La sentencia del TJUE de 22 de junio de 2023, en el asunto C‑579/21, resuelve una petición prejudicial que versa sobre la interpretación del artículo 15, apartado 1, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (RGPD)
HECHOS
A lo largo de 2014, un empleado y cliente del banco Pankki S supo que sus datos personales habían sido consultados, en varias ocasiones, por otros miembros del personal del banco a lo largo de los meses precedentes. Este empleado fue despedido, y solicitó al banco el 29 de mayo de 2018 la identidad de las personas que habían consultado sus datos, las fechas exactas de las consultas y los fines del tratamiento de dichos datos. El banco se negó a comunicar los nombres de los trabajadores implicados, pero si que entregó alguna información: detalló las consultas efectuadas por su servicio de auditoría interna. El banco explicó que había realizado investigaciones para averiguar si se habían producido situaciones de conflicto de intereses. Ocurría que uno de sus clientes del quien el empleado solicitante era asesor, era acreedor de una persona que tenía el mismo apellido que el solicitante. El banco quiso aclarar si el solicitante y el deudor eran la misma persona por lo que hubo de tratar datos. Y ello le había permitido descartar que se hubiesen producido conflictos de intereses. Añadió el banco que cada miembro del personal del banco que había tratado esos datos había presentado al servicio de auditoría interna una declaración sobre los motivos del tratamiento de datos.
En la fundamentación de esta resolución se menciona que:
-
- Según reiterada jurisprudencia, la interpretación de una disposición del Derecho de la Unión requiere tener en cuenta no solo su tenor, sino también su contexto, así como los objetivos y la finalidad que persigue el acto del que forma parte [sentencia de 12 de enero de 2023, Österreichische Post (Información relativa a los destinatarios de datos personales), C‑154/21, EU:C:2023:3, apartado 29]. También que conforme a la jurisprudencia previa, el interesado tiene derecho a obtener del responsable del tratamiento información sobre los destinatarios concretos a los que hayan sido o vayan a ser comunicados los datos personales que le conciernen [sentencia de 12 de enero de 2023, Österreichische Post (Información relativa a los destinatarios de datos personales), C‑154/21, EU:C:2023:3, apartado 46]
- El artículo 15, apartado 1, del RGPD establece que el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la información relativa, en particular, a los fines del tratamiento y a los destinatarios o a las categorías de destinatarios a los que se comunicaron o serán comunicados esos datos personales.
- En virtud del considerando 4 del RGPD, el derecho a la protección de los datos personales no es un derecho absoluto, sino que debe interpretarse en relación con su función en la sociedad y mantener el equilibrio con otros derechos fundamentales (sentencia de 16 de julio de 2020, Facebook Ireland y Schrems, C‑311/18, EU:C:2020:559, apartado 172)
FALLO
El TJUE concluye que la información relativa a operaciones de consulta de datos personales de una persona, relativas a las fechas y a los fines de estas operaciones, constituye información que esa persona tiene derecho a obtener del responsable del tratamiento.
- La información relativa a las personas concretas que llevaron a cabo la consulta de los datos personales del interesado podría constituir, a su vez, información comprendida en el ámbito de aplicación del artículo 4, punto 1, del RGPD; es decir, datos personales
- Cuando están en juego intereses contradictorios, debe procederse a la ponderación (conforme a lo ya establecido en la sentencia de 4 de mayo de 2023, Österreichische Datenschutzbehörde y CRIF, C‑487/21, EU:C:2023:369, apartado 44).
En este sentido, el TJUE dictamina que el RGPD no consagra el derecho a información relativa a la identidad de los empleados que llevaron a cabo esas operaciones de conformidad con las instrucciones del responsable del tratamiento, a menos que esa información sea indispensable para permitir al interesado ejercer efectivamente los derechos que le confiere ese Reglamento y siempre bajo la condición de que se tengan en cuenta los derechos y libertades de esos empleados. En caso de conflicto entre el ejercicio del derecho de acceso que garantice la eficacia de los derechos reconocidos por el RGPD y por otro, los derechos o libertades de otros, debe hacerse una ponderación entre los derechos y libertades en cuestión y optarse por modalidades que no vulneren esos derechos o esas libertades.
Además, el Tribunal de Justicia declara que el hecho de que el responsable del tratamiento desarrolle una actividad bancaria en el marco de una actividad reglada, y de que la persona cuyos datos personales fueron tratados en su condición de cliente del responsable del tratamiento también fuera empleada de ese responsable no influye, en principio, en el alcance del derecho del que goza esa persona.
