En relación con la aplicación del
RGPD, el principal interés de la sentencia de hoy del Tribunal de Justicia
HTB Neunte Immobilien Portfolio, C-17/22 y C-18/22, EU:C:2024:738, tiene
que ver con que proporciona un nuevo ejemplo de aplicación de algunas de las
bases de licitud del tratamiento de datos personales más relevantes y de más compleja
interpretación, abundando en su reciente jurisprudencia en la materia. Es
conocido que la lista de condiciones de licitud del tratamiento de datos
personales del artículo 6.1 RGPD es “exhaustiva y taxativa”, así como que la posibilidad
de fundar el tratamiento en las bases alternativas al consentimiento del interesado
-letras b) a f) del art. 6.1- debe ser objeto de interpretación restrictiva, como
recuerdan los apdos. 34 y 37 de la nueva sentencia con referencia a la
sentencia Meta Platforms y otros (Condiciones generales del servicio de una
red social) (reseñada aquí). La nueva sentencia vuelve sobre la
interpretación, en particular, de las bases de licitud relativas a que el
tratamiento sea necesario para la ejecución de un contrato (6.1.b) y a que se
funde en la satisfacción de intereses legítimos que deban prevalecer sobre los
del interesado (art. 6.1.f). Lo hace en el contexto peculiar de la pretensión
de ciertas sociedades de inversión titulares de una participación indirecta en
fondos de inversión organizados en forma de sociedad comanditaria, abierta a la
inversión del público, para obtener la divulgación de los nombres y direcciones
de los socios que participan en tales fondos a través de otras sociedades de
participación fiduciarias, que se oponen a tal divulgación. La solicitud de
divulgación tiene por objeto poder entrar en contacto con esos otros partícipes
indirectos y negociar la adquisición de sus participaciones sociales, o
coordinarse en el contexto de los acuerdos de los socios. Como elemento
adicional, se plantea el eventual recurso a la base de licitud del artículo
6.1.c) RGPD, relativa a que el tratamiento sea necesario para el cumplimiento
de una obligación legal aplicable al responsable del tratamiento, en relación
con la jurisprudencia alemana que admite el derecho de un socio de una sociedad
personalista a conocer el nombre y la dirección de los demás socios, como
elemento necesario para que cada socio de una sociedad personalista abierta a
la inversión del público pueda ejercer de manera efectiva sus derechos, con el
único límite del abuso de derecho.
La exigencia de interpretación restrictiva de esas condiciones de licitud restringe la posibilidad de que puedan ser invocadas con éxito -en particular, las de las letras b) y f)- para hacer posible la divulgación pretendida en el litigio principal. Con respecto al artículo 6.1.b) RGPD, el Tribunal de Justicia recuerda que para que resulte de aplicación esa base de licitud es necesario que el tratamiento de datos personales (en este caso, la eventual divulgación de datos personales de unos socios a otros socios) por el responsable del tratamiento sea esencial para permitir la correcta ejecución del contrato con el interesado. Seguidamente, establece que tal circunstancia no concurre en un supuesto en el que los contratos fiduciarios y de participación relevantes establecen expresamente la prohibición de comunicar los datos relativos a los inversores indirectos a otros titulares de participaciones, con el propósito precisamente de garantizar el anonimato de tales socios (apdos. 45-46).
Por
su parte, el artículo 6.1.f) RGPD considera lícito el tratamiento cuando es
necesario para la satisfacción de intereses legítimos del responsable o de un
tercero, y sobre dichos intereses no prevalezcan los intereses o los derechos fundamentales
del interesado. La nueva sentencia proporciona un ejemplo de control del requisito
de que el tratamiento de los datos personales sea necesario para la
satisfacción del interés legítimo en cuestión, que requiere comprobar que el interés
legítimo perseguido por el responsable o el tercero no puede alcanzarse
razonablemente de manera tan eficaz por otros medios menos lesivos para las
libertades y los derechos fundamentales de los interesados (apdo. 51).
La sentencia
pone de relieve que esa exigencia para fundar el tratamiento en el artículo
6.1.f) RGPD típicamente puede no cumplirse en situaciones como la del litigio
principal, en la medida en que el interés legítimo del tercero -el del socio
indirecto participante en el fondo de inversión en entrar en contacto con los
otros socios indirectos- puede satisfacerse mediante medios que supongan una
injerencia menor en el derecho a la protección de los datos personales de las
personas afectadas e igualmente adecuados que la divulgación pretendida de sus
datos personales. En particular, como alternativa menos lesiva y coherente con
el principio de minimización de los datos se menciona la posibilidad de que el
socio indirecto solicite directamente al fondo de inversión que transmita a los
otros socios indirectos su solicitud de entrar en contacto con ellos para
conocerlo o intercambiar opiniones, sin tener que proceder a la divulgación de
los datos de éstos (apdos. 59 y 60). Además, con respecto al requisito adicional
en la aplicación del artículo 6.1.f) RGPD de que sobre los intereses legítimos del
tercero no prevalezcan los intereses o los derechos fundamentales del
interesado (los partícipes indirectos cuyos datos se pretende que sean divulgados),
la sentencia pone de relieve que puede no cumplirse en situaciones en las que
tales partícipes indirectos en el fondo tienen interés en proteger su
confidencialidad y la expectativa razonable de no divulgación de sus datos,
como resulta de que su participación en el fondo tenga lugar mediante contratos
que establecen expresamente la prohibición de comunicar los datos relativos a
los inversores indirectos a otros titulares de participaciones (apdo. 64).
Por
último, la sentencia aborda si el tratamiento consistente en la divulgación pretendida
de los datos puede fundarse en la condición de licitud del artículo 6.1.c)
RGPD, por poderse considerar necesario para el cumplimiento de una obligación
legal aplicable al responsable del tratamiento, a partir de la jurisprudencia
de los tribunales alemanes, incluido el Bundesgerichtshof (Tribunal
Supremo Federal de lo Civil y Penal). Esa jurisprudencia establece un derecho
de información de los socios de sociedades personalistas que solo se ve
limitado por el abuso de derecho y que
lleva a considerar nulas las cláusulas contractuales que garantizan la
confidencialidad de los datos de contacto de los socios indirectos de una
sociedad personalista abierta a la inversión del público.
Tras constatar
que la jurisprudencia nacional puede resultar determinante para apreciar la
existencia y el contenido de la obligación legal referida en el artículo 6.1.c)
RGPD, el Tribunal destaca que esa jurisprudencia debe ser clara, precisa y de
aplicación previsible para sus destinatarios (apdo. 72), limitándose a
mencionar como requisitos adicionales, cuya concurrencia los órganos nacionales
deben comprobar para poder aplicar la base jurídica del artículo 6.1.c) RGPD,
el que la obligación en cuestión responda a un objetivo de interés público y
que sea proporcionada a tal objetivo, así como que el tratamiento de datos se
lleve a cabo dentro de los límites de lo estrictamente necesario (apdo. 73). Frente
a lo que pretendía el órgano jurisdiccional remitente, el Tribunal de Justicia
no proporciona precisiones adicionales acerca de las implicaciones de esas
exigencias en lo relativo a si el derecho de acceso a los datos de otros socios
debe supeditarse a la existencia de un determinado umbral de participación y a
la concurrencia de una razón concreta y precisa, vinculada a la sociedad, en
relación con los socios por la que se solicita tal información.
