El artículo 82 apartado 1 del RGPD establece que «toda persona que haya sufrido daños y perjuicios materiales o inmateriales como consecuencia de una infracción del presente Reglamento tendrá derecho a recibir del responsable o el encargado del tratamiento una indemnización por los daños y perjuicios sufridos».
El TJUE en la sentencia del asunto C-300/21 resuelve cómo ha de interpretarse el referido artículo, que regula el «derecho a indemnización y responsabilidad».
Antecedentes de hecho
Österreichische Post es una compañía austriaca que, a partir de 2017, se dedicó a recoger información sobre las afinidades políticas de la población austriaca. Con la ayuda de un algoritmo, que atendía a criterios sociales y demográficos, la compañía definió «direcciones de grupos de destinatarios», que se vendieron a distintas organizaciones para permitirles realizar el envío de publicidad dirigida.
Los resultados del algoritmo infirieron una elevada afinidad del demandante con el Partido de la Libertad de Austria (FPÖ por sus siglas en alemán), encuadrado en el espectro de la extrema derecha y el conservadurismo nacionalista. El demandante, que no había consentido el tratamiento de sus datos personales, se sintió ofendido por el hecho de que se le hubiera atribuido afinidad con dicho partido, alegando un sentimiento de humillación. Por este motivo, demanda una indemnización de 1.000 € por daños no materiales, pues la supuesta afinidad que se le asignó al FPÖ era «insultante y vergonzosa, así como extremadamente dañina para su reputación», causándole «un gran disgusto, una pérdida de confianza y un sentimiento de estar expuesto públicamente».
El Tribunal Regional de lo Civil de Viena estimó parcialmente su demanda, ordenando la cesación en el tratamiento de los datos personales del demandante, pero desestimó la petición de indemnización. En apelación, el Tribunal Superior Regional de Viena confirmó la resolución de instancia, argumentando que «la infracción de las normas de protección de datos personales no ocasiona automáticamente daños y perjuicios inmateriales y sólo genera derecho a indemnización cuando tales daños y perjuicios alcancen un determinado umbral de gravedad». Para el tribunal , los sentimientos negativos que había invocado el demandante no alcanzaban dicho umbral.
Ambas partes recurrieron la sentencia de segunda instancia ante el Tribunal Supremo de Austria, que desestimó el recurso contra la obligación de cesación, planteando tres cuestiones prejudiciales al TJUE sobre la interpretación del artículo 82 del RGPD, a saber:
1ª.- ¿El reconocimiento del derecho a una indemnización por daños y perjuicios con arreglo al artículo 82 del RGPD […], además de una violación de las disposiciones del RGPD exige que el demandante haya sufrido daños y perjuicios, o la violación de las disposiciones del RGPD es suficiente por sí misma para el reconocimiento del derecho a una indemnización por daños y perjuicios?
2ª.- ¿Existen otros requisitos del Derecho de la Unión para la cuantificación de la indemnización por daños y perjuicios, además de los principios de efectividad y equivalencia?
3ª.- ¿Es compatible con el Derecho de la Unión la opinión de que un requisito para el reconocimiento de daños y perjuicios inmateriales es que exista una consecuencia o secuela de la vulneración de derechos que tenga al menos cierto peso y que vaya más allá de la contrariedad causada por la misma?
Respuesta del TJUE a las cuestiones prejudiciales
A la primera cuestión prejudicial, el TJUE responde que no puede considerarse que toda «infracción» del RGPD dé lugar, por sí sola, al derecho a una indemnización a favor del interesado.
Del tenor del artículo 82 apartado 1 del RGPD se desprende que la existencia de «daños y perjuicios» constituye uno de los requisitos del derecho a indemnización, al igual que la existencia de una infracción del RGPD y de una relación de causalidad entre dichos daños y perjuicios y esa infracción. De forma que han de concurrir los tres requisitos, que son acumulativos, para que se reconozca el derecho a una indemnización.
A la segunda cuestión prejudicial, el TJUE responde el RGPD no contiene ninguna disposición que tenga por objeto establecer las normas relativas a la cuantificación de la indemnización por daños y perjuicios; por tanto, en ausencia de normas comunitarias, corresponde al ordenamiento jurídico interno de cada Estado miembro establecer los criterios que permitan determinar la cuantía de la indemnización, respetando los principios de equivalencia y efectividad, si bien no se exige la imposición de indemnizaciones de carácter punitivo, o sea, de castigo a los responsables del daño.
A la tercera cuestión prejudicial, el TJUE dispone que el derecho a indemnización no puede estar supeditado a que los daños y perjuicios alcancen un determinado umbral de gravedad. El Considerando 146 del RGPD establece que «el concepto de daños y perjuicios debe interpretarse en sentido amplio a la luz de la jurisprudencia del Tribunal de Justicia». Pues bien, esta acepción amplia del concepto de «daños y perjuicios» se vería contradicha si una norma o práctica nacional supeditara la indemnización por daños y perjuicios al requisito de alcanzar cierto grado de gravedad.
