La indemnización por infracción del RGPD: qué debe probar quien reclama

Qué dice realmente el artículo 82

El art. 82.1 reconoce a toda persona que haya sufrido daños y perjuicios materiales o inmateriales como consecuencia de una infracción del Reglamento el derecho a ser indemnizada por el responsable o el encargado. Es una norma breve que los tribunales nacionales leyeron durante años de formas opuestas: unos exigían un perjuicio grave y documentado, otros consideraban suficiente la infracción en sí. Entre 2023 y 2024 el Tribunal de Justicia cerró casi todas esas divergencias.

Tres elementos, y el umbral que no existe

En la sentencia Osterreichische Post (asunto C-300/21, 4 de mayo de 2023) el Tribunal estableció que el derecho a la indemnización exige tres condiciones acumulativas: una infracción del Reglamento, un daño concreto y un nexo causal entre ambos. La mera infracción, por sí sola, no genera el derecho. Hasta aquí, buena noticia para los responsables. La segunda parte de la misma sentencia retira buena parte de lo que la primera había concedido.

El temor puede ser un daño. Pero no siempre

En el asunto C-340/21 (14 de diciembre de 2023), derivado de un ciberataque a la agencia tributaria búlgara, el Tribunal afirmó que el temor a un posible uso ilícito de los datos por terceros, a raíz de una infracción, puede constituir por sí mismo un daño inmaterial. No hace falta que el uso ilícito se haya producido ya. Poco después, en MediaMarktSaturn (asunto C-687/21, 25 de enero de 2024), fijó el límite: un temor puramente hipotético, sin consecuencia negativa concreta, no basta. La frontera pasa entre el temor fundado en una pérdida real de control y la preocupación genérica.

Quién debe probar qué

Esta es la parte más cercana al trabajo diario del DPD. En el mismo C-340/21 el Tribunal aclaró que, cuando se discute la adecuación de las medidas técnicas y organizativas del art. 32, la carga de la prueba recae en el responsable. No es el interesado quien debe demostrar que las medidas eran insuficientes: es el responsable quien debe demostrar que eran apropiadas. Y la exención del art. 82.3 solo opera si el responsable prueba que el hecho no le es imputable en modo alguno - un listón alto que, en juris (asunto C-741/21, 11 de abril de 2024), el Tribunal confirmó que no se supera por el mero hecho de que el error lo cometiera un empleado.

Indemnizar, no castigar

En el asunto C-590/22 (20 de junio de 2024) el Tribunal reiteró que la función del art. 82 es exclusivamente compensatoria: repara el perjuicio sufrido, no castiga al responsable ni disuade al mercado. De ahí dos consecuencias opuestas. La primera es que no cabe reclamar importes punitivos. La segunda, menos cómoda, es que la multa ya impuesta por la autoridad no reduce la indemnización debida al particular: son dos vías separadas y se suman.

Qué hacer con esto el lunes por la mañana

Traducir esta jurisprudencia en trabajo concreto es menos dramático de lo que parece, pero hay que hacerlo antes, no después. Cinco cosas, y ninguna exige un proyecto.

• Compruebe que cada cliente tenga documentación fechada de las medidas del art. 32 y de por qué se consideraron adecuadas: es lo que desplaza la carga de la prueba a su favor, y debe existir antes del incidente.
• En el registro de violaciones, anote siempre la valoración del riesgo para los interesados incluso cuando decida no notificar: es el rastro que demuestra que hubo una valoración.
• Cuando la brecha afecta a muchos interesados, recuerde que la exposición civil se multiplica por su número: una cantidad modesta por persona se convierte en la partida económica más pesada del incidente.
• Comunicar puntualmente a los interesados no es solo un deber del art. 34: reduce el temor, y el temor es exactamente lo que el Tribunal considera daño indemnizable.
• Ponga por escrito los dictámenes que emite al responsable cuando desaconseja una decisión: si el responsable decide otra cosa, ese documento es la línea que separa su responsabilidad de la de usted.