Durante 2024 la jurisprudencia del Tribunal de Justicia de la Unión Europea (TJUE) ha avanzado decisivamente en lo que respecta al Reglamento General de Protección de Datos en la Unión Europea (RGPD). Veremos los aspectos fundamentales que han ido marcando las nuevas sentencias sobre protección de datos:
Contenido
Avances en la interpretación del principio de minimización de datos
En 2024, el TJUE ha fortalecido la interpretación del principio de minimización de datos del artículo 5.1.c) del RGPD, tal como se refleja en la sentencia C-446/21 (Maximilian Schrems vs Meta Platforms Ireland). El Tribunal dejó claro que el consentimiento del usuario no autoriza la retención indefinida de sus datos personales, ni siquiera para fines publicitarios, pues hacerlo supone una injerencia desproporcionada en sus derechos fundamentales. Esto implica que la legitimidad del consentimiento debe ir acompañada de mecanismos para la supresión temporal y diferenciada según la naturaleza de los datos. Esta doctrina no solo afecta a Meta, sino a cualquier responsable del tratamiento que maneje datos para publicidad dirigida.
Además, el Tribunal abordó el tratamiento de datos sensibles (artículo 9 RGPD), como la orientación sexual. Aunque Schrems había hecho pública su orientación, el TJUE afirmó que esta exposición pública no equivale a un consentimiento válido para el tratamiento de datos sensibles adicionales obtenidos de otras fuentes (cookies, redes afiliadas, comportamiento offline). Por tanto, el consentimiento para datos especiales debe ser explícito y específico, y no puede derivarse de una supuesta exposición pública.
Desarrollo del concepto de interés legítimo
La jurisprudencia ha avanzado también en la interpretación del artículo 6.1.f RGPD relativo al interés legítimo como base para el tratamiento sin consentimiento explícito. En el caso C-621/22, sobre una asociación deportiva que usaba datos de sus miembros para publicidad, el TJUE concluyó que el interés legítimo debe someterse a un riguroso test de proporcionalidad. Esto significa que la base debe ser lícita, necesaria y proporcionada, considerando la naturaleza de los datos, el contexto y la expectativa de privacidad. Esta doctrina obliga a los responsables a realizar y documentar un análisis detallado y caso por caso, ponderando el impacto real sobre los derechos de los afectados.
Evolución del derecho al olvido hacia una protección activa
Desde las sentencias iniciales “Google Spain” (2014) y “Google France” (2019), el derecho al olvido ha evolucionado hacia una protección más activa del interesado. En la sentencia C-460/20 (2022), el TJUE estableció que no es necesario que exista una sentencia judicial firme para que un interesado solicite la retirada de enlaces que remiten a información manifiestamente inexacta. El interesado debe aportar pruebas razonables, pero el buscador tiene la obligación de realizar un análisis autónomo y ponderado, equilibrando la privacidad del interesado con el interés público.
Esta nueva doctrina cambia la práctica habitual, donde buscadores solían denegar solicitudes sin resolución judicial previa, y ahora deben valorar y justificar su respuesta. Además, el Tribunal amplía la protección al ámbito de imágenes (thumbnails) que acompañan los resultados de búsqueda, reconociendo que estas pueden aumentar la afectación a los derechos de la persona y por ello deben ser objeto de supresión o limitación si resultan lesivas.
Requisitos técnicos y documentales para responsables del tratamiento
Las recientes sentencias del TJUE exigen que los responsables implementen medidas operativas más estrictas que superan la mera interpretación formal del RGPD. Deben contar con:
- Protocolos para la supresión automática y temporal de datos, especialmente diferenciando datos sensibles conforme al artículo 9.
- Registros documentales detallados que justifiquen la base jurídica utilizada, incluyendo análisis de proporcionalidad para el interés legítimo.
- Procedimientos internos para gestionar solicitudes de derecho al olvido, que incluyan la revisión de enlaces, imágenes y metadatos vinculados.
- Sistemas tecnológicos que garanticen bloqueos territoriales efectivos y la trazabilidad de las decisiones de revisión y supresión.
Implicaciones y conclusiones
El TJUE impulsa un modelo de protección de datos que combina un rigor jurídico con exigencias tecnológicas. Las organizaciones deben adaptar sus procesos para cumplir con:
- La minimización estricta de datos.
- El análisis documentado de legitimación para cada tratamiento.
- El cumplimiento efectivo del derecho al olvido a nivel técnico y procedimental.
Aunque esto aumenta la complejidad operativa y la carga documental, también fortalece la confianza de los ciudadanos en la protección de sus derechos digitales. Para los asesores legales, el reto es dotar a las empresas de herramientas jurídicas y técnicas que permitan demostrar el cumplimiento real y efectivo del marco europeo.
Finalmente, se destaca la importancia de contar con asesoría especializada en derecho comunitario y protección de datos para afrontar adecuadamente conflictos relacionados con el RGPD y las nuevas exigencias jurisprudenciales del TJUE.
Noticias de interés
Coapi Córdoba: Curso de Protección de Datos para Inmobiliarias
