Se teme que las sentencias del TJUE causen daños en virtud del RGPD

El 14 de diciembre de 2023, el Tribunal de Justicia de la Unión Europea (“TJUE”) emitió su decisión sobre el caso V.B.v. La primera agencia nacional (C‑340/21), que incluye, entre otros, el concepto de daño moral según el artículo 82 del Reglamento General de Protección de Datos de la UE («RGPD») y las normas que regulan la carga de la prueba según el RGPD, reveló.

Mas tarde

Tras el ciberataque contra la Agencia Nacional de Ingresos de Bulgaria (la «Agencia»), una de los más de seis millones de personas afectadas presentó una demanda ante el Tribunal Administrativo de Sofía solicitando una indemnización. En apoyo de esta reclamación, la persona afectada alegó que sufrió un daño moral como consecuencia de la violación de datos personales provocada por el incumplimiento por parte de la Agencia de sus obligaciones en virtud, entre otros, de los artículos 5(1)(f), 24 y 32 del RGPD. El daño moral que se pretende consiste en el temor a que sus datos personales, publicados sin su consentimiento, sean utilizados indebidamente en el futuro, o que sean chantajeados, agredidos o incluso secuestrados.

Decisión del TJUE

En su decisión, el TJUE considera que el mero hecho de que se haya producido una violación de datos personales no significa que la Agencia no haya implementado medidas técnicas y organizativas adecuadas para cumplir con los artículos 24 y 32 del RGPD. La intención del legislador de la UE, según explicó el TJUE, era «minimizar» los riesgos de vulneración de datos personales, sin pretender que fuera posible eliminarlos». Los tribunales nacionales deben considerar las medidas implementadas «de manera integral , teniendo en cuenta los riesgos asociados a los procesos pertinentes y evaluando si la naturaleza, el contenido y la aplicación de esas medidas son adecuados a esos riesgos.»

Dicho esto, el TJUE también señala que el hecho de que una violación resulte de la conducta de un tercero (ciberdelincuentes) no hace que el responsable del tratamiento sea responsable de la víctima y que, en el contexto de una acción de indemnización en virtud del artículo 82 del el RGPD. , la carga de demostrar que las medidas técnicas y organizativas implementadas son adecuadas recae en el responsable del tratamiento y no en el particular.

Por último, basándose en su sentencia Österreichische Post, el TJUE señala que el miedo que experimentan los individuos debido al mal manejo de sus datos personales por parte de terceros como resultado de una violación del RGPD, en sí mismo causa un daño. . A este respecto, el órgano jurisdiccional nacional está obligado a comprobar que el miedo también puede considerarse como fundamento en circunstancias específicas que afectan al interesado. Lea la sentencia.