Acciones para proteger los datos

Los episodios de robo masivo de datos personales, o los recientes casos de uso il¨ªcitos de los mismos (como ha sucedido en el caso de Facebook y Cambridge Analytica), plantean la necesidad de enfrentar jur¨ªdicamente estos hechos. No solo para sancionar a sus responsables, sino tambi¨¦n para que las v¨ªctimas sean compensadas por los da?os sufridos. El Reglamento General de Protecci¨®n de Datos (RGPD), aplicable desde el pr¨®ximo 25 de mayo, prev¨¦ un riguroso r¨¦gimen sancionador ante las infracciones. Dependiendo de los casos, puede llegar a multiplicar por miles de veces las ¨²ltimas multas impuestas, haciendo que superen los centenares de millones de euros. De hecho, ¨¦stas pueden llegar al 4% de la facturaci¨®n anual de la compa?¨ªa.

Pero, sin perjuicio de las multas, la norma europea reconoce tambi¨¦n el derecho de la persona que haya sufrido da?os y perjuicios como consecuencia de dicha infracci¨®n, a obtener una indemnizaci¨®n. Lo interesante es que, aunque el Derecho comunitario ya contaba con una importante, aunque poco utilizada, previsi¨®n al respecto, el RGPD abre nuevas v¨ªas de actuaci¨®n a los afectados.

Los expertos consultados recuerdan que la todav¨ªa vigente directiva de privacidad prev¨¦ que toda persona que sufra un perjuicio como consecuencia de un tratamiento il¨ªcito de sus datos debe tener derecho ¡°a obtener del responsable del tratamiento la reparaci¨®n del perjuicio sufrido¡±. Este mandato se incorpor¨® a la Ley Org¨¢nica de Protecci¨®n de Datos de 1999, pero ha desaparecido del nuevo proyecto de ley que actualmente est¨¢ en tramitaci¨®n en el Congreso.

En opini¨®n de Alfonso Pacheco Cifuentes, abogado y editor del blog Privacidad L¨®gica, no es algo preocupante: ¡°Si todo sigue as¨ª, nos regiremos directamente por lo establecido en el RGPD, que es norma directamente aplicable en los Estados miembros¡±. Y esta norma establece que ¡°toda persona¡± que haya sufrido da?os y perjuicios ¡°materiales o inmateriales¡± como consecuencia de una infracci¨®n del Reglamento ¡°tendr¨¢ derecho a recibir del responsable o el encargado del tratamiento una indemnizaci¨®n por los da?os y perjuicios sufridos¡±.

Pero, como destaca Miguel Recio Gayo, abogado y profesor del M¨¢ster en Protecci¨®n de Datos, Transparencia y Acceso a la Informaci¨®n de la Universidad San Pablo CEU, el Reglamento introduce adem¨¢s una importante novedad en su art¨ªculo 81. Se trata de las acciones colectivas por medio de las cuales organizaciones o asociaciones sin ¨¢nimo de lucro, como las de consumidores y usuarios, pueden presentar una reclamaci¨®n en nombre de sus asociados y reclamar una indemnizaci¨®n. Y hacerlo adem¨¢s a escala europea.

Fuerza ciudadana

Esa acci¨®n podr¨¢ ejercerse por dichas entidades ante los tribunales competentes, incluso ¡°con independencia del mandato del interesado¡± si consideran que se han vulnerado los derechos que el Reglamento les reconoce como consecuencia de un tratamiento. Y esta novedad dota a los ciudadanos de una fuerza ¡°brutal¡±, en palabras de Pablo Garc¨ªa Mex¨ªa, Letrado de las Cortes y Of counsel en Ashurst LLP. ¡°No es lo mismo que un ciudadano act¨²e en solitario contra una gran corporaci¨®n internacional a que lo haga integrado en una acci¨®n colectiva, similar a las Class Actions del derecho norteamericano, y hacerlo a la vez en varios pa¨ªses simult¨¢neamente¡±. En el derecho anglosaj¨®n esta figura pretende facilitar la protecci¨®n de los derechos de los consumidores y por ello, recuerda Miguel Recio, algunos activistas en la Uni¨®n Europea ya cuentan con su organizaci¨®n u ONG para poder iniciar acciones colectivas en virtud del RGPD.

En opini¨®n de estos expertos, se trata de una novedad que va a dotar de gran fuerza y capacidad de acci¨®n a estas organizaciones ante las vulneraciones masivas de datos personales a nivel europeo. Algo que sin duda deber¨ªa ser tenido muy en cuenta por las compa?¨ªas que se vean tentadas por la idea de hacer un uso indebido de los datos de sus usuarios.

Con todo, advierte Recio, se trata de ¡°una cuesti¨®n sumamente compleja¡±, que requiere la determinaci¨®n de la infracci¨®n, la valoraci¨®n del da?o o perjuicio y el c¨¢lculo de la indemnizaci¨®n a reclamar, lo que significa que ¡°va a requerir de abogados especializados en la materia¡±. Y es que, subraya, si fijar la indemnizaci¨®n corresponde a los jueces competentes, su argumentaci¨®n ¡°va a requerir conocer la jurisprudencia del Tribunal de Justicia de la UE (TJUE)¡±, pues el concepto de da?os y perjuicios al que se refiere el RGPD debe interpretarse ¡°en sentido amplio a la luz de la jurisprudencia¡± del TJUE.

Recio destaca igualmente que, conforme ha establecido el Tribunal Supremo, la indemnizaci¨®n que se fije tiene que considerar, por una parte, los ¡°da?os patrimoniales concretos, f¨¢cilmente verificables y cuantificables¡±, ¡°los m¨¢s difusos pero tambi¨¦n reales e indemnizables¡± y los ¡°derivados del desprestigio y deterioro de la imagen de solvencia personal y profesional¡±, de cuantificaci¨®n estimativa, incluyendo el da?o moral. De hecho, ¡°los casos m¨¢s frecuentes de indemnizaci¨®n se han dado en el ¨¢mbito de la vulneraci¨®n del derecho al honor por la inclusi¨®n indebida en los mal llamados registros de morosos¡±. En estos casos, la Ley Org¨¢nica de Protecci¨®n Civil del Derecho al Honor, presume siempre la existencia de perjuicio, incluido el moral, ante una intromisi¨®n ileg¨ªtima.