El Tribunal de Justicia de la Unión Europea (TJUE) ha resuelto que las infracciones del Reglamento General de Protección de Datos (RGPD) pueden dar lugar a indemnizaciones monetarias si se comprueba que causan daños no materiales o morales, incluyendo perjuicios emocionales, como se afirmó en una sentencia.
Además, aclara que no hace falta que se calcule un mínimo en esta compensación para que se admita una denuncia de este tipo, asumiendo que sí existen consecuencias por el uso ilícito de datos personales que van más allá de la incomodidad pasajera, entendiendo la amplitud de la definición de «daños».
La sentencia del caso C-300/21 llega a raíz de las acciones de los servicios postales austriacos (Österreichische Post), que hizo uso de un algoritmo para definir la posible afinidad política de ciertos «públicos objetivos» entre los ciudadanos de acuerdo a criterios sociales y demográficos, vendiendo estos datos a otras organizaciones para que pudieran enviar publicidad personalizada.
El reclamante había sido categorizado como una persona con gran afinidad por el Partido de la Libertad de Austria (FPÖ por sus siglas en alemán), identificado dentro del espectro de la extrema derecha populista y el conservadurismo nacionalista. Era una situación generada por un procesamiento de datos que él no había consentido previamente y que causó que se sintiera «indignado y ofendido» por habérsele relacionado a este partido.
Por este motivo, exigió una compensación de 1.000 euros por daños no materiales, ya que, en su opinión, la supuesta afinidad que se le asignó al FPÖ era «insultante y vergonzosa, así como extremadamente dañina para su reputación», y que «le causó un gran disgusto, una pérdida de confianza y un sentimiento de estar expuesto públicamente», si bien el documento especifica que no existió un perjuicio más allá de estos sentimientos y emociones negativos.
En primera y segunda instancia, los tribunales austriacos señalaron que estos no eran motivo suficiente para ameritar una compensación económica. Cuando el Tribunal Supremo del país refirió la cuestión al TJUE, este decidió que, si bien la mera infracción del RGPD no confiere automáticamente el derecho a una compensación, la comprobación de cierto daño relacionado directamente a los hechos cumple con los requisitos para que se pueda exigir, incluso si no son materiales.
Por otro lado, el cálculo de la indemnización dependerá de los tribunales nacionales en los sitios donde ocurran infracciones, tomando en cuenta los principios de equivalencia y efectividad, con lo que este caso particular pasa a ser competencia del Tribunal Supremo de Austria.
Sin embargo, el TJUE clarifica que una compensación apropiada no requiere el pago de cuantías «punitivas» ni disuasorias, así que debe buscar el resarcimiento de los daños sin necesidad de castigar a los responsables de los datos ni a la organización responsable.
