–

en nombre de HTB Neunte Immobilien Portfolio geschlossene Investment UG & Co. KG, por los Sres. M. Handlos y R. Veil, Rechtsanwälte;

–

en nombre de Ökorenta Neue Energien Ökostabil IV geschlossene Investment GmbH & Co. KG, por el Sr. U. Brinkmöller, Rechtsanwalt;

–

en nombre de WealthCap Photovoltaik 1 GmbH Co. KG, WealthCap PEIA Komplementär GmbH y WealthCap Investorenbetreuung GmbH, por los Sres. N. Bartmann, U. Baumgartner y A. Höder, Rechtsanwälte;

–

en nombre de la Comisión Europea, por el Sr. A. Bouchagiar, la Sra. M. Heller y el Sr. H. Kranenborg, en calidad de agentes;

1

Las peticiones de decisión prejudicial tienen por objeto la interpretación del artículo 6, apartado 1, párrafo primero, letras b) y f), del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO 2016, L 119, p. 1; en lo sucesivo, «RGPD»).

2

Estas peticiones se han presentado en el contexto de sendos litigios entre, por una parte, HTB Neunte Immobilien Portfolio geschlossene Investment UG & Co. KG (en lo sucesivo, «HTB») y Müller Rechtsanwaltsgesellschaft mbH (asunto C‑17/22) y, por otra parte, Ökorenta Neue Energien Ökostabil IV geschlossene Investment GmbH & Co. KG (en lo sucesivo, «Ökorenta») y WealthCap Photovoltaik 1 GmbH Co. KG, WealthCap PEIA Komplementär GmbH y WealthCap Investorenbetreuung GmbH (asunto C‑18/22).

3

Los considerandos 1, 10, 39, 41, 47 y 48 del RGPD tienen el siguiente tenor:

[…]

[…]

[…]

[…]

4

El artículo 1 de este Reglamento, titulado «Objeto», dispone en su apartado 2:

«El presente Reglamento protege los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales.»

5

El artículo 4 del citado Reglamento establece:

«A efectos del presente Reglamento se entenderá por:

[…]

[…]

[…]».

6

El artículo 5 del mismo Reglamento, titulado «Principios relativos al tratamiento», dispone:

«1.   Los datos personales serán:

[…]

2.   El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (“responsabilidad proactiva”).»

7

El artículo 6 del RGPD, titulado «Licitud del tratamiento», tiene la siguiente redacción:

«1.   El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:

[…]

Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.

2.   Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras c) y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX.

3.   La base del tratamiento indicado en el apartado 1, letras c) y e), deberá ser establecida por:

[…] El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido.»

8

El artículo 13, apartado 1, de este Reglamento dispone:

«Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:

[…]

[…]».

9

El artículo 161 del Handelsgesetzbuch (Código de Comercio), en su versión aplicable a los litigios principales, establece:

«(1)   Una sociedad que tenga por objeto el ejercicio de una actividad comercial bajo una razón social conjunta es una sociedad en comandita si la responsabilidad de uno o varios socios está limitada frente a los acreedores de la sociedad al importe de una determinada aportación patrimonial (socios comanditarios), mientras que los demás socios no tienen limitada su responsabilidad (socios colectivos).

(2)   Salvo disposición en contrario en la presente sección, las disposiciones aplicables a la sociedad colectiva se aplicarán también a la sociedad en comandita.»

10

El artículo 162, apartado 1, de ese Código está redactado como sigue:

«La inscripción de la sociedad deberá incluir, además de los datos especificados en el artículo 106, apartado 2 [(en particular, el apellido, el nombre, la fecha de nacimiento y el lugar de residencia de cada socio)], la identificación de los socios comanditarios y el importe de la aportación de cada uno de ellos. […]»

11

El artículo 127a, apartados 1 y 3, de la Aktiengesetz (Ley de Sociedades Anónimas), en su versión aplicable a los litigios principales, dispone:

«(1)   Los accionistas o las asociaciones de accionistas podrán, a través del foro de accionistas del Bundesanzeiger [(Diario Oficial Federal alemán)], invitar a otros accionistas para que presenten conjuntamente o mediante representación una solicitud o un requerimiento con arreglo a la presente Ley, o para que ejerzan el derecho de voto en una junta general.

[…]

(3)   La invitación podrá contener información sobre el sitio de Internet del accionista solicitante y su dirección de correo electrónico. […]»

12

El artículo 33, apartado 1, primera frase, de la Wertpapierhandelsgesetz (Ley del Mercado de Valores), en su versión aplicable a los litigios principales, establece lo siguiente:

«Toda persona que, por adquisición, cesión o de cualquier otro modo, alcance, supere o se sitúe por debajo del 3 %, el 5 %, el 10 %, el 15 %, el 20 %, el 25 %, el 30 %, el 50 % o el 75 % de los derechos de voto correspondientes a las acciones que posea en un emisor cuyo Estado de origen sea la República Federal de Alemania (obligado a notificar) deberá informar inmediatamente de ello al emisor y, simultáneamente, a la Autoridad Federal, a más tardar en el plazo de cuatro días hábiles, teniendo en cuenta lo dispuesto en el artículo 34, apartados 1 y 2. […]»

13

De las resoluciones de remisión se desprende que HTB y Ökorenta son sociedades de inversión titulares, cada una de ellas, de una participación indirecta, a través de una sociedad fiduciaria, en fondos de inversión. Estos fondos de inversión se organizan en forma de sociedad comanditaria, como sociedad personalista abierta a la inversión del público. La participación en ellas está diseñada como inversión financiera. Cuando dicha participación es indirecta, los socios ejercerán sus derechos a través de sociedades de participación fiduciarias.

14

Las demandantes en los litigios principales solicitan a las demandadas en los litigios principales, que son sociedades de participación fiduciarias, la divulgación de los nombres y direcciones de todos sus socios que participan indirectamente en los fondos de inversión de que se trata, a través de sociedades fiduciarias.

15

Las demandadas en los litigios principales se oponen a tal divulgación porque consideran que la finalidad de los datos solicitados es servir a los propios intereses económicos de las demandantes en los litigios principales, consistentes en publicitar sus propios productos de inversión, crear inquietud entre los inversores o adquirir sus participaciones por debajo de su valor y obtener un beneficio con su reventa. Pues bien, alegan que los contratos fiduciarios y de participación en virtud de los cuales los socios de las demandadas en los litigios principales adquirieron participaciones indirectas en los fondos de inversión de que se trata contienen cláusulas que establecen la prohibición de divulgar los datos a otros titulares de participaciones.

16

Las demandantes en los litigios principales niegan tener tales intenciones y alegan que tienen derecho a ponerse en contacto con los demás socios comanditarios titulares de participaciones en los fondos de inversión de que se trata, en particular para negociar la adquisición de sus participaciones.

17

El órgano jurisdiccional remitente subraya, en esencia, que, de conformidad con la jurisprudencia del Bundesgerichtshof (Tribunal Supremo Federal de lo Civil y Penal, Alemania) y del Oberlandesgericht München (Tribunal Superior Regional de lo Civil y Penal de Múnich, Alemania), la divulgación de los datos personales solicitados por las demandantes en los litigios principales podría resultar obligatoria. No obstante, señala que, dado que esta jurisprudencia es en parte anterior a la entrada en vigor del RGPD, podría tener que apreciarse de manera diferente en los presentes asuntos, habida cuenta del artículo 6, apartado 1, párrafo primero, letras b) y f), de dicho Reglamento, cuya interpretación resulta determinante para la resolución de los litigios principales.

18

En particular, el órgano jurisdiccional remitente señala que del auto del Bundesgerichtshof (Tribunal Supremo Federal de lo Civil y Penal) de 19 de noviembre de 2019 (II ZR 263/18) se desprende que, en una sociedad personalista, como es una sociedad comanditaria, el derecho de un socio a conocer el nombre y la dirección de los demás socios forma parte del «ámbito esencial irrenunciable de los derechos de los socios». Añade que ese derecho también se aplica a los socios comanditarios que son titulares únicamente de participaciones indirectas. En ese sentido, aduce que conocer a todos los demás socios, incluidos aquellos que participan indirectamente, resulta necesario para que cada socio de una sociedad personalista abierta a la inversión del público pueda hacer un ejercicio efectivo de los derechos que se les confieren. Afirma que, de ese modo, la divulgación de estos datos personales a los demás socios se ajusta a las obligaciones que se imponen a la sociedad en virtud de su acto constitutivo. La única excepción al derecho a obtener tales datos, en Derecho alemán, consiste en la prohibición del abuso de derecho, que no permite que este derecho de información se ejerza de manera ilícita o con un propósito de dañar a otros.

19

En virtud de la jurisprudencia del Bundesgerichtshof (Tribunal Supremo Federal de lo Civil y Penal), el abuso de derecho queda excluido, en cualquier caso, cuando un inversor intenta ponerse en contacto con otros inversores con el fin de discutir con ellos cuestiones que afectan a la sociedad y, en su caso, organizar una comunidad de intereses entre los inversores. Además, no procede negarse a facilitar información relativa a un socio basándose en que existe un mero riesgo abstracto de que esos datos personales se utilicen de forma abusiva. Por otra parte, un socio debe poder acceder directamente a los datos de los demás socios de la sociedad, sin depender de los órganos directivos de esta.

20

También se desprende de esta jurisprudencia que un derecho de información de este tipo no puede quedar excluido en virtud de disposiciones contractuales, so pena de suprimir, en la práctica, un derecho esencial de los socios, a saber, el de convocar una junta extraordinaria de socios, ya que un socio con escasa participación solo puede obtener los quórums necesarios para ello si se une a otros socios, lo que supone necesariamente que conozca sus nombres y direcciones [auto del Bundesgerichtshof (Tribunal Supremo Federal de lo Civil y Penal) de 21 de septiembre de 2009 (II ZR 264/08)]. Según la citada jurisprudencia, el considerando 48 del RGPD justifica también que, dentro de un grupo de empresas, los datos personales de todos los socios puedan transmitirse a uno de ellos con fines administrativos internos.

21

Según el órgano jurisdiccional remitente, la jurisprudencia del Bundesgerichtshof (Tribunal Supremo Federal de lo Civil y Penal) consagra así la existencia, en principio, de un derecho de información de los socios que solo se ve limitado por el abuso de derecho.

22

El órgano jurisdiccional remitente hace referencia asimismo a la sentencia de 16 de enero de 2019 del Oberlandesgericht München (Tribunal Superior Regional de lo Civil y Penal de Múnich) (7 U 342/18), según la cual el objeto principal del contrato de sociedad es el ejercicio de los derechos de los socios, incluido el de reforzar su posición en la sociedad. De este modo, la adquisición de participaciones sociales constituye un ejercicio lícito de estos derechos y la divulgación de información relativa a los demás socios a tal efecto responde a un interés razonable. Así pues, en su opinión, tal divulgación solo debería denegarse si no pretende satisfacer ningún interés razonable.

23

El órgano jurisdiccional remitente alberga dudas en cuanto a la compatibilidad con el Derecho de la Unión de la jurisprudencia del Bundesgerichtshof (Tribunal Supremo Federal de lo Civil y Penal) y del Oberlandesgericht München (Tribunal Superior Regional de lo Civil y Penal de Múnich) en la medida en que permite una divulgación amplia de los datos personales de los socios que poseen participaciones indirectas en un fondo de inversión, con la mera alegación puramente formal de un interés de los demás socios en obtener tales datos, por ejemplo, para adquirir participaciones.

24

Considera, en efecto, que, en virtud del Derecho de la Unión, la protección de los datos personales constituye la regla, de modo que la excepción a este principio, establecida, en particular, en el artículo 6, apartado 1, párrafo primero, letras b) y f), del RGPD, que permite autorizar la divulgación de esos datos, debe basarse en una «justificación suficiente». Dicho órgano jurisdiccional añade que en Derecho alemán no existe ninguna obligación legal de publicar datos relativos a las personas que son titulares de participaciones en una sociedad fiduciaria. Así pues, el órgano jurisdiccional remitente se pregunta si el derecho de acceso a los datos de los socios no debe supeditarse, por una parte, a la existencia de un determinado umbral de participación, por analogía a lo previsto en el Derecho alemán en el caso de las sociedades anónimas que cotizan en bolsa, y, por otra parte, a una razón concreta y precisa, vinculada a la sociedad, en relación con los socios por la que se solicita tal información.

25

En estas circunstancias, el Amtsgericht München (Tribunal de lo Civil y Penal de Múnich, Alemania) decidió suspender los dos procedimientos principales y plantear al Tribunal de Justicia las siguientes cuestiones prejudiciales idénticas:

26

El 23 de septiembre de 2022, el Presidente del Tribunal de Justicia resolvió suspender el presente procedimiento a la espera de la resolución que pusiera fin al proceso en el asunto C‑252/21.

27

De conformidad con la resolución del Presidente del Tribunal de Justicia de 7 de julio de 2023, la Secretaría notificó al órgano jurisdiccional remitente la sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social) (C‑252/21, EU:C:2023:537), invitándole a indicar si, habida cuenta de dicha sentencia, deseaba mantener, en todo o en parte, sus peticiones de decisión prejudicial.

28

Mediante escrito de 4 de agosto de 2023, presentado en la Secretaría del Tribunal de Justicia el mismo día, dicho órgano jurisdiccional indicó que mantenía sus peticiones de decisión prejudicial.

29

Mediante sus cuestiones prejudiciales, que procede examinar conjuntamente, el órgano jurisdiccional remitente pregunta, en esencia, si el artículo 6, apartado 1, párrafo primero, letras b) y f), del RGPD debe interpretarse en el sentido de que un tratamiento de datos personales consistente en divulgar, a petición de un socio de un fondo de inversión, constituido en forma de sociedad personalista abierta a la inversión del público, información sobre todos los socios que participan indirectamente en ese fondo, a través de sociedades fiduciarias, con independencia de la magnitud de su participación en el capital de dicho fondo, con el fin de entrar en contacto y negociar con ellos la adquisición de sus participaciones sociales, o de coordinarse con ellos con el propósito de formar una voluntad común en el contexto de los acuerdos de los socios, puede considerarse necesario para la ejecución de un contrato en el que los interesados sean parte, en el sentido de la letra b), o para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, en el sentido de la letra f).

30

Dado que las peticiones de decisión prejudicial ponen de manifiesto que el órgano jurisdiccional remitente se pregunta sobre la conformidad con el RGPD de la obligación de divulgación de tales datos resultante, en Derecho alemán, de la jurisprudencia de los órganos jurisdiccionales nacionales, procede reformular las cuestiones prejudiciales planteadas en el sentido de que abarcan la interpretación del artículo 6, apartado 1, párrafo primero, letra c), de dicho Reglamento y considerar que, mediante sus cuestiones prejudiciales, el órgano jurisdiccional remitente se pregunta también si puede entenderse que tal divulgación procede de una obligación legal a la que está sujeto el responsable del tratamiento.

31

Para responder a esas cuestiones, procede recordar, con carácter preliminar, que el objetivo perseguido por el RGPD, tal como se desprende de su artículo 1 y de sus considerandos 1 y 10, consiste, en particular, en garantizar un nivel elevado de protección de los derechos y libertades fundamentales de las personas físicas, sobre todo de su derecho a la vida privada respecto del tratamiento de los datos personales, consagrado en el artículo 8, apartado 1, de la Carta y en el artículo 16 TFUE, apartado 1 (sentencia de 7 de marzo de 2024, IAB Europe, C‑604/22, EU:C:2024:214, apartado 53 y jurisprudencia citada).

32

De conformidad con este objetivo, todo tratamiento de datos personales debe ser conforme, en particular, con los principios relativos al tratamiento de tales datos establecidos en el artículo 5 de dicho Reglamento y cumplir las condiciones de licitud enumeradas en el artículo 6 del mismo Reglamento [véanse, en este sentido, las sentencias de 6 de octubre de 2020, La Quadrature du Net y otros, C‑511/18, C‑512/18 y C‑520/18, EU:C:2020:791, apartado 208, y de 11 de julio de 2024, Meta Platforms Ireland (Acción de representación), C‑757/22, EU:C:2024:598, apartado 49].

33

A este respecto, procede subrayar que, en virtud del artículo 5, apartado 1, letra a), del RGPD, los datos personales deben ser tratados de manera lícita, leal y transparente en relación con el interesado.

34

En particular, por lo que respecta a las condiciones de licitud del tratamiento, como ha declarado el Tribunal de Justicia, el artículo 6, apartado 1, párrafo primero, del RGPD prevé una lista exhaustiva y taxativa de los casos en los que un tratamiento de datos personales puede considerarse lícito. Así pues, para poder ser considerado legítimo, el tratamiento de datos personales debe estar comprendido en alguno de los casos contemplados en esa disposición [sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C‑252/21, EU:C:2023:537, apartado 90].

35

Habida cuenta de las particularidades de los litigios principales, es preciso señalar, además, que dicho artículo 6, apartado 1, párrafo primero, no establece, en sí, una obligación, sino que se limita a conferir la facultad de llevar a cabo un tratamiento de datos personales en los casos que enumera (véase, por analogía, la sentencia de 4 de mayo de 2017, Rīgas satiksme, C‑13/16, EU:C:2017:336, apartado 26).

36

A tenor del artículo 6, apartado 1, párrafo primero, letra a), del RGPD, el tratamiento de datos personales solo será lícito si el interesado dio su consentimiento para uno o varios fines específicos. A falta de tal consentimiento, o cuando este no se haya prestado de forma libre, específica, informada e inequívoca, en el sentido del artículo 4, punto 11, de ese Reglamento, tal tratamiento está, no obstante, justificado cuando cumple alguno de los requisitos de necesidad mencionados en el artículo 6, apartado 1, párrafo primero, letras b) a f), del citado Reglamento.

37

En este contexto, las justificaciones previstas en esta última disposición, en la medida en que permiten que un tratamiento de datos personales realizado sin el consentimiento del interesado sea lícito, deben ser objeto de una interpretación restrictiva [sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C‑252/21, EU:C:2023:537, apartado 93 y jurisprudencia citada].

38

Además, como ha declarado el Tribunal de Justicia, cuando un tratamiento de datos personales pueda considerarse necesario a la vista de alguna de las justificaciones previstas en el artículo 6, apartado 1, párrafo primero, letras b) a f), del RGPD, no es preciso determinar si también está comprendido en otra de esas justificaciones [sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C‑252/21, EU:C:2023:537, apartado 94 y jurisprudencia citada].

39

El Tribunal de Justicia también ha declarado que, de conformidad con el artículo 5 del RGPD, incumbe al responsable del tratamiento la carga de la prueba de que dichos datos se recogen con fines determinados, explícitos y legítimos y de que son tratados de manera lícita, leal y transparente en relación con el interesado. Además, de conformidad con el artículo 13, apartado 1, letra c), de dicho Reglamento, cuando se obtengan de un interesado datos personales, incumbe al responsable del tratamiento facilitarle los fines del tratamiento a que se destinen esos datos y la base jurídica del mismo [sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C‑252/21, EU:C:2023:537, apartado 95].

40

En el presente asunto, de los autos que obran en poder del Tribunal de Justicia se desprende que los socios que participaban indirectamente, a través de sociedades fiduciarias, en los fondos de inversión de que se trata no consintieron, en el sentido del artículo 6, apartado 1, párrafo primero, letra a), del RGPD, en que las demandadas en los litigios principales divulgaran sus datos personales a terceros, en particular a HTB y a Ökorenta.

41

En estas circunstancias, para responder a las cuestiones prejudiciales planteadas, es preciso comprobar si las disposiciones del artículo 6, apartado 1, párrafo primero, letras b) y f), de dicho Reglamento, a las que se refieren específicamente las peticiones de decisión prejudicial, pueden invocarse para justificar la eventual divulgación de tales datos a esos terceros.

42

Por lo que atañe, en primer lugar, al artículo 6, apartado 1, párrafo primero, letra b), del RGPD, este establece que el tratamiento de datos personales es lícito si es «necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales».

43

A este respecto, el Tribunal de Justicia ya ha declarado que, para que un tratamiento de datos personales se considere necesario para la ejecución de un contrato, en el sentido de esa disposición, debe ser objetivamente indispensable para conseguir un fin que forme parte integrante de la prestación contractual destinada al interesado. Así pues, el responsable del tratamiento debe poder demostrar por qué no podría alcanzarse el objeto principal del contrato sin el tratamiento en cuestión [sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C‑252/21, EU:C:2023:537, apartado 98].

44

En efecto, como también ha declarado el Tribunal de Justicia, el elemento determinante a efectos de la aplicación de la justificación prevista en el artículo 6, apartado 1, párrafo primero, letra b), del RGPD es que el tratamiento de datos personales efectuado por el responsable del tratamiento sea esencial para permitir la correcta ejecución del contrato celebrado entre este y el interesado y, por lo tanto, que no existan soluciones viables y menos intrusivas [sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C‑252/21, EU:C:2023:537, apartado 99].

45

En el caso de autos, de las resoluciones de remisión se desprende que los contratos fiduciarios y de participación controvertidos en los litigios principales, en virtud de los cuales se adquirieron participaciones indirectas en los fondos de inversión de que se trata, establecen expresamente la prohibición de comunicar los datos relativos a los inversores indirectos a otros titulares de participaciones.

46

A este respecto, es preciso señalar que la característica esencial de la adquisición de una participación indirecta, a través de una sociedad fiduciaria, en un fondo de inversión abierto a la inversión del público es precisamente el anonimato de los socios, incluso en las relaciones entre los propios socios. En otras palabras, quienes optan por una inversión financiera en un fondo de inversión en forma de participación a través de una sociedad fiduciaria lo hacen teniendo en cuenta precisamente el tratamiento confidencial de sus datos por este fondo.

47

Por lo tanto, y sin perjuicio de que el órgano jurisdiccional remitente compruebe este extremo, no puede considerarse que un tratamiento de datos personales consistente en la divulgación de información relativa a los socios que participan indirectamente, a través de una sociedad fiduciaria, en un fondo de inversión abierto a la inversión del público sea «necesario para la ejecución de un contrato», en el sentido del artículo 6, apartado 1, párrafo primero, letra b), del RGPD, cuando el contrato con el que se adquirió tal participación excluye expresamente la divulgación de esos datos a otros titulares de participaciones.

48

Por lo que respecta, en segundo lugar, al artículo 6, apartado 1, párrafo primero, letra f), del RGPD, este prevé que el tratamiento de datos personales será lícito si es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales.

49

Como ya ha declarado el Tribunal de Justicia, esta disposición establece tres requisitos acumulativos para que el tratamiento de datos personales resulte lícito, a saber, en primer término, que el responsable del tratamiento o el tercero persigan un interés legítimo; en segundo término, que el tratamiento de los datos personales sea necesario para la satisfacción de ese interés legítimo y, en tercer término, que no prevalezcan los intereses o los derechos y libertades fundamentales del interesado en la protección de los datos [sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C‑252/21, EU:C:2023:537, apartado 106 y jurisprudencia citada].

50

Por lo que respecta, en primer término, al requisito relativo a la persecución de un «interés legítimo», procede subrayar que, a falta de definición de este concepto por el RGPD, como ya ha declarado el Tribunal de Justicia, en principio, existe una amplia gama de intereses que pueden considerarse legítimos [sentencia de 7 de diciembre de 2023, SCHUFA Holding (Exoneración del pasivo insatisfecho), C‑26/22 y C‑64/22, EU:C:2023:958, apartado 76].

51

Por lo que respecta, en segundo término, al requisito relativo a la necesidad del tratamiento de datos personales para la satisfacción del interés legítimo perseguido, este exige que el órgano jurisdiccional remitente compruebe que el interés legítimo perseguido con el tratamiento de los datos no puede alcanzarse razonablemente de manera tan eficaz por otros medios menos lesivos para las libertades y los derechos fundamentales de los interesados, en particular los derechos al respeto de la vida privada y a la protección de los datos personales, garantizados por los artículos 7 y 8 de la Carta [sentencia de 7 de diciembre de 2023, SCHUFA Holding (Exoneración del pasivo insatisfecho), C‑26/22 y C‑64/22, EU:C:2023:958, apartado 77 y jurisprudencia citada].

52

En este contexto, procede recordar igualmente que el requisito relativo a la necesidad del tratamiento debe examinarse en relación con el llamado principio de «minimización de los datos», consagrado en el artículo 5, apartado 1, letra c), del RGPD, conforme al cual los datos personales deben ser «adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados» [sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C‑252/21, EU:C:2023:537, apartado 109 y jurisprudencia citada].

53

Finalmente, por lo que respecta, en tercer término, al requisito de que los intereses o las libertades y los derechos fundamentales del interesado en la protección de los datos no prevalezcan sobre el interés legítimo del responsable del tratamiento o de un tercero, el Tribunal de Justicia ya ha declarado que dicho requisito implica la ponderación de los derechos e intereses en conflicto, que dependerá, en principio, de las circunstancias concretas del caso particular y que, en consecuencia, corresponde al órgano jurisdiccional remitente efectuar esa ponderación teniendo en cuenta estas circunstancias particulares [sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C‑252/21, EU:C:2023:537, apartado 110 y jurisprudencia citada].

54

Además, el considerando 47 del RGPD señala que los intereses y los derechos fundamentales del interesado pueden, en particular, prevalecer sobre los intereses del responsable del tratamiento cuando se proceda al tratamiento de datos personales en circunstancias en las que el interesado no espera razonablemente que se realice tal tratamiento [sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C‑252/21, EU:C:2023:537, apartado 112].

55

Si bien corresponde, en definitiva, al órgano jurisdiccional remitente apreciar si, en relación con el tratamiento de datos personales controvertido en los litigios principales, se cumplen los tres requisitos mencionados en el apartado 49 de la presente sentencia, el Tribunal de Justicia, al pronunciarse sobre la cuestión prejudicial, puede aportar precisiones destinadas a orientar a dicho órgano jurisdiccional a efectos de proceder a esa apreciación [sentencias de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C‑252/21, EU:C:2023:537, apartado 96, y de 7 de diciembre de 2023, SCHUFA Holding (Exoneración del pasivo insatisfecho), C‑26/22 y C‑64/22, EU:C:2023:958, apartado 81 y jurisprudencia citada].

56

En los presentes asuntos, por lo que respecta, en primer término, al requisito relativo a que el responsable del tratamiento o un tercero persigan un interés legítimo, en el sentido del artículo 6, apartado 1, párrafo primero, letra f), del RGPD, el órgano jurisdiccional remitente hace referencia al interés de un tercero, a saber, el interés de un socio que participa indirectamente en un fondo de inversión constituido en forma de sociedad comanditaria, abierta a la inversión del público, en la obtención de datos personales relativos a los demás socios indirectos de dicha sociedad con el fin de entrar en contacto con ellos o de negociar la adquisición de participaciones sociales, o incluso de coordinarse con ellos a efectos de la formación de una voluntad común en el contexto de los acuerdos de todos los socios.

57

Procede señalar que tal interés puede constituir, en principio, a efectos de la divulgación de datos personales, un interés legítimo en el sentido del artículo 6, apartado 1, párrafo primero, letra f), del RGPD, habida cuenta, en particular, del estatuto de esa sociedad, tal como se desprende del Derecho nacional del Estado miembro de que se trata, y con independencia de la magnitud del importe de la participación y de las facultades que el socio que presentó la solicitud de divulgación ostente en la sociedad. No obstante, corresponde al órgano jurisdiccional remitente apreciar, caso por caso, la existencia de ese interés tomando en consideración el marco jurídico aplicable y el conjunto de circunstancias del asunto.

58

En el supuesto de que tal interés legítimo quedara acreditado, sería preciso, además, para que la consecución de ese interés pueda permitir un tratamiento de datos personales, con arreglo al artículo 6, apartado 1, párrafo primero, letra f), del RGPD, que el responsable del tratamiento cumpla todas las demás obligaciones que le incumben en virtud de ese Reglamento.

59

En segundo término, por lo que respecta al requisito relativo a la necesidad de ese tratamiento para la satisfacción de tal interés y, en particular, de la existencia de medios menos lesivos para las libertades y derechos fundamentales de las personas afectadas e igualmente adecuados, es preciso señalar que es posible, en particular, que el socio de un fondo de inversión que pretenda obtener información relativa a otro socio titular de una participación indirecta en ese fondo a través de una sociedad fiduciaria solicite directamente a dicho fondo o a dicha sociedad que transmita su solicitud al socio en cuestión, con el fin de conocerlo o intercambiar opiniones con él. A continuación, este último podría decidir libremente si desea ponerse en contacto con el socio que ha formulado la solicitud o si prefiere no dar curso a tal solicitud y conservar su anonimato. Tal solución podría aplicarse igualmente en el caso de que el socio solicitante pretenda entablar con otro socio negociaciones para la adquisición de las participaciones de este último o coordinarse con este a efectos de la formación de una voluntad común en el contexto de los acuerdos de todos los socios.

60

Por otro lado, esta solución permitiría al socio al que se refiere la solicitud de información, de conformidad con el principio de minimización de los datos, mencionado en el apartado 52 de la presente sentencia, conservar el control sobre el tratamiento de sus datos personales y limitar así su divulgación a otro socio a lo que sea efectivamente necesario y pertinente en relación con los fines para los que se solicitan y tratan dichos datos.

61

Por lo tanto, no cabe excluir que un procedimiento como el descrito en el apartado anterior de la presente sentencia pueda considerarse una medida que supone una injerencia menor en el derecho a la protección de la confidencialidad de los datos personales del interesado, permitiendo al mismo tiempo al responsable del tratamiento observar, de manera igualmente eficaz, el interés legítimo del tercero afectado, extremo que, no obstante, corresponde comprobar al órgano jurisdiccional remitente.

62

En tercer término, por lo que respecta a la ponderación de los intereses que corresponde efectuar al órgano jurisdiccional remitente a la vista de las circunstancias específicas de los presentes asuntos, dicho órgano jurisdiccional debe tener en cuenta, en particular, las expectativas razonables del interesado, así como el alcance del tratamiento en cuestión y el impacto de este sobre el interesado [sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C‑252/21, EU:C:2023:537, apartado 116].

63

De ello se deduce que en el marco de tal ponderación no puede excluirse, en principio, que la divulgación de datos personales entre socios, incluso indirectos, de una sociedad personalista pueda servir, en su caso, a los intereses económicos de cada uno de ellos y, por tanto, también, a los intereses de los socios indirectos a cuyos datos personales pretenden tener acceso esos otros socios.

64

Por otra parte, tampoco puede excluirse que el interés de los socios que participan indirectamente en un fondo de inversión en que sus datos personales sigan siendo confidenciales pueda prevalecer sobre el de los demás socios que pretendan obtener sus datos de contacto. Desde esta perspectiva, debe concederse especial importancia al hecho de que es probable, habida cuenta, en particular, de las disposiciones contractuales mencionadas en el apartado 45 de la presente sentencia, que los socios indirectos de tal fondo de inversión no pudieran razonablemente esperar, en el momento de la recogida de sus datos personales, que estos fueran divulgados a terceros, en este caso a otros socios indirectos de ese fondo de inversión.

65

De la totalidad de las consideraciones anteriores se desprende, sin perjuicio de la apreciación del órgano jurisdiccional remitente, que resulta dudoso que un tratamiento de datos personales, como la divulgación de la información solicitada por las demandantes en los litigios principales, pueda estar justificado por un interés legítimo, en el sentido del artículo 6, apartado 1, párrafo primero, letra f), del RGPD.

66

Por lo que respecta, en tercer lugar, al artículo 6, apartado 1, párrafo primero, letra c), del RGPD, este establece que un tratamiento de datos personales es lícito si es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento.

67

El artículo 6, apartado 3, del RGPD precisa, a este respecto, que el tratamiento debe basarse en el Derecho de la Unión o en el Derecho de los Estados miembros que se aplique al responsable del tratamiento y que esa base jurídica debe cumplir un objetivo de interés público y ser proporcional al fin legítimo perseguido [sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C‑252/21, EU:C:2023:537, apartado 128].

68

Además, como enuncia el considerando 41 de ese Reglamento, cuando este hace referencia a una base jurídica o a una medida legislativa, no se exige necesariamente un acto legislativo adoptado por un parlamento, sin perjuicio de los requisitos de conformidad del ordenamiento constitucional del Estado miembro de que se trate. Sin embargo, dicha base jurídica o medida legislativa debe ser clara y precisa y su aplicación previsible para sus destinatarios, de conformidad con la jurisprudencia del Tribunal de Justicia y del Tribunal Europeo de Derechos Humanos.

69

En los presentes asuntos, por una parte, el Derecho de la Unión no establece ninguna obligación para los fondos de inversión o las sociedades fiduciarias de participación, como las que son objeto de los litigios principales, de divulgar los datos personales de los socios que participan indirectamente en dichos fondos.

70

Por otra parte, de las peticiones de decisión prejudicial se desprende que, no obstante, tal obligación podría deducirse, sin perjuicio de las comprobaciones que corresponde efectuar al órgano jurisdiccional remitente a este respecto, de la jurisprudencia del Bundesgerichtshof (Tribunal Supremo Federal de lo Civil y Penal) y del Oberlandesgericht München (Tribunal Superior Regional de lo Civil y Penal de Múnich) en virtud de la cual las cláusulas contractuales que garantizan la confidencialidad de los datos de contacto de los socios indirectos de una sociedad personalista abierta a la inversión del público, como las que son objeto de los litigios principales, deben considerarse nulas, de modo que procede divulgar los datos personales de los socios que participan indirectamente en un fondo de inversión constituido en forma de sociedad comanditaria abierta a la inversión del público.

71

A este respecto, es preciso señalar que, de conformidad con lo mencionado en el apartado 68 de la presente sentencia, no puede excluirse que «el Derecho de los Estados miembros que se aplique al responsable del tratamiento», en el sentido del artículo 6, apartado 3, letra b), del RGPD, comprenda también la jurisprudencia nacional.

72

Sin embargo, como se desprende del considerando 41 de dicho Reglamento, se exige que tal jurisprudencia sea clara y precisa y su aplicación previsible para sus destinatarios, de conformidad con la jurisprudencia del Tribunal de Justicia.

73

Además, con arreglo a la jurisprudencia recordada en el apartado 67 de la presente sentencia, es preciso además que esta jurisprudencia constituya una base jurídica que responda a un objetivo de interés público y que sea proporcionada a este objetivo, así como que el tratamiento de que se trate se lleve a cabo dentro de los límites de lo estrictamente necesario, extremo que corresponde comprobar al órgano jurisdiccional remitente [véase, en este sentido, la sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C‑252/21, EU:C:2023:537, apartados 134 y 138].

74

Así pues, corresponderá a dicho órgano jurisdiccional determinar, en particular, si no existen medidas que, al mismo tiempo que permitan garantizar la transparencia entre los socios de sociedades personalistas, tal como parece derivarse del Derecho alemán, como se ha expuesto en los apartados 18 a 22 de la presente sentencia, sean menos lesivas para la protección de los datos personales confidenciales de los socios indirectos de sociedades comanditarias abiertas a la inversión del público que la obligación de divulgar esos datos a cualquier otro socio que lo solicite.

75

Habida cuenta de todas las consideraciones anteriores, procede responder a las cuestiones prejudiciales planteadas que el artículo 6, apartado 1, párrafo primero, letra b), del RGPD debe interpretarse en el sentido de que un tratamiento de datos personales consistente en divulgar, a petición de un socio de un fondo de inversión, constituido en forma de sociedad personalista abierta a la inversión del público, información sobre todos los socios que participan indirectamente en ese fondo, a través de sociedades fiduciarias, con independencia de la magnitud de su participación en el capital de dicho fondo, con el fin de entrar en contacto y negociar con ellos la adquisición de sus participaciones sociales, o de coordinarse con ellos con el propósito de formar una voluntad común en el contexto de los acuerdos de los socios, solo puede considerarse necesario, a efectos de esa disposición, para la ejecución del contrato en virtud del cual esos socios adquirieron tales participaciones si ese tratamiento es objetivamente indispensable para lograr una finalidad que forma parte integrante de la prestación contractual destinada a esos mismos socios, de modo que el objeto principal del contrato no podría alcanzarse sin ese tratamiento. No sucede así si el citado contrato excluye expresamente la divulgación de esos datos personales a otros titulares de participaciones.

76

El artículo 6, apartado 1, párrafo primero, letra f), del RGPD debe interpretarse en el sentido de que un tratamiento de ese tipo solo puede considerarse necesario para la satisfacción de los intereses legítimos perseguidos por un tercero, a efectos de dicha disposición, si ese tratamiento es estrictamente necesario para la consecución de ese interés legítimo y si, habida cuenta de todas las circunstancias pertinentes, sobre ese interés legítimo no prevalecen los intereses o las libertades y los derechos fundamentales de tales socios.

77

El artículo 6, apartado 1, párrafo primero, letra c), del RGPD debe interpretarse en el sentido de que ese tratamiento de datos personales está justificado, con arreglo a dicha disposición, cuando es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, en virtud del Derecho del Estado miembro de que se trate, tal como se concrete en la jurisprudencia de ese Estado miembro, siempre que esa jurisprudencia sea clara y precisa, que su aplicación sea previsible para sus destinatarios y que responda a un objetivo de interés público y sea proporcionada a este.

78

Dado que el procedimiento tiene, para las partes de los litigios principales, el carácter de un incidente promovido ante el órgano jurisdiccional remitente, corresponde a este resolver sobre las costas. Los gastos efectuados por quienes, no siendo partes de los litigios principales, han presentado observaciones ante el Tribunal de Justicia no pueden ser objeto de reembolso.

En virtud de todo lo expuesto, el Tribunal de Justicia (Sala Cuarta) declara: