1. Aproximación de las legislaciones — Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Directiva 95/46/CE — Armonización completa — Lista taxativa de los casos en que es lícito el tratamiento de datos personales
(Directiva 95/46/CE del Parlamento Europeo y del Consejo, art. 7)
2. Aproximación de las legislaciones — Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Directiva 95/46/CE — Requisitos para la licitud de un tratamiento de datos personales
[Carta de los Derechos Fundamentales de la Unión Europea, arts. 7 y 8; Directiva 95/46/CE del Parlamento Europeo y del Consejo, arts. 5 y 7, letra f)]
3. Aproximación de las legislaciones — Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Directiva 95/46/CE — Margen de apreciación de los Estados miembros — Alcance
(Directiva 95/46/CE del Parlamento Europeo y del Consejo, art. 5)
4. Aproximación de las legislaciones — Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Directiva 95/46/CE — Requisitos para la licitud de un tratamiento de datos personales
[Carta de los Derechos Fundamentales de la Unión Europea, arts. 7 y 8; Directiva 95/46/CE del Parlamento Europeo y del Consejo, art. 7, letra f)]
5. Derechos fundamentales — Respeto de la vida privada — Protección de los datos personales — Limitaciones toleradas en virtud de la Carta de los Derechos Fundamentales de la Unión Europea
(Carta de los Derechos Fundamentales de la Unión Europea, arts. 7, 8 y 52, ap. 1)
6. Actos de las instituciones — Directivas — Efecto directo — Requisitos
[Art. 249 CE, párr. 3; Directiva 95/46/CE del Parlamento Europeo y del Consejo, art. 7, letra f)]
1. La armonización de las legislaciones nacionales que pretende la Directiva 95/46, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, no se limita a una armonización mínima, sino que constituye, en principio, una armonización completa. Desde este punto de vista, dicha Directiva trata de asegurar la libre circulación de datos personales, garantizando al mismo tiempo un alto nivel de protección de los derechos e intereses de las personas a las que se refieren esos datos. Así pues, se deduce de este objetivo que el artículo 7 de la Directiva establece una lista exhaustiva y taxativa de los casos en que un tratamiento de datos personales puede considerarse lícito. Por consiguiente, los Estados miembros no pueden ni añadir al artículo 7 de la Directiva nuevos principios relativos a la legitimación de los tratamientos de datos personales ni imponer exigencias adicionales que vinieran a modificar el alcance de alguno de los principios establecidos en dicho artículo.
No se opone a la anterior interpretación la facultad que, en virtud del artículo 5 de la Directiva 95/46, tienen los Estados miembros de precisar las condiciones en que los tratamientos de datos personales son lícitos. En efecto, los Estados miembros no pueden, amparándose en el margen de apreciación de que disponen en virtud del artículo 5 de la Directiva, introducir principios relativos a la legitimación de los tratamientos de datos personales distintos a los enunciados en el artículo 7 de la propia Directiva ni modificar, mediante exigencias adicionales, el alcance de los principios establecidos en dicho artículo 7.
(véanse los apartados 29, 30, 32, 33, 35 y 36)
2. El artículo 7, letra f), de la Directiva 95/46, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, debe interpretarse en el sentido de que se opone a una normativa nacional que, para permitir el tratamiento de datos personales necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, exige, en el caso de que no exista consentimiento del interesado, no sólo que se respeten los derechos y libertades fundamentales de éste, sino además que dichos datos figuren en fuentes accesibles al público, excluyendo así de forma categórica y generalizada todo tratamiento de datos que no figuren en tales fuentes.
En efecto, por una parte, se deduce del objetivo de dicha Directiva de asegurar la libre circulación de datos personales, garantizando al mismo tiempo un alto nivel de protección de los derechos e intereses de las personas a las que se refieren esos datos, que su artículo 7 establece una lista exhaustiva y taxativa de los casos en que un tratamiento de datos personales puede considerarse lícito. Por consiguiente, los Estados miembros no pueden ni añadir nuevos principios relativos a la legitimación de los tratamientos de datos personales ni imponer exigencias adicionales que vinieran a modificar el alcance de alguno de los principios establecidos en dicho artículo 7. Además, los Estados miembros tampoco pueden introducir, amparándose en el artículo 5 de la Directiva, principios relativos a la legitimación de los tratamientos de datos personales distintos a los enunciados en el artículo 7 ni modificar, mediante exigencias adicionales, el alcance de los principios establecidos en el citado artículo 7.
Por otra parte, para efectuar la necesaria ponderación de los derechos e intereses en conflicto prevista en el artículo 7, letra f), de la propia Directiva, los Estados miembros pueden establecer principios rectores. También pueden tomar en consideración el hecho de que la gravedad de la lesión de los derechos fundamentales de la persona afectada por dicho tratamiento puede variar en función de que los datos figuren ya, o no, en fuentes accesibles al público. En este último caso, la lesión será más grave.
No obstante, si una normativa nacional excluye la posibilidad de tratar determinadas categorías de datos personales, estableciendo con carácter definitivo el resultado de la ponderación de los derechos e intereses en conflicto respecto de tales categorías, sin permitir un resultado diferente en atención a las circunstancias particulares de cada caso concreto, no se trata ya de una mera precisión, sino de una exigencia adicional, prohibida por el artículo 7, letra f), de la Directiva.
(véanse los apartados 29, 30, 32, 36 y 44 a 49, y el punto 1 del fallo)
3. La Directiva 95/46, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, contiene normas que se caracterizan por una cierta flexibilidad y deja en muchos casos en manos de los Estados miembros la tarea de regular los detalles o de elegir entre varias opciones. Es preciso distinguir, pues, entre medidas nacionales que establecen exigencias adicionales que modifican el alcance de un principio fijado en el artículo 7 de dicha Directiva, por una parte, y medidas nacionales que se limitan a precisar alguno de estos principios, por otra parte. El primer tipo de medida nacional está prohibido, y únicamente en el contexto del segundo tipo de medida nacional disponen los Estados miembros de un margen de apreciación, con arreglo al artículo 5 de la Directiva.
(véase el apartado 35)
4. El artículo 7, letra f), de la Directiva 95/46, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece dos requisitos acumulativos para que un tratamiento de datos personales sea lícito, a saber, por una parte, que ese tratamiento de datos personales sea necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, y, por otra parte, que no prevalezcan los derechos y libertades fundamentales del interesado. El segundo de esos requisitos exige una ponderación de los derechos e intereses en conflicto, que dependerá, en principio, de las circunstancias concretas del caso particular de que se trate y en cuyo marco la persona o institución que efectúe la ponderación deberá tener en cuenta la importancia de los derechos que los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea confieren al interesado.
(véanse los apartados 38 y 40)
5. El respeto del derecho a la vida privada en lo que respecta al tratamiento de los datos de carácter personal, reconocido por los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea, se aplica a toda información sobre una persona física identificada o identificable. No obstante, de los artículos 8, apartado 2, y 52, apartado 1, de la Carta se desprende que, bajo ciertas condiciones, pueden introducirse limitaciones a este derecho.
(véase el apartado 42)
6. Siempre que las disposiciones de una directiva resulten ser, desde el punto de vista de su contenido, incondicionales y suficientemente precisas, los particulares podrán invocarlas frente al Estado, en particular cuando éste no haya adaptado el Derecho nacional a la Directiva dentro del plazo señalado o cuando haya procedido a una adaptación incorrecta. Es el caso del artículo 7, letra f), de la Directiva 95/46, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. Si bien dicha Directiva confiere a los Estados miembros un margen de apreciación más o menos grande para la aplicación de algunas de sus disposiciones, el citado artículo 7, letra f), enuncia una obligación incondicional.
(véanse los apartados 51, 52 y 55 y el punto 2 del fallo)