Destinatario equivocado: el TJUE sobre cesación e indemnización

Un candidato había presentado su candidatura a Quirin Privatbank a través de una red profesional. Una empleada envió por error un mensaje confidencial sobre sus pretensiones salariales a una persona ajena, que lo reenvió al candidato. Este reclamó la cesación y una indemnización, pero no la supresión de sus datos.

El Tribunal de Justicia de la Unión Europea (TJUE), mediante sentencia de 4.9.2025 – C-655/23, se pronunció en primer lugar sobre la acción de cesación: el propio RGPD solo prevé un derecho a que una infracción no se repita en el futuro cuando el interesado solicita al mismo tiempo la supresión de sus datos. No obstante, el Reglamento no se opone a las vías de recurso nacionales. Por ello, en Alemania una acción de cesación puede seguir basándose en los §§ 823 y 1004 del BGB (Código Civil alemán).

En cuanto a la indemnización conforme al art. 82 del RGPD, el Tribunal aclara que también sentimientos negativos como el enfado o la preocupación a raíz de una comunicación no autorizada pueden constituir un daño inmaterial. Sin embargo, el interesado debe acreditar que efectivamente ha sufrido tales consecuencias negativas. La indemnización tiene exclusivamente una función compensatoria y no una función punitiva o disuasoria, y el grado de culpa no influye en su cuantía.

Para la práctica: quien sufra una infracción de protección de datos debería dejar constancia concreta de sus propias consecuencias, es decir, qué ha ocurrido, cómo le ha afectado y cuándo. Si existe una pretensión y en qué cuantía depende del caso concreto.