Como continuación
de la entrada anterior, cabe hacer referencia a las aportaciones de la
siguiente resolución del Tribunal de Justicia relativa a la interpretación del
artículo 82 RGPD. En concreto, se trata de la sentencia de ayer en el asunto
Krankenversicherung Nordrhein, C-667/21, EU:C:2023:1022. Más allá de insistir
en el carácter meramente compensatorio de ese derecho a indemnización, la nueva
sentencia establece que no se trata de un régimen de responsabilidad objetiva,
sino por culpa, si bien la carga de la prueba respecto de ese elemento recae sobre
el responsable (o encargado) del tratamiento que pretenda quedar exento de
responsabilidad. Además, la nueva sentencia incluye ciertas precisiones en
relación con las circunstancias relevantes para la fijación del importe de la
indemnización, que condicionan el criterio general de que, ante la ausencia de
previsiones al respecto en el RGPD, en lo relativo a la cuantificación de la
indemnización deben aplicarse las normas internas de cada Estado miembro.
No resulta una novedad la constatación de que el artículo 82 RGPD desempeña una función meramente compensatoria, que reclama que la indemnización pecuniaria a que dé lugar se considere «total y efectiva» (en los términos del cdo. 147 RGPD) si permite compensar íntegramente los daños y perjuicios sufridos [apdo. 84 de la nueva sentencia con referencia a la STJUE Österreichische Post (Daños y perjuicios inmateriales relacionados con el tratamiento de datos personales)]. La ausencia de función punitiva o compensatoria del derecho a indemnización -a diferencia de los arts. 83 y 84 relativos a la imposición de multas y otras sanciones en el marco de la tutela jurídico-pública del RGPD- determina que su importe no deba depender de la gravedad de la infracción del RGPD que haya causado los daños y perjuicios de que se trate, incluso cuando sean inmateriales, pues la cuantía de la indemnización no puede exceder de la compensación completa de ese perjuicio (apdos. 85 y 86 de la nueva sentencia).
La
reiteración del criterio según el cual el derecho a indemnización se subordina
a tres requisitos cumulativos (infracción del RGPD, existencia de daños o
perjuicios y relación de causalidad entre éstos y aquella) (apdo. 82 -con referencia
a la mencionada sentencia Österreichische Post- y 90 de la nueva
sentencia) no impide al Tribunal establecer que la responsabilidad con base en
el artículo 82 RGPD del responsable del tratamiento está supeditada a la
existencia de culpa. Ahora bien, para garantizar un equilibrio entre los
intereses de los responsables del tratamiento de datos personales y de los afectados
por el tratamiento, se considera imprescindible que la responsabilidad por
culpa vaya acompañada de una inversión de la carga de la prueba. La culpa del
responsable se presume, a menos que pruebe que no es en modo alguno responsable
del hecho que haya causado los daños y perjuicios (apdo. 103). Los afectados
tienen la carga de la prueba de la existencia de la infracción del RGPD y de
los daños y perjuicios materiales o inmateriales sufridos, pero es el responsable
(o encargado) del tratamiento al que se imputa la responsabilidad quien debe
probar la ausencia de culpa. Este criterio se corresponde con la posición
adoptada por el Tribunal en su sentencia de 14 de diciembre de 2023, Natsionalna
agentsia za prihodite, C-340/21, EU:C:2023:986 -a la que se remite la nueva
sentencia en el apdo. 99-, en el sentido de que también a los efectos del
artículo 82 RGPD, la carga de la prueba de que los datos personales se tratan
de modo que se garantiza una seguridad adecuada recae sobre el responsable del
tratamiento en cuestión (apdos. 52 y 57).
Con
respecto a la controvertida cuestión de la cuantificación de los daños. En
primer lugar, la nueva sentencia reitera que como el RGPD carece de
disposiciones al respecto, “los jueces nacionales deberán aplicar, con este
fin, en virtud del principio de autonomía procesal, las normas internas de cada
Estado miembro relativas al alcance de la reparación pecuniaria, siempre que se
respeten los principios de equivalencia y de efectividad del Derecho de la
Unión” (apdo. 83), e insiste en que “los jueces nacionales deben aplicar las
normas internas de cada Estado miembro relativas al alcance de la reparación
pecuniaria” (apdo. 101). En segundo lugar, del carácter meramente compensatorio
del derecho a indemnización del artículo 82 RGPD, extrae también la conclusión
de que tampoco el grado de culpa del responsable puede tenerse en cuenta al
fijar el importe de la indemnización por daños y perjuicios.
En relación con esas afirmaciones del Tribunal en los apdos. 83 y 101 de la
sentencia, cabe reiterar que en las situaciones transfronterizas -a diferencia
de la meramente interna a la que va referido el litigio principal en este
asunto- surgirán elementos adicionales de complejidad al fijar la cuantificación
del daño. Cabe recordar que desde la perspectiva transfronteriza resulta de
interés que, conforme a lo dispuesto en el artículo 79.2 RGPD -y la eventual
aplicación complementaria del Reglamento 1215/2012-, es habitual que en las
situaciones internacionales los interesados, al ejercitar las acciones contra
un responsable o encargado del tratamiento tendentes a reclamar los daños y
perjuicios previstos en el artículo 82 RGPD, tengan la posibilidad de optar
entre los tribunales de varios Estados miembros (por ejemplo, entre los de la
residencia habitual del perjudicado y los de cualquier Estado miembro en el que
el responsable o encargado tenga un establecimiento). La opción por uno u otro
foro condicionará la normativa procesal aplicable (como refleja el propio art.
82.6 RGPD), así como eventualmente las normas de conflicto que determinan la
legislación de qué concreto Estado miembro resulta aplicable para complementar
lo dispuesto en el artículo 82 RGPD en materia de responsabilidad civil
extracontractual respecto de las cuestiones que no regula, incluida los
aspectos sustantivos de la cuantificación de los daños, habida cuenta de la
inexistencia de reglas comunes conforme a lo previsto en el art. 1.2.g) (y
30.2) del Reglamento (CE) n° 864/2007 relativo a la ley aplicable a las obligaciones
extracontractuales ( Roma II).
