En su sentencia del pasado jueves en el
asunto C‑655/23, Quirin Privatbank, EU:C:2025:655, el Tribunal de Justicia vuelve sobre la cuestión de la interpretación
del concepto de «daños y perjuicios inmateriales», a los efectos del derecho de
quien sufre daños y perjuicios materiales o inmateriales como consecuencia de
una infracción del Reglamento General de Protección de Datos (RGPD) a recibir
del responsable del tratamiento una indemnización por tales daños y perjuicios,
de conformidad con su artículo 82. En concreto, el Tribunal aborda en qué
medida sentimientos negativos -como el temor o el enfado - que el interesado
experimenta cuando se transmiten sin autorización sus datos personales a un
tercero son susceptibles de ser considerados daños y perjuicios inmateriales
susceptibles de indemnización (II, infra). Con carácter previo, el Tribunal
se pronuncia acerca de en qué medida cabe que el interesado, cuando no solicite
que se supriman sus datos, ejercite una acción judicial preventiva en la que se
ordene al responsable del tratamiento que se abstenga en el futuro de ulteriores
tratamientos ilícitos de sus datos personales (I, infra).
El litigio principal ante los tribunales alemanes
va referido a la demanda interpuesta por una persona que, tras enviar su candidatura
para un empleo, tiene conocimiento de que el mensaje electrónico de respuesta en
el que se rechazaban sus pretensiones salariales había sido remitido por la
empresa implicada en el proceso de selección -aparentemente por error- a un tercero
conocido del demandante que trabajaba en su mismo sector. Éste sostenía que el
que al menos esa tercera persona hubiera podido transmitir esos datos
confidenciales a posibles empleadores, tuviera una ventaja frente a él en una eventual
competencia en un proceso de contratación y percibiera la humillación del
fracaso de sus negociaciones salariales, le causaba una preocupación constitutiva
de daños y perjuicios inmateriales a los efectos del artículo 82 RGPD. El
tribunal de primera instancia condenó al responsable del tratamiento a
abstenerse de realizar cualquier
tratamiento de sus datos personales en relación con su candidatura que
reiterase la divulgación sin autorización de dichos datos, así como a abonar al
demandante 1.000 euros más intereses como indemnización por daños y perjuicios.
En ulteriores instancias los tribunales alemanes tienen dudas tanto acerca de
la posibilidad de ejercitar acciones de cesación con base en el RGPD como de la
eventual consideración como daños y perjuicio de los sentimientos negativos experimentados
por el interesado en esa situación.
I. Acciones de cesación: remisión a las legislaciones nacionales
A diferencia del planteamiento
del Abogado General, que en sus conclusiones se mostró partidario de establecer que
el derecho del interesado a reclamar la
no reiteración de un tratamiento ilícito podía inferirse de los artículos 5.1(a)
(principio de licitud), y 6.1 (condiciones de licitud) del RGPD leídos
conjuntamente con su artículo 79.1 (derecho a la tutela judicial efectiva
contra un responsable o encargado del tratamiento), el Tribunal de Justicia acentúa
las limitaciones del RGPD como instrumento de unificación. Su respuesta en este
ámbito se basa en que, pese a la aspiración del RGPD de unificar en el seno de
la UE el conjunto de las cuestiones en materia de protección de datos, lo
cierto es que en determinados ámbitos deja un margen de apreciación a los
Estados y que, también es así con respecto a la posibilidad del interesado de
ejercitar acciones de cesación con respecto a ulteriores tratamientos con
infracción del RGPD, cuando no ejercitar su derecho de supresión (apdo. 47). El Tribunal admite que el RGPD confiere a los interesados un derecho a que sus datos se traten de manera lícita (apdo. 40), pero considera que la disponibilidad de las acciones de cesación es una cuestión relativa a las vías de recurso y, en principio, el Derecho de la Unión no tiene como efecto obligar a los Estados miembros a crear nuevas vías de recurso (apdo. 41).
Tras constatar -siguiendo en esto el criterio
del Abogado General- que los artículos 17 (derecho de supresión) y 18 (derecho
a la limitación del tratamiento) no prevén del derecho del interesado a obtener
una orden por la que se prohíba al responsable del tratamiento volver a
vulnerar esos derechos (apdo. 43 de la sentencia), el Tribunal considera que
tampoco su Capítulo VIII, que regula las vías de recurso y, en particular su
artículo 79, obliga a los Estados miembros a atribuir al interesado el derecho a
una orden por la que se prohíba al responsable del tratamiento volver a
vulnerar esos derechos (apdo. 45). Propiamente, se trata de una cuestión que el
RGPD no regula, por lo que resulta determinante lo dispuestos en las
legislaciones de los Estados miembros, que sí pueden contemplar la posibilidad
de que el interesado ejercite tales acciones de cesación respecto a ulteriores
tratamientos con infracción del RGPD (apdo. 46).
Para alcanzar este resultado, el Tribunal se
basa en su jurisprudencia previa -en concreto en su sentencia Lindenapotheke,
reseñada aquí- relativa a la compatibilidad con el RGPD de
la legitimación de competidores del responsable del tratamiento para ejercitar
acciones de competencia desleal con base en la infracción por el responsable de
normas del RGPD. El Tribunal entendió que es un aspecto sobre el que no se
pronuncia el Capítulo VIII del RGPD cuando regula las vías de recurso. Con base
en ese mismo criterio de que el RGPD no lleva a cabo una armonización
exhaustiva de las vías de recurso disponibles en caso de infracción de sus
disposiciones, la nueva sentencia establece que el RGPD no se opone a que los
Estados miembros admitan la vía de recurso controvertida (apdo. 48).
No obstante, la idea de que este resultado se
ve confirmado por los objetivos del RGPD -nivel elevado y uniforme de
protección del derecho a la protección de datos personales- (apdo. 49 de la nueva
sentencia) puede suscitar en este caso dudas. Ese criterio resultaba claro en
el caso de la sentencia Lindenapotheke, en la medida en que hacía
posible la compatibilidad entre las acciones de cesación en materia de
competencia desleal -ejercitadas por terceros- y las vías de recurso previstas
en el RGPD, pero el contexto es distinto en el asunto Quirin Privatbank,
referido al ejercicio de acciones no de competencia desleal, sino fundadas
únicamente en la infracción del RGPD y siendo el propio interesado quien ejercita
la vía de recurso en cuestión.
En este
caso, la idea de que el criterio adoptado en la nueva sentencia se ve confirmado
por los objetivos del RGPD sólo es cierto cuando se contrasta con la
alternativa de entender que el RGPD, al no contemplarlas expresamente, rechaza el
derecho a ejercitar tales acciones de cesación. Ahora bien, no cabe duda de que
la alternativa propuesta por el Abogado General, consistente en considerar que
el derecho del interesado a reclamar que el responsable no reitere un
tratamiento ilícito puede considerarse corolario de su derecho a que cualquier
tratamiento de sus datos personales sea lícito (apdo. 42 de las conclusiones), facilitaría
en mucha mayor medida el logro de los objetivos básicos del RGPD, de asegurar
una protección uniforme y elevada del derecho a la protección de datos en la UE.
Frente a esa alternativa, el resultado alcanzado en la sentencia, que hace
depender ese derecho de lo previsto en las legislaciones en los Estados miembros,
ciertamente menoscaba esos objetivos del RGPD, pues conduce a la fragmentación,
una mayor complejidad e incertidumbre, así como a la privación de ese derecho cuando
no resulte de la legislación nacional aplicable.
II. Precisiones sobre el derecho a indemnización
A la luz de la
abundante jurisprudencia previa del Tribunal sobre el artículo 82 RGPD, incluidas
algunas sentencias pronunciadas después del planteamiento de la petición de
cuestión prejudicial en este asunto (por ejemplo, aquí), la aportación de la nueva sentencia en lo
relativo al concepto de «daños y
perjuicios inmateriales» y a su alcance es limitada.
En primer lugar, el
Tribunal constata que, a la luz de su jurisprudencia previa acerca de la
amplitud del concepto de daños y perjuicios, así como de los considerandos 75 y 85 del RGPD con
sus ejemplos de posibles daños y
perjuicios inmateriales, también pueden quedar comprendidos en ese concepto sentimientos
negativos, como el temor (al uso indebido de los datos) o el enfado, que pueden
ser vicisitudes del día a día. Su consideración como daños y perjuicios
inmateriales se subordina a que el interesado demuestre que tales consecuencias
negativas hayan sido causadas por la infracción de las normas del RGPD (apdo.
62 de la nueva sentencia). En segundo lugar, de esa jurisprudencia previa,
según la cual el artículo 82 RGPD cumple una función meramente compensatoria y
requiere una indemnización «total y efectiva» de los daños y perjuicios
sufridos, también resultaba ya que el grado de gravedad de la culpa del
responsable del tratamiento no puede tenerse en cuenta al cuantificar la
indemnización por daños y perjuicios inmateriales (apdos. 69 a 73).
Por último, a la luz de lo anterior, tampoco supone una gran aportación el
criterio de que la circunstancia de que se haya dictado en favor del interesado
una orden, con base en la legislación nacional aplicable, para que el
responsable se abstenga de reiterar una infracción del RGPD no puede tenerse en
cuenta para reducir el alcance de la indemnización pecuniaria por daños y
perjuicios inmateriales en el marco del artículo 82. Aunque, ante la ausencia
de disposiciones al respecto en el RGPD, los criterios de cuantificación del
importe de la indemnización de los daños y perjuicios deben determinarse con
base en las normas de cada Estado miembro, resulta en todo caso necesario que
en su aplicación se respeten los principios de equivalencia y de efectividad,
que exigen una reparación total y efectiva de los daños y perjuicios sufridos
por el interesado. Una orden de abstención, de carácter preventivo, no permite
reparar los daños ya causados al interesado y, por lo tanto, no puede
determinar una reducción de la cuantía de la indemnización, pues ésta debe
corresponderse con la cantidad que permita una reparación total y efectiva de
los daños (apdos. 81-82).
