La Sala Tercera del Tribunal de Justicia de la Unión Europea (TJUE) ha declarado que no basta la mera infracción del Reglamento de Protección de Datos (RPD) para que se conceda un derecho a indemnización. En la sentencia, una empresa había utilizado los datos personales de su población para unas organizaciones publicitarias. Una de esas personas no estaba conforme y decidió reclamar alegando que dicha acción le había generado unos daños y perjuicios.

La mercantil, de origen austriaco, había recogido información sobre las afinidades políticas de la población austriaca ayudándose de un algoritmo que tenía en cuenta los criterios sociales y demográficos. Definió la investigación como “direcciones de grupos de destinatarios” y lo envió a distintas organizaciones para que pudiesen realizar él envió de publicidad especifica dirigida a estas personas.

Aunque estos datos no se transmitieron a terceros, uno de los afectados decidió interponer recurso, pues no había consentido el tratamiento de sus datos personales, y se sintió ofendido por habérsele atribuido una afinidad con un determinado partido político y reclama a dicha sociedad el pago de una indemnización por los daños y perjuicios inmateriales que afirma haber sufrido.

El órgano jurisdiccional remitente plantea al TJUE si es exigible que el demandante haya sufrido daños y perjuicios, o si la violación de las disposiciones del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de datos de las personas físicas, es suficiente por sí misma para el reconocimiento del derecho a una indemnización por daños y perjuicios.

No basta alegar mera infracción

El Tribunal responde que, con arreglo al art. 82.1 del RGPD, no basta la mera infracción de las disposiciones de dicho Reglamento para reconocer un derecho a indemnización.

La sala cita dicho artículo estableciendo: “toda persona que haya sufrido daños y perjuicios materiales o inmateriales como consecuencia de una infracción del presente Reglamento tendrá derecho a recibir del responsable o el encargado del tratamiento una indemnización por los daños y perjuicios sufridos”.  Indica que para que nazca el derecho de indemnización son necesarios tres requisitos acumulativos:

• Tratamiento de datos personales en infracción de las disposiciones del RGPD.
• Daños y perjuicios materiales sufridos por el interesado.
• Relación de causalidad entre dichos daños y perjuicios y la infracción.

Por lo tanto, para el Tribunal dado que la existencia de “daños y perjuicios” constituye uno de los requisitos del derecho a indemnización previsto en dicha disposición no toda “infracción” de las disposiciones del RGPD da lugar, por sí sola, al derecho a una indemnización a favor del interesado, tal como se define en el art. 4.1 del Reglamento, ya que tal interpretación sería contraria al tenor del art. 82.1.

Esta interpretación se ve corroborada por una comparación con otras disposiciones que figuran también en dicho Reglamento, que conlleva necesariamente la existencia de daños y perjuicios y su relación causal con la infracción para ser reconocido un derecho a indemnización.

Sin embargo, afirma el TJUE que no puede supeditarse la indemnización al requisito de que los daños y perjuicios sufridos por el interesado hayan alcanzado cierto grado de gravedad.

Supeditar la indemnización por daños y perjuicios inmateriales a un determinado umbral de gravedad podría menoscabar la coherencia del régimen establecido por el RGPD, puesto que la graduación de tal umbral, del que dependería la posibilidad de obtener dicha indemnización, podría fluctuar en función de la valoración de los jueces que conocieran del asunto.

No obstante, ello no implica que el afectado por una infracción del Reglamento que haya tenido consecuencias negativas para él no tenga que demostrar que estas consecuencias constituyen daños y perjuicios inmateriales.

Por último, el tribunal menciona la cuantía de la indemnización. Si esta se concediese, la cantidad la tienen que establecer los jueces nacionales de los Estados Miembros acorde a sus normas internas respetando los principios de equivalencia y efectividad del derecho de la Unión Europea.