La mera infracción del RGPD no basta: el TJUE sobre la indemnización

En el asunto C-300/21, Österreichische Post (correos de Austria) había determinado mediante un algoritmo la afinidad de personas con partidos políticos. Un afectado se sintió expuesto por ello, experimentó enfado y una pérdida de confianza y reclamó 1.000 euros de indemnización por daños inmateriales, sin que sus datos se hubieran transmitido a terceros. El Tribunal Supremo de Austria planteó al Tribunal de Justicia de la Unión Europea (TJUE) varias cuestiones sobre el art. 82 del RGPD.

Mediante sentencia de 4.5.2023, el Tribunal resolvió que una mera infracción del RGPD no basta para fundamentar un derecho a indemnización. Deben concurrir tres requisitos: una infracción, un daño efectivamente producido y una relación de causalidad entre ambos. De la sola vulneración de normas de protección de datos no se deriva, por tanto, todavía ninguna pretensión.

Al mismo tiempo, el Tribunal puso fin a una práctica extendida en los tribunales alemanes: la reparación de daños inmateriales no se limita a los daños que alcancen cierta gravedad. También un daño leve, pero efectivamente sufrido, puede ser indemnizado. No obstante, quien alegue un daño sigue teniendo que acreditar que las consecuencias negativas de la infracción constituyen efectivamente un daño inmaterial; los meros sentimientos desagradables que acompañan prácticamente a cualquier infracción no bastan, por sí solos, para ello.

En cuanto a la cuantía de la indemnización, el Tribunal aclara que, a falta de normas uniformes de la UE, la valoración del daño se rige por el derecho de cada Estado miembro, en este caso, por tanto, por el derecho alemán. La indemnización debe ser completa y efectiva, es decir, compensar realmente el daño concretamente sufrido. En cambio, el RGPD no exige una indemnización punitiva que vaya más allá de la compensación y tenga además un efecto disuasorio. Esto explica por qué los tribunales alemanes, en casos comparables, suelen conceder importes más bien moderados.

Para los afectados esto significa: quien reclame una indemnización debe exponer un daño concreto, aunque sea pequeño; ni más, ni menos. El Bundesgerichtshof (BGH, Tribunal Supremo Federal de Alemania) se ha basado en ello al reconocer la mera pérdida de control como daño (sentencia de 18.11.2024 – VI ZR 10/24).