Resumen y resultado del caso

El Tribunal de Justicia de la Unión Europea (TJUE) dictaminó en una sentencia preliminar que la legislación nacional que establece la vigilancia masiva de las comunicaciones electrónicas, con el fin de luchar contra la delincuencia, viola el derecho a la privacidad y el derecho a la protección de datos. La decisión es consecuencia de las peticiones de los tribunales del Reino Unido y Suecia tras la sentencia anterior del TJUE en el caso Digital Rights Ireland, que invalidaba la Directiva 2006/24/CE de la Unión Europea (UE) sobre retención de datos —por considerar que la obligación general de conservar determinados datos de las comunicaciones constituía una injerencia grave en los derechos fundamentales al respeto de la vida privada y a la protección de los datos personales, y que las normas nacionales que imponían dicha obligación no se limitaban a lo estrictamente necesario para luchar contra la delincuencia grave. El Tribunal razonó que la Directiva 2002/58 de la UE sobre privacidad y comunicaciones electrónicas debe interpretarse a la luz de los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea (CDFUE), a saber, los derechos a la privacidad y a la protección de datos. Asimismo, sostuvo que la legislación nacional —que, con el fin de luchar contra la delincuencia, preveía la conservación general e indiscriminada de todos los datos de tráfico y de localización de todos los abonados y usuarios registrados relativos a todos los medios de comunicación electrónica—, violaba la normativa sobre derechos humanos. Además, el Tribunal consideró que el acceso de autoridades nacionales competentes a los datos conservados debe limitarse a la lucha contra la delincuencia grave, previo control de un tribunal o de una autoridad administrativa independiente y que los datos deben conservarse dentro de la UE.

---

Hechos

Tanto el caso del Reino Unido como el de Suecia se presentaron a raíz de la sentencia del TJUE en el asunto Digital Rights Ireland, que invalidaba la Directiva sobre retención de datos por considerar que la obligación general de conservar determinados datos de comunicaciones constituía una grave injerencia en los derechos fundamentales al respeto de la vida privada y a la protección de los datos personales, y que las normas establecidas por la Directiva no se limitaban a lo estrictamente necesario para luchar contra la delincuencia grave.

A raíz de esta sentencia, uno de los principales operadores de telecomunicaciones de Suecia, Tele2 Sverige, dejó de conservar datos de comunicaciones, basándose en que la legislación sueca aplicable (capítulo 6 de la Ley de Comunicaciones Electrónicas de Suecia) ya no se ajustaba a la legislación europea sobre derechos fundamentales. Tele2 Sverige también propuso suprimir los datos que había conservado hasta entonces. La Junta Nacional de Policía sueca presentó una queja formal a la Autoridad Sueca de Correos y Telecomunicaciones (PTS) alegando que la decisión de Tele2 Sverige tendría graves consecuencias negativas para el cumplimiento de la ley. La PTS ordenó a Tele2 Sverige que reanudara la conservación de datos de comunicaciones.

Posteriormente, se inició un procedimiento judicial y el Tribunal Administrativo de Apelación de Estocolmo encontró argumentos tanto a favor como en contra de la compatibilidad de la Ley de Comunicaciones Electrónicas de Suecia y la Directiva 2002/58 de la UE. El Tribunal decidió suspender el procedimiento y remitir la cuestión sobre si una obligación general de conservar datos en relación con todas las personas y todos los medios de comunicación electrónica —que se extiende a todos los datos de tráfico, sin distinción, limitación o excepción, con el objetivo de luchar contra la delincuencia—, era compatible con el artículo 15 (1) de la Directiva 2002/58, teniendo en cuenta los artículos 7, 8 y 52 (1) de la Carta de los Derechos Fundamentales de la Unión Europea (CDFUE) —que protegen los derechos a la privacidad y a la protección de datos.

La sentencia del TJUE en el caso Digital Rights Ireland también dio lugar a procedimientos en el Reino Unido. Allí se presentó una demanda ante el Tribunal Superior de Justicia solicitando la revisión judicial del régimen de retención de datos del Reino Unido —establecido en la Ley de Retención de Datos y Poderes de Investigación (DRIPA). En virtud de esta legislación, el Ministro del Interior estaba facultado para exigir a los operadores públicos de telecomunicaciones que retuvieran los datos de las comunicaciones durante un periodo máximo de 12 meses. El Tribunal Superior de Justicia dictaminó que este régimen era incompatible con la legislación de la UE, ya que no cumplía con los requisitos establecidos por el TJUE en el caso Digital Rights Ireland. El Ministro del Interior apeló y el Tribunal de Apelación sostuvo en su resolución de remisión que el TJUE no había establecido requisitos obligatorios específicos del Derecho de la UE que la legislación nacional debiera cumplir, sino que había identificado y descrito protecciones ausentes en el régimen armonizado de la UE. Por tanto, el Tribunal de Apelación suspendió el procedimiento y pidió al TJUE que se pronunciara, con carácter prejudicial, sobre si la sentencia dictada en el caso Digital Rights Ireland establecía requisitos imperativos de Derecho de la UE, aplicables al régimen nacional de un Estado miembro que regula el acceso a los datos con el fin de respetar los derechos a la privacidad y a la protección de datos personales reconocidos por el Derecho europeo.

---

Análisis de la Decisión

El Tribunal de Apelación del Reino Unido y el Tribunal Administrativo de Apelación de Estocolmo, solicitaron al TJUE una decisión prejudicial para aclarar la interpretación de la Directiva europea 2002/58/CE, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas), a la luz del artículo 7 (derecho a la intimidad) y el artículo 8 (derecho a la protección de los datos personales) de la Carta de los Derechos Fundamentales de la Unión Europea (CDFUE). Más concretamente, los tribunales nacionales se preguntaban si el artículo 15 de la Directiva debía interpretarse en el sentido de que el mismo  se opone a una legislación nacional que prevé, con el fin de luchar contra la delincuencia, la conservación general e indiscriminada de todos los datos de tráfico y de localización de todos los abonados y usuarios registrados, con respecto a todos los medios de comunicación electrónica.

El TJUE tuvo que examinar, en primer lugar, si la legislación nacional de los Estados miembros de la UE —relativa a la conservación de los datos de tráfico y de localización y al acceso a dichos datos por las autoridades nacionales, a efectos de la lucha contra la delincuencia—, estaba comprendida en el ámbito de aplicación del Derecho de la UE y, en particular, de la Directiva 2002/58/CE, y en qué medida. Esta Directiva excluía de su ámbito de aplicación las «actividades del Estado» en ámbitos específicos, como el Derecho penal, la seguridad pública, la defensa o la seguridad del Estado. Sin embargo, el Tribunal declaró que la Directiva se aplicaba cuando la actividad del Estado afectaba a proveedores de servicios de comunicaciones electrónicas y, por tanto, al tratamiento de datos personales por dichos proveedores.

A continuación, el Tribunal se centró en la cuestión principal que habían planteado los tribunales nacionales: cómo interpretar el artículo 15 de la Directiva 2002/58 para permitir a los Estados miembros adoptar medidas legislativas que prevean la conservación de datos durante un período limitado cuando ello esté justificado por motivos como la seguridad nacional, la defensa, la seguridad pública y la prevención, investigación, descubrimiento y persecución de infracciones penales por el uso no autorizado de un sistema de comunicaciones electrónicas, y cuándo dicha restricción constituye una medida necesaria, adecuada y proporcionada.

El Tribunal afirmó que la Directiva sobre la privacidad y las comunicaciones electrónicas fue concebida para «proteger a los usuarios de servicios de comunicaciones electrónicas frente a los riesgos que suponen para los datos personales y la intimidad las nuevas tecnologías y la creciente capacidad de almacenamiento y tratamiento informático de datos» [párr. 83].

De hecho, la confidencialidad de las comunicaciones era un pilar de la Directiva e implicaba que, como norma general, se prohibía a cualquier persona distinta del usuario almacenar los datos de tráfico relacionados con las comunicaciones electrónicas sin el consentimiento del usuario en cuestión. El Tribunal subrayó que las únicas excepciones eran las establecidas en el artículo 15, que estas debían interpretarse estrictamente y no podía permitirse que se convirtieran en la norma.

El Tribunal señaló que la legislación nacional, que impone a los proveedores de servicios de comunicaciones electrónicas la obligación de conservar los datos de tráfico cuando sea necesario para ponerlos a disposición de las autoridades nacionales competentes, plantea cuestiones relativas a la compatibilidad no sólo con los derechos a la intimidad y a la protección de datos, consagrados en los artículos 7 y 8 de la Carta —a los que se hacía referencia expresa en las cuestiones prejudiciales— sino también con el derecho a la libertad de expresión garantizado en el artículo 11 de la CDFUE. El Tribunal destacó la importancia del derecho a la intimidad, a la protección de datos y a la libertad de expresión en cualquier sociedad democrática. «[La libertad de expresión], garantizad[a] en el artículo 11 de la Carta, constituye uno de los fundamentos esenciales de una sociedad democrática y pluralista, y forma parte de los valores en los que se basa, con arreglo al artículo 2 TUE [Tratado de la Unión Europea], la Unión» [párr. 93].

A continuación, el Tribunal pasó a analizar las limitaciones que pueden imponerse al ejercicio de los derechos y libertades reconocidos por la CDFUE, a saber: deben estar previstas en la ley y respetar la esencia de esos derechos. Es decir, deben ser proporcionadas, necesarias y responder a objetivos de interés general reconocidos por la UE o a la necesidad de proteger los derechos y libertades de las/os demás.

El Tribunal señaló que la normativa examinada prevé la conservación general e indiscriminada de todos los datos de tráfico y de localización de todos los abonados y usuarios registrados relativos a todos los medios de comunicación electrónica, e impone a los proveedores de servicios de comunicaciones electrónicas la obligación de conservar dichos datos de manera sistemática y continua, sin excepciones. En efecto, «los datos que deben conservar los proveedores de servicios de comunicaciones electrónicas permiten rastrear e identificar el origen de una comunicación y su destino, determinar la fecha, la hora, la duración y la naturaleza de una comunicación así como el equipo de comunicación de los usuarios, y localizar el equipo de comunicación móvil. Entre esos datos se encuentra el nombre y la dirección del abonado o usuario registrado, los números de teléfono de origen y destino y una dirección IP para los servicios de Internet. Estos datos permiten, en concreto, saber con qué persona se ha comunicado un abonado o un usuario registrado y de qué modo, así como determinar el momento de la comunicación y el lugar desde el que se ha realizado. Además, permiten conocer la frecuencia de las comunicaciones del abonado o del usuario registrado con determinadas personas durante un período concreto» [párr. 98].

En vista de ello, las autoridades nacionales podrían reconstruir completamente la vida privada de un usuario, con datos como su residencia, hábitos cotidianos, movimientos, actividades, relaciones sociales y entornos sociales frecuentados. La injerencia entonces «tiene una gran magnitud y debe considerarse especialmente grave. El hecho de que la conservación de los datos se efectúe sin que los usuarios de los servicios de comunicaciones electrónicas hayan sido informados de ello puede generar en las personas afectadas el sentimiento de que su vida privada es objeto de una vigilancia constante» [párr. 100]. En particular, el Tribunal observó que esta retención podía afectar la utilización de los medios de comunicación electrónica y, en consecuencia, al ejercicio de la libertad de expresión por parte de los usuarios.

El Tribunal dijo que la injerencia permitida por la Directiva era muy estricta y sólo podía justificarse si el objetivo era luchar contra delitos graves, como la delincuencia organizada y el terrorismo. Sin embargo, ello no significaba en sí mismo que tal lucha justificara una legislación nacional que dispusiera la conservación general e indiscriminada de todos los datos de tráfico y de localización. En efecto, las leyes afectaban a todas las personas que utilizaban servicios de comunicaciones electrónicas, incluso a aquellas que no se encontraban en una situación susceptible de dar lugar a un proceso penal. Por tanto, era evidente que tales restricciones de los derechos fundamentales no se limitaban a lo estrictamente necesario. El Tribunal recordó que, si bien las condiciones de las restricciones pueden variar en función de la naturaleza de las medidas adoptadas con fines de prevención, investigación, descubrimiento y persecución de delitos graves, la conservación de datos debe responder, no obstante, a criterios objetivos que establezcan una relación entre los datos que deben conservarse y el objetivo perseguido. En particular, debe demostrarse que tales criterios definen el alcance de dicha medida y, por tanto, el público afectado.

En conclusión, el Tribunal estableció directrices sobre el procedimiento que deben seguir las autoridades nacionales para garantizar el pleno respeto de estas condiciones. Dijo que, salvo en casos de urgencia debidamente justificados, era esencial que el acceso de las autoridades nacionales a los datos conservados estuviera sujeto a un control previo efectuado ya sea por un órgano jurisdiccional o una entidad administrativa independiente y que la decisión de dicho órgano jurisdiccional o entidad administrativa se haya adoptado a raíz de una solicitud motivada de las autoridades, presentada en el marco de procedimientos de prevención, descubrimiento o acciones penales. 

Por otra parte, dijo el Tribunal, las autoridades nacionales competentes a las que se conceda el acceso a los datos conservados deben notificarlo a las personas afectadas en el marco de los procedimientos nacionales aplicables, siempre que esa notificación no pueda comprometer las investigaciones emprendidas por dichas autoridades. Esta notificación es necesaria para que las personas afectadas puedan ejercer su derecho a la tutela judicial efectiva. El Tribunal dijo que los Estados miembros deben garantizar que exista un control independiente que asegure el respeto al nivel de protección garantizado por el Derecho de la UE en materia de tratamiento de datos personales. Este control estaba expresamente exigido por el artículo 8.3 de la CDFUE y constituye un elemento esencial del respeto a la protección de las personas en relación con el tratamiento de datos personales, de acuerdo con los principios establecidos en Digital Rights Ireland y Schrems. De no ser así, el Tribunal sostuvo que las personas, cuyos datos personales han sido conservados, se verían privadas del derecho a presentar ante las autoridades nacionales de control un reclamo para solicitar la protección de sus datos, garantizado por ell artículo 8, apartados 1 y 3, de la Carta.

En consecuencia, el TJUE declaró que, por una parte, la Directiva 2002/58, interpretada a la luz de los artículos 7 y 8 de la CDFUE, debía ser interpretada en el sentido de que se opone a una normativa nacional que, con el fin de luchar contra la delincuencia, prevé la conservación general e indiscriminada de todos los datos de tráfico y de localización de todos los abonados y usuarios registrados relativos a todos los medios de comunicación electrónica. En segundo lugar, la Directiva 2002/58 debe interpretarse en el sentido de que se opone a una normativa nacional que permite a las autoridades nacionales acceder a los datos conservados, a menos que el objetivo perseguido por dicho acceso, en el marco de la lucha contra la delincuencia, se limite únicamente a la lucha contra la delincuencia grave, esté sujeto al control previo de un órgano jurisdiccional o de una autoridad administrativa independiente y exija que los datos se conserven dentro de la UE.

Conclusiones del Abogado General Henrik Saugmandsgaard Øe

El Abogado General Henrik Saugmandsgaard Øe presentó sus conclusiones el 19 de julio de 2016. Las conclusiones del Abogado General presentadas ante el TJUE constituyen una opinión independiente e imparcial sobre el Derecho aplicable al asunto, pero son influyentes y a menudo retomadas por el Tribunal.

En primer lugar, el Abogado General sostuvo que una obligación general de conservar los datos que identifican y localizan el origen y el destino de la información, así como los datos relativos a la fecha, hora y duración de la comunicación y el tipo de equipo, podría haber sido compatible con el Derecho de la UE, pero solo si estaba sujeta a requisitos estrictos. No especificó esos requisitos diciendo que correspondía a los tribunales nacionales determinar su cumplimiento. No obstante, añadió que los regímenes reguladores nacionales tenían que cumplir con el respeto a la vida privada y el derecho a la protección de datos personales en virtud de la CDFUE. A la luz de la legislación sobre derechos humanos, la lucha contra la delincuencia grave es un objetivo de interés general que puede justificar una obligación general de conservación de datos, pero la injerencia debe ser estrictamente necesaria, lo que implica que no existan medidas menos restrictivas que sean igualmente eficaces.

El Abogado General señaló que cualquier régimen jurídico sobre la conservación de datos de comunicaciones debe respetar las condiciones establecidas en la sentencia del caso Digital Rights Ireland en relación con el acceso a los datos, el período de conservación, así como la protección y la seguridad de los datos. Además, la obligación general de conservar los datos debe ser proporcional y los riesgos que conlleva esta obligación dentro de una sociedad democrática no deben ser desproporcionados en relación con las ventajas que reporta frente a la lucha contra los delitos graves.

La sentencia del Tribunal siguió las conclusiones del Abogado General, pero fue más allá al indicar las garantías procesales que deben seguir las autoridades nacionales para garantizar el pleno respeto de los derechos a la privacidad y a la protección de datos.

---