¿En qué consiste el derecho de a indemnización?
Cabe señalar que este derecho no es nuevo, ya que estaba previsto en la derogada Directiva 95/46/CE. El derecho de indemnización y responsabilidad está incluido en el artículo 82 del Reglamento (UE) 2016/679, de 27 de abril de 2016 (en adelante, RGPD), plenamente aplicable desde el 25 de mayo de 2018. El apartado 1 de este artículo establece que Toda persona que haya sufrido daños y perjuicios materiales o inmateriales como consecuencia de una infracción del presente Reglamento tendrá derecho a recibir del responsable o el encargado del tratamiento una indemnización por los daños y perjuicios sufridos.
En particular, en el último apartado, dicho artículo indica también que Las acciones judiciales en ejercicio del derecho a indemnización se presentarán ante los tribunales competentes con arreglo al Derecho del Estado miembro que se indica en el artículo 79, apartado 2. Este último artículo hace referencia a que, con carácter general, las acciones deberán ejercitarse ante los tribunales del Estado miembro en el que el responsable o encargado tenga un establecimiento, si bien alternativamente podrán ejercitarse ante los tribunales del Estado miembro en que el interesado tenga su residencia habitual, a menos que el responsable o el encargado sea una autoridad pública de un Estado miembro que actúe en ejercicio de sus poderes públicos.
La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) no indica nada al respecto, de manera que debe atenderse directamente a lo dispuesto en el Reglamento (UE) 2016/679.
¿Cuándo no sería exigible el derecho a indemnización?
El responsable o el encargado del tratamiento, según sea el caso, quedarán exentos de responsabilidad cuando demuestren que no son responsables de los daños y perjuicios. En este sentido, el Considerando 146 del RGPD explica que El responsable o el encargado deben quedar exentos de responsabilidad si se demuestra que en modo alguno son responsables de los daños y perjuicios.
Sin perjuicio de lo anterior, el derecho a indemnización tampoco será exigible si no se ha producido una infracción del RGPD, en el sentido de que dicha infracción produzca un daño económico o moral al interesado cuyos datos personales son objeto del tratamiento.
Además, hay que tener en consideración que, como explica el Considerando 146, ya citado,]un tratamiento en infracción del presente Reglamento también incluye aquel tratamiento que infringe actos delegados y de ejecución adoptados de conformidad con el presente Reglamento y el Derecho de los Estados miembros que especifique las normas del presente Reglamento.
Y tampoco cabrá el derecho a indemnización cuando no estemos ante datos personales, es decir, si no hay un tratamiento ilícito de datos personales, porque lo que se tratan son datos anonimizados sin que sea posible reidentificar a la persona a la que se tratan, no cabría este derecho.
La indemnización requiere que el interesado pruebe que ha producido un daño, bien sea económico o patrimonial (material) o moral (inmaterial). En relación con el concepto de daño, el ya mencionado Considerando del RGPD explica que El concepto de daños y perjuicios debe interpretarse en sentido amplio a la luz de la jurisprudencia del Tribunal de Justicia, de tal modo que se respeten plenamente los objetivos del mismo. Y, al respecto, cabría considerar que si no se produce este tipo de daño o perjuicio, pero aún así hay una vulneración de otras normas del Derecho de la Unión Europea o de los Estados miembros, aunque no fuera aplicable el derecho a indemnización, sí cabe la posibilidad de que el interesado presente una reclamación.
¿En qué consiste la indemnización al interesado?
El derecho a indemnización del interesado dará lugar a que cuando sufra un daño o perjuicio material o inmaterial, pueda dirigirse, en su caso, a los tribunales competentes, que en nuestro caso sería la vía jurisdiccional civil, pueda obtener una indemnización por dichos daños o perjuicios.
La indemnización puede reclamarse ante cualquier responsable o encargado del tratamiento que, como consecuencia de una infracción del RGPD en el tratamiento de los datos personales, cause un daño o perjuicio material o inmaterial al interesado. Esto implica que incluso cabría ejercer el derecho a indemnización frente a varios responsables o encargados del tratamiento si la infracción se hubiera producido por todos ellos, que como explica el Considerando 146 del RGPDpuede prorratearse en función de la responsabilidad de cada responsable o encargado por los daños y perjuicios causados por el tratamiento, siempre que se garantice la indemnización total y efectiva del interesado que sufrió los daños y perjuicios.
Ya en el artículo 82 del RGPD se prevé que, por lo que se refiere al responsable del tratamiento, este responderá de los daños y perjuicios causados por un tratamiento ilícito, que no cumpla con lo dispuesto en aquél. Y, en el caso del encargado del tratamiento, este tendrá que indemnizar, en su caso, al interesado por los daños y perjuicios causados por el tratamiento cuando no haya cumplido con las obligaciones del presente Reglamento dirigidas específicamente a los encargados o haya actuado al margen o en contra de las instrucciones legales del responsable. Por tanto, la indemnización que correspondiese, en su caso, será exigible en la medida en que el responsable o el encargado del tratamiento infrinjan el RGPD.
No obstante, con la finalidad de garantizar que el interesado que haya sufrido un daño sea indemnizado, el apartado 4 del artículo 82 del RGPD indica que cuando haya varios responsables o encargados del tratamiento o también cuando un responsable y un encargado hayan participado en la misma operación de tratamiento sean responsables de cualquier daño o perjuicio causado por dicho tratamiento, cada responsable o encargado será considerado responsable de todos los daños y perjuicios, a fin de garantizar la indemnización efectiva del interesado.
Por último, el responsable o el encargado que pague una indemnización total tendrá derecho a reclamar a los demás responsables o encargados que hayan participado en esa misma operación de tratamiento la parte de la indemnización correspondiente a su parte de responsabilidad por los daños y perjuicios causados, tal y como prevé el apartado 5 del artículo 82, ya citado.
Criterios jurisprudenciales sobre el derecho a indemnización
Si bien, como indica el ya citado Considerando 146 del RGPD habrá que atender a la jurisprudencia del Tribunal de Justicia de la Unión Europea,
Una de estas relevantes sentencias, es la sentencia del Tribunal Supremo de 27 de abril 2016, rec. 2659/2016, en la que, por una parte, recuerda que no son admisibles las indemnizaciones de carácter meramente simbólico y, por otra parte, que la escasa cuantía de la deuda no disminuye la importancia del daño moral que le causó a la demandante la inclusión en los registros de morosos.
Además de lo anterior, prestando atención a la jurisprudencia del Tribunal Supremo, es necesario tener en consideración la indemnización que se fije tiene que considerar los daños patrimoniales concretos, fácilmente verificables y cuantificables, los más difusos pero también reales e indemnizables y los derivados del desprestigio y deterioro de la imagen de solvencia personal y profesional, de cuantificación estimativa, incluyendo el daño moral.
En concreto, como se indica en los apartados 4 y 5 del Fundamento de Derecho Quinto de la sentencia del Tribunal Supremo de fecha 18 de febrero de 2015, rec. 247/2014, el perjuicio indemnizable ha de incluir el daño patrimonial, y en él, tanto los daños patrimoniales concretos, fácilmente verificables y cuantificables (por ejemplo, el derivado de que el afectado hubiera tenido que pagar un mayor interés por conseguir financiación al estar incluidos sus datos personales en uno de estos registros), como los daños patrimoniales más difusos pero también reales e indemnizables, como son los derivados de la imposibilidad o dificultad para obtener crédito o contratar servicios (puesto que este tipo de registros está destinado justamente a advertir a los operadores económicos de los incumplimientos de obligaciones dinerarias de las personas cuyos datos han sido incluidos en ellos) y también los daños derivados del desprestigio y deterioro de la imagen de solvencia personal y profesional causados por dicha inclusión en el registro, cuya cuantificación ha de ser necesariamente estimativa. 5.- La indemnización también ha de resarcir el daño moral, entendido como aquel que no afecta a los bienes materiales que integran el patrimonio de una persona, sino que supone un menoscabo de la persona en sí misma, de los bienes ligados a la personalidad, por cuanto que afectan a alguna de las características que integran el núcleo de la personalidad, como es en este caso la dignidad. La determinación de la cuantía de la indemnización por estos daños morales ha de ser también estimativa.
Recuerde que…
- • Cuando los datos personales se han tratado infringiendo el RGPD, el interesado podrá dirigirse a los tribunales competentes para solicitar una indemnización por los daños y perjuicios económicos y morales que, en su caso, haya sufrido.
- • El responsable y el encargado del tratamiento tendrán que indemnizar al interesado, salvo que demuestren que no son responsables de los daños y perjuicios, en cuyo caso quedarán exentos de la misma.
- • Conforme a la jurisprudencia del TS, cabe indemnización de los daños patrimoniales concretos, fácilmente verificables y cuantificables.
- • También se indemnizarán los más difusos, pero también reales e indemnizables.
- • Por último, son también indemnizables los derivados del desprestigio y deterioro de la imagen de solvencia personal y profesional, y los de cuantificación estimativa, incluyendo el daño moral.