El riesgo cero no existe en ciberseguridad: cualquiera puede convertirse en víctima de un ciberataque. Para comprobarlo, basta con revisar el listado de víctimas de ciberataques en España que dejo enlazado aquí.
A raíz de un ciberataque con filtración o acceso no autorizado de datos personales, existe la posibilidad de que los ciberatacantes vendan o difundan la información obtenida de forma ilícita, generando daños reales a los afectados. Aunque no siempre ocurre, el riesgo está presente y, por tanto, también el temor a que suceda.
En tales casos, cabe preguntar: ¿Existe la posibilidad de reclamar al responsable del tratamiento una indemnización por el daño moral que supone un eventual y futuro uso indebido de nuestros datos personales? Es decir, ¿puede el temor a un futuro acceso ilícito a nuestros datos personales constituir un daño o perjuicio inmaterial indemnizable?
El TJUE nos da la respuesta en la sentencia de 14 de diciembre de 2023 (asunto C‑340/21).
El caso
El 15 de julio de 2019, los medios de comunicación búlgaros informaron de que se había producido un ciberataque al sistema informático de la NAP, una autoridad dependiente del Ministro de Hacienda, y de que, como consecuencia de este, se habían publicado en Internet datos personales almacenados en dicho sistema.
Más de 6 millones de personas (búlgaros y extranjeros) se vieron afectados. Cientos de ellos ejercieron acciones contra la NAP, reclamando indemnizaciones por daños y perjuicios inmateriales derivados de la filtración.
Una de las perjudicadas demandó a la NAP ante el Administrativen sad Sofia–grad (Tribunal de lo Contencioso-Administrativo de Sofía), solicitando una indemnización de 1.000 levas (unos 510 euros), invocando el artículo 82, apartado 1, del RGPD que dice: «Toda persona que haya sufrido daños y perjuicios materiales o inmateriales como consecuencia de una infracción del presente Reglamento tendrá derecho a recibir del responsable o el encargado del tratamiento una indemnización por los daños y perjuicios sufridos». Alegó sufrir un daño inmaterial consistente en el temor fundado a que sus datos personales –publicados sin consentimiento– fueran utilizados indebidamente en el futuro.
El tribunal búlgaro planteó varias cuestiones prejudiciales al TJUE, entre ellas la siguiente:
¿El artículo 82.1 del RGPD debe interpretarse en el sentido de que el temor que experimenta un interesado a un potencial uso indebido de sus datos por terceros a raíz de una infracción del RGPD puede constituir, por sí solo, un «daño o perjuicio inmaterial» a los efectos de dicha disposición?
Resolución del TJUE
El Tribunal resolvió lo siguiente:
- No basta con probar una infracción del RGPD (por ejemplo, no adoptar medidas de seguridad adecuadas): debe existir daño efectivamente sufrido y una relación de causalidad entre la infracción y ese daño.
- La mera infracción o la mera existencia de una brecha de seguridad no genera automáticamente indemnización. El juez nacional no puede presumir que las medidas de seguridad eran inadecuadas solo por el hecho de que se haya producido la brecha. La carga de la prueba de que las medidas eran apropiadas recae en el responsable del tratamiento. Los jueces han de examinar el carácter apropiado de las medidas en cada caso concreto.
- Respecto al temor a un uso indebido futuro, concluye que sí puede constituir, por sí solo, un daño o perjuicio inmaterial indemnizable, pero no de forma automática. El juez nacional debe verificar que ese temor sea fundado, atendiendo a las circunstancias concretas del caso y del afectado (por ejemplo, la naturaleza y sensibilidad de los datos filtrados, si se han publicado íntegramente y de forma accesible, si hay antecedentes de explotación de datos similares en otros casos, etc.).
Conclusión
El TJUE no convierte cualquier preocupación en indemnizable, pero sí reconoce que el miedo fundado y razonable tras una filtración grave puede generar derecho a compensación, sin esperar a que se materialice un perjuicio económico o físico concreto.
Probar que el temor es fundado no es sencillo, pero se facilita si los datos filtrados son especialmente sensibles, hay evidencia de que terceros ya han explotado datos similares de la misma brecha o se acreditan síntomas de ansiedad, estrés o alteración emocional demostrables.
