Un paso decisivo en la clarificación de las relaciones entre derecho de acceso y derecho a la protección de datos: la Sentencia del TPI de 8 de noviembre de 2007, Bavarian Lage/Comisión, T-194/04

Un paso decisivo en la clarificación de las relaciones entre derecho de acceso y derecho a la protección de datos: la Sentencia del TPI de 8 de noviembre de 2007, Bavarian Lage/Comisión, T-194/04 Emilio Guichot Profesor titular de Derecho Administrativo. Universidad de Sevilla SUMARIO I. SÍNTESIS DEL ESTADO PREVIO DE LA CUESTIÓN - 1. El derecho de acceso a la información pública y el derecho a la protección de los datos personales y sus relaciones en la normativa comunitaria-2. Posicionamientos de las diversas Instituciones sobre las relaciones entre ambos derechos II. EL ASUNTO BAVARIAN LAGE - 1. Antecedentes fácticos y jurídicos-2. La Sentencia del TPI de 8 de noviembre de 2007, T-194/04 (aún sin publicar) III. CONCLUSIONES T 329 El encaje entre el derecho de acceso y el derecho a la protección de datos constituye un tema crucial de la dogmática iusfundamental que se encuentra en una zona de penumbra en el Derecho europeo. Pero, en realidad, más bien habría que utilizar el tiempo pasado, puesto que en las páginas que siguen comentamos una sentencia que supone un antes y un después en el esclarecimiento de esta cuestión. No es, desde luego, el primer foco que la ilumina, ya que, como veremos en las páginas que analizan el estado previo de la cuestión, ya se habían producido notables esfuerzos aclaratorios, tanto por parte de las Instituciones como de la doctrina l ; pero sí el más potente, dada la fuerza directiva de la jurisprudencia comunitaria. I. SÍNTESIS DEL ESTADO PREVIO DE LA CUESTIÓN 2 1. El derecho de acceso a la información pública y el derecho a la protección de los datos personales y sus relaciones en la normativa comunitaria El día 6 de diciembre de 1993 el Consejo y la Comisión aprobaron el llamado Código de Conducta relativo al acceso del público a los documentos del Consejo y de la Comisión. Carecía de efectos jurídicos, siendo sólo una expresión de 1 Permítasenos remitirnos a diversos trabajos en que hemos abordado dichas relaciones, donde se cita además la escasa bibliografía existente sobre el tema: «El nuevo Derecho europeo de acceso a la información pública», Revista de Administración Pública, núm. 160, 2003, pgs. 283-316 (en el que se estudia el derecho de acceso en Europa); Datos personales y Administración pública, Civitas, Madrid, 2005 y «Derecho a la protección de datos y actividad administrativa», Revista Vasca de Administración Pública, núm. 71, 2005, pgs. 81-120 (en los que se aborda con carácter integral el tema de la protección de datos personales en la Administración Pública, y, en particular, dicha cuestión); «Acceso a la información en poder de la Administración y protección de datos personales», Revista de Administración Pública, núm. 173, mayo-agosto 2007, pgs. 407-445 (en el que se realiza un estudio del estado de la cuestión en el Derecho europeo, francés e italiano y las posibles enseñanzas que se pueden extraer para el Derecho español). Además, abordamos el mismo tema en otros ordenamientos en «Publicidad frente a privacidad de la información personal en Derecho canadiense: lecciones para el derecho europeo», Revista Española de Protección de Datos, núm. 3, 2007, pp. 65-94 (en el que se analizan las relaciones entre derecho de acceso y privacidad en Canadá y se extraen guías para el Derecho europeo); y en «Derecho a la privacidad, transparencia y eficacia administrativa: un difícil y necesario equilibrio», Revista Catalana de Derecho Público, núm. 35, 2007, pgs. 43-74 (en el que se trata el régimen de la comunicación de datos desde una perspectiva exclusivamente de Derecho nacional y en sus aspectos generales) . 2 Una exposición in extenso en Datos personales y Administración pública, op. cit. y, más actualizada y con nuevos perfiles, en Acceso a la información en poder de la Administración y protección de datos personales, op. cit.. 330 coordinación voluntaria interinstitucional 3 , pero constituía la base para su posterior positivación y desarrollo por cada Institución. Con posterioridad, obtuvo reconocimiento en los Tratados en el actual artículo 255, se consagró de forma autónoma en el artículo 42 de la Carta de Derechos fundamentales, independiente de la libertad de expresión y del derecho general a recibir información 4 , y se reguló en el Reglamento (CE) núm. 1049/2001, de 30 de mayo, del Parlamento europeo y el Consejo, relativo al acceso del público a los documentos del Parlamento Europeo, del Consejo y de la Comisión. En la Exposición de Motivos de dicho Reglamento se afirma que: «Al evaluar las excepciones, las instituciones deben tener en cuenta los principios vigentes en la legislación comunitaria relativos a la protección de los datos personales, en todos los ámbitos de actividad de la Unión». En el articulado, las excepciones al derecho de acceso son de tres géneros: en unos casos sólo operan si el acceso a la información puede causar un perjuicio grave para el interés protegido y siempre que su divulgación no revista un interés público superior; en otros se sigue la misma regla, pero no se exige la gravedad en el perjuicio; y en el tercero, en el que se encuentra «la protección de la intimidad y la integridad de la persona, en particular de conformidad con la legislación comunitaria sobre protección de los datos personales», el acceso habrá de denegarse en todo caso, cuando la divulgación del documento pueda perjudicar al sujeto (artículo 4.1.b) 5 . Como la jurisprudencia se ha encargado de señalar de forma reiterada, la Institución debe examinar, para cada documento, si, vistas las informaciones de las que dispone, la divulgación es efectivamente susceptible de afectar a uno de los intereses protegidos 6 . El riesgo de perjuicio debe ser razonablemente previsible y no puramente hipotético'. Por lo demás, toda limitación a un derecho que entronca con el principio democrático ha de interpretarse restrictivamente, de modo que no se frustre la 3 Como se encargó de subrayar el TJCE en la importante sentencia de 30 de abril de 1996, asunto C-58/94, Reino de los Países Bajos contra Consejo, Rec. pg. 1-2169, apartados 26 y 27. 4 Según su artículo 42: «Todo ciudadano de la Unión o toda persona física o jurídica que resida o tenga su domicilio social en un Estado miembro tiene derecho a acceder a los documentos del Parlamento Europeo, del Consejo y de la Comisión». 5 En ocasiones, la solicitud de acceso tiene como finalidad la reutilización con fines comerciales de información en poder de la Administración difundida por ésta en soporte digital, supuesto regulado en la Directiva 2003/98/CE del Parlamento Europeo y del Consejo de 17 de noviembre, relativa a la reutilización de la información del sector público. Dicha Directiva dispone que su regulación no afecta a los actuales regímenes de acceso de los Derechos nacionales, ni es aplicable a aquellos casos en que ciudadanos o empresas deban demostrar, en virtud del régimen de acceso, un interés particular para poder acceder a los documentos, ni a la normativa sobre protección de datos; y contempla entre los documentos excluidos aquellos que estén cubiertos por alguna excepción relativa a la protección de la intimidad de las personas. 6 Por todas, STPI de 13 de septiembre de 2000, asunto T-20/99, Denkavit Nederland BV contra Comisión. 7 STPI de 7 de febrero de 2002, asunto T-211/00, Aldo Kuijer contra Consejo de la Unión Europea. 331 JURISPRUDENCIA EMILIO GUICHOT aplicación del principio general de libre acceso'. Esta línea directriz se manifiesta, en primer lugar, en la exigencia de apreciación singularizada y motivación para cada documento, en que se argumente por qué su comunicación puede efectivamente menoscabar uno de los intereses protegidos, sin que baste la mera referencia a las características generales de las categorías de documentos 9 o al sector al que pertenezca m , dando respuesta en su caso a la contraargumentación que haya expuesto el demandante de acceso en la solicitud confirmatoria que hace las veces de recurso". Y, en segundo lugar, en la obligación de conceder el acceso parcial cuando sea posible limitado a los datos no amparados por las excepciones, siempre que el acceso a la información siga teniendo sentido'. Este principio, inicialmente de elaboración jurisprudencial, se recoge actualmente en la normativa reguladora, al precisar el Reglamento que estas excepciones sólo se aplicarán a las partes del documento afectadas. Todos estos principios son de plena aplicación a la excepción por motivos de protección de la intimidad y la integridad de la persona. El derecho a la protección de datos ha sido objeto, también él, de reconocimiento autónomo en el artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea. En el plano legal, la normativa comunitaria está integrada, de una parte, por la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, que regula los tratamientos de datos efectuados en los Estados miembros; y por el Reglamento (CE) n° 45/2001 del Parlamento Europeo y del Consejo, de 18 de diciembre de 2000, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones y los organismos comunitarios y a la libre circulación de estos datos, que regula los tratamientos efectuados por dichos sujetos en los ámbitos regidos por el TCE. Ambos tienen, pues, diferentes destinatarios (los sujetos públicos estatales e infraestatales y los sujetos privados, en el primer caso; los sujetos públicos comunitarios, en el segundo), y se aplican tan sólo en los ámbitos regidos por el Derecho comunitario. No obstante, como no podía ser de otra forma, lo cierto es que el régimen que diseñan tiene grandes similitudes. Ambas Exposiciones de Motivos parecen partir del principio de que el acceso a los documentos en poder de las Administraciones comunitarias y nacionales que contengan 8 Como resume, por todas, la STPI de 7 de febrero de 2002, asunto T-211/00, Aldo Kuijer contra Consejo de la Unión Europea, apartado 54. 9 Así por ejemplo, en la STPI de 6 de abril de 2000, asunto T488/98, Aldo Kuijer contra Consejo. lo Por todas, STPI de 6 de febrero de 1998, Asunto T-124/96, Interporc Im-und Export GmbH contra Comisión. 11 STPI de 6 de abril de 2000, asunto T-188/98, Aldo Kuijer contra Consejo. 12 Por todas, STPI de 19 de julio de 1999, Hautala contra Consejo, asunto T-14/98, apartado 87. datos personales se rige por la normativa sobre acceso". No obstante, en ambos casos se echa de menos la clarificación de un tema tan crucial en el articulado, que desapareció del proyecto de Directiva", ya que a falta de la misma, la remisión por parte de la normativa sobre protección de datos a la legislación sobre acceso hay que extraerla de referencias más generales que permiten el tratamiento inconsentido cuando sea necesario para el ejercicio de misiones públicas o el cumplimiento de obligaciones jurídicas, y plantea la duda de si no debe entenderse, por el contrario, que la materia ya se halla regulada en los artículos dedicados a la transmisión de datos, que prevén la necesidad de ponderación entre derechos e intereses enfrentados —uno de los cuales podría ser, precisamente, el derecho de acceso. En todo caso, el resultado es el mismo: una nueva llamada a la ponderación de derechos e intereses públicos y privados. 2. Posicionamientos de las diversas Instituciones sobre las relaciones entre ambos derechos El Defensor del pueblo, en línea con su postura crítica a la excesiva amplitud con que se viene interpretando el concepto de dato personal, considera que la excepción al acceso por respeto a la intimidad no implica que deba entenderse existente un principio general de confidencialidad en la Administración pública, que requiera una ponderación cada vez que un documento contiene un nombre. Una interpretación excesiva como ésta dañaría no sólo al derecho al acceso público a los documentos, sino también a la finalidad genuina de la protección de datos 15 . En efecto, el Defensor del Pueblo ha detectado una peligrosa tendencia consistente en denegar cualquier información que contenga un nombre como dato personal, aunque se refiera a actividades netamente públicas como la identificación del nombre de los asistentes de los parlamentarios, el listado de aprobados en los 13 En el caso de la Directiva, la referencia es un tanto tímida, ya que se limita a señalar que «la presente Directiva autoriza que se tenga en cuenta el principio de acceso público a los documentos oficiales a la hora de aplicar los principios expuestos en la presente Directiva». Más clara resulta la dicción del Reglamento, según la cual «el acceso a los documentos, incluidas las condiciones de acceso a los documentos que contengan datos personales, depende de las normas adoptadas sobre la base del artículo 255 del Tratado CE, cuyo ámbito de aplicación abarca los Títulos V y VI del Tratado de la Unión Europea» 14 Tomamos esta referencia de SouviRÓN MORENILLA, J. M., «En torno a la juridificación del poder informativo del Estado y el control de datos por la Administración», Revista Vasca de Administración Pública, núm. 40, 1994, pg. 167, quien, refiriéndose al entonces proyecto de Directiva, apuntaba que ésta admitía la legitimidad de la comunicación de datos personales obrantes en los depósitos informativos públicos a una persona física o jurídica privada que invoque un interés legítimo en las condiciones que precise la legislación estatal, pero estableciendo dos condiciones: deberá notificarse al interesado la realización de dicha comunicación y los archivos en que se incluyan los datos personales comunicables deben ser inscritos en un registro especial dependiente de la Autoridad de control. 15 En su Carta de 14 de noviembre de 2001, titulada «Transparencia y protección de datos» («Openness and data protection»), disponible en su sitio web. EMILIO GUICHOT JURISPRUDENCIA 332  333 JURISPRUDENCIA EMILIO GUICHOT exámenes para entrar a formar parte de la función pública comunitaria, la identificación de los representantes de asociaciones empresariales que participan en un procedimiento administrativo, o la identificación de funcionarios que realizan actividades privadas, que figuran por tal motivo en el registro creado al efecto". Todos estos ejemplos sobre el mal uso de la protección de datos parecen basarse, a su juicio, sobre la idea de la existencia de un derecho fundamental a la participación anónima en actividades públicas. Esta postura ha obtenido el refrendo del Parlamento 17 . Para supervisar la aplicación de la Directiva de 1995 y del Reglamento de 2001 sobre protección de datos, se crearon, respectivamente, dos órganos de control, a saber, el Grupo de protección de las personas en lo que respecta al tratamiento de datos personales, creado por el artículo 29 de la Directiva de 1995; y el Supervisor Europeo de Protección de Datos, regulado en los artículos 41 a 48 del Reglamento (CE) 45/2001. — El Grupo de protección de las personas en lo que respecta al tratamiento de datos personales, que está integrado por las máximas autoridades nacionales en materia de protección de datos, la comunitaria y un representante de la Comisión, es el más cualificado intérprete de la normativa comunitaria sobre la misma. En su Dictamen 5/2001, de 17 de mayo, estima que el derecho de acceso y el derecho a la protección de datos son de la misma naturaleza, importancia y grado, y deben aplicarse conjuntamente, buscando un equilibrio. La comunicación a terceros de datos personales es un tratamiento, protegido por la Directiva sobre protección de datos y, en los casos en que ésta no se aplique, por el artículo 8 CEDH. Por tanto, tiene que respetar la normativa sobre protección de datos. De este modo, se analiza el acceso a la información desde la perspectiva de su conformidad con la Directiva, y la consecuencia más general que se destila es que no puede hablarse de la 16 En Carta de 30 de septiembre de 2002 dirigida al Presidente de la Comisión, el Defensor del Pueblo, tras exponer estaa postura propone un cambio en la redacción del considerando 72, que diga «Whereas this Directiva [allows] is not intended to limit the principle of openness and the rigth of access to official documents [to be taken into account when implementing the principles set out in this Directive] under national constitutions or laws». (las palabras entre corchetes corresponden a la redacción actual y las palabras en cursiva son los añadidos propuestos). Y en el Reglamento de 2001, que regula el tratamiento de datos por las Instituciones, añadir: «This Regulation is not intended to limit the concept of openness enshrined in the second subparagraph of Article 1 of the Treaty on European Union. Nor is it intended to limit the right of access to documents, which is governed by Regulation 1049/2001/EC». 17 En su pronunciamiento adoptado en sesión de 11 de diciembre de 2001 hizo suya la aproximación del Defensor del Pueblo, y afirmó: «a menudo se producen conflictos entre la demanda de transparencia y la protección de la integridad personal; destaca que el principal objetivo de la protección de los datos es proteger la vida privada y la información confidencial; por consiguiente, no debería hacerse referencia a la protección de datos cuando, por ejemplo, las personas están actuando en calidad pública, cuando participan en un proceso de toma de decisiones público por propia iniciativa o cuando intentan influir en dicha toma de decisiones» (punto 3). prevalencia de uno o de otro, sino que ha de estarse a un análisis ponderado caso por caso, sin posibles automatismos". — Por su parte, el Supervisor Europeo de Protección de Datos elaboró en julio 2005 un documento fundamental a nuestros efectos, titulado «Public access to documents and data protection» 19 , en que se aborda monográfica y detalladamente esta cuestión. Se trata de un texto completo y extenso en el que se aportan claves para resolver el potencial conflicto entre el derecho de acceso y el derecho a la protección de datos, partiendo del principio de que ambos son derechos fundamentales que han de tratar de maximizarse. Considera que ante una solicitud de acceso a documentos que contengan datos personales, la normativa a aplicar es la que regula el derecho de acceso (salvo que sea el propio afectado que el que la ejerce, en cuyo caso estamos ante el también llamado «derecho de acceso» de la normativa sobre protección de datos) , máxime en la medida en que contempla expresamente excepciones relacionadas con la intimidad e incluso, en el caso del Reglamento 1049/2001, hace una referencia expresa a su aplicación de conformidad con la normativa sobre protección de datos, en su artículo 4.1.b). Lo primero que habrá que analizar es si el documento contiene datos personales y, además, si está en juego la privacidad y la integridad (concepto éste que, en el contexto de la normativa sobre acceso público, se considera que no aporta nada al de intimidad, salvo en los casos en que la revelación puede poner en peligro la integridad física del sujeto). Y ello por cuanto el hecho de que un documento contenga datos personales no implica la aplicación automática de la excepción basada en la protección de la intimidad, pues no todo dato personal puede considerarse íntimo. Por el contrario, la noción de intimidad (a la que se reconoce de dificil delimitación) hace referencia, en la jurisprudencia del CEDH y en la comunitaria, que en ella se inspira, a la vida privada y familiar y al domicilio, a la integridad física y moral, al honor y la reputación, a la garantía frente a la imputación de hechos inciertos, a la prohibición de revelación de hechos irrelevantes o comprometedores, a la publicación no autorizada de fotos privadas, a la protección contra el mal uso de las comunicaciones privadas, a la protección frente a la revelación de información dada o recibida por un sujeto confidencialmente. Ello no quiere decir que la noción de intimidad excluya per se las actividades de carácter profesional o comercial. No obstante, y en lo que hace a las actividades de los agentes públicos en el ejercicio de sus funciones, éstos deben ser conscientes de que sus datos personales pueden ser de interés público por razones legítimas vinculadas al valor de la transparencia, y que mientras más relevante sea la función del agente, más poderoso puede ser el interés legítimo del público a ser informado sobre sus actividades. Una vez determinado, en su caso, que la información a la que se pretende acceder, dice relación con la intimidad, hay que preguntarse si la revelación de la misma es susceptible de afectar sustancialmente al sujeto 18 Además, se complementa con los Dictámenes 3/1999 y 7/2003 en que analiza el encaje entre comercialización de la información pública y protección de datos. 19 Publicaciones de la Comisión. Background Paper Series, julio 2005, núm. 1. qq4 335 JURISPRUDENCIA EMILIO GUICHOT a la que se refiere, como exige expresamente el Reglamento 1049/2001. Para determinar la «medida» de la afectación, un criterio orientador es que dicha condición es más susceptible de darse cuando el acceso revela datos sensibles, en el sentido de la legislación sobre protección de datos. No obstante lo cual, es tan sólo una directriz, puesto que la revelación, incluso de datos personales «inocentes», como la dirección o el nombre del sujeto, pueden, en ciertos casos, afectarle seriamente. Al efecto, considera que, en casos particulares, está justificado contactar antes de conceder o no el acceso con el sujeto afectado para recabar su opinión sobre los efectos que tendría la revelación, y tomarla en consideración (sin que, no obstante, sea sustitutiva o vinculante respecto de la decisión a adoptar por la Institución). Establecido que se trata de datos relacionados con la intimidad de la persona cuya revelación puede afectar sustancialmente a la misma, hay que comprobar si la revelación está permitida conforme a la legislación sobre protección de datos; en este caso, el Reglamento núm. 45/2001. El Supervisor considera que dicho Reglamento permite la transmisión cuando regula la licitud del tratamiento y de la transmisión de datos, al establecer entre las causas que lo legitiman la necesidad para el cumplimiento de una misión de interés público o el ejercicio del poder público o de una obligación jurídica, entre las que se encontraría precisamente el deber de facilitar el acceso a la información pública derivado del principio de transparencia. Ahora bien, otros preceptos de la normativa sobre protección de datos son también relevantes y llaman a una aproximación proactiva y reactiva. Desde un punto de vista proactivo, se trata de intentar atenuar el conflicto potencial mediante la regulación particularizada para cada situación potencialmente conflictiva y la información al sujeto, coetánea a la recogida de datos, acerca de en qué casos sus datos podrán hacerse públicos. Esta aproximación se conecta con el principio establecido en la normativa sobre protección de datos conforme al cual no caben posteriores tratamientos (en este caso, consistente en la comunicación de datos) para una finalidad incompatible con aquella que motivó la recogida de los datos, lo que lleva a analizar cuál fue ésta y cómo pudo el sujeto entender razonablemente dicha finalidad. Resulta relevante a este respecto conocer si el sujeto fue informado en el momento de la recogida sobre la posibilidad de revelación posterior, que puede hacerse por referencia a los textos normativos que lo permiten, en cuyo caso lo normal será que se conceda el acceso. Por el contrario, si el sujeto fue informado de que los datos se mantendrían en la confidencialidad, lo normal será la denegación del acceso. Ha de analizarse también, en estrecha relación, si el sujeto ha dado su consentimiento inequívoco para la revelación, teniendo en cuenta si fue obtenido voluntariamente y previa una información adecuada; y evaluando su valor y grado sobre la base del modo en que fue obtenido, de modo que si el sujeto dio su consentimiento inequívoco el acceso debe concederse, sin que juegue la excepción de la intimidad. El enfoque reactivo surge una vez producida una solicitud de acceso, o cuando una Institución se plantea si procede o no publicar información que contiene datos personales, o bien cuando éstos han sido relevados y se produce una queja del sujeto afectado. En los dos primeros casos, ha de analizarse si la revelación puede afectar negativamente al sujeto y si éste puede tener razones de peso relacionadas con su situación particular para oponerse a la revelación, en cuyo caso puede ser necesario consultarle para tener en cuenta su argumentación. El paso final es el test de proporcionalidad, que implica un acercamiento necesariamente casuístico, en que hay que analizar qué tipo de daño provocaría (o ha provocado, si se actúa ex post facto) en la práctica la revelación, daño que debe ser sustancial para que la revelación pueda considerarse desproporcionada, sin que en ningún caso la revelación pueda tener como resultado que una persona se vea privada o indebidamente restringida en su derecho fundamental a la protección de datos. Si (y sólo si) se considera que se produciría esta situación, hay que plantearse si el acceso parcial (borrando únicamente los elementos del texto que causan un daño sustancial) o la anonimización sería una solución, ya que se trata de una excepción a la regla general de la plenitud del derecho de acceso. Puede ser por tanto una solución práctica si el daño a la intimidad del sujeto es sustancial y si el sujeto en cuestión no es la fuente primaria de interés para el público. Si el trabajo administrativo que ocasiona el acceso parcial fuera irrazonable, se debe contactar con el solicitante del documento para encontrar una solución, ampliando en su caso y tal y como permite la normativa, el breve plazo general de quince días para otorgar el acceso. En el caso de los datos sensibles, en principio el acceso debe denegarse en base a la excepción por razones de intimidad e integridad, salvo que el sujeto haya dado su consentimiento o los haya hecho públicos de forma manifiesta, o bien por motivos de interés público importantes, con las garantías adecuadas y requiriéndose su previsión en los Tratados, en otros actos legislativos adoptados en virtud de los mismos o, si fuera necesario, por decisión del Supervisor Europeo de Protección de Datos. — Finalmente, la jurisprudencia sobre derecho de acceso había girado hasta el momento fundamentalmente sobre la apreciación de excepciones distintas al derecho a la intimidad, debido al tipo de Administración indirecta propia de las Instituciones comunitarias, a excepción de un par de sentencias aún recientes que avanzaron líneas del entendimiento del alcance de la protección de datos y del concepto de dato personal, así como de su relación con el derecho de acceso, bien que aún necesitadas de profundización. En ellas, el TJCE consideró que toda información que incluya el nombre de una persona es un dato personal a los efectos de la aplicación de la protección de datos, y ello incluso cuando el objetivo pretendido por el solicitante de acceso es información sobre un bien o una actividad, y no sobre una persona. Por tanto, aplica como normativa de referencia la de protección de datos, y no la de acceso, y con ello la regla del interés legítimo, ponderando el del titular y el del reclamante de acceso, teniendo en cuenta el interés concreto de la publicidad de dicha información para el control democrático del poder y la naturaleza de la información (su mayor o menor proximidad al núcleo de lo íntimo) 20 . 20 Así, en la STJCE de 14 de septiembre de 2000, Asunto C-369/98, Fischer se trataba de dilucidar si, en el marco del sistema integrado de gestión y control relativo a determinados regímenes de ayudas comunitarias, el nuevo titular de unas explotaciones tiene 336 337 JURISPRUDENCIA EMILIO GUICHOT II. EL ASUNTO BAVARIAAT LAGE 1. Antecedentes fácticos y jurídicos Bavarian Lage es una empresa constituida en 1992 para la importación de derecho a que las autoridades nacionales le den información sobre los cultivos a que se habían destinado anteriormente sus explotaciones agrícolas. Dicha información se le denegó, invocando la normativa nacional sobre protección de datos. El TJCE estimó que la normativa comunitaria prevé la consulta de base de datos, sin limitarla a autoridades nacionales y comunitaria, y que un solicitante de ayudas tiene un interés esencial y legítimo en poder disponer de la información necesaria para presentar una solicitud de pagos compensatorios correcta y evitar ser objeto de sanciones. De este modo, no cabe condicionar la comunicación de estos datos al consentimiento del tercero. Su Abogado General Alber, en las conclusiones a esta Sentencia, precisó aún más, pudiendo sintetizarse su planteamiento del siguiente modo: a) No basta la mera invocación de la protección de datos para excluir todo acceso inconsentido, ya que el derecho de acceso se basa en el principio de transparencia que sólo puede limitarse cuando existan motivos especiales que lo justifiquen; b) el que pretende acceder a la información que contenga datos personales debe pretender una finalidad legítima relacionada con el propio objetivo de la creación del sistema de información; c) es preciso que los datos no sean accesibles por otro medio distinto. d) Es necesaria una cuidadosa ponderación de intereses, a la vista de las repercusiones que, en cada caso, puede tener para el demandante de acceso y para el titular de datos personales la decisión que se adopte, debiendo en todo caso prevalecer el derecho de acceso cuando la difusión no perjudique los intereses del sujeto de la información. Entiende que en este caso debe concederse el acceso. Por su parte, en la STJCE de 20 de mayo de 2003, Asuntos acumulados C-465/00, C-138 y 139/01, Osterreichischer Rundfunk se planteaba si ante una normativa sobre publicación de los salarios más elevados pagados por la Administración nacional, había de prevalecer el principio de transparencia y control democrático (que, como sabemos, está en la base del derecho de acceso a la información pública), o el principio de consentimiento como integrante del derecho a la protección de datos. Resulta significativo que, junto al Gobierno austriaco, como parte implicada, se personaran para defender la prevalencia del primero, además del italiano, Gobiernos de países con una profunda tradición de transparencia y control democrático como los de Dinamarca, Suecia y Finlandia, que defendían que la protección de los datos debe ceder ante el principio de transparencia, que ocupa un lugar esencial en el ordenamiento jurídico comunitario, prueba de lo cual sería la mención de la Exposición de Motivos a la que antes hicimos alusión, así como las excepciones al principio de consentimiento autorizadas por la Directiva cuando los tratamientos son necesarios para el cumplimiento de una obligación jurídica a la que esté sujeto el responsable del tratamiento; y los necesarios para el cumplimiento de una misión de interés público o inherente al ejercicio del poder público conferido al responsable del tratamiento a quienes se comuniquen los datos. Asimismo, al amparo del artículo 13 de la Directiva 95/46, los Estados miembros pueden establecer excepciones para salvaguardar varios objetivos de interés general y, en particular, «un interés económico y financiero importante de un Estado miembro». Es decir, la protección de datos no es absoluta, como no lo es tampoco el derecho a la vida privada reconocido en el artículo 8 CEDH. Por ello, habría que ponderar y para ello hay que atender a la naturaleza de los datos, si se trata de datos sensibles o que afectan a la intimidad, o por el contrario de datos personales que afectan en menor medida a la identidad de la persona. Por el contrario, datos como éstos, de carácter económico, relativo a personas que actúan en el ejercicio de funciones públicas, y que son de facto públicos en la mayoría de los Estados, de tablas de salarios o de horquillas de retribuciones establecidas por ley, reglamento o convenios colectivos. Aún así, habría que plantearse si el objetivo puede cumplirse mediante la publicación anónima 338 cerveza alemana en Reino Unido que vio impedido el ejercicio de su actividad por la normativa británica que permitía la existencia de contratos de exclusividad entre los pubs y empresas cerveceras locales, salvo en el caso de las grandes cadenas, respecto a las cuales, en todo caso, la excepción legal a la exclusividad sólo se aplicaba a la cerveza envasada en barril, y no a las embotelladas. Dicha empresa presentó en 1993 una denuncia ante la Comisión por presunta vulneración del Tratado, por constituir a su juicio una medida de efecto equivalente, que dio origen en 1995 a la apertura de un procedimiento por incumplimiento, de la que fue informada la demandante, junto al dato de que se había enviado al Reino Unido un escrito de requerimiento. En octubre de 1996 tuvo lugar una reunión entre representantes de la Comisión, del Ministerio de Comercio e Industria británico y de la Confederación de Cerveceras del Mercado Común. La demandante había solicitado participar pero la Comisión denegó su solicitud. A resultas de dicho procedimiento, el Reino Unido anunció en marzo de 1997 y aprobó en agosto del mismo año una modificación de la normativa, para que la cerveza embotellada pudiera venderse en las mismas condiciones que la cerveza envasada en barril y la Comisión decidió suspender el procedimiento sin notificar dictamen motivado. Una vez aprobada la nueva normativa, se archivó el procedimiento por incumplimiento el 10 de diciembre de 1997. Entre tanto, en 1997 se sucedieron solicitudes por parte del demandante de acceso al texto del dictamen motivado, y denegaciones por parte de la Comisión. La denegación final impugnada se basa en la aplicación de la excepción al derecho de acceso contemplada en el Código de Conducta relativo al acceso del público a los documentos del Consejo y de la Comisión, de 8 de febrero de 1994, conforme a la cual el acceso debe denegarse cuando pueda suponer un perjuicio para la protección del interés público, y en particular para las tareas de inspección y de investigación de la Comisión, como ocurriría en un caso como éste en que es preciso respetar la naturaleza confidencial de dichos procedimientos y que exista una cooperación sincera y un ambiente de confianza mutua entre la Comisión y el Estado miembro que permitan la negociación. Impugnada la denegación, el TPI advirtió que de su jurisprudencia no se deduce que todos los documentos relacionados con los procedimientos por incumplimiento se encuentren cubiertos por la excepción basada en la protección del interés público. Estimó que en este caso no se trataba de un «dictamen motivado», sino de un documento preparatorio del mismo ya que cuando se solicitó el acceso, la Comisión había suspendido su decisión de emitir el dictamen motivado, por lo que el procedide los datos. En el caso de autos, los términos de comparación serían el interés de la República de Austria en garantizar la utilización óptima de los fondos públicos y, en particular, el mantenimiento de los salarios dentro de unos límites razonables con la gravedad de la lesión al derecho de las personas afectadas al respeto de su intimidad. La ponderación queda remitida al juez nacional, pero el Tribunal Comunitario apunta a la anonimización de los datos personales, e, incluso, a la publicación de las retribuciones generales de los diferentes puestos como medidas más proporcionadas. 339 JURISPRUDENCIA EMILIO GUICHOT miento por incumplimiento se encontraba todavía en fase de inspección e investigación. Apreció que una divulgación de documentos relativos a la fase de investigación, durante las negociaciones entre la Comisión y un Estado miembro, podría perjudicar el correcto desarrollo del procedimiento por incumplimiento, lo que justificaba la denegación. Junto al recurso ante el TPI, la demandante acudió simultáneamente ante el Defensor del Pueblo Europeo, presentando una reclamación en julio de 1998, en la que precisaba que pretendía obtener el nombre de los representantes de la Confederación de Cerveceras del Mercado Común que habían asistido a la reunión de octubre de 1996 y de las sociedades y personas que habían realizado comentarios incluidos en el expediente. La Comisión pidió permiso a dichas personas para revelar su identidad y comunicó tan sólo la de aquellos que lo dieron. El Defensor del Pueblo propuso la comunicación de todas las identidades pero la Comisión, en su dictamen motivado de julio de 2000 mantuvo la necesidad de consentimiento, aceptando facilitar la identidad de los que no habían respondido a su solicitud. En noviembre de 2000 el Defensor del Pueblo entregó su Informe especial al Parlamento Europeo, a raíz del proyecto de recomendación dirigido a la Comisión en el que concluyó que no existe ningún derecho fundamental que se oponga a la divulgación de informaciones comunicadas a una autoridad administrativa bajo el más absoluto secreto y que la Directiva sobre protección de datos no exige que la Comisión guarde en secreto los nombres de las personas que le comunican opiniones o informaciones en el marco del ejercicio de sus funciones. El Parlamento Europeo, como respuesta al Informe especial, se pronunció en su sesión de 11 de diciembre de 2001 e hizo suya esta aproximación, aprobando la conclusión del Defensor del pueblo y considerando que la Comisión había interpretado erróneamente la Directiva. Al calor de estas tomas de posición y del cambio de normativa consecuencia de la aprobación del Reglamento núm. 1049/2001, el demandante planteó en diciembre de 2003 nueva solicitud de acceso a los documentos mencionados, que fue respondida por la Comisión en enero de 2004, otorgándolo respecto de algunos documentos relativos a la reunión de octubre de 1996, pero ocultando los nombres de dos personas que se habían opuesto expresamente a que se divulgase su identidad y no había podido ponerse en contacto con las otras tres. Presentada solicitud confirmatoria en febrero, fue desestimada en marzo, argumentando que era de aplicación el Reglamento núm. 1049/2001, sobre protección de datos, que exige la acreditación de un objetivo expreso y legítimo y la necesidad de la comunicación, por lo que debía apreciarse la excepción prevista en el Reglamento núm. 1049/ 2001 sobre derecho de acceso referida a «la protección de la intimidad y la integridad de la persona, en particular de conformidad con la legislación comunitaria sobre protección de los datos personales». Añadió que, incluso de no ser de aplicación la normativa sobre protección de datos, la denegación podía fundarse asimismo en la excepción relativa a la protección del objetivo de las actividades de inspección, investigación y auditoría. Ante la confirmación de la negativa parcial al acceso, la demandante interpuso recurso en mayo de 2004. 2. La Sentencia del TPI de 8 de noviembre de 2007, T-194/04 (aún sin publicar) En el recurso se personó en apoyo de la demandante el Supervisor europeo de Protección de Datos para defender la comunicación a un tercero de los datos personales (la identidad) de cinco personas. Lo que parecía una paradoja lo era, a nuestro juicio, sólo aparentemente, pues buscaba la consolidación jurisprudencial de los criterios sobre la relación entre publicidad y reserva que él mismo había formulado, como hemos visto, meses antes, en julio de 2005. Las espadas estaban en todo lo alto y, a diferencia de la primera sentencia, el centro de gravedad se encontraba en las relaciones entre derecho de acceso y derecho a la protección de datos personales. La argumentación del TPI es prolija y del máximo interés 21 . En lo que aquí nos interesa, esto es, la interpretación de las relaciones acceso/protección de datos, puede resumirse en los siguientes puntos: 1 2 ) Las solicitudes de acceso deben analizarse a la luz del Reglamento núm. 1049/2001, esto es, del que regula dicho derecho, que no obliga a justificar la solicitud ni, por ello, a demostrar interés alguno. El principio, conforme a dicha normativa, es el acceso y la denegación sólo cabe cuando concurre alguna de las excepciones previstas en dicho Reglamento, que deben interpretarse y aplicarse restrictivamente, de modo que no se frustre el principio general. 2') La relación entre los Reglamentos núm. 1049/2001 y núm. 45/2001 es la siguiente. El Reglamento núm. 45/2001 establece expresamente, en su decimoquinto considerando, que el acceso a los documentos, incluidas las condiciones de acceso a los documentos que contienen datos personales, dependen de las normas adoptadas sobre la base del artículo 255 CE, es decir, que desarrollan el derecho de acceso. Por tanto, el acceso a dichos documentos entra en el ámbito de aplicación del Reglamento núm. 1049/ 2001. Este último, a su vez, afirma, en su undécimo considerando, que al evaluar las excepciones, las instituciones deben tener en cuenta los principios vigentes en la legislación comunitaria relativos a la protección de los datos personales, lo que incluye al propio Reglamento núm. 45/2001. Un repaso de las disposiciones de dicho Reglamento relevantes a estos efectos le lleva a considerar que un tratamiento es lícito cuando es necesario para el cumplimiento de una obligación jurídica a la que esté sujeto el responsable del tratamiento, una de las cuales es precisamente proveer el acceso a 21 Por lo demás, la sentencia comienza inadmitiendo la pretensión dirigida a que el TPI ordene a la Comisión que comunique el nombre de todas las personas que asistieron a la reunión, porque, como es sabido, «en el marco del control de la legalidad que ejerce el TPI, éste no puede dirigir órdenes conminatorias a las instituciones o hacer sus veces», principio que se aplica a todos los ámbitos contenciosos, incluido el acceso a documentos. 340 341 JURISPRUDENCIA EMILIO GUICHOT los documentos en poder de las Instituciones en los términos del Reglamento núm. 1049/2001. En cuanto al requisito de la normativa de acceso de que el destinatario demuestre la necesidad de que se transmitan los datos y no existan motivos para suponer que ello pudiera perjudicar los intereses legítimos del interesado, por una parte, al no exigir la normativa sobre acceso justificación de la solicitud, el solicitante no está obligado a demostrar la necesidad y, por otra, la propia previsión de la excepción por protección de la intimidad y la integridad de la persona lleva a descartar la existencia de motivos para suponer la posibilidad de un perjuicio. Al tratarse de una obligación jurídica, no cabe tampoco accionar el derecho de oposición de la normativa sobre protección de datos, si bien de nuevo la previsión de la excepción por protección de la intimidad y la integridad de la persona conduce a que deba tenerse en cuenta, sobre esta base, la incidencia de la divulgación de los datos relativos al interesado. Por tanto, la comunicación no depende de la aceptación o la negativa del titular de los datos a su comunicación, sino de la concurrencia objetiva de dicho perjuicio. 3 2 ) Para interpretar la excepción, contenida en la normativa sobre acceso, relativa a la protección de la intimidad, hay que acudir a la interpretación de los derechos fundamentales, tal y como se garantizan en el Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales (CEDH) y como resultan de las tradiciones constitucionales comunes a los Estados miembros como principios generales del Derecho Comunitario, conforme dispone el artículo 6.2 UE. Al respecto, el TPI hace un recorrido por la jurisprudencia que interpreta el derecho a la vida privada en el CEDH, que le lleva a constar que las actividades profesionales y comerciales y el derecho a la protección de datos no están excluidas del mismo. Ahora bien, no todos los datos personales entran necesariamente en el concepto de «intimidad». Al respecto, hay una referencia a los datos especialmente protegidos como aquellos cuyo tratamiento es más susceptible de afectar a la intimidad, lo que no significa que sean los únicos que pueden producir este efecto. La aplicación de estos principios al caso de autos le lleva a considerar que la lista de los participantes en la reunión contiene datos personales, pero este mero hecho no significa que su difusión ponga en peligro su intimidad o integridad, pese a que la actividad profesional no esté en principio excluida del concepto de «vida privada» en el sentido del artículo 8 CEDH. Se trata de personas que asistieron en calidad de representantes de una organización empresarial, y no a título personal, y cuyas manifestaciones fueron imputables a dichas entidades y no opiniones personales. Su difusión no puede, de forma concreta y efectiva, suponer un perjuicio para su intimidad e integridad. Sobre el argumento de si había un previo compromiso de confidencialidad por parte de la Comisión o una solicitud de la misma durante la reunión por parte de los afectados, el TPI constata su inexistencia. La negativa fue dada una vez que la Comisión solicitó posteriormente la autorización y, como se dijo, estima que la normativa sobre acceso no concede relevancia a la voluntad del afectado sino a la concurrencia o no de 342 una amenaza objetiva para su intimidad, que no fue argumentada por las únicas dos personas que denegaron su autorización. Además, las personas que participaron en dicha reunión no pudieron considerar que las opiniones que que expresaban en nombre y por cuenta de las entidades que representaban tendrían un tratamiento confidencial. Se trataba de una reunión celebrada en el marco de un procedimiento por incumplimiento. Aunque el denunciante puede, en un procedimiento de este tipo, en virtud de las normas internas de la Comisión, elegir un tratamiento confidencial, tal tratamiento no está previsto para las demás personas que participan en la investigación. Además, habida cuenta de que la Comisión divulgó el acta, si bien expurgada de ciertos nombres, está claro que consideró que no se trataba de información protegida por el secreto profesional. El Reglamento núm. 45/2001 no exige que la Comisión guarde en secreto el nombre de las personas que le comunican opiniones o informaciones relativas al ejercicio de sus funciones. Por lo demás, sobre la segunda excepción invocada, referida a la protección del objetivo de las actividades de inspección, investigación y auditoría, recuerda que no basta que el documento controvertido corresponda a un procedimiento por incumplimiento y, por ende, a una actividad de investigación, para justificar la aplicación de la excepción. Se impone una apreciación estricta ad casum que demuestre que puede ponerse en peligro el citado objetivo. En este supuesto —a diferencia de lo que ocurría en la sentencia de 1999 en el mismo asunto— las actividades de investigación ya habían terminado seis años antes. Lo que se protege, además, no es la actividad de investigación en sí, sino su objetivo, en este caso, el cumplimiento por el Reino Unido del principio de prohibición de medidas con efecto equivalente, que en este caso no se ponía en cuestión con la divulgación de los nombres de las personas intervinientes. Ante la argumentación de la Comisión según la cual la divulgación en contra de su voluntad de la identidad de las personas que proporcionan información a la Comisión privaría a la Comisión de una fuente preciosa de información y amenazaría su capacidad para investigar presuntas infracciones del Derecho comunitario, recuerda de nuevo que hay que guiarse por una apreciación ad casum, de modo que si bien es cierto que la preservación del anonimato en casos de suministro de información puede ser un objetivo legítimo que justifique una denegación total o parcial de acceso, en este caso la Comisión no acreditó cómo podría perjudicarse a los objetivos de la actividad de investigación. Además, recuerda que el procedimiento por incumplimiento no prevé un tratamiento confidencial para las personas que participan en la investigación, con excepción del denunciante. Si la Comisión divulgó el acta en cuestión sin el nombre de las personas que no habían autorizado su divulgación, es porque estimó que, en principio, la divulgación de este documento no entraba en el ámbito de aplicación de la excepción prevista en el Reglamento núm. 1049/2001. III. CONCLUSIONES La sentencia que comentamos supone un paso decisivo en el esclareci- 343 EMILIO GUICHOT miento de las relaciones entre el derecho de acceso y el derecho a la protección de datos, llamado a irradiar su efecto no sólo en el Derecho comunitario, sino, más que probablemente, a orientar los ordenamientos nacionales, máxime cuando la normativa estatal sobre protección de datos es adaptación de una Directiva europea, y cuándo a través de los trabajos del Grupo 29 de dicha Directiva las Autoridades comunitarias (SEPD) y nacionales trabajan juntos en pro de una interpretación común. El principio sentado, que supone una evolución en su jurisprudencia, puede sintetizarse del siguiente modo: a la hora de enjuiciar una solicitud de acceso a información que contenga datos personales de un tercero, la normativa de aplicación es la reguladora del derecho de acceso, no la de protección de datos. Dicha normativa excepciona el principio de acceso en los casos en que pueda producirse un perjuicio efectivo para el derecho a la intimidad. El concepto de intimidad incluye tendencialmente los datos calificados de «especialmente protegidos» o «sensibles» por la normativa sobre protección de datos y puede incluso abarcar en determinadas circunstancias datos relativos a actividades profesionales o empresariales relacionadas, en su caso, con la actividad de los poderes públicos. Hay que estar en estos supuestos a un juicio ad casum acerca de la incidencia efectiva que pueda tener la comunicación de dichos datos sobre la intimidad del afectado, juicio objetivo que no se hace depender de la libre voluntad posterior de éste para otorgar o no su consentimiento —sí parece que pudiera ser relevante una voluntad expresa o implícita de confidencialidad previa—. Esta perspectiva general coincide por entero con los criterios más detallados contenidos en por el Supervisor Europeo de Protección de Datos en su documento «Public access to documents and data protection» aprobado en julio de 2005. La intervención de esta Institución a favor de una perspectiva como la indicada es un acto de valentía, y muestra la interrelación entre las materias de acceso a la información y de protección de datos, en las que, hasta tanto no se cree una máxima Autoridad de información, éste estará llamado, en todo caso, a jugar un papel fundamental, y al que bien podría atribuirse expresamente también dicho rol. En múltiples escritos hemos venido defendiendo desde hace tiempo la necesidad de perfilar las relaciones entre publicidad y reserva en la línea por fin acogida por el TPI, y aportando un decálogo detallado de directrices que creemos que deberían regir dichas relaciones, tanto de las claves materiales (como la necesidad de conciliación de ambos derechos, la distinción de informaciones que contienen en el nombre de una persona sin ser por ello personales, la atención a la mayor o menor proximidad al núcleo duro de la intimidad de las informaciones personales a la hora de la ponderación con el derecho de acceso a la información); de las procedimentales (como la información y audiencia de los afectados en las demandas de acceso, la motivación de las decisiones, el recurso a la anonimización o al acceso parcial cuando sea necesario, para minimizar la limitación a la transparencia, o la configuración del acceso electrónico en términos en que sea posible el respeto a estos principios), o las institucionales (con la garantía de la exis- 344 JURISPRUDENCIA tencia de Autoridades independientes de acceso a la información, bajo modelo de única o de doble agencia) 22 . Asimismo, hemos puesto de relieve la conveniencia de que la ponderación aplicativa fuera precedida por una previa ponderación legislativa —siquiera en sus trazos más gruesos, para no encorsetar y hacer demasiado rígido el sistema— como ocurre, notablemente, en el modelo canadiense, que hemos analizado recientemente en otro trabajo", que ha procedido a una doble escala ponderativa: el legislador, que establece cuándo debe prevalecer la publicidad en todo caso, considerando que no son datos personales a los efectos de la necesidad de consentimiento para su comunicación informaciones asociadas a una persona pero directamente relacionadas con la actividad pública, como los datos relacionados con empleados públicos, contratistas, subvenciones y permisos en que hay un elemento de discrecionalidad, etc.; y la Administración, a la que el propio legislador dota de facultades discrecionales de ponderación ad casum respecto a informaciones personales no excluidas ex lege de la necesidad de consentimiento, sometidas en todo caso a un control judicial pleno y a la vez respetuoso con dicho margen de discrecionalidad. En esta línea puede situarse, siquiera parcialmente, una de las últimas iniciativas sobre transparencia, el Libro verde de la Comisión, «Iniciativa europea a favor de la transparencia», publicado el 3 de mayo de 2006, que plantea la necesidad de regular la publicidad de las relaciones entre las Instituciones y los grupos de presión (lobbies) así como el nombre de los beneficiarios de fondos comunitarios. 22 Véase los trabajos citados en nota 1. 23 Publicidad frente a privacidad de la información personal en Derecho canadiense: lecciones para el derecho europeo, Revista Española de Protección de Datos, núm. 3, 2007, en prensa. 345