TJUE C-484/24: RGPD y uso judicial de prueba obtenida ilícitamente

La sentencia del Tribunal de Justicia de 18 de junio de 2026 en el asunto C‑484/24, NTH Haustechnik, resuelve una de las cuestiones más incómodas del cruce entre protección de datos y proceso civil: qué ocurre cuando la prueba decisiva de un litigio consiste en datos personales que una de las partes obtuvo vulnerando el RGPD. La Sala Quinta no elude el problema ni lo remite en bloque a la autonomía procesal de los Estados miembros. Fija, en cambio, un criterio de aplicación general —el tratamiento de datos personales por un órgano jurisdiccional, incluso cuando incorpora datos recogidos ilícitamente por una parte, puede ser lícito con arreglo al artículo 6, apartado 1, párrafo primero, letra c), del Reglamento (UE) 2016/679— y despeja, de paso, una duda dogmática que llevaba años sin resolverse de forma expresa: el artículo 17, apartado 3, letra e), del RGPD no es una base de licitud autónoma, sino una simple excepción al derecho de supresión. Puede descargarse el texto íntegro de la sentencia en este enlace.

Contexto fáctico y planteamiento de las cuestiones prejudiciales

El litigio principal enfrenta a NTH Haustechnik GmbH, una empresa alemana de calefacción y climatización, con EM, su antigua empleada, que además mantenía una relación sentimental con el gerente de la sociedad. Tras la extinción formal de la relación laboral en 2019, EM continuó teniendo acceso a los locales y a los equipos informáticos de la empresa hasta que, en 2022, se produjo la ruptura de su relación personal con el gerente. Fue entonces cuando NTH descubrió, accediendo a la cuenta privada de EM en la plataforma de venta en línea eBay mediante sus credenciales, que esta había revendido por cuenta propia bienes cuya propiedad reivindica la empresa, por un valor superior a los trece mil euros.

El modo en que NTH obtuvo esas credenciales es, precisamente, lo que convierte el caso en un supuesto paradigmático de prueba de dudosa licitud: según una de las versiones fácticas que maneja el tribunal remitente, la contraseña se habría recuperado explotando la pérdida de un teléfono corporativo para solicitar una nueva tarjeta SIM y así modificar el acceso a la cuenta de EM. El Landesarbeitsgericht Niedersachsen, que conoce del recurso, no descarta que esa recogida de datos fuera contraria al RGPD, y se enfrenta a un vacío que la jurisprudencia europea no había cerrado con nitidez: si las normas procesales alemanas —los artículos 138, 286 y 355 de la Zivilprozessordnung— satisfacen la exigencia de precisión normativa que el RGPD impone a toda base jurídica de tratamiento, si el artículo 17.3.e) puede servir de fundamento autónomo para que el juez trate esos datos, y con arreglo a qué criterios debe ponderar la licitud originaria de la prueba frente al derecho a la tutela judicial efectiva.

El tribunal remitente plantea así tres bloques de cuestiones que, en esencia, giran en torno a un mismo problema estructural: la actividad judicial de tratamiento de datos personales —admitir, incorporar a los autos, valorar y, en su caso, publicar pruebas que contienen datos personales— es en sí misma un tratamiento sujeto al RGPD, y el Reglamento no contiene una cláusula específica para el proceso civil. El Tribunal de Justicia debe decidir si esa laguna aparente se colma con las condiciones generales de licitud del artículo 6 o si exige un régimen singular para la función jurisdiccional.

El sistema cerrado de bases de licitud y la premisa corregida del tribunal remitente

Antes de responder, la Sala Quinta corrige la premisa de la que parte la primera cuestión prejudicial. El órgano remitente había formulado su pregunta asumiendo que el tratamiento judicial de datos personales solo podía apoyarse en el artículo 6, apartado 1, letra e), del RGPD —necesidad para el cumplimiento de una misión de interés público o el ejercicio de poderes públicos—. El Tribunal de Justicia recuerda que un mismo tratamiento puede satisfacer varias condiciones alternativas de licitud simultáneamente, y que el tratamiento que un tribunal realiza al examinar proposiciones de prueba responde, con mayor propiedad, a la letra c) del mismo apartado: es necesario para el cumplimiento de una obligación legal, la de pronunciarse sobre la admisibilidad de la prueba y, si es admisible, tenerla en cuenta al dictar resolución. Este desplazamiento no es un matiz técnico menor. Al reconducir el fundamento hacia la letra c), el Tribunal activa el régimen del artículo 6, apartado 3, que exige que la base jurídica del tratamiento —la norma procesal nacional— determine su finalidad, persiga un objetivo de interés público y sea proporcionada a él, exigencias que no se formulan en idénticos términos para la letra e).

Sobre esa base recolocada, el Tribunal de Justicia responde a la primera cuestión que el artículo 6, apartados 1.c) y 3, en relación con los artículos 8.2 y 52 de la Carta, no se opone a una normativa procesal que, como la alemana, se limita a imponer a las partes el deber de exponer los hechos con veracidad y exhaustividad y al juez el deber de tomarlos en consideración, sin detallar en qué circunstancias puede utilizar datos personales contenidos en esas alegaciones y pruebas. La condición que impone el Tribunal es, sin embargo, exigente en la práctica: esa laguna normativa solo es compatible con el RGPD si existe una jurisprudencia nacional clara, precisa y de aplicación previsible que colme el vacío, cumpla un objetivo de interés público y resulte proporcionada. El fallo confirma así, apoyándose en el asunto HTB Neunte Immobilien Portfolio (C‑17/22 y C‑18/22), que el concepto de «Derecho del Estado miembro» del artículo 6.3 RGPD no exige necesariamente un acto legislativo en sentido formal; basta con una doctrina jurisprudencial consolidada que funcione, materialmente, como ley en el sentido del artículo 8.2 de la Carta y de la jurisprudencia del Tribunal Europeo de Derechos Humanos sobre el término «ley» en su acepción sustantiva.

La consecuencia práctica para el ordenamiento español no es trivial. Los artículos 281 y siguientes de la Ley de Enjuiciamiento Civil regulan la admisibilidad de la prueba sin mención alguna a la protección de datos personales de las partes o de terceros, y la jurisprudencia del Tribunal Supremo sobre prueba ilícitamente obtenida se ha desarrollado, hasta ahora, casi exclusivamente desde la perspectiva constitucional del artículo 11.1 de la Ley Orgánica del Poder Judicial y el derecho a la tutela judicial efectiva, sin conectar sistemáticamente ese cuerpo doctrinal con las exigencias de licitud, base jurídica y proporcionalidad del RGPD. La sentencia obliga a preguntarse si esa jurisprudencia nacional satisface, con la precisión y previsibilidad requeridas, el estándar que ahora fija el Tribunal de Justicia, o si subsiste un déficit de certeza normativa que la dogmática procesal española tendrá que abordar.

La naturaleza no autónoma del artículo 17.3.e) RGPD

El segundo pronunciamiento de la sentencia es, probablemente, el de mayor recorrido doctrinal. Una parte relevante de la práctica forense y de cierta literatura académica venía tratando el artículo 17, apartado 3, letra e), del RGPD —que excluye la obligación de suprimir datos cuando el tratamiento sea necesario para la formulación, el ejercicio o la defensa de reclamaciones— como si constituyera, por sí solo, un fundamento de licitud para el tratamiento probatorio, equiparable a las condiciones enumeradas en el artículo 6.1. El Tribunal de Justicia cierra esa lectura de forma inequívoca: la lista del artículo 6, apartado 1, párrafo primero, es exhaustiva y taxativa, y el artículo 17.3.e) no figura en ella ni puede asimilarse a ella por vía interpretativa, porque su función normativa es distinta. Se trata de una excepción al derecho al olvido, no de una autorización de tratamiento; opera únicamente quien ya está tratando datos lícitamente con arreglo a alguna de las condiciones del artículo 6 y se pregunta si, además, está obligado a suprimirlos.

Esta precisión tiene consecuencias prácticas inmediatas para quienes redactan cláusulas de retención de datos o defienden la conservación de pruebas laborales, comerciales o contractuales invocando «la formulación, el ejercicio o la defensa de reclamaciones». Ese enunciado, extraordinariamente frecuente en políticas de privacidad y en dictámenes de compliance, solo despliega su función legítima si el tratamiento subyacente ya cuenta con una base autónoma en el artículo 6 —normalmente la letra f), interés legítimo, o la letra c), obligación legal—; nunca puede presentarse como la base jurídica en sí misma. La sentencia, al no responder a la segunda cuestión letra b) —qué ocurriría si el artículo 17.3.e) sí sirviera de fundamento—, deja además sin resolver expresamente si esa disposición podría, al menos, neutralizar el efecto de una recogida inicial ilícita a los solos efectos del derecho de supresión, cuestión que el Bundesarbeitsgericht había abordado en su propia jurisprudencia y que el Tribunal de Justicia prefiere no zanjar por resultar innecesaria una vez reconducido el análisis al artículo 6.1.c).

Minimización de datos sin control de proporcionalidad autónomo

La tercera cuestión prejudicial, letra a), obliga al Tribunal a deslindar dos principios que el tribunal remitente tendía a confundir: la minimización de datos, que el artículo 5, apartado 1, letra c), del RGPD formula exigiendo que los datos tratados sean adecuados, pertinentes y limitados a lo necesario, y el control de proporcionalidad en sentido estricto del artículo 52.1, segunda frase, de la Carta, que exige ponderar la gravedad de la injerencia frente al interés perseguido. El tribunal remitente daba por supuesto que cada acto de tratamiento judicial exigía una ponderación autónoma y exhaustiva de intereses, al margen de la que ya incorpora la base jurídica del tratamiento.

El Tribunal de Justicia rechaza esa lectura maximalista. Recuerda su doctrina consolidada —con cita de Landeshauptstadt Wiesbaden (C‑61/22)— sobre las tres condiciones acumulativas de toda limitación de derechos fundamentales: idoneidad para el objetivo perseguido, necesidad estricta y proporcionalidad en sentido estricto. Pero advierte que la minimización de datos, aunque sea un «reflejo» de ese principio general, solo satisface por sí misma las dos primeras condiciones —adecuación y necesidad—, mientras que la tercera, la proporcionalidad en sentido estricto, queda garantizada ya en el momento de configurar la base jurídica habilitante, singularmente cuando esta se apoya en el artículo 6.1.c) en relación con el artículo 6.3, párrafo segundo, que exige expresamente que la norma nacional persiga un objetivo de interés público y sea proporcionada al fin legítimo perseguido.

La consecuencia dogmática es depurada: si la base legal que impone al juez la obligación de valorar la prueba ya ha sido diseñada de forma proporcionada por el legislador o por la jurisprudencia nacional consolidada, no recae sobre el órgano jurisdiccional la carga adicional de repetir, caso por caso, un juicio de ponderación exhaustivo entre el interés en la prueba y el derecho a la protección de datos del afectado. Le basta con comprobar que los datos concretos que va a tratar son adecuados, pertinentes y no excesivos respecto de los fines de esa fase procesal concreta —admisión, valoración o divulgación—. Esta distinción entre proporcionalidad de la norma habilitante y minimización del tratamiento concreto es transferible, más allá del proceso judicial, a cualquier tratamiento amparado en obligación legal del artículo 6.1.c): el responsable no está obligado a ponderar de nuevo lo que el legislador ya ponderó al fijar la obligación, siempre que esta cumpla los estándares de precisión y proporcionalidad exigidos por el artículo 6.3.

El núcleo del asunto: uso judicial de pruebas obtenidas ilícitamente

La tercera cuestión prejudicial, letras b) a d), contiene el pronunciamiento con mayor proyección práctica: ¿puede un juez civil utilizar, para dictar sentencia, pruebas que contienen datos personales obtenidos por la parte que las aporta vulnerando el derecho a la protección de la vida privada y de los datos personales de la contraparte? El Tribunal de Justicia responde que sí, con matices que conviene distinguir con precisión, porque la respuesta afirmativa no equivale a una carta blanca.

El razonamiento parte de una premisa que el propio Abogado General subraya en sus conclusiones: ni el artículo 5.1 del RGPD ni ninguno de los principios de los capítulos II y III prohíben, de manera general y absoluta, que una autoridad pública tenga en cuenta datos personales que la parte que se los transmitió trató anteriormente de forma ilícita. La ilicitud originaria no contamina automáticamente el tratamiento judicial posterior; su efecto depende de la condición de licitud concreta que ampare a este último. Así, mientras que en el marco del interés legítimo del artículo 6.1.f) el conocimiento por el responsable de la ilicitud previa excluiría, en principio, que su propio tratamiento persiguiera un interés legítimo, esa lógica no es trasladable al artículo 6.1.c): la obligación legal de pronunciarse sobre la admisibilidad de la prueba y de valorarla, cuando resulte admisible, no contiene ningún requisito que excluya su aplicación por el simple hecho de que los datos hayan sido obtenidos ilícitamente por quien los aporta.

El Tribunal aplica entonces el triple test de proporcionalidad a esa obligación legal considerada en abstracto —no al acto concreto de recogida ilícita— y concluye que las tres condiciones se cumplen: persigue el objetivo de interés público vinculado al derecho a un juicio justo del artículo 47 de la Carta; es estrictamente necesaria, porque ninguna medida alternativa permite al juez pronunciarse sobre la admisibilidad y el fondo con igual eficacia sin tratar esos datos; y no resulta desproporcionada en sentido estricto, dada la función esencial que el derecho a la tutela judicial efectiva desempeña en el ordenamiento. De ahí la conclusión central del fallo: los artículos 7 y 8 de la Carta, el artículo 5.1 del RGPD, el artículo 6.1.c) en relación con el 6.3, y el principio de minimización de datos no se oponen a que el juez nacional utilice pruebas con datos personales obtenidos vulnerando la privacidad de la contraparte, cuando quien las transmitió no tenga un interés legítimo que vaya más allá del mero interés probatorio de los hechos alegados.

Ese último inciso —«que vaya más allá del mero interés probatorio»— merece una lectura detenida, porque introduce el único límite explícito que la sentencia impone al alcance de su propia doctrina, sin llegar a convertirlo en un verdadero test autónomo. El Tribunal no exige que la parte que aporta la prueba acredite un interés cualificado o superior al del interesado; exige, más bien, que ese interés probatorio —por definición modesto, el de demostrar un hecho relevante para el litigio— sea suficiente, y lo es, según la propia sentencia, en la medida en que la obligación legal del juez de valorar la prueba admisible ya incorpora la ponderación necesaria. En la práctica, el filtro relevante no opera, pues, sobre el interés de quien aporta la prueba, sino sobre dos momentos distintos y mucho más operativos: la fase de admisibilidad, en la que las normas procesales nacionales conservan su función de control, y la fase de divulgación, en la que el Tribunal sí impone una obligación de minimización activa antes de que el juez comunique esos datos a la otra parte o a terceros, incluyendo, cuando proceda, medidas de anonimización o seudonimización parcial. La sentencia distingue así con nitidez tres momentos del tratamiento judicial —admisión, incorporación a los autos para dictar resolución, y divulgación de la resolución o de las pruebas— y solo en el tercero reintroduce una exigencia de minimización activa que va más allá de la mera constatación de que los datos figuran en documentos ya declarados admisibles.

El incumplimiento del deber de información del artículo 13 RGPD

La tercera cuestión, letra e), plantea si el incumplimiento por la parte que recaba los datos de sus obligaciones de información frente al interesado —las que impone el artículo 13 del RGPD en el momento de la recogida— impide al juez utilizar posteriormente esos datos. El Tribunal de Justicia responde con la misma lógica de fondo aplicada al resto del fallo: el artículo 13 forma parte del capítulo III del Reglamento y contribuye al principio de lealtad y transparencia del artículo 5.1.a), pero su incumplimiento por la parte que obtuvo los datos no equivale a una prohibición general y absoluta de que el responsable del tratamiento judicial posterior los tenga en cuenta. El Tribunal deja expresamente abierta, sin necesidad de resolverla, la cuestión de si ese incumplimiento del deber de información podría, por vía del efecto útil del artículo 17.3.e), calificar de ilícita la transmisión misma de la prueba al órgano jurisdiccional; una vía que, de explorarse en asuntos futuros, podría reintroducir por la puerta trasera parte del control que la sentencia excluye expresamente en su respuesta a la segunda cuestión.

Terceros ajenos al litigio y los límites de la legitimación procesal

La última cuestión resuelta, la tercera letra f), aborda un problema distinto pero conectado: cuando los datos personales tratados por el juez pertenecen a un tercero ajeno al procedimiento —en el caso de autos, potencialmente, los compradores en la plataforma eBay—, ¿está el tribunal obligado a velar de oficio por el cumplimiento del RGPD respecto de esos terceros, y puede una de las partes invocar la infracción cometida contra ellos para excluir la prueba? El Tribunal de Justicia separa con claridad ambas preguntas. A la primera responde afirmativamente: el carácter de reglamento directamente aplicable del RGPD, ex artículo 288 TFUE, obliga al juez a respetarlo también respecto de los datos de terceros, con independencia de la posición procesal de estos. A la segunda responde negativamente: ni el principio de efectividad ni el artículo 47 de la Carta exigen que el Derecho de la Unión reconozca a una parte legitimación para invocar, en su propio beneficio procesal, una infracción del RGPD cometida en perjuicio de un tercero ajeno al litigio. La cuestión queda, por tanto, remitida a la autonomía procesal de cada Estado miembro, sujeta únicamente a los límites clásicos de equivalencia y efectividad.

Continuidad y ruptura con la jurisprudencia precedente

La sentencia se inscribe en una línea que arranca con Norra Stockholm Bygg (C‑268/21) sobre minimización de datos en el marco de la divulgación probatoria sueca, y que pasa por Valsts ieņēmumu dienests (C‑175/20) sobre la exigencia de reglas claras y precisas en la base jurídica de tratamientos con fines fiscales, y por Facebook Ireland y Schrems (C‑311/18) sobre el estándar de precisión normativa exigible a toda injerencia en los derechos de los artículos 7 y 8 de la Carta. Lo que aporta C‑484/24 no es, en rigor, una ruptura con esos precedentes, sino su sistematización aplicada específicamente al proceso civil: mientras que Norra Stockholm Bygg se limitó a exigir que el juez sueco valorase si la divulgación de datos de terceros era necesaria y proporcionada, la sentencia de 2026 construye un armazón completo —base jurídica, minimización diferenciada por fases, tratamiento de la ilicitud originaria y posición de los terceros— que convierte aquella doctrina puntual en un marco general aplicable a cualquier ordenamiento procesal de la Unión.

La ruptura, si puede llamarse así, se sitúa más bien en el plano dogmático que en el resultado práctico: al cerrar definitivamente la vía del artículo 17.3.e) como base de licitud autónoma, el Tribunal de Justicia desactiva un argumento que la práctica forense y cierta doctrina habían utilizado, con mayor o menor rigor, para justificar la conservación y el uso de pruebas de procedencia dudosa. A partir de ahora, ese argumento deberá reformularse necesariamente en términos del artículo 6.1.c) —obligación legal del tribunal de admitir y valorar la prueba— o, en su caso, del artículo 6.1.f), con las mayores exigencias de ponderación que esta última base conlleva y que la propia sentencia excluye implícitamente para el tratamiento estrictamente judicial.

Implicaciones prácticas para el proceso civil y laboral español

Para la práctica española, la sentencia despliega efectos en varios frentes concretos. En primer lugar, refuerza la validez del criterio, ya asentado por el Tribunal Constitucional y el Tribunal Supremo desde la doctrina de la prueba ilícitamente obtenida, según el cual la vulneración de un derecho fundamental en la obtención de una prueba no acarrea automáticamente su inadmisión cuando prevalecen otros intereses constitucionalmente relevantes; ahora ese criterio nacional dispone de un anclaje expreso en el Derecho de la Unión que obliga a leerlo en clave de RGPD, no solo de derechos fundamentales procesales en abstracto.

En segundo lugar, y en sentido inverso, la sentencia introduce una exigencia procedimental que la práctica forense española tiende a descuidar: la obligación de minimización activa antes de la divulgación de la prueba a la contraparte o a terceros, mediante medidas de anonimización o seudonimización cuando resulten compatibles con el derecho de defensa. Los letrados que aporten documentación con datos personales sensibles de terceros —historiales de mensajería, correos electrónicos con múltiples interlocutores, extractos de plataformas digitales— deberán anticipar, desde el momento de la proposición de prueba, qué partes de esos documentos son estrictamente necesarias y cuáles pueden y deben ser objeto de expurgo antes de su incorporación a los autos o su traslado a la contraparte.

En tercer lugar, y de especial relevancia para el derecho laboral, la sentencia despeja una duda que había generado litigiosidad creciente en España: la utilización por el empresario de evidencias digitales obtenidas mediante acceso a dispositivos, cuentas o plataformas del trabajador, para acreditar un incumplimiento grave de sus obligaciones contractuales, no queda automáticamente excluida del proceso por el hecho de que esa recogida infrinja el RGPD, siempre que el tribunal aplique el estándar de admisibilidad y minimización que la propia sentencia describe. Esto no equivale, conviene subrayarlo, a validar la recogida ilícita en sí misma —que sigue pudiendo dar lugar a responsabilidad administrativa ante la Agencia Española de Protección de Datos y a responsabilidad civil ex artículo 82 del RGPD—, sino únicamente a admitir que esa ilicitud originaria no determina, por sí sola, la inutilizabilidad procesal de la prueba resultante.

Conclusión: una doctrina consolidada, pero con fronteras deliberadamente abiertas

La sentencia C‑484/24 resuelve con notable precisión técnica el problema que llevaba años planteándose de forma dispersa en los tribunales nacionales: la actividad judicial de tratamiento de datos personales encuentra su fundamento primario en el artículo 6.1.c) del RGPD, no en el artículo 17.3.e), que queda reducido a su función genuina de excepción al derecho de supresión; la proporcionalidad de ese tratamiento se garantiza, en buena medida, en el diseño de la norma procesal habilitante, sin que ello dispense al juez de un control de minimización diferenciado según la fase del proceso; y la ilicitud originaria en la obtención de la prueba por una parte no impide, como regla general, su utilización judicial posterior, sin perjuicio de las consecuencias sancionadoras que esa ilicitud pueda generar por vías distintas.

Lo que la sentencia no resuelve —y esa es, quizá, su fragilidad más señalable— es el estándar concreto que debe reunir la jurisprudencia nacional para satisfacer la exigencia de claridad, precisión y previsibilidad que el propio Tribunal de Justicia impone como condición de todo el edificio. Al remitir esa comprobación al tribunal nacional, caso por caso, la sentencia deja abierta la puerta a que ordenamientos con una doctrina jurisprudencial menos consolidada sobre prueba ilícita —entre los que el español, pese a su rica tradición constitucional en la materia, no está exento de dudas cuando se trata específicamente de datos personales— deban desarrollar, en los próximos años, una línea jurisprudencial explícitamente anclada en el RGPD para no incurrir en el déficit de precisión normativa que el propio Tribunal de Justicia identifica como límite de la habilitación que acaba de reconocer.