La sentencia del pasado jueves en el asunto Österreichische Post AG, C-300/2021, EU:C:2023:370, constituye la primera ocasión en la que el TJUE aborda específicamente la interpretación del artículo 82 RGPD. Como es conocido, se trata de una disposición esencial con respecto a la aplicación privada del RGPD, al establecer el derecho de “toda persona que haya sufrido daños y perjuicios materiales o inmateriales como consecuencia de una infracción del… Reglamento” a recibir del responsable (o del encargado) del tratamiento “una indemnización por los daños y perjuicios sufridos” (art. 82.1). En principio, será solo la primera sentencia de varias, habida cuenta de la expansión de la tutela privada del RGPD y del cúmulo de referencias prejudiciales relativas a la interpretación del artículo 82 que se encuentran ya pendientes ante el Tribunal de Justicia, entre las que cabe reseñar las de los asuntos C-590/22, PS; C-741/21, juris; C-687/21, Saturn Electro (cuestionando incluso la validez del artículo 82 RGPD por su indeterminación en cuanto a las consecuencias en materia de indemnización por daños y perjuicios inmateriales); y C-667/21, Krankenversicherung Nordrhein. La sentencia Österreichische Post AG constata los tres requisitos acumulativos que son presupuesto del derecho a ser indemnizado con base en el artículo 82 RGPD (I, infra); establece que no cabe supeditar tal derecho a que los daños y perjuicios hayan alcanzado un cierto umbral o grado de gravedad mínimo (II, infra); y establece que para determinar el importe de la indemnización en estos casos, al ser la cuantificación una cuestión no regulada por el RGPD, “los jueces nacionales deben aplicar las normas internas de cada Estado miembro relativas al alcance de la reparación pecuniaria, siempre que se respeten los principios de equivalencia y de efectividad” (III, infra). En un contexto en el que no resulta extraño que este tipo de reclamaciones civiles presenten -a diferencia del litigio principal en el asunto Österreichische Post AG, C-300/2021- carácter transfronterizo, este último aspecto se presta también a ciertas reflexiones acerca de su interacción con las normas sobre competencia judicial internacional y determinación de la ley aplicable (IV, infra).
I. Requisitos del derecho a ser indemnizado
El Tribunal de Justicia rechaza que el derecho del interesado (en el sentido del art. 4.1 RGPD) a ser indemnizado previsto, en el artículo 82.1 RGPD, nazca como consecuencia de la mera infracción de las disposiciones del RGPD, de modo que tal infracción no da lugar por sí sola al derecho en cuestión. Con base fundamentalmente en el tenor literal de esa disposición y su contexto, incluyendo los considerandos 75, 85 y 146 del RGPD, el Tribunal de Justicia establece que el derecho a indemnización del artículo 82.1 RGPD se halla subordinado a la concurrencia de tres requisitos cumulativos. Esos tres requisitos son la existencia de «daños y perjuicios», la existencia de una infracción del RGPD y la relación de causalidad entre dichos daños y perjuicios y esa infracción (apdo. 32 sentencia Österreichische Post AG, poniendo de relieve que se trata de tres requisitos acumulativos).
Esta constatación se considera coherente con la existencia junto a la tutela privada del derecho a la protección de datos, en el que se inserta el derecho del interesado a ser indemnizado establecido en el artículo 82 RGPD, de la tutela jurídico-pública. Ambas resultan complementarias. Como es conocido, la tutela jurídico-privada tiene su reflejo especialmente en la previsión en el artículo 79 RGPD, relativo al derecho a la tutela judicial efectiva contra un responsable o encargado del tratamiento. Esa disposición precisa que el mencionado derecho a la tutela judicial opera “(s)in perjuicio de los recursos administrativos o extrajudiciales disponibles, incluido el derecho a presentar una reclamación ante una autoridad de control en virtud del artículo 77”. Además, el artículo 78 RGPD recoge el derecho de toda persona a la tutela judicial efectiva contra una decisión jurídicamente vinculante de una autoridad de control que le concierna. Simplificando, la aplicación privada es la que resulta de lo dispuesto en el artículo 79 RGPD -siendo paradigmáticas las acciones judiciales tendentes a la reparación de los daños y perjuicios con base en su art. 82-, mientras que los artículos 77 y 78 RGPD (junto con la normativa reguladora de las funciones y poderes de las autoridades de control) contemplan la aplicación pública (aunque en el caso del art. 77 tenga lugar como consecuencia de la reclamación de un interesado). Como ya había puesto de relieve el Tribunal de Justicia, se trata de dos vías de tutela que “pueden ejercerse de manera concurrente e independiente”, sin que entre ellas exista relación jerárquica o excluyente alguna (apdo. 35 de la sentencia de 12 de enero de 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C-132/21, EU:C:2023:2).
La nueva sentencia constata que, a diferencia de lo que sucede con el derecho a indemnización del artículo 82 RGPD, los recursos ante o contra una autoridad de control no se subordinan a que el interesado haya sufrido daños y perjuicios, siendo suficiente en el caso de los artículos 77 y 78 del RGPD la mera infracción del RGPD (apdo. 39 de la sentencia Österreichische Post AG). La contraposición entre los presupuestos y fundamentos de la aplicación pública y privada del RGPD, como vías complementarias para su tutela, se refuerza con la referencia a que las multas administrativas y otras sanciones previstas en los artículos 83 y 84 RGPD -paradigma de la aplicación pública- tienen esencialmente una finalidad punitiva y no están supeditados a la existencia de daños y perjuicios individuales, a diferencia de lo que sucede con la tutela privada cuando el interesado reclama su derecho a ser indemnizado por parte del responsable o encargado con base en los artículo 79 y 82 RGPD (apdo. 40 de la sentencia Österreichische Post AG).
II. Ausencia de un cierto umbral o grado de gravedad mínimo
Más allá de la necesaria existencia de esos tres presupuestos cumulativos del derecho a indemnización del artículo 82 RGPD, la nueva sentencia resulta de interés de cara a la concreción del requisito relativo a la existencia de “daños y perjuicios materiales o inmateriales” sufridos por el interesado. El Tribunal de Justicia establece que, ante la ausencia de cualquier remisión al Derecho de los Estados miembros en relación con el sentido y el alcance del concepto de «daños y perjuicios materiales e inmateriales» en el artículo 82, se impone que deba ser objeto de una definición autónoma y uniforme, propia del Derecho de la Unión (apdo. 44 de la sentencia). Del tenor literal y el contexto del mencionado artículo 82, así como de los fines del RGPD -especialmente la garantía de un nivel uniforme y elevado de protección de las personas físicas en este ámbito-, el Tribunal de Justicia deriva que no cabe supeditar ese derecho a indemnización a que los daños y perjuicios sufridos por el interesado hayan alcanzado cierto grado de gravedad, pese a que así lo prevea una legislación nacional con respecto a los daños inmateriales.
La fijación y graduación de un umbral de ese tipo podría menoscabar la coherencia del régimen establecido por el RGPD (apdo. 49 de la sentencia). Ahora bien, la imposibilidad de establecer la exigencia de un umbral mínimo se vincula por parte del Tribunal a la exigencia de que sea el interesado quien demuestre en el caso concreto que las consecuencias negativas que haya tenido como consecuencia de la infracción de las normas del RGPD “constituyen daños y perjuicios inmateriales, en el sentido del artículo 82” (apdo. 50 de la sentencia), aspecto este último en el que cabe prever que serán necesarias ulteriores precisiones por parte del Tribunal de Justicia.
III. Determinación del importe de la indemnización
A diferencia de lo que sucede con el concepto de “daños y perjuicios materiales o inmateriales” en el artículo 82 RGPD, el Tribunal constata que este instrumento carece de disposiciones relativas a la cuantificación de la indemnización a la que tiene derecho el interesado cuando una infracción del RGPD le haya causado daños y perjuicios. Como consecuencia de lo anterior, la nueva sentencia establece que “corresponde al ordenamiento jurídico interno de cada Estado miembro establecer los tipos de acciones que permitan garantizar los derechos que confiere el citado artículo 82 a los justiciables y, en particular, los criterios que permitan determinar la cuantía de la indemnización debida en este contexto, siempre que se respeten los principios de equivalencia y de efectividad” (apdo. 54).
Destaca, además, en la sentencia la relevancia atribuida a estos efectos al principio de efectividad, que requiere comprobar que los criterios previstos en el Derecho del Estado miembro correspondiente para la determinación judicial de los daños y perjuicios en el marco del derecho a ser indemnizado del artículo 82 RGPD no hacen imposible en la práctica o excesivamente difícil el ejercicio de los derechos conferidos por dicho Reglamento. En concreto, la sentencia pone de relieve que la función compensatoria del derecho a indemnización previsto en el artículo 82 del RGPD requiere que, como contempla su considerando 146, deba procederse a una indemnización total y efectiva por los daños y perjuicios sufridos, lo que se satisface con la compensación íntegra de los concretos daños y perjuicios sufridos como consecuencia de la infracción del RGPD, pero sin que sea necesario imponer indemnizaciones de carácter punitivo (apdos. 57 y 58 de la sentencia con remisión a las conclusiones del Abogado General).
IV. Más allá del asunto Österreichische Post AG: consideraciones en materia de competencia judicial internacional y ley aplicable
Con respecto a la última de las cuestiones abordadas, relativa a la determinación del importe de la indemnización por daños y perjuicios con base en el artículo 82 RGPD, el criterio fundamental establecido en la sentencia Österreichische Post AG aparece reflejado en su apartado 58 y en el punto 3 del fallo, que se limita a establecer que a ese respecto “los jueces nacionales deben aplicar las normas internas de cada Estado miembro relativas al alcance de la reparación pecuniaria, siempre que se respeten los principios de equivalencia y de efectividad del Derecho de la Unión”.
Aunque los condicionantes derivados de la aplicación de esos principios, especialmente el de efectividad, operen como un factor adicional de uniformización, resulta evidente que es un ámbito en el que subsisten diferencias significativas entre los Estados miembros ante la ausencia de normas comunes en el Derecho de la Unión. A diferencia del supuesto de hecho en el litigio principal en el asunto Österreichische Post AG, no resulta extraño que la tutela privada tendente al resarcimiento de los “daños y perjuicios materiales o inmateriales” con base en el artículo 82 RGPD se plantee en situaciones transfronterizas, incluso en situaciones en las que puede ser relevante la singular trascendencia de las acciones de representación del artículo 80.2 RGPD como mecanismo para asegurar la eficaz protección de los interesados.
Desde la perspectiva transfronteriza resulta de interés que, conforme a lo dispuesto en el artículo 79.2 RGPD -y la eventual aplicación complementaria del Reglamento 1215/2012-, resulta habitual que en las situaciones internacionales los interesados. al ejercitar las acciones contra un responsable o encargado del tratamiento tendentes a reclamar los daños y perjuicios previstos en el artículo 82 RGPD, tengan la posibilidad de optar entre los tribunales de varios Estados miembros (por ejemplo, entre los de la residencia habitual del perjudicado y los de cualquier Estado miembro en el que el responsable o encargado tenga un establecimiento).
Se trata de una circunstancia que debe vincularse con la diversidad normativa que subsiste en lo relativo a la fijación de la cuantía de los daños (y otras circunstancias como el plazo de prescripción de las acciones) entre los Estados miembros. La opción por uno u otro foro condicionará la normativa procesal aplicable (como refleja el propio art. 82.6 RGPD), así como eventualmente las normas de conflicto que determinan la legislación de qué concreto Estado miembro resulta aplicable para complementar lo dispuesto en el artículo 82 RGPD en materia de responsabilidad civil extracontractual respecto de las cuestiones que no regula, incluida la cuantificación de los daños, habida cuenta de la inexistencia de reglas comunes conforme a lo previsto en el art. 1.2.g) (y 30.2) del Reglamento (CE) n° 864/2007 relativo a la ley aplicable a las obligaciones extracontractuales ( Roma II).
