La Sentencia del Tribunal de Justicia, Sala Quinta, de 18 de junio de 2026, asunto C-484/24: NTH Haustechnik GmbH (ponente: E. Regan), declara que el RGPD permite a los órganos jurisdiccionales utilizar pruebas que contengan datos personales obtenidos ilícitamente por una parte, siempre que el tratamiento judicial disponga de una base jurídica adecuada. La jurisprudencia nacional puede proporcionar dicha base si es clara, precisa, previsible y proporcionada. El derecho a la supresión no constituye una condición autónoma de licitud del tratamiento. El principio de minimización no exige una ponderación individualizada en cada operación, aunque obliga a limitar los datos divulgados a lo necesario. Los tribunales deben respetar el RGPD, incluso respecto de datos de terceros, sin que las partes puedan necesariamente invocar infracciones ajenas.
Antecedentes
El litigio principal se suscitó entre NTH Haustechnik GmbH, empresa alemana dedicada a instalaciones de calefacción y climatización, y EM, antigua trabajadora de la sociedad, a propósito de una reclamación indemnizatoria derivada de la presunta venta no autorizada de determinados bienes pertenecientes a la empresa. La relación laboral había concluido el 31 de octubre de 2019, aunque la trabajadora, que estaba casada con el gerente de la sociedad, continuó teniendo acceso a las instalaciones y a los equipos informáticos de la empresa hasta su separación matrimonial, producida el 26 de junio de 2022. Posteriormente, NTH sostuvo que EM había vendido por cuenta propia, mediante la plataforma electrónica eBay, bienes de su propiedad por un importe de 13.217,09 euros, y reclamó una indemnización total de 46.567,91 euros, incluidos los gastos derivados de su reposición.
La antigua empleada negó haber realizado las ventas sin conocimiento de la empresa y alegó que se trataba principalmente de productos devueltos por clientes, defectuosos u obsoletos, que le habían sido cedidos gratuitamente para atender necesidades familiares. La controversia adquirió especial relevancia desde la perspectiva de la protección de datos personales cuando se comprobó que NTH había obtenido información sobre las operaciones comerciales accediendo a la cuenta privada de eBay de la demandada mediante su nombre de usuaria y contraseña. Las partes discreparon acerca del modo en que la empresa había conseguido esas credenciales, pues mientras el gerente sostuvo que procedían del historial de navegación de un ordenador empresarial y de una carpeta familiar almacenada en el servidor, EM afirmó que se había recurrido a un procedimiento de recuperación de contraseña mediante una tarjeta telefónica vinculada a un dispositivo utilizado anteriormente por ella.
El Tribunal Regional de lo Laboral de Baja Sajonia, encargado de resolver el litigio, consideró posible que la empresa hubiera obtenido ilícitamente los datos personales empleados para acreditar su reclamación, aunque no cuestionó necesariamente su autenticidad. Esta circunstancia planteaba el problema de determinar si la eventual ilicitud de la recogida inicial impedía al órgano jurisdiccional utilizar posteriormente esos datos como elementos probatorios y, en particular, qué exigencias derivaban del Reglamento (UE) 2016/679 en relación con la base jurídica del tratamiento judicial, la proporcionalidad, la minimización de datos y la protección de los derechos de terceros.
Ante las dudas suscitadas, el órgano jurisdiccional alemán planteó diversas cuestiones prejudiciales relativas a la interpretación de los arts. 5, 6, 9, 13 y 17 del RGPD, en relación con los derechos fundamentales reconocidos en la Carta de los Derechos Fundamentales de la Unión Europea. Las preguntas se referían especialmente a la suficiencia de las disposiciones procesales nacionales como fundamento del tratamiento judicial, a la posible aplicación de la excepción al derecho de supresión prevista para la defensa de reclamaciones, a las consecuencias de la obtención ilícita de los datos y a las obligaciones del tribunal cuando los documentos incorporados al procedimiento contienen información personal de terceros.
Apreciaciones del Tribunal de Justicia
El Tribunal de Justicia parte de la distinción entre la admisibilidad procesal de los medios de prueba y el tratamiento de los datos personales que contienen. Mientras que corresponde al Derecho nacional determinar las reglas relativas a la presentación, admisión y valoración de los elementos probatorios, las operaciones realizadas por los órganos jurisdiccionales sobre datos personales pueden quedar comprendidas en el ámbito de aplicación del RGPD. La incorporación de documentos a un expediente judicial, su consulta, conservación, extracción o utilización constituyen operaciones de tratamiento cuando concurren los requisitos materiales establecidos en los arts. 2 y 4 del Reglamento, particularmente si los datos se integran en un fichero o se procesan mediante procedimientos total o parcialmente automatizados. La actividad jurisdiccional no queda, por tanto, excluida de las obligaciones generales de protección de datos por el mero hecho de desarrollarse en el ejercicio de la función judicial.
En cuanto a la licitud del tratamiento, la sentencia precisa que las actuaciones realizadas por un tribunal al examinar las alegaciones y pruebas aportadas por las partes pueden encontrar su fundamento en el art. 6, ap. 1, párrafo primero, letra c), del RGPD, relativo al cumplimiento de una obligación legal aplicable al responsable del tratamiento. El órgano jurisdiccional debe pronunciarse sobre la admisibilidad de los medios probatorios y, cuando proceda, tenerlos en consideración para resolver el litigio, de acuerdo con las exigencias del ordenamiento procesal nacional. Esta obligación proporciona una posible base jurídica para las operaciones de tratamiento que resulten necesarias, sin perjuicio del cumplimiento de las restantes condiciones previstas en el Reglamento y de las garantías derivadas de la Carta.
La cuestión central consistía en determinar si las normas nacionales que obligan a las partes a exponer los hechos de manera exhaustiva y veraz y al juez a considerar el conjunto de las alegaciones y pruebas satisfacen las exigencias de claridad, precisión y previsibilidad impuestas por el Derecho de la Unión, aunque no establezcan expresamente las circunstancias en las que pueden utilizarse datos personales. El Tribunal responde que la base jurídica del tratamiento no tiene que estar contenida necesariamente en una disposición legislativa que regule exhaustivamente cada supuesto, puesto que el concepto de Derecho nacional comprende también la jurisprudencia de los órganos jurisdiccionales competentes. En consecuencia, una normativa procesal general puede resultar compatible con el art. 6, aps. 1 y 3, del RGPD, siempre que exista una jurisprudencia nacional clara, precisa y de aplicación previsible que determine las condiciones de utilización de los datos personales y que dicha regulación persiga un objetivo de interés público de manera proporcionada.
La interpretación reconoce la importancia de la jurisprudencia nacional en la delimitación de las facultades del juez para examinar pruebas que contienen datos personales. La exigencia de una base jurídica suficientemente determinada responde a la necesidad de garantizar que las personas afectadas puedan conocer, con un grado razonable de previsibilidad, las circunstancias en las que sus datos serán utilizados en un procedimiento judicial. Al mismo tiempo, el Tribunal evita exigir que todas las operaciones probatorias estén previstas de forma pormenorizada en una disposición legislativa específica, atendiendo a las particularidades de la actividad jurisdiccional y a la función que desempeñan las normas procesales generales.
Respecto del art. 17, ap. 3, letra e), del RGPD, la sentencia descarta que la excepción al derecho de supresión establecida para la formulación, el ejercicio o la defensa de reclamaciones constituya una condición autónoma de licitud del tratamiento. Esta disposición permite que, en determinadas circunstancias, no resulte exigible la eliminación de datos personales cuando su conservación sea necesaria para la protección de pretensiones jurídicas, pero no sustituye los fundamentos de licitud enumerados en el art. 6, ap. 1, del Reglamento. La posibilidad de conservar datos para utilizarlos en un litigio debe distinguirse, por consiguiente, de la necesidad de justificar jurídicamente las operaciones de tratamiento que se realicen sobre ellos.
En relación con el principio de minimización de datos, recogido en el art. 5, ap. 1, letra c), del RGPD, el Tribunal considera que no impone al órgano jurisdiccional la obligación de efectuar una ponderación exhaustiva y autónoma de proporcionalidad en cada operación de tratamiento. El respeto de este principio exige que los datos personales utilizados sean adecuados, pertinentes y limitados a lo necesario para los fines perseguidos, sin que ello implique reproducir sistemáticamente un examen completo de la intensidad de la injerencia en los derechos fundamentales y del interés probatorio concurrente. La sentencia distingue así entre las condiciones generales de licitud del tratamiento y las exigencias concretas que deben observarse en cada una de sus fases.
La cuestión de mayor trascendencia práctica se refiere a las consecuencias de la obtención ilícita de los datos personales por una de las partes. El Tribunal declara que los arts. 7 y 8 de la Carta y las disposiciones pertinentes del RGPD no se oponen a que un juez nacional utilice pruebas que contengan datos personales obtenidos mediante una vulneración de los derechos a la vida privada y a la protección de datos. La eventual ilicitud de la recogida inicial no determina automáticamente la ilicitud del tratamiento posterior efectuado por el órgano jurisdiccional, que debe examinarse conforme a su propia base jurídica y a las obligaciones que le corresponden. Esta conclusión se mantiene incluso cuando la parte que aportó los datos carece de un interés legítimo en su tratamiento distinto del mero interés probatorio de los hechos alegados.
Ahora bien, la posibilidad de utilización judicial de los datos no equivale a una autorización general para su comunicación indiscriminada. Antes de divulgarlos a las restantes partes del procedimiento o a terceros, el tribunal debe comprobar que la información transmitida se limita a lo necesario para alcanzar la finalidad de esa comunicación y, cuando proceda, adoptar medidas destinadas a reducir la afectación del derecho a la protección de datos personales. La minimización adquiere, por tanto, una relevancia particular en la fase de divulgación, durante la cual pueden resultar necesarias restricciones de acceso, supresión de información irrelevante u otras medidas de protección compatibles con las garantías procesales de las partes.
Por otra parte, el incumplimiento de las obligaciones de información previstas en el art. 13 del RGPD por la parte o el tercero que obtuvo inicialmente los datos no impide, por sí mismo, que el órgano jurisdiccional los utilice en el ejercicio de su función judicial. La sentencia diferencia nuevamente las eventuales infracciones imputables al responsable de la recogida inicial de las obligaciones propias del tribunal cuando efectúa un tratamiento posterior. La existencia de irregularidades anteriores no determina necesariamente la prohibición de utilizar la información en el procedimiento, sin perjuicio de las consecuencias que puedan derivarse para quienes hayan vulnerado las disposiciones del Reglamento.
Finalmente, el Tribunal precisa que las obligaciones derivadas del RGPD se extienden a los datos personales de terceros ajenos al procedimiento judicial. Cuando el órgano jurisdiccional trata esa información, debe garantizar el cumplimiento de las disposiciones aplicables, aunque las personas afectadas no intervengan como partes en el litigio. Sin embargo, el Derecho de la Unión no exige reconocer a cualquiera de las partes procesales la facultad de invocar las infracciones cometidas por la contraparte respecto de los derechos de protección de datos correspondientes exclusivamente a esos terceros.
La sentencia establece, en definitiva, una delimitación entre la eventual ilicitud de la obtención de datos personales, la admisibilidad procesal de los medios probatorios y la licitud de su tratamiento por los órganos jurisdiccionales. Su principal aportación reside en reconocer que la protección de datos personales debe respetarse durante el ejercicio de la función judicial, sin establecer una prohibición automática de utilización de pruebas obtenidas irregularmente y sin desplazar las competencias nacionales en materia de admisión y valoración de la prueba.
