Sentencia del Tribunal de Justicia en el asunto C-300/21.
Desde 2017, Österreichische Post, sociedad austriaca dedicada a la venta de direcciones, recogió información sobre las afinidades políticas de la población austriaca. Con ayuda de un algoritmo que tiene en cuenta diversos criterios sociales y demográficos, definió «direcciones de grupos de destinatarios». Los datos así generados se vendieron a distintas organizaciones para permitirles realizar el envío de publicidad dirigida.
En el marco de su actividad, Österreichische Post trató datos que, mediante extrapolación estadística, le llevaron a inferir la afinidad de determinadas personas con determinados partidos políticos. Así, una de las personas afectadas, reclamó una indemnización de 1.000€ por los perjuicios que le había ocasionado el hecho de que Österreichische Post conservara en el seno de la referida sociedad datos relativos a sus supuestas opiniones políticas, lo que le causó una importante contrariedad, una pérdida de confianza y un sentimiento de humillación.
El TJUE se pronuncia y establece tres requisitos acumulativos para que tenga lugar la indemnización:
1. Que se haya producido una infracción del RGPD.
2. Que se hayan derivado de la infracción unos daños y perjuicios materiales o inmateriales consecuencia de la misma.
3. Que se produzca una relación de causalidad entre los daños y perjuicios y la infracción.
Por tanto, puede concluirse que, no siempre se derivará una indemnización de una infracción del RGPD que, además, debe diferenciarse de la imposición de multas administrativas, por ejemplo, que constituyen otro de los recursos derivados de la norma.
En cuanto a la indemnización por los daños y perjuicios morales causados, estos no deberán alcanzar un umbral determinado de gravedad para poder solicitarla, sino que serán los jueces los encargados de definir los límites a partir de los cuales podrá solicitarse.
En definitiva, será el ordenamiento jurídico interno de cada Estado miembro el que deberá identificar tanto la cuantía como las acciones que podrán ser objetode indemnización. teniendo presente los principios de equivalencia y efectividad. Pero, en cualquier caso, y en palabras del TJUE, el derecho a la indemnización previsto en el RGPD con función compensatoria “no tiene por objeto garantizar una indemnización total y efectiva por los daños y perjuicios sufridos”.