EL CONCEPTO AUTÓNOMO DE RESPONSABILIDAD CIVIL EN EL ÁMBITO DE LA PROTECCIÓN DE DATOS PERSONALES EN LA ERA DIGITAL: ANÁLISIS DEL ARTÍCULO 82 DEL REGLAMENTO 2016/679

I. CONTEXTO NORMATIVO [Subir]

La era digital ha generado un nuevo activo empresarial de gran valor, los datos, entre los que destacan los datos personales, que son transversales, relativos a cualquier ámbito de la vida, ya sea médico, laboral, social o lúdico.

La información relativa a los datos personales es considerada en el ámbito europeo no como una mercancía, sino como un derecho a proteger, el de la intimidad y la privacidad, al amparo de la Carta de los Derechos Fundamentales de la Unión Europea^[2]. Constituye un bien jurídico especialmente sensible que es preciso proteger frente a posibles vulneraciones.

El legislador aprobó el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos por el que se deroga la Directiva 95/46/CEE^[3], en adelante denominado Reglamento de protección de datos o, simplemente, el Reglamento.

Por medio de este reglamento, el legislador pretende, con carácter general, crear un entorno jurídico unificado claro y seguro para todos los Estados miembros de la UE^[4], buscando el difícil equilibrio entre el derecho a la protección de datos personales de los individuos y los intereses de terceros y de la sociedad en general, en aras del progreso económico y social^[5]. El objetivo no reside en limitar el sistema de tratamiento de datos personales en el ámbito europeo, sino en legitimar su uso bajo estrictas condiciones^[6].

El citado reglamento incide en la protección de los derechos fundamentales de las personas en la era digital y a la vez facilita la actividad económica al proporcionar unas normas aplicables claras para los operadores económicos y los organismos públicos en el mercado único digital^[7]. Para cumplir de forma coherente y satisfactoria con la protección adecuada de la libre circulación de datos en el seno del mercado único y con la defensa de los derechos fundamentales de sus ciudadanos, confluyen en el Reglamento mecanismos de tutela judicial efectiva de carácter público y privado (‍Puig, 2019: 206).

El Reglamento ofrece una respuesta preventiva y sancionadora frente a conductas irresponsables o tratamientos ilícitos de los datos personales. Introduce mecanismos necesarios ante las autoridades competentes de los Estados miembros a fin de controlar de forma efectiva^[8] y supervisar la responsabilidad administrativa derivada de la actuación de los operadores que actúen en el seno del mercado único, el denominado public enforcement.

Estas herramientas se complementan con mecanismos jurídico-privados de tutela civil, el denominado private enforcement, con la finalidad de otorgar a los ciudadanos el derecho de acceso, rectificación, supresión, olvido, oposición, limitación del tratamiento y a la portabilidad de datos. Entre estas medidas de carácter privado, destaca el sistema de responsabilidad civil recogido en el art. 82, objeto de este análisis, que ofrece una protección eficaz y completa a los interesados frente a la infracción de sus derechos en materia de protección de datos personales.

Con carácter previo al estudio del sistema de responsabilidad civil establecido en el art. 82, es preciso enmarcar el Reglamento de protección de datos personales en los diferentes ámbitos de actuación que regirán todas sus disposiciones, tanto en lo relativo a la competencia judicial como a la legislación aplicable.

El Reglamento de protección de datos personales^[9], de conformidad con el considerando catorce, está dirigido a las personas físicas, independientemente de su nacionalidad o residencia, en relación con el tratamiento de sus datos. Es un ámbito de aplicación personal muy amplio, en línea con el derecho fundamental que plasma, que es preciso conjugar con los restantes ámbitos de aplicación de carácter material y territorial. Está dirigido a organizaciones, instituciones, profesionales o entidades públicas que realicen un tratamiento de datos de carácter personal de terceros. No son, por tanto, titulares del derecho de protección de datos personales las personas jurídicas, tal como corrobora de forma expresa el texto del Reglamento^[10] y la jurisprudencia^[11].

El eje central del Reglamento gira en torno al consentimiento de las personas respecto al tratamiento de sus datos personales. La obtención del citado consentimiento se articula a través de nuevas condiciones de validez formales más transparentes. Junto al consentimiento inequívoco^[12], expreso y revocable^[13], aparece una declaración o clara acción afirmativa del mismo del que se derive su conocimiento real. De esta forma, el responsable del tratamiento deberá acreditar que el interesado consintió libremente en el tratamiento de sus datos personales^[14].

El ámbito de aplicación material del Reglamento de protección de datos es transversal y dotado de un enfoque funcional. Engloba el tratamiento automatizado (de forma total o parcial) o no automatizado de los datos personales contenidos o destinados a ser incluidos en un fichero^[15]. Los datos de carácter personal son interpretados, no a partir de criterios objetivos, sino de la capacidad de terceros para reconocer los datos que sirven para identificar a las personas^[16]. A fin de conocer si un supuesto se encuentra dentro del ámbito de aplicación material del Reglamento, el tribunal nacional debe investigar la fuente exacta de la obligación legal que incumbe a un operador económico, en este caso el Reglamento de protección de datos personales, y que supuestamente ha sido infringida^[17].

En el ámbito virtual en que se mueven los datos, entre ellos los de carácter personal, es extremadamente difícil establecer fronteras físicas o geográficas. En consecuencia, el Reglamento tiene un ámbito de aplicación territorial muy extenso que se enmarca en la lógica de mercado único, que implica un espacio sin fronteras interiores. Por tanto, comprende el tratamiento de datos personales desarrollados en el contexto de las actividades de un establecimiento del responsable o encargado en un Estado miembro de la Unión Europea, independientemente de que el tratamiento tenga lugar o no en el seno de la Unión Europea.

El concepto de «establecimiento» del gestor de los datos personales goza de una interpretación amplia y flexible^[18], considerado como vínculo territorial que sirve para proteger adecuadamente los datos personales de los ciudadanos de la Unión Europea. Las actividades relativas al tratamiento de datos personales tienen que estar relacionadas con la oferta de bienes o servicios a interesados sitos en la Unión Europea, independientemente de que se les requiera pago, o bien con el control de su comportamiento en la medida en que tenga lugar en el seno del mercado único^[19].

El ámbito de aplicación territorial del Reglamento de protección de datos trasciende el territorio del mercado único, buscando proteger el tratamiento de datos personales de ciudadanos del mercado único realizados por parte de organizaciones, empresas e instituciones sitas fuera de la Unión Europea^[20]. El art. 3 del Reglamento define el ámbito de aplicación territorial del mismo en función de dos criterios, el del establecimiento en la Unión Europea (primer apartado) y el de selección de los destinatarios, ciudadanos de la Unión Europea (apartado segundo), así como en aquellos lugares donde sea de aplicación el derecho de los Estados miembros, de conformidad con las normas de derecho internacional público^[21].

II. EL CONCEPTO AUTÓNOMO DE LA RESPONSABILIDAD CIVIL [Subir]

El Reglamento de protección de datos ofrece herramientas a los interesados para defender sus derechos, generando las correspondientes responsabilidades a aquellos que infrinjan el correcto tratamiento de los datos personales, a fin de evitar su uso para fines no previstos o desconocidos. Constituye, por tanto, una manifestación clara del control otorgado por el legislador europeo a los individuos sobre sus datos personales en el ámbito de la legislación europea (‍Zanfir-Fortuna, 2020: 1164). Es un mecanismo que sirve de forma clara a la finalidad de la responsabilidad civil^[22], entendida como la facultad de rendición de cuentas por las infracciones de esta normativa, y la asunción por el sujeto responsable o encargado, en su caso, de las consecuencias que se deriven de las mismas.

Ante la ausencia de un núcleo común entre los Estados miembros en lo que respecta a daños, a su calificación y cuantificación, surge la necesidad de crear un sistema autónomo de responsabilidad civil (‍Amram y Comandé, 2021: 338). Un concepto propio o autónomo constituye un término común a todos los Estados miembros de la Unión Europea que se va formando a partir de las interpretaciones que realiza el Tribunal de Luxemburgo de conformidad con los Tratados a petición de los órganos jurisdiccionales nacionales, otorgando una solución a problemas prácticos a los que se enfrentan los ciudadanos en general, y, en el ámbito del presente estudio, en particular en materia de protección de datos personales.

Este análisis aborda el concepto autónomo de la responsabilidad civil por infracción de las disposiciones del citado reglamento contemplado en el art. 82^[23]. Es una disposición provista de una estructura normativa compleja, que engloba seis apartados. Constituye el fundamento jurídico del sistema de responsabilidad civil, dotado de un alto grado de precisión, pero que no es autosuficiente en sí mismo, en el sentido de que precisa interpretación por parte del órgano jurisdiccional europeo.

Por medio de la técnica jurisprudencial de creación de conceptos autónomos, el Tribunal de Luxemburgo interpreta y aclara aspectos de la normativa, complementando la tarea del legislador que encuentra serias dificultades para regular a través de sus instrumentos jurídicos de forma adecuada ámbitos tan complejos y cambiantes como la protección de datos personales. A través de sus resoluciones, el citado tribunal dota de contenido a conceptos no expresamente contemplados en el derecho de la Unión Europea y sobre los que los distintos Estados miembros presentan diferencias sustanciales (‍Sánchez-Frías, 2023: 1-‍252)^[24].

El órgano jurisdiccional europeo considera que

El Tribunal de Luxemburgo está asistido en sus resoluciones judiciales por las conclusiones que emiten los abogados generales, que, aunque no son vinculantes, asesoran legalmente, de forma imparcial y neutra, sobre las cuestiones prejudiciales planteadas a fin de conocer el sentido y el alcance de las disposiciones europeas. Por medio de la creación de conceptos autónomos, el Tribunal de Luxemburgo plasma el espíritu de la normativa europea.

Sin embargo, no constituyen en modo alguno una creación ex novo. Para la creación de estos conceptos autónomos, el tribunal se basa en tres elementos: la normativa interpretada en su contexto, la jurisprudencia previa del tribunal europeo y la doctrina. Se centra básicamente en la legalidad, en el texto legislativo, en sus antecedentes y en los trabajos preparatorios de la norma, interpretada debidamente en su contexto, en todos sus ámbitos (de carácter literal, histórico, contextual, teleológico y comparado)^[26]. La interpretación de la norma está influenciada por la jurisprudencia anterior del propio Tribunal de Luxemburgo, en particular la relativa a la anterior directiva que ha sido sustituida por el vigente Reglamento de protección de datos, que sigue siendo válida, tal como el citado tribunal ha manifestado de forma expresa^[27]. Finalmente, toda esta tarea está complementada con la doctrina, especialmente la más reciente, con la finalidad de que el concepto autónomo sea acorde con la realidad social a la que se debe aplicar.

El concepto autónomo de responsabilidad civil englobado en el art. 82 se ha forjado en los últimos años, ya que el Tribunal de Luxemburgo no se había pronunciado con anterioridad sobre su precedente, el art. 23 de la Directiva 95/46/CE. Es un concepto en proceso de evolución a fin de proporcionar un significado coherente en el marco del Reglamento ajustado a la realidad cambiante del mercado digital único.

III. COMPETENCIA JUDICIAL [Subir]

A fin de construir debidamente un concepto autónomo y propio de responsabilidad civil, es preciso, con carácter previo, contemplar los órganos jurisdiccionales que serán encargados de otorgar la medida resarcitoria de carácter privado.

La estructura del art. 82, tal como hemos constatado, no es autosuficiente y, además, no es ajena al ámbito de la competencia judicial, ya que precisa que el órgano jurisdiccional determine varios de sus principales elementos, tales como la prueba del daño sufrido y la cuantificación de la indemnización que cubra el perjuicio ocasionado, elementos que desarrollaremos en los próximos epígrafes.

Atendido el carácter intrínsecamente transnacional del tratamiento de los datos personales, el legislador europeo ha introducido de forma expresa reglas específicas para determinar la competencia judicial aplicable en el ámbito de la protección de datos personales, con la finalidad de proteger adecuadamente a las personas físicas interesadas en obtener una indemnización^[28] (‍De Miguel Asensio, 2017: 94). De esta forma, el Reglamento asegura el adecuado cumplimiento de las reglas relativas a la protección de datos personales y otorga previsibilidad.

El establecimiento de estas reglas, tal como acreditan los trabajos preparatorios^[29], complementa las normas de competencia judicial de carácter general establecidas con anterioridad en el Reglamento (UE) 1215/2012 del Parlamento Europeo y del Consejo, de 12 de diciembre de 2012, relativo a la competencia judicial, el reconocimiento y la ejecución de resoluciones judiciales en materia civil y mercantil, en adelante Reglamento Bruselas I bis.

El art. 79 del Reglamento de protección de datos en su primer apartado faculta a aquellas personas que consideren que sus derechos hayan sido vulnerados como consecuencia de una infracción del tratamiento de sus datos personales a ejercer la tutela efectiva. Dicha acción judicial, de conformidad con el apartado sexto del art. 82 del citado reglamento, «deberá ejercitarse» ante los tribunales competentes de acuerdo al derecho de cada Estado miembro. Remite al apartado segundo del art. 79, que, de forma adecuada, otorga la alternativa de que las acciones no solo se puedan presentar en el lugar donde el responsable o encargado tenga su establecimiento, sino también ante los tribunales del Estado miembro donde el interesado tenga su residencia habitual, con la excepción de aquellos supuestos en que el responsable o el encargado sea una autoridad pública de un Estado miembro que actúe en ejercicio de sus poderes públicos. Esta remision al tribunal del Estado miembro ha sido objeto de diversas interpretaciones, considerándose por algunos autores como una remision procesal para cuestiones de competencia territorial (‍Franzina, 2016: 99), mientras que otros consideran que solo regula la competencia judicial internacional y sus reglas deben completarse con las disposiciones procesales del foro (‍Rodríguez Pineau, 2021: 218).

En los casos transfronterizos, ante la dificultad o prácticamente imposibilidad de localizar geográficamente el lugar donde se comete la infracción del Reglamento de protección de datos personales en materia de responsabilidad civil, el legislador europeo otorga al interesado dos foros aplicables tanto al ámbito contractual como extracontractual. El foro del establecimiento del responsable o encargado que presuntamente ha cometido la infracción suele coincidir, aunque no es idéntico^[30], con la regla general establecida en el Reglamento Bruselas I bis, concretado en el foro del domicilio del demandado, y resulta, en líneas generales, fácil de prever. O, alternativamente, el foro de la residencia habitual del interesado, que resulta muy adecuado y facilita el acceso a la justicia de la víctima.

El hecho de que el mismo Reglamento de protección de datos facilite dos foros competentes sin establecer jerarquía entre ellos parece suficiente en este ámbito, otorgando certeza y seguridad jurídica. Asimismo, su compatibilidad con la regla general establecida en el Reglamento Bruselas I bis no implica, a mi entender, la necesidad de añadir otros fueros a los expresamente contemplados, tal como corroboran los trabajos preparatorios del Reglamento^[31]. No obstante, la cuestión relativa a la compatibilidad de las reglas de competencia entre ambos reglamentos no ha sido pacífica y ha generado cierto debate en la doctrina (‍Ormaeche Lenguínez, 2022). Existen partidarios de la convivencia pacífica entre los dos textos normativos, mientras que otros autores se decantan por la preeminencia de las normas establecidas en el Reglamento de protección de datos^[32]. Actualmente, la posición mayoritaria que prevalece entiende que las reglas de competencia de ambos reglamentos son de aplicación cumulativa (‍Torralba Mendiola y Rodríguez Pineau, 2023: 164).

Por otro lado, es preciso constatar que, junto con la vía jurisdiccional contemplada en el art. 82, existen otras opciones para el interesado, como la vía arbitral, constando la propuesta de constituir un mecanismo específico de arbitraje ad hoc con carácter urgente (‍Casanova Asencio, 2019: 24) en el ámbito del tratamiento de datos personales relacionados con la salud^[33], y los mecanismos de resolución extrajudicial de conflictos, incluidos generalmente en códigos de conducta u otros mecanismos de autorregulación propios de la responsabilidad proactiva^[34].

IV. LA RESPONSABILIDAD CIVIL EN EL REGLAMENTO [Subir]

V. LOS SUJETOS DE LA RESPONSABILIDAD CIVIL CONTEMPLADA EN EL ARTÍCULO 82 DEL REGLAMENTO DE PROTECCIÓN DE DATOS[Subir]

El análisis de la responsabilidad civil recogida en el art. 82 del Reglamento gira en torno a dos sujetos: la persona física considerada víctima de la infracción que sufre un perjuicio y el responsable de resarcir el daño infringido y probado.

VI. EL OBJETO DE LA RESPONSABILIDAD CIVIL: INDEMNIZACIÓN POR DAÑOS Y PERJUICIOS [Subir]

El art. 82 del Reglamento determina, a nivel normativo, el eje central de la responsabilidad^[65] contemplando los elementos o requisitos básicos de un régimen de responsabilidad autónomo y uniforme de aplicación directa en la Unión Europea^[66].

Parte de la premisa de que el derecho a la privacidad y a la defensa de los datos personales no es un derecho absoluto, sino que debe ser considerado en relación con otros derechos relacionados con su función en la sociedad, tal como ha constatado el órgano jurisdiccional europeo^[67].

De la interpretación literal del citado precepto constatamos claramente que cualquier infracción del Reglamento de protección de datos no constituye por sí misma un elemento suficiente para poder reclamar una indemnización por daños y perjuicios, dado que también requiere la existencia real y efectiva de daños y perjuicios y una relación de causalidad entre los daños y la infracción, de modo que estos tres requisitos son necesarios y acumulativos^[68]. No obstante, es preciso aclarar que no se precisan más requisitos para que se genere la responsabilidad contemplada en el citado precepto.

VII. NATURALEZA DE LA INDEMNIZACIÓN POR DAÑOS Y PERJUICIOS[Subir]

La filosofía que impregna el Reglamento^[86] determina la naturaleza de la indemnización contemplada en el art. 82, que está al servicio de las funciones intrínsecas de la responsabilidad civil, principalmente la compensación por los daños que ha sufrido el perjudicado, así como, secundariamente, la prevención de futuros daños en que pueda incurrir el infractor^[87].

La obtención de una indemnización cuando se ha producido un daño probado es un derecho del interesado que genera confianza en el entorno digital. Constituye un incentivo para que cualquier responsable del tratamiento de datos personales actúe de forma más diligente en el futuro, contribuyendo a la eficacia general de las normas. La compensación^[88], por tanto, es un objetivo en sí mismo y ayuda a prevenir daños futuros. Responde al principio pro damnato, que favorece el resarcimiento del daño causado a la víctima en los casos en que esta no se encuentra legalmente obligada a soportarlo.

La citada indemnización tiene un carácter resarcitorio, compensatorio, tal como se deduce de las traducciones oficiales^[89], e implica la necesidad de ser proporcionada y efectiva^[90]. No tiene carácter punitivo^[91], sin perjuicio de que sirva también, secundariamente, para la prevención de conductas no ajustadas a sus disposiciones. En cualquier caso, es importante reseñar que el texto del Reglamento de protección de datos no hace ninguna alusión al carácter sancionador de la indemnización por daños materiales o inmateriales, como realiza en las sanciones penales y en las multas administrativas^[92].

Por otro lado, la indemnización contemplada en el art. 82 tiene naturaleza pecuniaria y no debe traducirse en una indemnización simbólica, de origen anglosajón, denominada nominal damages, que no tiene su reflejo en la legislación de los distintos Estados miembros^[93]. Una indemnización simbólica no se correspondería con los daños sufridos, que son reales y significativos.

No obstante, los asesores del juzgador europeo no descartan que la reparación del daño inmaterial incorpore otros componentes distintos al pecuniario, como por ejemplo el reconocimiento de la infracción cometida, con lo que se da una cierta satisfacción moral al demandante^[94].

VIII. CUANTIFICACIÓN DE LA COMPENSACIÓN POR DAÑOS Y PERJUICIOS[Subir]

Del texto del art. 82 del Reglamento se desprende que el importe de la indemnización por daños y perjuicios debe concretarse en una cantidad que cubra la reparación integral, restitutio in integrum, del daño total causado, lo que equivale al daño emergente. La indemnización busca el resarcimiento de los daños sin exceder la compensación completa de ese perjuicio^[95] que constituye el tope máximo, siendo adecuada al daño producido^[96]. La indemnización tiende a restablecer el equilibrio de la situación jurídica alterada negativamente (dañada) por la infracción del derecho. No pretende la obtención de una ventaja o beneficio financiero, lo que en derecho denominamos lucro cesante.

En relación con la cuantificación de la indemnización, el Tribunal de Luxemburgo^[97] confirmó que el Reglamento de protección de datos no introduce criterios o pautas que puedan servir para la valoración de los daños a fin de facilitar el cálculo del montante de la indemnización ya sea por medio de baremos, de sumas globales o de cualquier otro sistema^[98]. Y, en ausencia de normas específicas del derecho de la Unión Europea^[99], corresponde a los Estados miembros establecer criterios para determinar la cuantía de la indemnización, siempre que se respeten los principios de equivalencia y efectividad. Estos principios implican que las condiciones que se impongan para la concesión de la indemnización por daños procedente del art. 82 no sean menos favorables a las que rigen la concesión de las mismas en la normativa doméstica (principio de equivalencia), ni tampoco que hagan imposible o excesivamente difícil el ejercicio de este derecho en el seno del mercado único digital (principio de efectividad).

Esta ausencia de disposiciones relativas a la cuantificación de la indemnización ha propiciado que distintos tribunales de los Estados miembros hayan formulado cuestiones prejudiciales a fin de obtener alguna guía sobre la cuantificación, especialmente en lo que respecta a la valoración de los daños que giran en torno al umbral de gravedad de estos, el grado de culpa, la aplicación analógica de los criterios previstos para determinar las sanciones administrativas, así como las infracciones simultáneas de disposiciones nacionales relativas a la protección de datos personales que no tengan por objeto especificar las normas de dicho reglamento.

Las infracciones del Reglamento de protección de datos personales pueden adoptar diversas formas y diferente nivel de gravedad. Un tratamiento no autorizado de datos puede provocar daños reputacionales en general, acarrear un prejuicio económico directo o incluso puede llegar a alcanzar caracteres delictivos en supuestos de usurpación de identidad a través de la revelación de contraseñas. Por este motivo, y considerando los distintos supuestos prácticos a los que se enfrenta el juzgador, se planteó si el requisito de la seriedad de la lesión constituye un elemento determinante a la hora de determinar la cuantificación de la indemnización por daños y perjuicios derivada del art. 82.

El Tribunal de Luxemburgo tampoco consideró adecuado supeditar el derecho de compensación a la existencia de unos daños que revistan cierta relevancia y superen un determinado umbral de gravedad, de minimis. La razón esgrimida consiste en que la graduación de tal umbral, del que dependería la posibilidad de obtener dicha indemnización^[100], podría fluctuar en función de la valoración de los jueces nacionales que conocieran del asunto y sería contrario al enfoque amplio de daños y perjuicios utilizado por el legislador del mercado único en particular^[101]. Es preciso constatar que la referencia al umbral de gravedad de los daños no es un concepto uniforme en las distintas legislaciones de los Estados miembros de la Unión Europea, sino que es propio de algunos sistemas legislativos como el austriaco o el italiano^[102]. De alguna manera, el Tribunal de Luxemburgo hace suyo el adagio minimis non curat Praetor, proveniente del Digesto, que excluye las causas insignificantes o intrascendentes de la competencia de los magistrados.

El Tribunal de Luxemburgo no hace expresa referencia al umbral de gravedad, por lo que para los distintos tribunales nacionales resulta difícil diferenciar aquellas molestias consideradas meros inconvenientes, como situaciones relacionadas con un «estado de incertidumbre prolongado»^[103] que no son consideradas indemnizables, de las que suponen un daño o perjuicio mínimo considerado significativo o suficiente y que puede ser probado y, por tanto, indemnizable.

Con relación al carácter intencional del perjuicio sufrido, el citado Tribunal no considera que el grado de culpa pueda influir en la cuantificación del importe de la indemnización por daños y perjuicios concedida como reparación de un daño sufrido en el ámbito de la protección de datos personales^[104], atendida la finalidad de la indemnización, que es compensar a la víctima de los daños sufridos.

Por otro lado, el Tribunal de Luxemburgo ha descartado de forma expresa la solicitud de aplicación analógica de los criterios de evaluación previstos para las sanciones administrativas contemplados en el mismo reglamento. Atendida la función compensatoria de la indemnización por daños y perjuicios establecida en el art. 82, que tiene carácter privado, el citado tribunal considera que no se pueden aplicar los criterios de evaluación previstos para la fijación de multas administrativas que cumplen una función de carácter público contenidas en el art. 83^[105], respondiendo a criterios como la intencionalidad o la negligencia con una finalidad punitiva. Estas dos categorías de disposiciones son diferentes pero complementarias en su finalidad de incentivar el respeto del citado reglamento y puede disuadir de la reiteración de comportamientos ilícitos^[106].

Recientemente, el Tribunal de Luxemburgo también ha rechazado la consideración de la infracción simultánea de disposiciones nacionales relativas a la protección de datos personales que no tengan por objeto especificar las normas de dicho reglamento^[107] como factor a considerar para determinar el quantum de la indemnización. En estos casos, el juez nacional, basándose en su legislación interna, puede optar por conceder una indemnización superior a la reparación total y efectiva prevista en el art. 82 si la considera insuficiente atendido el perjuicio causado por la infracción de las disposiciones de derecho nacional.

De alguna manera, el Tribunal de Luxemburgo parece alejarse de baremos de tipo objetivo, de carácter impersonal y abstracto, centrándose en la búsqueda de una indemnización individualizada que se adecúe a las características del daño infringido a cada víctima en particular. Hasta la fecha, el Tribunal de Luxemburgo no solo no ha ofrecido ninguna guía para determinar la magnitud del perjuicio sufrido objeto de compensación, sino que ha descartado los distintos intentos que han formulado los tribunales nacionales para conseguir algún parámetro para cuantificar la indemnización por daños y perjuicios, por lo que constituye en la actualidad una cuestión abierta.

IX. JURISPRUDENCIA RELATIVA A LA CONCESIÓN DE LA INDEMNIZACION [Subir]

En el seno de la Unión Europea, los distintos tribunales nacionales, conscientes de la dificultad de evaluar el precio justo o fair price que compense estos daños, dictan sus resoluciones sobre la pretensión económica solicitada por los perjudicados y la valoran de conformidad con sus criterios a fin de obtener el importe que consideran adecuado para cada situación. El límite efectivo existente en la concesión de la indemnización por daños y perjuicios reside en el importe solicitado por la víctima. Los tribunales domésticos no pueden, por definición, conceder una cantidad superior a la demandada, dictando un fallo ultra petita. Asimismo, no podemos obviar que, en lo que respecta a la cantidad concedida en concepto de indemnización, la mayoría de los tribunales de los Estados miembros se rigen por principios como el de la razonabilidad y equidad.

A fin de cuantificar la indemnización, es preciso distinguir los daños materiales, concretos y fácilmente evaluables y cuantificables, de aquellos inmateriales, de carácter heterogéneo, que atañen a daños derivados del daño moral concretado en el deterioro de la imagen, de la solvencia profesional, de valoración estimativa, y más difíciles de calcular con baremos objetivos, el denominado pretium doloris.

La aplicación práctica del sistema de responsabilidad autónomo contemplado en el art. 82 ha incidido en la complejidad que conlleva delimitar y cuantificar los daños sufridos, especialmente los inmateriales, dotados de una gran dosis de subjetividad, y en particular en lo que se refiere al ámbito probatorio, ya que no todas las personas los perciben de igual manera.

No obstante, tal como establece el Tribunal Supremo español^[108], «el hecho de que la valoración del daño moral no pueda obtenerse de una prueba objetiva no excusa ni imposibilita legalmente a los tribunales para fijar su cuantificación […] a cuyo efecto ha de tenerse en cuenta y ponderar las circunstancias concurrentes en cada caso»^[109]. Se parte de una valoración de tipo estimativa utilizando criterios de prudente arbitrio.

Aunque diversos Estados miembros no poseen una tradición jurídica familiarizada con la concesión de indemnización por daños morales en el ámbito de la responsabilidad civil^[110] (‍Knetsch, 2022: 139), están dictando resoluciones judiciales en cumplimiento del Reglamento de protección de datos.

Algunos Estados miembros, como Alemania, conceden indemnizaciones por daños inmateriales solo en aquellos supuestos contemplados de forma expresa por la ley, como es el supuesto contemplado en el art. 82 del Reglamento de protección de datos. En estos supuestos, el objetivo del juzgador es la percepción de una indemnización de carácter equitativo^[111].

En Austria siguen asimismo un enfoque restrictivo, pero han proliferado las resoluciones judiciales recientemente, en particular indagando el umbral mínimo de gravedad de los daños, así como la prueba objetiva de los daños sufridos. Resulta interesante la sentencia relativa a una solicitud de indemnización por daños morales por importe de mil euros que solicitaba un ciudadano con motivo del tratamiento de sus datos personales que una empresa realizó sobre sus afinidades políticas, causándole un profundo malestar^[112], que fue denegada, pese a que se admitió la petición relativa al cese de conducta infractora del Reglamento.

Por otro lado, el Tribunal Supremo austriaco cifró en quinientos euros la indemnización de daños y perjuicios ocasionados por la enorme molestia causada a un ciudadano con motivo de que no pudo tener acceso a la totalidad de sus datos durante un período largo de tiempo^[113].

En Holanda, en 2021, el Tribunal de Rotterdam concedió una indemnización por daños morales por importe de 2500 euros, al considerar que el hecho de que los datos médicos de la demandante hubiesen estado almacenados durante más de diez años en registros, pese a las solicitudes de supresión de datos realizadas por la interesada, implicaba que personas y autoridades hubieran podido tener acceso a estos datos sin estar autorizadas^[114]. A fin de cuantificar el montante de la indemnización, el Tribunal tuvo en consideración una resolución judicial anterior de otro Tribunal holandés que, en 2020, concedió una indemnización por importe de quinientos euros por un tratamiento no consentido de datos personales también de carácter médico, a los que tuvieron acceso un grupo reducido de profesionales provisto de secreto profesional durante un breve período de tiempo^[115]. Esta forma de comparar la indemnización estimada con la concedida en situaciones similares se denomina «indemnización por contraste»^[116] (‍García Vicente, 2023: 6). No obstante, en este caso concreto el Tribunal de Rotterdam se limitó a indemnizar los daños morales y descartó compensar los daños materiales al considerar que la demandante no resultó perjudicada en su ámbito laboral, ni sufrió menoscabo en sus ingresos a raíz del tratamiento no consentido de sus datos médicos.

Igualmente, el Administrative District Court of the Northern Netherlands moderó el importe de la cantidad solicitada inicialmente y concedió una indemnización por importe de doscientos cincuenta euros debido a un tratamiento indebido de datos personales que causó malestar y estrés^[117].

En 2023, el Tribunal de Genderland District concedió una indemnización por daños morales por importe de trescientos euros a un alumno cuyo expediente académico universitario fue filtrado por piratas informáticos dando acceso y difusión a datos médicos sensibles^[118].

En Italia, la Corte Suprema de Casación denegó una indemnización por importe de tres mil euros a unos estudiantes de la Universidad de Roma, a raíz de la inclusión en un archivo Excel de sus datos fiscales, situación laboral y salarial^[119], sobre la base de que las consecuencias económicas desfavorables para los interesados no habían podido probarse. Posteriormente, el Tribunal Supremo de Casación italiano también denegó la indemnización por daños morales ocasionados por una inclusión ilícita en un sistema de información crediticia al no haberse podido acreditar debidamente los daños a la imagen y a la reputación alegados^[120]. Pese a ser muy estrictos en el ámbito probatorio, los tribunales italianos no dudan en conceder la indemnización por daños morales si se acreditan objetivamente estos, como es el supuesto de los que sufrió un trabajador, en este caso funcionario, ocasionados por la publicidad, motivada por un error humano, de un embargo sobre su sueldo, que afectaba su imagen y credibilidad profesional^[121].

En lo que respecta a la valoración de los daños en el ámbito de protección de datos personales, dotada de una gran complejidad, tal y como se constata en las anteriores sentencias comentadas, hay ámbitos en los que existe un cierto consenso, como es la inclusión por error en ficheros de morosidad, que afecta al prestigio, así como a la imagen de solvencia, del interesado y conlleva daños económicos negativos reales, como es el caso de la posterior dificultad para acceder a créditos, ya sean de carácter personal o hipotecarios (‍García Vicente, 2023: 5).

A nivel nacional, los tribunales españoles han optado por otorgarle una orientación amplia a la valoración de daños morales infringidos que conllevan la cuantificación de indemnizaciones, incluyendo los atentados al honor y la intimidad, así como los ataques al prestigio profesional^[122]. Los tribunales nacionales parten de unos presupuestos más flexibles que en otros Estados miembros. Abunda la jurisprudencia reciente que incide en analizar pormenorizadamente la casuística de cada situación concreta para determinar la cuantía de la indemnización por daños derivados de la vulneración del Reglamento de protección de datos. En este sentido, resulta especialmente clarificadora la sentencia de la Audiencia Provincial de Lugo de 21 de septiembre de 2021^[123] que contempla, para la cuantificación de la compensación derivada de la inclusión en un archivo automatizado de morosidad, diversos parámetros como el importe de la cantidad, la duración de la permanencia en el fichero, las consultas realizadas por diversas empresas al fichero durante ese período, así como las gestiones del interesado para su exclusión del mismo. A partir de la citada documentación, el Tribunal concretó la indemnización en mil quinientos euros.

Por otro lado, en ocasiones las partes cuestionan la existencia de la infracción, pero no el importe de la indemnización por daños y perjuicios solicitada, por lo que el Tribunal, una vez acreditada la infracción, no cuestiona el montante resultante, que es el solicitado por el perjudicado. En este sentido, resulta ilustrativa la sentencia de la Audiencia provincial de Valencia de 28 de junio de 2022^[124] que condena al pago de dos mil euros a la empresa que incluyó en su web una fotografía no autorizada de un trabajador en su lugar de trabajo.

En la práctica, la obtención de indemnizaciones por importes poco elevados (‍Lintvedt 2022: 13) disuade a los interesados en la reclamación de compensación por daños y perjuicios, atendidos los costes procesales y el desgaste personal, pero compensa en algunos casos, atendido el simbolismo que perciben como mecanismo de control sobre sus propios datos, que además permite eliminar o finalizar los daños ocasionados con esa infracción de forma definitiva. En caso contrario, perduraría en el tiempo, prolongando el malestar al sujeto titular de esos datos personales.

La intrínseca dificultad de establecer baremos en este ámbito otorga un gran poder y a la vez una gran responsabilidad a los tribunales de los Estados miembros encargados de delimitar la indemnización a nivel económico, gozando de un gran margen de maniobra al interpretar un fenómeno que, paradójicamente, es cada vez menos nacional y más global.

A fin de valorar la gravedad de los daños morales causados en materia de infracción de datos personales, en Alemania tienen en cuenta diversos factores tales como la naturaleza y alcance de la infracción, el ámbito de la esfera individual afectada, el grado de culpa, así como los motivos que guían la citada infracción (‍Magnus y Fedtke, 2021).

Otorgar criterios de valoración de daños de forma uniforme a nivel europeo sería conveniente, a fin de lograr una jurisprudencia coherente en el ámbito de la protección de datos personales, introduciendo no solo el método de cálculo, sino las variantes a considerar, tales como el propósito del tratamiento de datos, el alcance, la transferencia a terceros Estados, la vinculación de la actividad del infractor con la realización del tratamiento de datos de carácter personal, o la duración de la infracción. Para la obtención del montante resarcitorio, todos estos elementos deberían ser ponderados según las diferencias del coste de vida y poder adquisitivo existentes, a fin de que conduzcan a una compensación homogénea en el seno de los Estados miembros.

Es indudable que las pautas sobre la calificación de las distintas situaciones irán evolucionando en los próximos años siguiendo el contexto social y económico de la sociedad en la que se enmarca la tecnología disruptiva. Recaerá en el seno de la misma comunidad la percepción de aquellas infracciones que provocan daños probados, especialmente en el ámbito de los daños morales, y deben ser objeto de indemnización.

Pese a que el Tribunal de Luxemburgo no se ha pronunciado en este ámbito, no es descartable que introduzca alguna variable dotada de flexibilidad en él siguiendo alguno de los elementos ya introducidos por los distintos tribunales nacionales, como hemos previamente señalado.

X. EL CONTORNO DEL CONCEPTO AUTÓNOMO [Subir]

El contorno delimitador del concepto autónomo de responsabilidad civil se centra en todos aquellos aspectos que el legislador no ha regulado o que expresamente establece que sean especificados por el derecho de los Estados miembros^[125], de conformidad con el considerando octavo del Reglamento de protección de datos.

El art. 82 del Reglamento de protección de datos personales, al igual que ocurría en la directiva anterior, no incluye ningún plazo de prescripción de la acción indemnizatoria, por lo que corresponde a los diferentes Estados miembros regular este ámbito^[126] a fin de complementar el Reglamento. Ante la dificultad de armonizar esta área, incluso dentro de la misma normativa nacional, que diverge según la naturaleza de la obligación de la que dimana la indemnización sea considerada con carácter contractual o extracontractual, el legislador europeo opta de forma consciente por no regularlo.

En líneas generales, en el ámbito de la protección de datos personales, podemos considerar, con carácter extracontractual, los daños ocasionados por empresas titulares de motores de búsqueda, mientras que los daños producidos por plataformas o titulares de redes sociales pueden calificarse como contractuales. En otros supuestos prácticos la calificación puede revestir mayores complicaciones, como puede ser el caso de la facilitación de datos personales para un producto bancario, por ejemplo, una tarjeta de crédito, y el posterior tratamiento de estos para su inclusión sin consentimiento en un listado de morosidad de forma errónea.

En nuestro derecho no tenemos una norma específica en esta materia, por lo que se aplican las reglas generales de prescripción para acciones que difieren según sean de carácter contractual o no contractual^[127]. En líneas generales, ante la dificultad de unificar criterios en este ámbito, sería conveniente que los plazos de prescripción no fueran excesivamente largos desde el conocimiento de la infracción o desde que debía haberse tenido, que no excedieran los cinco años bajo ningún supuesto, a fin de que sean eficientes y contribuyan a la seguridad jurídica.

Tal y como se ha comentado anteriormente, otro aspecto no regulado de forma expresa es la forma de cuantificación de la indemnización por daños y perjuicios. El concepto autónomo ha servido para introducir un tope máximo, que consiste en el importe solicitado que compense totalmente el perjuicio causado, difícil de valorar, especialmente en lo que respecta a los daños inmateriales, y un mínimo, consistente en los daños considerados meras molestias o inconvenientes que, por su escasa relevancia, son imposibles de probar de forma objetiva. Sin embargo, remite a la legislación de los Estados miembros la forma de cuantificarlo de conformidad con las particularidades propias de su tradición jurídica. Esta solución no es satisfactoria en la medida en que no se establecen unas reglas uniformes válidas en el ámbito del mercado único y puede propiciar soluciones dispares e incluso fomentar el forum shopping, atendido que el art. 79 del Reglamento permite interponer la demanda ante cualquiera de los tribunales del Estado miembro en el que el responsable o encargado tenga el establecimiento o bien tenga su residencia habitual el interesado.

Sin embargo, tal como hemos constatado, existe una línea moderada establecida por el Tribunal de Luxemburgo que gobierna la concesión de indemnizaciones bajo requisitos estrictos y objetivamente probados en todos los Estados miembros, por lo que las divergencias, en su caso, teóricamente no deberían ser sustanciales. No obstante, y pese a haber descartado hasta la fecha ofrecer alguna guía o parámetro, no es descartable que en el futuro el Tribunal de Luxemburgo se pronuncie en este ámbito, así como sobre otros aspectos sin regular o que presentan lagunas y que son cuestiones que provocan inseguridad jurídica.

XI. REFLEXIONES FINALES[Subir]

El Reglamento de protección de datos personales ha instaurado un sistema uniforme en el seno de la Unión Europea aplicable a todos los Estados miembros en materia de responsabilidad civil especial y de carácter sectorial, que se concreta en el art. 82, y que ha sido objeto de una interpretación autónoma por parte del Tribunal de Luxemburgo. Aunque sirve para proteger de forma clara los intereses de los ciudadanos en el ámbito de la protección de datos personales, no obvia que este derecho no tiene un carácter absoluto y debe conjugarse con la libre circulación de datos personales en el seno de la Unión Europea.

El legislador europeo ha introducido normas de competencia judicial específicas que facilitan la concesión de la medida resarcitoria que depende del juzgador, tanto en lo que respecta a la prueba de daño causado como a su cuantificación. Con esta finalidad, ofrece dos foros alternativos: el foro del establecimiento del responsable o encargado y el foro de la residencia habitual del interesado, siendo ambos adecuados, así como previsibles, favoreciendo el último especialmente los intereses de la víctima.

En la construcción de un concepto autónomo, el juzgador europeo ha perfilado este sistema de responsabilidad civil como un sistema de responsabilidad por culpa, aunque matizado por la inversión de la carga de la prueba, pese a su carácter mixto, que engloba elementos propios de la responsabilidad subjetiva y la objetiva.

El Tribunal de Luxemburgo ha introducido requisitos razonables, prudentes, a fin de limitar la responsabilidad que da lugar a una compensación económica, evitando condiciones imposibles de cumplir por las empresas que actúan en el mercado digital único, así como el aumento indiscriminado de reclamaciones en este contexto.

La interpretación realizada por el citado tribunal ha delimitado los requisitos acumulativos de carácter estricto de los daños sufridos, que abarcan, de forma novedosa, tanto los materiales como los inmateriales, producidos por las infracciones del Reglamento, y garantiza que únicamente se otorguen indemnizaciones por daños y perjuicios debidamente acreditados. El importe de la indemnización por infracción del art. 82 del Reglamento que puede solicitar la víctima en su demanda oscila entre el mínimo indemnizable, que supere las meras molestias o daño insignificante, y el tope máximo, consistente en el importe demandado a fin de cubrir el valor del daño total infringido, aunque este resulta difícil de probar, especialmente en los daños inmateriales o morales. Este enfoque restrictivo se ha visto reflejado en recientes resoluciones judiciales de los tribunales de los Estados miembros, que frecuentemente han denegado indemnizaciones por falta de prueba objetiva sobre el daño sufrido y han ponderado el montante de las indemnizaciones concedidas cifrándolas en importes de baja cuantía. Estos hechos, unidos a los costes y la lentitud procesal, no suponen un aliciente para las personas interesadas en su obtención, que únicamente utilizarán esta vía para infracciones del Reglamento que constituyan claros perjuicios que puedan ser probados.

La interpretación que ha realizado el Tribunal de Luxemburgo de la responsabilidad civil contemplada en el art. 82 del Reglamento ha servido para delinear de forma clara y precisa, con carácter funcional, un concepto autónomo de responsabilidad, aunque de carácter incompleto, dejando algunos aspectos por regular, como el plazo de prescripción de la acción y, en particular, la forma de cuantificar la indemnización. No ha establecido ni pautas ni criterio alguno en esta materia, lo que genera falta de previsibilidad y seguridad jurídica en un ámbito cada vez más global, dejando en manos de los tribunales de los Estados miembros la determinación de su importe y favoreciendo en su caso la posibilidad del forum shopping.

Así pues, actualmente el sistema de responsabilidad civil creado por el art. 82 carece tanto de un modo de cálculo unificado de la cuantía de la indemnización como de criterios orientativos que giren en torno a las circunstancias relevantes que inciden en el daño causado por la infracción, tales como la duración o la divulgación, guiados por la razonabilidad y el principio de equidad, tal como han señalado algunos tribunales nacionales de los Estados miembros. Por este motivo, no se descarta que, en un futuro próximo, el Tribunal reciba cuestiones prejudiciales de los distintos tribunales nacionales y se pronuncie a fin de solventar estas crecientes dificultades, que son comunes y están detectando los distintos tribunales. Los conceptos autónomos, por definición, están en constante evolución y se adecúan a la realidad cambiante, que en el ámbito digital goza de una gran celeridad.