A la luz de las sentencias pronunciadas
en los últimos meses por el Tribunal de Justicia acerca de la interpretación
del derecho a indemnización establecido en el artículo 82 RGPD (objeto ya de
reseñas aquí, aquí y aquí), la pronunciada el pasado
jueves en el asunto MediaMarktSaturn, C-687/21, EU:C:2024:72 (no
disponible todavía en español ni inglés), constituye una aportación menor. El litigio
principal deriva de la demanda interpuesta por el comprador de un
electrodoméstico que en el proceso de recogida del producto fue víctima de una
confusión por parte de trabajadores del vendedor quienes por error entregaron
el electrodoméstico y ciertos documentos contractuales con datos personales del
comprador a un tercero. Pese a que unos treinta minutos después el electrodoméstico
y los documentos fueron devueltos al demandante, éste reclama daños y
perjuicios inmateriales también con base en el artículo 82 RGPD. De las siete
cuestiones prejudiciales planteadas, la potencialmente más relevante, que
cuestionaba la validez misma del artículo 82 RGPD, es declarada inadmisible por
el Tribunal, mientras que con respecto al resto, el Tribunal constata que básicamente
plantean dudas que ya había resuelto en sus sentencias previas.
El
órgano remitente planteaba si la indeterminación del artículo 82 del RGPD “en
cuanto a las consecuencias que deben disponerse en materia de indemnización por
daños y perjuicios inmateriales” resulta determinante de la invalidez de la norma.
Ahora bien, el Tribunal de Justicia pone de relieve que, conforme al artículo 94.c)
del Reglamento de Procedimiento del Tribunal de Justicia, el contenido de la
petición de decisión prejudicial debe incluir la indicación de las razones que
han llevado al órgano remitente a preguntarse sobre la validez de la disposición
controvertida, resultando los motivos de invalidez enunciados un elemento
determinante del examen de la validez por el Tribunal de Justicia y de la presentación de observaciones por las
partes interesadas. Al entender que el órgano jurisdiccional remitente no había
expuesto ningún elemento concreto que permita examinar la validez del artículo
82 del RGPD, el Tribunal de Justicia se limita a declarar la inadmisibilidad de
esa cuestión.
Las
cuestiones prejudiciales relativas a si para apreciar una infracción del RGPD,
en particular de sus artículos 5.1.f), 24 y 32 que requieren que el responsable
adopte medidas técnicas y organizativas apropiadas, puede ser suficiente que
los datos personales del afectado se transmitan por descuido a un tercero en las
circunstancias reseñadas y si se produce un tratamiento ulterior ilegal en tal
caso, son abordadas por el Tribunal de Justicia incorporando básicamente su
argumentación en la sentencia de 14 de diciembre de 2023, Natsionalna
agentsia za prihodite, C-340/21, EU:C:2023:986. Cabe recordar que en esa
sentencia se destacó que, en el marco de una acción de indemnización de daños y
perjuicios basada en el artículo 82 RGPD, recae sobre al responsable del
tratamiento la carga de probar el carácter apropiado de las medidas adoptadas a
los efectos de los artículos 24 y 32, lo que debe evaluarse en cada caso
concreto, teniendo en cuenta los diferentes criterios establecidos en los
mencionados artículos y las necesidades de protección de datos inherentes al
tratamiento de que se trate y a los riesgos que conlleva (apdo. 30). En la
línea de lo ya establecido entonces, el Tribunal concluye que el que empleados
del responsable del tratamiento hayan entregado por error a un tercero no
autorizado un documento que contenía datos personales del afectado no basta,
por sí solo, para considerar que las medidas técnicas y organizativas aplicadas
por el responsable no eran apropiadas en el sentido de los artículos 24 y 32 (apdo.
45 de la nueva sentencia). Resultará preciso al valorar esa circunstancia tomar
en consideración todas las pruebas aportadas por el responsable del tratamiento
para demostrar la adecuación de las medidas técnicas y organizativas adoptadas.
La
cuestión prejudicial acerca de si la indemnización por los daños y perjuicios
inmateriales supone “la imposición de una sanción como si se tratase de una
penalización contractual”, lleva al Tribunal a reiterar su jurisprudencia
reciente acerca de que el artículo 82 RGPD desempeña una función meramente
compensatoria, de modo que la indemnización pecuniaria a que da lugar deba
considere «total y efectiva» si permite compensar íntegramente los daños y
perjuicios sufridos. La ausencia de función punitiva o compensatoria del
derecho a indemnización -a diferencia de los arts. 83 y 84 relativos a la
imposición de multas y otras sanciones en el marco de la tutela
jurídico-pública del RGPD- determina que su importe no deba depender de la
gravedad de la infracción del RGPD que haya causado los daños y perjuicios de
que se trate, incluso cuando sean inmateriales, pues la cuantía de la
indemnización no puede exceder de la compensación completa de ese perjuicio (apdos.
46 a 50 de la nueva sentencia con referencias a las sentencias de 4 de mayo de
2023, Österreichische Post (Préjudice moral lié au traitement de données
personnelles), C‑300/21, C:2023:370, y de 21 de diciembre de 2023, Krankenversicherung Nordrhein, C‑667/21,
C:2023:1022). También la cuestión acerca de si el artículo 82 exige que se
tenga en cuenta el grado de gravedad de la infracción del RGPD a efectos de determinar
la indemnización por daños y perjuicios había sido ya objeto de respuesta negativa
en la mencionada sentencia Krankenversicherung Nordrhein (a la que se
remiten los apdos. 52 a 54 de la sentencia MediaMarktSaturn).
Por
su parte, la segunda cuestión prejudicial, acerca de si para que exista un
derecho a indemnización conforme al artículo 82 del RGPD, además de la
infracción de ese instrumento derivada de la revelación indebida a un tercero
de los datos, resulta preciso que se constaten unos daños y perjuicios
inmateriales, también había sido objeto de atención en los recientes precedentes
del Tribunal de Justicia relativos a esa norma. En este sentido la sentencia MediaMarktSaturn reitera el rechazo a considerar
que el derecho del interesado a ser indemnizado nazca como consecuencia de la
mera infracción de las disposiciones del RGPD, de modo que tal infracción no da
lugar por sí sola al derecho en cuestión, pues tal derecho se halla subordinado
a la concurrencia de tres requisitos cumulativos: existencia de «daños y
perjuicios», existencia de una infracción del RGPD y relación de causalidad
entre dichos daños y perjuicios y esa infracción. Si bien no cabe exigir un
umbral mínimo para que nazca el derecho a indemnización, corresponde al interesado demostrar en el caso concreto que
las consecuencias negativas que haya tenido como consecuencia de la infracción
de las normas del RGPD constituyen daños y perjuicios inmateriales, en el
sentido del artículo 82 (apdos 58 a 60 de la sentencia MediaMarktSaturn,
con referencias a las mencionadas sentencias Österreichische Post (Préjudice
moral lié au traitement de données personnelles), Natsionalna agentsia
za prihodite, Gemeinde Ummendorf, y Krankenversicherung
Nordrhein.
Con
respecto a la concreción de cuándo se producen daños y perjuicios inmateriales
a los efectos del artículo 82 RGPD, la quinta cuestión prejudicial va referida
a si cuando un documento con datos personales ha sido comunicado a un tercero que
no ha tenido conocimiento de los datos, el daño inmaterial puede estar
constituido por el mero hecho de que el interesado tema que, como consecuencia
de esa comunicación, sus datos puedan ser difundidos o incluso utilizados
indebidamente en el futuro. A partir de sus pronunciamientos previos sobre la
necesidad de una definición autónoma y uniforme del concepto de daño inmaterial,
que debe ser amplia (cdo. 146 RGPD), el Tribunal de Justicia recuerda que ya había
establecido que la pérdida de control sobre los datos personales durante un
breve período de tiempo puede causar al interesado un daño inmaterial que dé
lugar a un derecho a indemnización, siempre que el interesado demuestre que ha
sufrido efectivamente tal daño (apdo. 66 de la
sentencia MediaMarktSaturn con referencia a la sentencia Gemeinde
Ummendorf). Ese criterio lleva también a establecer que el concepto de daño
inmaterial comprende una situación en la que el interesado tiene un temor
fundado de que algunos de sus datos personales puedan ser difundidos o
utilizados indebidamente por terceros en el futuro, debido a que un documento
que contiene dichos datos ha sido entregado a un tercero no autorizado que ha
podido hacer copias antes de devolverlo. Ahora bien, corresponde al demandante demostrar
la existencia de tales daños, sin que un riesgo puramente hipotético de uso
indebido por un tercero no autorizado pueda dar lugar a indemnización, lo que
el Tribunal de Justicia precisa que debe ser el caso cuando ningún tercero ha
tenido conocimiento de los datos personales en cuestión (apdos. 67 y 68 de la
sentencia MediaMarktSaturn).
