Ejercicio indirecto de derechos del interesado a través de la autoridad de control competente en materia de protección de datos
Protección de datos. Tratamiento. Ejercicio de los derechos del interesado a través de la autoridad de control. Comprobación de la licitud del tratamiento. Información mínima al interesado. Tutela judicial efectiva. Concepto de «decisión jurídicamente vinculante».
El ejercicio indirecto de los derechos del interesado a través de la autoridad de control competente constituye una garantía adicional que se ofrece a esa persona de que sus datos personales son tratados lícitamente cuando las disposiciones legales nacionales limitan el ejercicio directo ante el responsable del tratamiento del derecho a recibir información adicional del derecho de acceso a esos datos o del derecho a obtener su rectificación, supresión o limitación del tratamiento. Así, el ejercicio indirecto de estos derechos a través de la autoridad de control competente debe considerarse necesario para la protección de tales derechos, ya que su ejercicio directo ante el responsable del tratamiento resulta difícil o incluso imposible.
Cuando la autoridad de control competente informa al interesado del resultado de las comprobaciones realizadas, pone en su conocimiento la decisión que ha adoptado respecto a él de poner fin al proceso de comprobación, decisión que afecta necesariamente a la situación jurídica de esa persona. Por lo tanto, esta decisión constituye, respecto a él, una «decisión jurídicamente vinculante», con independencia de si y en qué medida esa autoridad ha constatado la licitud del tratamiento de datos relativos a esa persona y ha adoptado medidas correctoras.
El interesado debe poder obtener un control judicial del fundamento de tal decisión y, en particular, del modo en que la autoridad de control ha cumplido su obligación de efectuar todas las comprobaciones necesarias y, en su caso, del ejercicio de sus facultades en materia de adopción de medidas correctoras.
En virtud de lo expuesto, el Tribunal de Justicia declara que:
El artículo 17 de la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo, en relación con los artículos 46, apartado 1, letra g), 47, apartados 1 y 2, y 53, apartado 1, de esta Directiva, así como con los artículos 8, apartado 3, y 47 de la Carta de los Derechos Fundamentales de la Unión Europea, debe interpretarse en el sentido de que, cuando los derechos de un interesado se han ejercido, con arreglo a dicho artículo 17, a través de la autoridad de control competente y esta autoridad informa a ese interesado del resultado de las comprobaciones realizadas, este debe disponer de un recurso judicial efectivo contra la decisión de esa autoridad de poner fin al proceso de comprobación.