Una sociedad austriaca dedicada a la venta de direcciones recogió información sobre las afinidades políticas de la población austriaca. Con ayuda de un algoritmo que tiene en cuenta criterios sociales y demográficos, definió “direcciones de grupos de destinatarios”, vendiendo los datos así generados a distintas organizaciones para permitirles realizar el envío de publicidad dirigida.
Estos datos no fueron transmitidos a terceros, pero el demandante en el litigio principal, que no había consentido el tratamiento de sus datos personales, se sintió ofendido por habérsele atribuido una afinidad con un determinado partido político y reclama a dicha sociedad el pago de una indemnización por los daños y perjuicios inmateriales que afirma haber sufrido.
El órgano jurisdiccional remitente plantea al Tribunal de Justicia de la Unión Europea si es exigible que el demandante haya sufrido daños y perjuicios, o si la violación de las disposiciones del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (LA LEY 6637/2016), relativo a la protección de datos de las personas físicas, es suficiente por sí misma para el reconocimiento del derecho a una indemnización por daños y perjuicios.
El Tribunal responde que, con arreglo al art. 82.1 del RGPD (LA LEY 6637/2016), no basta la mera infracción de las disposiciones de dicho Reglamento para reconocer un derecho a indemnización.
En este sentido dispone que, una interpretación literal del citado artículo, que establece que “toda persona que haya sufrido daños y perjuicios materiales o inmateriales como consecuencia de una infracción del presente Reglamento tendrá derecho a recibir del responsable o el encargado del tratamiento una indemnización por los daños y perjuicios sufridos”, indica que para que nazca el derecho de indemnización son necesarios tres requisitos acumulativos: un tratamiento de datos personales en infracción de las disposiciones del RGPD, daños y perjuicios materiales sufridos por el interesado y una relación de causalidad entre dichos daños y perjuicios y la infracción.
Por lo tanto, y dado que la existencia de “daños y perjuicios” constituye uno de los requisitos del derecho a indemnización previsto en dicha disposición, no toda “infracción” de las disposiciones del RGPD da lugar, por sí sola, al derecho a una indemnización a favor del interesado, tal como se define en el art. 4.1 del Reglamento, ya que tal interpretación sería contraria al tenor del art. 82.1.
Esta interpretación se ve corroborada por una comparación con otras disposiciones que figuran también en dicho Reglamento, que conlleva necesariamente la existencia de daños y perjuicios y su relación causal con la infracción para ser reconocido un derecho a indemnización.
Sin embargo, afirma el TJUE que no puede supeditarse la indemnización al requisito de que los daños y perjuicios sufridos por el interesado hayan alcanzado cierto grado de gravedad.
Supeditar la indemnización por daños y perjuicios inmateriales a un determinado umbral de gravedad podría menoscabar la coherencia del régimen establecido por el RGPD, puesto que la graduación de tal umbral, del que dependería la posibilidad de obtener dicha indemnización, podría fluctuar en función de la valoración de los jueces que conocieran del asunto.
No obstante, ello no implica que el afectado por una infracción del Reglamento que haya tenido consecuencias negativas para él no tenga que demostrar que estas consecuencias constituyen daños y perjuicios inmateriales.