BOLETÍN OFICIAL DEL ESTADO
Lunes 22 de mayo de 2023

Sec. TC. Pág. 70636

almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el
Estado o un particular». A su vez, «ese derecho a consentir el conocimiento y el
tratamiento, informático o no, de los datos personales, requiere como complementos
indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos
datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a
esa posesión y usos», «exigiendo del titular del fichero que le informe de qué datos posee
sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han
tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que
los rectifique o los cancele» (STC 292/2000, FJ 7). Además, el art. 18.4 CE no solo
«consagra un derecho fundamental autónomo a controlar el flujo de informaciones que
conciernen a cada persona» (SSTC 11/1998, de 13 de enero, FJ 5; 96/2012, de 7 de
mayo, FJ 6, y 151/2014, de 25 de septiembre, FJ 7), sino también, como se desprende de
su último inciso («para garantizar […] el pleno ejercicio de sus derechos»), un derecho
instrumental ordenado a la protección de otros derechos fundamentales, esto es, «un
instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los
restantes derechos de los ciudadanos» (STC 292/2000, FJ 5).
También existen situaciones que permiten intromisiones legítimas en el derecho si
están previstas en la ley, responden a un fin de interés general y los requisitos y el
alcance de la restricción están suficientemente precisados en la ley y respetan el
principio de proporcionalidad (STC 292/2000, FJ 15).
La reserva de ley en este caso se traduce en una doble exigencia: por un lado, la
necesaria intervención de la ley para habilitar la injerencia; y, por otro, esa norma legal
«ha de reunir todas aquellas características indispensables como garantía de la
seguridad jurídica», esto es, «ha de expresar todos y cada uno de los presupuestos y
condiciones de la intervención» (STC 49/1999, de 5 de abril, FJ 4). Esta dimensión
cualitativa de la reserva de ley se concreta en las exigencias de previsibilidad y certeza
de las medidas restrictivas en el ámbito de los derechos fundamentales. También se ha
precisado el tipo de vulneración que acarrea la falta de certeza y previsibilidad en los
propios límites: «no solo lesionaría el principio de seguridad jurídica (art. 9.3 CE),
concebida como certeza sobre el ordenamiento aplicable y expectativa razonablemente
fundada de la persona sobre cuál ha de ser la actuación del poder aplicando el Derecho
(STC 104/2000, FJ 7, por todas), sino que al mismo tiempo dicha ley estaría lesionando
el contenido esencial del derecho fundamental así restringido, dado que la forma en que
se han fijado sus límites lo hacen irreconocible e imposibilitan, en la práctica, su
ejercicio» (STC 292/2000, FJ 15).
En la más reciente STC 36/2019, de 25 de marzo, FJ 6, se añadía, además, que el
legislador debe establecer garantías adecuadas de tipo técnico, organizativo y
procedimental, que prevengan los riesgos de distinta probabilidad y gravedad y mitiguen
sus efectos, pues solo así se puede procurar el respeto del contenido esencial del propio
derecho fundamental. La exigencia de «garantías adecuadas» se fundamenta en el
respeto del contenido esencial del derecho fundamental.
En la misma línea se manifiesta el Tribunal Europeo de Derechos Humanos. La
intromisión deberá estar prevista en la ley, perseguir un fin legítimo y ser necesaria en
una sociedad democrática. Así, la medida impugnada debe estar prevista en una norma
suficientemente accesible y previsible, que permita al individuo regular su conducta. La
norma debe, pues, ofrecer una protección jurídica adecuada contra la arbitrariedad y, en
consecuencia, indicar con suficiente claridad el alcance de la discreción conferida a las
autoridades competentes y la forma de su ejercicio (por todas, STEDH de 4 de diciembre
de 2008, Gran Sala, asunto S. y Marper c. Reino Unido).
Por último, respecto de las garantías en materia de protección de datos, cabe
también traer a colación la jurisprudencia del Tribunal de Justicia de la Unión Europea.
En la sentencia de 8 de abril de 2014, asuntos acumulados C-293/12 y C-594/12, Digital
Rights Ireland Ltd., el Tribunal de Justicia señaló que «la normativa de la Unión de que
se trate debe establecer reglas claras y precisas que regulen el alcance y la aplicación
de la medida en cuestión y establezcan unas exigencias mínimas de modo que las

cve: BOE-A-2023-12075
Verificable en https://www.boe.es

Núm. 121