El Tribunal de Justicia de la Unión Europea se ha pronunciado manifestando que, el derecho a indemnización establecido por el Reglamento General de Protección de Datos (RGPD) está supeditado, de forma unívoca, a tres requisitos, que deben darse de forma acumulativa:

– una infracción del RGPD;

– unos daños y perjuicios materiales o inmateriales consecuencia de esa infracción; y

– una relación de causalidad entre los daños y perjuicios y la infracción.

Se solventa así por el Tribunal Europeo un caso procedente de Austria, en el que, desde 2017, Österreichische Post recabó información sobre las afinidades políticas de la población austriaca. Con ayuda de un algoritmo, definió «direcciones de grupos de destinatarios» según criterios sociales y demográficos. Los datos así obtenidos llevaron a Österreichische Post a concluir que un determinado ciudadano tenía una elevada afinidad con cierto partido político austriaco. Los datos tratados, sin embargo, no fueron transmitidos a terceros.

El ciudadano en cuestión no había consentido el tratamiento de sus datos personales y denunció haber sufrido una pérdida de confianza y un sentimiento de humillación por el hecho de que se le hubiera atribuido una especial afinidad con el partido en cuestión. Por esa razón reclamó ante los órganos jurisdiccionales austriacos una cuantía económica en concepto de indemnización por los daños y perjuicios inmateriales que afirmaba haber sufrido.

Además, con arreglo a lo expuesto en los considerandos del RGPD en los que el Tribunal fundamenta su fallo, concretamente, al derecho a indemnización, la infracción de la normativa no conlleva necesariamente daños y perjuicios, y debe existir una relación de causalidad entre la infracción en cuestión y los daños y perjuicios sufridos para fundamentar un derecho a indemnización.

De este modo, la reclamación de daños y perjuicios se diferencia de otros recursos previstos por el RGPD, en particular, de aquellos que permiten imponer multas administrativas, para los que no es necesario demostrar la existencia de daños y perjuicios individuales.

El derecho a indemnización no se limita a daños y perjuicios inmateriales que alcancen un determinado umbral de gravedad. De hecho, el RGPD no establece esa exigencia y semejante restricción sería contraria a la acepción amplia del concepto de daños y perjuicios utilizada por el legislador de la Unión y podría menoscabar la coherencia del régimen establecido por el Reglamento. De hecho, la graduación de la que dependería la posibilidad de obtener dicha indemnización, podría fluctuar en función de la valoración de los jueces que conocieran del asunto.

Respecto a la cuantificación de indemnizaciones, el RGPD no contiene indicaciones, por lo que corresponde al ordenamiento jurídico interno de cada Estado miembro establecer los tipos de acciones que permitan garantizar los derechos que confiere el RGPD a la hora de impartir justicia y, en particular, los criterios que permitan determinar dicha cuantía, respetando en cualquier caso los principios de equivalencia y de efectividad.

Se refuerza, por último, la función compensatoria del derecho a indemnización previsto en el RGPD, recordándose que, dicho instrumento, tiene por objeto la garantía de una indemnización total y efectiva por todos los daños y perjuicios sufridos.

STRIBUNAL DE JUSTICIA (UE) (TERCERA) DE 4 MAYO DE 2023. EDJ 2023/553405

Fuente: ADN Jurídico