El responsable del tratamiento de datos personales debe aplicar medidas técnicas y organizativas apropiadas para informar a los demás responsables del tratamiento, que le suministraron esos datos o a los que se los transmitió él, de la retirada del consentimiento del interesado. Cuando distintos responsables del tratamiento se basan en el consentimiento único del interesado, basta con que este se dirija a cualquiera de los responsables para retirar su consentimiento
Proximus, un prestador de servicios de telecomunicaciones en Bélgica, también edita guías y organiza servicios de información sobre números de abonados. Estas guías incluyen el nombre, la dirección y el número de teléfono de los abonados de los distintos proveedores de servicios telefónicos accesibles al público. Los operadores comunican a Proximus estos datos de contacto, salvo si el abonado ha expresado su deseo de no figurar en las guías. Además, Proximus transmite a otros proveedores de guías los datos de contacto que recibe.
Telenet, un operador de servicios telefónicos en Bélgica, transmite los datos de contacto de sus abonados a proveedores de guías, en particular a Proximus. Uno de dichos abonados solicitó a Proximus que no mostrara sus datos de contacto en las guías que editan tanto Proximus como terceros. Proximus modificó el régimen de ese abonado para que dejaran de hacerse públicos sus datos de contacto.
Con posterioridad, Proximus recibió, no obstante, de Telenet una actualización de los datos del abonado en cuestión que no se indicaban como confidenciales. Tal información fue objeto de tratamiento automatizado por Proximus y registrada de modo que volviera a figurar en las guías.
A la solicitud reiterada del abonado de que no mostrara sus datos Proximus respondió que había suprimido los datos de que se trata de las guías y contactado con Google para que se suprimieran los enlaces pertinentes al sitio de Internet de Proximus. Proximus también informó al abonado de que había transmitido sus datos de contacto a otros proveedores de guías y de que, a través de las actualizaciones mensuales, dichos proveedores habían sido informados de la solicitud.
Al mismo tiempo, el abonado en cuestión presentó una queja en la autoridad belga de protección de datos. Su Sala de Litigios impuso a Proximus medidas correctivas y una multa de 20 000 euros por la infracción de varias disposiciones del Reglamento general de protección de datos (RGPD). [1]
[1] Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO 2016, L 119, p. 1; corrección de errores en DO 2018, L 127, p. 3, y en DO 2021, L 74, p. 35).
Proximus apeló dicha resolución ante el hof van beroep te Brussel (Tribunal de Apelación de Bruselas, Bélgica) aduciendo que no se requiere el consentimiento del abonado a efectos de la publicación en las guías telefónicas de sus datos personales, si bien son los propios abonados quienes deben solicitar no figurar en esas guías, con arreglo a un sistema denominado de «opt-out». En efecto, sin esa solicitud, el abonado en cuestión podrá figurar en dichas guías.
De opinión contraria, la autoridad de protección de datos alegó que la Directiva sobre la privacidad y las comunicaciones electrónicas [2] exige el «consentimiento de los abonados», en el sentido del RGPD, para que los proveedores de guías puedan tratar y transmitir sus datos personales.
Dado que no se ha definido ningún régimen específico en cuanto a la retirada por un abonado de la expresión de voluntad o del citado «consentimiento», el hof van beroep te Brussel (Tribunal de Apelación de Bruselas) planteó al Tribunal de Justicia ciertas cuestiones prejudiciales.
En su sentencia de hoy, el Tribunal de Justicia confirma que, a efectos de la publicación en una guía pública de sus datos personales, es preciso el consentimiento del abonado debidamente informado, que se extiende a cualquier tratamiento ulterior de los datos por las terceras empresas que operen en el mercado de los servicios de información sobre números de abonados y guías accesibles al público, siempre que tales tratamientos persigan la misma finalidad.
Ese consentimiento exige una manifestación de voluntad «libre, específica, informada e inequívoca» del interesado, en forma de declaración o de «clara acción afirmativa», que indique su aceptación del tratamiento de datos personales que le conciernen. No obstante, ese consentimiento no presupone que, cuando se hubiese dado, el interesado conociera forzosamente la identidad de todos los proveedores de guías que van a tratar sus datos personales.
El Tribunal de Justicia también recuerda que los abonados deben tener la posibilidad de que se supriman de las guías sus datos personales. Considera que cabe reputar de recurso al derecho a la supresión, en el sentido del RGPD, [3] la solicitud de un abonado de que se supriman sus datos.
A continuación, el Tribunal de Justicia confirma que de las obligaciones generales previstas en el RGPD resulta que un responsable del tratamiento de datos personales, como Proximus, debe aplicar medidas técnicas y organizativas apropiadas para informar a los demás proveedores de guías a los que suministró tales datos de la retirada del consentimiento del interesado. Ese responsable debe velar también por informar al operador de servicios telefónicos que le ha comunicado esos datos personales, a fin de que el citado operador adapte la lista de datos personales que transmite automáticamente a dicho proveedor de guías. En efecto, cuando, como en el caso de autos, distintos responsables del tratamiento se basan en el consentimiento único del interesado, para que dicho interesado retire ese consentimiento, basta con que se dirija a cualquiera de los responsables del tratamiento.
Por último, el Tribunal de Justicia declara que un responsable del tratamiento como Proximus está obligado, en virtud del RGPD, a velar por que se adopten medidas razonables a fin de informar a los motores de búsqueda de la solicitud que le remitió el abonado de un operador de servicios telefónicos a efectos de que se suprimieran sus datos personales.
NOTA: La remisión prejudicial permite que los tribunales de los Estados miembros, en el contexto de un litigio del que estén conociendo, interroguen al Tribunal de Justicia acerca de la interpretación del Derecho de la Unión o sobre la validez de un acto de la Unión. El Tribunal de Justicia no resuelve el litigio nacional, y es el tribunal nacional quien debe resolver el litigio de conformidad con la decisión del Tribunal de Justicia. Dicha decisión vincula igualmente a los demás tribunales nacionales que conozcan de un problema similar.
[2] Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas) (DO 2002, L 201, p. 37), en su versión modificada por la Directiva 2009/136/CE del Parlamento Europeo y del Consejo, de 25 de noviembre de 2009 (DO 2009, L 337, p. 11).
[3] Artículo 17 del RGPD.
