STS 244/2021, 22 de Febrero de 2021

La Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, dictó sentencia el 24 de mayo de 2019, con los siguientes pronunciamientos en su parte dispositiva:

"Que desestimando el recurso contencioso-administrativo interpuesto por la Procuradora de los Tribunales doña Pilar Azorín-Albiñana, en nombre y representación de la entidad religiosa TESTIGOS CRISTIANOS DE JEHOVÁ, contra la resolución de 15 de marzo de 2018 de la Directora de la Agencia Española de Protección de Datos, que confirma en reposición la resolución de 26 de enero de 2018 por la que se estimó en parte la reclamación formulada por doña Fermina, recaídas en el procedimiento de tutela de derechos nº. TD/01839/2017, declaramos las citadas resoluciones conformes a derecho; con hacer expresa imposición de las costas procesales a la parte actora."

Notificada la sentencia, se presentó escrito por la representación procesal de Confesión Religiosa de Testigos Cristianos de Jehová, manifestando su intención de interponer recurso de casación, y la Sala, por auto de 5 de septiembre de 2019, tuvo por preparado el recurso, con emplazamiento de las partes ante esta Sala del Tribunal Supremo.

Recibidas las actuaciones en este Tribunal, la Sección de Admisión acordó por auto de 12 de junio de 2020:

"1º) Admitir a trámite el recurso de casación n.º 5619/2019 preparado por la procuradora D.ª Pilar Azorín-López Albiñana, en representación de la Confesión Religiosa Testigos Cristianos de Jehová, contra la sentencia dictada por la Sección Primera de la Sala de lo Contencioso-administrativo de la Audiencia Nacional de fecha 24 de mayo de 2019, dictada en el recurso contencioso-administrativo n.º 262/2018.

2. ) Declarar que la cuestión planteada en el recurso que presenta interés casacional objetivo para la formación de la jurisprudencia consiste en determinar los criterios aplicables para discernir si entra en juego el derecho de una confesión religiosa a la conservación de los datos personales de quien abandonó la confesión, por ser necesaria para sus fines religiosos, ante una solicitud inicial de supresión total de los mismos, y a qué concretos datos personales alcanzaría este derecho de conservación.

3. ) Identificar como normas jurídicas que, en principio, serán objeto de interpretación: el artículo 16.1 de la Constitución; el artículo 6 de la Ley Orgánica 7/1980, de 5 de julio, de Libertad Religiosa; los artículos 4, 7 y 16 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal; y los artículos 9.2 d) y 17 del Reglamento 2016/679/UE, de 27 de abril, sin perjuicio de que el enjuiciamiento del asunto haga precisa la aplicación o interpretación de otras normas jurídicas."

La parte recurrente presentó, con fecha 17 de agosto de 2020, escrito de interposición del recurso de casación, en el que solicitó a la Sala que dicte sentencia por la que estimando íntegramente el presente recurso, case y anule la sentencia recurrida con los siguientes pronunciamientos:

I) Que el derecho de autonomía de la confesión religiosa incluye el derecho a determinar qué datos personales de miembros o ex miembros, son necesarios para el cumplimiento de sus intereses legítimos de acuerdo con sus fines y conservarlos durante el tiempo que sea necesario, tras haber llevado a cabo la confesión religiosa una ponderación que equilibre sus derechos con los derechos del interesado. Los intereses legítimos de una confesión religiosa en relación con los miembros o exmiembros se basan en sus normas religiosas internas y en sus procedimientos eclesiásticos. En consecuencia, cualquier limitación al derecho de tratamiento de datos impuesta a una confesión religiosa debe ser excepcional y restringida. El Estado no está autorizado a excluir, de forma categórica y generalizada, la posibilidad de tratar determinadas categorías de datos personales sin haber ponderado antes los derechos e intereses que hay en juego en cada caso concreto. Por lo tanto, para que el Estado limite el derecho de una confesión religiosa a tratar los datos personales necesarios, debe probar que los intereses o derechos fundamentales del interesado prevalecen sobre los derechos fundamentales de la confesión religiosa.

II) Que como consecuencia de lo anterior, la Confesión recurrente tiene el derecho de determinar caso por caso, que datos personales conservará de exmiembros que solicitan la supresión de sus datos, cuanto tales datos sean necesarios para sus finalidades religiosas y para el cumplimiento de sus intereses y actividades legítimas. En este caso, tomando en cuenta las circunstancias específicas de Dña. Trinidad, la Confesión tiene derecho a conservar y tratar, no sólo el nombre de la Sra. Trinidad, su fecha de bautismo y su fecha de desasociación, según lo dictaminado por la AEPD y la Audiencia Nacional, sino también (1) el nombre de la congregación, (2) su fecha de nacimiento y (3) su sexo.

III) Que la Confesión tiene derecho a conservar los datos personales que sean necesarios para el cumplimiento de sus legítimos intereses y tratarlos de acuerdo con sus finalidades religiosas, sin que ni la Agencia Española de Protección de Datos ni la Audiencia Nacional puedan restringir arbitrariamente dichas finalidades únicamente al procedimiento eclesiástico de la readmisión.

Se dio traslado a la parte recurrida, para que manifestara su oposición, lo que verificó la representación de la Administración del Estado por escrito de 5 de octubre de 2020, en el que solicitó a la Sala que dicte sentencia desestimatoria del recurso, confirmando la sentencia recurrida y fijando la doctrina que resulte de dicha desestimación.

Conclusas las actuaciones, se señaló para votación y fallo el día 9 de febrero de 2021, fecha en que tal diligencia ha tenido lugar.

Las sentencia impugnada y sus antecedentes.

Se interpone recurso de casación por la entidad religiosa Testigos Cristianos de Jehová contra la sentencia de 24 de mayo de 2019, dictada por la Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, que desestimó el recurso interpuesto por dicha entidad contra la resolución de la Directora de la Agencia Española de Protección de Datos de 15 de marzo de 2018, que desestimó el recurso de reposición interpuesto contra la resolución de 26 de enero de 2018, que había estimado en parte la reclamación formulada por doña Trinidad, recaída en el procedimiento de tutela de derechos TD/01839/2017.

Hacemos una referencia a los antecedentes de la sentencia impugnada, para una mejor comprensión de las cuestiones planteadas.

- El 3 de junio de 2017, doña Trinidad ejerció el derecho de cancelación frente a la Confesión Religiosa Testigos Cristianos de Jehová, que había abandonado, siendo aceptado dicho abandono por la Confesión Religiosa.

- La entidad religiosa, por escrito de 12 de julio de 2017 denegó parcialmente el derecho de cancelación, al entender que existía un interés legítimo en la conservación de determinados datos personales de los exmiembros, e informó a la reclamante que conservaba los siguientes datos relativos a su persona: nombre de la congregación, nombre de la persona expulsada o desasociada, fecha de nacimiento, sexo, fecha de bautismo y fecha de desasociación.

- El 26 de julio de 2017 doña Trinidad presentó reclamación de tutela de derechos ante la Agencia Española de Protección de Datos (AEPD), que dictó resolución el 26 de enero de 2018, estimatoria parcial de la reclamación, acordando que:

"Los datos objeto de conservación como el nombre y apellidos de la persona expulsada o desasociada, la fecha de bautismo en la confesión de Testigos de Jehova y la anotación de la fecha de la expulsión o desasociación, solo podrán ser utilizados en el exclusivo supuesto de que medie una nueva petición de ingreso del afectado".

El recurso de reposición interpuesto contra la anterior resolución por la Confesión religiosa Testigos Cristianos de Jehová fue desestimado por la resolución de la AEPD de 4 de junio de 2016.

La confesión religiosa Testigos Cristianos de Jehová interpuso recurso contencioso administrativo ante la Sala de este orden jurisdiccional de la Audiencia Nacional que fue desestimado por la sentencia ya citada, de 24 de mayo de 2019 (recurso 262/2018), contra la que se interpuso el presente recurso de casación.

La fundamentación de la sentencia impugnada.

La sentencia de la Sala de lo Contencioso Administrativo de la Audiencia Nacional impugnada en casación, consideró que en el presente caso existe una colisión entre el derecho a la libertad religiosa, en el concreto derecho de una confesión religiosa a operar con plena autonomía y establecer sus propias normas de organización y régimen interno y el derecho a la protección de datos de la reclamante, que requiere la cancelación de sus datos al haber abandonado la confesión religiosa.

La sentencia impugnada, con cita del artículo 9.1 de la Ley Orgánica 3/2018, de 5 de diciembre, y del considerando 4 y artículo 9.2.d) del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, señala (FD 4º) que las iglesias, confesiones o congregaciones religiosas podrán tratar los datos personales relativos a "sus asociados o miembros y ex miembros", que quedan exceptuadas del requisito del consentimiento expreso y por escrito de los mismos, siempre en el ámbito de sus actividades legítimas, con las debidas garantías y en cumplimiento de sus fines.

Añade la sentencia recurrida (FD 5º) que la normativa sobre protección de datos mantiene como principio de la legitimación del tratamiento, "que los datos sean los adecuados, pertinentes y no excesivos, es decir, los mínimos para cumplir la finalidad para la que se conservan."

Llevando los anteriores criterios al caso particular enjuiciado, la sentencia impugnada estima (FD 5º) que los datos autorizados por la AEPD de nombre y apellidos de la persona desasociada, fecha del bautismo en la confesión religiosa y fecha de la desasociación, cumplen el requisito de ser los pertinentes a una finalidad legítima por la entidad religiosa:

"Y los datos autorizados para su conservación en por la Agencia Española de Protección de Datos, como son el nombre y apellidos, la fecha de bautismo y las fechas de desasociación o expulsión de la reclamante, son los pertinentes para dar respuesta a las posibles acciones que pueda llevar a cabo un ex miembro como, entre otras, pretender el reingreso en la confesión religiosa.

Pero es que, en todo caso, ante cualquier petición o acción ante la Congregación Religiosa de un ex miembro, se podrá solicitar del interesado datos adicionales para el caso de su plena identificación y dar su consentimiento dar respuesta a su solicitud."

Asimismo, la sentencia recurrida rechazó la impugnación de la limitación establecida para la utilización de los datos objeto de autorización por la AEPD en el supuesto exclusivo de que medie una nueva petición de ingreso del afectado, con los siguientes razonamientos:

"Por último, respecto a la solicitud de que se declare el derecho al uso para cualquier otra situación diferente a la readmisión del ex miembro, en concreto, para verificar y comprobar la situación de bautismo y pertenencia a la Confesión Religiosa de un miembro actual o ex miembro, de satisfacer los principios religiosos de la Confesión, de pastorear y proteger a los miembros de las congregaciones, así como también de procesar y resolver solicitudes de readmisión de ex miembros, tenemos que reseñar que el tratamiento de datos ha de responder a una finalidad previamente determinada como ha quedado expuesto, y no se concreta ninguna finalidad que justifique la ampliación del tratamiento a finalidades distintas a la readmisión, máxime cuando las razones expuestas se refieren al funcionamiento interno de la Congregación Religiosa, ajeno al derecho fundamental del afectado al uso excepcional de sus datos personales una vez solicitada la baja."

Los motivos de impugnación y de oposición formulados en el presente recurso de casación.

1. - La parte recurrente solicita a esta Sala que anule la sentencia impugnada, con los pronunciamientos que se han transcrito en el antecedente de hecho cuarto de esta sentencia, en base a los siguientes motivos de impugnación:

   i.- Infracción del artículo 16.1 de la Constitución y del artículo 6 de la L.O. 7/1980, de 5 de julio, de libertad religiosa, que consagra el derecho no solo de los individuos sino también de las entidades religiosas, que debe ser armonizado con la legislación de la Unión Europea, en este caso en concreto, con la Directiva 95/46/CE y con el Reglamento (UE) 2016/679, a la luz de la Carta de los Derechos Fundamentales de la Unión Europea, estimando que en este caso debe encontrarse un equilibrio entre los derechos fundamentales a la privacidad y protección de datos personales y el derecho a la libertad religiosa y a la autonomía de las confesiones religiosas.

   Alega la parte recurrente que la decisión de restringir el derecho de la confesión religiosa de conservar los datos necesarios no es una decisión respetuosa con la legislación vigente, sin que ni la AEPD ni la Audiencia Nacional hayan justificado que la injerencia en el derecho a la libertad religiosa de la recurrente sea legítima y proporcionada con la protección del derecho a la vida privada del individuo, sino que al prohibir la conservación de ciertos datos personales, la sentencia impugnada ha interferido ilegítimamente en el derecho de la confesión religiosa a mantener sus procedimientos eclesiásticos establecidos.

   En este sentido, la parte recurrente mantiene que los derechos de la Confesión religiosa y los de la persona que se dio de baja pueden ser garantizados si se efectúa correctamente la ponderación expresada en el artículo 6.1.f) del Reglamento (UE) 2016/679. Sin embargo, critica a la sentencia impugnada porque ni siquiera entró a valorar las razones por las que la confesión religiosa ha expresado su necesidad de conservar unos concretos datos personales, limitándose a afirmar que esos datos no son necesarios, lo que considera una afirmación arbitraria, que interfiere injustamente en el derecho de la confesión religiosa de mantener sus procedimientos eclesiásticos establecidos, toda vez que la tarea de identificar correctamente a un exmiembro es obstaculizada por la ausencia de los datos necesarios para ello y, además, debió la sentencia impugnada haber admitido el interés legítimo de la parte recurrente de usar los datos para otras finalidades más allá de la readmisión, debiendo haber aceptado la necesidad de conservar los datos personales para dar cumplimiento a sus finalidades religiosas.

   La parte recurrente señala que explicó, tanto ante la AEPD como en el procedimiento judicial, las razones por las que los tres datos personales controvertidos eran necesarios

   - El nombre de la congregación, pues la congregación es el centro de las actividades espirituales de los miembros de la Confesión religiosa, que supervisan los ancianos, a quienes corresponde la decisión, en el ámbito de la congregación, sobre admisión, remoción o readmisión de un miembro de la congregación, de forma que en el caso de una persona expulsada o desasociada que solicitara su readmisión, los procedimientos eclesiásticos de la Confesión religiosa establecen que son los ancianos de la misma congregación quienes tienen la autoridad para resolver la petición de readmisión. Por esa razón, los ancianos que reciben la petición de admisión necesitan saber en qué congregación se expulsó o desasoció la persona para cumplir los procedimientos eclesiásticos y garantizar el tratamiento adecuado de la solicitud. Añade sobre este punto que la experiencia demuestra que las personas que desean ser readmitidas después de muchos años de ausencia no recuerdan específicamente el nombre de la congregación originaria, debiendo tenerse en cuenta que solo en España la Confesión religiosa mantiene actualmente unas 1500 congregaciones y que es habitual que los testigos de Jehová se muden dentro del mismo país o incluso emigren al extranjero donde hay unas 150.000 congregaciones.

   - La fecha de nacimiento se considera por la parte recurrente un dato necesario para identificar a quien es y quien no es testigo de Jehová, a fin de que se satisfagan las normas internas de la confesión para evitar el rebautismo o evaluar las solicitudes de readmisión, toda vez que millones de personas pueden tener el mismo apellido, de forma que el dato de la fecha de nacimiento constituye un elemento importante para evitar confusiones sobre la identidad de una persona, añadiendo al respecto que en España existen casi 120.000 testigos de Jehová activos.

   - El sexo de un exmiembro también es un dato que la parte recurrente considera vital, pues junto con el nombre y la fecha de nacimiento permite identificar a una persona, lo que es importante en las más de 330 congregaciones de testigos de Jehová de lenguas extranjeras en España, en las que muchos nombres de los miembros no identifican fácilmente el sexo del individuo.

   ii.- Infracción de los artículos 9.2.d) y 17 del Reglamento (UE) 2016/679, que permiten a cualquier Confesión religiosa, por razón de sus intereses legítimos, el derecho a procesar categorías especiales de datos personales de "miembros actuales o antiguos" sin el consentimiento del interesado, sin que concurra el presupuesto para la supresión de que los datos no sean necesarios en relación con los fines para los que fueron recogidos, pues son necesarios para la finalidad de la confesión de respetar sus normas religiosas internas y sus procedimientos eclesiásticos, señalando al efecto que de la ponderación de derechos de conformidad con lo establecido en el artículo 6.1.f) del Reglamento (UE) 2016/679, debe concluirse que la confesión religiosa persigue un interés legítimo, el tratamiento de los datos es necesario para los intereses legítimos perseguidos y los derechos y libertades fundamentales de la persona afectada por la protección de datos no deben prevalecer sobre el interés legítimo perseguido.

   iii) Infracción de los artículos 4, 7 y 16 de la L.O. 15/1999, de 13 de diciembre, de protección de datos de carácter personal, por aplicación de las alegaciones anteriores, que permiten el tratamiento de los datos personales del interesado de acuerdo con las normas internas de una Confesión religiosa, siempre que los datos fueran adecuados, pertinentes y no excesivos, pues como se indicó en los precedentes motivos de impugnación, no se cumplen los requisitos estipulados en el artículo 17 del Reglamento (UE) 2016/679 para la supresión de los datos personales, ni se cumplen en este caso los requisitos de cancelación del artículo 16 de la L.O. 15/1999, que reconoce el derecho a un interesado a solicitar la cancelación de los datos personales, lo que conduce al bloqueo de los datos, pero no a su eliminación y la cancelación solo es aplicable si el tratamiento no se ajusta a la legalidad, en concreto, si los datos no son exactos o están incompletos, sin que ni el interesado, ni la AEPD ni la Audiencia Nacional hayan negado que los datos sean exactos o completos.

2. - El Abogado del Estado, en su escrito de oposición al recurso de casación, después de hacer una referencia a la normativa básica aplicable, señala que en este caso concurren dos derechos fundamentales de los ciudadanos, por una parte el derecho de libertad religiosa y por otra parte el derecho a la protección de datos de carácter personal y considera indudable que la baja voluntaria del interesado en la correspondiente iglesia o religión es un elemento que posee a los efectos examinados en el recurso la máxima significación, de forma que una vez producida dicha separación, solo por excepción pueden conservarse los datos del sujeto afectado, en la medida en la que ello sea imprescindible para los fines de la Confesión religiosa, idea esta que ha sido recogida con acierto por la sentencia recurrida. Añade el Abogado del Estado que la misma solución a la que llega la sentencia recurrida es también a la que llega la jurisprudencia del TJUE sobre el tratamiento de datos de carácter personal, que en la sentencia de 13 de mayo de 2014 (caso Costeja), en relación con la Directiva 95/46/CE en lo que respecta al tratamiento de datos personales, destacó el carácter personalísimo del derecho a la protección de los datos personales y su prevalencia respecto de otros intereses en juego, criterio que es también el recogido en la sentencia del TJUE de 24 de septiembre de 2019, dictada en el asunto C-136/17.

   Finalmente, el Abogado del Estado indicó que son plenamente acertadas las consideraciones de la sentencia recurrida (FJ 5º), respecto del criterio de los datos que pueden ser objeto de tratamiento, que han de ser adecuados, pertinentes y no excesivos, es decir los mínimos para cumplir la finalidad para la que se conservan, que es la de dar respuesta a las posibles acciones que pueda llevar a cabo un exmiembro, como pretender el reingreso en la confesión religiosa, por lo que estima el Abogado del Estado que las consideraciones de la sentencia recurrida suponen una correcta ponderación de las concretas circunstancias concurrentes.

La concreta discrepancia entre las partes respecto de los datos que pueden ser objeto de tratamiento.

Examinadas las alegaciones de las partes en sus escritos de interposición del recurso y oposición, sus diferencias se limitan a la determinación de los concretos datos de la persona que abandonó la Confesión religiosa que pueden ser objeto de tratamiento por ésta.

La AEPD y la sentencia impugnada de la Audiencia Nacional limitaron los datos objeto de conservación a los tres siguientes: nombre y apellidos de la persona expulsada o desasociada, la fecha de bautismo en la confesión Testigos de Jehová y la fecha de la expulsión o desasociación.

La confesión religiosa está de acuerdo en la conservación de dichos datos, por lo que el debate en este recurso de casación no alcanza a estos datos cuyo tratamiento la AEPD y la sentencia impugnada consideran conforme a derecho y se centra en otros tres datos de carácter personal respecto de los que la Confesión religiosa recurrente considera que también concurre un interés legítimo en su conservación: 1) nombre de la congregación, 2) fecha de nacimiento y 3) sexo.

Además, la discrepancia entre las partes también se extiende a la limitación incluida en la resolución de la AEPD, que establece que los datos objeto de conservación solo podrán ser utilizados en el exclusivo supuesto de que medie una nueva petición de ingreso del afectado, limitación a la que se opone la parte recurrente.

Los precedentes de la Sala respecto de la cuestión debatida.

Esta Sala se ha pronunciado con anterioridad en dos casos distintos, respecto de la cancelación de los datos relativos a la vinculación de una persona a una determinada religión, confesión o entidad religiosa, solicitada por el interesado cuando abandona las mismas.

En los años 2005 y siguientes, la AEPD dictó diversas resoluciones en las que, si bien no se accedía a la pretensión de que se cancelara la anotación del bautismo en el Libro de Bautismos, se ordenaba al correspondiente arzobispado para que remitiera al reclamante una certificación en la que se haga constar que se había anotado en las partidas de bautismo el hecho de haber ejercido el derecho de cancelación, y las sentencias de esta Sala de 19 de septiembre de 2008 (recurso 6031/2007), 14 de octubre de 2008 (recurso 5914/2007) y otras, estimaron los recursos frente a las sentencias confirmatorias de la resolución de la AEPD, por considerar que los libros de bautismo no podían considerarse ficheros en los términos del artículo 3.b) de la Ley Orgánica 15/1999, de Protección de Datos, pues no son un conjunto organizado, sino una acumulación de datos que comporta una difícil búsqueda, acceso y localización, en cuanto no están ordenados ni alfabéticamente ni por fecha de nacimiento, sino solo por las fechas de bautismo, siendo imprescindible el conocimiento previo de la parroquia donde aquel tuvo lugar.

La sentencia de esta Sala de 10 de noviembre de 2011 (recurso 5960/2008), desestimó el recurso interpuesto por la Prelatura del Opus Dei, Región de España, contra la sentencia que había confirmado la resolución de la AEPD que instó a dicha entidad a remitir al reclamante certificación en la que se haga constar que se había procedido a la cancelación de sus datos que constaban en sus ficheros, en aplicación de las disposiciones de Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respeta al tratamiento de datos personales y a la libre circulación de estos y la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, entonces vigentes.

Cabe señalar que con posterioridad a las sentencias que se acaban de citar, la normativa sobre la cuestión de que trata este recurso ha sido modificada por la entrada en vigor y aplicabilidad directa en los Estado miembros del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE, al que haremos referencia en el siguiente fundamento de derecho.

El marco normativo.

En la resolución del presente recurso, tendremos especialmente en cuenta las disposiciones que citamos seguidamente.

1. - En relación con el derecho fundamental a la libertad religiosa:

   El artículo 16 de la Constitución "garantiza la libertad ideológica, religiosa y de culto de los individuos y las comunidades, sin más limitación, en sus manifestaciones, que la necesaria para el mantenimiento del orden público protegido por la ley".

   El artículo 1.1 de la Ley Orgánica 7/1980, de 5 de julio, de Libertad Religiosa, establece que:

   "Uno. El Estado garantiza el derecho fundamental a la libertad religiosa y de culto, reconocida en la Constitución, de acuerdo con lo prevenido en la presente Ley Orgánica."

   El artículo 2.2 de la L.O. 7/1980 señala que, en relación con las Iglesias, Confesiones y Comunidades religiosas, la libertad religiosa y de culto garantizada por la Constitución comprende:

   "Dos. Asimismo comprende el derecho de las Iglesias, Confesiones y Comunidades religiosas a establecer lugares de culto o de reunión con fines religiosos, a designar y formar a sus ministros, a divulgar y propagar su propio credo, y a mantener relaciones con sus propias organizaciones o con otras confesiones religiosas, sea en territorio nacional o en el extranjero."

   El artículo 3.1 de la L.O 7/1980 efectúa una referencia a los límites al ejercicio del derecho de libertad religiosa:

   "Uno. El ejercicio de los derechos dimanantes de la libertad religiosa y de culto tiene como único límite la protección del derecho de los demás al ejercicio de sus libertades públicas y derechos fundamentales..."

   El artículo 6.1 de la L.O. 7/1980 reconoce a las Iglesias, Confesiones y Comunidades religiosas plena autonomía para establecer sus propias normas de autonomía y régimen interno, que deberán respetar los derechos y libertades reconocidos por la Constitución:

   "Uno. Las Iglesias, Confesiones y Comunidades religiosas inscritas tendrán plena autonomía y podrán establecer sus propias normas de organización, régimen interno y régimen de su personal. En dichas normas, así como en las que regulen las instituciones creadas por aquéllas para la realización de sus fines, podrán incluir cláusulas de salvaguarda de su identidad religiosa y carácter propio, así como del debido respeto a sus creencias, sin perjuicio del respeto de los derechos y libertades reconocidos por la Constitución, y en especial de los de libertad, igualdad y no discriminación."

2. - En relación con el derecho fundamental a la protección de datos de carácter personal:

   El artículo 18.4 CE señala que "La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos."

   El artículo 4.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, vigente en la fecha de los hechos a que se refiere este recurso, dispone respecto de la calidad de los datos objeto de tratamiento:

   "1. Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido."

   El artículo 7.2 de la L.O. 15/1999 indica lo siguiente respecto de los datos especialmente protegidos, entre los que se encuentran los datos de carácter personal que revelen la religión o creencias:

   "2. Sólo con el consentimiento expreso y por escrito del afectado podrán ser objeto de tratamiento los datos de carácter personal que revelen la ideología, afiliación sindical, religión y creencias. Se exceptúan los ficheros mantenidos por los partidos políticos, sindicatos, iglesias, confesiones o comunidades religiosas y asociaciones, fundaciones y otras entidades sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, en cuanto a los datos relativos a sus asociados o miembros, sin perjuicio de que la cesión de dichos datos precisará siempre el previo consentimiento del afectado."

   El artículo 16 de la L.O. 15/1999, en sus tres primeros apartados establece lo siguiente, en relación con el derecho de cancelación:

   "1. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días.

2. Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos.

3. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas.

   Cumplido el citado plazo deberá procederse a la supresión."

   El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos - RGPD), señala a propósito del tratamiento de los datos especialmente protegidos como los relativos a la religión a que se refiere este recurso:

   "1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientación sexuales de una persona física.

2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:

   [...]

   d) el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;"

   Es importante destacar, a los efectos de la resolución de este recurso que, así como el artículo 7.2 de la L.O. 15/1999, antes transcrito, establecía que los ficheros mantenidos por las Iglesias, Confesiones o Comunidades religiosas de los datos relativos "a sus asociados o miembros" estaban exceptuados de la exigencia de consentimiento expreso y por escrito del afectado requerida para el tratamiento de los datos especialmente protegidos, el artículo 9.2 del RGPD excluye de la prohibición de tratamiento de tales datos cuando el mismo sea efectuado por una asociación u organismo cuya finalidad sea religiosa y el tratamiento se refiera exclusivamente "a los miembros actuales o antiguos" de tales organismos, siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados.

   Así pues, a diferencia de la L.O. 15/1999 que reconocía una excepción a la exigencia de consentimiento expreso y por escrito en favor de las Iglesias, Confesiones o Comunidades religiosas, respecto de los datos de carácter personal de "sus asociados o miembros", sin ninguna referencia expresa respecto de quienes habían abandonado la confesión religiosa y ya no reunían, por tanto, esa condición de asociados o miembros, la regulación del RGPD excluye de forma expresa de la prohibición de tratamiento de datos especialmente protegidos el tratamiento por las asociaciones y organismos religiosos de los datos no solo de los miembros actuales sino también de los miembros "antiguos".

   El RGPD, que por disposición del artículo 288 del Tratado de Funcionamiento de la Unión Europea -como todos los demás Reglamentos de la Unión- es obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro, dispone en su artículo 99 respecto de su entrada en vigor y aplicación:

   "1. El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.

2. Será aplicable a partir del 25 de mayo de 2018."

   El RGPD se publicó en el Diario Oficial de la Unión Europea del día 4 de mayo de 2016.

   En el caso que examinamos en este recurso la solicitud de cancelación de datos y la denegación parcial de la Confesión religiosa son de 3 de junio y 10 de julio de 2017, respectivamente, es decir, de fechas posteriores a la entrada en vigor y anteriores a la fecha de aplicación del Reglamento

   La resolución de la AEPD, que se encuentra en el origen del presente recurso, señaló al respecto que aun no siendo en la actualidad de aplicación el RGPD, "esta Agencia entiende que si se ha de tener en cuenta a la hora de resolver puesto que se encuentra vigente".

   Ninguna de las partes en este recurso, ni la sentencia recurrida, han cuestionado la consideración del RGPD y, en particular, de lo dispuesto en su artículo 9.2.d), al efecto de la resolución de este recurso de casación, sino que, por el contrario, tanto la parte recurrente como el Abogado del Estado han citado las disposiciones del RGPD como fundamento de sus respectivas pretensiones.

   La Sala está de acuerdo con la posición de la AEPD, la sentencia impugnada y las partes intervinientes en el recurso de casación, en relación con la consideración del RGPD en la resolución del presente recurso, al menos por vía interpretativa, de conformidad con el artículo 10.2 CE, como reconoce la STC 76/2019 (FD 3º), de forma que el artículo 7.2 de la L.O. 15/1999 habrá de interpretarse de conformidad con el artículo 9.2.d) del RGPD, en el sentido de entender que la excepción de la exigencia de consentimiento expreso y por escrito se refiere a los ficheros mantenidos por las Iglesias, Confesiones y Comunidades religiosas de los datos relativos a sus asociados o miembros, tanto actuales como antiguos, y siempre que los datos personales no se comuniquen sin el consentimiento de los interesados.

El conflicto entre los derechos fundamentales a la protección de datos y a la libertad religiosa.

1. - Para las partes intervinientes en este recurso, nos encontramos ante un supuesto de colisión o conflicto entre dos derechos fundamentales.

   La resolución de la AEPD así lo reconoce (FD 7º):

   "La cuestión planteada contrapone la prevalencia de dos derechos fundamentales como es el derecho a la libertad religiosa y el derecho a la protección de datos personales, debiendo ponderarse en razón al principio de proporcionalidad."

   La sentencia de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional mantiene igual apreciación respecto de la existencia de un conflicto de derechos fundamentales, si bien es mas precisa en la delimitación de los derechos enfrentados (FD 4º):

   "Debemos partir, que nos encontramos ante un procedimiento de tutela de derechos, existiendo una colisión entre el derecho a la libertad religiosa, en concreto el derecho de una confesión religiosa a operar con plena autonomía y establecer sus propias normas de organización y régimen interno, y el derecho a la protección de datos de la reclamante, que requiere la cancelación de sus datos al haber abandonado la Confesión Religiosa."

   También la parte recurrente participa de la misma opinión respecto de la existencia del conflicto entre derechos, que identifica de la forma siguiente (FD 1º del escrito de interposición):

   "El presente caso evidencia la necesidad de encontrar un equilibrio entre los derechos fundamentales a la privacidad y a la protección de datos personales, garantizados en el artículo 18 de la CE , en los artículos 7 y 8.1 de la Carta y en el Art. 8 del Convenio Europeo de Derechos Humanos (en adelante "el Convenio"), con mención específica a la Ley Orgánica 15/1999, a la Directiva 95/46/CE y al Reglamento (UE) 2016/679; y por otro lado, el derecho fundamental a la libertad religiosa y a la autonomía de las confesiones religiosas garantizados por el articulo 16.1 de la CE , el artículo 6 de la Ley Orgánica 7/1980 de Libertad Religiosa , el artículo 10.1 de la Carta, y el artículo 9 del Convenio."

2. - Como reconocen la resolución de la AEPD, la sentencia impugnada y la parte recurrente, se aprecia en este recurso que aparecen enfrentados los dos derechos fundamentales siguientes:

   - De un lado el derecho fundamental a la protección de datos del artículo 18.4 CE, sobre cuyo contenido ha dicho el Tribunal Constitucional que consiste en el poder de disposición y control sobre los datos personales y que otorga al titular -entre otras facultades- la de oponerse a la posesión y uso de esos datos por un tercero.

   Así resulta de las SSTC 292/2000 (FD 7º), 199/2013 (FD 12º) y 39/2016 (FD 3), que señalan que el contenido del derecho fundamental a la protección de datos:

   "consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos."

   - De otro lado el derecho fundamental a la libertad religiosa y de culto, del artículo 16.1 CE, sobre el que las SSTC 46/2001 (FD 4º) y 128/2001 (FD 2º) han dicho que reconoce "un ámbito de libertad y una esfera de agere licere...con plena inmunidad de coacción del Estado o de cualesquiera grupos sociales", añadiendo que el contenido del derecho a la libertad religiosa no se agota en la protección frente a injerencias externas de una esfera de libertad individual o colectiva, "...pues cabe apreciar una dimensión externa de la libertad religiosa que se traduce en la posibilidad de ejercicio, inmune a toda coacción de los poderes públicos, de aquellas actividades que constituyen manifestaciones o expresiones del fenómeno religioso, asumido en este caso por el sujeto colectivo o comunidades..."

   Para el cumplimiento de sus fines, el artículo 6.1 de la Ley Orgánica 7/1980, de 5 de julio, de Libertad Religiosa, atribuye a las Iglesias, Confesiones y Comunidades religiosas "plena autonomía", señalando al efecto que "podrán establecer sus propias normas de organización, régimen interno y régimen de su personal".

3. - Según reiterada doctrina del Tribunal Constitucional, recogida en las SSTC 42/2011 (FD 3º), 78/2019 (FD 5º) y las que en ellas se citan, los derechos fundamentales no son derechos absolutos e ilimitados, sino que por el contrario su ejercicio está sujeto tanto a límites establecidos directamente en la propia Constitución como a otros que puedan fijarse para proteger o preservar otros derechos o bienes también constitucionalmente protegidos.

   En particular, en relación con el derecho fundamental a la protección de datos, el Considerando 4º del RGPD señala:

   "El tratamiento de datos personales debe estar concebido para servir a la humanidad. El derecho a la protección de los datos personales no es un derecho absoluto sino que debe considerarse en relación con su función en la sociedad y mantener el equilibrio con otros derechos fundamentales, con arreglo al principio de proporcionalidad."

   En este sentido, el Tribunal Europeo de Derechos Humanos, en la sentencia de 12 de junio de 2014 (asunto Fernández Martínez c. España, párrafo 123), señala que en los casos de conflicto entre dos derechos igualmente protegidos por la Convención Europea de Derechos Humanos, es decir, sin relaciones de jerarquía entre ellos, debe acudirse para su resolución a la ponderación de los intereses en juego, de forma que el Estado garantice ambos derechos o escoger los medios adecuados para que la vulneración sea proporcionada en relación con el objeto perseguido:

   "El TEDH recuerda que, cuando está llamado a pronunciarse sobre un conflicto entre dos derechos igualmente protegidos por el Convenio, debe realizar una ponderación de los intereses en juego (sentencias Siebenhaar, Schüth y Obst, anteriormente citadas). En este caso concreto, esta ponderación debe hacerse entre el derecho del demandante a su vida privada y familiar y el derecho de las organizaciones religiosas a su autonomía. Es Estado debe garantizar ambos derechos y, si la protección de uno conduce a la vulneración del otro, escoger los medios adecuados para que esta vulneración sea proporcionada respecto del objetivo perseguido."

   El Tribunal Constitucional también reconoce la existencia de límites para el ejercicio del derecho a la protección de datos, respecto de los cuales las SSTC 292/2000 (FJ 11º), 17/2013 (FD 4º) y 58/2018 (FD 6º) han indicado lo siguiente:

   "[E]l derecho a la protección de datos no es ilimitado, y aunque la Constitución no le imponga expresamente límites específicos, ni remita a los poderes públicos para su determinación como ha hecho con otros derechos fundamentales, no cabe duda de que han de encontrarlos en los restantes derechos fundamentales y bienes jurídicos constitucionalmente protegidos, pues así lo exige el principio de unidad de la Constitución."

4. - Como acabamos de ver, el Considerando 4º del RGPD efectúa una llamada al principio de proporcionalidad como el elemento clave para buscar una solución de equilibrio en los casos de conflicto entre el derecho a la protección de datos y los demás derechos fundamentales con los que aquel concurra y, en efecto, la aplicación de dicho principio de proporcionalidad es una constante en la resolución de los recursos que tratan de resolver conflictos entre derechos fundamentales.

   Como resulta de la cita de la sentencia del TEDH que acabamos de hacer, dicho Tribunal también considera que el conflicto entre dos derechos igualmente protegidos debe realizarse a través de una ponderación de los intereses en juego, que garantice los derechos en liza o los medios adecuados para que la vulneración de uno de dichos derechos sea proporcionada respecto del objetivo perseguido.

   El juicio de proporcionalidad o de ponderación es utilizado con frecuencia por el Tribunal Constitucional a fin de comprobar la constitucionalidad de las medidas restrictivas de los derechos fundamentales, exigidas para una solución armonizada o equilibrada de conflicto de dichos derechos.

   En las SSTC 66/1995 (FD 5º), 207/1996 (FD 4º), 199/2013 (FD 11º), 13/2014 (FD 3º), 14/2014 (FD 3º), 15/2014 (FD 3º) y 39/2016 (FD 5º), entre otras, el TC establece que para decidir si una concreta medida limitativa de un derecho fundamental supera el juicio de proporcionalidad es necesario constatar el cumplimiento de los tres requisitos o condiciones de su idoneidad, necesidad y proporcionalidad en sentido estricto:

   "el respeto al principio de proporcionalidad de la medida enjuiciada exige, tal como ya hemos avanzado, constatar que la medida adoptada sea susceptible de conseguir el objetivo propuesto (juicio de idoneidad); necesaria, en el sentido de que no exista otra medida más moderada para la consecución de tal propósito con igual eficacia (juicio de necesidad); y, finalmente, que sea ponderada o equilibrada, por derivarse de ella más beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en conflicto (juicio de proporcionalidad en sentido estricto)."

   La necesidad de encontrar un equilibrio entre los derechos fundamentales en liza es reconocida por la propia parte recurrente (FD 1º del escrito de interposición), y su discrepancia con la sentencia impugnada y con la resolución de la APD se centra, como veremos seguidamente, en la distinta apreciación sobre la concurrencia o no las condiciones o requisitos que integran el juicio de proporcionalidad de los sacrificios exigidos por el derecho fundamental a la libertad religiosa en el derecho fundamental a la protección de datos de la persona exmiembro de la Confesión religiosa.

El criterio de la Sala resultante de la aplicación del juicio de proporcionalidad.

1. - La aplicación del juicio de proporcionalidad y del primero de sus requisitos o juicio de idoneidad, exige delimitar el fin legítimo perseguido por las limitaciones que propugna la parte recurrente sobre el derecho de protección de datos.

   Como ya se ha dicho al resumir los argumentos del escrito de interposición del recurso, los datos personales de la persona que abandonó la Confesión religiosa que la parte recurrente considera que debe conservar, y cuyo rechazo por la sentencia de la Audiencia Nacional es impugnado en este recurso de casación, fueron los relativos al nombre de la Congregación, la fecha de nacimiento y el sexo de la persona desasociada.

   Para la parte recurrente, el interés legítimo en la conservación de dichos datos consiste en que es necesario para la realización de los fines de la Confesión religiosa, que esta conozca quienes han sido miembros de la misma, pues de acuerdo con sus Estatutos, sólo quienes son miembros de la Confesión pueden participar de sus actividades, mientras quienes renuncian a su fe ya no podrán participar en las actividades de la Confesión religiosa y además, en el caso de querer ser readmitidos, los exmiembros tienen que cumplir unos requisitos distintos a las personas de nuevo ingreso, pues no está permitido que una persona se bautice dos veces.

   En el caso particular del dato de la Congregación a la que perteneció la persona desasociada, la conservación de dicho dato viene exigida porque son los ancianos de dicha congregación los que decidieron sobre la expulsión o desasociación del miembro de la Confesión religiosa, de forma que en el caso de que una persona expulsada o desasociada solicitara su readmisión, los procedimientos eclesiásticos de la Confesión establecen que sean los ancianos de la misma congregación que decidieron esa expulsión o aceptaron la desasociación los que resuelvan la petición de readmisión

   La fecha concreta de nacimiento, según indica la parte recurrente, es necesaria como medio de identificación de la persona desasociada que solicite su readmisión, por ejemplo, para evitar un segundo bautismo, y la parte recurrente advierte, al justificar la conservación de este dato, que millones de personas pueden tener el mismo apellido (García, López, etc), por lo que el dato de la fecha de nacimiento constituye un elemento importante para evitar confusiones sobre la identidad de una persona, y aunque el número de DNI o de Seguridad Social serviría mejor para ese propósito, la fecha de nacimiento de la persona exmiembro junto a otros datos debe considerarse, en criterio de la parte recurrente, un dato mínimo y necesario que debe conservar para los indicados fines, teniendo en cuenta que la Confesión Testigos de Jehová tiene caso 120.000 testigos activos en España.

   En cuanto al dato personal que identifica el sexo, su conservación se estima necesaria por la parte recurrente para, junto con el nombre y la fecha de nacimiento, la identificación del exmiembro, teniendo en cuenta que en España existen más de 330 congregaciones de testigos de Jehová de lenguas extranjeras en la que muchos nombres no identifican el sexo. Además, la conservación de dicho dato permite asegurar que las responsabilidades espirituales que una persona readmitida reciba en el futuro estén en consonancia con las normas internas de la Confesión, teniendo en cuenta que algunas responsabilidades espirituales solo se asignan a miembros varones y algunas otras solo a miembros femeninos.

   En suma, la finalidad de la conservación de los datos que invoca la parte recurrente, y cuya legitimidad no se cuestiona en absoluto en este recurso, es la de identificación del antiguo miembro de la Confesión religiosa en el supuesto de que solicite su readmisión, entre otras razones para evitar un nuevo bautismo así como, en el caso del dato del nombre de la Congregación, la de permitir la aplicación de los procedimiento eclesiásticos de la Confesión que establecen que sean los ancianos de la misma congregación que decidieron la expulsión o desasociación los que resuelvan petición de readmisión.

2. - En el examen del caso concreto, tanto la AEPD como la Sala de lo Contencioso-Administrativo de la Audiencia Nacional llegaron a la conclusión de que no concurre, respecto de los datos litigiosos cuya conservación pretende la parte recurrente, el requisito de su necesidad para la consecución del objetivo legítimo perseguido.

   Así, la AEPD, en su resolución de 26 de enero de 2018, considera (FD 8º) que los datos cuya conservación autoriza, de nombre y apellidos, fecha de bautismo en la confesión de Testigos de Jehová y la fecha expulsión o desasociación, son los datos "mínimos" exigibles que garantizan la observancia de las normas internas en caso de una futura incorporación a la confesión, sin que los datos cuya conservación rechaza, de nombre de la congregación, fecha de nacimiento y sexo, tengan esa condición de datos "mínimos" exigibles, y en la resolución de 4 de junio de 2018, desestimatoria del recurso de reposición, la AEPD señala (FD III) que los datos cuyo tratamiento se autoriza a la Confesión religiosa son "los pertinentes" para dar la respuesta a las acciones que pueda llevar a cabo un exmiembro, añadiendo que ante cualquier petición o acción ante la Congregación religiosa de un exmiembro se podrá solicitar del interesado datos adicionales para el caso de su plena identificación y dar respuesta a su solicitud, evitando de esta forma el almacenamiento de datos sensibles "no necesarios" y que suponen riesgos para la seguridad de datos especialmente sensible.

   La sentencia impugnada también llegó a la conclusión de que los datos cuya conservación reclama la Confesión religiosa recurrente no superan los requisitos a que venimos haciendo referencia, pues (FD 5º) señala que la legitimación para el tratamiento de los datos se basa en que los mismos sean "adecuados, pertinentes y no excesivos, es decir, los mínimos para cumplir la finalidad para la que se conservan", y tales condiciones entiende la sentencia impugnada se cumplen por los datos autorizados por la resolución de la AEPD de nombre y apellidos, fecha de bautismo y fecha de expulsión o desasociación, pero no por los datos cuya conservación reclama la Confesión religiosa.

3. - La Sala coincide con las apreciaciones de la sentencia impugnada en el sentido de que la conservación por la Confesión religiosa de los datos personales de su exmiembro sobre los que versa este recurso no supera el juicio de proporcionalidad, atendiendo los datos personales cuya conservación ha sido admitida por la resolución de la AEPD que se encuentra en el origen de este recurso, especialmente el nombre y apellidos que, desde luego, es el dato idóneo y necesario para la identificación de quien ha dejado de ser miembro de la Confesión religiosa en el caso de una eventual e incierta solicitud de readmisión.

   El Tribunal de Justicia de la Unión Europea ha dicho, en su sentencia de 11 de diciembre de 2019 (asunto C-708/18, párrafo 46), respecto del requisito de la necesidad de conservación de datos personales en el juicio de ponderación que ahora realizamos, que las restricciones al principio de protección de datos de carácter personal deben establecerse sin sobrepasar los límites de lo estrictamente necesario:

   "Por lo que se refiere al segundo requisito impuesto en el artículo 7, letra f), de la Directiva 95/46 , basado en la necesidad de recurrir al tratamiento de datos personales para satisfacer el interés legítimo perseguido, el Tribunal de Justicia ha recordado que las excepciones y restricciones al principio de protección de los datos de carácter personal deben establecerse sin sobrepasar los límites de lo estrictamente necesario ( sentencia de 4 de mayo de 2017, Rigas satiksme, C- 13/16 , EU:C:2017:336 , apartado 30 y jurisprudencia citada)."

   Este criterio de que las restricciones al derecho a la protección de datos de carácter personal no pueden sobrepasar "los límites de lo estrictamente necesario", es el que la resolución de la AEPD y la sentencia impugnada proyectaron sobre los datos personales litigiosos, estimando que los mismos no cumplían la condición de ser los datos mínimos exigibles para la identificación del exmiembro de la Confesión religiosa en la hipótesis de su solicitud de readmisión, sino considerándolos excesivos en relación con dicha finalidad.

   La Confesión religiosa recurrente ha justificado la exigencia del dato de la fecha de nacimiento como una especie de complemento, necesario para lograr la identificación del exmiembro, toda vez que millones de personas pueden tener el mismo apellido (García, López, etc), pero no cabe olvidar que el juicio de proporcionalidad no puede hacerse en abstracto, o de espaldas a las circunstancias que concurren en el caso enjuiciado, sino al contrario, la ponderación debe referirse a las concretas circunstancias del caso que se está juzgando y, en este caso, los apellidos de la persona desasociada a la que se refiere este recurso no pueden considerarse comunes a muchas personas en las que, además, se dé también la condición exmiembros o desasociados de la misma Confesión religiosa, sino al contrario, debe estimarse que la combinación del nombre propio y los dos apellidos del exmiembro son suficientes en este caso, por sí solos, para su identificación en la eventualidad de que en el futuro solicite la readmisión en la Confesión religiosa.

   Lo anterior no significa que sea rechazable la tesis de la parte recurrente en todos los casos, pues en aquellas ocasiones en las que los apellidos de una persona o su combinación no sean plenamente identificativos y se presten a confusión con los de otra persona, puede hacerse presente el requisito de la necesidad del dato de la fecha de nacimiento a fin de completar el dato de un nombre y apellidos no plenamente identificativos, pero como se acaba de decir, tal no es el caso del presente recurso sobre el que hemos de llevar a cabo el juicio de proporcionalidad.

   Todavía con mayor énfasis estimamos que, una vez que la identificación del exmiembro se realice mediante los datos del nombre y apellidos, el dato del sexo debe considerarse innecesario a esos fines identificativos, siendo también irrelevante que el nombre propio no identifique el sexo de la persona si su combinación con los apellidos es suficiente para identificar a la persona determinada que reune la condición de exmiembro de la Confesión religiosa.

   El dato del nombre de la congregación a la que pertenecía el exmiembro no es, en sí mismo, un dato identificativo de esa persona, y en cuanto a la necesidad alegada por la parte recurrente de identificación de la congregación, para permitir la aplicación de los procedimientos eclesiásticos de la Confesión religiosa, que exigen la intervención en la decisión de readmisión de los mismos ancianos de la congregación que intervinieron en la expulsión o en la desasociación, llegamos a la conclusión de que existen otras medidas más moderadas o, si se quiere, menos restrictivas o invasivas del derecho fundamental a la protección de datos, como el apuntado tanto por la resolución de la AEPD como por la sentencia impugnada, que aluden a la simple solicitud o pregunta al exmiembro de este dato del nombre de la congregación a la que pertenecía, en la hipótesis de que solicite su readmisión, a fin de dar respuesta a dicha solicitud.

4. - También debemos rechazar la pretensión de la parte recurrente de que la conservación de los datos personales no quede limitada al supuesto de que medie una nueva petición de ingreso del afectado. Indica al respecto la parte recurrente que la sentencia recurrida debió haber admitido el interés legítimo de usar los datos personales para otras finalidades más allá de la readmisión, "debiendo haber aceptado la necesidad de conservar esos datos personales para dar cumplimiento a sus finalidades religiosas", pero lo cierto es que no precisa la parte recurrente en el escrito de interposición ninguna otra actividad o finalidad concreta y determinada que justifique la ampliación del tratamiento de datos más allá del estimado conforme a derecho por la resolución de la AEPD y sentencia impugnada.

   En efecto, la argumentación desarrollada por la parte recurrente se refiere a la importancia de los datos controvertidos para la identificación del exmiembro en la eventualidad de una solicitud de readmisión, a fin de evitar en ese caso un nuevo bautismo y posibilitar la intervención de los ancianos de la congregación que intervinieron en su expulsión o desasociación, cuestiones estas que ya han sido examinadas, sin que proporcione la parte recurrente una justificación suficiente de otras finalidades o de otras actividades religiosas que requieran la ampliación del tratamiento de los datos personales, lo que impide a la Sala de instancia o a esta Sala realizar el juicio de proporcionalidad sobre la extensión que pretende la parte recurrente de la conservación de datos a los efectos de otras actividades o finalidades no detalladas ni identificadas.

5. - En los motivos de impugnación segundo y tercero del escrito de interposición la parte recurrente invoca la infracción de los artículos 9.2.d) y 17 del RGPD y 4, 7 y 16 de la L.O. 15/1999, reiterando argumentos que expuso en el motivo primero y que ya hemos examinado en apartados precedentes en esta sentencia.

   Sin perjuicio de lo que hemos dicho en el FD 6º de esta sentencia respecto de la aplicación en la resolución del presente caso del RGPD con valor interpretativo, cabe señalar que la parte recurrente invoca en los motivos segundo y tercero la infracción de los preceptos que hemos indicado del RGPD y L.O. 15/1999, si bien en sus alegaciones parte de los presupuestos de que los datos litigiosos son necesarios en relación con los fines para los que fueron recopilados (motivo segundo) y de que es admisible el tratamiento de los datos litigiosos de acuerdo con las normas internas de una confesión religiosa siempre que los datos no fueran excesivos (motivo tercero) y sobre estos extremos ya nos hemos pronunciado en esta sentencia, en la que hemos concluido que la conservación de los datos del nombre de la congregación, la fecha de nacimiento y el sexo de la persona desasociada supone una restricción del derecho fundamental a la protección de datos que no supera el juicio de proporcionalidad, por las razones que hemos expuesto al resolver el primer motivo de este recurso de casación.

   De conformidad con lo razonado, debemos desestimar el presente recurso de casación.

La respuesta a la cuestión que según el auto de admisión presenta interés casacional.

En respuesta a la cuestión de interés casacional planteada en el Auto de admisión, que hemos transcrito en los Antecedentes de Hecho, procede fijar como doctrina jurisprudencial que, conforme a lo razonado en esta sentencia, una Confesión religiosa tiene el derecho a la conservación de los datos personales de quien abandonó la confesión que sean necesarios para sus fines religiosos, ante una solicitud inicial de supresión total de los mismos, en los términos que resultan del artículo 9.2.d) del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, y los concretos datos a los que alcanza este derecho de conservación son los que, en cada caso, superen el juicio de proporcionalidad que exige el cumplimiento de los tres requisitos o condiciones de idoneidad, necesidad y proporcionalidad en sentido estricto.

Las costas.

Según dispone el artículo 93.4 de la Ley de la Jurisdicción, cada parte abonará las costas del recurso de casación causadas a su instancia y las comunes se abonarán por mitad, al no apreciar la Sala que ninguna de las partes ha actuado con mala fe o temeridad, manteniéndose el pronunciamiento de la sentencia impugnada respecto de las costas de instancia.