SENTENCIA DEL TRIBUNAL DE JUSTICIA
6 de noviembre de 2003
«Directiva 95/46/CE - Ámbito de aplicación - Publicación de datos personales en Internet - Lugar de la publicación - Concepto de transferencia de datos personales a países terceros - Libertad de expresión - Compatibilidad
con la Directiva 95/46 de una protección más rigurosa de los datos personales por parte de la normativa de un Estado miembro»
En el asunto C-101/01,
que tiene por objeto una petición dirigida al Tribunal de Justicia, con arreglo al artículo 234 CE, por el Göta hovrätt (Suecia), destinada a obtener, en el proceso penal seguido ante dicho órgano jurisdiccional contra
Bodil Lindqvist,
una decisión prejudicial sobre la interpretación de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (DO L 281, p. 31),
EL TRIBUNAL DE JUSTICIA,
integrado por el Sr. P. Jann, Presidente de la Sala Primera, en funciones de Presidente, los Sres. C.W.A. Timmermans, C. Gulmann, J.N. Cunha Rodrigues y A. Rosas, Presidentes de Sala, los Sres. D.A.O. Edward (Ponente) y J.-P. Puissochet, la Sra. Macken y el Sr. S. von Bahr, Jueces;
Abogado General: Sr. A. Tizzano;
Secretario: Sr. H. von Holstein, Secretario adjunto;
consideradas las observaciones escritas presentadas:
- en nombre de la Sra. Lindqvist, por el Sr. S. Larsson, advokat;
- en nombre del Gobierno sueco, por el Sr. A. Kruse, en calidad de agente;
- en nombre del Gobierno neerlandés, por la Sra. H.G. Sevenster, en calidad de agente;
- en nombre del Gobierno del Reino Unido, por la Sra. G. Amodeo, en calidad de agente, asistida por la Sra. J. Stratford, Barrister;
- en nombre de la Comisión de las Comunidades Europeas, por la Sra. L. Ström y el Sr. X. Lewis, en calidad de agentes;
habiendo considerado el informe para la vista;
oídas las observaciones orales de la Sra. Lindqvist, representada por el Sr. S. Larsson; del Gobierno sueco, representado por el Sr. A. Kruse y la Sra. B. Hernqvist, en calidad de agente; del Gobierno neerlandés, representado por la Sra. J. van Bakel, en calidad de agente; del Gobierno del Reino Unido, representado por la Sra. J. Stratford; de la Comisión, representada por la Sra. L. Ström y el Sr. C. Docksey, en calidad de agente, y del Órgano de Vigilancia de la AELC, representada por la Sra. D. Sif Tynes, en calidad de agente, expuestas en la vista de 30 de abril de 2002;
oídas las conclusiones del Abogado General, presentadas en audiencia pública el 19 de septiembre de 2002;
dicta la siguiente
Sentencia
1. Mediante resolución de 23 de febrero de 2001, recibida en el Tribunal de Justicia el 1 de marzo siguiente, el Göta hovrätt planteó, con arreglo al artículo 234 CE, siete cuestiones prejudiciales sobre la interpretación de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (DO L 281, p. 31).2. Estas cuestiones se suscitaron en el marco de un proceso penal seguido ante dicho órgano jurisdiccional contra la Sra. Lindqvist, acusada de haber infringido la normativa sueca relativa a la protección de datos personales al publicar en su sitio Internet diversos datos de carácter personal sobre varias personas que, como ella, colaboraban voluntariamente con una parroquia de la Iglesia protestante de Suecia.Marco jurídico
Normativa comunitaria
3. La Directiva 95/46 tiene por objeto, tal y como se desprende de su artículo 1, apartado 1, la protección de las libertades y de los derechos fundamentales de las personas físicas, y, en particular, del derecho a la intimidad, en lo que respecta al tratamiento de los datos personales.4. El artículo 3 de la Directiva 95/46, relativo a su ámbito de aplicación, dispone:«1. Las disposiciones de la presente Directiva se aplicarán al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero.
2. Las disposiciones de la presente Directiva no se aplicarán al tratamiento de datos personales:
- efectuado en el ejercicio de actividades no comprendidas en el ámbito de aplicación del Derecho comunitario, como las previstas por las disposiciones de los títulos V y VI del Tratado de la Unión Europea y, en cualquier caso, al tratamiento de datos que tenga por objeto la seguridad pública, la defensa, la seguridad del Estado (incluido el bienestar económico del Estado cuando dicho tratamiento esté relacionado con la seguridad del Estado) y las actividades del Estado en materia penal;
- efectuado por una persona física en el ejercicio de actividades exclusivamente personales o domésticas.»
5. El artículo 8, titulado «Tratamiento de categorías especiales de datos», establece:«1. Los Estados miembros prohibirán el tratamiento de datos personales que revelen el origen racial o étnico, las opiniones políticas, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, así como el tratamiento de los datos relativos a la salud o a la sexualidad.
2. Lo dispuesto en el apartado 1 no se aplicará cuando:
a) el interesado haya dado su consentimiento explícito a dicho tratamiento, salvo en los casos en los que la legislación del Estado miembro disponga que la prohibición establecida en el apartado 1 no pueda levantarse con el consentimiento del interesado, o
b) el tratamiento sea necesario para respetar las obligaciones y derechos específicos del responsable del tratamiento en materia de Derecho laboral en la medida en que esté autorizado por la legislación y ésta prevea garantías adecuadas, o
c) el tratamiento sea necesario para salvaguardar el interés vital del interesado o de otra persona, en el supuesto de que el interesado esté física o jurídicamente incapacitado para dar su consentimiento, o
d) el tratamiento sea efectuado en el curso de sus actividades legítimas y con las debidas garantías por una fundación, una asociación o cualquier otro organismo sin fin de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que se refiera exclusivamente a sus miembros o a las personas que mantengan contactos regulares con la fundación, la asociación o el organismo por razón de su finalidad y con tal de que los datos no se comuniquen a terceros sin el consentimiento de los interesados, o
e) el tratamiento se refiera a datos que el interesado haya hecho manifiestamente públicos o sea necesario para el reconocimiento, ejercicio o defensa de un derecho en un procedimiento judicial.
3. El apartado 1 no se aplicará cuando el tratamiento de datos resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamientos médicos o la gestión de servicios sanitarios, siempre que dicho tratamiento de datos sea realizado por un profesional sanitario sujeto al secreto profesional sea en virtud de la legislación nacional, o de las normas establecidas por las autoridades nacionales competentes, o por otra persona sujeta asimismo a una obligación equivalente de secreto.
4. Siempre que dispongan las garantías adecuadas, los Estados miembros podrán, por motivos de interés público importantes, establecer otras excepciones, además de las previstas en el apartado 2, bien mediante su legislación nacional, bien por decisión de la autoridad de control.
5. El tratamiento de datos relativos a infracciones, condenas penales o medidas de seguridad, sólo podrá efectuarse bajo el control de la autoridad pública o si hay previstas garantías específicas en el Derecho nacional, sin perjuicio de las excepciones que podrá establecer el Estado miembro basándose en disposiciones nacionales que prevean garantías apropiadas y específicas. Sin embargo, sólo podrá llevarse un registro completo de condenas penales bajo el control de los poderes públicos.
Los Estados miembros podrán establecer que el tratamiento de datos relativos a sanciones administrativas o procesos civiles se realicen asimismo bajo el control de los poderes públicos.
6. Las excepciones a las disposiciones del apartado 1 que establecen los apartados 4 y 5 se notificarán a la Comisión.
7. Los Estados miembros determinarán las condiciones en las que un número nacional de identificación o cualquier otro medio de identificación de carácter general podrá ser objeto de tratamiento.»
6. El artículo 9 de la Directiva 95/46, titulado «Tratamiento de datos personales y libertad de expresión», dispone:«En lo referente al tratamiento de datos personales con fines exclusivamente periodísticos o de expresión artística o literaria, los Estados miembros establecerán, respecto de las disposiciones del presente capítulo, del capítulo IV y del capítulo VI, exenciones y excepciones sólo en la medida en que resulten necesarias para conciliar el derecho a la intimidad con las normas que rigen la libertad de expresión.»
7. El artículo 13 de la Directiva 95/46, titulado «Excepciones y limitaciones», dispone que los Estados miembros podrán establecer restricciones a algunas de las obligaciones impuestas por la Directiva al responsable del tratamiento de datos, en particular, por lo que se refiere a la información relativa a las personas afectadas, cuando dicha restricción constituya una medida necesaria para salvaguardar, por ejemplo, la seguridad del Estado, la defensa, la seguridad pública, un interés económico y financiero importante de un Estado miembro o de la Unión Europea, así como para realizar investigaciones y perseguir infracciones penales o violaciones de normas deontológicas en las profesiones reguladas.8. El artículo 25 de la Directiva 95/46, que figura en el capítulo IV titulado «Transferencia de datos personales a países terceros», tiene el siguiente tenor:«1. Los Estados miembros dispondrán que la transferencia a un país tercero de datos personales que sean objeto de tratamiento o destinados a ser objeto de tratamiento con posterioridad a su transferencia, únicamente pueda efectuarse cuando, sin perjuicio del cumplimiento de las disposiciones de Derecho nacional adoptadas con arreglo a las demás disposiciones de la presente Directiva, el país tercero de que se trate garantice un nivel de protección adecuado.
2. El carácter adecuado del nivel de protección que ofrece un país tercero se evaluará atendiendo a todas las circunstancias que concurran en una transferencia o en una categoría de transferencias de datos; en particular, se tomará en consideración la naturaleza de los datos, la finalidad y la duración del tratamiento o de los tratamientos previstos, el país de origen y el país de destino final, las normas de Derecho, generales o sectoriales, vigentes en el país tercero de que se trate, así como las normas profesionales y las medidas de seguridad en vigor en dichos países.
3. Los Estados miembros y la Comisión se informarán recíprocamente de los casos en que consideren que un tercer país no garantiza un nivel de protección adecuado con arreglo al apartado 2.
4. Cuando la Comisión compruebe, con arreglo al procedimiento establecido en el apartado 2 del artículo 31, que un tercer país no garantiza un nivel de protección adecuado con arreglo al apartado 2 del presente artículo, los Estado miembros adoptarán las medidas necesarias para impedir cualquier transferencia de datos personales al tercer país de que se trate.
5. La Comisión iniciará en el momento oportuno las negociaciones destinadas a remediar la situación que se produzca cuando se compruebe este hecho en aplicación del apartado 4.
6. La Comisión podrá hacer constar, de conformidad con el procedimiento previsto en el apartado 2 del artículo 31, que un país tercero garantiza un nivel de protección adecuado de conformidad con el apartado 2 del presente artículo, a la vista de su legislación interna o de sus compromisos internacionales, suscritos especialmente al término de las negociaciones mencionadas en el apartado 5, a efectos de protección de la vida privada o de las libertades o de los derechos fundamentales de las personas.
Los Estados miembros adoptarán las medidas necesarias para ajustarse a la decisión de la Comisión.»
9. Cuando se adoptó la Directiva 95/46, el Reino de Suecia realizó una declaración, relativa a su artículo 9, que se hizo constar en las actas del Consejo (documento n. 4649/95 del Consejo, de 2 de febrero de 1995), según la cual:«El Reino de Suecia considera que la noción de expresión artística y literaria se refiere a los medios de expresión más que al contenido de la comunicación o a su calidad.»
10. El Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales, firmado en Roma el 4 de noviembre de 1950 (en lo sucesivo, «CEDH»), reconoce, en su artículo 8, el derecho al respeto de la vida privada y familiar y contiene, en su artículo 10, varias normas relativas a la libertad de expresión.Normativa nacional
11. El Derecho sueco se adaptó a la Directiva 95/46 mediante la Personuppgiftslag, SFS 1998, n. 204 (Ley sueca de datos personales; en lo sucesivo, «PUL»).Asunto principal y cuestiones prejudiciales
12. Además de su trabajo retribuido como empleada de mantenimiento, la Sra. Lindqvist desempeñaba funciones de catequista en la parroquia de Alseda (Suecia). Hizo un curso de informática en el que, entre otras cosas, tenía que crear una página web en Internet. A finales de 1998, la Sra. Lindqvist creó, en su domicilio y con su ordenador personal, varias páginas web con el fin de que los feligreses de la parroquia que se preparaban para la confirmación pudieran obtener fácilmente la información que necesitaran. A petición suya, el administrador del sitio Internet de la Iglesia de Suecia creó un enlace entre las citadas páginas y dicho sitio.13. Las páginas web de que se trata contenían información sobre la Sra. Lindqvist y dieciocho de sus compañeros de la parroquia, incluido su nombre completo o, en ocasiones, sólo su nombre de pila. Además, la Sra. Lindqvist describía en un tono ligeramente humorístico las funciones que desempeñaban sus compañeros, así como sus aficiones. En varios casos se mencionaba la situación familiar, el número de teléfono e información adicional. Asimismo, señaló que una de sus compañeras se había lesionado un pie y se encontraba en situación de baja parcial por enfermedad.14. La Sra. Lindqvist no había informado a sus compañeros de la existencia de estas páginas web, no había solicitado su consentimiento, ni tampoco había comunicado su iniciativa a la Datainspektion (organismo público para la protección de los datos transmitidos por vía informática). En cuanto supo que algunos de sus compañeros no apreciaban las páginas web controvertidas, las suprimió.15. El ministerio fiscal inició un proceso penal contra la Sra. Lindqvist por infracción de la PUL y solicitó que se le condenara por:- haber tratado datos personales de modo automatizado sin haberlo comunicado previamente por escrito a la Datainspektion (artículo 36 de la PUL);
- haber tratado sin autorización datos personales delicados, como los relativos a la lesión en un pie y a la baja parcial por enfermedad (artículo 13 de la PUL);
- haber transferido datos de carácter personal a países terceros sin autorización (artículo 33 de la PUL).
16. La Sra. Lindqvist reconoció los hechos, pero negó que hubiera cometido una infracción. El Eksjö tingsrätt (Suecia) la condenó al pago de una multa; la Sra. Lindqvist recurrió en apelación esta resolución ante el órgano jurisdiccional remitente.17. El importe de la multa ascendía a 4.000 SEK, tras haber aplicado a la suma de 100 SEK, que se calculó teniendo en cuenta la situación financiera de la Sra. Lindqvist, un multiplicador de 40 que representaba la gravedad de la infracción. Asimismo se condenó a la Sra. Lindqvist a abonar 300 SEK a un fondo sueco que tiene por objeto ayudar a las víctimas de las infracciones.18. Dado que albergaba dudas sobre la interpretación del Derecho comunitario aplicable al caso, en concreto, de la Directiva 95/46, el Göta hovrätt decidió suspender el procedimiento y plantear al Tribunal de Justicia las siguientes cuestiones prejudiciales:«1) ¿Constituye una conducta comprendida en el ámbito de aplicación de la Directiva [95/46] la designación de una persona -con su nombre o con su nombre y número de teléfono- en una página web de Internet? ¿Constituye un “tratamiento total o parcialmente automatizado de datos personales” el hecho de que en una página web de Internet realizada personalmente se relacione a una serie de personas junto con datos y afirmaciones relativas a su situación laboral y a sus aficiones?
2) En caso de respuesta negativa a la cuestión anterior, ¿constituye un “tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero”, contemplado en el artículo 3, apartado 1, de la Directiva, la conducta consistente en publicar en un sitio Internet diversas páginas web referidas específicamente a una quincena de personas, con enlaces entre dichas páginas que hacen posible la búsqueda por nombre de pila?
En caso de respuesta afirmativa a alguna de estas cuestiones, el hovrätt formula además las siguientes cuestiones:
3) ¿Debe considerarse excluida del ámbito de aplicación de la Directiva [95/46] por estar comprendida en alguna de las excepciones enumeradas en el artículo 3, apartado 2, la conducta consistente en divulgar datos de esta naturaleza acerca de los compañeros de trabajo en una página web privada, siendo los datos accesibles a todos aquellos que conozcan la dirección de dicha página?
4) ¿Constituye un dato relativo a la salud que, con arreglo al artículo 8, apartado 1, no puede ser objeto de tratamiento la divulgación en una página web de la circunstancia de que un compañero de trabajo, designado por su nombre, se ha lesionado el pie y está en situación de baja parcial?
5) Según la Directiva [95/46], la transferencia de datos personales a países terceros está prohibida en determinados casos. ¿Constituye una transferencia a países terceros en el sentido contemplado en la Directiva [95/46] el hecho de que una persona divulgue datos personales en una página web que está almacenada en un servidor en Suecia, de modo que los datos personales resultan accesibles a nacionales de países terceros? ¿Sigue siendo idéntica la respuesta si, por lo que se sabe, ningún nacional de un país tercero ha accedido efectivamente a dichos datos o si el servidor en cuestión se encuentra físicamente situado en un país tercero?
6) ¿Puede considerarse en un caso como el presente que las disposiciones de la Directiva [95/46] implican una restricción contraria al principio general de libertad de expresión, o a otras libertades y derechos vigentes en la Unión Europea y que tienen su equivalente, entre otros, en el artículo 10 del Convenio Europeo para la protección de los Derechos Humanos y de las Libertades Fundamentales?
Finalmente el hovrätt formula la siguiente cuestión:
7) ¿Puede un Estado miembro, en una situación como la expuesta en las anteriores cuestiones, otorgar una protección más amplia a los datos personales o extender el ámbito de aplicación de la Directiva [95/46], aunque no se dé ninguna de las circunstancias enunciadas en el artículo 13?»
Sobre la primera cuestión
19. Mediante su primera cuestión, el órgano jurisdiccional remitente pregunta si la conducta que consiste en hacer referencia, en una página web, a diversas personas y en identificarlas por su nombre o por otros medios, como su número de teléfono o información relativa a sus condiciones de trabajo y a sus aficiones constituye un «tratamiento total o parcialmente automatizado de datos personales» en el sentido del artículo 3, apartado 1, de la Directiva 95/46.Observaciones presentadas ante el Tribunal de Justicia
20. Según la Sra. Lindqvist, no es razonable considerar que la mera mención del nombre de una persona o de datos personales en un texto que figura en una página web constituya un tratamiento automatizado de datos. En su opinión, la inserción de tales datos como palabra clave entre los elementos de hipertexto («meta tags») de una página web, que permitiría que dicha página se incluyera en un índice y que los motores de búsqueda la encontraran, sí que podría constituir, en cambio, un tratamiento de esta naturaleza.21. El Gobierno sueco sostiene que el concepto de «tratamiento total o parcialmente automatizado de datos» tal y como se contempla en el artículo 3, apartado 1, de la Directiva 95/46, comprende cualquier tratamiento en formato informático, es decir, en formato binario. Por consiguiente, siempre que un dato de carácter personal sea tratado por ordenador, ya sea por medio, por ejemplo, de un programa procesador de textos o con el fin de que figure en una página web, será objeto de un tratamiento comprendido en el ámbito de aplicación de la Directiva 95/46.22. El Gobierno neerlandés alega que la inclusión de datos personales en una página web se realiza con ayuda de un ordenador y de un servidor, lo que constituye una característica importante de la automatización, de modo que debe estimarse que dichos datos son objeto de un tratamiento automatizado.23. La Comisión sostiene que la Directiva 95/46 se aplica a cualquier tratamiento de datos personales contemplado en su artículo 3, con independencia de los medios técnicos utilizados. La difusión de los datos personales en Internet constituye, por tanto, un tratamiento total o parcialmente automatizado siempre que no existan limitaciones técnicas que reduzcan el tratamiento a una operación exclusivamente manual. Por consiguiente, una página web, por su propia naturaleza, está comprendida en el ámbito de aplicación de la Directiva 95/46.Respuesta del Tribunal de Justicia
24. El concepto de «datos personales» que emplea el artículo 3, apartado 1, de la Directiva 95/46 comprende, con arreglo a la definición que figura en el artículo 2, letra a), de dicha Directiva «toda información sobre una persona física identificada o identificable». Este concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o a otra información relativa a sus condiciones de trabajo o a sus aficiones.25. En cuanto al concepto de «tratamiento» de dichos datos que utiliza el artículo 3, apartado 1, de la Directiva 95/46, éste comprende, con arreglo a la definición del artículo 2, letra b), de dicha Directiva, «cualquier operación o conjunto de operaciones, efectuadas o no mediante procedimientos automatizados, y aplicadas a datos personales». Esta última disposición enumera varios ejemplos de tales operaciones, entre las que figura la comunicación por transmisión, la difusión o cualquier otra forma que facilite el acceso a los datos. De ello se deriva que la conducta que consiste en hacer referencia, en una página web, a datos personales debe considerarse un tratamiento de esta índole.26. Queda por determinar si dicho tratamiento está «parcial o totalmente automatizado». A este respecto, es preciso observar que difundir información en una página web implica, de acuerdo con los procedimientos técnicos e informáticos que se aplican actualmente, publicar dicha página en un servidor, así como realizar las operaciones necesarias para que resulte accesible a las personas que están conectadas a Internet. Estas operaciones se efectúan, al menos en parte, de manera automatizada.27. Por tanto, procede responder a la primera cuestión que la conducta que consiste en hacer referencia, en una página web, a diversas personas y en identificarlas por su nombre o por otros medios, como su número de teléfono o información relativa a sus condiciones de trabajo y a sus aficiones, constituye un «tratamiento total o parcialmente automatizado de datos personales» en el sentido del artículo 3, apartado 1, de la Directiva 95/46.Sobre la segunda cuestión
28. Dado que se ha respondido afirmativamente a la primera cuestión, no es preciso pronunciarse sobre la segunda, que sólo se planteó para el caso de que la respuesta a la primera cuestión fuera negativa.Sobre la tercera cuestión
29. Mediante su tercera cuestión el órgano jurisdiccional nacional pretende que se dilucide, en esencia, si un tratamiento de datos personales como el descrito en la primera cuestión está comprendido en alguna de las excepciones que figuran en el artículo 3, apartado 2, de la Directiva 95/46.Observaciones presentadas ante el Tribunal de Justicia
30. La Sra. Lindqvist sostiene que un particular que, en el ejercicio de su libertad de expresión, crea diversas páginas web en el marco de una actividad sin ánimo de lucro o en su tiempo de ocio, no realiza una actividad económica y, por tanto, su conducta no está sujeta al Derecho comunitario. Si el Tribunal de Justicia declarara lo contrario, se plantearía la cuestión de la validez de la Directiva 95/46, puesto que al adoptarla el legislador comunitario se habría excedido en las competencias que le confiere el artículo 100 A del Tratado CE (actualmente artículo 95 CE, tras su modificación). En efecto, la aproximación de las legislaciones, que tiene por objeto el establecimiento y el funcionamiento del mercado interior no puede servir de base legal para adoptar medidas comunitarias que regulen el derecho de los particulares a la libertad de expresión en Internet.31. El Gobierno sueco alega que, al adaptar el Derecho interno a la Directiva 95/46, el legislador sueco consideró que el tratamiento, por una persona física, de datos personales que consiste en transmitir dichos datos a un número indeterminado de destinatarios, por ejemplo, por medio de Internet, no puede calificarse de «actividades exclusivamente personales o domésticas» en el sentido del artículo 3, apartado 2, segundo guión, de la Directiva 95/46. El Gobierno sueco no excluye, en cambio, que la excepción prevista en el primer guión de dicho apartado contemple los casos en los que una persona física divulga datos personales en Internet en el mero ejercicio de su libertad de expresión y sin ninguna relación con una actividad profesional o comercial.32. Según el Gobierno neerlandés, un tratamiento automatizado de datos como el controvertido en el asunto principal no está comprendido en ninguna de las excepciones establecidas en el artículo 3, apartado 2, de la Directiva 95/46. Más concretamente, por lo que se refiere a la excepción prevista en el segundo guión de dicho apartado, destaca que el creador de una página web pone en conocimiento de un grupo, en principio, indeterminado de personas los datos introducidos en dicha página.33. La Comisión alega que no puede considerarse que una página web como la controvertida en el asunto principal esté excluida del ámbito de aplicación de la Directiva 95/46 en virtud de su artículo 3, apartado 2, sino que constituye, habida cuenta de la finalidad de la página web de que se trata, una creación artística y literaria en el sentido del artículo 9 de dicha Directiva.34. La Comisión estima que el primer guión del artículo 3, apartado 2, de la Directiva se presta a dos interpretaciones distintas. La primera consiste en limitar el alcance de dicha norma a los ámbitos citados como ejemplo, es decir, a las actividades que están comprendidas, en esencia, en lo que se ha dado en llamar los pilares segundo y tercero. La otra interpretación consiste en excluir del ámbito de aplicación de la Directiva 95/46 el ejercicio de cualquier actividad que no esté comprendida en el Derecho comunitario.35. La Comisión sostiene que el Derecho comunitario no se limita exclusivamente a las actividades económicas vinculadas a las cuatro libertades fundamentales. Tras hacer referencia a la base jurídica de la Directiva 95/46, a su objetivo, al artículo 6 UE, a la Carta de derechos fundamentales de la Unión Europea, proclamada en Niza el 18 de diciembre de 2000 (DO L 364, p. 1), y al Convenio del Consejo de Europa de 28 de enero de 1981 para la protección de las personas en lo que respecta al tratamiento automatizado de los datos personales, llega a la conclusión de que la citada Directiva tiene por objeto regular la libre circulación de datos personales en tanto que ejercicio no sólo de una actividad económica sino también de una actividad social en el contexto de la integración y del funcionamiento del mercado interior.36. La Comisión añade que excluir con carácter general del ámbito de aplicación de la Directiva 95/46 las páginas web que no contienen ningún elemento comercial o de prestación de servicios podría conllevar graves problemas de delimitación. En ese caso, numerosas páginas web que contienen datos personales, dirigidas a estigmatizar a ciertas personas con fines específicos, podrían quedar excluidas del ámbito de aplicación de dicha Directiva.Respuesta del Tribunal de Justicia
37. El artículo 3, apartado 2, de la Directiva 95/46 establece dos excepciones a su ámbito de aplicación.38. La primera excepción se refiere al tratamiento de datos personales efectuado en el ejercicio de actividades no comprendidas en el ámbito de aplicación del Derecho comunitario, como las previstas por las disposiciones de los títulos V y VI del Tratado de la Unión Europea y, en cualquier caso, al tratamiento de datos que tenga por objeto la seguridad pública, la defensa, la seguridad del Estado (incluido el bienestar económico del Estado cuando dicho tratamiento esté relacionado con la seguridad del Estado) y las actividades del Estado en materia penal.39. Dado que las actividades de la Sra. Lindqvist controvertidas en el asunto principal no tenían un carácter esencialmente económico sino más bien voluntario, así como religioso, es preciso examinar si constituyen un tratamiento de datos personales «efectuado en el ejercicio de actividades no comprendidas en el ámbito de aplicación del Derecho comunitario» en el sentido del artículo 3, apartado 2, primer guión, de la Directiva 95/46.40. El Tribunal de Justicia ya ha declarado, en relación con la Directiva 95/46, cuyo fundamento es el artículo 100 A del Tratado, que el recurso a dicha base jurídica no presupone la existencia de un vínculo efectivo con la libre circulación entre Estados miembros en cada una de las situaciones contempladas por el acto que se funda en tal base (véanse la sentencia de 20 de mayo de 2003, Österreichischer Rundfunk y otros, asuntos acumulados C-465/00, C-138/01 y C-139/01, aún no publicada en la Recopilación, apartado 41, y la jurisprudencia citada).41. Una interpretación contraria podría hacer que los límites del ámbito de aplicación de la referida Directiva se vuelvan particularmente inciertos y aleatorios, lo que sería contrario al objetivo esencial de ésta, que es la aproximación de las disposiciones legales, reglamentarias y administrativas de los Estados miembros con el fin de eliminar los obstáculos al funcionamiento del mercado interior derivados precisamente de las disparidades entre las legislaciones nacionales (sentencia Österreichischer Rundfunk y otros, antes citada, apartado 42).42. En este contexto, no resulta apropiado dar a la expresión «actividades no comprendidas en el ámbito de aplicación del Derecho comunitario» un alcance tal que resulte necesario comprobar caso por caso si la actividad concreta afecta directamente a la libre circulación entre los Estados miembros.43. Las actividades que en el primer guión del artículo 3, apartado 2, de la Directiva 95/46 se citan como ejemplos (a saber, las actividades previstas por las disposiciones de los títulos V y VI del Tratado de la Unión Europea, así como los tratamientos de datos que tengan por objeto la seguridad pública, la defensa, la seguridad del Estado y las actividades del Estado en materia penal) son, en todos los casos, actividades propias del Estado o de las autoridades estatales y ajenas a la esfera de actividades de los particulares.44. Por tanto, procede señalar que las actividades que se citan como ejemplos en el primer guión del artículo 3, apartado 2, de la Directiva 95/46 tienen por objeto delimitar el alcance de la excepción que se establece en dicha disposición, de modo que sólo se aplique a aquellas actividades que se mencionan expresamente o que pueden incluirse en la misma categoría (eiusdem generis).45. Pues bien, las actividades voluntarias o religiosas como las que realiza la Sra. Lindqvist no pueden equipararse a las actividades citadas en el primer guión del artículo 3, apartado 2, de la Directiva 95/46 y, por tanto, no están comprendidas en dicha excepción.46. En cuanto a la excepción prevista en el segundo guión del artículo 3, apartado 2, de la Directiva 95/46, en el duodécimo considerando de esta última, relativo a dicha excepción, se citan como ejemplos de tratamiento de datos efectuado por una persona física en el ejercicio de actividades exclusivamente personales o domésticas la correspondencia y la llevanza de un repertorio de direcciones.47. En consecuencia, esta excepción debe interpretarse en el sentido de que contempla únicamente las actividades que se inscriben en el marco de la vida privada o familiar de los particulares; evidentemente, no es éste el caso de un tratamiento de datos personales consistente en la difusión de dichos datos por Internet de modo que resulten accesibles a un grupo indeterminado de personas.48. Por tanto, procede responder a la tercera cuestión que un tratamiento de datos personales como el descrito en la respuesta a la primera cuestión no está comprendido en ninguna de las excepciones que figuran en el artículo 3, apartado 2, de la Directiva 95/46.Sobre la cuarta cuestión
49. Mediante su cuarta cuestión el órgano jurisdiccional remitente pregunta si el hecho de que una persona se haya lesionado un pie y esté en situación de baja parcial constituye un dato personal relativo a la salud en el sentido del artículo 8, apartado 1, de la Directiva 95/46.50. Teniendo en cuenta el objeto de esta Directiva, es preciso dar una interpretación amplia a la expresión «datos relativos a la salud», empleada en su artículo 8, apartado 1, de modo que comprenda la información relativa a todos los aspectos, tanto físicos como psíquicos, de la salud de una persona.51. Por tanto, procede responder a la cuarta cuestión que la indicación de que una persona se haya lesionado un pie y está en situación de baja parcial constituye un dato personal relativo a la salud en el sentido del artículo 8, apartado 1, de la Directiva 95/46.Sobre la quinta cuestión
52. Mediante su quinta cuestión, el órgano jurisdiccional remitente pretende que se dilucide, en esencia, si existe una «transferencia a un país tercero de datos» en el sentido del artículo 25 de la Directiva 95/46 cuando una persona que se encuentra en un Estado miembro difunde datos personales en una página web, almacenada por un persona física o jurídica que gestiona el sitio Internet en el que se puede consultar la página web (en lo sucesivo, «proveedor de servicios de alojamiento de páginas web») y que tiene su domicilio en el mismo Estado o en otro Estado miembro, de modo que dichos datos resultan accesibles a cualquier persona que se conecte a Internet, incluidas aquellas que se encuentren en países terceros. Además, el órgano jurisdiccional remitente pregunta si la respuesta a esta cuestión sigue siendo la misma cuando se acredite que en realidad ningún nacional de un país tercero ha accedido efectivamente a dichos datos o cuando el servidor en el que está almacenada la página se encuentre físicamente situado en un país tercero.Observaciones presentadas ante el Tribunal de Justicia
53. La Comisión y el Gobierno sueco consideran que la introducción de datos personales en una página web con ayuda de un ordenador, de modo que dichos datos resultan accesibles a nacionales de países terceros constituye una transferencia de datos en el sentido de la Directiva 95/46. La respuesta sigue siendo la misma aunque ningún nacional de un país tercero haya accedido efectivamente a dichos datos o aunque el servidor en el que están almacenados éstos se encuentre físicamente situado en un país tercero.54. El Gobierno neerlandés recuerda que la Directiva 95/46 no define el concepto de «transferencia». Considera, por una parte, que debe entenderse que este concepto se refiere a un acto dirigido deliberadamente a transferir datos personales del territorio de un Estado miembro a un país tercero y, por otra, que no es posible establecer una distinción entre las diferentes formas en que los datos se ponen al alcance de terceros. El Gobierno neerlandés llega a la conclusión de que la introducción de datos personales en una página web por medio de un ordenador no puede considerarse una transferencia de datos personales a un país tercero en el sentido del artículo 25 de la Directiva 95/46.55. El Gobierno del Reino Unido alega que el artículo 25 de la Directiva contempla las transferencias de datos a países terceros y no la posibilidad de acceder a dichos datos desde países terceros. El concepto de «transferencia» implica que una persona situada en un lugar determinado transmite un dato a una tercera persona situada en otro lugar. El artículo 25 de la Directiva 95/46 impone a los Estados la obligación de velar por el carácter adecuado del nivel de protección de los datos personales en un país tercero únicamente en caso de que se produzca una transferencia.Respuesta del Tribunal de Justicia
56. La Directiva 95/46 no define ni en su artículo 25 ni en ningún otro precepto, ni siquiera en su artículo 2, el concepto de «transferencia a un país tercero».57. Para determinar si la difusión de datos personales en una página web constituye una «transferencia» de dichos datos a un país tercero en el sentido del artículo 25 de la Directiva 95/46 por el mero hecho de que resultan accesibles a personas que se encuentran en un país tercero, es necesario tener en cuenta, por una parte, la naturaleza técnica de las operaciones efectuadas y, por otra, el objetivo y la organización sistemática del capítulo IV de la citada Directiva, en el que figura su artículo 25.58. La información que se publica en Internet puede ser consultada en cualquier momento por un número indeterminado de personas que residen en múltiples lugares. La ubicuidad de esta información se debe, en particular, a que los medios técnicos empleados para acceder a Internet son relativamente sencillos y cada vez menos costosos.59. Según las modalidades de uso de Internet que se han puesto a disposición de particulares como la Sra. Lindqvist durante los años noventa, el autor de una página destinada a ser publicada en Internet transmite los datos a su proveedor de servicios de alojamiento de páginas web. Éste gestiona la infraestructura informática necesaria para garantizar el almacenamiento de dichos datos y la conexión del servidor que aloja el sitio Internet. De este modo se permite la transmisión posterior de dichos datos a cualquier persona que esté conectada a Internet y los solicite. Los ordenadores que integran esta infraestructura informática pueden encontrarse, e incluso a menudo se encuentran, en uno o varios países distintos de aquél en el que tiene el domicilio el proveedor de servicios de alojamiento de páginas web, sin que sus clientes tengan o puedan tener conocimiento de ello.60. De los autos se desprende que, para obtener la información que figura en las páginas web en las que la Sra. Lindqvist había introducido datos relativos a sus compañeros, un usuario de Internet debía no sólo conectarse sino también realizar, a iniciativa propia, las acciones necesarias para consultar dichas páginas. En otras palabras, las páginas web de la Sra. Lindqvist no contenían los mecanismos técnicos que permiten el envío automático de la información a personas que no hayan buscado deliberadamente acceder a dichas páginas.61. De ello se deriva que, en circunstancias como las del asunto principal, los datos personales que llegan al ordenador de una persona que se encuentra en un país tercero y que proceden de una persona que los ha publicado en un sitio Internet, no han sido objeto de una transferencia directa entre estas dos personas, sino que se han transmitido con la ayuda de la infraestructura informática del proveedor de servicios de alojamiento de páginas web donde está almacenada la página.62. En este contexto resulta necesario examinar si, a efectos de aplicar el capítulo IV de la Directiva 95/46, el legislador comunitario tenía la intención de incluir actividades como las que efectuó la Sra. Lindqvist en el concepto de «transferencia a un país tercero de datos» en el sentido del artículo 25 de dicha Directiva. Es preciso subrayar que la quinta cuestión que plantea el órgano jurisdiccional remitente sólo se refiere a estas operaciones, excluyendo aquéllas que realizan los proveedores de servicios de alojamiento de páginas web.63. El capítulo IV de la Directiva 95/46, en el que figura el artículo 25, establece un régimen especial, con normas específicas, dirigido a garantizar un control, por parte de los Estados miembros, de las transferencias de datos personales hacia países terceros. Se trata de un régimen complementario del régimen general que establece el capítulo II de la citada Directiva, relativo a la licitud de los tratamientos de datos personales.64. El objetivo del capítulo IV se define en los considerandos 56 a 60 de la Directiva 95/46, en los que se señala, en concreto, que si bien la protección de las personas garantizada en la Comunidad por dicha Directiva no se opone a la transferencia de datos personales a terceros países que garanticen un nivel de protección adecuado, este carácter adecuado del nivel de protección debe apreciarse teniendo en cuenta todas las circunstancias relacionadas con la transferencia o la categoría de transferencias. Cuando un país tercero no ofrezca un nivel de protección adecuado debe prohibirse la transferencia de datos personales hacia ese país.65. El artículo 25 de la Directiva 95/46, por su parte, impone a los Estados miembros y a la Comisión una serie de obligaciones dirigidas a controlar las transferencias de datos personales a países terceros teniendo en cuenta el nivel de protección que dispensa cada uno de dichos países a tales datos.66. En particular, el artículo 25, apartado 4, de la Directiva 95/46 establece que cuando la Comisión compruebe que un tercer país no garantiza un nivel de protección adecuado, los Estado miembros adoptarán las medidas necesarias para impedir cualquier transferencia de datos personales al tercer país de que se trate.67. El capítulo IV de la Directiva 95/46 no contiene ninguna disposición relativa al uso de Internet. En concreto, no precisa los criterios que permiten determinar si, por lo que se refiere a las operaciones efectuadas a través de proveedores servicios de alojamiento de páginas web, debe tomarse en consideración el lugar de establecimiento del proveedor, su domicilio profesional o bien el lugar en el que se encuentran los ordenadores que integran la infraestructura informática del proveedor.68. Teniendo en cuenta, por un lado, el estado de desarrollo de Internet en el momento de la elaboración de la Directiva 95/46 y, por otro, la inexistencia, en su capítulo IV, de criterios aplicables al uso de Internet, no cabe presumir que el legislador comunitario tuviera la intención, en su momento, de incluir en el concepto de «transferencia a un país tercero de datos» la difusión de datos en una página web por parte de una persona que se encuentre en la misma situación que la Sra. Lindqvist, ni siquiera cuando dichos datos estén al alcance de personas de países terceros que disponen de los medios técnicos para poder acceder a ellos.69. Si el artículo 25 de la Directiva 95/46 se interpreta en el sentido de que existe una «transferencia a un país tercero de datos» cada vez que se publican datos personales en una página web, dicha transferencia será forzosamente una transferencia a todos los países terceros en los que existen los medios técnicos necesarios para acceder a Internet. El régimen especial que prevé el capítulo IV de la citada Directiva se convertiría entonces necesariamente, por lo que se refiere a las operaciones en Internet, en un régimen de aplicación general. En efecto, en cuanto la Comisión detectara, con arreglo al artículo 25, apartado 4, de la Directiva 95/46, que un solo país tercero no garantiza un nivel de protección adecuado, los Estados miembros estarían obligados a impedir cualquier difusión de los datos personales en Internet.70. En este contexto, cabe llegar a la conclusión de que el artículo 25 de la Directiva 95/46 debe interpretarse en el sentido de que operaciones como las efectuadas por la Sra. Lindqvist no constituyen, por sí mismas, una «transferencia a un país tercero de datos». Por tanto, no es necesario averiguar si alguna persona de un país tercero ha tenido acceso a la página web de que se trata o si el servidor del proveedor se encuentra físicamente en un país tercero.71. En consecuencia, procede responder a la quinta cuestión que no existe una «transferencia a un país tercero de datos» en el sentido del artículo 25 de la Directiva 95/46 cuando una persona que se encuentra en un Estado miembro difunde datos personales en una página web, almacenada por su proveedor de servicios de alojamiento de páginas web que tiene su domicilio en el mismo Estado o en otro Estado miembro, de modo que dichos datos resultan accesibles cualquier persona que se conecte a Internet, incluidas aquéllas que se encuentren en países terceros.Sobre la sexta cuestión
72. Mediante su sexta cuestión el órgano jurisdiccional remitente pregunta si debe considerarse que lo dispuesto en la Directiva 95/46 entraña, en un supuesto como el del asunto principal, una restricción contraria al principio general de la libertad de expresión o a otros derechos y libertades vigentes en la Unión Europea y que tienen su equivalente, entre otros, en el artículo 10 del CEDH.Observaciones presentadas ante el Tribunal de Justicia
73. La Sra. Lindqvist alega, citando, en concreto, la sentencia de 6 de marzo de 2001, Connolly/Comisión (C-274/99 P, Rec. p. I-1611), que la Directiva 95/46 y la PUL, en la medida en que establecen los requisitos del consentimiento previo y de la comunicación previa a una autoridad de control, así como el principio de prohibición del tratamiento de datos personales delicados, son contrarios al principio general de la libertad de expresión reconocido por el Derecho comunitario. Más concretamente, sostiene que la definición de «tratamiento total o parcialmente automatizado de datos personales» no cumple los criterios de previsibilidad y de precisión.74. Además, en su opinión, el mero hecho de citar nominalmente a una persona física, de divulgar sus datos telefónicos y sus condiciones de trabajo, así como de proporcionar información sobre su estado de salud y sus aficiones, información que es pública, notoriamente conocida o trivial, no constituye una violación sustancial del derecho a la intimidad. La Sra. Lindqvist considera que, en todo caso, las restricciones que impone la Directiva 95/46 son desproporcionadas en relación con el objetivo de protección de la reputación y de la intimidad de los demás.75. El Gobierno sueco considera que la Directiva 95/46 permite ponderar los intereses en juego y, de este modo, salvaguardar la libertad de expresión y la tutela del derecho a la intimidad. Añade que únicamente el juez nacional, teniendo en cuenta las circunstancias de cada caso concreto, puede apreciar el carácter proporcional de la restricción del ejercicio del derecho a la libertad de expresión que entraña la aplicación de normas que tienen por objeto la protección de los derechos ajenos.76. El Gobierno neerlandés recuerda que tanto la libertad de expresión como el derecho a la intimidad forman parte de los principios generales del Derecho cuyo respeto garantiza el Tribunal de Justicia y que el CEDH no establece ninguna jerarquía entre los diferentes derechos fundamentales. En consecuencia, considera que el órgano jurisdiccional nacional debe esforzarse en conciliar los distintos derechos fundamentales en juego tomando en consideración las circunstancias concretas del caso.77. El Gobierno del Reino Unido observa que su propuesta de respuesta a la quinta cuestión, expuesta en el apartado 55 de la presente sentencia, es perfectamente compatible con la tutela de los derechos fundamentales y permite evitar que se atente de manera desproporcionada contra la libertad de expresión. Añade que una interpretación que implique que una difusión de datos personales de una forma determinada, a saber, en una página web, quede sujeta a restricciones mucho más severas que las aplicables a la difusión que se realiza de otra forma, como por ejemplo las publicaciones en papel, resulta difícil de justificar.78. La Comisión sostiene asimismo que la Directiva no conlleva una restricción contraria al principio general de la libertad de expresión o a otros derechos y libertades vigentes en la Unión Europea y que tienen su equivalente, entre otros, en el artículo 10 del CEDH.Respuesta del Tribunal de Justicia
79. Del séptimo considerando de la Directiva 95/46 se desprende que las diferencias entre los regímenes nacionales aplicables al tratamiento de datos personales pueden afectar seriamente al establecimiento y al funcionamiento del mercado interior. Según el tercer considerando de la misma Directiva, la armonización de dichos regímenes nacionales ha de tener por objetivo no sólo la libre circulación de tales datos entre los Estados miembros, sino también la tutela de los derechos fundamentales de las personas. Evidentemente estos objetivos pueden entrar en conflicto.80. Por una parte, la integración económica y social resultante del establecimiento y funcionamiento del mercado interior va a implicar necesariamente un aumento notable de los flujos de datos personales entre todos los agentes de la vida económica y social de los Estados miembros, ya se trate de empresas o de administraciones de los Estados miembros. Dichos agentes necesitan disponer, en cierta medida, de datos personales para efectuar sus transacciones o para cumplir su cometido en el marco del espacio sin fronteras que constituye el mercado interior.81. Por otra parte, las personas afectadas por el tratamiento de datos personales reclaman con razón que dichos datos se protejan de manera eficaz.82. Los mecanismos que permiten ponderar los diferentes derechos e intereses se encuentran, por un lado, en la propia Directiva 95/46, ya que establece normas que determinan en qué situaciones y en qué medida es lícito el tratamiento de datos personales y cuál es la tutela que debe dispensarse. Por otro lado, resultan de la adopción, por parte de los Estados miembros, de disposiciones nacionales que garantizan la adaptación del Derecho interno a dicha Directiva y de la eventual aplicación de las citadas disposiciones por las autoridades nacionales.83. En cuanto a la propia Directiva 95/46, sus disposiciones han de ser relativamente generales, dado que deben aplicarse a un gran número de situaciones muy distintas. A diferencia de lo que afirma la Sra. Lindqvist, está justificado que dicha Directiva contenga normas que se caractericen por una cierta flexibilidad y que deje en muchos casos en manos de los Estados miembros la tarea de regular los detalles o de elegir entre varias opciones.84. Es cierto que los Estados miembros disponen en muchos aspectos de un margen de apreciación para adaptar su Derecho interno a la Directiva 95/46. No obstante, nada permite considerar que el régimen que establece ésta carezca de previsibilidad o que sus disposiciones sean, por sí mismas, contrarias a los principios generales del Derecho comunitario y, en particular, a los derechos fundamentales que tutela el ordenamiento jurídico comunitario.85. Por tanto, el justo equilibrio entre los derechos e intereses en juego debe buscarse más bien en el ámbito nacional, al aplicar a los casos concretos la normativa que adapta el Derecho interno a la Directiva 95/46.86. En este contexto, los derechos fundamentales revisten una importancia especial, tal y como lo demuestra el asunto principal, en el que resulta necesario, en esencia, ponderar, por una parte, la libertad de expresión de la Sra. Lindqvist en el marco de su trabajo como catequista, así como la libertad de ejercer actividades que contribuyen a la vida religiosa y, por otra parte, la tutela de la intimidad de las personas cuyos datos incluyó la Sra. Lindqvist en su sitio Internet.87. En consecuencia, corresponde a las autoridades y a los órganos jurisdiccionales de los Estados miembros no sólo interpretar su Derecho nacional de conformidad con la Directiva 95/46, sino también procurar que la interpretación de ésta que tomen como base no entre en conflicto con los derechos fundamentales tutelados por el ordenamiento jurídico comunitario o con los otros principios generales del Derecho comunitario como el principio de proporcionalidad.88. Si bien es cierto que la tutela de la intimidad requiere aplicar sanciones eficaces a las personas que efectúen tratamientos de datos personales sin atenerse a lo dispuesto en la Directiva 95/46, tales sanciones deben respetar en todo caso el principio de proporcionalidad. Esta conclusión se impone con mayor razón si se tiene en cuenta que el ámbito de aplicación de la Directiva 95/46 es muy amplio y que las obligaciones de las personas que efectúan los tratamientos de datos personales son numerosas e importantes.89. En virtud del principio de proporcionalidad, incumbe al órgano jurisdiccional remitente tomar en consideración todas las circunstancias del asunto del que conoce, en particular, la duración de la infracción de las normas que desarrollan la Directiva 95/46, así como la importancia, para los afectados, de la tutela de los datos difundidos.90. Por tanto, procede responder a la sexta cuestión que las disposiciones de la Directiva 95/46 no entrañan, por sí mismas, una restricción contraria al principio general de la libertad de expresión o a otros derechos y libertades vigentes en la Unión Europea y que tienen su equivalente, entre otros, en el artículo 10 del CEDH. Incumbe a las autoridades y a los órganos jurisdiccionales nacionales encargados de aplicar la normativa nacional que adapta el Derecho interno a la Directiva 95/46 garantizar el justo equilibrio entre los derechos e intereses en juego, incluidos los derechos fundamentales tutelados por el ordenamiento jurídico comunitario.Sobre la séptima cuestión
91. Mediante su séptima cuestión, el órgano jurisdiccional remitente pregunta, en esencia, si los Estados miembros pueden establecer una protección más rigurosa de los datos personales o un ámbito de aplicación más amplio que los que resultan de la Directiva 95/46.Observaciones presentadas ante el Tribunal de Justicia
92. El Gobierno sueco señala que la Directiva 95/46 no se contenta con fijar requisitos mínimos para proteger los datos personales. En su opinión, los Estados miembros, al adaptar su Derecho interno a dicha Directiva, están obligados a alcanzar el nivel de protección que determina esta última y no pueden establecer ni una protección más rigurosa ni una protección menor. No obstante, es preciso tener en cuenta el margen de apreciación de que disponen los Estados miembros al desarrollar la Directiva para precisar en su Derecho interno los requisitos generales de licitud del tratamiento de datos personales.93. El Gobierno neerlandés sostiene que la Directiva 95/46 no se opone a que los Estados miembros establezcan una protección más rigurosa en algunos ámbitos. De los artículos 10, 11, apartado 1, 14, párrafo primero, letra a), 17, apartado 3, 18, apartado 5, y 19, apartado 1, de la citada Directiva se desprende que los Estados miembros pueden establecer una protección más amplia. Además, los Estados miembros son libres de aplicar igualmente los principios de la Directiva 95/46 a actividades que no están comprendidas en el ámbito de aplicación de esta última.94. La Comisión alega que la base jurídica de la Directiva 95/46 es el artículo 100 A del Tratado y que si un Estado desea mantener o adoptar una normativa que establezca excepciones a dicha Directiva de armonización, está obligado a notificarla a la Comisión en virtud del párrafo 4 o del párrafo 5 del artículo 95 CE. En consecuencia, la Comisión sostiene que un Estado miembro no puede establecer una protección más rigurosa de los datos personales o un ámbito de aplicación más amplio que los que resultan de la citada Directiva.Respuesta del Tribunal de Justicia
95. La Directiva 95/46 tiene por objeto, tal y como se desprende, en particular, de su octavo considerando, equiparar el nivel de protección de los derechos y libertades de las personas por lo que se refiere al tratamiento de datos personales en todos los Estados miembros. Su décimo considerando añade que la aproximación de las legislaciones nacionales en la materia no debe conducir a una disminución de la protección que garantizan sino que, por el contrario, debe tener por objeto asegurar un alto nivel de protección dentro de la Comunidad.96. Por tanto, la armonización de dichas legislaciones nacionales no se limita a una armonización mínima, sino que constituye, en principio, una armonización completa. Desde este punto de vista, la Directiva 95/46 trata de asegurar la libre circulación de datos personales, garantizando al mismo tiempo un alto nivel de protección de los derechos e intereses de las personas titulares de dichos datos.97. Es cierto que la Directiva 95/46 reconoce a los Estados miembros un margen de apreciación en ciertos aspectos y que les permite mantener o establecer regímenes particulares para situaciones específicas, tal y como lo demuestra un gran número de sus disposiciones. No obstante, dichas posibilidades deben emplearse tal y como dispone la Directiva y de conformidad con su objetivo, que consiste en mantener un equilibrio entre la libre circulación de datos personales y la tutela del derecho a la intimidad.98. En cambio, nada impide que un Estado miembro extienda el alcance de la normativa nacional que adapta el Derecho interno a la Directiva a situaciones que no están comprendidas en el ámbito de aplicación de esta última, siempre que ninguna otra norma de Derecho comunitario se oponga a ello.99. A la luz de estas consideraciones, procede responder a la séptima cuestión que las medidas adoptadas por los Estados miembros para garantizar la protección de los datos personales deben atenerse tanto a las disposiciones de la Directiva 95/46 como a su objetivo, que consiste en mantener el equilibrio entre la libre circulación de datos personales y la tutela del derecho a la intimidad. En cambio, nada impide que un Estado miembro extienda el alcance de la normativa nacional que adapta el Derecho interno a la Directiva 95/46 a situaciones que no están comprendidas en el ámbito de aplicación de esta última, siempre que ninguna otra norma de Derecho comunitario se oponga a ello.Costas
100. Los gastos efectuados por los Gobiernos sueco, neerlandés y del Reino Unido, así como por la Comisión y por el Órgano de Vigilancia de la AELC, que han presentado observaciones ante este Tribunal de Justicia, no pueden ser objeto de reembolso. Dado que el procedimiento tiene, para las partes del litigio principal, el carácter de un incidente promovido ante el órgano jurisdiccional nacional, corresponde a éste resolver sobre las costas.En virtud de todo lo expuesto,
EL TRIBUNAL DE JUSTICIA,
pronunciándose sobre las cuestiones planteadas por el Göta hovrätt mediante resolución de 23 de febrero de 2001, declara:
1) La conducta que consiste en hacer referencia, en una página web, a diversas personas y en identificarlas por su nombre o por otros medios, como su número de teléfono o información relativa a sus condiciones de trabajo y a sus aficiones, constituye un «tratamiento total o parcialmente automatizado de datos personales» en el sentido del artículo 3, apartado 1, de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.
2) Un tratamiento de datos personales de esta naturaleza no está comprendido en ninguna de las excepciones que figuran en el artículo 3, apartado 2, de la Directiva 95/46.
3) La indicación de que una persona se ha lesionado un pie y está en situación de baja parcial constituye un dato personal relativo a la salud en el sentido del artículo 8, apartado 1, de la Directiva 95/46.
4) No existe una «transferencia a un país tercero de datos» en el sentido del artículo 25 de la Directiva 95/46 cuando una persona que se encuentra en un Estado miembro difunde datos personales en una página web, almacenada por una persona física o jurídica que gestiona el sitio Internet en el que se puede consultar la página web que tiene su domicilio en el mismo Estado o en otro Estado miembro, de modo que dichos datos resultan accesibles a cualquier persona que se conecte a Internet, incluidas aquellas que se encuentren en países terceros.
5) Las disposiciones de la Directiva 95/46 no entrañan, por sí mismas, una restricción contraria al principio general de la libertad de expresión o a otros derechos y libertades vigentes en la Unión Europea y que tienen su equivalente, entre otros, en el artículo 10 del Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales, firmado en Roma el 4 de noviembre de 1950. Incumbe a las autoridades y a los órganos jurisdiccionales nacionales encargados de aplicar la normativa nacional que adapta el Derecho interno a la Directiva 95/46 garantizar el justo equilibrio entre los derechos e intereses en juego, incluidos los derechos fundamentales tutelados por el ordenamiento jurídico comunitario.
6) Las medidas adoptadas por los Estados miembros para garantizar la protección de los datos personales deben atenerse tanto a las disposiciones de la Directiva 95/46 como a su objetivo, que consiste en mantener el equilibrio entre la libre circulación de datos personales y la tutela del derecho a la intimidad. En cambio, nada impide que un Estado miembro extienda el alcance de la normativa nacional que adapta el Derecho interno a lo dispuesto en la Directiva 95/46 a situaciones que no están comprendidas en el ámbito de aplicación de esta última, siempre que ninguna otra norma de Derecho comunitario se oponga a ello.
| JannTimmermans Gulmann Cunha Rodrigues RosasEdward Puissochet Mackenvon Bahr |
Pronunciada en audiencia pública en Luxemburgo, a 6 de noviembre de 2003.
