Por: Carlos A. FERREYROS SOTO
Doctor en Derecho
Universidad de Montpellier I Francia.
cferreyros@ferreyros-ferreyros.com
RESUMEN
La sentencia C‑484/24 (NTH Haustechnik, 18 de junio de 2026) aclara cómo el RGPD se aplica cuando un juez debe valorar pruebas que contienen datos personales obtenidos, posiblemente, de forma ilícita por una de las partes (en este caso, el empleador) en un litigio laboral.
El litigio surge en Alemania entre NTH Haustechnik GmbH y una exempleada (EM), a quien la empresa acusaba de revender sin autorización bienes corporativos a través de eBay. Para probarlo, la empresa recabó y aportó al proceso documentos con datos personales, sin que pudiera descartarse que su obtención hubiera vulnerado el RGPD (por ejemplo, por falta de información al trabajador o por acceso indebido a ciertos datos). El Landesarbeitsgericht Niedersachsen plantea varias cuestiones prejudiciales sobre los arts. 5(1) (e), 6(1) (e) y 17(3) (e) del RGPD y sobre la admisibilidad de “pruebas ilícitas”.
Las principales argumentaciones del TJUE fueron:
1) Los jueces son responsables del tratamiento y el RGPD les es aplicable
2) No hay prohibición automática de usar pruebas con datos obtenidos ilícitamente
3) Límites: minimización y protección de terceros
4) El art. 17(3) (e) (excepción al derecho de supresión cuando el tratamiento es necesario para la formulación, ejercicio o defensa de reclamaciones) no es base jurídica autónoma
5) Sobre el art. 5(1) (e) (limitación del plazo de conservación) y 6(1) (e) (para cada operación probatoria).
En conclusión, el Tribunal de Justicia de la UE declara que el juez, en su función jurisdiccional, actúa como responsable del tratamiento RGPD, no impone una prohibición automática de utilizar, en un proceso judicial, pruebas que contengan datos personales obtenidos de forma ilícita por una de las partes (p. ej., el empleador). y puede basar ese tratamiento en el art. 6(1) (c) (cumplimiento de obligaciones legales), no requiriendo el art. 6(1) (e) ni el art. 17(3) (e) como base jurídica autónoma. El art. 17(3) (e) solo limita el derecho de supresión, pero no habilita por sí mismo el tratamiento.
No obstante, el Tribunal debe aplicar estrictamente el principio de minimización (art. 5(1) (c)): antes de revelar esos datos a las demás partes o a terceros, debe cerciorarse de que la divulgación se limita a lo estrictamente necesario para el debate procesal y respetar el RGPD respecto de datos de terceros ajenos al litigio. La sentencia no exonera al empleador de responsabilidad por la obtención irregular de los datos; esta puede seguir generando sanciones, pero no conlleva la inadmisión automática de la prueba. En consecuencia, el RGPD condiciona el modo de uso y difusión de la prueba, pero no su admisibilidad per se.
A fin de acceder a normas similares y estándares europeos, las empresas, organizaciones públicas y privadas interesadas en asesorías, consultorías, capacitaciones, estudios, evaluaciones, auditorías sobre el tema, sírvanse comunicar al correo electrónico:cferreyros@ferreyros-ferreyros.com
________________________________________________________
| Diario Oficial de la Unión Europea | ES Serie C |
| C/2026/4149 | 10.8.2026 |
Sentencia del Tribunal de Justicia (Sala Quinta) de 18 de junio de 2026 (petición de decisión prejudicial planteada por el Landesarbeitsgericht Niedersachsen – Alemania) – NTH Haustechnik GmbH / EM
(Asunto C-484/24, (1) NTH Haustechnik)
(Procedimiento prejudicial – Protección de las personas físicas en lo que respecta al tratamiento de datos personales – Reglamento (UE) 2016/679 – Artículo 5, apartado 1, letra e) – Limitación del plazo de conservación – Artículo 6, apartado 1, párrafo primero, letra e) – Licitud, en relación con un contrato laboral, del tratamiento de dichos datos en el marco de un procedimiento judicial – Artículo 17, apartado 3, letra e) – Inexistencia de la obligación de suprimir esos datos cuando el tratamiento sea necesario para la formulación, el ejercicio o la defensa de reclamaciones – Datos obtenidos por el empresario para demostrar un incumplimiento grave de sus obligaciones por parte del empleado – Utilización de pruebas obtenidas ilegalmente)
(C/2026/4149)
Lengua de procedimiento: alemán
Órgano jurisdiccional remitente
Landesarbeitsgericht Niedersachsen
Partes en el procedimiento principal
Demandante: NTH Haustechnik GmbH
Demandada: EM
Fallo
| 1) | El artículo 6, apartados 1, párrafo primero, letra c), y 3, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), en relación con los artículos 8, apartado 2, y 52 de la Carta de los Derechos Fundamentales de la Unión Europea, debe interpretarse en el sentido de que no se opone a una normativa nacional que, por lo que respecta al tratamiento de datos personales efectuado en el examen de los hechos y en la práctica de la prueba por un órgano jurisdiccional, se limita a establecer que corresponde a las partes presentar elementos de hecho detallados y veraces y a obligar al órgano jurisdiccional a tomarlos íntegramente en consideración, en su caso, antes de apreciarlos, sin indicar las circunstancias y las condiciones en las que el órgano jurisdiccional puede utilizar los hechos alegados y las pruebas aportadas por las partes en los que se contienen datos personales, siempre que exista una jurisprudencia nacional clara, precisa y de aplicación previsible que establezca ella misma las circunstancias y las condiciones en las que el órgano jurisdiccional puede utilizar los hechos alegados y las pruebas aportadas por las partes en los que se contienen datos personales, que esa jurisprudencia cumpla un objetivo de interés público y que sea proporcionada a este. |
| 2) | El artículo 17, apartado 3, letra e), del Reglamento 2016/679 debe interpretarse en el sentido de que esta disposición no establece una condición alternativa de licitud que pueda cumplir un tratamiento para ser conforme con el artículo 5, apartado 1, letra a), de dicho Reglamento y que se distinga de las enumeradas en el artículo 6, apartado 1, párrafo primero, de ese Reglamento. |
| 3) | El artículo 5, apartado 1, letra c), del Reglamento 2016/679, en relación con el artículo 52, apartado 1, segunda frase, de la Carta de los Derechos Fundamentales, debe interpretarse en el sentido de que el principio de «minimización de datos» no exige al órgano jurisdiccional que, en cada tratamiento de datos personales que lleve a cabo, vele por que se respete el principio de proporcionalidad, asegurándose de que los datos que se tratan en ese caso permiten alcanzar el objetivo perseguido por dicho tratamiento, y para ello son estrictamente necesarios, y de que la gravedad de la injerencia en los derechos fundamentales que conlleva la consideración de esos datos a efectos de realizar el tratamiento guarda relación con el interés que presenta, para ese órgano jurisdiccional, el recurso a esos datos para realizar el mencionado tratamiento, siempre que se cumplan las condiciones previstas en el artículo 5, apartado 1, letra c), del Reglamento 2016/679. |
| 4) | Los artículos 7 y 8 de la Carta de los Derechos Fundamentales, el artículo 5, apartado 1, del Reglamento 2016/679, el artículo 6, apartado 1, párrafo primero, letra c), de este Reglamento, en relación con su apartado 3, y el principio de «minimización de datos» deben interpretarse en el sentido de que no se oponen a que un juez nacional utilice pruebas que contienen datos personales obtenidos vulnerando el derecho a la protección de la vida privada y el derecho a la protección de los datos personales por la parte que se las transmitió, cuando dicha parte no tiene un interés legítimo en ese tratamiento que vaya más allá del mero interés probatorio de los hechos alegados. En cambio, antes de divulgar esos datos a las demás partes o a terceros, el órgano jurisdiccional debe comprobar que esos datos se limitan a lo necesario en relación con los fines para los que se realiza la divulgación y, en su caso, debe adoptar determinadas medidas para minimizar el menoscabo al derecho a la protección de los datos personales que puede conllevar tal divulgación. |
| 5) | El artículo 13, apartados 1 y 2, del Reglamento 2016/679 debe interpretarse en el sentido de que no se opone a que un órgano jurisdiccional nacional utilice, en el ejercicio de su función judicial, datos obtenidos por una parte o un tercero que incumplió las obligaciones de información que les incumben en virtud de dicha disposición. |
| 6) | El Reglamento 2016/679 debe interpretarse en el sentido de que un órgano jurisdiccional está obligado, en el ejercicio de su función judicial, a velar por el cumplimiento de ese Reglamento cuando trata datos personales relativos a terceros al procedimiento. El Derecho de la Unión no exige que una de las partes en dicho procedimiento pueda invocar que tales datos fueron recogidos o conservados ilícitamente, en el sentido del citado Reglamento, por la otra parte, vulnerando los derechos que ese Reglamento confiere a esos terceros. |
(1) DO C, C/2024/6402.
ELI: http://data.europa.eu/eli/C/2026/4149/oj
ISSN 1977-0928 (electronic edition)
