Edición provisional
CONCLUSIONES DEL ABOGADO GENERAL
SR. PRIIT PIKAMÄE
presentadas el 9 de diciembre de 2021 (1)
Asunto C‑184/20
OT
contra
Vyriausioji tarnybinės etikos komisija,
con intervención de
Fondas „Nevyriausybinių organizacijų informacijos ir paramos centras“
[Petición de decisión prejudicial planteada por el Vilniaus apygardos administracinis teismas (Tribunal Regional de lo Contencioso-Administrativo de Vilna, Lituania)]
«Procedimiento prejudicial — Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Directiva 95/46/CE — Reglamento (UE) 2016/679 — Legislación nacional que prevé la publicación de datos personales contenidos en declaraciones de intereses — Transparencia en la utilización de fondos públicos — Prevención de los conflictos de intereses y de la corrupción en el sector público — Derechos fundamentales relativos al respeto de la vida privada y a la protección de datos personales — Artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea — Concepto de “categorías especiales de datos personales”»
1. Conocido por haber concebido el panóptico, un tipo de arquitectura carcelaria que permitía al guarda, situado en una torre central, observar a todos los prisioneros encerrados en celdas individuales ubicadas alrededor de la torre, sin que estos pudieran saber si estaban siendo vigilados, el filósofo inglés Jeremy Bentham también aplicaba su afán de transparencia a la vida pública y consideraba que «la mirada pública hace virtuoso al hombre de Estado». (2) Palabras sin duda proféticas, en lo que respecta al menos al mecanismo propuesto, a juzgar por el gran número de normas de la Unión Europea que hoy en día imponen la publicidad, al menos parcial, de las declaraciones de intereses y de patrimonio de los responsables públicos.
2. Todas esas normas buscan el equilibrio entre la publicidad y la salvaguardia de la vida privada de las personas afectadas. El presente asunto versa precisamente sobre la conformidad con el Derecho de la Unión de un tratamiento de datos personales caracterizado por la publicación en línea de parte del contenido de declaraciones de intereses en el sitio de Internet de la autoridad pública encargada de recabarlas y controlarlas. Su interés también radica en que brinda al Tribunal de Justicia la oportunidad de precisar el alcance del concepto de categorías especiales de datos denominados «datos sensibles».
I. Marco jurídico
A. Derecho de la Unión
3. Además de determinadas disposiciones de Derecho primario, a saber, los artículos 7, 8 y 51, apartado 2, de la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «Carta»), resultan pertinentes en el presente asunto los artículos 3, y 6 a 8 de la Directiva 95/46/CE (3) y los artículos 2, 5, 6 y 9 del Reglamento (UE) 2016/679. (4)
B. Derecho lituano
4. La Lietuvos Respublikos viešųjų ir privačių interesų derinimo įstatymas Nr. VIII‑371 (Ley n.º VIII‑371 de la República de Lituania sobre la conciliación de los intereses públicos y privados en la Administración Pública), de 2 de julio de 1997 (Žin., 1997, n.º 67‑1659), en su versión en vigor en la fecha en la que se produjeron los hechos del litigio principal (5) (en lo sucesivo, «Ley sobre conciliación de intereses»), establecía, en su artículo 1, que sus objetivos eran conciliar los intereses privados de las personas que trabajan como servidores públicos y los intereses públicos de la sociedad; velar por que, en la toma de decisiones, prevalezca el interés público; garantizar la imparcialidad de las decisiones adoptadas, y prevenir la aparición y el incremento de la corrupción en la Administración Pública. (6)
5. El artículo 6 de la citada Ley, titulado «Contenido de la declaración», disponía lo siguiente:
«1 En su declaración, el declarante deberá consignar los datos indicados a continuación que le conciernan y que conciernan a su cónyuge, compañero sentimental o pareja:
1) nombre, apellido, número de identificación personal, número de la seguridad social, empleador/es y cargo;
2) personas jurídicas de las que sean socios o asociados el declarante o su cónyuge, compañero sentimental o pareja;
3) actividad por cuenta propia, según se define en la Ley de la República de Lituania relativa al impuesto sobre la renta;
4) pertenencia a empresas, establecimientos, asociaciones o fondos, y cargos desempeñados en ellos, a excepción de la afiliación a partidos políticos y sindicatos;
5) regalos (no procedentes de personas cercanas) que haya recibido durante los últimos doce meses naturales cuyo valor supere los 150 euros;
6) datos sobre las operaciones realizadas durante los últimos doce meses naturales y otras operaciones en curso cuyo valor supere los 3 000 euros;
7) personas cercanas u otras personas o datos conocidos por el declarante que puedan dar lugar a un conflicto de intereses.
2. El declarante puede omitir los datos de su cónyuge, compañero sentimental o pareja en caso de que no vivan juntos, no constituyan un hogar común y, en consecuencia, no posea tales datos.»
6. El artículo 10 de la Ley sobre conciliación de intereses, titulado «Publicidad de los datos relativos a intereses privados», establecía lo siguiente:
«1. Serán públicos y se publicarán en el sitio de Internet de la Comisión Superior, según las disposiciones de desarrollo que ella misma establezca, los datos que figuren en las declaraciones de las personas elegidas y de aquellas que ocupen cargos políticos; de los funcionarios y agentes del Estado; de los jueces; de los directores y de los directores adjuntos de instituciones del Estado o de un ente local; de los funcionarios y agentes que ocupen cargos de confianza política (personal); de los funcionarios del Estado que ocupen el cargo de director o director adjunto de subdivisiones de instituciones o establecimientos; de los directores y directores adjuntos de empresas públicas y autoridades presupuestarias del Estado o de un ente local; de los directores o directores adjuntos de asociaciones o establecimientos públicos que reciban financiación con cargo al presupuesto o a los fondos del Estado o de un ente local; de los trabajadores del Banco de Lituania con competencias de administración pública (encargados de la supervisión de los mercados financieros, de la solución extrajudicial de litigios entre consumidores y operadores de los mercados financieros y otras funciones de administración pública); de los miembros de los consejos de supervisión o de administración y de los directores y directores adjuntos de sociedades anónimas o de responsabilidad limitada de los que el Estado o un ente local sea propietario de participaciones que le confieran más de la mitad de los derechos de voto en la junta general de socios; de los miembros del consejo de administración de empresas públicas del Estado o de un ente local; de los presidentes y vicepresidentes de los partidos políticos; de los asesores no retribuidos, asistentes y consejeros de las personas elegidas y de aquellas que ocupen cargos políticos; de los expertos autorizados por las comisiones del Parlamento de la República de Lituania; de los miembros de los colegios ministeriales; de los miembros del Consejo de seguro de salud obligatorio; de los consejeros no retribuidos del Consejo de seguro de salud obligatorio; de los miembros del Consejo nacional de salud; de los médicos, dentistas y farmacéuticos que trabajen en autoridades presupuestarias o públicas del Estado o de un ente local, en empresas públicas del Estado o de un ente local o en empresas en las que el Estado o un ente local sea propietario de participaciones que le confieran más de la mitad de los derechos de voto en la junta general de socios, y que sean titulares de una autorización de apertura de centro sanitario o farmacéutico, y de los miembros de las comisiones de contratación pública, de las personas a las que el director de un poder adjudicador haya ordenado la celebración de contratos públicos conforme al procedimiento simplificado y de los expertos que intervengan en los procedimientos de contratación pública [a excepción de los datos que figuren en las declaraciones de personas cuyos datos están clasificados por ley o que ejercen una actividad de información, de contraespionaje o de información en materia penal]. Cuando una persona cuyos datos sean públicos pierda el estatuto de declarante, la Comisión Superior, a petición del interesado, suprimirá la declaración de su sitio de Internet.
2. No pueden hacerse públicos los siguientes datos facilitados en la declaración: el número de identificación personal, el número de la seguridad social, datos personales especiales y demás información cuya comunicación está prohibida por ley. Asimismo, no se publicarán los datos de la contraparte en una operación cuando sea una persona física.»
II. Litigio principal y cuestiones prejudiciales
7. La Vyriausioji tarnybinės etikos komisija (Comisión Superior de Deontología de la Función Pública; en lo sucesivo, «Comisión Superior») es una autoridad pública encargada de velar por la aplicación de la Ley sobre conciliación de intereses y, más concretamente, de recabar las declaraciones de intereses y garantizar su control.
8. OT ocupa el cargo de director de QP, un establecimiento público de Derecho lituano que opera en el ámbito de la protección medioambiental.
9. Mediante decisión de 7 de febrero de 2018, la Comisión Superior declaró que OT había infringido los artículos 3, apartado 2, y 4, apartado 1, de la Ley sobre conciliación de intereses al no haber presentado ante ella una declaración de intereses según lo exigido por dicha Ley.
10. El 6 de marzo de 2018, OT interpuso un recurso de anulación contra dicha decisión ante el órgano jurisdiccional remitente. Sostiene, por un lado, que no está comprendido entre las personas que están sujetas a la obligación de declarar intereses privados prevista en el artículo 2, apartado 1, de la Ley sobre conciliación de intereses y, por otro lado, que la publicación en el sitio de Internet de la Comisión Superior del contenido de su declaración conculca tanto su derecho al respeto de su vida privada como el de las otras personas cuyos datos está, en su caso, obligado a indicar en su declaración.
11. La Comisión Superior aduce que OT estaba obligado a presentar una declaración de intereses privados al tener atribuidas competencias administrativas en el seno de QP, establecimiento público que recibe financiación con cargo a fondos estructurales de la Unión y al presupuesto del Estado lituano. Admite que, aunque la publicación de esa declaración puede constituir una injerencia en la vida privada del interesado y de su cónyuge, está prevista en la Ley sobre conciliación de intereses.
12. El órgano jurisdiccional remitente considera que los datos personales que figuran en una declaración de intereses privados, en virtud del artículo 6, apartado 1, de la Ley sobre conciliación de intereses, forman parte del ámbito de la vida privada del declarante y demás personas afectadas y que su comunicación, cuando se trata de datos especialmente sensibles, como la situación familiar o la orientación sexual, puede generar importantes molestias para la vida de esas personas. Las excepciones previstas en el artículo 10 de la citada Ley son, a su juicio, insuficientes para garantizar la protección de tales datos. Además, la publicación en Internet de datos relativos a circunstancias que pueden influir en la toma de decisiones en el ejercicio de funciones públicas no es, a su entender, necesaria para lograr el objetivo que persigue la citada Ley que consiste en aplicar el principio de transparencia en la Administración Pública. La comunicación a la Comisión Superior de los datos personales que figuran en la declaración en cuestión y la misión de supervisión que se encomienda a los órganos mencionados en el artículo 22 de la referida Ley son, a su juicio, suficientes para la consecución de ese objetivo.
13. Al albergar dudas sobre la compatibilidad del régimen previsto en la Ley sobre conciliación de intereses con las disposiciones del RGPD, el Vilniaus apygardos administracinis teismas (Tribunal Regional de lo Contencioso-Administrativo de Vilna, Lituania) decidió suspender el procedimiento y plantear al Tribunal de Justicia las siguientes cuestiones prejudiciales:
«1) ¿Debe interpretarse la condición establecida en el artículo 6, apartado 1[, párrafo primero], letra e), del [RGPD], según la cual el tratamiento [de datos personales] debe ser necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento, a la vista de los requisitos establecidos en el artículo 6, apartado 3, del Reglamento, incluido el requisito de que el Derecho del Estado miembro debe cumplir un objetivo de interés público y ser proporcional al fin legítimo perseguido, y a la vista también de los artículos 7 y 8 de la Carta, en el sentido de que el Derecho nacional no puede exigir la divulgación de información que figura en declaraciones de intereses privados y su publicación en el sitio de Internet del responsable del tratamiento, la [Comisión Superior], dando así acceso a esos datos a todas las personas que tengan acceso a Internet?
2) ¿Debe interpretarse la prohibición del tratamiento de categorías especiales de datos personales establecida en el artículo 9, apartado 1, del [RGPD], a la vista de las condiciones establecidas en el artículo 9, apartado 2, de dicho Reglamento, incluida la que figura en la letra g) de este último, conforme a la cual el tratamiento [de datos personales] debe ser necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado, y a la vista también de los artículos 7 y 8 de la Carta, en el sentido de que el Derecho nacional no puede exigir la divulgación de información que figura en declaraciones de intereses privados que pueda revelar datos personales, incluidos los datos que permitan determinar las opiniones políticas de una persona, su afiliación sindical, su orientación sexual u otra información personal, y su publicación en el sitio de Internet del responsable del tratamiento, la [Comisión Superior], dando acceso a esos datos a todas las personas que tengan acceso a Internet?»
III. Procedimiento ante el Tribunal de Justicia
14. En aplicación del artículo 101 de su Reglamento de Procedimiento, el Tribunal de Justicia remitió una solicitud de aclaraciones al órgano jurisdiccional remitente, a la que este respondió mediante escrito de 12 de mayo de 2021. La Comisión Europea y los Gobiernos lituano, italiano y finlandés han presentado observaciones escritas. El Gobierno lituano respondió a las preguntas escritas del Tribunal de Justicia en un escrito presentado el 30 de julio de 2021.
IV. Análisis
A. Sobre la admisibilidad
15. Tanto del tenor como del sistema del artículo 267 TFUE se desprende que el procedimiento prejudicial presupone la pendencia efectiva de un litigio ante los órganos jurisdiccionales nacionales, en el que estos deberán dictar una resolución que podrá tener en cuenta la sentencia dictada con carácter prejudicial por el Tribunal de Justicia. Por tanto, el Tribunal de Justicia puede verificar de oficio la subsistencia del litigio principal. (7)
16. En respuesta a una pregunta del Tribunal de Justicia sobre la aparente exclusión del demandante en el litigio principal del ámbito de aplicación ratione personae de la Ley sobre conciliación de intereses, en su versión modificada el 1 de enero de 2020, el órgano jurisdiccional remitente puso de manifiesto que era necesaria la respuesta del Tribunal de Justicia para resolver el litigio principal a la luz de la normativa nacional en vigor en la fecha en la que Comisión Superior recurrida adoptó su decisión. Añadió que el interesado puede aún estar incluido entre las personas a las que hace referencia la citada ley, en su versión actual.
17. Este mismo órgano jurisdiccional precisó también, a solicitud del Tribunal de Justicia, que la sentencia del Tribunal Constitucional de la República de Lituania de 20 de septiembre de 2018 —que declaró la inadmisibilidad de su cuestión de inconstitucionalidad relativa al artículo 10 de la Ley sobre conciliación de intereses por no ser aplicable dicha disposición al litigio principal—, carece de incidencia en lo que respecta a la continuación del procedimiento prejudicial. El órgano jurisdiccional remitente señaló que, aunque la cuestión que ha de resolverse es efectivamente, como indicó el órgano jurisdiccional constitucional, la eventual infracción de los artículos 3, apartado 2, y 4, apartado 1, de dicha Ley (por no haber cumplido el demandante en el litigio principal su obligación de presentar la declaración de intereses), la comprobación de la legalidad de la decisión impugnada implica tener en cuenta las consecuencias que esa presentación puede tener en virtud del artículo 10 de la citada Ley, a saber, la comunicación pública de ciertos datos contenidos en esa declaración en el sitio de Internet de la Comisión Superior.
18. A la luz de las indicaciones proporcionadas por el órgano jurisdiccional remitente, es preciso considerar que el litigio principal sigue pendiente ante dicho tribunal y que, para su resolución, sigue siendo útil que el Tribunal de Justicia responda a las cuestiones prejudiciales planteadas. Conviene recordar además que no corresponde al Tribunal de Justicia, en el contexto de un procedimiento prejudicial, pronunciarse sobre la interpretación de las disposiciones nacionales (8) y que las cuestiones sobre interpretación del Derecho de la Unión planteadas por el juez nacional en el marco fáctico y normativo definido bajo su responsabilidad disfrutan de una presunción de pertinencia. No resulta patente, en este caso, que la interpretación solicitada del Derecho de la Unión no tenga relación alguna con la realidad o con el objeto del litigio principal ni que las cuestiones planteadas al Tribunal de Justicia tengan carácter hipotético. (9)
19. A este respecto, considero infundada la alegación del Gobierno lituano en lo que concierne al carácter «teórico» de la segunda cuestión prejudicial basándose en que es imposible identificar los datos sensibles afectados por la publicación dado que el demandante en el litigio principal no ha presentado con carácter previo una declaración de intereses. Ha de señalarse que el marco normativo nacional expuesto por el órgano jurisdiccional remitente permite identificar la naturaleza de los datos que deben figurar en esa declaración y determinar, con relativa precisión, los que quedan excluidos de la obligación de publicación en el sitio de Internet de la Comisión Superior. Desde mi punto de vista, el Tribunal de Justicia dispone de todos los elementos fácticos y jurídicos necesarios para proporcionar una respuesta útil para la resolución efectiva de la controversia.
B. Sobre el marco jurídico de análisis
20. De la petición de decisión prejudicial se desprende que el órgano jurisdiccional remitente considera manifiestamente probado que la normativa nacional controvertida está comprendida en el ámbito de aplicación del RGPD, tanto material como temporal, apreciación que, desde mi punto de vista, requiere de una serie de observaciones.
1. Sobre la aplicabilidad ratione materiae del RGPD
21. De conformidad con el artículo 2, apartado 1, del RGPD, este se aplica al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero, es decir, que tiene idéntico ámbito de aplicación material que la Directiva 95/46 que fue derogada y sustituida por ese Reglamento.
22. Es preciso señalar, de entrada, que los datos de la declaración de intereses que deben publicarse en el sitio de Internet de la Comisión Superior, esto es, en particular, los nombres de ciertas personas físicas, constituyen «datos personales» en el sentido del artículo 4, punto 1, del RGPD o del artículo 2, letra a), de la Directiva 95/46, dado que se trata de «información sobre una persona física identificada o identificable», y la circunstancia de que una información se inscriba, como en este asunto, en el contexto de una actividad profesional no puede privarla de su calificación de «datos personales». (10) Tanto su recogida por dicho ente público como su publicación en línea en el sitio antes citado tienen, por tanto, el carácter de «tratamiento de datos personales» a efectos del artículo 4, punto 2, de dicho Reglamento o del artículo 2, letra b), de la citada Directiva. (11)
23. Ha de destacarse que, aunque, a la luz de la amplísima definición de su ámbito de aplicación, el RGPD constituye de alguna manera el Derecho común de la protección de los datos personales en la Unión, se han adoptado otras normas sectoriales que lo precisan y completan y que constituyen, por tanto, lex specialis. Así sucede con la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo. (12)
24. A este respecto, el artículo 2, apartado 2, letra d), del RGPD, establece que dicho Reglamento no se aplicará al tratamiento de datos personales «por parte de las autoridades competentes con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales, o de ejecución de sanciones penales, incluida la de protección frente a amenazas a la seguridad pública y su prevención». Al igual que otras excepciones previstas en el artículo 2, apartado 2, del RGPD, esta excepción a la aplicabilidad de dicho Reglamento debe recibir una interpretación estricta. Según se desprende del considerando 19 del citado Reglamento, esta excepción se fundamenta en el hecho de que los tratamientos de datos personales por parte de las autoridades competentes a tales efectos se rigen por un acto jurídico más específico a nivel de la Unión, a saber, la Directiva 2016/680. (13)
25. Esa Directiva, adoptada el mismo día que el RGPD, define, en su artículo 3, apartado 7, lo que debe entenderse por «autoridad competente» y esa definición debe aplicarse, por analogía, al artículo 2, apartado 2, letra d), del citado Reglamento. A este respecto, el Tribunal de Justicia ha declarado que del considerando 10 de la Directiva 2016/680 se desprende que el concepto de «autoridad competente» debe entenderse en relación con la protección de datos personales en los ámbitos de la cooperación judicial en materia penal y de la cooperación policial, habida cuenta de las adaptaciones que podrían requerirse, a este respecto, en razón de la naturaleza específica de dichos ámbitos. (14) Además, el considerando 11 de la Directiva 2016/680 precisa que el RGPD se aplica al tratamiento de datos personales efectuado por una «autoridad competente», en el sentido del artículo 3, apartado 7, de dicha Directiva, pero con fines distintos de los previstos en esta. (15)
26. Pues bien, en el litigio principal y según las indicaciones proporcionadas por el órgano jurisdiccional remitente y el Gobierno lituano, la normativa nacional controvertida pretende conciliar los intereses privados de las personas que trabajan en la Administración Pública y los intereses de la sociedad, velar por que prevalezca el interés público en la toma de decisiones, garantizar su imparcialidad e «impedir que la corrupción germine y se desarrolle en el seno de la Administración Pública». La corrupción puede consistir, entre otras cosas, en la actuación de una persona que ocupa un cargo público que solicita o acepta una ventaja para llevar a cabo o abstenerse de llevar a cabo un acto que le incumbe en función de su cargo, (16) comportamiento que puede estar comprendido en el concepto de «infracción penal» en el sentido del artículo 2, apartado 2, letra d), del RGPD.
27. De conformidad con su misión general de velar por la correcta aplicación de la Ley sobre conciliación de intereses, la Comisión Superior se encarga de recabar las declaraciones de intereses de las personas que trabajan en el sector público y de publicar en su sitio de Internet ciertos datos que figuran en aquellas. El artículo 22 de la Ley sobre conciliación de intereses revela que, cuando existen motivos fundados para pensar que una persona no ha cumplido las exigencias legales, la Comisión Superior está facultada para indagar sobre el comportamiento del interesado, rectificar las conclusiones de la investigación, investigar ella misma y adoptar una decisión. Ante la falta de precisión de los autos remitidos al Tribunal de Justicia, no queda clara la naturaleza exacta de las decisiones que puede adoptar la Comisión Superior, aunque el litigio principal demuestra, como mínimo, que esta tiene potestad para declarar que se ha cometido una ilegalidad por no presentar la declaración de intereses, lo que necesariamente se traduce en la obligación del interesado de subsanarla.
28. A la luz de estos elementos, que ponen de manifiesto el carácter meramente nacional del marco normativo y el alcance interno del tratamiento que realiza la Comisión Superior —cuyo objeto estriba esencialmente en disuadir a las personas que trabajan en el sector público lituano de incurrir en comportamientos ilícitos en el ejercicio de sus funciones—, no parece que dicho órgano pueda considerarse una «autoridad competente» en el sentido del artículo 3, apartado 7, de la Directiva 2016/680 y, por lo tanto, que sus actividades puedan estar comprendidas en la excepción prevista en el artículo 2, apartado 2, letra d), del RGPD. Por tanto, la publicación de datos personales contenidos en declaraciones de intereses de personas que trabajan en el sector público en el sitio de Internet de la Comisión Superior está efectivamente comprendida en el ámbito de aplicación material del RGPD.
29. Como seguidamente se precisará, para ser útil, la respuesta del Tribunal de Justicia a las cuestiones prejudiciales debe versar tanto sobre el RGPD como sobre la Directiva 95/46. A este respecto, conviene señalar que el artículo 2, apartado 2, letra d), del RGPD se enmarca parcialmente en la continuidad del artículo 3, apartado 2, primer guion, de la Directiva 95/46 según el cual los tratamientos de datos que tengan por objeto la seguridad pública, la defensa, la seguridad del Estado (incluido el bienestar económico del Estado cuando dicho tratamiento esté relacionado con la seguridad del Estado) y las actividades del Estado en materia penal están excluidos del ámbito de aplicación de la Directiva, excepción que debe ser objeto de una interpretación estricta. Me parece claro que el tratamiento de datos personales que realiza la Comisión Superior no tiene por objeto la seguridad pública, la defensa o la seguridad del Estado. Además, aunque no puede descartarse que esos datos puedan utilizarse en el contexto de procedimientos penales iniciados contra los declarantes en caso de que estos hayan cometido actos de corrupción activa o pasiva, no consta que los datos a los que se refiere el litigio principal se recogieran con el objetivo específico de iniciar dichos procedimientos penales o en el contexto de actividades realizadas por el Estado en materia penal. (17)
2. Sobre la aplicabilidad ratione temporis
30. Es preciso señalar que las dos cuestiones planteadas al Tribunal de Justicia versan sobre la interpretación de disposiciones del RGPD, que entró en vigor el 25 de mayo de 2018 y derogó la Directiva 95/46 con efectos a partir de esa misma fecha. (18) Pues bien, la decisión controvertida en el litigio principal se adoptó el 7 de febrero de 2018, es decir, antes del 25 de mayo 2018, lo cual debe llevar a concluir que la Directiva es aplicable ratione temporis al litigio principal.
31. Dicho esto, de los autos remitidos al Tribunal de Justicia se desprende asimismo que, mediante su decisión, la Comisión Superior declaró que, al no presentar una declaración de intereses, el demandante en el litigio principal había infringido la Ley sobre conciliación de intereses, de manera que el interesado estaba obligado a presentar dicha declaración. Habida cuenta de que ningún elemento de los autos señala que la presentación se efectuara efectivamente antes del 25 de mayo de 2018, no puede excluirse que, en este caso, el RGPD sea aplicable ratione temporis. En tales circunstancias, a fin de permitir al Tribunal de Justicia dar respuestas útiles a las cuestiones prejudiciales planteadas por el órgano jurisdiccional remitente, procede responder a dichas cuestiones tanto sobre la base de la Directiva 95/46 como del RGPD. (19) Conviene recordar que, dado que el RGPD derogó y sustituyó a la Directiva 95/46 y que las disposiciones pertinentes de aquel Reglamento tienen un alcance sustancialmente idéntico al de las disposiciones pertinentes de esta Directiva, la jurisprudencia del Tribunal de Justicia relativa a la Directiva también resulta aplicable, en principio, al referido Reglamento. (20)
C. Sobre las cuestiones prejudiciales
1. Sobre el alcance de la petición de decisión prejudicial
32. En la petición de decisión prejudicial, que refleja las dudas que el órgano jurisdiccional nacional alberga sobre la compatibilidad con el Derecho de la Unión del tratamiento de datos personales realizado por la Comisión Superior, se solicita al Tribunal de Justicia que interprete los artículos 6, apartado 1, y 9, apartado 1, del RGPD en el marco de dos cuestiones prejudiciales independientes. Considero que esas cuestiones no pueden examinarse conjuntamente a la luz de la especificidad del objeto de la segunda cuestión prejudicial. En ella se plantea la problemática de la determinación del alcance del concepto de «categorías especiales de datos personales» en el sentido del artículo 9, apartado 1, del RGPD y del artículo 8, apartado 1, de la Directiva 96/46, en el contexto de una normativa nacional que prohíbe precisamente la comunicación de datos de esas categorías.
33. Esta cuestión se distingue, por tanto, de la relativa a la licitud del tratamiento en cuestión, (21) abordada en la primera cuestión prejudicial relativa a la interpretación del artículo 6, apartado 1, del RGPD, precepto que, con algunas modificaciones, reproduce el contenido del artículo 7 de la Directiva 95/46. A este respecto, de la petición de decisión prejudicial se desprende que el órgano jurisdiccional remitente solicita que se determine, con carácter más general, si el tratamiento de datos personales a que se refiere el litigio principal puede considerarse regular a la luz de todos los principios relativos al tratamiento de datos personales y, en particular, a la luz del principio de proporcionalidad. De ello se infiere que, en la respuesta que se proporcione a dicho órgano jurisdiccional, también es preciso tener en cuenta los principios enunciados en el artículo 5, apartado 1, de dicho Reglamento y en el artículo 6, apartado 1, de la citada Directiva, en particular, el principio de «minimización de datos», según el cual los datos personales deben ser adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados, y que refleja el citado principio de proporcionalidad. (22)
2. Sobre la primera cuestión prejudicial
34. Mediante su primera cuestión prejudicial, el órgano jurisdiccional remitente pregunta, en esencia, si los artículos 5 y 6 del RGPD, a la luz de los artículos 7 y 8 de la Carta, deben interpretarse en el sentido de que se oponen a una normativa nacional según la cual una parte de los datos personales contenidos en la declaración de intereses que debe presentar todo director de un establecimiento público que recibe fondos públicos debe publicarse en el sitio de Internet de la autoridad pública encargada de recabar esas declaraciones y controlar su contenido.
a) Sobre las condiciones para la licitud de un tratamiento de datos personales
35. De conformidad con el considerando 10 y el artículo 1 de la Directiva 95/46, así como con el considerando 4 y el artículo 1 del RGPD, ambas normas tienen por objeto garantizar un nivel elevado de protección de las libertades y los derechos fundamentales de las personas físicas, sobre todo de su vida privada, en relación con el tratamiento de sus datos personales. (23) Esos derechos, consagrados respectivamente en los artículos 7 y 8 de la Carta, estando el segundo íntimamente ligado al primero, no constituyen prerrogativas absolutas, sino que deben considerarse según su función en la sociedad y ponderarse con otros derechos fundamentales. De ese modo, el artículo 8, apartado 2, de la Carta autoriza el tratamiento de datos personales si concurren ciertos requisitos, a saber, que los datos personales «se [traten] de modo leal, para fines concretos y sobre la base del consentimiento de la persona afectada o en virtud de otro fundamento legítimo previsto por la ley». Además, el artículo 52, apartado 1, de la Carta admite que se establezcan limitaciones al ejercicio de derechos como los consagrados en los artículos 7 y 8 de aquella, siempre que estén establecidas por la ley, respeten el contenido esencial de dichos derechos y libertades y que, dentro del respeto del principio de proporcionalidad, sean necesarias y respondan efectivamente a objetivos de interés general reconocidos por la Unión o a la necesidad de protección de los derechos y libertades de los demás. Dichas limitaciones no deben exceder de lo estrictamente necesario y la normativa que conlleve la injerencia debe establecer reglas claras y precisas que regulen el alcance y la aplicación de la medida en cuestión. (24)
36. Según se desprende, en particular, del objetivo del RGPD y de la Directiva 95/46, siempre que se cumplan los requisitos del tratamiento legal de los datos personales en virtud de dichas normas, se entenderá que dicho tratamiento satisface asimismo lo exigido por los artículos 7 y 8 de la Carta. Algunos requisitos recogidos en el apartado 2 de ese último artículo se aplican, en particular, en los artículos 6 y 7 de la Directiva 95/46 y en los artículos 5 y 6 del RGPD. (25) A este respecto, ha de recordarse que, sin perjuicio de las excepciones admitidas por el artículo 13 de dicha Directiva y por el artículo 23 del citado Reglamento, todo tratamiento de datos personales debe ser conforme, por una parte, con los principios relativos a la calidad de los datos enunciados en el artículo 6 de la Directiva 95/46 o en el artículo 5 del RGPD y, por otra, responder a alguno de los principios relativos a la legitimación del tratamiento de datos enumerados en el artículo 7 de la Directiva o en el artículo 6 del Reglamento, disposiciones que incluyen una lista exhaustiva de los casos en que un tratamiento de datos personales puede considerarse lícito. (26)
37. Más en concreto, los datos personales, con arreglo al artículo 6, apartado 1, letras b) y c), de la Directiva 95/46 o del artículo 5, apartado 1, letras b) y c), del RGPD, deben recogerse, por un lado, con fines determinados, explícitos y legítimos, así como adecuados y no ser tratados posteriormente de manera incompatible con dichos fines y, por otro lado, ser pertinentes y limitados a lo necesario en relación con dichos fines. Además, según el artículo 7, letras c) y e), de la misma Directiva y el artículo 6, apartado 1, letras c) y e), del citado Reglamento, el tratamiento de datos personales es lícito, respectivamente si, «es necesario para el cumplimiento de una obligación jurídica a la que esté sujeto el responsable del tratamiento», o si «es necesario para el cumplimiento de una misión de interés público o inherente al ejercicio del poder público conferido al responsable del tratamiento o a un tercero a quien se comuniquen los datos». (27)
38. Conviene destacar que tanto el RGPD como la Directiva 95/46 prevén que los Estados miembros pueden establecer excepciones, en particular y respectivamente, al artículo 5 y al artículo 6, apartado 1, cuando sea necesario para salvaguardar determinados objetivos importantes de interés público general, entre ellos, para el asunto que nos ocupa, la prevención, investigación, detección o enjuiciamiento de infracciones penales o la ejecución de sanciones penales, incluida la protección frente a amenazas a la seguridad pública y su prevención. En efecto, el artículo 23, apartado 1, letra d), del RGPD, que reproduce, modificándola, la disposición que figuraba anteriormente en el artículo 13, apartado 1, letra d), de la Directiva 95/46, dispone que el Derecho de la Unión y el Derecho de los Estados miembros podrán limitar, a través de medidas legislativas, el alcance de las obligaciones y de los derechos que prevén, cuando tal limitación respete en lo esencial los derechos y libertades fundamentales y sea una medida necesaria y proporcionada en una sociedad democrática para salvaguardar determinados objetivos importantes de interés público general como el antes mencionado. (28)
39. Así, el artículo 23 del RGPD y el artículo 13 de la Directiva 95/46 no pueden interpretarse en el sentido de que pueden conferir a los Estados miembros la facultad de menoscabar el respeto de la vida privada, infringiendo el artículo 7 de la Carta, así como las demás garantías previstas por esta. En particular, al igual que ocurre con el artículo 13, apartado 1, de la Directiva 95/46, la facultad que el artículo 23, apartado 1, del RGPD confiere a los Estados miembros solo puede ejercerse respetando la exigencia de proporcionalidad, según la cual las excepciones a la protección de los datos personales y las restricciones a dicha protección deben establecerse sin sobrepasar los límites de lo estrictamente necesario. (29)
40. Ha de señalarse que, a la luz de la resolución de remisión, no considero posible determinar si las disposiciones de la Ley sobre conciliación de intereses constituyen una aplicación del artículo 13 de la Directiva 95/46 o del artículo 23 del RGPD. En estas circunstancias, es preciso examinar la licitud del tratamiento de que se trata a la luz de los artículos 5 y 6 del RGPD y de los artículos 6 y 7 de la Directiva 95/46, bien entendido que los comentarios que se formularán a continuación son igualmente pertinentes para una normativa nacional que constituya la aplicación del artículo 23 del RGPD o del artículo 13 de la Directiva 95/46.
b) Sobre la base jurídica del tratamiento en cuestión
1) Tratamiento basado en una obligación legal
41. La exigencia de que todo tratamiento de datos personales debe ser lícito, recogida en el artículo 6, apartado 1, de la Directiva 95/46 y en el artículo 5, apartado 1, del RGPD se concreta, respectivamente, en los artículos 7 y 6 de las citadas normas, que enumeran los distintos fundamentos jurídicos posibles que garantizan esa licitud.
42. Así, un tratamiento de datos será lícito, según el artículo 7, letra c), de la Directiva o el artículo 6, apartado 1, letra c), del Reglamento, si es necesario para el cumplimiento de una obligación jurídica a la que esté sujeto el responsable del tratamiento. A este respecto, en mi opinión, la publicación en línea de esos datos en el sitio de Internet de la Comisión Superior claramente está más comprendida en el ámbito de esta disposición que en el del artículo 7, letra e), de la citada Directiva o del artículo 6, apartado 1, letra e), de dicho Reglamento, a los que alude el órgano jurisdiccional remitente.
43. Al comunicar al público en general, a través de su sitio de Internet, una parte de los datos contenidos en las declaraciones de intereses recabadas con carácter previo, la Comisión Superior, responsable del tratamiento, cumple la obligación concreta que le impone el artículo 10, apartado 1, de la Ley sobre conciliación de intereses. Como subraya el Gobierno lituano en sus observaciones, esa obligación está prevista en una disposición legal imperativa que impone un tratamiento particular a la Comisión Superior, que no tiene la opción de cumplir o no cumplir esa obligación. Esta situación se distingue de la prevista en el artículo 7, letra e), de la Directiva 95/46 o en el artículo 6, apartado 1, letra e), del RGPD que no exige que el responsable del tratamiento actúe en virtud de una obligación legal. (30) En cualquier caso, aunque, según confirma el tenor del artículo 6, apartado 1, del RGPD que ha sustituido al artículo 7 de la Directiva 95/46, basta con que se aplique una única causa de legitimación, el Tribunal de Justicia ha admitido que un mismo tratamiento puede responder a varias causas de legitimación. (31)
2) Tratamiento que responde a un objetivo de interés público legítimo
44. De conformidad con el artículo 6, apartado 1, letra b), de la Directiva 95/46 o con el artículo 5, apartado 1, letra b), del RGPD, los datos personales deben tratarse con fines legítimos. Conviene destacar que el RGPD ha precisado que la base jurídica del tratamiento de esos datos vinculada con el cumplimiento de una obligación aplicable al responsable del tratamiento debe ser establecida por el Derecho de la Unión o por el Derecho del Estado miembro de que se trate, Derecho que debe cumplir un «objetivo de interés público y [ser] proporcional al fin legítimo perseguido». (32)
45. Como ya se ha señalado anteriormente, la comunicación pública por parte de la Comisión Superior de una parte de los datos personales contenidos en las declaraciones de intereses es necesaria para respetar una obligación legal aplicable a dicha autoridad. Esa obligación obedece, en sí, a un fin general definido en el artículo 1 de la Ley sobre conciliación de intereses, cuya legitimidad resulta objetivamente incuestionable. En efecto, velar por que en las decisiones que adopten las personas que trabajan en el sector público prevalezca el interés público, garantizar la imparcialidad de esas decisiones y prevenir los conflictos de intereses así como la aparición y el incremento de la corrupción en la Administración Pública son objetivos de interés público manifiestamente legítimos (33) en el sentido del artículo 6, apartado 3, del RGPD y, por consiguiente, pueden permitir que se establezcan limitaciones al ejercicio de los derechos garantizados por los artículos 7 y 8 de la Carta.
3) Tratamiento con una base jurídica clara y precisa
46. No se discute que, dado que la recogida y la comunicación pública de datos personales contenidos en declaraciones de intereses están previstas en la Ley sobre conciliación de intereses, la injerencia en el derecho al respeto de la vida privada que representan debe considerarse formalmente prevista por la ley en el sentido de los artículos 8, apartado 2, y 52, apartado 1, de la Carta. Sin embargo, de conformidad con el artículo 52, apartado 3, de la Carta, la exigencia de previsión legal debe tener el mismo alcance que le atribuye el Tribunal Europeo de Derechos Humanos cuando interpreta el artículo 8, apartado 2, del Convenio para la Protección de los Derechos Humanos y de las Libertades Fundamentales, hecho en Roma el 4 de noviembre de 1950, en el que se incluye la falta o insuficiencia de precisión de la ley. (34)
47. A este respecto, procede señalar que el considerando 41 del RGPD afirma que la base jurídica del tratamiento o la medida legislativa que la define debe ser clara y precisa y su aplicación previsible para sus destinatarios, de conformidad con la jurisprudencia del Tribunal de Justicia y del Tribunal Europeo de Derechos Humanos. En efecto, la jurisprudencia del Tribunal de Justicia (35) refleja efectivamente esa exigencia de previsibilidad que, en particular, tiene por objeto garantizar que las normas que regulen el alcance y la aplicación de la medida en cuestión sean suficientemente claras y precisas (36) de modo que los interesados comprendan qué tipo de datos serán tratados, de qué manera y con qué finalidad. (37)
48. En el presente asunto, aunque considero que la normativa nacional controvertida cumple la exigencia de previsibilidad en lo que respecta a la definición del tipo de tratamiento y de sus fines, tengo mis dudas, en cambio, en lo que respecta a la determinación de los datos objeto de ese tratamiento. Esa determinación implica interpretar el artículo 6 de la Ley sobre conciliación de intereses que describe el contenido de la declaración de intereses, en relación con el artículo 10 de la citada ley, que se refiere a los datos «facilitados en la declaración» que no pueden ser publicados en el sitio de Internet de la Comisión Superior. Al margen de la opción por una técnica de redacción legislativa que no indica de forma positiva los datos de la citada declaración que deben publicarse, ha de destacarse que la comprensión del alcance exacto del artículo 10 de dicha Ley plantea graves dificultades. En efecto, a excepción de la indicación explícita, recogida en su apartado 2, a los números de identificación personal y de la seguridad social, se efectúa una remisión genérica a los «datos personales especiales» así como a la «demás información cuya comunicación está prohibida por ley». (38)
49. A petición del Tribunal de Justicia, el órgano jurisdiccional remitente precisó que, en principio, los datos especiales eran los indicados en el artículo 2, apartado 8, de la Ley lituana sobre protección jurídica de los datos personales, a saber, los relativos al origen racial o étnico, a las convicciones políticas, religiosas, filosóficas o de otro tipo, a la afiliación a un sindicato, a la salud, a la orientación sexual de una persona y la información referida a la condena penal de dicha persona, es decir, una definición que se aproxima a la que efectúa el Derecho de la Unión. (39) Dicho órgano jurisdiccional señaló asimismo que la legislación lituana prohíbe hacer públicos una serie no desdeñable de datos y se refirió a varias disposiciones de la Ley antes citada que prohíbe la comunicación de distintos tipos de datos, algunos de ellos ya indicados en el artículo 10, apartado 2, de la Ley sobre conciliación de intereses y otros, no facilitados, en principio, en la declaración de intereses que debe presentarse a la Comisión Superior. El propio órgano jurisdiccional remitente se pregunta si la expresión «demás información cuya comunicación está prohibida por ley» únicamente remite, en definitiva, a la mención recogida en el artículo 10, apartado 1, de la Ley sobre conciliación de intereses, referida a la información que figura en las declaraciones de personas cuyos datos están clasificados por ley o que ejercen una actividad de información, de contraespionaje o de información en materia penal. (40)
50. Resulta, por tanto, que una persona que trabaja en la Administración Pública lituana y que está obligada a presentar una declaración de intereses a la Comisión Superior se ve abocada a la necesidad de realizar un análisis y varias búsquedas para intentar determinar las exclusiones a que se refiere el artículo 10 de la Ley sobre conciliación de intereses y, con ello, los datos que, en última instancia, son «comunicables», sin tener ninguna certeza sobre el resultado de su apreciación.
51. También considero dudoso, a la luz de la exigencia de previsibilidad, el artículo 6, apartado 1, de la Ley sobre conciliación de intereses que obliga al declarante a indicar en su declaración información sobre «personas cercanas u otras personas o datos conocidos por [él] que puedan dar lugar a un conflicto de intereses». De este modo, el declarante se enfrenta a la imposible o, al menos, arriesgada tarea de tener que determinar, según su leal saber y entender, lo que considera, a priori, que puede influir de forma efectiva o aparente en el ejercicio independiente y objetivo de sus funciones, teniendo en cuenta que toda omisión al respecto podría serle posteriormente reprochada. La determinación de una posible situación de conflicto de intereses incumbe en exclusiva al legislador, pero desde luego no al ciudadano afectado.
52. En este contexto, ha de recordarse que la protección del derecho fundamental al respeto de la intimidad implica, en especial, que toda persona física pueda cerciorarse de que los datos personales que le conciernen son exactos y se utilizan de manera lícita. (41) La exigencia de previsibilidad tiene fundamentalmente por objeto permitir a esa persona comprender el alcance exacto del tratamiento de sus datos y decidir, en su caso, ejercitar los derechos que le asisten de presentar una reclamación ante una autoridad de control o una acción judicial contra el responsable del tratamiento si considera que el tratamiento de sus datos infringe el RGPD. (42) Corresponde al órgano jurisdiccional remitente comprobar si, a la luz del Derecho nacional, la base jurídica del tratamiento en cuestión cumple la exigencia de previsibilidad. (43)
c) Sobre la proporcionalidad
1) Consideraciones preliminares
53. Me parece necesario mencionar las observaciones de los Gobiernos lituano y finlandés que ponen de relieve el margen de apreciación de que disponen los Estados miembros para determinar los tratamientos de datos personales, reconocido en el artículo 6, apartado 3, del RGPD. Desde luego no se discute que, en virtud de dicho artículo, la legislación nacional puede contener disposiciones específicas para adaptar la aplicación de dicho Reglamento y que, en particular, pueden referirse a las condiciones generales que rigen la licitud del tratamiento, los tipos de datos objeto de tratamiento y los interesados afectados. Sin embargo, el artículo 6, apartado 3, del citado Reglamento dispone que, cuando los datos se traten en cumplimiento de una obligación legal aplicable al responsable del tratamiento, el Derecho del Estado miembro en cuestión debe cumplir un objetivo de interés público y ser proporcional al fin legítimo perseguido. Además, el Tribunal de Justicia ha declarado claramente que, para ser lícito, todo tratamiento de datos personales debe cumplir una doble exigencia, a saber, ser conforme con alguno de los principios relativos a la legitimación del tratamiento de datos enumerados en el artículo 7 de la Directiva 95/46 o en el artículo 6 del RGPD, pero también ser conforme con los principios relativos a la calidad de los datos enunciados en el artículo 6 de esa Directiva o el artículo 5 del citado Reglamento que plasman el principio de proporcionalidad. (44)
54. Para cumplir con las condiciones establecidas por las disposiciones antes citadas es necesario que la publicación en línea en el sitio de la Comisión Superior de una parte de la información contenida en las declaraciones de intereses responda efectivamente al objetivo de interés general definido en el artículo 1 de la Ley sobre conciliación de intereses, sin ir más allá de lo necesario para alcanzar dicho objetivo. Como subraya el considerando 39 del RGPD, este requisito de la necesidad no se cumple cuando el objetivo de interés general perseguido puede alcanzarse razonablemente de manera tan eficaz por otros medios menos atentatorios respecto de los derechos fundamentales de los interesados, en particular respecto de los derechos al respeto de la vida privada y de protección de los datos personales, garantizados por los artículos 7 y 8 de la Carta, puesto que las excepciones y restricciones al principio de protección de dichos datos deben establecerse sin sobrepasar los límites de lo estrictamente necesario. (45) Además, no puede perseguirse un objetivo de interés general sin tener en cuenta que debe conciliarse con los derechos fundamentales afectados por la medida y debe efectuarse una ponderación equilibrada entre el objetivo y los intereses y derechos de que se trate. (46)
2) Sobre el carácter adecuado de la medida
55. La exigencia de proporcionalidad pone en relación los objetivos perseguidos y los medios para lograrlos, de ahí la imperiosa necesidad de definir de forma clara y precisa esos objetivos. (47) Tanto el órgano jurisdiccional remitente como las partes interesadas aducen que la normativa nacional controvertida pretende garantizar la transparencia en la gestión de la Administración Pública para reforzar la confianza de los ciudadanos en la actuación pública y permitirles ejercer un control eficaz sobre el uso que los responsables públicos de la toma de decisiones hacen de los fondos públicos puestos a su disposición.
56. Pues bien, como ya se ha recordado anteriormente, los objetivos de la medida en cuestión están definidos en el artículo 1 de la Ley sobre conciliación de intereses y consisten en prevenir situaciones de conflicto de intereses y de corrupción en el sector público, reforzando la probidad e imparcialidad de sus responsables. Por tanto, según las indicaciones proporcionadas en la resolución de remisión, en dicha disposición no se menciona expresamente el objetivo de transparencia. (48) Cabría pues preguntarse si la publicación a través de Internet de datos nominales relativos al contenido de declaraciones de intereses constituye un motivo realmente idóneo para lograr exclusivamente los fines oficialmente declarados en la normativa nacional, pues considero que la eficacia del control social por parte del público en general a que induce esa publicidad generalizada no es del todo fiable. (49)
57. Dicho esto, entiendo razonable considerar que la finalidad general de transparencia, según ha sido descrita en los puntos anteriores de las presentes conclusiones, constituye, en el presente caso, un objetivo subyacente, que se deriva de forma implícita pero necesaria del artículo 1 de la Ley sobre conciliación de intereses. (50) Procede recordar que el principio de transparencia se recoge en los artículos 1 TUE y 10 TUE y en el artículo 15 TFUE y permite garantizar, en particular, una mayor legitimidad, eficacia y responsabilidad de la Administración para con los ciudadanos en un sistema democrático. En un supuesto en el que la normativa mencionaba expresamente el objetivo de aumentar la transparencia sobre la utilización de los fondos comunitarios y mejorar la correcta gestión financiera de estos intensificando el control público del dinero empleado, el Tribunal de Justicia consideró que la publicación en Internet de datos nominales de los beneficiarios afectados y de los importes específicos percibidos por ellos permitía aumentar la transparencia en lo que respecta a la utilización de las ayudas agrícolas de que se trataba. Afirmó que poner a disposición del público esa información refuerza el control público sobre la utilización de las cantidades distribuidas y contribuye a la utilización óptima de los fondos públicos. (51)
3) Sobre el carácter necesario de la medida
58. Una medida es necesaria cuando el objetivo legítimo que se persigue no puede lograrse a través de una medida igual de adecuada pero menos restrictiva. Dicho de otro modo, ¿pueden alcanzarse los objetivos que persigue la publicación electrónica que impone la Ley sobre conciliación de intereses por otros medios igualmente eficaces pero menos atentatorios respecto de los derechos de los declarantes al respeto de la vida privada y de protección de los datos personales? En mi opinión esta pregunta debe recibir una respuesta afirmativa por varios motivos.
59. En primer término, comparto el planteamiento del órgano jurisdiccional remitente de que la presentación de declaraciones de intereses ante la Comisión Superior y el control que debe realizar dicha autoridad constituyen medios adecuados suficientes para lograr el objetivo que persigue la Ley sobre conciliación de intereses. Soy consciente de que, a este respecto, me aparto de la creencia imperante sobre la exigencia de transparencia que se ha calificado de «irresistible» y «neurótica» (52) y que se ha transformado en un fin en sí misma y en virtud cardinal de la democracia absoluta. Considero, por mi parte, que el interés público no coincide necesariamente con el interés del público (53) y que la protección de la actuación pública, mediante la prevención de conflictos de intereses y de la corrupción es fundamentalmente una responsabilidad del Estado, que, en nombre del dogma de la transparencia, no puede delegar en los ciudadanos el control del cumplimiento de una normativa que pretende garantizar la probidad e imparcialidad de los responsables públicos.
60. Más concretamente, conviene destacar que la normativa nacional controvertida tiene, en primer lugar, un objetivo de prevención. En ese contexto, la obligación de presentación de declaraciones de intereses ante una autoridad pública encargada de su control, por su naturaleza, permite garantizar, por sí sola, el efecto disuasorio buscado con respecto a los responsables públicos de la toma de decisiones que están sujetos a dicha obligación, con independencia de la publicidad generalizada de una parte del contenido de esas declaraciones.
61. Además, aunque la obligación de presentación de declaraciones de intereses ya constituye una manifestación de transparencia, esta se vería incrementada por la publicación periódica del resultado de la actividad de la autoridad administrativa independiente encargada, al igual que la Comisión Superior, de velar por la correcta aplicación del mecanismo de las declaraciones de intereses. La posibilidad de publicar un informe en el que se expongan los casos comprobados de conflictos de intereses, de falta de presentación de la declaración o de declaraciones engañosas, así como las medidas adoptadas en tales circunstancias permitiría reforzar la confianza de los ciudadanos en la actuación pública en la misma medida, o incluso en mayor medida, que una información consistente en la puesta en línea de datos declarativos neutros.
62. Es preciso recordar además que, a tenor del artículo 86 del RGPD, los datos personales que figuran en documentos oficiales en posesión de alguna autoridad pública pueden ser comunicados por dicha autoridad de conformidad con el Derecho de la Unión o de los Estados miembros que se les aplique. En estas circunstancias resulta pertinente tener en cuenta lo que el público puede obtener de la Comisión Superior, autoridad pública en posesión de documentos oficiales constituidos por las declaraciones de intereses, en virtud de las normas nacionales relativas al acceso del público a los documentos, puesto que este acceso debe conciliarse con los derechos fundamentales al respeto a la vida privada y a la protección de los datos personales, según exige expresamente, por otra parte, el mencionado artículo 86. (54)
63. El planteamiento de que el objetivo legítimo de la normativa nacional puede alcanzarse directamente mediante el control de las declaraciones de intereses por parte de la Comisión Superior implica que dicha autoridad disponga de los medios humanos, materiales y jurídicos que le permitan realizar eficazmente su misión. (55) La cuestión de la proporcionalidad es, ante todo, en mi opinión, una cuestión relativa a los medios de que disponen las autoridades públicas encargadas de controlar la situación de los declarantes en función de su número. En estas circunstancias, corresponde al órgano jurisdiccional remitente comprobar si, habida cuenta de las anteriores consideraciones, el objetivo de la normativa nacional controvertida en el litigio principal se podría haber alcanzado de una manera igualmente eficaz simplemente mediante la transmisión obligatoria de declaraciones de intereses a la Comisión Superior y el control por dicha autoridad de tales declaraciones y, con carácter más general, del cumplimiento de la normativa.
64. En caso de respuesta negativa a esa cuestión, ha de señalarse, en segundo término, que se plantea la cuestión de la proporcionalidad del tratamiento en cuestión a la luz del tipo de datos publicados. Conviene recordar, a este respecto, que el requisito relativo a la necesidad del tratamiento debe examinarse en relación con el llamado principio de «minimización de los datos», consagrado en el artículo 6, apartado 1, letra c), de la Directiva 95/46 y en el artículo 5, apartado 1, letra c), del RGPD, conforme al cual los datos personales deben ser «adecuados, pertinentes y no excesivos con relación a los fines para los que se recaben y para los que se traten posteriormente». (56)
65. Como ya se ha indicado en las presentes conclusiones, únicamente una parte de los datos personales que figuran en las declaraciones de intereses puede ser objeto de publicación electrónica de conformidad con el artículo 10 de la norma nacional controvertida. Sin perjuicio de la interpretación de dicha disposición por parte del órgano jurisdiccional remitente, pueden publicarse en línea, entre otros, el nombre y apellidos del cónyuge, compañero sentimental o pareja del declarante y la indicación de «personas cercanas u otras personas o datos conocidos por el declarante que puedan dar lugar a un conflicto de intereses».
66. Si bien, en aras de un objetivo de prevención de los conflictos de intereses y de la corrupción en la Administración Pública, es pertinente requerir que, por lo que a la declaración de intereses se refiere, se proporcione información sobre la situación y las actividades del cónyuge, compañero sentimental o pareja del declarante, desde mi punto de vista comunicar al público en general datos nominales sobre ellos y la indicación de personas cercanas u otras personas conocidas por el declarante que pueden dar lugar a un conflicto de intereses va más allá de lo estrictamente necesario. (57) El objetivo de interés público que persigue la normativa lituana controvertida podría alcanzarse, en mi opinión, haciendo únicamente una referencia genérica al cónyuge, compañero sentimental o pareja, según el caso, en la declaración de intereses e indicando los intereses pertinentes que estos tienen en relación con sus actividades.
67. Ha de recordarse, además, que el artículo 25 del RGDP exige a los responsables del tratamiento que apliquen, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, (58) concebidas para aplicar de forma efectiva los principios de protección de datos —como, por ejemplo, la minimización de datos— e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del Reglamento y proteger los derechos de los interesados. Podría aplicarse seudonimización en lo que respecta a la designación del cónyuge, compañero sentimental o pareja.
68. Creo que también rebasa los límites de lo estrictamente necesario la comunicación pública de los regalos recibidos durante los doce meses naturales precedentes cuyo valor supere los 150 euros y de información sobre las operaciones realizadas durante ese mismo período o en curso cuyo valor supere los 3 000 euros, en la medida en que esas informaciones incluyen la indicación de la naturaleza de los regalos y del objeto de la operación en cuestión. Ese tratamiento resulta desproporcionado en la medida en que da lugar a una publicidad generalizada sobre los bienes que el declarante y sus personas cercanas poseen y que pueden tener un valor importante (obras de arte, joyas, etc.), exponiendo así a los interesados al riesgo de ser víctimas de delitos. (59) Una vez más, la mera mención a donantes o a contrapartes en la operación, al margen de las personas físicas ya excluidas en virtud del artículo 10, apartado 2, de la Ley sobre conciliación de intereses, puede ser suficiente para alcanzar el objetivo perseguido.
69. En tercer término, conviene apreciar la proporcionalidad de la medida en cuestión desde la perspectiva de la determinación de los declarantes afectados por la obligación de publicación en línea de los datos que les conciernen.
70. Es preciso destacar que, según la normativa nacional controvertida, la lista de las personas sujetas a la obligación de presentar una declaración de intereses no coincide con la lista, más restringida, de las personas cuyos datos figuran en ella y que son posteriormente publicados en línea. En esa segunda categoría están comprendidos, en virtud de la Ley sobre conciliación de intereses en vigor cuando se adoptó la decisión impugnada en el litigio principal, los directores y directores adjuntos de asociaciones o establecimientos públicos financiados con cargo al presupuesto o a los fondos del Estado o de un ente local. Se consideró que el demandante en el litigio principal estaba comprendido en el ámbito de aplicación ratione personae porque ocupa ese cargo, que le asimila a un funcionario público.
71. De este modo, se coloca al interesado en el mismo plano que a las personas elegidas, a los funcionarios y agentes del Estado, a los jueces, a los directores de sociedades anónimas o de responsabilidad limitada de los que el Estado o un ente local sea propietario de participaciones que le confieran al menos la mitad de los derechos de voto, a los miembros del consejo de administración de empresas públicas del Estado o de un ente local o a los presidentes y vicepresidentes de partidos políticos. A mi entender, esa situación puede dar lugar a un tratamiento desproporcionado, por indiscriminado, de los actores, en sentido amplio, de lo público, que no están expuestos a riesgos de conflicto de intereses o de corrupción de la misma magnitud ni mantienen una relación de la misma intensidad con el público cuya confianza para con los responsables públicos se pretende proteger o incluso reforzar.
72. Únicamente la existencia de un riesgo grave de conflicto de intereses o de corrupción en la gestión de asuntos públicos que afectan al público en general puede justificar la publicación en línea de los datos personales de los declarantes que, por razón de su cargo electivo o de su actividad profesional, están expuestos a ese riesgo. El objetivo de incrementar las garantías de probidad y de imparcialidad de los otros declarantes, de prevenir los conflictos de intereses y la corrupción en la Administración Pública y de reforzar la confianza del público para con los responsables públicos queda directamente garantizada mediante el control de las declaraciones de intereses por parte de la Comisión Superior. Habida cuenta de la extrema variedad de posibles situaciones, considero imposible identificar de forma exhaustiva criterios objetivos que permitan caracterizar la existencia de ese riesgo o establecer categorías sistemáticas pertinentes de responsables públicos de la toma de decisiones. (60)
73. Incumbe pues al órgano jurisdiccional remitente comprobar si, en las circunstancias del litigio principal —entre ellas, en particular, la naturaleza y alcance de la actividad del establecimiento público en cuestión frente a los ciudadanos, las facultades de decisión del demandante en el litigio principal para comprometer o gestionar fondos públicos y el importe de los fondos asignados y reflejados en el presupuesto del establecimiento—, puede considerarse que las funciones del interesado le exponen a un riesgo grave de conflicto de intereses y de corrupción que pueden afectar de forma grave a la sociedad. (61)
74. A la luz de las consideraciones anteriores, en mi opinión no resulta que los objetivos de prevención de conflictos de intereses y de la corrupción en la Administración Pública, de incremento de las garantías de probidad e imparcialidad de los responsables públicos de la toma de decisiones y de refuerzo de la confianza de los ciudadanos en la actuación pública no pueda razonablemente alcanzarse de manera igualmente eficaz por otros medios menos atentatorios. Así pues, no puede considerarse acreditado que, para garantizar dichos objetivos, sea necesario publicar en línea datos personales de los declarantes. (62)
4) Sobre la ponderación de los derechos e intereses en juego
75. Aun suponiendo que el tratamiento en cuestión pudiera calificarse como apropiado y necesario (que no es el caso) para alcanzar los objetivos perseguidos, no podría, sin embargo, considerarse lícito. Sería preciso comprobar antes si los derechos fundamentales de la persona que se beneficia de la protección de sus datos no prevalecen sobre el interés legítimo que persigue el responsable del tratamiento de los datos y, para apreciar si concurre ese requisito, resultaría preciso realizar una ponderación de los derechos e intereses contrapuestos en función de las circunstancias concretas del caso particular que nos ocupa, teniendo en cuenta la importancia de los derechos de la persona afectada que se derivan de los artículos 7 y 8 de la Carta. (63) El Tribunal de Justicia ha precisado a este respecto que no cabe atribuir una primacía automática al objetivo de transparencia frente al derecho a la protección de los datos de carácter personal. (64)
76. El criterio relativo a la gravedad de la lesión de los derechos y libertades del interesado constituye un elemento esencial del ejercicio de ponderación o de ponderación caso por caso. A este respecto, debe tenerse en cuenta, en particular, la naturaleza de los datos personales en cuestión, en particular el carácter potencialmente sensible de los mismos, así como la naturaleza y el modo concreto del tratamiento de los datos de que se trata, en particular el número de personas que tienen acceso a ellos y el modo en que estas acceden. También son pertinentes, a efectos de esta ponderación, las expectativas razonables del interesado de que sus datos personales no sean objeto de tratamiento cuando, en las circunstancias del caso, esa persona no pudiera esperar razonablemente un tratamiento posterior de los mismos. Tales elementos deben sopesarse en relación con la importancia, para toda la sociedad, del interés legítimo perseguido en este caso por la normativa nacional controvertida, en la medida en que pretende esencialmente garantizar la probidad e imparcialidad de los actores del sector público y prevenir los conflictos de intereses y la corrupción. (65)
77. En cuanto a la gravedad de la lesión, es preciso destacar, en primer lugar, que el tratamiento en cuestión no solo afecta al declarante, interesado de forma individual y directa en su condición de responsable público de la toma de decisiones, sino también a su cónyuge, pareja o compañero sentimental así como, eventualmente, a las personas cercanas u otras personas conocidas por el declarante que puedan dar lugar a un conflicto de intereses, según los términos del artículo 6, apartado 1, de la Ley sobre conciliación de intereses. Es perfectamente concebible que el término «cercanas» pueda englobar, en particular, a los hijos y progenitores del declarante, lo cual puede dar potencialmente lugar a la publicación en línea de datos nominales de todos los miembros de una familia, junto con una indicación precisa de la actividad de esos interesados.
78. Además, no se discute que el tratamiento en cuestión supone permitir el acceso de un número indefinido de personas a datos personales de las personas antes citadas. Una vez subidos al sitio de Internet de la Comisión Superior, esos datos pueden ser consultados libremente por los internautas que, en su caso, pueden conservarlos o comunicarlos. Además, la organización y la agregación de la información publicada en Internet efectuada por los motores de búsqueda para facilitar a sus usuarios el acceso a ella puede conducir, cuando la búsqueda de los usuarios se lleva a cabo a partir del nombre de una persona física, a que estos obtengan mediante la lista de resultados una visión estructurada de la información relativa a esta persona que puede hallarse en Internet que les permita establecer un perfil más o menos detallado del interesado. (66) Tal régimen de comunicación puede llevar a una situación en la que esos datos se comuniquen a personas que, por razones ajenas al objetivo de interés general de prevenir los conflictos de intereses y la corrupción en la Administración Pública, pretenden informarse sobre la situación material del declarante y de los miembros de su familia, en lo que respeta a la posesión de acciones, de inversiones financieras, de bienes muebles o inmuebles, ya que toda esa información puede figurar en las declaraciones de intereses que deben publicarse. (67) Por tanto, esa comunicación puede exponer a los interesados a operaciones reiteradas de publicidad dirigida, de ofrecimientos comerciales o incluso al riesgo de ser víctima de un delito.
79. En estas circunstancias, considero que el tratamiento en cuestión constituye una injerencia grave en los derechos fundamentales al respeto de la vida privada y a la protección de los datos personales de los interesados. Esta apreciación permite llegar a la conclusión de que la normativa nacional controvertida no establece, en principio, un justo equilibrio en lo que respecta a la ponderación de los derechos e intereses en juego. Es cierto que, como subraya acertadamente el Gobierno lituano, para lograr el equilibrio entre los derechos e intereses en juego debe tenerse en cuenta el nivel de corrupción detectado en la Administración Pública, que justifica la adopción por parte de cada Estado miembro de las medidas que estime más adecuadas para combatir ese fenómeno. En efecto, es importante señalar que el interés del público en acceder a una información puede variar, incluso dentro de la Unión, de un Estado miembro a otro, de modo que el resultado de la ponderación que debe llevarse a cabo entre este interés, por un lado, y los derechos al respeto de la vida privada y a la protección de los datos personales del interesado, por otro lado, no será necesariamente el mismo en todos los Estados miembros. (68) En este caso, la realidad y amplitud de la corrupción en la Administración Pública constituyen circunstancias particulares del litigio principal que incumbe apreciar al órgano jurisdiccional remitente. (69)
3. Sobre la segunda cuestión prejudicial
80. Es preciso recordar que el artículo 10, apartado 2, de la Ley sobre conciliación de intereses establece la prohibición general de publicar datos personales comprendidos en categorías especiales, sin prever ningún tipo de matiz a dicha prohibición. Según el órgano jurisdiccional remitente, la aplicación de la referida disposición plantea dificultades, lo que ha llevado a dicho órgano jurisdiccional a interrogar, en esencia, al Tribunal de Justicia sobre el alcance en el Derecho de la Unión del concepto de «categorías especiales de datos personales» recogido en el artículo 9, apartado 1, del RGPD.
81. Este artículo, que reproduce con ciertas modificaciones el artículo 8, apartado 1, de la Directiva 95/46, dispone que quedan prohibidos el tratamiento de datos personales que revele el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física. (70)
82. El órgano jurisdiccional remitente estima que, aunque no se suben al sitio de Internet de la Comisión Superior datos que pertenecen, en sentido estricto, a categorías especiales, los internautas pueden deducir de determinados datos cuya publicación es obligatoria de conformidad con el artículo 10, apartado 1, de la Ley sobre conciliación de intereses, información de carácter sensible, en particular, en lo que respecta a las opiniones políticas, a la afiliación a un sindicato o a la orientación sexual del declarante. (71) A este respecto, resulta en efecto incuestionable que, aunque los datos nominales del cónyuge, compañero sentimental o pareja del declarante no constituyen, en sí mismos, datos sensibles, su publicación en línea puede revelar al público la vida sexual o la orientación sexual tanto suya como de su cónyuge, compañero sentimental o pareja.
83. Así pues, la cuestión que se plantea es si el artículo 9, apartado 1, del RGPD o el artículo 8, apartado 1, de la Directiva 95/46, deben interpretarse en el sentido de que comprenden un tratamiento de datos personales en principio no sensibles, que posibilita, a través de un ejercicio intelectual de relación o deducción, tener conocimiento de forma indirecta de datos que sí tienen esa naturaleza. El Gobierno lituano se opone a dicha interpretación en la medida en que haría muy difícil o incluso imposible tratar determinados datos y, por consiguiente, alcanzar el objetivo legítimo perseguido, como la publicación de los datos relativos al cónyuge, compañero sentimental o pareja a efectos de prevenir los conflictos de intereses y la corrupción en la Administración Pública. En su opinión, únicamente los tratamientos que tengan claramente por objeto tratar datos personales comprendidos de forma intrínseca en las categorías especiales entrarían en el ámbito de aplicación del artículo 9, apartado 1, del RGPD o del artículo 8, apartado 1, de la Directiva 95/46, (72) lo cual, a su juicio, no ocurre en el presente caso, habida cuenta de la prohibición de publicar datos sensibles recogida en el artículo 10, apartado 2, de la Ley sobre conciliación de intereses.
84. Según reiterada jurisprudencia, para interpretar una disposición de Derecho de la Unión no solo debe tenerse en cuenta su tenor literal, sino también el contexto y los objetivos perseguidos por la normativa de la que forma parte. (73)
85. En primer lugar, del tenor del artículo 9, apartado 1, RGPD se desprende que este distingue entre tres tratamientos en función del tipo de datos afectados, a saber, (i) el tratamiento de datos personales «que revelen» el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas o la afiliación sindical; (ii) el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, y (iii) el tratamiento de datos «relativos» a la salud o «relativos» a la vida sexual o la orientación sexual de una persona física. Esta formulación reproduce, en parte, la del artículo 8, apartado 1, de la Directiva 95/46 según el cual los Estados miembros deben prohibir el tratamiento de datos personales que «revelen» el origen racial o étnico, las opiniones políticas, las convicciones religiosas o filosóficas o la pertenencia a sindicatos, así como el tratamiento de los datos «relativos» a la salud o a la sexualidad. El empleo del verbo «revelar» enlaza con la toma en consideración de un tratamiento que no solo tiene por objeto datos intrínsecamente sensibles, sino que también permite indirectamente su comunicación mediante un ejercicio intelectual de deducción o de cruce de datos. No creo que ocurra lo mismo con el término «relativo», sinónimo de «concerniente», que establece un vínculo más directo e inmediato entre el tratamiento y los datos en cuestión, considerados por su naturaleza intrínseca. (74) Ese análisis exegético parece llevarnos a la conclusión de que la definición del tratamiento relativo a categorías especiales de datos personales varía en función del tipo de datos sensibles de que se trate, lo que no parece recomendable. (75)
86. Procede observar también que, al menos en lo que respecta a los datos biométricos, el legislador de la Unión se ha cuidado de precisar, en el considerando 51 y en el artículo 9, apartado 1, del RGPD, que el tratamiento de fotografías no debe considerarse sistemáticamente tratamiento de categorías especiales de datos personales, pues únicamente se encuentran comprendidas en la definición de datos biométricos cuando se tratan con medios técnicos específicos «dirigidos a» identificar de manera unívoca a una persona física. El planteamiento finalista que propugna el Gobierno lituano parece en este caso dirigirse exclusivamente a los datos biométricos.
87. En segundo lugar, considero igualmente pertinente enlazar la cuestión de la determinación de las categorías especiales de datos personales y la de la definición de «persona física identificable», esto es, una persona física cuya identidad pueda determinarse, directa o «indirectamente», en particular mediante uno o varios elementos específicos característicos de su identidad física, fisiológica, genética, psíquica, económica, cultural o social. (76) El legislador europeo opta así por un planteamiento realista, teniendo en cuenta la posibilidad de reconstituir una información a partir del cruce y la agregación de diversos elementos.
88. En tercer lugar, debe recordarse que, según se desprende del artículo 1 y del considerando 10 de la Directiva 95/46, así como del artículo 1 y del considerando 4 del RGPD, ambas normas tienen por objeto garantizar un nivel elevado de protección de las libertades y los derechos fundamentales de las personas físicas, sobre todo de su vida privada, en relación con el tratamiento de sus datos personales. (77) En el caso del tratamiento de datos sensibles se persigue un objetivo de protección específica y reforzada, habida cuenta de los importantes riesgos para los derechos y las libertades fundamentales inherentes a este tipo de tratamiento. (78) Las soluciones adoptadas por el Tribunal de Justicia en sus sentencias dictadas en procedimientos prejudiciales reflejan la toma en consideración de este objetivo.
89. Así, al ser preguntado por un órgano jurisdiccional remitente sobre si la indicación del hecho de que una persona se ha lesionado un pie y se encuentra en situación de baja parcial por enfermedad constituye un dato personal relativo a la salud en el sentido del artículo 8, apartado 1, de la Directiva 95/46, el Tribunal de Justicia respondió en sentido afirmativo señalando que, teniendo en cuenta el objeto de esa Directiva, es preciso dar una «interpretación amplia» a la expresión «datos relativos a la salud», empleada en su artículo 8, apartado 1, de modo que comprenda la información relativa a todos los aspectos, tanto físicos como psíquicos, de la salud de una persona. (79)
90. El Tribunal de Justicia ha declarado que una interpretación del artículo 8, apartados 1 y 5, de la Directiva 95/46 o de los artículos 9, apartado 1, y 10 del RGPD que excluyera, a priori y de forma general, la actividad de un motor de búsqueda de las exigencias específicas que estas disposiciones establecen en relación con los tratamientos de las categorías especiales de datos a las que se refieren sería contraria a la finalidad de dichas disposiciones, que consiste en garantizar una «mayor protección» frente a tales tratamientos, que, en atención a la particular sensibilidad de esos datos, pueden constituir, como se desprende igualmente del considerando 33 de la Directiva y del considerando 51 del Reglamento, una injerencia especialmente grave en los derechos fundamentales al respeto de la vida privada y a la protección de los datos personales, garantizados por los artículos 7 y 8 de la Carta. (80)
91. En tales circunstancias, no se puede aceptar que el tratamiento de datos personales que puede dar lugar a una comunicación indirecta de los datos sensibles de la persona interesada se sustraiga a las obligaciones y a las garantías previstas por la Directiva 95/46 y el RGPD, lo que menoscabaría su efecto útil y la protección eficaz y completa de las libertades y de los derechos fundamentales de las personas físicas que tienen por objeto garantizar, en particular, el respeto de su vida privada en lo que respecta al tratamiento de datos personales, al que estos actos conceden una importancia especial, como confirman, concretamente, el artículo 1, apartado 1, y los considerandos 2 y 10 de dicha Directiva y el artículo 1, apartado 2, y los considerandos 1 y 4 del RGPD. (81) Dicho de otro modo, el hecho de que se ponga indirectamente en conocimiento del público en general una información relativa, en particular, a la vida o a la orientación sexual del declarante y de su cónyuge, compañero sentimental o pareja no puede considerarse un daño colateral lamentable pero aceptable a la luz de la finalidad de un tratamiento que, en principio, no tiene por objeto datos sensibles, incluso prohibiendo expresamente su utilización, como ocurre en el presente asunto.
92. En mi opinión, esta solución es conforme al planteamiento del Tribunal de Justicia que, más allá de las apariencias formales, realiza un análisis en cuanto al fondo del tratamiento en cuestión para comprobar su alcance real en lo que respecta al tipo de datos tratados. Al apreciar la proporcionalidad de una normativa nacional que permitía que una autoridad estatal obligase a los proveedores de servicios de comunicaciones electrónicas a la transmisión generalizada e indiferenciada de datos de tráfico y de localización en aras de la protección de la seguridad nacional, el Tribunal de Justicia estimó que la injerencia que supone esa transmisión en el derecho consagrado en el artículo 7 de la Carta debe considerarse especialmente grave, habida cuenta, en particular, «del carácter sensible de la información que pueden proporcionar esos datos». (82)
93. En su dictamen sobre la compatibilidad del acuerdo previsto entre Canadá y la Unión Europea sobre transferencia y utilización de los registros de nombres de los pasajeros (83) con el artículo 16 TFUE y con los artículos 7, 8 y 52, apartado 1, de la Carta, el Tribunal de Justicia analizó la existencia de una injerencia en el derecho fundamental a la protección de datos personales garantizado en el artículo 8 de la Carta. A este respecto, señaló que aun cuando estos datos, aisladamente considerados, no parezcan poder revelar información importante sobre la vida privada de las personas afectadas, no deja de ser cierto que, conjuntamente considerados, dichos datos pueden revelar, entre otros extremos, un itinerario de viaje completo, hábitos de viaje, relaciones existentes entre dos o varias personas así como información sobre la situación económica de los pasajeros aéreos, sus hábitos alimentarios o su estado de salud, y «podrían incluso proporcionar datos sensibles sobre dichos pasajeros». Al examinar el carácter necesario de las injerencias ocasionadas por el acuerdo previsto, en lo que respecta a los datos de los pasajeros aéreos a los que se aplican, el Tribunal de Justicia destacó que, si bien ninguna de las 19 categorías que figuran en el anexo de dicho acuerdo contempla expresamente datos sensibles, podrían no obstante estar comprendidos en alguna de sus categorías.
94. Es cierto que ese enfoque plantea ciertas dificultades. Así, la determinación de los fines, pero sobre todo de los medios del tratamiento deberá ser objeto de una evaluación particularmente cuidadosa, que incluya el eventual tratamiento de datos sensibles (fácilmente identificable en el litigio principal). Solo se trata aquí, sin embargo, de la protección de datos desde la concepción del tratamiento que ya exige el artículo 25 del RGPD. Además, considero equivocado invocar, como hace el Gobierno lituano, una consecuencia negativa relativa a la imposibilidad de llevar a cabo ciertos tratamientos, como el que constituye el objeto del litigio principal. Es preciso destacar que la prohibición del tratamiento de categorías especiales de datos personales es relativa, pues se prevén determinadas excepciones y exclusiones en los artículos 8, apartados 2 a 4, de la Directiva 95/46 y 9, apartado 2, del RGPD, indicando, este último artículo, al menos diez casos de tratamientos lícitos de datos sensibles. Ha de señalarse, a este respecto, que el tratamiento en cuestión podría perfectamente haber estado basado en el artículo 8, apartado 4, de la Directiva 95/46, que ha sido reproducido, con ciertas modificaciones, en el artículo 9, apartado 2, letra g), del RGPD, (84) en caso de que el legislador lituano no hubiera optado por prohibir la publicación de datos sensibles. (85)
V. Conclusión
95. A la luz de las consideraciones anteriores, propongo al Tribunal de Justicia que responda del modo siguiente al Vilniaus apygardos administracinis teismas (Tribunal Regional de lo Contencioso-Administrativo de Vilna, Lituania):
«1) Los artículos 6 y 7 de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y los artículos 5 y 6 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), a la luz de los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea, deben interpretarse en el sentido de que se oponen a una normativa nacional según la cual una parte de los datos personales contenidos en la declaración de intereses que debe presentar todo director de un establecimiento público que recibe fondos públicos debe publicarse en el sitio de Internet de la autoridad pública encargada de recabar esas declaraciones y controlar su contenido, cuando esa medida no es apropiada y necesaria para alcanzar los objetivos de prevención de los conflictos de intereses y de la corrupción en la Administración Pública, de incremento de las garantías de la probidad e imparcialidad de los responsables públicos de la toma de decisiones y de refuerzo de la confianza de los ciudadanos en la actuación pública.
2) Los artículos 8, apartado 1, de la Directiva 95/46 y 9, apartado 1, del Reglamento 2016/679, a la luz de los artículos 7 y 8 de la Carta de los Derechos Fundamentales, deben interpretarse en el sentido de que la publicación del contenido de declaraciones de intereses en el sitio de Internet de autoridad pública encargada de recabar esas declaraciones y controlar su contenido constituye un tratamiento de categorías especiales de datos personales, capaz de comunicar de forma indirecta datos sensibles como los contemplados en los dos primeros artículos.»
