Acciones de competencia desleal basadas en infracciones en materia de datos personales

 

El Reglamento (UE) 2016/679 general de protección de datos (RGPD) potenció la aplicación privada -o private enforcement- en materia de protección de datos. No solo contempla el derecho de “todo interesado” (en el sentido del art. 4.1 RGPD) que considere que sus derechos en virtud del RGPD han sido infringidos (art. 79) a la tutela judicial efectiva -incluyendo nuevos fueros de competencia- frente al responsable o encargado, así como la posibilidad de reclamación no directamente por el interesado sino mediante el ejercicio de acciones por una entidad autorizada, mediando o no mandato a tal efecto, conforme al artículo 80 RGPD. Además, establece el derecho de “toda persona” que sufra daños y perjuicios como consecuencia de una infracción del RGPD a ser indemnizados por el responsable o el encargado del tratamiento (art. 82). La reciente sentencia del Tribunal de Justicia (Gran Sala) en el asunto Lindenapotheke, C-21/23, EU:C:2024:846 resulta de singular interés en relación con la aplicación privada del RGPD mediante el ejercicio de acciones de cesación frente al responsable del tratamiento, no por los propios interesados cuyos datos son objeto de tratamiento por el responsable -como contemplan las normas de los arts. 79 y 80 del RGPD-, sino por determinados terceros, en particular competidores del responsable. En concreto, el litigio principal va referido a una demanda de competencia desleal entre dos empresas de farmacia, en la que una de ellas pretende que se ordene a la otra cesar en la comercialización, a través de Amazon, de medicamentos de venta obligatoria en farmacias, mientras no se garantice que los clientes pueden dar su consentimiento explícito para el tratamiento de datos en los términos exigidos en el artículo 9.1.a) RGPD, al considerar la demandante que esa actividad implicaba el tratamiento de datos de salud, especialmente protegidos en virtud del artículo 9. La sentencia aclara la interacción entre las vías de recurso establecidas en el RGPD a favor de los interesados y el ejercicio de acciones (de cesación) con base en el incumplimiento de prohibiciones en materia de competencia desleal contenidas en las legislaciones de los Estados miembros -como el art. 15 de la Ley 3/1991 de Competencia Desleal (LCD)- derivadas de las infracciones por un competidor de las obligaciones previstas en el RGPD. No obstante, desde el punto de vista práctico, resulta de interés en qué medida el eventual ejercicio por los competidores de acciones de indemnización puede reclamar un análisis específico.

El interés comercial del responsable del tratamiento como fundamento de la comunicación de datos personales a título oneroso

 

        ¿Puede una asociación comunicar a cambio de una remuneración datos personales de sus asociados sin su consentimiento a entidades que pretenden enviarles publicidad? ¿Qué requisitos debe cumplir para ello? En síntesis, estas son las cuestiones que aborda la reciente sentencia del Tribunal de Justicia en el asunto Koninklijke Nederlandse Lawn Tennisbond, C-621/22, EU:C:2024:857. La respuesta depende del alcance como eventual fundamento de ese tratamiento de datos personales de la base de licitud prevista en el artículo 6.1.f) RGPD, por lo que la nueva sentencia complementa la significativa jurisprudencia del Tribunal de Justicia sobre ese precepto. Precisamente, esa jurisprudencia, como no podía ser de otra manera, constituye también la base del Dictamen adoptado hace unos días por el Comité Europeo de Protección de Datos (EDPB) sobre el tratamiento de datos personales con base en el interés legítimo, que incorpora ejemplos y ciertos desarrollos adicionales (“Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR”). Cabe recordar que el artículo 6.1.f) RGPD considera lícito el tratamiento de datos personales cuando es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento (o por un tercero) sobre los que no prevalezcan los intereses o los derechos y libertades fundamentales del interesado, es decir, en este caso de los miembros de la federación deportiva cuyos datos esa entidad comunica a dos de sus patrocinadores a cambio de un precio.

Eficacia jurídica y valor probatorio de las firmas electrónicas

 

          En su sentencia de ayer en el asunto Jarocki, C-302/23, EU:C:2024:905, el Tribunal de Justicia se pronuncia sobre ciertos aspectos del ámbito de aplicación del Reglamento (UE) 910/2014 relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior, así como del significado de sus disposiciones sobre la eficacia de las firmas electrónicas. Condicionada por el contexto del litigio principal -referido a una firma electrónica que no era “cualificada” a los efectos de los arts. 3.12 y 25.2 del Reglamento y pretendía utilizarse para presentar un escrito procesal ante un órgano que carecía de un sistema telemático adecuado para ello y al margen de lo previsto en su legislación procesal-, la nueva sentencia no constituye una gran aportación, pero en combinación con la otra sentencia pronunciada este año por el Tribunal de Justicia sobre estas cuestiones -la recaída en el asunto C‑466/22, V.B. Trade, EU:C:2024:185-, resulta de interés para confirmar los fundamentos del sistema del Reglamento (UE) 910/2014 en lo relativo a la eficacia jurídica y valor probatorio de las firmas electrónicas.

Redes sociales: implicaciones del principio de minimización de datos y de las restricciones al tratamiento de datos especialmente protegidos

 

          La reciente sentencia del Tribunal de Justicia en el asunto Schrems (Communication de données au grand public), C-446/21, EU:C:2024:834, se enmarca en el contexto de uno de los litigios más notorios contra un prestador de servicio de red social por la pretendida infracción de la legislación de la Unión sobre datos personales. De hecho, ya la STJUE de 25 de enero de 2018, Schrems, C‑498/16, EU:C:2018:37 -reseñada aquí- tuvo su origen en el mismo litigio principal (apdo. 28 de la nueva sentencia). Por otra parte, la tramitación del procedimiento del asunto C-446/21, que ha dado lugar a la nueva sentencia, estuvo suspendida hasta la sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C‑252/21, EU:C:2023:537 (reseñada aquí). Cabe recordar que en esa sentencia el Tribunal de Justicia se pronunció, entre otras cuestiones, sobre ciertos aspectos del tratamiento de datos sensibles por la misma red social, así como acerca de la insuficiencia de la ejecución del contrato de prestación del servicio de red social como pretendido fundamento de la licitud de ese tratamiento con base en el artículo 6.1.b) RGPD (sobre este tema, también aquí y aquí). Ese precedente condicionó que el órgano remitente retirara dos de sus cuatro cuestiones prejudiciales en el asunto C-446/21, incluida la relativa a la interpretación de los artículos 6.1.a) y 6.1.b) RGPD. Más allá de su esclarecedor relato acerca del modelo de negocio de Meta y de la amplitud del tratamiento de datos personales para la elaboración de perfiles orientados a la eficacia y rentabilidad de la publicidad personalizada, mediante la utilización de cookies, social plug‑ins o complementos sociales y píxeles de seguimiento (apdos. 16 a 19), la nueva sentencia -que complementa especialmente a la recaída en el asunto C-252/21- presenta el interés de abordar las implicaciones del principio de minimización de datos (art. 5.1.c) RGPD) como fuente de restricciones a un tratamiento de datos tan amplio como el que ha venido siendo característico de la red social implicada con respecto a sus usuarios. Además, el Tribunal de Justicia realiza precisiones acerca de los límites a la circunstancia de que un tratamiento se refiera a datos personales que el interesado ha hecho manifiestamente públicos como excepción a la prohibición del tratamiento de las categorías especiales de datos personales del artículo 9 RGPD, incluidos los datos relativos a la vida sexual o la orientación sexual de una persona física (art. 9.1 y 9.2.e) RGPD).

De nuevo sobre la indemnización por daños derivados de vulneraciones del RGPD

 

             La reciente sentencia del Tribunal de Justicia en el asunto Patērētāju tiesību aizsardzības centrs, C-507/23, EU:C:2024:854, aborda nuevamente la interpretación del artículo 82 RGPD, relativo al derecho de toda persona que haya sufrido daños como consecuencia de una infracción del RGPD a recibir una indemnización del responsable o el encargado del tratamiento. Se trata de un tema recurrente en la reciente jurisprudencia del Tribunal de Justicia (véase, entre otras, aquí y aquí). A la luz de las anteriores, el principal interés de la nueva sentencia deriva de su aclaración de que, en determinadas circunstancias, la presentación de una disculpa puede constituir una reparación adecuada del daño moral. Por otra parte, el supuesto de hecho del litigio principal resulta ilustrativo de la amplitud de las situaciones sobre las que puede proyectarse el artículo 82 RGPD, así como su eventual concurrencia con otros fundamentos con base en los que puede plantearse la exigencia de responsabilidad por el perjudicado, como la tutela prevista frente a intromisiones en otros derechos de la personalidad, ámbito en el que subsisten diferencias notables entre los ordenamientos de los Estados miembros. El supuesto litigioso en este caso va referido básicamente a la difusión de un video en varios sitios de Internet que ponía en escena un personaje que imitaba al demandante en el litigio principal, sin que este último hubiera dado su consentimiento.

Indemnizaciones por contenidos periodísticos difamatorios y significado del orden público como obstáculo al reconocimiento en el Reglamento 1215/2012

 

       La caracterización del principio de reconocimiento mutuo de las resoluciones judiciales de otro Estado miembro como elemento fundamental sobre el que se construye la cooperación judicial en asuntos civiles en el seno de la Unión (art. 81 TFUE), basada en la confianza recíproca entre sus Estados miembros, se vincula con que la denegación del reconocimiento de una resolución procedente de otro Estado miembro resulte excepcional. La denegación del reconocimiento o ejecución impone una fragmentación en el seno de la Unión de los efectos procesales de la resolución concernida y el riesgo de una multiplicidad de procedimientos, así como de resoluciones inconciliables, con menoscabo del principio de reconocimiento mutuo y grave quebranto de la confianza recíproca. Esta constatación es especialmente cierta en relación con el Reglamento (UE) 1215/2012 (RBIbis), en la medida en que va referido a las materias que integran el núcleo del mercado interior, donde típicamente el orden público sustantivo como posible motivo de la denegación del reconocimiento tiene un impacto menor que en otras materias -como el Derecho de familia o de sucesiones- en los que el grado de heterogeneidad de los ordenamientos de los Estados miembros es mayor. No obstante, hace ya años que se constató que en el seno del RBIbis hay una materia en la que la invocación del orden público sustantivo merece especial atención, como es la relativa a la litigación en el ámbito de los derechos de la personalidad, en el que, además, las normas sobre ley aplicable no están unificadas entre los Estados miembros (como consecuencia de la lamentable exclusión de esa materia del ámbito de aplicación del Reglamento Roma II). Notable ejemplo de lo anterior es la célebre y cuestionada resolución de 2018 del Bundesgerichtshof alemán denegando en el marco del RBI el reconocimiento de una resolución polaca frente a un medio periodístico alemán por su manifiesta contradicción con el orden público en relación con la libertad de expresión y de información (BGH, 19 de julio de 2018 - IX ZB 10/18). La esperada sentencia de hoy del Tribunal de Justicia (Gran Sala) en el asunto Real Madrid Club de Fútbol, C‑633/22, EU:C:2024:843, presenta singular interés en este contexto.