Derecho a recibir una indemnización si se vulnera mi derecho a la protección de datos

El Reglamento General de Protección de Datos (RGPD) establece que toda persona que haya sufrido daños y perjuicios materiales o inmateriales como consecuencia de una infracción del mismo tendrá derecho a recibir del responsable o del encargado del tratamiento una indemnización por los daños y perjuicios sufridos, salvo que estos últimos demuestren que no son en modo alguno responsables del hecho que haya causado los daños y perjuicios.

Este derecho de indemnización suscita algunas cuestiones importantes que trataremos de responder en este artículo, siguiendo el criterio del Tribunal de Justicia de la Unión Europea.

1. ¿Es suficiente que exista una infracción del RGPD sobre nuestros datos personales para que podamos exigir una indemnización?

Una mera infracción del RGPD no es suficiente para fundamentar por sí sola un derecho a indemnización. Para que esta proceda, deben concurrir tres elementos acumulativos:

1. La existencia de una infracción del RGPD.
2. La existencia de un perjuicio (material o inmaterial).
3. La existencia de una relación de causalidad entre ambos.

Por tanto, es imprescindible que el interesado acredite que ha sufrido un perjuicio como consecuencia directa de dicha infracción. De lo contrario, no cabrá reclamar indemnización alguna.

2. ¿Debe tener el daño sufrido un mínimo de gravedad para tener derecho a ser indemnizado?

No se exige que el daño material o inmaterial tenga un cierto nivel de gravedad. Aunque algunos ordenamientos nacionales imponen ese umbral para reconocer una compensación, el Derecho de la Unión no lo contempla. El RGPD permite la reparación de cualquier perjuicio, por mínimo que sea, siempre que pueda probarse su existencia y su nexo causal con la infracción.

3. ¿Puede fundarse la indemnización únicamente en el temor a la divulgación de datos?

El temor razonable a que los datos personales hayan sido divulgados a terceros puede considerarse un daño inmaterial indemnizable, aunque no se demuestre que tal divulgación se haya producido efectivamente. Eso sí, este temor debe ser real, concreto y probado, y debe haber generado consecuencias negativas en la persona afectada (por ejemplo, ansiedad, malestar, pérdida de confianza, etcétera). No basta con alegar un temor abstracto o una mera sospecha sin efectos tangibles. En definitiva, se debe demostrar que se ha sufrido efectivamente daños y perjuicios materiales o inmateriales.

4. ¿Se pueden aplicar los mismos criterios que se usan para fijar las multas administrativas?

Los criterios establecidos en el RGPD para calcular las multas administrativas no son aplicables al derecho a indemnización. Ambos instrumentos persiguen finalidades distintas: las multas tienen un carácter sancionador y disuasorio y la indemnización, en cambio, cumple una función compensatoria.

5. ¿Debe la indemnización cumplir una función disuasoria?

La indemnización por daños y perjuicios prevista en el RGPD no tiene carácter punitivo ni busca disuadir al infractor. Su finalidad es exclusivamente reparar de forma total y efectiva el daño efectivamente sufrido por el interesado.