El Tribunal de Justicia de la Unión Europea se expidió sobre a la indemnización por daños y perjuicios inmateriales relacionados con el tratamiento de datos personales. Österreichische Post, sin permiso, había recopilado información sobre las afinidades políticas de la población austriaca y definido grupos de destinatarios según criterios sociales y demográficos.
A partir de 2017, Österreichische Post (Correos de Austria) recabó información sobre las afinidades políticas de la población austriaca. Con ayuda de un algoritmo, definió «direcciones de grupos de destinatarios» según criterios sociales y demográficos. Los datos así obtenidos llevaron a la empresa a concluir que un determinado ciudadano tenía una elevada afinidad con cierto partido político austriaco. Sin embargo los datos tratados no fueron transmitidos a terceros.
El ciudadano que no había consentido el tratamiento de sus datos personales, afirma haber sufrido una importante contrariedad, una pérdida de confianza y un sentimiento de humillación por el hecho de que se le hubiera atribuido una especial afinidad con el partido en cuestión. Reclama ante los órganos jurisdiccionales austriacos un importe de 1.000 euros en concepto de indemnización por los daños y perjuicios inmateriales que afirma haber sufrido.
El Tribunal Supremo de lo Civil y Penal austriaco expresó sus dudas sobre el derecho a indemnización establecido por el Reglamento general de protección de datos (RGPD) en caso de daños materiales o inmateriales como consecuencia de una infracción de ese Reglamento. Por ello, planteó al Tribunal de Justicia de la Unión Europea (TJUE) si la mera infracción del RGPD basta para reconocer ese derecho y si solo cabe la indemnización cuando los daños y perjuicios superen cierto grado de gravedad. Asimismo, deseaba conocer cuáles son las exigencias del Derecho de la Unión en relación con la determinación del importe de la indemnización por daños y perjuicios.
La sentencia del TJUE establece que la mera infracción del RGPD no fundamenta un derecho a indemnización y que no es necesario que los daños y perjuicios inmateriales sufridos hayan alcanzado cierto umbral de gravedad para que exista ese derecho. En todo caso, es necesario demostrar una relación de causalidad entre la infracción del RGPD y los daños y perjuicios sufridos para fundamentar un derecho a indemnización.
En su sentencia, el TJUE establece que el derecho a indemnización establecido por el RGPD está supeditado de forma unívoca a tres requisitos acumulativos: una infracción del RGPD, unos daños y perjuicios materiales o inmateriales consecuencia de esa infracción y una relación de causalidad entre los daños y perjuicios y la infracción. Por lo tanto, no toda infracción del RGPD da lugar, por sí sola, al derecho a indemnización.
El TJUE también señala que, a diferencia de otros recursos previstos por el RGPD, como las multas administrativas, la infracción del Reglamento no conlleva necesariamente daños y perjuicios. Además, para fundamentar un derecho a indemnización, debe existir una relación de causalidad entre la infracción en cuestión y los daños y perjuicios sufridos.
En cuanto a la determinación del importe de la indemnización, el TJUE considera que corresponde a los órganos jurisdiccionales nacionales establecerlo con arreglo al Derecho nacional.
En resumen, la sentencia del TJUE establece que la mera infracción del RGPD no fundamenta un derecho a indemnización y que no es necesario que los daños y perjuicios inmateriales sufridos hayan alcanzado cierto umbral de gravedad para que exista ese derecho. En todo caso, es necesario demostrar una relación de causalidad entre la infracción del RGPD y los daños y perjuicios sufridos para fundamentar un derecho a indemnización.