Píldoras Gabineteras

        Según el art. 82.1 Reglamento General de Protección de Datos () «Toda persona que haya sufrido daños y perjuicios materiales o inmateriales como consecuencia de una infracción del presente Reglamento tendrá derecho a recibir del responsable o el encargado del tratamiento una indemnización por los daños y perjuicios sufridos». En los últimos años el TJUE ha dictado varias resoluciones que interpretan este articulo y van matizando los requisitos necesarios para exigir la indemnización a los responsables:

     *Se trata de una responsabilidad por culpa. No es suficiente que el demandante acredite la infracción de la normativa en materia de protección de datos, sino que es necesario que concurra culpa o negligencia en el actuar del responsable del tratamiento.
Sin embargo, el demandante está exonerado de probar la omisión del deber de cuidado, la negligencia, pues opera una inversión de la carga de la prueba, si bien el STJUE la denomina «presunción de culpa» (STJUE de 21 de diciembre 2023 C-667/21).
Responderá a menos que demuestre, tal y como indica el apartado 3 del art. 82 «que no es en modo alguno responsable del hecho que haya causado los daños y perjuicios».

         *El daño causado a la víctima demandante ha de probarse. Conforme al art. 82 RGPD, los daños pueden ser materiales o inmateriales; ahora bien, deben estar acreditados
(STJUE de 4 de mayo de 2023, C-300/21). La STJUE de 14 de diciembre de 2023, C 456/22, añade que «El interesado debe demostrar que las consecuencias de esa infracción que afirma haber sufrido constituyen un perjuicio distinto de la mera infracción de las disposiciones de dicho Reglamento». También la STJUE 4 de octubre del 2024 (C-507/23)
indica que «la infracción de disposiciones de dicho Reglamento no basta, por sí sola, para constituir un «daño»». Sin embargo, la posición del demandante respecto a la prueba se termina facilitando por el Tribunal pues este considera que el daño indemnizable puede ser leve, ya que no existe un umbral por debajo del cual el daño, no sea indemnizable.
Pero, además, las SSTJUE 4 de octubre de 2024 (C 200/23) y 4 de septiembre 2025 C-655/23, matizan que el «daño para la reputación» como consecuencia de una violación de la seguridad de los datos personales o el temor «fundado» producido por la «pérdida de control» sobre tales datos, figuran expresamente entre los ejemplos de posibles daños y perjuicios que se relacionan en los considerandos 75 y 85 del RGPD.

         *Cuantificación del daño inmaterial: Cuestión a resolver por los derechos nacionales.
La sentencia STJUE de 4 de mayo de 2023 (C-300/21) se remite al ordenamiento interno de cada país. La sentencia 20 de junio de 2024 C-590/22 añade que para la cuantificación no pueden tenerse en cuenta los criterios para la fijación del importe de las multas (art.
83 RGPD). Las sentencias de 21 de diciembre 2023 C-667/21 y de 4 de septiembre 2025 C-655/23 añaden que la indemnización no puede cuantificarse en función de la gravedad de la culpa del infractor, o el carácter doloso de su conducta.