El pasado 4 de septiembre se ha publicado una sentencia del Tribunal de Justicia de la Unión Europea (TJUE) como consecuencia de una cuestión prejudicial planteada por el Tribunal Supremo Federal de lo Civil y Penal de Alemania.
La cuestión prejudicial se plantea en un procedimiento que enfrenta al demandante y a la entidad Quirin Privatbank (demandada). El demandante alega que envió una solicitud de empleo a la entidad demandada y que una de sus empleadas envió un mensaje a un tercero, con el que el demandante había trabajado anteriormente, en el que se recogían las negociaciones sobre el salario del nuevo puesto. Posteriormente, este tercero se puso en contacto con el demandante para preguntarle si estaba buscando empleo. Ante tal circunstancia, el demandante interpone una demanda para exigir al demandado el cese de la divulgación de esta información, así como una indemnización por los daños ocasionados.
El tribunal alemán dictó sentencia imponiendo la obligación al demandado de cesar en la divulgación de los datos personales del demandante, pero no aceptó la indemnización propuesta por el demandante. Tras varios recursos por ambas partes, el Tribunal Supremo alemán plantea varias preguntas al TJUE, que versan principalmente sobre:
• Si existe la posibilidad de que las personas afectadas por un tratamiento ilícito de datos puedan exigir al responsable del tratamiento que se abstenga de divulgar sus datos y, por tanto, deje de reiterar dicha infracción. Y en caso de contar con dicha posibilidad, si lo pueden realizar a través de un recurso judicial conforme a la ley nacional del Estado Miembro.
• En cuanto a la indemnización por daños y perjuicios, se pregunta sobre si existe necesidad de que, para apreciar esos daños, es suficiente con el sentimiento negativo del afectadoo si debe ir más allá. También se pregunta sobre si el grado de culpa que tiene el responsable influye en la cuantificación de la indemnización y, por último, si se puede tener en cuenta como atenuante al cuantificar la deuda que, junto a la indemnización se otorgue ese derecho de cesación.
El TJUE resuelve las cuestiones prejudiciales de la siguiente forma:
• En lo referente al primer punto, el TJUE establece que el Reglamento General de Protección de Datos (RGPD) no contempla la situación de que una persona afectada por un tratamiento ilícito de datos y, sin solicitar la supresión de datos personales, tenga una vía de recurso judicial a nivel nacional que, de forma preventiva, exija al responsable del tratamiento que se abstenga de realizar un nuevo tratamiento ilícito. No obstante, esto no impide a los Estados Miembros a establecer esta vía de recurso en sus respectivos ordenamientos.
• En relación con la indemnización por daños y perjuicios, el TJUE establece, en primer lugar, que el concepto de daños y perjuicios inmateriales comprende aquellos sentimientos negativos que el interesado sufre por la transmisión de sus datos personales por parte del responsable del tratamiento sin autorización y que se dan ante la pérdida de control sobre sus datos, por su uso indebido o por el menoscabo de su reputación. El interesado debe demostrar que sufre dichos sentimientos, con consecuencias negativas y todo ello, debido a una infracción del RGPD. En segundo lugar, el TJUE destaca que el artículo 82.1 RGPD se opone a que el grado de culpa del responsable del tratamiento sea relevante en la cuantificación de la indemnización por daños y perjuicios inmateriales. Por último, el hecho de que al interesado tenga derecho a una indemnización y, además, a una acción de cesación de divulgación de sus datos,no implica una atenuante en la cuantificación de la indemnización.