A indemnização por violação do RGPD: o que tem de provar quem reclama

O que diz realmente o artigo 82.º

O artigo 82.º, n.º 1 reconhece a quem tenha sofrido danos patrimoniais ou não patrimoniais devidos a uma violação do Regulamento o direito a indemnização por parte do responsável pelo tratamento ou do subcontratante. É uma norma breve, que os tribunais nacionais leram durante anos de formas opostas: uns exigiam um prejuízo sério e documentado, outros consideravam suficiente a violação em si. Entre 2023 e 2024 o Tribunal de Justiça encerrou quase todas essas divergências.

Três elementos, e o limiar que não existe

No acórdão Osterreichische Post (processo C-300/21, 4 de Maio de 2023) o Tribunal decidiu que o direito a indemnização exige três condições cumulativas: uma violação do Regulamento, um dano efectivo e um nexo de causalidade entre ambos. A simples violação, por si só, não faz nascer o direito. Até aqui, boa notícia para os responsáveis. A segunda parte do mesmo acórdão retira grande parte do que a primeira tinha dado.

O receio pode ser um dano. Mas nem sempre

No processo C-340/21 (14 de Dezembro de 2023), nascido de um ciberataque à administração fiscal búlgara, o Tribunal afirmou que o receio de uma possível utilização ilícita dos dados por terceiros, na sequência de uma violação, pode constituir em si mesmo um dano não patrimonial. Não é necessário que a utilização ilícita já tenha ocorrido. Pouco depois, em MediaMarktSaturn (processo C-687/21, 25 de Janeiro de 2024), fixou o limite: um receio puramente hipotético, sem qualquer consequência negativa concreta, não basta. A fronteira passa entre o receio fundado numa perda real de controlo e a preocupação genérica.

Quem tem de provar o quê

Esta é a parte mais próxima do trabalho diário do EPD. No mesmo processo C-340/21 o Tribunal esclareceu que, quando se discute a adequação das medidas técnicas e organizativas do artigo 32.º, o ónus da prova recai sobre o responsável pelo tratamento. Não é o titular dos dados que tem de demonstrar que as medidas eram insuficientes: é o responsável que tem de demonstrar que eram apropriadas. E a exoneração do artigo 82.º, n.º 3 só opera se o responsável provar que o facto não lhe é de modo algum imputável - uma fasquia alta que, no processo juris (C-741/21, 11 de Abril de 2024), o Tribunal confirmou não ser ultrapassada pelo simples facto de o erro ter sido cometido por um trabalhador.

Reparar, não punir

No processo C-590/22 (20 de Junho de 2024) o Tribunal reafirmou que a função do artigo 82.º é exclusivamente compensatória: repara o prejuízo sofrido, não pune o responsável nem dissuade o mercado. Daqui decorrem duas consequências opostas. A primeira é que não podem ser pedidos montantes punitivos. A segunda, menos cómoda, é que a coima já aplicada pela autoridade não reduz a indemnização devida ao particular: são duas vias separadas e somam-se.

O que fazer com isto na segunda-feira de manhã

Traduzir esta jurisprudência em trabalho concreto é menos dramático do que parece, mas faz-se antes e não depois. Cinco pontos, e nenhum exige um projecto.

• Verifique que cada cliente tem documentação datada das medidas do artigo 32.º e das razões pelas quais foram consideradas adequadas: é isso que desloca o ónus da prova a seu favor, e tem de existir antes do incidente.
• No registo de violações, anote sempre a avaliação do risco para os titulares mesmo quando decide não notificar: é o rasto que demonstra que houve uma avaliação.
• Quando a violação atinge muitos titulares, lembre-se de que a exposição cível se multiplica pelo seu número: um montante modesto por pessoa torna-se a maior rubrica financeira do incidente.
• Informar atempadamente os titulares não é apenas um dever do artigo 34.º: reduz o receio, e o receio é exactamente aquilo que o Tribunal considera dano indemnizável.
• Reduza a escrito os pareceres que dá ao responsável quando desaconselha uma opção: se o responsável decidir de outro modo, esse documento é a linha que separa a responsabilidade dele da sua.