el órgano jurisdiccional remitente señala que el tratamiento general en el AZR de los datos personales relativos al Sr. Huber entraña dos diferencias en relación con el tratamiento de los datos relativos a un nacional alemán, a saber: por un lado, algunos de los datos relativos al demandante en el litigio principal no sólo se conservan en el padrón municipal de su lugar de residencia, sino también en el AZR; por otro lado, este último Registro contiene datos adicionales.

El órgano jurisdiccional remitente duda de que tal diferencia de tratamiento pueda justificarse por la necesidad de controlar la residencia de los extranjeros en el territorio alemán. Dicho órgano jurisdiccional se pregunta asimismo si el tratamiento general de los datos personales relativos a ciudadanos de la Unión que no son nacionales alemanes y que han residido o residen en el territorio alemán es proporcionado al objetivo de salvaguardia de la seguridad pública, en la medida en que el AZR cubre a la totalidad de dichos ciudadanos y no sólo a aquellos que son objeto de una medida de alejamiento del territorio alemán o de una prohibición de residencia en dicho territorio.

En segundo lugar, el órgano jurisdiccional remitente opina que, en las circunstancias del litigio principal, el Sr. Huber está incluido en el ámbito de aplicación del artículo 43 CE. Teniendo en cuenta que la libertad de establecimiento no sólo se refiere al inicio de una actividad profesional por cuenta propia, sino también a las condiciones que regulan el ejercicio de tal actividad, dicho órgano jurisdiccional se pregunta si el tratamiento general en el AZR de los datos relativos al Sr. Huber puede influir en tales condiciones hasta el extremo de suponer una restricción del ejercicio de esa libertad.

En tercer lugar, el órgano jurisdiccional remitente se pregunta si el criterio de necesidad que resulta del artículo 7, letra e), de la Directiva 95/46 puede constituir un criterio para valorar un sistema de tratamiento general de datos tal como el instaurado en el marco del AZR. En efecto, aquel órgano jurisdiccional no excluye la hipótesis de que la citada Directiva no prejuzgue la competencia del legislador nacional para definir él mismo el mencionado requisito de necesidad. Ahora bien, en el supuesto de que no fuera así, se suscitaría la cuestión del modo en que ha de entenderse dicho requisito, más concretamente en cuanto al extremo de si el objetivo de simplificación administrativa podría justificar un tratamiento de los datos tal como el que ha instaurado la AZRG.

En este contexto, el Oberverwaltungsgericht für das Land Nordrhein-Westfalen decidió suspender el procedimiento y plantear al Tribunal de Justicia las cuestiones prejudiciales siguientes:

«1)

El tratamiento con carácter general de datos personales de ciudadanos extranjeros de la Unión, en un Registro Central de Extranjeros, ¿es compatible con la prohibición de toda discriminación por razón de la nacionalidad respecto de ciudadanos de la Unión que ejerzan su derecho a circular y residir libremente en el territorio de los Estados miembros (artículo 12 CE, apartado 1, en relación con los artículos 17 CE y 18 CE, apartado 1[?]

2)	[¿Es compatible tal tratamiento con] la prohibición de restringir la libertad de establecimiento de los nacionales de un Estado miembro en el territorio de otro Estado miembro (artículo 43 CE, apartado 1)[?]

3)	[¿Es compatible tal tratamiento con] el requisito de necesidad previsto en el artículo 7, letra e), de la Directiva 95/46 […]?»

Sobre las cuestiones prejudiciales

Observaciones liminares

41	Mediante sus cuestiones, el órgano jurisdiccional remitente pide al Tribunal de Justicia que se pronuncie sobre la compatibilidad con el Derecho comunitario del tratamiento de los datos personales que lleva a cabo un Registro como el AZR.

A este respecto, procede señalar que el artículo 1, apartado 2, de la AZRG dispone que, a fin de conservar en el AZR determinados datos personales relativos a extranjeros y de transmitir tales datos, el Bundesamt –responsable de llevar dicho Registro– asiste a las Administraciones públicas cuya función es aplicar la normativa en materia de extranjería y derecho de asilo, así como a otras entidades públicas. En particular, el Gobierno alemán precisó en sus observaciones escritas que el AZR se utiliza con fines estadísticos y en el ejercicio, por parte de los servicios de seguridad y policía y de las autoridades judiciales, de competencias en materia de diligencias penales y de investigaciones relativas a comportamientos criminales o que pongan en peligro la seguridad pública.

Procede declarar, de entrada, que unos datos sobre el Sr. Huber como los que, según la resolución de remisión, contiene el AZR constituyen datos personales en el sentido del artículo 2, letra a), de la Directiva 95/46, puesto que se trata de «información sobre una persona física identificada o identificable». Así pues, la recogida, conservación y transmisión de tales datos por el organismo encargado de la gestión del Registro en donde se recopilan presenta el carácter de un «tratamiento de datos personales» en el sentido del artículo 2, letra b), de dicha Directiva.

44	No obstante, el artículo 3, apartado 2, de la Directiva 95/46 excluye expresamente del ámbito de aplicación de la misma, entre otros, el tratamiento de datos que tengan por objeto la seguridad pública, la defensa, la seguridad del Estado y las actividades del Estado en materia penal.

De lo anterior resulta que, si bien el tratamiento de datos personales con vistas a la aplicación de la normativa en materia de derecho de residencia y con fines estadísticos está incluido en el ámbito de aplicación de la Directiva 95/46, no sucede lo mismo en lo que atañe al tratamiento de tales datos con la finalidad de combatir la delincuencia.

Por consiguiente, procede examinar la compatibilidad con el Derecho comunitario del tratamiento de los datos personales en el marco de un Registro del tipo del AZR, considerando dicho Registro, por un lado, en su función de apoyo a las Administraciones encargadas de la aplicación de la normativa en materia de derecho de residencia y en su uso con fines estadísticos, a la vista de las disposiciones de la Directiva 95/46 y, más concretamente –habida cuenta de la tercera cuestión prejudicial–, en relación con el requisito de necesidad que figura en el artículo 7, letra e), de dicha Directiva, interpretado a la luz de las exigencias del Tratado –incluida, en particular, la prohibición de toda discriminación por razones de nacionalidad con arreglo al artículo 12 CE, apartado 1–, y considerando, por otro lado, el mencionado Registro en su función de lucha contra la delincuencia, a la vista del Derecho comunitario primario.

Sobre el tratamiento de los datos personales con vistas a la aplicación de la normativa en materia de derecho de residencia y con fines estadísticos

Concepto de necesidad

47	El artículo 1 de la Directiva impone a los Estados miembros el deber de garantizar la protección de las libertades y de los derechos fundamentales de las personas físicas, y, en particular, del derecho a la intimidad, en lo que respecta al tratamiento de los datos personales.

A tenor de las disposiciones del capítulo II de la Directiva 95/56, cuyo epígrafe es «Condiciones generales para la licitud del tratamiento de datos personales», sin perjuicio de las excepciones admitidas al amparo de su artículo 13, todo tratamiento de datos personales debe ser conforme, por una parte, con los principios relativos a la calidad de los datos, enunciados en el artículo 6 de dicha Directiva, y, por otra, con alguno de los principios relativos a la legitimación del tratamiento de datos, enumerados en su artículo 7 (véase, en este sentido, la sentencia de 20 de mayo de 2003, Österreichischer Rundfunk y otros, C-465/00, C-138/01 y C-139/01, Rec. p. I-4989, apartado 65).

En particular, la letra e) de dicho artículo 7 dispone que el tratamiento de datos personales puede ser lícito si «es necesario para el cumplimiento de una misión de interés público o inherente al ejercicio del poder público conferido al responsable del tratamiento o a un tercero a quien se comuniquen los datos».

En este contexto, procede recordar que la Directiva 95/46 tiene por objeto, tal y como se desprende, en particular, de su octavo considerando, equiparar el nivel de protección de los derechos y libertades de las personas por lo que se refiere al tratamiento de datos personales en todos los Estados miembros. Su décimo considerando añade que la aproximación de las legislaciones nacionales en la materia no debe conducir a una disminución de la protección que garantizan sino que, por el contrario, debe tener por objeto asegurar un alto nivel de protección dentro de la Comunidad.

51	Y así, la jurisprudencia ha declarado que la armonización de dichas legislaciones nacionales no se limita a una armonización mínima, sino que constituye, en principio, una armonización completa (véase la sentencia de 6 de noviembre de 2003, Lindqvist, C-101/01, Rec. p. I-12971, apartado 96).

Por consiguiente, habida cuenta del objetivo consistente en equiparar el nivel de protección en todos los Estados miembros, el concepto de necesidad, tal como resulta del artículo 7, letra e), de la Directiva 95/46 –cuyo objeto es delimitar con precisión uno de los supuestos en los que resulta lícito el tratamiento de datos personales–, no puede tener un contenido variable en función de los Estados miembros. Por lo tanto, se trata de un concepto autónomo del Derecho comunitario que debe recibir una interpretación idónea para responder plenamente al objeto de dicha Directiva, tal como se define en el artículo 1, apartado 1, de la misma.

Apreciación del carácter necesario de un tratamiento de datos personales como el que se lleva a cabo en el marco del AZR con vistas a la aplicación de la normativa en materia de derecho de residencia y con fines estadísticos

53	En la resolución de remisión consta que el AZR es un Registro centralizado que contiene determinados datos personales relativos a los ciudadanos de la Unión que no son nacionales alemanes, pudiendo consultar dicho Registro diversas entidades públicas y privadas.

En lo que atañe al uso de un Registro como el AZR a los efectos de la aplicación de la normativa en materia de derecho de residencia, procede recordar que, en el estado actual del Derecho comunitario, el derecho de un ciudadano de la Unión a residir en el territorio de un Estado miembro del que no es nacional no es incondicional, sino que puede estar acompañado de las limitaciones y de las condiciones previstas por el Tratado así como por las disposiciones adoptadas para su aplicación (véase, en este sentido, la sentencia de 10 de julio de 2008, Jipa, C-33/07, Rec. p. I-5157, apartado 21 y la jurisprudencia citada).

Y así, el artículo 4 de la Directiva 68/360, en relación con su artículo 1, al igual que el artículo 6 de la Directiva 73/148, en relación con su artículo 1, supeditaban el derecho de un nacional de un Estado miembro a residir más de tres meses en el territorio de otro Estado miembro al requisito de pertenecer a alguna de las categorías definidas en las mencionadas Directivas, y el reconocimiento del referido derecho a determinados requisitos formales, consistentes en la presentación o la aportación por el solicitante de una tarjeta de residencia, así como diversos documentos e información.

Por otro lado, en virtud de los artículos 10 de la Directiva 68/360 y 8 de la Directiva 73/148 los Estados miembros podían, por razones de orden público, de seguridad pública o de salud pública, dejar de aplicar lo dispuesto en las citadas Directivas y limitar el derecho de entrada y residencia de un nacional de otro Estado miembro en su respectivo territorio.

La Directiva 2004/38, cuyo plazo para adaptar el Derecho interno a la misma expiró el 30 de abril de 2006 y que, por tanto, no era aplicable en el momento de los hechos del caso de autos, derogó las dos Directivas mencionadas más arriba, pero reproduce globalmente, en su artículo 7, requisitos equivalentes a los establecidos por estas últimas en lo que atañe al derecho de residencia de los nacionales de otros Estados miembros, así como, en su artículo 27, apartado 1, las correspondientes restricciones. Por otro lado, en el apartado 1 de su artículo 8 dispone que el Estado miembro de acogida podrá imponer a todo ciudadano de la Unión que se proponga residir en su territorio por un período superior a tres meses la obligación de registrarse ante las autoridades competentes. A este respecto, el Estado miembro de acogida podrá, en virtud del apartado 3 de dicho artículo 8, exigir la presentación de diversos documentos y datos que permitan a dichas autoridades comprobar que concurren los requisitos para poder ejercitar el derecho de residencia.

Así pues, procede considerar que un Estado miembro necesita disponer de los datos y documentos pertinentes para comprobar, en el marco definido por la normativa comunitaria aplicable, si existe un derecho a residir en su territorio que asista a un nacional de otro Estado miembro, así como la eventual existencia de razones que justifiquen una restricción de ese derecho. Por lo tanto, es legítimo, en principio, el uso de un Registro del tipo del AZR como medio de apoyo para las autoridades encargadas de aplicar la normativa en materia de derecho de residencia y, habida cuenta de su naturaleza, el uso de dicho Registro es compatible con la prohibición de discriminación por razón de la nacionalidad contenida en el artículo 12 CE, apartado 1.

No obstante, procede declarar que un Registro de ese tipo no podrá contener más información que la que resulte necesaria al mencionado fin. A este respecto, en el estado actual del Derecho comunitario, el tratamiento de los datos personales resultantes de los documentos mencionados en los artículos 8, apartado 3, y 27, apartado 1, de la Directiva 2004/38, debe ser considerado necesario, en el sentido del artículo 7, letra e), de la Directiva 95/46, para aplicar la normativa en materia de derecho de residencia.

Por otra parte, procede subrayar que, si la recogida de los datos necesarios para aplicar la normativa en materia de derecho de residencia resultara desprovista de eficacia sin la conservación de tales datos, en la medida en que un cambio en la situación personal del titular de un derecho de residencia puede tener consecuencias sobre su condición en relación con este derecho, incumbe a la autoridad responsable de un Registro como el AZR velar por la actualización, en su caso, de los datos conservados en el mismo, de manera que, por un lado, éstos correspondan a la situación efectiva de las personas a los que se refieren y, por otro, que los datos superfluos sean objeto de cancelación.

En cuanto a las modalidades de uso del Registro en cuestión con vistas a la aplicación de la normativa en materia de derecho de residencia, lo único que cabe considerar necesario, en el sentido del artículo 7, letra e), de la Directiva 95/46, es permitir el acceso a dicho Registro de las autoridades competentes en esta materia.

Por último, en lo que atañe a la necesidad de que las autoridades encargadas de aplicar la normativa en materia de derecho de residencia dispongan de un Registro centralizado del tipo del AZR, procede considerar que, aun suponiendo que registros descentralizados como los padrones municipales contuvieran todos los datos pertinentes para permitir que dichas autoridades ejerzan su misión, una centralización de los datos podrá resultar necesaria, en el sentido del artículo 7, letra e), de la Directiva 95/46, si la misma contribuye a una aplicación más eficaz de la normativa en materia de derecho de residencia en lo que atañe a los ciudadanos de la Unión que se propongan residir en el territorio de un Estado miembro del que no sean nacionales.

En cuanto a la función estadística de un Registro como el AZR, procede recordar que el Derecho comunitario, al establecer la libre circulación de las personas y al atribuir a toda persona incluida en su ámbito de aplicación un derecho de acceso al territorio de los Estados miembros para los fines que persigue el Tratado, no excluyó la competencia de estos últimos en lo que atañe a la adopción de medidas destinadas a garantizar el conocimiento exacto, por parte de las autoridades nacionales, de los movimientos de población que afecten a su respectivo territorio (véase la sentencia de 7 de julio de 1976, Watson y Belmann, 118/75, Rec. p. 1185, apartado 17).

64	Del mismo modo, el Reglamento no 862/2007, al prever la transmisión de estadísticas relativas a los flujos migratorios en el territorio de los Estados miembros, presupone que dichos Estados recaben información que permita elaborar tales estadísticas.

No obstante, el ejercicio de la referida competencia no convierte en necesarias, en el sentido del artículo 7, letra e), de la Directiva 95/46, la recopilación y conservación de datos nominativos a las que se procede en el marco de un Registro como el AZR. En efecto, tal como indica el Abogado General en el punto 23 de sus conclusiones, tal objetivo requiere únicamente el tratamiento de información anónima.

De las consideraciones precedentes en su conjunto se desprende que un sistema de tratamiento de datos personales relativos a los ciudadanos de la Unión que no sean nacionales del Estado miembro de que se trate, tal como el que instauró la AZRG, y que tenga como objetivo apoyar a las autoridades nacionales encargadas de aplicar la normativa en materia de derecho de residencia, tan sólo cumplirá el requisito de necesidad previsto en el artículo 7, letra e), de la Directiva 95/46, interpretado a la luz de la prohibición de toda discriminación por razón de la nacionalidad,

—	si contiene únicamente los datos necesarios para la aplicación de dicha normativa por las autoridades mencionadas, y

—	si su carácter centralizado permite una aplicación más eficaz de dicha normativa en lo que atañe a los ciudadanos de la Unión que no sean nacionales de dicho Estado miembro.

67	Corresponde al órgano jurisdiccional remitente verificar estos extremos en el litigio principal.

68	En todo caso, no cabe considerar necesario, en el sentido del artículo 7, letra e), de la Directiva 95/46, la conservación y tratamiento de datos personales nominativos, en el marco de un Registro como el AZR, con fines estadísticos.

Sobre el tratamiento de los datos personales relativos a ciudadanos de la Unión nacionales de otros Estados miembros con fines de lucha contra la delincuencia

Con carácter liminar, procede recordar que, según reiterada jurisprudencia, la vocación del estatuto de ciudadano de la Unión es convertirse en el estatuto fundamental de los nacionales de los Estados miembros que permite a quienes se encuentran en la misma situación obtener, independientemente de su nacionalidad y sin perjuicio de las excepciones expresamente previstas a este respecto, el mismo trato jurídico (véanse, en este sentido, las sentencias Grzelczyk, antes citada, apartados 30 y 31; de 2 de octubre de 2003, García Avello, C-148/02, Rec. p. I-11613, apartados 22 y 23, así como Bidar, antes citada, apartado 31).

A este respecto, un ciudadano de la Unión que reside legalmente en el territorio del Estado miembro de acogida puede invocar el artículo 12 CE en todas las situaciones comprendidas en el ámbito de aplicación ratione materiae del Derecho comunitario (véanse las sentencias, antes citadas, Martínez Sala, apartado 63; Grzelczyk, apartado 32, y Bidar, apartado 32).

Entre estas situaciones figuran las relativas al ejercicio de las libertades fundamentales garantizadas por el Tratado, incluidas las relativas al ejercicio de la libertad de circulación y de residencia en el territorio de los Estados miembros tal y como se halla reconocida en el artículo 18 CE (véase, en este sentido, la sentencia Bidar, antes citada, apartado 33 y la jurisprudencia citada).

Del artículo 1 de la AZRG, en relación con la circular administrativa general del Ministerio Federal del Interior de 4 de junio de 1996 relativa a la AZRG y al Reglamento de desarrollo de esta Ley, se desprende que el sistema de conservación y tratamiento de datos personales establecido en el marco del AZR se refiere a todos los ciudadanos de la Unión que no sean nacionales de la República Federal de Alemania y que residan en el territorio alemán durante un período superior a tres meses, con independencia de las razones que les hayan movido a residir allí.

En tales circunstancias, dado que el Sr. Huber ejercitó su libertad de circular y de residir en el mencionado territorio, tal como confiere dicha libertad el artículo 18 CE, y en consideración al contexto del litigio principal, procede examinar, en relación con el artículo 12 CE, apartado 1, si un sistema de conservación y tratamiento de datos personales como el controvertido en el litigio principal resulta compatible con el principio que prohíbe toda discriminación por razón de la nacionalidad, en lo que atañe a los datos conservados y tratados con fines de lucha contra la delincuencia.

En este contexto, procede observar que la resolución de remisión no contiene indicaciones precisas que permitan determinar si a la situación controvertida en el litigio principal le resulta aplicable el artículo 43 CE. No obstante, aun cuando el órgano jurisdiccional remitente considerara que así sucede, la aplicación del principio de no discriminación no puede variar en función de que dicho principio se fundamente en aquella disposición o en el artículo 12 CE, apartado 1, en relación con el artículo 18 CE, apartado 1.

En efecto, según reiterada jurisprudencia, el principio de no discriminación, tanto si se fundamenta en el artículo 12 CE como si lo hace en el artículo 43 CE, exige que no se traten de manera diferente situaciones que son comparables y que situaciones diferentes no sean tratadas de manera idéntica. Dicho trato sólo podría estar justificado si se basara en consideraciones objetivas, independientes de la nacionalidad de las personas afectadas y proporcionadas al objetivo legítimamente perseguido (véase, en este sentido, la sentencia de 5 de junio de 2008, Wood, C-164/07, Rec. p. I-4143, apartado 13 y jurisprudencia citada).

Así pues, procede comparar, en un contexto como el del litigio principal, la situación de los ciudadanos de la Unión que no sean nacionales del Estado miembro de que se trate y que residan en el territorio del mismo con la de los nacionales de dicho Estado miembro, en lo que atañe al objetivo de combatir la delincuencia. De hecho, el Gobierno alemán se limitó a invocar este aspecto de la salvaguardia del orden público.

77	Aunque tal objetivo tiene carácter legítimo, no puede ser invocado para justificar un tratamiento sistemático de los datos personales que se circunscriba exclusivamente a los ciudadanos de la Unión que no sean nacionales del Estado miembro de que se trate.

En efecto, tal como ha subrayado el Abogado General en el punto 21 de sus conclusiones, la lucha contra la delincuencia –en la acepción general que el Gobierno alemán utiliza en sus observaciones– tiene necesariamente por objeto la persecución de los crímenes y delitos cometidos, con independencia de la nacionalidad de sus autores.

79	Así pues, a efectos del objetivo de combatir la delincuencia, para un Estado miembro la situación de sus nacionales no puede ser diferente de la de los ciudadanos de la Unión que no sean nacionales suyos y residan en su territorio.

Por consiguiente, la diferencia de tratamiento, en aras de combatir la delincuencia, entre aquellos nacionales y estos ciudadanos de la Unión resultante del tratamiento sistemático de los datos personales relativos únicamente a los ciudadanos de la Unión que no sean nacionales del Estado miembro de que se trate, constituye una discriminación prohibida por el artículo 12 CE, apartado 1.

Por consiguiente, procede interpretar el artículo 12 CE, apartado 1, en el sentido de que se opone a que un Estado miembro instaure, en aras de combatir la delincuencia, un sistema de tratamiento de datos personales específico para los ciudadanos de la Unión que no sean nacionales de dicho Estado miembro.

Costas

Dado que el procedimiento tiene, para las partes del litigio principal, el carácter de un incidente promovido ante el órgano jurisdiccional nacional, corresponde a éste resolver sobre las costas. Los gastos efectuados por quienes, no siendo partes del litigio principal, han presentado observaciones ante el Tribunal de Justicia no pueden ser objeto de reembolso.

En virtud de todo lo expuesto, el Tribunal de Justicia (Gran Sala) declara:

Un sistema de tratamiento de datos personales relativos a los ciudadanos de la Unión que no sean nacionales del Estado miembro de que se trate, tal como el que instauró la Gesetz über das Ausländerzentralregister (Ley del Registro Central de Extranjeros) de 2 de septiembre de 1994, en su versión modificada por la Ley de 21 de junio de 2005, y que tenga como objetivo apoyar a las autoridades nacionales encargadas de aplicar la normativa en materia de derecho de residencia, tan sólo cumplirá el requisito de necesidad previsto en el artículo 7, letra e), de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, interpretado a la luz de la prohibición de toda discriminación por razón de la nacionalidad,

—	si contiene únicamente los datos necesarios para la aplicación de dicha normativa por las autoridades mencionadas, y

—	si su carácter centralizado permite una aplicación más eficaz de dicha normativa en lo que atañe a los ciudadanos de la Unión que no sean nacionales del mencionado Estado miembro.

Corresponde al órgano jurisdiccional remitente verificar estos extremos en el litigio principal.

En todo caso, no cabe considerar necesario, en el sentido del artículo 7, letra e), de la Directiva 95/46, la conservación y tratamiento de datos personales nominativos, en el marco de un Registro como el Registro Central de Extranjeros, con fines estadísticos.

2)	Procede interpretar el artículo 12 CE, apartado 1, en el sentido de que se opone a que un Estado miembro instaure, en aras de combatir la delincuencia, un sistema de tratamiento de datos personales específico para los ciudadanos de la Unión que no sean nacionales de dicho Estado miembro.

Firmas

( *1 ) Lengua de procedimiento: alemán.