El Informe 0111/2012 del Gabinete Jurídico de la Agencia Española de Protección de Datos (AEPD) aborda diversas cuestiones relacionadas con el impacto de la sentencia del Tribunal de Justicia de la Unión Europea (TJUE) de 24 de noviembre de 2011 y las sentencias del Tribunal Supremo de 8 de febrero de 2012 sobre el régimen de protección de datos establecido en la Ley Orgánica 15/1999 y su Reglamento de desarrollo, aprobado por Real Decreto 1720/2007.
El informe destaca que la sentencia del TJUE declara el efecto directo del artículo 7 f) de la Directiva 95/46/CE, que permite el tratamiento de datos personales si es necesario para satisfacer un interés legítimo del responsable del tratamiento, siempre que no prevalezcan los derechos y libertades fundamentales del interesado. Este precepto debe ser tomado en cuenta directamente por los Estados miembros y, por ende, por la AEPD.
El informe subraya que la legitimación del tratamiento de datos no se basa únicamente en la existencia de un interés legítimo, sino en una ponderación entre este interés y los derechos fundamentales del interesado. Esta ponderación debe realizarse caso por caso, considerando las circunstancias concretas de cada situación. La sentencia del TJUE y la jurisprudencia nacional reconocen que la gravedad de la lesión de los derechos fundamentales puede variar según si los datos figuran en fuentes accesibles al público o no.
El informe también aborda la anulación del apartado b) del artículo 10.2 del Reglamento de desarrollo por el Tribunal Supremo, señalando que esto no elimina por completo el concepto de fuentes accesibles al público como criterio de ponderación. La AEPD debe seguir aplicando este concepto en la evaluación de la legitimidad del tratamiento de datos.
En cuanto a la cesión de datos entre marcas y concesionarios, el informe indica que la legitimación del cesionario depende de que el tratamiento inicial de los datos sea lícito. Además, se deben cumplir las causas legitimadoras previstas en la Ley Orgánica 15/1999 y la Directiva 95/46/CE, y se deben considerar las limitaciones legales al uso de ciertos canales publicitarios.
Finalmente, el informe analiza el caso de un concesionario que cesa en su actividad y cede su base de datos a otro concesionario para continuar prestando servicios de posventa. Este supuesto se encuadra en el artículo 19 del Reglamento de desarrollo, que permite la cesión de datos en operaciones de reestructuración societaria, siempre que el tratamiento inicial de los datos sea lícito.
En resumen, el informe subraya la necesidad de realizar una ponderación detallada entre el interés legítimo del responsable del tratamiento y los derechos fundamentales del interesado en cada caso concreto, y la importancia de cumplir con las normativas vigentes en materia de protección de datos.