62023CJ0655_RES
Asunto C‑655/23
IP
contra
Quirin Privatbank AG
(Petición de decisión prejudicial planteada por el Bundesgerichtshof)
Sentencia del Tribunal de Justicia (Sala Cuarta) de 4 de septiembre de 2025
«Procedimiento prejudicial — Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Derechos del interesado — Artículo 17 — Derecho a la supresión de los datos — Artículo 18 — Derecho a la limitación del tratamiento — Artículo 79 — Derecho a la tutela judicial efectiva — Tratamiento ilícito de datos personales — Recurso con la pretensión de que se ordene al responsable del tratamiento abstenerse de realizar en el futuro cualquier nuevo tratamiento ilícito — Fundamento — Requisitos — Artículo 82, apartado 1 — Derecho a indemnización — Concepto de “daños y perjuicios inmateriales” — Cuantificación de la indemnización — Eventual consideración de la gravedad de la culpa del responsable del tratamiento — Eventual incidencia de una “orden de abstención”»
Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Medios de impugnación judicial — Obligación de los Estados miembros de contemplar una vía de recurso a fin de que se ordene al responsable del tratamiento abstenerse de realizar cualquier tratamiento ilícito — Inexistencia — Normativa nacional que permite hacer uso de tal vía de recurso en el ordenamiento jurídico interno — Procedencia
[Carta de los Derechos Fundamentales de la Unión Europea art. 8, aps. 1 y 2; Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, considerandos 1, 10 y 11 y arts. 1, 4, punto 1, 5, 6, 17, 18 y 77 a 79)
(véanse los apartados 38 a 52 y el punto 1 del fallo)
Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Derecho a indemnización y responsabilidad — Derecho a indemnización por los daños y perjuicios sufridos — Daños y perjuicios inmateriales — Concepto — Sentimientos negativos que el interesado experimenta por haberse transmitido sin autorización sus datos personales a un tercero — Inclusión — Requisitos — Necesidad de demostrar la existencia de tales sentimientos y sus consecuencias negativas por la violación de este Reglamento
[Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, considerandos 1, 10, 75, 85 y 146 y arts. 1 y 82, ap. 1]
(véanse los apartados 55, 56 y 58 a 64 y el punto 2 del fallo)
Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Derecho a indemnización y responsabilidad — Derecho a indemnización por los daños y perjuicios sufridos — Determinación del importe y de la forma de la indemnización — Normativa nacional que autoriza a tener en cuenta el grado de la culpa del causante del daño en la cuantificación de la indemnización por daños y perjuicios inmateriales — Improcedencia
[Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, considerando 146 y arts. 82 y 83]
(véanse los apartados 66, 67 y 69 a 73 y el punto 3 del fallo)
Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Derecho a indemnización y responsabilidad — Derecho a indemnización por los daños y perjuicios sufridos — Determinación del importe y de la forma de la indemnización — Consideración, para reducir o excluir la indemnización pecuniaria por un daño inmaterial, de una orden que conmine a abstenerse de reiterar una infracción de dicho Reglamento — Improcedencia
[Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, art. 82]
(véanse los apartados 77 a 79 y 81 a 83 y el punto 4 del fallo)
Resumen
En respuesta a una petición de decisión prejudicial planteada por el Bundesgerichtshof (Tribunal Supremo Federal de lo Civil y Penal, Alemania), el Tribunal de Justicia precisa el alcance de los derechos otorgados por diversas disposiciones del RGPD (
1
) al interesado en caso de tratamiento ilícito de sus datos personales.
IP presentó, a través de una red social profesional en línea, su candidatura para un empleo en Quirin Privatbank, una sociedad alemana. Posteriormente, una empleada de esa sociedad utilizó el servicio de mensajería electrónica de esa red para enviar a un tercero, ajeno a ese proceso de contratación, un mensaje, destinado exclusivamente a IP, en el que informaba a este último de que se rechazaban sus pretensiones salariales y le ofrecía una retribución diferente. Ese tercero, que había trabajado con IP en el pasado, le remitió dicho mensaje y le preguntó si estaba buscando empleo.
IP ejercitó ante el Landgericht Darmstadt (Tribunal Regional de lo Civil y Penal de Darmstadt, Alemania) una acción con la pretensión de que se condenara a Quirin Privatbank, por una parte, a abstenerse de realizar cualquier tratamiento de sus datos personales en relación con su candidatura que reiterase la divulgación sin autorización de dichos datos y, por otra parte, a abonarle una indemnización por los daños y perjuicios inmateriales sufridos. El órgano jurisdiccional de primera instancia acogió esas pretensiones.
A raíz del recurso de apelación interpuesto por Quirin Privatbank ante el Oberlandesgericht Frankfurt (Tribunal Superior Regional de lo Civil y Penal de Fráncfort, Alemania), se modificó parcialmente esa sentencia, desestimándose la pretensión indemnizatoria. En efecto, a criterio de dicho órgano jurisdiccional, IP no había aportado la prueba de que se le hubiera causado un perjuicio concreto y, aun suponiendo que hubiera sentido una humillación, esta no podía calificarse de daño o perjuicio inmaterial.
IP y Quirin Privatbank interpusieron sendos recursos de casación contra dicha sentencia ante el Bundesgerichtshof (Tribunal Supremo Federal de lo Civil y Penal, Alemania), el órgano jurisdiccional remitente.
Al albergar dudas sobre la interpretación de diversas disposiciones del RGPD, el alto tribunal alemán preguntó al Tribunal de Justicia por el alcance de las vías de recurso, la extensión del derecho a la indemnización de los daños y perjuicios sufridos y los criterios para cuantificar los daños y perjuicios inmateriales indemnizables.
Apreciación del Tribunal de Justicia
En primer lugar, se pide al Tribunal de Justicia que dilucide si las disposiciones del RGPD contemplan, en favor de la persona afectada por el tratamiento ilícito de datos personales que no solicita que estos se supriman, una vía de recurso judicial a fin de que, con carácter preventivo, se ordene al responsable del tratamiento abstenerse de realizar en el futuro un nuevo tratamiento ilícito y si, en caso negativo, estas disposiciones impiden a los Estados miembros establecer tal vía de recurso en sus respectivos ordenamientos jurídicos.
El Tribunal de Justicia señala, a este respecto, que el RGPD no contiene disposiciones que establezcan, expresa o implícitamente, que el interesado disfrute de un derecho a que se declare preventivamente, ejercitando una acción judicial, que el responsable del tratamiento de datos personales está obligado a abstenerse, en el futuro, de cometer una infracción de las disposiciones de este Reglamento, consistente más concretamente en la reiteración de un tratamiento ilícito.
Por otra parte, el Tribunal de Justicia hace constar que ninguna de las disposiciones de dicho Reglamento referentes a las vías de recurso (
2
) obliga a los Estados miembros a establecer un recurso preventivo. En particular, el artículo 79, apartado 1, del RGPD, que consagra el derecho a la tutela judicial efectiva contra un responsable del tratamiento, no obliga a los Estados miembros a establecer una vía de recurso específica que permita obtener, con carácter preventivo, una orden de abstención.
Dicho esto, habida cuenta, en particular, del reconocimiento, en el RGPD, del derecho de todo interesado a la tutela judicial efectiva cuando considere que sus derechos en virtud de dicho Reglamento han sido vulnerados como consecuencia de un tratamiento de sus datos personales, «sin perjuicio» de cualquier otro recurso administrativo o extrajudicial, el Tribunal de Justicia considera que los Estados miembros no tienen vedada la posibilidad de establecer tal recurso preventivo con objeto de ordenar al responsable del tratamiento que se abstenga de volver a vulnerar derechos que este Reglamento otorga al interesado.
En cuanto a esta cuestión, el Tribunal de Justicia subraya que diversas disposiciones del RGPD expresamente ofrecen a los Estados miembros la posibilidad de establecer normas nacionales adicionales, que sean más estrictas o prevean alguna excepción, lo que les deja un margen de apreciación en cuanto a la manera de aplicar dichas disposiciones («cláusulas de apertura»). En este contexto, el Tribunal de Justicia señala que, aunque las disposiciones del RGPD referidas a las vías de recurso no contengan específicamente tal cláusula de apertura, el legislador de la Unión no pretendió proceder a una armonización exhaustiva de las vías de recurso disponibles en caso de infracción de las disposiciones de dicho Reglamento y, en particular, no excluyó tal posibilidad de recurso preventivo.
El Tribunal de Justicia añade que esta interpretación se ve confirmada por los objetivos perseguidos por el RGPD. En efecto, la posibilidad de que el interesado interponga un recurso judicial para que se ordene a un responsable del tratamiento abstenerse, en el futuro, de infringir las disposiciones materiales del RGPD puede reforzar el efecto útil de estas y, en consecuencia, el elevado nivel de protección de los interesados por lo que respecta al tratamiento de sus datos personales.
El Tribunal de Justicia deduce de lo anterior que el RGPD no se opone a que un derecho de recurso con el objeto de que se dicte una orden que permita prevenir la eventual comisión de una infracción de las disposiciones materiales de dicho Reglamento, concretamente por una posible reiteración de un tratamiento ilícito, esté disponible sobre la base de disposiciones del Derecho de un Estado miembro que sean aplicables ante el órgano jurisdiccional nacional que conozca del asunto.
En segundo lugar, el Tribunal de Justicia da precisiones sobre el concepto de «daños y perjuicios inmateriales» que, en virtud del RGPD, (
3
) otorga al interesado el derecho a recibir del responsable del tratamiento una indemnización por los daños y perjuicios sufridos.
En este marco, el Tribunal de Justicia recuerda que el artículo 82, apartado 1, del RGPD, relativo al derecho a indemnización, se opone a una norma o práctica nacional que supedita la indemnización por «daños y perjuicios inmateriales» al requisito de que los daños y perjuicios sufridos por el interesado hayan alcanzado cierto grado de gravedad. Dicha disposición no exige que los daños y perjuicios inmateriales alegados por el interesado deban alcanzar un «umbral de minimis» para poder ser objeto de indemnización. (
4
)
Además, el Tribunal de Justicia observa que unas situaciones, como las que se invocan en el litigio principal, relativas a un «daño para la reputación» como consecuencia de una violación de la seguridad de los datos personales o a una «pérdida de control» sobre tales datos, figuran expresamente entre los ejemplos de posibles daños y perjuicios que se relacionan en el RGPD. (
5
)
El Tribunal de Justicia recuerda asimismo que el temor del interesado a que en el futuro se produzca un uso indebido de sus datos, de resultas de una infracción del RGPD, puede constituir, por sí solo, «daños y perjuicios inmateriales», siempre que ese temor, junto con sus consecuencias negativas, resulte debidamente probado, extremo que corresponde al órgano jurisdiccional remitente comprobar. (
6
)
Así, el Tribunal de Justicia reconoce que, aunque los sentimientos mencionados por el órgano jurisdiccional remitente, en particular el temor o el enfado, puedan incluirse entre las vicisitudes del día a día, pueden constituir «daños y perjuicios inmateriales», en el sentido del RGPD, siempre y cuando el interesado demuestre que experimenta tales sentimientos, junto con sus consecuencias negativas, precisamente por la infracción de dicho Reglamento de que se trate, como una transmisión sin autorización de sus datos personales a un tercero que genere el riesgo de que estos se usen indebidamente, extremo que corresponde apreciar a los jueces nacionales que conozcan del asunto.
El Tribunal de Justicia subraya que esta interpretación es conforme con el tenor del artículo 82, apartado 1, del RGPD, a la luz de sus considerandos 85 y 146, que invitan a adoptar una concepción amplia del concepto de «daños y perjuicios inmateriales», y queda corroborada por el objetivo de dicho Reglamento que consiste en garantizar un nivel elevado de protección de las personas físicas en lo que respecta al tratamiento de sus datos personales.
En tercer lugar, el Tribunal de Justicia constata que el artículo 82, apartado 1, del RGPD, relativo al derecho a indemnización, se opone a que el grado de gravedad de la culpa del responsable del tratamiento se tenga en cuenta en la cuantificación de la indemnización por daños y perjuicios inmateriales debida en virtud de este artículo.
A este respecto, el Tribunal de Justicia recuerda que, habida cuenta de la función exclusivamente compensatoria del derecho a indemnización, los jueces nacionales están obligados a dispensar una indemnización «total y efectiva» de los daños y perjuicios sufridos, sin que sea necesario, a efectos de tal compensación íntegra, imponer el pago de indemnizaciones punitivas. (
7
)
El Tribunal de Justicia precisa que esta función exclusivamente compensatoria del derecho a indemnización en virtud del RGPD se opone a que el grado de gravedad y el carácter eventualmente doloso de la infracción de dicho Reglamento cometida por el responsable del tratamiento sean tenidos en cuenta a efectos de la reparación del daño sobre esta base. Así pues, la actitud y la motivación del responsable del tratamiento no pueden tomarse en consideración para, en su caso, conceder al interesado una indemnización inferior al perjuicio efectivamente sufrido, ya sea en cuanto al importe o en cuanto a la forma de esa reparación.
En cuarto y último lugar, el Tribunal de Justicia considera que el artículo 82, apartado 1, del RGPD se opone a que el hecho de que se haya dictado en favor del interesado, en virtud del Derecho nacional aplicable, una orden que conmine a abstenerse de reiterar una infracción de dicho Reglamento, oponible al responsable del tratamiento, se tenga en cuenta para reducir el alcance de la indemnización pecuniaria por daños y perjuicios inmateriales debida en virtud de dicho artículo o, a fortiori, sustituir a dicha indemnización.
El Tribunal de Justicia recuerda que ya ha admitido que, dentro de los límites que se derivan del principio de efectividad, determinadas circunstancias puedan influir en la cuantificación de la indemnización debida con arreglo al artículo 82 del RGPD, especialmente para restringir esa indemnización. Pues bien, una forma de indemnización contemplada en el Derecho nacional aplicable solo puede considerarse conforme con el RGPD si permite garantizar una reparación total y efectiva de los daños y perjuicios sufridos por el interesado. En concreto, una indemnización debida en virtud del artículo 82 del RGPD no puede adoptar la forma, total o parcial, de orden de abstención, puesto que el derecho a indemnización de los daños y perjuicios cumple una función exclusivamente compensatoria, mientras que una orden de abstención dirigida al causante del daño tiene una finalidad meramente preventiva.
(
1
)	Artículos 17, 18, 79 y 82 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO 2016, L 119, p. 1; en lo sucesivo, «RGPD»).
(
2
)	Capítulo VIII del RGPD, titulado «Recursos, responsabilidad y sanciones», que comprende, en particular, los artículos 77 a 79.
(
3
)	Artículo 82, apartado 1, del RGPD.
(
4
)	Véanse, en este sentido, las sentencias de 4 de mayo de 2023, Österreichische Post (Daños y perjuicios inmateriales relacionados con el tratamiento de datos personales), C‑300/21, EU:C:2023:370, apartado 51, y de 4 de octubre de 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, apartados 147 a 149.
(
5
)	Véanse los considerandos 75 y 85 del RGPD.
(
6
)	Véanse, en este sentido, las sentencias de 20 de junio de 2024, PS (Dirección errónea), C‑590/22, EU:C:2024:536, apartados 32, 35 y 36, y de 4 de octubre de 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, apartados 143, 144 y 155 y jurisprudencia citada.
(
7
)	Véanse, en este sentido, las sentencias de 4 de mayo de 2023, Österreichische Post (Daños y perjuicios inmateriales relacionados con el tratamiento de datos personales), C‑300/21, EU:C:2023:370, apartados 57 y 58, y de 4 de octubre de 2024, Patērētāju tiesību aizsardzības centrs (C‑507/23, EU:C:2024:854), apartado 34.