Artículo 2 del Reglamento General de Protección de Datos: ámbito de aplicación material

ARTÍCULO 2 DEL REGLAMENTO GENERAL DE PROTECCIÓN DE DATOS ÁMBITO DE APLICACIÓN MATERIAL ARTICLE 2 OF THE GENERAL DATA PROTECTION REGULATION MATERIAL SCOPE FRANCISCO SALVADOR GIL GARCÍA DOCTORANDO EN DERECHO PROCESAL UNIVERSIDAD DE SEVILLA 105 REVISTA DE DERECHO PROCESAL DE LA ASOCIACIÓN IBEROAMERICANA DE LA UNIVERSIDAD DE SALAMANCA SUMARIO: I. ALCANCE Y JUSTIFICACIÓN. II. GÉNESIS Y EVOLUCIÓN. 1. Panorama internacional. 2. Contexto regional. 3. Desarrollo nacional. III. ANÁLISIS Y EVALUACIÓN. 1. Introducción. 2. Conceptos clave. 3. Actividades personales o domésticas. 4. Actividades excluidas del ámbito de aplicación del Derecho de la Unión. 5. Actividades relativas a la política exterior y de seguridad común de la Unión. 6. Actividad policial. 7. Tratamiento de datos por autoridades judiciales. 8. Instituciones, órganos y organismos de la Unión. 9. Directiva sobre la privacidad y las comunicaciones electrónicas. 10. Directiva sobre el comercio electrónico. IV. BIBLIOGRAFÍA. 107 I. ALCANCE Y JUSTIFICACIÓN El artículo 2 determina el ámbito de aplicación material del RGPD. En su primer apartado, el artículo 2 del RGPD describe, de forma positiva, aquellas materias que se encuentran comprendidas en su ámbito de aplicación material, tras afirmar que éste se aplica “al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero”. De este modo, el artículo 2 del RGPD no distingue entre los sectores público y privado, por lo que cabe entender comprendidos ambos en su ámbito de aplicación material1. Si bien, cabe señalar que el ámbito de aplicación material formulado en el primer apartado queda limitado por el segundo, donde se excluyen ciertas actividades relativas al tratamiento de datos, como puedan ser las “actividades exclusivamente personales o domésticas” [artículo 2.2, letra c), del RGPD]. El resto de actividades excluidas previstas en el segundo apartado del artículo 2 del RGPD se encuentran indisociablemente vinculadas a áreas políticas, en las que la UE, o bien no tiene competencias, o bien sólo tiene competencias limitadas, o para las cuales se aplican normas específicas. Ello comprende el tratamiento de datos personales efectuado por autoridades nacionales competentes con fines lícitos. Estas exclusiones reflejan la antigua estructura de pilares de la UE, que quedó abolida, tras la entrada en vigor del Tratado de Lisboa en el año 2009. Este nuevo instrumento introdujo una base jurídica específica para que la UE pudiera ejercer sus competencias y regular, en consecuencia, las normas sobre protección de datos: el artículo 16 del Tratado de Funcionamiento de la Unión Europea («TFUE»)2. A fin de establecer un mercado interior y garantizar su funcionamiento, la Unión aprobó la antigua DPD/95 (artículo 114 TFUE), cuyo instrumento excluía de su ámbito de aplicación todas aquellas materias incluidas en las áreas relativas a: i) la política exterior y de seguridad común de la Unión prevista en el Título V del TUE, bajo la rúbrica “Disposiciones relativas a la política exterior y de seguridad común” (segundo pilar); y, ii) la cooperación en los ámbitos de la justicia y los asuntos de interior prevista en el Título VI del TUE, bajo la rúbrica “Disposiciones relativas a la cooperación en los ámbitos de la justicia y de los asuntos de interior” (tercer pilar)3. La nueva base jurídica, que proporcionó el Tratado de Lisboa, permitió a la Unión adoptar un conjunto de normas que pudieran ser aplicadas al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, así como por las autoridades nacionales competentes en la fase de investigación, durante un proceso penal. Sin embargo, la Comisión Europea, sobre la base del artículo 16 del TFUE, decidió mantener su propuesta inicial relativa a la aprobación y entrada en vigor: a) un reglamento general sobre protección de datos; y, b) una directiva específica sobre protección de datos en materia penal. Aunque esta decisión no fue fácil tampoco debe olvidarse que la misma estuvo fuertemente condicionada por la sensibilidad política de aquel momento, tendente a lograr una verdadera aproximación normativa en esta materia, tal como se refleja en la Declaración núm. 21 relativa a protección de datos de carácter personal en el ámbito de la cooperación judicial en materia penal y de la cooperación policial, aneja al Tratado de Lisboa, en la que la Conferencia Intergubernamental reconoció que: 1 Sobre las críticas realizadas al RGPD en relación con la afirmación de que hubiera sido mejor contar con disposiciones específicas para el sector público, diferenciadas del sector privado, léase BLUME, Peter & SVANBERG, Christian Wiese, “The Proposed Data Protection Regulation: The Illusion of Harmonisation, the Private/Public Sector Divide and the Bureaucratic Apparatus”, Cambridge Yearbook of European Legal Studies, Vol. 15, 2013, p. 27. 2 Un detenido análisis de las normas sobre protección de datos, en virtud del artículo 16 del TFUE, puede encontrarse en HIJMANS, Hielke, The European Union as Guardian of Internet Privacy. The Story of Art. 16 TFEU, Law, Governance and Technology Serie, Volume 31, Springer, Switzerland, 2016. 3 En este mismo sentido, léase HIJMANS, Hielke & SCIROCCO, Alfonso, “Shortcomings in EU Data Protection in the Third and Second Pillars: Can the Lisbon Treaty Be Expected to Help?”, Common Market Law Review, Vol. 46, núm. 5, 2009, p. 1485. 108 “podrían requerirse normas específicas para la protección de datos de carácter personal y la libre circulación de dichos datos en los ámbitos de la cooperación judicial en materia penal y de la cooperación policial que se basen en el artículo 16 del Tratado de Funcionamiento de la Unión Europea, en razón de la naturaleza específica de dichos ámbitos”4. En su tercer apartado, el artículo 2 del RGPD afirma que el tratamiento de datos personales por parte de las instituciones, órganos y organismos de la Unión quedará sujeto, en todo caso, a otras normas sobre protección de datos, que “se adaptarán a los principios y normas del [RGPD], de conformidad con el artículo 98” (relativo a la “Revisión de otros actos jurídicos de la Unión en materia de protección de datos”). Durante su tramitación, el Parlamento Europeo trató de incluir, en reiteradas ocasiones, a las instituciones, órganos y organismos de la Unión en el ámbito de aplicación del RGPD (aun cuando la Comisión Europea había propuesto no hacerlo). Sin embargo, no fue hasta las últimas negociaciones, cuando se acordó, definitivamente, su exclusión. II. GÉNESIS Y EVOLUCIÓN 1. PANORAMA INTERNACIONAL El Convenio n.º 108 del Consejo de Europa solo contiene una descripción positiva de su ámbito de aplicación material, otorgando suficiente margen a las Partes, para que sean éstas quienes notifiquen, mediante una declaración al Secretario general del Consejo de Europa, la exclusión de ciertas categorías de ficheros automatizados. De este modo, el ámbito de aplicación material del Convenio 108 queda circunscrito a los ficheros de datos personales automatizados. Del mismo modo, las Partes también podrán hacer saber, mediante declaración dirigida al Secretario general del Consejo de Europa, que aplicarán el Convenio al tratamiento de informaciones relativas a agrupaciones, asociaciones, fundaciones, sociedades, compañías o cualquier otro organismo, compuesto, directa o indirectamente, por personas físicas, posean o no personalidad jurídica (artículo 3.2, letra b), Convenio n.º 108 del Consejo de Europa (actualizado)]. En consecuencia, el ámbito de aplicación material del Convenio sólo comprende “[e]l tratamiento de datos dentro de su jurisdicción en los sectores público y privado, garantizando, de este modo, el derecho a la protección de los datos personales de cada individuo” [artículo 3.1 Convenio n.º 108 del Consejo de Europa (actualizado)]. A diferencia de lo dispuesto en el artículo 3.1 del Convenio n.º 108 del Consejo de Europa, el RGPD excluye, expresamente, de su ámbito de aplicación material, “el tratamiento de datos personales relativos a personas jurídicas, incluido el nombre y la forma de la persona jurídica y sus datos de contacto” (Considerando 14). 2. CONTEXTO REGIONAL El artículo 2 del RGPD sigue siendo el sucesor del artículo 3 de la DPD/95; tanto es así, que, tras una detenida lectura del mismo, se puede concluir que la formulación positiva del ámbito de aplicación material de ambas disposiciones resulta idéntica. Entre las exclusiones, la principal diferencia se encuentra en el artículo 2 del RGPD, cuya disposición incluye una referencia explícita a las normas específicas sobre cooperación policial. De este modo, el RGPD no hace referencia ya a las “las actividades del Estado relacionadas con el ámbito del derecho penal” (Considerando 16), sino que alinea la exclusión con el ámbito de aplicación material de la DPD/16. Ello permite conocer, con mayor claridad y facilidad, si las entidades privadas quedan o no subsumidas en el ámbito de aplicación material del RGPD, cuando éstas proporcionen, a las autoridades policiales, aquella información que hubieran recopilado con fines comerciales. 4 Declaraciones anejas al Acta Final de la Conferencia Intergubernamental que ha adoptado el Tratado de Lisboa, firmado el 13 de diciembre de 2007 (DOUE C 326, de 26.10.2012, p. 347). 109 En los “casos PNR” 5, el TJUE declaró que las actividades de las compañías aéreas, entre ellas, la transferencia de los registros relativos a los nombres de los pasajeros [Passenger Name Records (en lo sucesivo, «PNR», por sus siglas en inglés)] al United States Bureau of Customs and Border Protection (Servicio de aduanas y protección de fronteras de Estados Unidos) requerían un tratamiento de datos, que no tenían, por objeto, la prestación del servicio6, sino que se consideraban necesarias para salvaguardar la seguridad pública y las actividades del Estado en materia penal7, por lo que se trataba de un tratamiento de datos personales efectuado en el ejercicio de actividades no comprendidas en el ámbito de aplicación del Derecho de la Unión. En consecuencia, el TJUE concluyó que las medidas de la UE, destinadas a tales actividades, quedaban, en todo caso, excluidas del ámbito de aplicación de la DPD/95, dado que el artículo 95 CE, relativo al establecimiento y funcionamiento del mercado interior, no constituía una base jurídica adecuada para la adopción de la Decisión 2004/496/CE del Consejo, de 17 de mayo de 2004, relativa a la celebración de un Acuerdo entre la Comunidad Europea y los Estados Unidos de América sobre el tratamiento y la transferencia de los datos de los expedientes de los pasajeros por las compañías aéreas al Departamento de seguridad nacional, Oficina de aduanas y protección de fronteras, de los Estados Unidos8 y la Decisión 2004/535/CE de la Comisión, de 14 de mayo de 2004, relativa al carácter adecuado de la protección de los datos personales incluidos en los registros de nombres de los pasajeros que se transfieren al Servicio de aduanas y protección de fronteras de los Estados Unidos9, cuyas medidas debían haberse fundado en las “Disposiciones relativas a la cooperación en los ámbitos de la justicia y de los asuntos de interior (JAI)”, reguladas por el Título VI del TUE (antiguo tercer pilar de la Unión)10. En relación con el ámbito de aplicación material de la DPD, se ha pronunciado, en diversas ocasiones, el TJUE, tras mostrar especial interés por la compleja relación existente entre el primer guión de su artículo 3.2 (“Ámbito de aplicación” – Exclusión – Tratamiento de datos personales efectuado en el ejercicio de actividades no comprendidas en el ámbito de aplicación del Derecho de la Unión), y su artículo 13 (“Excepciones y limitaciones”). 5 STJCE de 30 de mayo de 2006, Gran Sala, Caso Parlamento Europeo contra Consejo de la Unión Europea y Comisión de las Comunidades Europeas, Asuntos acumulados C-317/04 y C-318/04, Recursos de anulación contra la Decisión 2004/496/CE del Consejo, de 17 de mayo de 2004, relativa a la celebración de un Acuerdo entre la Comunidad Europea y los Estados Unidos de América sobre el tratamiento y la transferencia de los datos de los expedientes de los pasajeros por las compañías aéreas al Departamento de seguridad nacional, Oficina de aduanas y protección de fronteras, de los Estados Unidos, ECR I-04721, Ref. ECLI:EU:C:2006:346 y Ponente: N. Colneric. 6 STJCE de 30 de mayo de 2006 (apdos. 57), Gran Sala, Caso Parlamento Europeo contra Consejo de la Unión Europea y Comisión de las Comunidades Europeas, Asuntos acumulados C-317/04 y C-318/04, Recursos de anulación contra la Decisión 2004/496/CE del Consejo, de 17 de mayo de 2004, relativa a la celebración de un Acuerdo entre la Comunidad Europea y los Estados Unidos de América sobre el tratamiento y la transferencia de los datos de los expedientes de los pasajeros por las compañías aéreas al Departamento de seguridad nacional, Oficina de aduanas y protección de fronteras, de los Estados Unidos, ECR I-04721, Ref. ECLI:EU:C:2006:346 y Ponente: N. Colneric. 7 STJCE de 30 de mayo de 2006 (apdos. 56 y 58, in fine), Gran Sala, Caso Parlamento Europeo contra Consejo de la Unión Europea y Comisión de las Comunidades Europeas, Asuntos acumulados C-317/04 y C-318/04, Recursos de anulación contra la Decisión 2004/496/CE del Consejo, de 17 de mayo de 2004, relativa a la celebración de un Acuerdo entre la Comunidad Europea y los Estados Unidos de América sobre el tratamiento y la transferencia de los datos de los expedientes de los pasajeros por las compañías aéreas al Departamento de seguridad nacional, Oficina de aduanas y protección de fronteras, de los Estados Unidos, ECR I-04721, Ref. ECLI:EU:C:2006:346 y Ponente: N. Colneric. 8 DOCE L 183, de 20.05.2004, p. 83, y corrección de errores en DOCE L 255, de 30.09.2005, p. 168. 9 DOCE L 235, de 06.07.2004, p. 11. 10 STJCE de 30 de mayo de 2006 (apdos. 63-70), Gran Sala, Caso Parlamento Europeo contra Consejo de la Unión Europea y Comisión de las Comunidades Europeas, Asuntos acumulados C-317/04 y C-318/04, Recursos de anulación contra la Decisión 2004/496/CE del Consejo, de 17 de mayo de 2004, relativa a la celebración de un Acuerdo entre la Comunidad Europea y los Estados Unidos de América sobre el tratamiento y la transferencia de los datos de los expedientes de los pasajeros por las compañías aéreas al Departamento de seguridad nacional, Oficina de aduanas y protección de fronteras, de los Estados Unidos, ECR I-04721, Ref. ECLI:EU:C:2006:346 y Ponente: N. Colneric. En este mismo sentido, se ha pronunciado DOCKSEY, “The European Court of Justice and the Decade of Serveillance”, en HIJMANS, Hielke & KRANENBORG, Herke (eds.), Data Protection Anno 2014: How to Restore Trust?, Intersentia, United Kingdom, 2014, p. 97. 110 Esta difícil relación desencadenó un importante debate en el seno de la Unión, que se ha mantenido vigente, durante décadas, debido a la existencia de limitaciones similares en ambas disposiciones; así, mientras el artículo 3.2 de la DPD excluía de su ámbito de aplicación, “el tratamiento de datos efectuado en el ejercicio de actividades no comprendidas en el ámbito de aplicación del Derecho comunitario”, como puedan ser, entre otras, aquellas que tuvieran, por objeto, “la seguridad pública, la defensa, la seguridad del Estado (incluido el bienestar económico del Estado cuando dicho tratamiento esté relacionado con la seguridad del Estado) y las actividades del Estado en materia penal”, su artículo 13 autorizaba a los Estados miembros a adoptar aquellas medidas legislativas necesarias para limitar o restringir el alcance de los derechos y las obligaciones previstos en el texto de la Directiva, “cuando tal limitación [hubiera sido considerada] una medida necesaria para la salvaguardia de: a) la seguridad del Estado; b) la defensa; c) la seguridad pública; d) la prevención, la investigación, la detección y la represión de infracciones penales o de las infracciones de la deontología en las profesiones reglamentadas; e) un interés económico y financiero importante de un Estado miembro o de la Unión Europea, incluidos los asuntos monetarios, presupuestarios y fiscales; f) una función de control, de inspección o reglamentaria relacionada, aunque sólo sea ocasionalmente, con el ejercicio de la autoridad pública en los casos a que hacen referencia las letras c), d) y e); [así como,] g) la protección del interesado o de los derechos y libertades de otras personas”. En el caso de Tele211, el TJUE declaró que las finalidades a las que deben responder tales medidas – entre ellos, la salvaguarda de la seguridad nacional, de la defensa y de la seguridad pública, así como la prevención, investigación, descubrimiento y persecución de delitos o la utilización no autorizada del sistema de comunicaciones electrónicas, coinciden en esencia con las finalidades que persiguen las actividades– coinciden, en esencia, con los objetivos que persiguen ambas disposiciones. Ello presupone que las medidas nacionales mencionadas han de quedar, necesariamente, comprendidas en su ámbito de aplicación, dado que excluir esas medidas nacionales del alcance de la Directiva privaría al artículo sobre limitaciones y excepciones de cualquier propósito. Los posibles efectos adversos de cualquier otra interpretación condujeron al TJUE, a confirmar en el caso Puškár12, que la excepción prevista en el primer guión del artículo 3.2 de la DPD (relativa a la exclusión de aquellas actividades no comprendidas en el ámbito de aplicación del Derecho de la Unión) debía ser interpretada, de forma restrictiva13. En consecuencia, la única novedad que introduce el artículo 2 del RGPD, en comparación con el artículo 3 de la DPD/95, es la referencia expresa que realiza a las normas sobre protección de datos relativas a las instituciones, órganos y organismos de la Unión. En este sentido, también resulta novedosa la referencia en el último apartado del artículo 2 del RGPD a la Directiva 2000/31/CE del Parlamento Europeo y del Consejo, de 8 de junio de 2000, relativa a determinados aspectos jurídicos de los servicios de la sociedad de la información, en particular el comercio electrónico en el mercado interior (en lo sucesivo, «Directiva sobre el comercio electrónico»). 11 STJCE de 21 de diciembre de 2016 (apdos. 72 y 73), Gran Sala, Caso Sverige AB y Post- och telestyrelsen, y Secretary of State for the Home Department y Tom Watson, Peter Brice y Geoffrey Lewis, Asuntos acumulados C-203/05 y C- 698/15, Cuestiones prejudiciales, Ref. ECLI:EU:C:2016:970 y Ponente: T. von Danwitz. El razonamiento seguido en el caso Tele2 fue confirmado, más tarde, en la STJUE de 2 de octubre de 2018 (apdos. 29-39), Gran Sala, Caso Ministerio Fiscal, Asunto C-207/16, Cuestión prejudicial, Ref. ECLI:EU:C:2018:788 y Ponente: T. von Danwitz. 12 STJUE de 27 de septiembre de 2017 (apdos. 35-44), Sala Segunda, Caso Peter Puškár y Finan_né riaditeRstvo Slovenskej republiky y Kriminálny úrad finan_nej správy, Asunto C-73/16, Cuestión prejudicial, Ref. ECLI:EU:C:2017:725 y Ponente: A. Rosas; y, Conclusiones de la Abogado General (apdos. 26-30), la Sra. Juliane Kokott, en el Caso Peter Puškár y Finan_né riaditeRstvo Slovenskej republiky y Kriminálny úrad finan_nej správy, Asunto C-73/16, presentadas el 30 de marzo de 2017 (Ref. ECLI:EU:C:2017:253). 13 Como han subrayado tanto la STJUE de 27 de septiembre de 2017 (apdo. 38, in fine), Sala Segunda, Caso Peter Puškár y Finan_né riaditeRstvo Slovenskej republiky y Kriminálny úrad finan_nej správy, Asunto C-73/16, Cuestión prejudicial, Ref. ECLI:EU:C:2017:725 y Ponente: A. Rosas; como las Conclusiones de la Abogado General (apdos. 26-30), la Sra. Juliane Kokott, en el Caso Peter Puškár y Finan_né riaditeRstvo Slovenskej republiky y Kriminálny úrad finan_nej správy, Asunto C-73/16, presentadas el 30 de marzo de 2017 (Ref. ECLI:EU:C:2017:253). 111 3. DESARROLLO NACIONAL El RGPD será obligatorio en todos sus elementos –alcance general– y directamente aplicable en cada Estado miembro (artículos 99.2, párr. 2º, y 288 TFUE). Por esta razón, los Estados miembros podrán adaptar su ordenamiento nacional. Si bien, cabe destacar que éste no es el caso del ámbito de aplicación material del RGPD, ya que sólo el alcance de la exclusión relativa al tratamiento de datos personales efectuado por las autoridades competentes con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales, o de ejecución de sanciones penales, incluida la de protección frente a amenazas a la seguridad pública y su prevención, dependerá de la extensión que le otorgue la legislación nacional. III. ANÁLISIS Y EVALUACIÓN 1. INTRODUCCIÓN El RGPD se aplica “al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero” (artículo 2.1 RGPD). A fin de lograr una mayor comprensión del alcance y extensión de su ámbito de aplicación, deviene imprescindible realizar un detallado análisis de los siguientes conceptos: a) «datos personales» (artículo 4, apdo. 1, RGPD); b) «tratamiento» (artículo 4, apdo. 2, RGPD); y, c) «fichero» (artículo 4, apdo. 6, RGPD). 2. CONCEPTOS CLAVE Para evitar cualquier grave riesgo de elusión, la protección de las personas físicas, en lo que respecta al tratamiento de sus datos de carácter personal, debe ser tecnológicamente neutra (Considerando 15, ab initio), de modo que sólo los ficheros o conjuntos de ficheros, así como aquellas portadas, estructuradas, con arreglo a criterios específicos, queden comprendidos en el ámbito de aplicación material del RGPD. Esta exclusión refleja la razón de ser de las nuevas reglas específicas relativas a la necesidad de adaptar la protección de datos a la revolución digital, cuyo rápido desarrollo ha favorecido la recopilación de grandes cantidades de datos, así como la búsqueda de tendencias dentro de las empresas, fomentando que éstas se muevan mucho más rápido en un mercado volatilizado, detectando oportunidades, riesgos y desafíos, evaluando posibilidades y opciones de mejora, incrementando los beneficios y proporcionando innumerables ventajas a nivel competitivo14. En el caso Bavarian Lager15, la Abogado General –la Sra. Sharpston– utilizó esa noción para justificar la admisión de una solicitud de acceso relativa a un documento administrativo, elaborado por una ins- 14 Para mayor interés, véase GONZÁLEZ CANO, María Isabel, “Algunas reflexiones sobre protección de datos personales, proceso penal y cooperación judicial penal en la Unión Europea”, Cuadernos digitales de formación del Consejo General del Poder Judicial, núm. 29, 2012; KRANENBORG, Herke, “Article 8”, en PEERS, Steve, HERVEY, Tamara, KENNER, Jeff & WARD, Angela (eds.), The EU Charter of Fundamental Rights – A Commentary, Hart Publishing, United Kingdom, 2014, pp. 243-247; FABBRINI, Federico, “The EU Charter of Fundamental Rights and the Rights to Data Privacy: The EU Court of Justice as a Human Rights Court”, en DE VRIES, Sybe, BERNITZ, Ulf & WEATHERILL, Stephen (eds.), The EU Charter of Fundamental Rights as a Binding Instrument, Hart Publishing, 2015, p. 261; BUENO DE MATA, Federico, “Big Data judicial e inteligencia artificial: próximos desafíos del derecho procesal en la Sociedad de la información”, en FONTESTAD PORTALÉS, Leticia (Dir.), La globalización del derecho procesal, Tirant lo Blanch, Colección Proceso y Garantías, 2019, pp. 215-235; y, LOCK, Tobias, “Article 8 CFR”, en KELLERBAUER, Manuel, KLAMERT, Marcus & TOMKIN, Jonathan (eds.), The EU Treaties and the Charter of Fundamental Rights. A Commentary, Oxford University Press, United Kingdom, 2019, pp. 2121-2127. 15 STJUE de 29 de junio de 2010, Gran Sala, Caso Comisión Europea contra Bavarian Lager Co. Ldt., Asunto C-28/08 P, Recurso de casación, Ref. ECLI:EU:C:2010:378 y Ponente: E. Juhász. 112 titución europea16. La Abogado General argumentó que la situación planteada quedaba fuera del ámbito de aplicación de las normas sobre protección de datos, ya que este concepto no requiere que el tratamiento de datos se efectúe, necesariamente, por medios automatizados, aun cuando la institución de la Unión en cuestión –en este caso, la Comisión– hubiera empleado o utilizado funciones de búsqueda automatizadas para localizar el documento (que contenía datos personales), previamente solicitado por el interesado, al amparo de las normas relativas al acceso público de documentos administrativos. Según la Abogado General, las actas de una reunión (incluso, si están clasificadas, conforme a ciertos criterios), que solo contienen datos personales incidentales, no forman parte de un “conjunto estructurado de datos personales accesibles con arreglo a criterios determinados” (“fichero”)17. En este mismo sentido, declaró que el uso de medios automatizados para clasificar el documento solicitado “no es más que una réplica de algo que podría efectuarse manualmente, si bien de forma más laboriosa, del mismo modo que una taladradora eléctrica perfora un agujero más rápida y eficazmente que un berbiquí y una barrena”18. A pesar de que la Abogado General proporcionase una forma original de brindar una solución a la difícil relación existente entre las normas de protección de datos y acceso público, el TJUE optó, finalmente, por otra interpretación y terminó aplicando las normas sobre protección de datos, sin entrar en la limitación relativa al ámbito de aplicación material, sugerida por la Abogado General19. En sus dos primeras resoluciones sobre la DPD de 2003, el TJUE tuvo que hacer frente a serias dudas relativas al ámbito de aplicación de las normas europeas sobre protección de datos. En Österreichischer Rundfunk20, los órganos jurisdiccionales remitentes se plantearon sendas cuestiones prejudiciales, formuladas en términos sustancialmente idénticos, sobre la interpretación de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. Tales cuestiones se suscitaron en el marco de litigios entre el Rechnungshof (Tribunal de Cuentas) y un gran número de organismos sujetos a su control, por una parte, y, por otra, entre la Sra. Neukomm y el Sr. Lauermann, y su empleador, el Österreichischer Rundfunk, organismo público de radiodifusión, sobre la obligación de las entidades públicas sujetas al control del Rechnungshof de comunicar a éste, las retribuciones y pensiones superiores a un nivel determinado, que tales entidades abonan a sus empleados y pensionistas, así como el nombre de los beneficiarios, a fin de elaborar un informe anual que transmitir al Nationalrat (Cámara baja del Parlamento), al Bundesrat (Cámara alta del Parlamento) y a los Landtagen (Parlamentos de la Länder) y ser puesta, por consiguiente, a disposición del público, en general. En consecuencia, el TJUE debía dilucidar si las autoridades austriacas estaban obligadas a proporcionar ciertos datos de carácter personal sobre sus empleados al Rechnungshof para que éste pudiera desempeñar, correctamente, sus funciones como auditor, y si la DPD/95 se oponía a una normativa nacional, siempre que se demostrara que la amplia divulgación no sólo del importe de los ingresos anuales, cuando éstos superasen un límite determinado, sino también de los nombres de los beneficiarios de dichos ingresos. Según el Gobierno austríaco, la DPD/95 no resultaba aplicable al caso en cuestión, debido a que la actividad de control del Rechnungshof, “dirigida a la consecución de fines de interés general en materia 16 STJUE de 29 de junio de 2010, Gran Sala, Caso Comisión Europea contra The Bavarian Lager Co. Ltd, Asunto C- 28/08 P, Recurso de casación, ECR I-06055, Ref. ECLI:EU:C:2010:378 y Ponente: E. Juhász. 17 Conclusiones de la Abogado General (apdo. 137), la Sra. Sharpston, presentadas en el Caso Comisión Europea contra The Bavarian Lager Co. Ltd, Asunto C-28/08 P (Ref. ECLI: EU: C: 2009: 624). 18 Conclusiones de la Abogado General (apdo. 144), la Sra. Sharpston, en el Caso Comisión Europea contra The Bavarian Lager Co. Ltd, Asunto C-28/08 P, presentadas el 15 de octubre de 2009 (Ref. ECLI: EU: C: 2009: 624). 19 STJUE de 29 de junio de 2010, Gran Sala, Caso Comisión Europea contra The Bavarian Lager Co. Ltd, Asunto C28/08 P, Recurso de casación, Ref. ECLI:EU:C:2010:378 y Ponente: E. Juhász. 20 STJUE de 20 de mayo de 2003, Caso Rechnungshof y Österreichischer Rundfunk, Asuntos acumulados C-465/00, C- 138/01 y C-139/01, Cuestiones prejudiciales, Ref. ECLI:EU:C:2003:294 y Ponente: M. Wathelet. 113 Aunque el ámbito de aplicación de este nuevo instrumento comprenda todas las instituciones, órganos y organismos de la Unión (como puedan ser, entre otras, Europol, Eurojust o la Fiscalía Europea)46, su propuesta pronto evidenció que: “Cuando el acta fundacional de una agencia de la Unión que lleve a cabo actividades comprendidas en el ámbito de aplicación de los Capítulos 4 (“Cooperación judicial en materia penal”) y 5 (“Cooperación policial”) del Título V del [TFUE] (“Espacio de Libertad, Seguridad y Justicia”) establezca un régimen de protección de datos independiente para el tratamiento de datos personales operativos, dicho régimen no se verá afectado [por las disposiciones del nuevo Reglamento]” (Considerando 10, ab initio). La propuesta de la Comisión no contenía ninguna disposición específica relativa a la cooperación policial. Sin embargo, durante su tramitación, el Parlamento Europeo insistió en la necesidad de contar con un Capítulo específico, dedicado a la cooperación judicial y policial en materia de protección de datos aplicables a dichos órganos u organismos de la Unión. Tras la insistencia del Parlamento Europeo, la Comisión, finalmente, accedió a incluir dicho capítulo en el Reglamento 2018/1725. Si bien, este capítulo excluía, expresamente, de su ámbito de aplicación, a Europol y a la FE; de ahí que el tratamiento de datos personales, efectuado por tales instituciones, no quedase regulado hasta la adopción de sus respectivos instrumentos (artículo 2.3 Reglamento 2018/1725). Según el artículo 98 del Reglamento (UE) 2018/1725, la Comisión deberá revisar todos estos actos antes del próximo 30 de abril de 2022, con el fin de: a) evaluar su coherencia con la Directiva (UE) 2016/680 y el Capítulo IX (“Tratamiento de datos personales operativos por los órganos y organismos de la Unión cuando llevan a cabo actividades comprendidas en el ámbito de aplicación de los capítulos 4 o 5 del título V de la tercera parte del TFUE”) del Reglamento (UE) 2018/1725; b) revelar las divergencias que puedan dificultar el intercambio de datos personales operativos entre los órganos u organismos de la Unión, cuando desarrollen actividades en esos ámbitos; y c) detectar las divergencias que puedan generar una mayor fragmentación de la legislación europea en materia de protección de datos. 9. DIRECTIVA SOBRE LA PRIVACIDAD Y LAS COMUNICACIONES ELECTRÓNICAS Ninguna referencia existe en el artículo 2 del RGPD sobre su relación con la Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas47 (en adelante, «Directiva sobre la privacidad y las comunicaciones electrónicas»); y ello, a pesar de que su artículo 95 prohíbe, expresamente, que el RGPD imponga “obligaciones adicionales a las personas físicas o jurídicas en materia de tratamiento de datos” relativas a la “prestación de servicios públicos de comunicaciones electrónicas en redes públicas de comunicación de la Unión en [aquellos] ámbitos en los que estén sujetas a obligaciones específicas con el mismo objetivo establecidas” en la Directiva sobre la privacidad y las comunicaciones electrónicas. 46 Capítulo VI (“Garantías en materia de protección de datos”) del Reglamento (UE) 2016/794 del Parlamento Europeo y del Consejo, de 11 de mayo de 2016, relativo a la Agencia de la Unión Europea para la Cooperación Policial (Europol) y por el que se sustituyen y derogan las Decisiones 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI y 2009/968/JAI del Consejo (DOUE L 135, de 24.05.2016); Considerando 29 y artículo 26 (“Tratamiento de datos personales por Eurojust”) del Capítulo IV (“Tratamiento de la Información”) del Reglamento (UE) 2018/1727 del Parlamento Europeo y del Consejo, de 14 de noviembre de 2018, sobre la Agencia de la Unión Europea para la Cooperación Judicial Penal (Eurojust) y por la que se sustituye y deroga la Decisión 2002/187/JAI del Consejo (DOUE L 295, de 21.11.2018), cuyo instrumento contiene normas específicas sobre protección de datos coherentes con los principios en que se basa el capítulo del Reglamento (UE) 2018/1725, así como con las disposiciones de dicho instrumento relativas a la supervisión independiente, a los recursos judiciales, a la responsabilidad y a las sanciones, con el fin de reducir la fragmentación jurídica que ha existido hasta su entrada en vigor, en relación con Eurojust; y, Capítulo VIII (“Protección de datos”) del Reglamento (UE) 2017/1939 del Consejo, de 12 de octubre de 2017, por el que se establece una cooperación reforzada para la creación de la Fiscalía Europea (DOUE L 283, de 31.10.2017). 47 DOUE L 201, de 31.07.2002. 120 La Directiva sobre la privacidad y las comunicaciones electrónicas también afirma, en su artículo 1.2, que sus disposiciones “especifican y complementan” la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. A este respecto, cabe destacar que se ha incluido el mismo texto en la propuesta de un nuevo Reglamento del Parlamento Europeo y del Consejo, sobre el respeto de la vida privada y la protección de los datos personales en el sector de las comunicaciones electrónicas y por el que se deroga la Directiva 2002/58/CE (en lo sucesivo, «Reglamento sobre la privacidad y las comunicaciones electrónicas»)48. La propuesta de revisión de la Directiva sobre la privacidad y las comunicaciones electrónicas encuentra su fundamento en las instrucciones del Considerando 173 del RGPD, en las que se exige modificar el texto de la Directiva para poder aclarar su relación con el RGPD. 10. DIRECTIVA SOBRE EL COMERCIO ELECTRÓNICO El artículo 2.4 señala que el RGPD “se entenderá sin perjuicio” de lo previsto en las normas relativas a la responsabilidad de los prestadores de servicios intermediarios, establecidas en sus artículos 12 a 15 de la Directiva sobre el comercio electrónico. Estas reglas establecen la responsabilidad de dichos proveedores para situaciones, en las cuales: a) simplemente transmitan información; b) suministren información procedente de una “memoria tampón” (catching) con “la única finalidad de hacer más eficaz la transmisión ulterior de la información a otros destinatarios del servicio”; o, c) almacenen información. IV. BIBLIOGRAFÍA BLUME, Peter & SVANBERG, Christian Wiese, “The Proposed Data Protection Regulation: The • Illusion of Harmonisation, the Private/Public Sector Divide and the Bureaucratic Apparatus”, Cambridge Yearbook of European Legal Studies, Vol. 15, 2013, p. 27 BUENO DE MATA, Federico, “Big Data judicial e inteligencia artificial: próximos desafíos del • derecho procesal en la Sociedad de la información”, en FONTESTAD PORTALÉS, Leticia (Dir.), La globalización del derecho procesal, Tirant lo Blanch, Colección Proceso y Garantías, 2019, pp. 215-235. DOCKSEY, “The European Court of Justice and the Decade of Serveillance”, en HIJMANS, Hielke • & KRANENBORG, Herke (eds.), Data Protection Anno 2014: How to Restore Trust?, Intersentia, 2014, p. 97. FABBRINI, Federico, “The EU Charter of Fundamental Rights and the Rights to Data Privacy: The • EU Court of Justice as a Human Rights Court”, en DE VRIES, Sybe, BERNITZ, Ulf & WEATHERILL, Stephen (eds.), The EU Charter of Fundamental Rights as a Binding Instrument, Hart Publishing, 2015, p. 261. GONZÁLEZ CANO, María Isabel, “Algunas reflexiones sobre protección de datos personales, pro-• ceso penal y cooperación judicial penal en la Unión Europea”, Cuadernos digitales de formación del Consejo General del Poder Judicial, núm. 29, 2012. HIJMANS, Hielke & SCIROCCO, Alfonso, “Shortcomings in EU Data Protection in the Third and • Second Pillars: Can the Lisbon Treaty Be Expected to Help?”, Common Market Law Review, Vol. 46, núm. 5, 2009, p. 1485. HIJMANS, Hielke, The European Union as Guardian of Internet Privacy. The Story of Art. 16 • TFEU, Law, Governance and Technology Serie, Volume 31, Springer, Switzerland, 2016. 48 COM(2017) 10 final, de 10.01.2017. 121 KRANENBORG, Herke, “Article 8”, en PEERS, Steve, HERVEY, Tamara, KENNER, Jeff & • WARD, Angela (eds.), The EU Charter of Fundamental Rights – A Commentary, Hart Publishing, United Kingdom, 2014, pp. 243-247. KRANENBORG, Herke, “Article 2. Material scope”, en KUNER, Christopher, BYGRAVE, Lee • & DOCKSEY, Christopher (eds.), The EU General Data Protection Regulation (GDPR). A commentary, Oxford University Press, United Kingdom, 2020, p. 70. LOCK, Tobias, “Article 8 CFR”, en KELLERBAUER, Manuel, KLAMERT, Marcus & TOMKIN, • Jonathan (eds.), The EU Treaties and the Charter of Fundamental Rights. A Commentary, Oxford University Press, United Kingdom, 2019, pp. 2121-2127. TIMMERMANS, Christiaan, “The Competence Divide of the Lisbon Treaty Sex Years After”, en • GARBEN, Sacha & GOVAERE, Inge (eds.), The Division of Competences between the EU and the Member States: Reflections on the Past, the Present and the Future, Series “Modern Studies in European Law”, Volume 79, Bloomsbury Publishing, 2017, p. 19. ANEXO REGLAMENTO GENERAL DE PROTECCIÓN DE DATOS DE LA UE CAPÍTULO I. DISPOSICIONES GENERALES ARTÍCULO 2. ÁMBITO DE APLICACIÓN MATERIAL 1. El presente Reglamento se aplica al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero. 2. El presente Reglamento no se aplica al tratamiento de datos personales: en el ejercicio de una actividad no comprendida en el ámbito de aplicación del Derecho de la Unión; por parte de los Estados miembros cuando lleven a cabo actividades comprendidas en el ámbito de aplicación del capítulo 2 del título V del TUE; efectuado por una persona física en el ejercicio de actividades exclusivamente personales o domésticas; por parte de las autoridades competentes con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales, o de ejecución de sanciones penales, incluida la de protección frente a amenazas a la seguridad pública y su prevención. 3. El Reglamento (CE) n.º 45/2001 es de aplicación al tratamiento de datos de carácter personal por parte de las instituciones, órganos y organismos de la Unión. El Reglamento (CE) n.º 45/2001 y otros actos jurídicos de la Unión aplicables a dicho tratamiento de datos de carácter personal se adaptarán a los principios y normas del presente Reglamento de conformidad con su artículo 98. 4. El presente Reglamento se entenderá sin perjuicio de la aplicación de la Directiva 2000/31/CE, en particular sus normas relativas a la responsabilidad de los prestadores de servicios intermediarios establecidas en sus artículos 12 a 15. CONSIDERANDOS RELEVANTES (14) La protección otorgada por el presente Reglamento debe aplicarse a las personas físicas, independientemente de su nacionalidad o de su lugar de residencia, en relación con el tratamiento de sus datos personales. El presente Reglamento no regula el tratamiento de datos personales relativos a personas jurídicas y en particular a empresas constituidas como personas jurídicas, incluido el nombre y la forma de la persona jurídica y sus datos de contacto. (15) A fin de evitar que haya un grave riesgo de elusión, la protección de las personas físicas debe ser tecnológicamente neutra y no debe depender de las técnicas utilizadas. La protección de las personas 122 físicas debe aplicarse al tratamiento automatizado de datos personales, así como a su tratamiento manual, cuando los datos personales figuren en un fichero o estén destinados a ser incluidos en él. Los ficheros o conjuntos de ficheros, así como sus portadas, que no estén estructurados con arreglo a criterios específicos, no deben entrar en el ámbito de aplicación del presente Reglamento. (16) El presente Reglamento no se aplica a cuestiones de protección de los derechos y las libertades fundamentales o la libre circulación de datos personales relacionadas con actividades excluidas del ámbito de del Derecho de la Unión, como las actividades relativas a la seguridad nacional. Tampoco se aplica al tratamiento de datos de carácter personal por los Estados miembros en el ejercicio de las actividades relacionadas con la política exterior y de seguridad común de la Unión. (17) El Reglamento (CE) n.º 45/2001 del Parlamento Europeo y del Consejo49 se aplica al tratamiento de datos de carácter personal por las instituciones, órganos y organismos de la Unión. El Reglamento (CE) n.º 45/2001 y otros actos jurídicos de la Unión aplicables a dicho tratamiento de datos de carácter personal deben adaptarse a los principios y normas establecidos en el presente Reglamento y aplicarse a la luz del mismo. A fin de establecer un marco sólido y coherente en materia de protección de datos en la Unión, una vez adoptado el presente Reglamento deben introducirse las adaptaciones necesarias del Reglamento (CE) n.º 45/2001, con el fin de que pueda aplicarse al mismo tiempo que el presente Reglamento. (18) El presente Reglamento no se aplica al tratamiento de datos de carácter personal por una persona física en el curso de una actividad exclusivamente personal o doméstica y, por tanto, sin conexión alguna con una actividad profesional o comercial. Entre las actividades personales o domésticas cabe incluir la correspondencia y la llevanza de un repertorio de direcciones, o la actividad en las redes sociales y la actividad en línea realizada en el contexto de las citadas actividades. No obstante, el presente Reglamento se aplica a los responsables o encargados del tratamiento que proporcionen los medios para tratar datos personales relacionados con tales actividades personales o domésticas. (19) La protección de las personas físicas en lo que respecta al tratamiento de datos de carácter personal por parte de las autoridades competentes a efectos de la prevención, investigación, detección o enjuiciamiento de infracciones penales o de la ejecución de sanciones penales, incluida la protección frente a las amenazas contra la seguridad pública y la libre circulación de estos datos y su prevención, es objeto de un acto jurídico específico a nivel de la Unión. El presente Reglamento no debe, por lo tanto, aplicarse a las actividades de tratamiento destinadas a tales fines. No obstante, los datos personales tratados por las autoridades públicas en aplicación del presente Reglamento deben, si se destinan a tales fines, regirse por un acto jurídico de la Unión más específico, concretamente la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo50. Los Estados miembros pueden encomendar a las autoridades competentes, tal como se definen en la Directiva (UE) 2016/680, funciones que no se lleven a cabo necesariamente con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o ejecución de sanciones penales, incluida la protección frente a las amenazas a la seguridad pública y su prevención, de tal forma que el tratamiento de datos personales para estos otros fines, en la medida en que esté incluido en el ámbito del Derecho de la Unión, entra en el ámbito de aplicación del presente Reglamento. En lo que respecta al tratamiento de datos personales por parte de dichas autoridades competentes con fines que entren en el ámbito de aplicación del presente Reglamento, los Estados miembros deben 49 Reglamento (CE) n.º 45/2001 del Parlamento Europeo y del Consejo, de 18 de diciembre de 2000, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones y los organismos comunitarios y a la libre circulación de estos datos (DO L 8, de 12.01.2001, p. 1). 50 Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo (DOUE L 119, de 04.05.2016). 123 tener la posibilidad de mantener o introducir disposiciones más específicas para adaptar la aplicación de las normas del presente Reglamento. Tales disposiciones pueden establecer de forma más precisa requisitos concretos para el tratamiento de datos personales con otros fines por parte de dichas autoridades competentes, tomando en consideración la estructura constitucional, organizativa y administrativa del Estado miembro en cuestión. Cuando el tratamiento de datos personales por organismos privados entre en el ámbito de aplicación del presente Reglamento, este debe disponer que los Estados miembros puedan, en condiciones específicas, limitar conforme a Derecho determinadas obligaciones y derechos siempre que dicha limitación sea una medida necesaria y proporcionada en una sociedad democrática para proteger intereses específicos importantes, entre ellos la seguridad pública y la prevención, la investigación, la detección y el enjuiciamiento de infracciones penales o la ejecución de sanciones penales, inclusive la protección frente a las amenazas contra la seguridad pública y su prevención. Esto se aplica, por ejemplo, en el marco de la lucha contra el blanqueo de capitales o de las actividades de los laboratorios de policía científica. (20) Aunque el presente Reglamento se aplica, entre otras, a las actividades de los tribunales y otras autoridades judiciales, en virtud del Derecho de la Unión o de los Estados miembros pueden especificarse las operaciones de tratamiento y los procedimientos de tratamiento en relación con el tratamiento de datos personales por los tribunales y otras autoridades judiciales. A fin de preservar la independencia del poder judicial en el desempeño de sus funciones, incluida la toma de decisiones, la competencia de las autoridades de control no debe abarcar el tratamiento de datos personales cuando los tribunales actúen en ejercicio de su función judicial. El control de esas operaciones de tratamiento de datos ha de poder encomendarse a organismos específicos establecidos dentro del sistema judicial del Estado miembro, los cuales deben, en particular, garantizar el cumplimiento de las normas del presente Reglamento, concienciar más a los miembros del poder judicial acerca de sus obligaciones en virtud de este y atender las reclamaciones en relación con tales operaciones de tratamiento de datos. (21) El presente Reglamento debe entenderse sin perjuicio de la aplicación de la Directiva 2000/31/CE del Parlamento Europeo y del Consejo51, en particular de las normas en materia de responsabilidad de los prestadores de servicios intermediarios establecidas en sus artículos 12 a 15. El objetivo de dicha Directiva es contribuir al correcto funcionamiento del mercado interior garantizando la libre circulación de los servicios de la sociedad de la información entre los Estados miembros. 51 Directiva 2000/31/CE del Parlamento Europeo y del Consejo, de 8 de junio de 2000, relativa a determinados aspectos jurídicos de los servicios de la sociedad de la información, en particular el comercio electrónico en el mercado interior (DO L 178, de 17.07.2000, p. 1). 124 DISPOSICIONES ESTRECHAMENTE RELACIONADAS Artículo 1 (Objeto y objetivos). • Artículo 3 (Ámbito territorial) (véanse también los Considerandos 22 a 25). • Artículo 4 (1), (2) y (6) (Definición de “datos personales”, “tratamiento”‘ y “fichero”) (véanse tam-• bién los Considerandos 26 a 27). Artículo 98 (Revisión de otros actos jurídicos de la Unión en materia de protección de datos). • DISPOSICIONES RELACIONADAS CON LA DIRECTIVA (UE) 2016/680 Artículo 1 (Objeto y objetivos). • Artículo 2 (Ámbito de aplicación) (véanse también los Considerandos 10 a 14). • Artículo 3 (1), (2), (6) y (7) (Definición de “datos personales”, “tratamiento” y “fichero”). • DISPOSICIONES RELACIONADAS CON LA DIRECTIVA 2002/58/CE Artículo 1 (Ámbito de aplicación y objetivo) (véanse también los Considerandos 10 y 12). • Artículo 15 (Aplicación de determinadas disposiciones de la Directiva 95/46/CE) (véase también • el Considerando 11). DISPOSICIONES RELACIONADAS CON EL REGLAMENTO 2018/1725 Artículo 2 (Ámbito de aplicación) (véanse también los Considerandos 8 a 15). • Artículo 57 (1), letra a) (Excepción del tratamiento de datos personales por el Tribunal de Justicia, • cuando actúe en el ejercicio de sus funciones jurisdiccionales) (véase también el Considerando 74). Artículo 98 (2) (Propuestas legislativas para aplicar el Capítulo IX del Reglamento a Europol y a la • Fiscalía Europea) (véase también el Considerando 13). LEGISLACIÓN DE LA UNIÓN EUROPEA Decisión 2002/187/JAI del Consejo, de 28 de febrero de 2002, por la que se crea Eurojust para re-• forzar la lucha contra las formas graves de delincuencia (DO L 63, de 06.03.2002) (disposición derogada). Decisión 2009/426/JAI del Consejo, de 16 de diciembre de 2008, por la que se refuerza Eurojust y • se modifica la Decisión 2002/187/JAI por la que se crea Eurojust para reforzar la lucha contra las formas graves de delincuencia (DOUE L 138, de 04.06.2009) (disposición derogada). Directiva 2000/31/CE del Parlamento Europeo y del Consejo, de 8 de junio de 2000, relativa a de-• terminados aspectos jurídicos de los servicios de la sociedad de la información, en particular el comercio electrónico en el mercado interior («Directiva sobre el comercio electrónico») (DO L 178, de 17.07.2000). Reglamento (UE) 2017/1939 del Consejo, de 12 de octubre de 2017, por el que se establece una • cooperación reforzada para la creación de la Fiscalía Europea (DOUE 283, de 31.10.2017). Propuesta de Reglamento del Parlamento Europeo y del Consejo sobre el respeto de la vida privada • y la protección de los datos personales en el sector de las comunicaciones electrónicas y por el que se deroga la Directiva 2002/58/CE (Reglamento sobre la privacidad y las comunicaciones electrónicas) (COM (2017) 10 final, de 10.01.2017). Propuesta del Reglamento del Parlamento Europeo y del Consejo relativo a la protección de las • personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión y a la libre circulación de estos datos, y por el que se deroga el Reglamento (CE) n.º 45/2001 y Decisión n.º 1247/2002/CE (COM (2017) 8 final, de 10.01.2017). 125 Reglamento (UE) 2018/1727 del Parlamento Europeo y del Consejo, de 14 de noviembre de 2018, • sobre la Agencia de la Unión Europea para la Cooperación Judicial Penal (Eurojust) y por la que se sustituye y deroga la Decisión 2002/187/JAI del Consejo (DOUE L 295, de 21.11.2018). Reglamento (UE) del Parlamento Europeo y del Consejo, de 11 de mayo de 2016, relativo a la • Agencia de la Unión Europea para la Cooperación Policial (Europol) y por el que se sustituyen y derogan las Decisiones 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI y 2009/968/JAI del Consejo (DOUE L 135, de 24.05.2016). Reglamento (CE) n.º 1049/2001 del Parlamento Europeo y del Consejo, de 30 de mayo de 2001, • relativo al acceso del público a los documentos del Parlamento Europeo, del Consejo y de la Comisión (DO L 145, de 31.05.2001). 126