LA TUTELA DE LA PRIVACY DIGITAL: EL DIÁLOGO ENTRE EL TRIBUNAL DE JUSTICIA DE LA UNIÓN EUROPEA Y LAS JURISDICCIONES NACIONALES

I. Introducción [Subir]

«As legislative inertia and European democratic failings are good reasons for judicial activism, by contrast, when democracy advances and politics assert its claims, judges are bound to take a step back» (​Pollicino, O. (2004). Legal reasoning of the Court of Justice in the Context of Principle of Equality between Judicial Activism and Self-restraint. German Law Journal, 5 (3), 283-317.Pollicino, 2004: 283). Hace diez años escribí esto en relación a un ámbito temático (aparentemente) lejano al de la tutela de los derechos fundamentales en la era digital. Pero a pesar del tiempo y de la distancia conceptual, esa observación ya apuntaba, entre otras, las carencias de la construcción que realiza el Tribunal de Justicia cuando trata de elaborar, como se observa acertadamente, «a constitutional doctrine by a common law method» (​Posner, R. (1996). Law and Legal Theory in England and America. Oxford: Clarendon Press.Posner, 1996). En todas las ocasiones en las que los Estados miembros se muestran recelosos a avanzar hacia el enriquecimiento del acquis comunitario por la vía legislativa, aparece el Tribunal y se viste, con cierta alegría, todo hay que decirlo, con las ropas del judge made law para acelerar el proceso mediante su jurisprudencia. Algo así es lo que ha sucedido en relación a las últimas evoluciones que han experimentado los mecanismos de protección de los datos personales que plantea el ordenamiento comunitario.

Desde hace años, a nivel intergubernamental, se decidió que era necesario dar un paso adelante en cuanto al nivel de protección de la privacy europea, así como que resultaba indispensable adoptar un instrumento de alcance general directamente vinculante y obligatorio en todos sus términos que condujese a una mayor uniformidad de las regulaciones de los Estados miembros y adecuase los mecanismos de protección de los datos personales al contexto digital que, obviamente, no era el ámbito de referencia cuando se adoptó la Directiva 46/95. Sin embargo, el destino del Reglamento general sobre protección de datos personales, cuyo trámite de aprobación, como es lógico, se aceleró tras la intervención del Tribunal de Justicia en las dos decisiones que aquí se comentan, aparecía vinculado a la superación de una serie de vetos cruzados de difícil resolución.

Ante esta situación de estancamiento, los magistrados comunitarios respondieron de forma decisiva con dos decisiones entre abril y mayo de 2014, en las que parece entreverse la clara voluntad, por su parte, de abordar más en serio (¿quizá demasiado?) la protección de un nuevo digital right to privacy. En otras palabras, se trata de un intento del Tribunal de Justicia de adecuar a las características técnicas del «mundo del bit», manteniendo la legislación, ese Right to Privacy sobre el que Warren y Brandeis teorizaron por primera vez en 1890 en la Harvard Law Review, pensando, obviamente, en un «mundo de átomos». Un derecho a la privacy digital que los magistrados de Luxemburgo fundamentan en su núcleo, aunque no se diga explícitamente, en dos pilares constituidos por los derechos al respeto de la vida privada y al tratamiento de los propios datos personales, recogidos, respectivamente, en los arts. 7^[1] y 8^[2] de la Carta de los Derechos Fundamentales de la Unión Europea^[3].

En el primer fallo, los magistrados de Luxemburgo anularon, por contradecir algunas de las previsiones de la Carta de los Derechos Fundamentales de la Unión Europea, la Directiva de 2006^[4] sobre conservación de datos (también llamada data retention)^[5], mientras que en el segundo responsabilizaron a los motores de búsqueda de la obligación de eliminar, con ciertas condiciones y bajo petición expresa del recurrente, aquellos links a páginas de Internet que contengan datos que pudieran vulnerar el llamado derecho al olvido de aquellos sujetos cuya información personal, de carácter particularmente sensible, permanezca en la red por un periodo de tiempo significativo^[6].

En el caso de ambas decisiones, el terreno de juego viene definido por los procesos de desterritorialización, desestatalización y desmaterialización que conforman, quizá, el resultado más inmediato y, paradójicamente, más «tangible» de la revolución digital (​Pascuzzi, G. (2002). Il diritto dell’era digitale. Bologna: Il Mulino.Pascuzzi, 2002). Y, en ambos fallos, la perspectiva principal a través de la cual el Tribunal de Luxemburgo explora ese terreno es la relativa al impacto del factor tecnológico sobre el nivel de protección de los derechos fundamentales implicados, respecto de los que se debate el cuándo y el cómo de las posibles limitaciones que estos pueden sufrir a causa de las nuevas modalidades de vigilancia e indexación derivadas del desarrollo de la tecnología digital (​Costanzo, P. (2012). Il fattore tecnologico e le sue conseguenze, Convención anual de la AIC, «Costituzionalismo e Globalizzazione», Salerno, 23-24 de noviembre de 2012. Disponible en: www.associazionedeicostituzionalisti.it.Costanzo, 2012). Esta referencia a los procedimientos de vigilancia e indexación hace aparecer de pronto un tercer elemento de «comunión» entre las dos decisiones que aconseja comentarlas de manera unitaria.

Para ello, tras una breve referencia al contenido de los arts. 7 y 8 de la Carta y a la interpretación que al respecto realizó el Tribunal de Luxemburgo en una primera fase, anterior a los dos fallos objeto de análisis, el trabajo se concentrará en el reasoning de estos últimos, poniendo de manifiesto especialmente el papel jugado por ciertas disposiciones de la Carta que apenas se citan en la argumentación o en el contenido final de las decisiones. Las reflexiones finales se orientarán, por su parte, a las consecuencias que parecen derivarse de la distinta ponderación que realiza el Tribunal de Justicia cuando el campo de juego cambia del contexto analógico al digital, y que se concretan en la reducción del nivel de protección de algunos de los derechos en juego.

II. Los parámetros importantes [Subir]

Si se quisiera identificar cuál de las disposiciones previstas en los arts. 7 y 8 está dotada de un contenido más innovador, no cabe duda de que se trata de la previsión de un derecho a la protección de los datos personales sancionada por el art. 8^[7]. En la práctica, y a pesar del intento de la interpretación anexa a la Carta^[8] de restringir su contenido a una mera reproducción del acquis existente^[9], el art. 8 resulta significativamente novedoso. Porque no solo consigue «constitucionalizar» el derecho a la protección de los datos personales, sino que además, especialmente, lo desvincula definitivamente de esa dimensión económica, propia de la consolidación del mercado interior, que caracterizaba, al menos ab origine, el contenido normativo de la Directiva 95/46^[10]. Ciertamente, con la entrada en vigor del Tratado de Lisboa y la atribución de carácter vinculante a la Carta de Niza, esta tutela paraconstitucional del derecho a la protección de los datos personales pasó a recogerse de manera conjunta tanto en esta como en el primer inciso del art. 16 TFUE^[11], pero no por ello puede dejar de subrayarse, a este respecto, la labor pionera que ha desempeñado desde 2001 el art. 8 de la Carta^[12], por, entre otras cosas, «constitucionalizar» también la figura de la Autoridad para la protección de los datos personales como un ente único entre las autoridades independientes.

En la jurisprudencia del Tribunal anterior al terrible «uno/dos» de Luxemburgo que constituyen las decisiones sobre data retention y derecho al olvido, puede identificarse una doble caracterización en lo que respecta al objeto de esta investigación.

Por una parte, la jurisprudencia relevante se define por una aproximación que se podría denominar omnicomprensiva a la protección de la privacy que se concreta, a su vez, mediante un empleo cumulativo de los arts. 7 y 8 de la Carta, sin que se pueda apreciar con claridad la autonomía conceptual del derecho a la protección de los datos personales en relación al clásico derecho al respeto de la vida privada. Por otra parte, al plantearse la cuestión de las limitaciones legítimas a los derechos previstos en los arts. 7 y 8 y, por tanto, la posible aplicación del art. 52 de la Carta^[13], los magistrados comunitarios nunca han distinguido, hasta las decisiones de estos últimos meses, los dos perfiles que presenta la cuestión que ahora se invoca: por un lado, el relativo a la aplicación del principio de proporcionalidad, y por otro, el que respecta a la vulneración del contenido esencial de los derechos en juego.

En relación a la primera de las dos tendencias que se acaban de describir, constituye un ejemplo bastante significativo la Sentencia Shelcke de 2010^[14], en la que los magistrados comunitarios afirmaron textualmente que «se debe señalar, por un lado, que el respeto del derecho a la vida privada en relación al tratamiento de datos personales, reconocido en los arts. 7 y 8 de la Carta, se refiere a cualquier información relativa a una persona física identificada o identificable […] y, por otro, que las limitaciones que pueden establecerse legítimamente al derecho a la protección de los datos personales corresponden con aquellas toleradas en el ámbito del art. 8 CEDH (par. 52)».

Bien visto, esta mención que se hace al art. 8 CEDH muestra cómo el derecho a la protección de datos ha sido considerado simplemente como un apéndice accesorio del derecho al respeto de la vida privada previsto en el art. 7 de la Carta y, en particular, ha sido interpretado como un derecho a la predeterminación informativa que no puede olvidar la Informationelle Selbsbestimmung de raíz alemana^[15].

Sin embargo, esto no parece corresponderse del todo con las intenciones de los redactores de la Carta de Niza. De hecho, mientras que, como ya se sabe, el concepto de predeterminación informativa gira alrededor de la obtención del consentimiento para el tratamiento, cuando se concibió la formulación del art. 8 se quiso separar, al menos en algunos casos, el tratamiento de los datos del consentimiento inicial del titular del derecho^[16]. Tal y como se ha apuntado acertadamente, el art. 8 refleja un acquis comunitario en materia de protección de datos que «looks beyond consent only and create a system of checks and balances which ensures lawful processing also without asking the consent of the person involved» (​Kranenborg, H. (2014). Protection of Personal Data. En S. Peers, T. Harvey, J. Kenner y A. Ward (eds.). The EU Charter of Fundamental Rights: A Commentary (cap. 8). Oxford: Hart Publishing.Kranenborg, 2014: 229).

III. Data retention y tradiciones constitucionales comunes [Subir]

Así, en orden cronológico, lo primero a tener en cuenta en la decisión sobre data retention es que los magistrados comunitarios, innovando respecto a la jurisprudencia anterior, parecen por una parte más favorables a considerar la relevancia por separado de los dos derechos previstos en los arts. 7 y 8 de la Carta^[17]; y lo segundo es que se plantea una distinción bastante clara entre, por un lado, lo que es la vulneración del contenido esencial de estos derechos por parte del acto de derecho derivado objeto de examen^[18], y, por otro, aquello que tiene que ver con el examen de la proporcionalidad de las medidas recogidas en la propia Directiva para lograr los objetivos previstos de tutela del orden público y lucha contra el terrorismo. Medidas, estas últimas, consideradas por el Tribunal de Luxemburgo como excesivamente intrusivas en los límites de los derechos al respecto a la vida privada y a la protección de los datos personales.

Antes de entrar en los elementos específicos de ambas cuestiones, es importante identificar cuál es el núcleo duro de relevancia constitucional que caracteriza el caso objeto de examen, que aparece magistralmente descrito en las palabras del abogado general Cruz Villalón cuando apunta que:

Y los magistrados de Luxemburgo no dejaron escapar tan golosa ocasión y decidieron, por primera vez en la historia del proceso de integración europea, y tal y como se preveía, anular un acto de derecho derivado de la Unión a causa de su contradicción con el bill of rights europeo, esa Carta de los Derechos Fundamentales que, en el supuesto en cuestión, se utiliza (aunque no únicamente, como se expondrá en la conclusión) como parámetro de constitucionalidad por parte de un Tribunal que, sin renunciar del todo a su ADN internacionalista a pesar de que con el tiempo este ha recibido una dosis masiva de supranacionalidad, muestra una mal disimulada vocación de juez paraconstitucional y, como tal, de custodio de la legalidad, en términos constitucionales, en Europa.

Hay que tener en cuenta que no es casualidad que un capítulo histórico en la jurisprudencia de matriz constitucional desarrollada por el Tribunal de Justicia se haya escrito en referencia a un ámbito sustancial como el regulado en la Directiva 2006/24, que ya en un caso anterior se había librado de las cuchillas del propio Tribunal porque, entonces, el petitum se fundamentó en un supuesto error en la base jurídica de la norma en lugar de hacerlo en la falta de tutela de los derechos fundamentales en juego^[21].

Si bien es cierto que el objeto de regulación de la Directiva en cuestión deriva directamente de ese securization ethos que surgió como reacción inmediata a los ataques del 11 de septiembre de 2011, sus raíces originarias se encuentran en la progresiva importancia que, en el ordenamiento de la Unión, ha ido adquiriendo la tutela de la seguridad europea. Esta cuestión, en un primer momento, se concibió como una exigencia funcional para la mejor realización de las cuatro libertades fundamentales, y más tarde, a partir del Tratado de Maastricht, como un telos autónomo de la Unión Europea. La regulación que es objeto de análisis por parte del Tribunal, impregnado de la lógica del control preventivo y con la duda como regla general^[22], deroga, como recuerda el abogado general en sus Conclusiones^[23], las reglas sobre tutela del derecho al respeto de la vida privada, instituidas por las Directivas 95/46 y 2002/58, en relación al tratamiento de los datos personales en el ámbito de las comunicaciones electrónicas. Mientras que, de hecho, estas Directivas reconocieron la confidencialidad de las comunicaciones y de los datos relativos al tráfico, además de la obligación de borrarlos o mantenerlos en secreto cuando ya no sean necesarios para transmitir una comunicación excepto para fines de facturación y en la medida en que sea imprescindible, la Directiva del 2006 dispone^[24], alterando el principio general que se acaba de exponer, que los Estados miembros deberán regular, «for the purposes of the investigation, detection and prosecution of serious crime»^[25], la obligación de conservar estos datos por un periodo no inferior a seis meses y no superior a dos años.

Esta circunstancia no ha pasado desapercibida para los Tribunales constitucionales y supremos^[26] de los Estados miembros, que deben valorar la conformidad de las normas nacionales de trasposición y que, desde 2008, han venido mostrando su preocupación respecto de la insuficiente tutela de los derechos a la privacy y a la protección de datos que se deriva de la regulación mencionada, identificando como responsables directos de esta situación a las normas nacionales de trasposición pero también, indirectamente y por otro lado de forma obvia, a la Directiva europea sobre data retention. A este respecto, merecen una mención especial los casos que hay pendientes en los tribunales eslovaco y esloveno. El primero, tras el fallo del Tribunal de Justicia, prefirió —en relación a una controversia sobre la validez de la ley de trasposición— suspender la eficacia de las normas mediante las que esta Directiva se incorporó al ordenamiento nacional. De este modo adelantó los efectos de aquella decisión.

El caso de Eslovenia es diferente, ya que su Tribunal constitucional suspendió el procedimiento que estaba sustanciando en espera del fallo del Tribunal de Justicia para después retomarlo y, a partir de las pautas interpretativas procedentes de Luxemburgo, declarar nula la norma de trasposición^[27].

Como se ha expuesto hace un momento, el primero de los dos aspectos que, en este momento, merece ser objeto de especial atención es la autonomía que, de manera innovadora, se ha atribuido en el caso que se analiza a los arts. 7 y 8 de la Carta, que hasta ese momento eran considerados «simplemente» elementos de un binomio inescindible.

El abogado general Cruz Villalón distingue claramente en sus conclusiones ambos elementos, poniendo de relieve que «el artículo 8 de la Carta consagra el derecho a la protección de datos de carácter personal como un derecho distinto del derecho al respeto de la vida privada. Si bien la protección de datos pretende garantizar el respeto de la vida privada, está sujeta a un régimen autónomo»^[28]. El razonamiento del abogado se dirige en su totalidad a evidenciar cómo pueden existir casos, como el que se estudia, en los que una norma que restringe legítimamente el derecho a la protección de los datos de carácter personal conforme a los términos del art. 8 de la Carta puede, sin embargo, ser considerada como causante de una lesión desproporcionada del art. 7 de la misma. Y para alcanzar su objetivo, el abogado general necesitó recurrir a una diferenciación, nunca antes hecha y no desprovista de cierta dosis de artificialidad, entre «datos personales» tout court y datos «más que personales»^[29]. Los primeros tendrían como función exclusiva la de individualizar a la persona y, dotados de cierta permanencia y a menudo también de cierto carácter neutro, serían datos «personales sin más y cabría decir, con carácter general, que son aquellos con respecto a los que la estructura y las garantías del artículo 8 de la Carta están mejor adaptadas»^[30]. Los segundos, por su parte, se referirían «bajo una perspectiva cualitativa» a la reserva de la vida privada, comprendiendo la esfera íntima. En esos casos los problemas que plantean los datos personales comienzan, por así decirlo, ya «en una fase anterior»^[31] y la cuestión que se plantea entonces no sería la de «las garantías relativas al tratamiento de los datos, sino, en una fase anterior, el de los datos como tales, es decir, el hecho de que las circunstancias de la vida privada de una persona hayan podido materializarse en forma de datos, que, en consecuencia, pueden ser objeto de tratamientos informáticos»^[32].

La segunda distinción que se desprende claramente del análisis del caso que se está examinando también innovadora en relación al acquis jurisprudencial precedente y contenida en esta ocasión en el reasoning de los magistrados comunitarios, es, como ya se ha mencionado, la que se basa en el párrafo 1 del art. 52 de la Carta^[33], diferenciando entre el examen que se hace de la posible violación por parte de la Directiva del contenido esencial de los arts. 7 y 8 y el relativo a la proporcionalidad de las medidas previstas para alcanzar los objetivos de tutela del orden público y lucha contra el terrorismo, que el Tribunal considera legítimos.

Hasta esta sentencia, la jurisprudencia comunitaria tendía a considerar como una especie de «bloque único» al párrafo 1 del art. 52 de la Carta, sin detenerse a analizar la posibilidad de que una limitación de los derechos fundamentales en juego que no afectase a su contenido esencial pudiera no resultar proporcionada en relación a los objetivos prefijados por la regulación sustantiva objeto de examen.

En el reasoning del fallo objeto de estudio, por el contrario, los magistrados de Luxemburgo, tras afirmar que «la injerencia que supone la Directiva 2006/24 en los derechos fundamentales reconocidos en los artículos 7 y 8 de la Carta resulta de gran magnitud», afrontan de modo separado el examen de las dos cuestiones que se derivan del art. 52.1. En relación a la primera, el Tribunal descarta que exista una violación del núcleo esencial tutelado tanto por el derecho a la vida privada como por el relativo a la protección de datos. En el primer caso porque la Directiva, a tenor de su art. 5.c).2, no permite recabar el contenido de las comunicaciones electrónicas, con lo que queda protegido, según el razonamiento de los magistrados, el objeto de las mismas, que obviamente constituye el elemento más sensible cuando se habla de la privacy de los usuarios. En el segundo caso, según el Tribunal, el hecho de que la Directiva prevea algunos principios en materia de protección y seguridad de los datos proporcionaría la base necesaria para que cada Estado miembro adopte «medidas técnicas y organizativas adecuadas contra la destrucción accidental o ilícita de los datos y su pérdida o alteración accidental»^[34]. Tras validar de hecho la admisibilidad de los mecanismos de data retention y su consiguiente puesta a disposición de las autoridades nacionales, el Tribunal afirma que este tipo de sistemas responden a objetivos de interés general de la Unión Europea, como la lucha contra el terrorismo, dirigida a mantener la paz y la seguridad internacionales, o, en términos más abstractos, contra las formas más graves de delincuencia, contribuyendo a la seguridad pública.

Pero es en relación a la valoración de la proporcionalidad de la posibilidad de recoger y conservar los datos, tal y como se prevé en la Directiva, donde el Tribunal de Justicia llega a una conclusión negativa^[35]. Después de haber constatado la existencia de una injerencia de gran magnitud en los derechos tutelados por los arts. 7 y 8 de la Carta, el Tribunal se plantea si existe la debida adecuación entre la misma y los objetivos perseguidos por la Directiva. De este modo, el reasoning de los magistrados se orienta a valorar si existen las suficientes garantías que permitan justificar las limitaciones que se propone realizar sobre los derechos fundamentales tutelados y asegurados por la Carta, circunstancia que motiva las críticas del Tribunal sobre algunos de los puntos de la Directiva.

El Tribunal basa sus argumentaciones subsiguientes en la premisa de que la injerencia en la vida privada de los individuos afecta a la «totalidad de la población europea» (par. 56), sin limitación alguna. Desde esta óptica, el Tribunal reconoce que la injerencia en los datos se plantea también respecto de personas sobre las que no existe sospecha alguna de haber cometido un delito, apareciendo como algo totalmente desconectado de la comisión —directa o indirecta— de delitos graves. En resumen, la recogida de datos no se limita a un determinado grupo de personas, ni a un área geográfica concreta, ni se circunscribe a periodos de tiempo determinados.

También resulta vago e incompleto, y desde luego no respetuoso con el principio de proporcionalidad, el recurso al concepto de «delitos graves». Según los magistrados, el hecho de que la Directiva permita a cada Estado miembro realizar su propia definición de lo que es un delito grave hace que no se pueda determinar ni concretar fácilmente qué debe entenderse por tal.

El Tribunal subraya a continuación la ausencia de garantías específicas, tanto sustanciales como procedimentales, adecuadas para asegurar un acceso «controlado» por parte de las autoridades de los Estados miembros. El número de personas —pertenecientes a las autoridades de cada Estado miembro— que puede acceder a los datos almacenados resulta de hecho indeterminado (​Cocq, C. y Galli, F. (2013). Comparative law paper on data retention regulation in a sample of EU Member States. Surveille Project D4.3, 2013. Disponible en: https://surveille.eui.eu/wp-content/uploads/sites/19/2015/04/D4.3-Comparative-law-paper-on-data-retention-regulation-in-a-sample-of-EU-member-states.pdf.Cocq y Galli, 2013). Y tampoco el acceso mismo a los datos aparece condicionado por la existencia de un control previo por parte de un juez o de una autoridad administrativa independiente.

Y en lo que respecta a la duración del periodo durante el que se pueden conservar los datos, las objeciones se basan en el hecho de que no se realiza distinción alguna por razón de las distintas categorías de los mismos, considerando, además, que en cualquier caso la conservación de los datos debería limitarse al tiempo estrictamente necesario.

Estas son, pues, las razones en las que el Tribunal se basa para entender que la Directiva 2006/24 no recoge normas claras y precisas que resulten adecuadas para regular las posibles injerencias que se plantean sobre los derechos fundamentales consagrados en los arts. 7 y 8 de la Carta. Dado el gran alcance de estas, la Directiva no responde a las exigencias del principio de necesidad, criterio auxiliar y complementario del más general principio de proporcionalidad (par. 65)^[36].

IV. Derecho al olvido y mutación de la legislación aplicable [Subir]

El camino iniciado por la sentencia comentada, que anula la Directiva sobre data retention e identifica un digital (Internet based) right to data protection, alcanza su apoteosis en el reasoning de los magistrados con motivo de la decisión del caso Google Spain, dictada unas semanas después, sobre derecho al olvido. En esta, los magistrados comunitarios, como se verá en el próximo párrafo, enfatizan aún más el carácter absoluto de la protección de la privacy en la era digital a través de una interpretación extensiva, cabría decir incluso manipulativa, y axiológicamente orientada, de las disposiciones de los arts. 7 y 8 de la Carta de Niza y de la Directiva 95/46 (que entró en vigor en el momento en el que se desarrollaba la transición de lo analógico a lo digital, por lo que seguramente no se redactó pensando en Internet como un ámbito tecnológico especial).

La cuestión específica sobre la que se solicita el pronunciamiento del Tribunal por la vía prejudicial, a través de un reenvío planteado en 2012 por la Audiencia Nacional, es la aplicación de la regulación contenida en la Directiva 95/46/CE, norma de referencia aún vigente en materia de datos personales a nivel de la Unión Europea, a los Internet Service Provider que gestionan un motor de búsqueda, en concreto Google. En el caso del que trae causa la cuestión prejudicial, la Agencia Española de Protección de Datos, autoridad nacional para la protección de los datos de carácter personal, ordenó a Google eliminar de entre los resultados generados a través de su motor de búsqueda los relativos a algunas noticias sobre un embargo sufrido por el Sr. Costeja González, recurrente ante la Agencia; considerando que los datos carecían ya de relevancia en ese momento, Google se opuso alegando que la normativa europea sobre datos personales (y, por consiguiente, la española) no le era aplicable, además de señalar que una intervención como la pretendida por la Agencia podría suponer una restricción ilegítima de la libertad de expresión de los gestores de páginas web. Por el contrario, bajo el punto de vista del motor de búsqueda, únicamente interviniendo los sitios web indexados se podría satisfacer la pretensión de vuelta al anonimato que plantean los interesados. Ante esto, la Audiencia Nacional, competente para conocer el recurso contra la decisión de la AEPD, elevó una cuestión prejudicial en la que se planteaban tres preguntas complejas dirigidas a verificar, en esencia, si la Directiva 95/46 es aplicable a un proveedor como Google y si es posible garantizar el enforcement del derecho al olvido por parte de los sujetos a los que se refieren los datos personales.

Esto es lo que el abogado general Jääskinen, en sus conclusiones, propuso al Tribunal de Luxemburgo en relación a la ponderación entre los derechos que, en la esencia del caso, se integraban formando la bella imagen de una «pléyade particularmente compleja».

Es complicado encontrar algún precedente en el que el Tribunal no solo se haya opuesto en su resolución a la tesis defendida por el abogado general, sino que además haya empleado una línea argumental radicalmente distinta a la propuesta por este último. Basta con reformular a contrario el párrafo del abogado general que se acaba de reproducir para identificar, teniendo en cuenta la simplificación y pérdida de precisión que obviamente implica esto, los dos (iguales y opuestos) puntos cardinales que aparecen en la operación de (no) ponderación que realiza el Tribunal de Justicia en este caso. De hecho, en relación al primer elemento que parece caracterizarse en dicho pasaje, los magistrados de Luxemburgo, exactamente (y literalmente) al contrario de lo que se lee en las reflexiones del abogado general, refuerzan decididamente la posición jurídica de la persona interesada (en el sentido de la Directiva 95/46), reconociéndole, en esencia y quizá sin la mejor técnica, ese derecho al olvido^[38] que, según el abogado general, no era posible identificar a la luz del acquis comunitario vigente. Y lo hacen sacrificando, como se verá más adelante, esas libertades de información y de expresión que el propio abogado general define, siempre en el mismo párrafo, como «derechos básicos».

En lo que respecta al segundo elemento que se identifica en las reflexiones de Jääskinen, y teniendo en cuenta los añadidos y precisiones que se harán a continuación, no parece descabellado afirmar que, nuevamente de un modo literalmente contrario a lo que propone aquel, los magistrados concluyen, sustancialmente, que la ponderación entre los derechos implicados antes mencionados (por una parte el derecho al olvido, y por la otra las libertades de expresión e información) puede ser realizada satisfactoriamente para cada situación a partir de una valoración caso por caso, lo cual puede acarrear consecuencias nada despreciables; de hecho, se deja la decisión final en manos de los proveedores de servicios de motores de búsqueda de Internet, contrariamente a lo que aconsejaba vivamente el abogado general.

Quizá el par. 69 del fallo sea el que mejor ilustra de todos la intención de los magistrados comunitarios de leer las disposiciones aplicables de la Directiva bajo la luz de las previsiones de la Carta que se dirigen a tutelar la llamada privacy digital.

En concreto, los magistrados comunitarios apuntan que:

No es difícil ver cómo todo esto está totalmente orientado a realizar una especie de ajuste temporal: en el reasoning del Tribunal están los arts. 7 y 8, concebidos al principio de este milenio y destinados a ser desarrollados por disposiciones de derecho derivado bastante más recientes.

Partiendo de estas premisas, las reflexiones que siguen intentarán mostrar las distorsiones, las anomalías o, simplemente, las reformulaciones argumentativas que parecen derivar de la opción, asumida por los magistrados comunitarios, de emplear los arts. 7 y 8 de la Carta de Niza como parámetros casi exclusivos para solucionar el caso.

La primera anomalía argumentativa es, quizá, la más evidente. A diferencia de lo hecho por el abogado general, que planteó una relación numéricamente casi equivalente entre, por una parte, los artículos que se acaban de citar y, por otra, las disposiciones de la Carta sobre libertad de expresión (y acceso a la información) —art. 11— y sobre libertad de iniciativa económica —art. 16—, en el desarrollo argumental del Tribunal no aparece ninguno de estos dos preceptos. No hay referencias ni al art. 11 ni al art. 16, lo cual deja un espacio libre para ser ocupado por las numerosísimas citas de los arts. 7 y 8 de la Carta que se realizan.

La ponderación entre los derechos en juego se plantea ya de inicio de una forma totalmente descompensada hacia la tutela de la privacy digital. Esto queda confirmado con la afirmación que el Tribunal repite en más ocasiones^[39], en la que, tras haber razonablemente apuntado que la supresión de links de la lista de resultados podría, en función de la información de que se trate, tener repercusiones en el interés legítimo de los internautas potencialmente interesados en tener acceso a la información en cuestión, en situaciones como las del litigio en curso se debe buscar «un justo equilibrio, en particular entre este interés y los derechos fundamentales de la persona afectada con arreglo a los artículos 7 y 8 de la Carta», concluyendo el razonamiento con una presunción de prevalencia muy poco comprensible. En concreto, se afirma que «ciertamente, los derechos de esa persona protegidos por dichos artículos prevalecen igualmente, con carácter general, sobre el mencionado interés de los internautas, no obstante este equilibrio puede depender, en supuestos específicos, de la naturaleza de la información de que se trate y del carácter sensible para la vida privada de la persona afectada y del interés del público en disponer de esta información, que puede variar, en particular, en función del papel que esta persona desempeñe en la vida pública».

En otras palabras, la regla general es el sacrificio del derecho (reducido a mero interés) al acceso a la información en favor de los derechos que se refieren a la protección de la esfera privada y de los datos personales de los usuarios, siendo algo excepcional la posible prevalencia, en casos concretos y bajo ciertas condiciones, del primero sobre los segundos.

Esta forma de articular la regla general y la excepción no solo no figura en absoluto en la ponderación entre los derechos en conflicto que propuso el abogado general Jääskinen, sino que hace tiempo que fue explícitamente descartada por el abogado general Kokott^[40] en el caso Satamedia ^[41]; además, está en las antípodas de lo que establece la jurisprudencia del Tribunal Europeo de Derechos Humanos para casos similares. Comenzando por la reciente Sentencia Smolczewski ^[42], en la que, como se ha apuntado (​Vigevani, G. E. (2014). Identità, oblio, informazione e memoria in viaggio da Strasburgo a Lussemburgo, passando per Milano. Danno e Responsabilitá, 7, 741 y ss.Vigevani, 2014), el Tribunal de Estrasburgo, reiterando una doctrina que viene desde sus primeras sentencias importantes en materia de libertad de expresión, concluye claramente que la prevalencia de esta última es la regla general, siendo las restricciones a este derecho excepciones que deben ser interpretadas de manera restrictiva. Y esto también es aplicable a los casos en los que el conflicto se produce entre el acceso a la información disponible en la web y el interés del sujeto recurrente en que determinados datos que afectan a su reputación no sean accesibles en Internet^[43].

Si bien el énfasis que se da al papel que cumplen los arts.7 y 8 de la Carta tiene una importancia determinante en lo que se refiere a la orientación axiológica de la ponderación entre los derechos en conflicto llevada a cabo por el Tribunal, no menos relevante es su influencia en la aplicación que este hace de las disposiciones de la Directiva 95/46 al caso enjuiciado. Se podrían identificar cuatro cuestiones en las que la interpretación que los magistrados comunitarios hacen de la Directiva a la luz de los arts. 7 y 8 de la Carta, mencionados hasta la saciedad, provoca un efecto, por así decirlo, alterador. En primer lugar, la importancia que, en el caso específico, tiene la legislación de la Unión Europea; en segundo, la identificación del motor de búsqueda como un controller encargado del tratamiento de los datos y, por tanto, responsable del mismo; en tercer término, la aplicación al caso enjuiciado del art. 12.b) de la Directiva, en lo que se refiere a las formas y los supuestos, inter alia, del derecho a obtener el borrado, la rectificación y el bloqueo de los datos personales; y, por último, la aplicación del art. 9 de la misma como regla especial en caso de tratamiento de datos relativos a la actividad periodística.

En primer lugar, respecto a la primera cuestión, es cierto que el abogado general llegó a la misma conclusión que los magistrados comunitarios: la aplicabilidad de la normativa europea a un motor de búsqueda que haya abierto en un Estado miembro una oficina para la promoción y venta de espacios publicitarios mediante la que dirija su actividad a los ciudadanos de dicho Estado. Sin embargo, los magistrados de Luxemburgo van en su justificación más allá de los fundamentos planteados en el reasoning del abogado general, haciendo una interpretación extensiva de la locución «en el contexto de la actividad»^[44] que aparece en el art. 4.a); la aplicación de la legislación europea a Google Spain (que «técnicamente no trata datos» según admite el Tribunal) es necesaria en la medida en que «visto el objetivo de la Directiva 95/46 de garantizar una protección eficaz y completa de las libertades y de los derechos fundamentales de las personas físicas, y, en particular, del derecho a la intimidad, en lo que respecta al tratamiento de los datos personales, esta expresión no puede ser objeto de una interpretación restrictiva»^[45].

Nuevamente el derecho a la vida privada se convierte en el prisma único de modulación de la protección, sin que se haga referencia alguna a la necesidad de proteger los posibles intereses que chocan con él. En el intento de justificar su afirmación, el Tribunal, entre otras cosas, cita «por analogía» los parágrafos 62 y 63 de su sentencia en el caso L’Oréal ^[46]. Y ello a pesar de que, en realidad, se trata de unos apartados que tienen una influencia muy limitada sobre el caso enjuiciado. De hecho, hacen referencia a otras normas de derecho derivado cuyo objeto principal es la protección del derecho de propiedad industrial y la fijación de sus límites, nada que ver con la tutela de los datos personales; el único punto en común de ambos fallos es la ubicación de los servidores fuera de la Unión Europea^[47].

En segundo lugar, respecto de la consideración del motor de búsqueda como un controller del tratamiento, lo relevante es la premisa de partida del razonamiento del Tribunal, basada en la identificación de los arts. 7 y 8 como parámetros (casi) exclusivos. Esto parece manifestarse claramente cuando los magistrados comunitarios, al interpretar el ámbito de aplicación del art. 2.d) de la Directiva, que define la figura del controller, añaden que:

Aquí, la interpretación que se hace de la legislación aplicable, a través de las previsiones contenidas en los arts. 7 y 8 de la Carta, en lugar de iluminar el razonamiento del Tribunal de Justicia, consigue hacerlo más oscuro y débil. De hecho, se trata, como ya he tenido ocasión de plantear en otro momento (​Pollicino, O. y Bassini, M. (2014). Reconciling Right to Be Forgotten and Freedom of Information: Past and Future of Personal Data Protection in Europe. Diritto Pubblico Comparato ed Europeo, 641 (2014), 641-662.Bassini y Pollicino, 2014), de una evidente excusatio non petita. El Tribunal intenta construir una definición amplia de «responsable» amparándose en una justificación, la mayor tutela de los interesados, que resulta irrelevante. Con esto se ignora que en la posición del «titular del tratamiento» concurren, de hecho, las principales obligaciones establecidas por la Directiva, y que al aplicar estas a los gestores de un motor de búsqueda se corre el riesgo de desnaturalizar profundamente el modelo de negocio de estos operadores.

Además, el Tribunal no aclara un aspecto determinante: ¿a qué finalidad obedecen las obligaciones del responsable del tratamiento? Si, como sostienen los magistrados comunitarios, constituye tratamiento tanto la publicación de datos en la propia página web como la indización y reformulación de estos en resultados de búsqueda, entonces habría que preguntarse si también los gestores de motores de búsqueda, llevando al límite (aunque no demasiado) el razonamiento, deberían obtener el consentimiento de los interesados.

Si existen aún dudas en relación al rol que cumplen los arts. 7 y 8 de la Carta en la ampliación (mellius: mutación) del entramado normativo que constituye la legislación aplicable, hasta el punto de incluir en la noción de responsable del tratamiento también a los motores de búsqueda, algunos parágrafos más adelante el Tribunal reafirma el concepto argumentando que:

En lo que se refiere a la tercera cuestión señalada, el Tribunal, como se ha dicho, tiene la tarea de valorar si los derechos reconocidos a los interesados por la Directiva, en sus arts. 12.b) y 14.1.b), atribuyen a estos últimos la posibilidad de obtener del motor de búsqueda la eliminación de los resultados de enlaces a páginas web donde figuran datos personales, aunque no se modifiquen las páginas web implicadas y sin que la publicación tenga que tener, per se, carácter ilícito. Aquí se plantea de modo directo el equilibrio entre la libertad de expresión de los gestores de páginas web y el derecho de los interesados a ver protegidos sus datos personales, siendo especialmente relevante para lo que nos interesa cómo se ha forzado la regulación contenida en el art. 12.b)^[49], con el fin de adaptarla a las exigencias de máxima protección de la privacy digital de los interesados.

Conforme a su art. 12.b), el interesado tiene el derecho a obtener el borrado, la rectificación o el bloqueo de los datos cuyo tratamiento no se ajuste a las disposiciones de la Directiva, en particular a causa del carácter incompleto o inexacto de los mismos. El Tribunal interpreta este último inciso como una mención ejemplificativa y no exclusiva (como parecería si se realiza una lectura literal de la disposición), sentando así las bases para que cualquier diferencia en el tratamiento que sea contraria a la Directiva permita atribuir a los interesados el derecho a reclamar las medidas establecidas en la norma. De este modo, la sentencia acaba por extender el alcance de las previsiones normativas, desnaturalizando el sentido del derecho a la rectificación y al borrado de los datos personales mediante una referencia genérica a los supuestos de los arts. 6 y 7 de la Directiva.

A este respecto, entre otras cosas, es necesario recordar que una cosa es el tratamiento ilícito de los datos personales, respecto del que la Directiva plantea determinadas soluciones, y otra el tratamiento claramente lícito de los mismos respecto del que el interesado manifiesta su interés en que la información afectada no se difunda de modo incondicional, que es lo que corresponde específicamente al derecho al olvido.

Ambas cosas parecen confundirse en el análisis que realiza el Tribunal.

Y la razón de esta confusión parece ser, como ya se ha demostrado, la voluntad de los magistrados comunitarios, a través de una lectura interesada de las normas aplicables bajo la luz del art. 7 y, especialmente, del art. 8 de la Carta, de ampliar al máximo posible el ámbito de aplicación de la Directiva hasta incluir supuestos que quedarían claramente excluidos si se realizara una interpretación literal o sistemática de aquella, y respecto de los que la norma sólo es aplicable gracias a una operación hermenéutica cuyo resultado es muy similar a lo que sucedería si se atribuyera eficacia directa y horizontal, tal y como se explicará en las conclusiones, a los artículos citados de la Carta.

Finalmente, el último ámbito de aplicación de la Directiva respecto del que la interpretación del Tribunal parece estar fuertemente influida por la voluntad de atribuir la máxima protección posible a los artículos de la Carta que conforman el estatuto de la privacy digital es el relativo a la hipótesis del art. 9, que plantea una excepción a los principios generales fijados en aquella cuando el tratamiento de datos obedezca a fines exclusivamente periodísticos o de expresión artística o literaria. Sobre este particular, el Tribunal recuerda que, en el sentido del 37º considerando de la Directiva, el art. 9 busca conciliar dos derechos fundamentales, que son, por una parte, la tutela de la vida privada y, por otro, la libertad de expresión, por lo que las excepciones permitidas serán exclusivamente las que resulten necesarias para conciliar el derecho a la vida privada con las normas que regulan la libertad de expresión. No obstante, los magistrados comunitarios llegan a la conclusión, no muy convincente, de que el tratamiento por parte del editor de una página web, que consiste en la publicación de información relativa a una persona física, puede, en su caso, efectuarse “con fines exclusivamente periodísticos” y beneficiarse, de este modo, en virtud del artículo 9 de la Directiva 95/46, de las excepciones a los requisitos que esta establece, mientras que ese no es el caso en el supuesto del tratamiento que lleva a cabo el gestor de un motor de búsqueda»^[50].

El Tribunal, en otras palabras, excluye que los motores de búsqueda puedan de algún modo valerse de la excepción prevista en el art. 9 de la Directiva, citando para ello la Sentencia Satamedia ^[51], en la que los propios magistrados comunitarios interpretan el alcance de esa excepción; no obstante, olvida mencionar la parte de esta en la que se dice que la referencia al tratamiento para fines periodísticos debe ser interpretado del modo más amplio posible, incluyendo cualquier «actividad dirigida a divulgar entre el público informaciones, opiniones o ideas, independientemente del medio de transmisión»^[52].

Considerando esta definición, ¿es verdaderamente razonable la distinción que hace el Tribunal, relativa a la aplicación del art. 9 de la Directiva, entre editor de la página web y motor de búsqueda?

Si estas son las mutaciones más evidentes que parece haber producido la lectura constitucional y «unidireccionalmente» orientada del Tribunal a partir de los arts. 7 y 8 de la Carta, también se dan, si se mira bien, otras paradojas en referencia a los resultados a los que llegan los magistrados a través de un reasoning como el comentado, más que nunca fundamental rights based.

En efecto, al crear una obligación de eliminar los enlaces que afecta exclusivamente al motor de búsqueda, con independencia de lo que haga o deje de hacer el editor de la página web que ha sido indexada por el motor en cuestión, se corre el riesgo de convertir en irresponsable al primero y de responsabilizar quizá de manera excesiva al segundo. Pero su principal consecuencia es el llamativo conflicto que se plantea con un principio constitucional fundamental que caracteriza el núcleo duro de cualquier ordenamiento basado en la rule of law, especialmente paradójico si se piensa que se trata de una argumentación basada en la tutela de (algunos) derechos protegidos por el bill of rights europeo. Se trata de la necesidad de prever una reserva de jurisdicción sobre los casos de posibles restricciones (en este caso derivadas de una ponderación) de los derechos fundamentales en juego.

Esta necesidad no parece haber sido considerada por parte del Tribunal de Justicia, que, en esencia, delega en los operadores privados, que, de hecho, desarrollan en la web una función pública de naturaleza paraconstitucional, la tarea de resolver la ponderación de intereses que él mismo ha planteado entre el derecho a la privacy y el derecho a ser informado.

No se puede no pensar en las palabras del Tribunal Europeo de Derechos Humanos en el caso Węgrzynowski, hace poco recordadas por Giulio Enea Vigevani (​Vigevani, G. E. (2014). Identità, oblio, informazione e memoria in viaggio da Strasburgo a Lussemburgo, passando per Milano. Danno e Responsabilitá, 7, 741 y ss.2014: par. 65), al afirmar que «no es competencia de la autoridad judicial reescribir la historia, ordenando hacer desaparecer del dominio público toda huella de una publicación que en el pasado hayan sido considerada, mediante sentencia definitiva, como constitutiva de una violación injustificada de la reputación de un individuo».

Y no se puede obviar, de manera concluyente a este respecto, el hecho de que una tarea así no puede ser delegada a un operador privado, además sin la previa intervención de un juez; sobre todo cuando se trata de noticias veraces sobre las que no ha existido pronunciamiento judicial alguno que establezca su carácter difamatorio.

V. Schrems y la transición del principio de adecuación al de protección equivalente

Para todo constitucionalista apasionado por la teoría de la argumentación^[53], el análisis de la sentencia Schrems ^[54]resulta particularmente interesante a la vista (además) de su afortunada coincidencia cronológica^[55]: la decisión de la Comisión que validó los principios del safe harbour, sobre la que trata el fallo del Tribunal de Justicia, se adoptó el 26 de julio de 2000^[56], pocos meses antes de la promulgación (7 de diciembre de 2000) de la Carta de Niza.

La cuestión se puede plantear en estos términos: la proclamación, primero, y la entrada en vigor, después (a partir de diciembre de 2009), de la Carta y, en particular, el contenido de los arts. 7 y 8 (​Vigevani, G. E. (2014). Identità, oblio, informazione e memoria in viaggio da Strasburgo a Lussemburgo, passando per Milano. Danno e Responsabilitá, 7, 741 y ss.y 47) de la misma, ¿han provocado, de hecho, la caducidad de un acto originariamente compatible con el derecho de la Unión Europea a causa de su relectura bajo los nuevos parámetros?

Tal pregunta, como se acaba de mencionar, resulta especialmente interesante considerando la tendencial coincidencia entre el periodo en el que la Carta vio la luz, aunque fuera como instrumento de soft law, y aquel en el que la decisión fue adoptada por la Comisión.

Por tanto, lo que se intentará comprender es si, simplificando, la llegada de la Carta produjo una onda «constitucionalizante», es decir, una reacción, por parte del Tribunal de Luxemburgo, consistente en revisar los actos ya vigentes para verificar su coherencia con los valores proclamados en la propia Carta.

Una investigación en este sentido puede partir del precedente que constituye la sentencia Digital Rights Ireland ^[57], que, al anular la Directiva 2006/24/CE^[58] a causa de la incompatibilidad de sus disposiciones sobre conservación de los datos del tráfico con los arts. 7 y 8 de la Carta, ha realizado, de hecho, una revisión «constitucionalmente» orientada de esta cuestión.

La tendencia a realizar una interpretación expansiva, casi novadora, de las disposiciones de la Directiva se puede identificar también en un pasaje de esta sentencia, en concreto en su apartado 72, donde se aprecia una desviación, seguramente voluntaria, tendente a asegurar el mayor alcance posible de la protección de los datos personales: el Tribunal atribuye al art. 25.6 de la Directiva 95/46/CE^[59], norma en la que se basa el poder de la Comisión para verificar la adecuación del nivel de protección de los datos personales ofrecido por un tercer país, el objetivo de asegurar la continuidad (casi una prolongación espacial de la tutela jurídica) del alto grado de protección que la Directiva aspira a establecer dentro de la Unión Europea.

El parágrafo en el que se plantea esta lectura expansiva es uno de los más importantes del fallo, que se une a esos otros pronunciamientos que han venido contribuyendo a definir el estatuto jurisprudencial de la privacy digital^[60]. En los casos Digital Rights Ireland y Google Spain ^[61], el Tribunal de Justicia parecía moverse con la intención de ampliar lo máximo posible el margen de protección de los datos personales y de la privacy de los individuos^[62]. Pues bien, en la sentencia que ahora se analiza parece que el Tribunal no solo no la ha corregido, sino que ha continuado con esa actitud, a costa de adoptar, a veces, un enfoque formalista que ha prevalecido para asegurar una «protección sustancial» del derecho a la protección de los datos personales. Y ello a pesar de la perspectiva mucho más pragmática asumida por los magistrados al examinar las peculiaridades del ordenamiento estadounidense.

De esta manera, la argumentación del Tribunal parece dar en ocasiones crédito a las opiniones de muchos de los autores que han identificado a la Sentencia Schrems como la reacción, en parte emocional, de Europa al escándalo de la NSA y de las operaciones de vigilancia global llevadas a cabo por el gobierno de los Estados Unidos con el beneplácito o, al menos, la complicidad (probablemente inconsciente) de algunos Estados miembros^[63]: un contexto en el que, dentro del plano jurídico, los Estados Unidos no garantizaban los presupuestos esenciales para una tutela eficaz, exponiendo los datos transferidos desde la Unión Europea, especialmente en el ámbito del tratamiento realizado por parte de autoridades públicas.

Las consecuencias que derivan de los argumentos en los que se basa esta operación de alteración normativa parecen coincidir con una transformación del principio de adecuación, al que la Directiva 95/46/CE, en su art. 25, -vincula la valoración de la legitimidad de la transferencia de datos personales a terceros países donde, en principio, la protección de los derechos fundamentales en juego sea sustancialmente equivalente^[64].

Esta transfiguración del contenido del test en el que se basa la legitimidad de las transferencias de datos personales a terceros países, bastante evidente en diversos puntos de la sentencia, de los que más adelante se hablará, se justifica en el intento de ofrecer una interpretación renovada y reforzada de los derechos fundamentales a la privacy y a la protección de los datos personales. La dicción de la Directiva, texto ya consolidado desde hace más veinte años, cuando el desarrollo de Internet estaba en sus albores y se desconocían en buena parte sus posibles implicaciones sobre la tutela de la privacy, ha sido objeto de un proceso de (no demasiado velada) mutación que, bajo una evidente presión para reforzar la tutela en relación con el ordenamiento estado-unidense, ha conducido a la anulación de la decisión con la que la Comisión declaró la adecuación. Y se ha hecho empleando una motivación que, sin embargo, refleja indirectamente la insuficiencia de este criterio, recurriendo mediante subrogación (interpretativa) a la equivalencia sustancial de la protección como parámetro.

De lo contrario, no se comprendería el motivo por el que, en el momento de adoptar la decisión^[65], la Comisión pudo adoptar un acto en el que se proclamaba la adecuación sustancial de las garantías previstas en el ordenamiento estadounidense a las europeas en materia de tratamiento de datos personales, sobre todo considerando que, si bien la Carta de los Derechos Fundamentales que ahora tanto se valora aún no había nacido, su espíritu bien podría haber influido la decisión del legislador europeo, aunque fuera a título de moral suasion. Más aún, esta consideración debe ser especialmente considerada teniendo en cuenta que las disposiciones del ordenamiento norteamericano en la materia no han sido modificadas.

Así, la valoración que hace el Tribunal sobre la decisión adoptada por la Comisión se refiere en buena medida a las garantías (no) previstas por el ordenamiento estadounidense, resolviendo sobre su equivalencia (sustancial) respecto del marco planteado por la Directiva 95/46/CE en Europa. El sistema del safe harbour y los principios que contiene constituyen por tanto el parámetro interpuesto al que los magistrados de Luxemburgo recurren para juzgar la legitimidad de la decisión de la Comisión.

No se puede negar que la influencia de los arts. 7 y 8 de la Carta, que formalmente no están implicados en esta «triangulación» entre decisión, Directiva y safe harbour, es, en realidad, decisiva. Es precisamente la puesta en valor de las disposiciones de la Carta la que, de hecho, permite al Tribunal de Justicia recurrir, por un lado, a la valoración general del nivel de protección ofrecido por la Directiva y, por otro, al estándar de «tolerancia» para comprobar la legitimidad de la transferencia de datos personales fuera de la Unión Europea, convirtiendo —como se ha dicho— en equivalencia el parámetro de adecuación que, formalmente, se contiene en el art. 25 de la Directiva.

Alteradas así las reglas mediante las que el Tribunal de Justicia realiza su valoración, era fácil adivinar que la decisión sería anulada.

También se podría debatir qué tenía más carácter político, si la decisión que fue anulada o la sentencia mediante la que se hizo esto; es decir, si los motivos que condujeron a la Comisión, en el 2000, a afirmar, quizá por razones no meramente jurídicas, que el sistema de safe harbour era adecuado deberían prevalecer sobre las que orientaron al Tribunal de Justicia hacia una valoración opuesta, aunque «mutada» (en los términos que se describirán).