El Tribunal de Justicia de la Unión Europea en la cuestión prejudicial elevada por el tribunal supremo austríaco (caso C-300/21) ha dictaminado que no toda infracción del Reglamento General de Protección de Datos (RGPD) da lugar, por sí sola, a indemnización, como tampoco se puede limitar la indemnización por daños y perjuicios a la determinación de un concreto umbral de gravedad, contestando así a una de las cuestiones del alto tribunal.
En el mismo orden de cosas, corresponde al ordenamiento jurídico interno de cada Estado miembro establecer los tipos de acciones y los criterios que permitan determinar la cuantía de la posible indemnización por la infracción, siempre respetando los principios de efectividad -los derechos deben atenderse en plenitud por los Tribunales europeos y no contradecir al derecho UE- y equivalencia -las resoluciones judiciales locales amparadas en Derecho de la UE no deben tratarse de forma menos favorable que en el Derecho interno.
El derecho a la indemnización por daños del artículo 82 del RGPD es el corolario de una tendencia expansiva del derecho resarcitorio. Podemos encontrar ya una tradición local en este sentido en derecho civil español que ya acusó el maestro Díez-Picazo en materia de responsabilidad civil pero que, desde un punto de vista de la regulación presente de la privacidad tiene, a nuestro juicio, toda lógica, tanto en materia indemnizatoria, coercitiva como disuasoria. Sin embargo, el hecho de que se encuentre específica y positivamente regulado no obsta para que la cuestión sea pacífica y se aplique uniformemente en las distintas jurisdicciones que componen la UE.
El artículo 82 del RGPD crea una responsabilidad civil por razón de Ley. La naturaleza de esta responsabilidad no se cohonesta con una vertiente objetiva de responsabilidad, como tampoco una subjetiva exclusivamente: el hecho fundante constituye una “infracción” de la Ley, en cuya virtud descansa la acción u omisión correlativas del artículo 1902 del Código Civil, pero con mayor acomodo social, puesto que la acción u omisión no es necesario que sea culposa o negligente, sino meramente objetiva. Esto puede dar lugar a malentendidos y puede producir una cascada de daños de distinta consideración jurídica que no se correspondan con el acto típico, sino que sean consecuencia de él, como lo puede ser la responsabilidad por daños morales, además de que los umbrales de gravedad del daño pueden variar, teniendo en cuenta la tradición jurídica de cada jurisdicción.
En este sentido, la cuestión prejudicial arroja cierta armonización que, indudablemente, revierte en la seguridad jurídica -sobre todo en la vertiente de previsibilidad de la acción- y establece el requisito del daño cuantificable y de entidad, y no la mera infracción como fuente de despliegue de las reivindicaciones del artículo 82.
Para ello, se debe tener en cuenta el Derecho aplicable y los Juzgados y Tribunales españoles deben aplicar un espigueo teniendo la norma europea como cabecera, siempre que la acción se inicie ex artículo 82 RGPD. En este sentido, en nuestro ordenamiento tenemos una regulación que puede considerarse satelital en algunos casos respecto del derecho consagrado en el artículo 82 del RGPD, pero que es independiente de dicho derecho. Esta cuestión se refiere al derecho al honor, tanto en un aspecto subjetivo interno como en la consideración que puedan tener los demás, debido a la divulgación del acto que constituye el hecho a resarcir y que viene regulado en la Ley Orgánica del derecho al honor, a la intimidad personal y familiar y a la propia imagen. Para ello, evaluar la divulgación de tal dato es elemental.
Por otra parte, y cuestión que entronca con el caso de autos, la angustia que produce seguir un proceso penoso para rectificar o cancelar tales datos también es un hecho indemnizable. Ello no quita que una infracción de la norma de cabecera de la regulación en materia de protección de datos que constituya un daño no pueda ejercerse siempre que exista un nexo causal entre el daño y la infracción.
A todo esto, cabe decir que quizá sea más oportuno iniciar una acción por vía de vulneración de derecho a la intimidad y al honor que por la expedida por el RGPD, sobre todo en aquellos países donde es novedoso este cauce. En este sentido, no vemos en nuestro caso una prospección en la Ley Orgánica de Protección de Datos y garantía de los derechos digitales que habilite procesalmente este hecho, lo cual hubiera sido propicio.
En la vertiente de la acción por vulneración del derecho al honor, la articulación prevista en el RGPD puede ser útil en caso de brechas de seguridad donde, posiblemente no haya una afectación al derecho al honor y se trate, más bien, de la acción que strictu sensu pretende dar el RPGD a través de este instrumento, siempre que exista un daño de cierta entidad y haya un nexo causal entre dicha infracción y el daño.
Abundando en el concepto de daño, debe ser cierto y tener entidad suficiente, pudiendo considerarse patrimonial o moral y deberemos establecer la estrategia por vía de acción más oportuna según la jurisdicción que corresponda. Es importante saber que no es requisito que la infracción deba estar sancionada o incoado procedimiento sancionador por la autoridad de control.
Respecto de los daños morales, el hecho de que sean intangibles y formen parte del fuero interno de la persona no obsta para que pueda obtenerse una cuantificación ponderando los efectos concurrentes en cada caso. Así pues, no es relevante que se haya difundido el dato, sino que se haya producido un daño que se pueda cuantificar y que no sea insignificante o cause meros sentimientos desagradables que acompañen habitualmente a tal vulneración.
La fuente de obligación, en este caso, es la infracción de los presupuestos y condiciones que habilitan el tratamiento en el RGPD, con la matización que se le propone a la Corte Austríaca de que no toda infracción del RGPD da lugar automáticamente al derecho de indemnización. En este sentido, como decía Luis Díez-Picazo: “la Ley no puede establecer un equilibrio entre el que se equivoca y el que sufre”.
