1.

Este reenvío prejudicial versa sobre la interpretación del Reglamento (UE) 2016/679 ( 2 ) en relación con: a) el tratamiento de los datos personales relativos a la salud; y b) la indemnización por los daños sufridos a consecuencia de una (supuesta) infracción del propio RGPD.

2.

Aunque el Tribunal de Justicia ya ha pronunciado sobre los preceptos del RGPD ( 3 ) que afectan a esas cuestiones, las planteadas en este reenvío prejudicial son inéditas, con la salvedad de la cuarta. ( 4 )

3.

Son relevantes para este litigio los considerandos recogidos en el preámbulo del RGPD con los números 4, 10, 35, 51 a 54 y 146.

4.

Conforme al artículo 9 («Tratamiento de categorías especiales de datos personales»):

«1.   Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física.

2.   El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:

[…]

[…]

[…]

3.   Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes.

4.   Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud».

5.

El artículo 82 («Derecho a indemnización y responsabilidad») reza:

«1.   Toda persona que haya sufrido daños y perjuicios materiales o inmateriales como consecuencia de una infracción del presente Reglamento tendrá derecho a recibir del responsable o el encargado del tratamiento una indemnización por los daños y perjuicios sufridos.

[…]

3.   El responsable o encargado del tratamiento estará exento de responsabilidad en virtud del apartado 2 si demuestra que no es en modo alguno responsable del hecho que haya causado los daños y perjuicios.

[…]».

6.

Con arreglo a su artículo 278, apartado 1, primera frase, en cada Estado federado se creará, bajo la forma de organismo de derecho público, un servicio médico ( 6 ) de las cajas de seguro de enfermedad. ( 7 ) Una de sus funciones, atribuidas por ley, es elaborar informes destinados a disipar las dudas sobre la incapacidad laboral de los afiliados.

7.

A tenor del artículo 275, apartado 1, primera frase, punto 3, letra b), bajo determinadas circunstancias, las KV están obligadas a solicitar al MDK correspondiente, en caso de incapacidad laboral de un asegurado acreditada mediante un certificado médico, un informe destinado a disipar las dudas sobre su incapacidad laboral.

8.

Desde 1991, ZQ trabajaba por cuenta ajena para el MDK de Nordrhein (Alemania) como administrador de sistemas del departamento informático y en el servicio helpdesk.

9.

El MDK elabora informes sobre la incapacidad laboral de los afiliados a las KV. Entre esos informes se pueden hallar los relativos a la salud de los propios trabajadores del MDK.

10.

El tratamiento de datos sigue, entre otras, estas reglas que recoge una instrucción interna de servicio: ( 8 )

11.

Los trabajadores del «Departamento informático» de la unidad organizativa «Casos especiales», tras el archivo del expediente, pueden acceder, sujetos por ley a un deber de secreto, a los informes elaborados en virtud de un encargo relativo a los trabajadores del MDK.

12.

A partir del 22 de noviembre de 2017, ZQ estuvo ininterrumpidamente enfermo e incapacitado laboralmente.

13.

Desde el 24 de mayo de 2018, ( 10 ) ZQ percibió prestaciones por enfermedad, satisfechas por la KV a la que está afiliado. El 6 de junio de 2018, esta última encargó al MDK un informe con el fin de disipar las dudas sobre la incapacidad laboral de ZQ.

14.

El MDK aceptó el encargo, que asignó a la unidad «Casos especiales». El 22 de junio de 2018, una médica de esa unidad, empleada del MDK, emitió un informe que contenía el diagnóstico de ZQ. Para elaborarlo mantuvo conversaciones telefónicas con el médico de cabecera de ZQ, del que recabó la información pertinente.

15.

El MDK archivó digitalmente el informe.

16.

A través de su médico de cabecera, ZQ tuvo conocimiento de la llamada de la médica del MDK.

17.

El 1 de agosto de 2018, ZQ se puso en contacto con una compañera de trabajo del departamento informático del MDK, a la que preguntó si se había archivado un informe relativo a él. Tras buscarlo en el archivo, la compañera de trabajo respondió afirmativamente. A petición de ZQ tomó fotografías del informe y se las envió.

18.

El 15 de agosto de 2018, ZQ solicitó al MDK, sin éxito, el pago de una indemnización por importe de 20000 euros, al amparo del artículo 82 del RGDP.

19.

El 17 de octubre de 2018, ZQ interpuso una demanda ante el Arbeitsgericht Düsseldorf (Tribunal de lo laboral de Dusseldorf, Alemania). En ese procedimiento solicitó, además, una indemnización equivalente a la cuantía de los salarios dejados de percibir. ( 11 )

20.

Pendiente el procedimiento judicial, el MDK extinguió la relación laboral con ZQ.

21.

Las pretensiones de ZQ fueron desestimadas tanto en primera instancia como en apelación. ( 12 )

22.

ZQ ha recurrido ante el Bundesarbeitsgericht (Tribunal Supremo de lo laboral, Alemania), que dirige estas preguntas al Tribunal de Justicia:

23.

La petición de decisión prejudicial tuvo entrada en el Tribunal de Justicia el 8 de noviembre de 2021.

24.

Han presentado observaciones escritas ZQ, el MDK, los Gobiernos de Irlanda e Italia, así como la Comisión Europea.

25.

No se ha considerado imprescindible la celebración de una vista.

26.

Por indicación del Tribunal de Justicia, estas conclusiones no abordarán la cuarta pregunta prejudicial. ( 13 )

27.

El tribunal de reenvío quiere saber si el artículo 9, apartado 2, letra h), del RGPD prohíbe a un MDK tratar datos relativos a la salud de uno de sus propios trabajadores, cuando son indispensables para la evaluación de su capacidad laboral. Cuestiona, pues, la licitud del tratamiento por razón de la entidad que lo lleva a cabo. ( 14 )

28.

El artículo 9 del RGPD rige para categorías especiales de datos, como los relativos a la salud de una persona. Establece una prohibición general de tratamiento de los datos «sensibles» (apartado 1) y enumera de forma exhaustiva las circunstancias en las que la prohibición general no se aplica (apartado 2).

29.

Concretamente, el apartado 2, letra h), del artículo 9 del RGPD incluye la excepción (a la prohibición general) correspondiente al tratamiento de datos personales «para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social».

30.

En mi opinión, ese precepto ofrece suficiente cobertura a la actuación del MDK objeto del litigio. ( 15 ) Es irrelevante que el responsable del tratamiento sea, a la vez, empleador del interesado, en la medida en que el MDK no actúa como tal empleador, sino como servicio médico de una KV a la que el interesado estaba afiliado. ( 16 )

31.

No encuentro base para interpretar el artículo 9, apartado 2, letra h), del RGPD en el sentido de que prohíba a un servicio médico tratar los datos de salud de sus empleados para la finalidad recogida en esa letra. Los criterios hermenéuticos habituales conducen más bien a la solución contraria (inexistencia de esa prohibición).

32.

Desde el punto de vista literal, el artículo 9, apartado 2, letra h), del RGPD no realiza ninguna exclusión en ese sentido, ni impone como condición del tratamiento que el responsable sea un «tercero neutro». ( 17 )

33.

Los antecedentes legislativos y la evolución del precepto tampoco revelan una interdicción como la que evoca la primera pregunta prejudicial, ni la intención de incluirla. ( 18 )

34.

La finalidad de las normas del RGPD sobre el tratamiento de datos relativos a la salud consiste, tal como ha declarado el Tribunal de Justicia, ( 19 ) en dispensar una protección reforzada a los interesados, en atención a la particular sensibilidad de estos datos para los derechos fundamentales afectados. Al servicio de ese objetivo se introduce la prohibición general del artículo 9, apartado 1, del RGPD que, sin embargo, no es absoluta. ( 20 )

35.

En este ámbito, como en otros relativos al tratamiento de datos personales, la opción del legislador, una vez sentada la prohibición general, ha sido:

36.

Pues bien, en abstracto, nada impediría que entre las cautelas específicas a las que me acabo de referir figurase la de prohibir a un MDK el tratamiento de datos relativos a la salud de sus empleados. No me parece, sin embargo, que esa opción (que el legislador europeo no acogió) sea imprescindible para preservar el objetivo antes apuntado.

37.

Considero, pues, que la prohibición por la que pregunta el tribunal de reenvío no es consecuencia inexorable de una interpretación teleológica del artículo 9, apartado 2, letra h), del RGPD.

38.

Tampoco creo que una interpretación sistemática del precepto conduzca a otra solución, pues:

39.

En suma, propongo una respuesta negativa (esto es, que en el RGPD no existe la prohibición controvertida) a la primera pregunta prejudicial, lo que permite abordar la siguiente.

40.

Si (como sugiero) la respuesta a la primera pregunta prejudicial fuese negativa, el tribunal de reenvío quiere saber si «en un caso como el de autos, además de los requisitos establecidos en el artículo 9, apartado 3, del RGPD, [existen] exigencias añadidas en materia de protección de datos y, en su caso, cuáles serían».

41.

La respuesta, en términos generales, no debería suscitar mayores problemas. ( 26 ) El Tribunal de Justicia ha señalado que todo tratamiento de datos personales ha de atenerse a los principios del artículo 5 del RGPD y a alguna de las condiciones de licitud de su artículo 6. ( 27 )

42.

Según el tribunal de reenvío, el respeto de la obligación de secreto (artículo 9, apartado 3, del RGPD) no bastaría para proteger los datos en circunstancias como las de autos. Propone otras medidas complementarias que, a su juicio, serían las únicas aptas para tal fin. ( 28 )

43.

Estimo que, en cuanto tal, el artículo 9, apartado 3, del RGPD no puede servir de sustento a esas medidas adicionales. Su claro tenor (que se limita a perfilar una disposición ya contenida en la Directiva 95/46) ( 29 ) no proporciona apoyo a propuestas como la del tribunal de reenvío.

44.

Esas propuestas podrían encontrar acomodo, por el contrario, en el artículo 9, apartado 4, del RGPD. Con arreglo a él, los Estados miembros están facultados para imponer «condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos […] relativos a la salud». ( 30 ) Del auto de reenvío no se deduce, sin embargo, que así haya ocurrido en Alemania.

45.

Dicho esto, y por las razones que antes he desarrollado, el tratamiento de datos personales relativos a la salud ha de sujetarse, entre otros principios, al recogido en el artículo 5, apartado 1, letra f), del RGPD y a las obligaciones que se derivan de él, detalladas en el capítulo IV del mismo texto.

46.

El responsable del tratamiento ( 31 ) debe, además, adoptar medidas técnicas y organizativas apropiadas, tendentes a garantizar que un tratamiento concreto se atiene al RGPD. Así lo establece con carácter general su artículo 24, apartado 1.

47.

De forma específica, el artículo 32, apartado 1, del RGPD obliga al responsable del tratamiento a aplicar «medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo» que corran los datos personales en juego.

48.

Aplicando esas reglas al caso de autos, la cualidad de empleador del MDK en relación con ZQ le impone un deber de cuidado en el tratamiento de sus datos relativos a la salud superior al habitual, porque también los riesgos son superiores. ( 32 )

49.

El MDK no desconoce este hecho. Cuando, por encargo de una KV a la que su empleado está afiliado, realiza informes para eliminar dudas sobre su (in)capacidad laboral, aplica un conjunto de medidas ad hoc, técnicas y organizativas, previstas para ajustar al RGPD el tratamiento de datos personales relativos a la salud. ( 33 )

50.

Valorar esas medidas compete al tribunal de reenvío, que podrá resolver, al cabo de su evaluación, que las adoptadas no eran suficientes. Pero eso no autoriza a deducir del artículo 9 del RGPD una obligación de los MDK de rechazar de oficio toda solicitud de informe médico (relativo a sus empleados) que proceda de las KV. ( 34 )

51.

Supuesta la respuesta negativa a la primera pregunta prejudicial, en la tercera el tribunal de reenvío quiere saber si la excepción a la prohibición de tratamiento de datos relativos a la salud «depende […] de que se cumpla, además, al menos una de las condiciones señaladas en el artículo 6, apartado 1, del RGPD».

52.

Para contestar a este interrogante se ha de analizar la relación entre el artículo 9, apartado 2, del RGPD y su artículo 6, relativo a la licitud del tratamiento. La necesidad de atenerse a este último artículo en todo tratamiento de datos figura en sentencias dictadas por el Tribunal de Justicia, que antes he citado. ( 35 )

53.

En particular, la recaída en el asunto C‑439/19 ( 36 ) interpretó el artículo 10 del RGPD, sobre otra categoría de datos personales sensibles (los relativos a condenas e infracciones penales), ( 37 ) declarando que el artículo 6 del RGPD se aplica cumulativamente con el artículo 10.

54.

¿Es extensible ese mismo postulado a los datos personales contemplados en el artículo 9 del RGPD?

55.

La estructura de los artículos 9 y10 del RGPD es diferente. El artículo 10 contiene una remisión explícita al artículo 6, apartado 1, del propio RGPD que no se halla en el artículo 9.

56.

Tampoco el contenido del artículo 9, apartado 2, y el del artículo 10 del RGPD son comparables: el artículo 10 se limita a indicar una restricción subjetiva al tratamiento, mientras que el artículo 9, apartado 2, establece fines (o circunstancias) que lo justifican, al igual que el artículo 6, apartado 1.

57.

De hecho, el paralelismo entre los artículos 6, apartado 1, y 9, apartado 2, del RGPD es tal que, en una primera lectura, parecería que las circunstancias que este último enumera son especificaciones de las condiciones que figuran en el primero: las precisan, al tiempo que las convierten en más gravosas.

58.

La historia y la evolución del artículo 9 del RGPD ponen en entredicho, no obstante, que la relación entre él y el artículo 6 se explique en términos de «ley especial» y «ley general».

59.

Consta que esa interpretación fue efectivamente sostenida por las delegaciones de ciertos Estados miembros. ( 38 ) Sin embargo, documentos relativos a la negociación del artículo 9 no evidencian discrepancias acerca de la remisión al artículo 6, ( 39 ) sino acerca de su alcance (¿solo a su apartado 1, o también a otros?). ( 40 ) Finalmente, se eliminó la referencia del artículo 9 al artículo 6 ( 41 ) y se optó por mantener en el preámbulo un párrafo similar al actual considerando quincuagésimo primero del RGPD. ( 42 )

60.

La idea de acumulación, o complementariedad, entre los dos preceptos la comparte el Comité europeo de protección de datos ( 43 ) y la defendía el denominado Grupo del artículo 29 ( 44 ) en cuanto al artículo 8 de la Directiva 95/46. ( 45 ) No es, en cambio, una comprensión indiscutida en la doctrina, ni en otros foros relevantes. ( 46 )

61.

Contemplando los diferentes incisos del artículo 9, apartado 2, del RGPD, tiendo a pensar que la relación entre ese precepto y el artículo 6 no permite, en realidad, una respuesta única. En efecto:

62.

Entiendo, pues, que, para dotar de licitud al tratamiento de datos sensibles que autoriza el artículo 9, apartado 2, letra h), del RGPD es preciso buscar cuál de las condiciones detalladas por el artículo 6, apartado 1, lo legitima en cada caso.

63.

El tribunal de reenvío no pone en tela de juicio que sea así: antes bien, partiendo de esa premisa, se centra en rechazar que el tratamiento efectuado por el MDK encuentre justificación en el artículo 6. ( 48 )

64.

A simple vista, no me parece que exista un orden de prelación entre las bases legales que prevé la disposición. Un análisis más a fondo podría revelar la necesidad de introducir matices. ( 49 ) Estimo, sin embargo, que ese análisis excedería de lo necesario para responder a este reenvío prejudicial. ( 50 )

65.

En suma, la respuesta a la tercera pregunta prejudicial debería indicar al tribunal de reenvío que la excepción a la prohibición de tratar datos relativos a la salud demanda que se cumpla, al menos, una de las condiciones señaladas en el artículo 6, apartado 1, del RGPD.

66.

El tribunal de reenvío quiere saber si es «relevante el grado de culpa del responsable o del encargado del tratamiento al cuantificar el importe de los daños y perjuicios inmateriales que deben indemnizarse con base en el artículo 82, apartado 1, del RGPD» y, en particular, si «puede tenerse en cuenta a favor del responsable o del encargado del tratamiento la inexistencia de culpa o la existencia de culpa leve por su parte».

67.

La pregunta da por sobreentendido que ha habido una infracción del RGPD, ( 51 ) cometida por quien aparece como responsable del tratamiento de los datos, y plantea si para cuantificar la indemnización del daño resultante de esa infracción importa el grado de culpa de aquel. Según el tribunal a quo, no es seguro que la ausencia de culpa o una culpa leve del responsable puedan calificarse de elemento en su descargo.

68.

Tomada literalmente, la pregunta se centra en la cuantificación de la indemnización. Las explicaciones que la acompañan generaban, no obstante, una cierta confusión, pues no quedaba claro si se referían a la culpa como condición de imputación de la responsabilidad o como factor para graduar el importe de la indemnización.

69.

Invitado por el Tribunal de Justicia a aclarar esa ambigüedad, el órgano de reenvío expuso que la pregunta versaba sobre ambos aspectos, sin aportar mayores precisiones sobre su vinculación con el litigio de origen.

70.

A la luz de esta respuesta, me propongo responder a los interrogantes suscitados por el tribunal de reenvío tras atender (también) a los que aduce el MDK sobre la eventual intervención del interesado en la producción del daño. ( 52 ) Mi exposición se desarrollará en tres etapas:

71.

Opina el tribunal de reenvío que el artículo 82, apartado 1, del RGPD no condiciona la responsabilidad civil (del gestor ( 54 ) del tratamiento) a la existencia o a la prueba de intención o negligencia. Añade que el apartado 3 del mismo artículo no sustenta otra solución.

72.

Admito que no es claro qué modelo de responsabilidad civil ha adoptado el RGPD y que varias interpretaciones son, a priori, posibles. ( 55 ) La comprensión del tribunal de reenvío es una de ellas: en mi opinión, acertada.

73.

La lectura del artículo 82, apartado 1, del RGPD en el sentido de que instaura un régimen de responsabilidad civil ajena a la culpa del gestor del tratamiento se ajusta, creo, a su tenor literal, encuentra apoyo inmediato en los trabajos preparatorios y, sobre todo, favorece la finalidad de la norma. Es aceptable a la luz de otros apartados del precepto, así como del sistema considerado en conjunto.

74.

La postura que defiende el tribunal de reenvío casa con el tenor del artículo 82, apartado 1, del RGDP. Literalmente, el derecho a recibir una indemnización a cargo del responsable del tratamiento está ligado, sin más, a los daños sufridos a consecuencia de una violación del propio RGPD.

75.

Los restantes apartados del artículo 82 no apuntan a otra respuesta. ( 56 ) En particular, no me atrevería a deducir un requisito de culpa a partir de la palabra «imputable» del apartado 3 del artículo 82. El término solo aparece en algunas versiones lingüísticas del RGPD; otras, por el contrario, recurren a «responsable». En la versión alemana, ni el artículo 82 ni el preámbulo incorporan el término técnico propio de la imputación por culpa («Verschulden»). ( 57 )

76.

Comparando los diversos preceptos del RGPD se pone de relieve que la terminología empleada no es siempre unívoca, por lo que hay que extremar la prudencia al extraer consecuencias de su tenor literal. En la versión inglesa, por ejemplo, la palabra «responsible» se utiliza en múltiples acepciones. ( 58 )

77.

La falta de referencias a la intención o a la culpa del responsable del tratamiento en el artículo 82 del RGPD contrasta con las menciones del artículo 83 a propósito de las multas administrativas: «al decidir la imposición de una multa administrativa y su cuantía en cada caso individual» se tendrán debidamente en cuenta la intencionalidad o la negligencia en la infracción del RGPD. ( 59 )

78.

Si la divergencia entre textos debilita el peso del criterio hermenéutico literal, al menos corrobora la idea de que ni la intención ni la culpa figuran en el artículo 82 del RGPD y que esa ausencia es consciente, no atribuible al descuido del legislador.

79.

La discusión sobre el título de imputación de la responsabilidad finalmente adoptado en el RGPD está oscurecida por el contexto en el que tuvo lugar en el seno del Consejo, al hilo del supuesto de pluralidad de agentes del tratamiento.

80.

Esa discusión se mezcló con consideraciones procesales, sin obedecer a un aparato conceptual que permita distinguir entre la función de la culpa como título de imputación de la responsabilidad, por una parte, y la de la ausencia de culpa a efectos de exención de esa misma responsabilidad, en el plano del nexo causal, por otra parte.

81.

Con todo, creo que los trabajos preparatorios apoyan una comprensión del artículo 82, apartado 1, del RGPD en la que la responsabilidad civil no depende de la culpa del responsable del tratamiento.

82.

La Propuesta de la Comisión seguía la Directiva 95/46 y no mencionaba la negligencia. En documentos del Consejo se alude a que la responsabilidad contemplada se configura como «strict liability». ( 60 )

83.

Una enmienda sugerida en la Comisión de Libertades Civiles, Justicia y Asuntos de Interior del Parlamento habría dotado al artículo 82 (entonces 77), apartado 1, de un contenido en el que la responsabilidad se vincula a la intención o a la negligencia. ( 61 ) No prosperó. ( 62 )

84.

En el Consejo, el debate a propósito del artículo 77 y del criterio de imputación se produjo ligado a la atribución y el reparto de responsabilidad cuando varias personas intervienen en la misma operación de tratamiento. En este contexto, la Presidencia propuso elegir entre dos opciones: ( 63 )

85.

El texto transaccional presentado por la Presidencia para su aprobación como orientación general ( 71 ) sigue la primera opción, si bien refuerza la excepcionalidad de la exoneración y la dificultad de su prueba con la redacción del artículo 77, apartado 3: «[…] if it [el responsable/encargado del tratamiento] proves that it is not in any way responsible (…)». ( 72 ) Esta redacción y el artículo finalmente aprobado se corresponden.

86.

En suma, el análisis del iter legislativo que condujo al texto final del RGPD aboga por que la responsabilidad a la que alude su artículo 82, apartado 1, no esté vinculada a la culpa del gestor del tratamiento.

87.

El RGPD instaura un sistema concebido para garantizar un nivel elevado de protección de las personas físicas, al tiempo que se eliminan obstáculos a la circulación de datos personales. ( 73 ) En ese sistema, su artículo 82 desempeña una finalidad compensatoria de daños, sin perjuicio de que sirva también, secundariamente, para la disuasión o la prevención de conductas no ajustadas a sus prescripciones. ( 74 )

88.

Asegurar la compensación es un objetivo en sí mismo: así se infiere de la importancia que el legislador le otorga y que revela la simple lectura del texto. Para el RGPD, recibir la indemnización, cuando se ha producido un daño, es un derecho del interesado; la noción de daños y perjuicios debe interpretarse en sentido amplio; y la indemnización ha de ser total y efectiva.

89.

La compensación conecta con la pretensión de potenciar la confianza de los ciudadanos en el entorno digital, objetivo de alcance general que el RGPD recoge en su considerando séptimo. Garantizar al interesado que, como solución de principio, no tendrá que soportar sin más los daños derivados de un tratamiento ilícito de sus datos sirve para fomentar tal confianza: su patrimonio está a salvo y, procesalmente, su reclamación es más sencilla.

90.

Es coherente con este planteamiento que el artículo 82, apartado 1, del RGPD no asocie la obligación de indemnizar a la inobservancia de un deber de cuidado. Tal obligación se asigna, por decisión del legislador, a quien ocupa una determinada posición de guardián o garante en la relación y, justamente, atendiendo a este mero hecho.

91.

Podría decirse, pues, que para el RGPD lo relevante es la situación de la víctima que sufre el daño derivado de la infracción, cuando ninguna norma le impone el deber de soportarlo.

92.

A la víctima le resulta indiferente que en la producción del daño haya existido, o no, culpa de quien lo causó: lo decisivo es que el gestor del tratamiento le ha ocasionado el perjuicio, material o moral, consecuente a la infracción del RGPD por él cometida.

93.

Los objetivos descritos se alcanzan con mayor facilidad en un modelo que tiende a que el daño probado:

94.

En el marco de la adaptación a la revolución digital, ( 75 ) esta solución me parece coherente. La rápida evolución tecnológica demanda que, en las actividades más comunes de tratamiento de datos que se llevan a cabo en línea, la ausencia de intención o de negligencia no impida compensar daños que, de otro modo, quedarían sin cubrir.

95.

La interpretación que propongo se ajusta mejor a la sistemática del RGPD. En el seno de su artículo 82, así lo corrobora el apartado 3: cabe la exoneración si «el responsable demuestra que no es en modo alguno responsable del hecho que haya causado los daños y perjuicios».

96.

En esa dicción destaca la locución «en modo alguno», que induce a pensar que el modelo no es de culpa (ni siquiera culpa levísima) con inversión de la carga de la prueba.

97.

Entender que la indemnización no depende de la culpa del responsable del tratamiento confiere al artículo 82 un significado propio en el capítulo VIII y, finalmente, en el RGPD en su conjunto.

98.

El legislador europeo asume que el tratamiento de datos personales puede ser fuente de riesgos. Impone a los agentes del tratamiento evaluar esos riesgos, y adoptar y actualizar medidas aptas para prevenir y minimizar los que hayan detectado. ( 76 )

99.

Se ha afirmado que un modelo de responsabilidad civil basado en la culpa promueve la diligencia y, por tanto, la protección frente a riesgos, mientras que el modelo alternativo, que no atiende a cómo se condujo el agente, desincentivaría la precaución de este último (porque, si hay daño, deberá indemnizarlo de todas formas).

100.

Opino que en el RGPD este resultado ( 77 ) es asumible. El artículo 82 se incardina en una estructura normativa compleja, con instrumentos de derecho público y privado para proteger los datos personales. En el seno de esa estructura, la negligencia (y la intencionalidad) importan a efectos de las sanciones administrativas. No veo la necesidad de que sean relevantes también a efectos de la responsabilidad civil, ( 78 ) lo que iría en detrimento de los objetivos del artículo 82 y restaría, además, atractivo práctico al remedio que prevé.

101.

Los interrogantes sobre la necesidad de culpa del responsable del tratamiento se conectan, en este asunto, con las consecuencias que pudieran derivarse de la intervención del interesado. ( 79 )

102.

Para la mejor comprensión de lo que sigue, conviene precisar que las circunstancias del litigio se han visto desde dos escenarios:

103.

Estimo, en cualquier caso, que, como parece sostener el tribunal de reenvío, ( 82 ) para determinar la incidencia (si hubiera alguna) del comportamiento del interesado en la comisión del hecho infractor que provocó el daño hay que acudir al artículo 82, apartado 3.

104.

El precepto no enumera, ni siquiera a modo de ejemplo, motivos específicos de exoneración de la responsabilidad. Tampoco lo hace el considerando centésimo cuadragésimo sexto. ( 83 )

105.

Aparentemente, el RGPD se separaría en este aspecto de la Directiva 95/46, cuyo artículo 23, apartado 2, contenía una regla semejante ( 84 ) al actual artículo 82, apartado 3, del RGPD: el considerando quincuagésimo quinto de la Directiva 95/46 proponía, como ejemplos de causas de exoneración, la responsabilidad del interesado o la fuerza mayor, ( 85 ) que no se hallan en el RGPD.

106.

En los trabajos preparatorios del RGPD no consta, salvo error por mi parte, que existiera discusión sobre estos dos ejemplos, que sí figuraban en la Propuesta de la Comisión ( 86 ) y el Parlamento mantuvo. ( 87 )

107.

Su supresión, y la aparición de la locución adverbial «en modo alguno», se producen en el marco del debate, ya mencionado, sobre cómo regular la responsabilidad ante un tratamiento con pluralidad de gestores o encargados del tratamiento. ( 88 )

108.

De la documentación disponible ( 89 ) se desprende que, en la redacción final, el gestor del tratamiento goza de la exención si demuestra no ser en absoluto responsable («responsible») por el daño («0 % responsibility»). Lo mismo se aplica al encargado. ( 90 )

109.

A partir de ahí, no creo que la desaparición de los dos ejemplos en el preámbulo, en paralelo con la adición de «en modo alguno» en ese mismo preámbulo y en el artículo 82, apartado 3, del RGPD, tenga como consecuencia (ni como objetivo) excluir la actividad del interesado de las causas de exención de responsabilidad. ( 91 )

110.

Parece, más bien, que la actividad del interesado sigue siendo apta para provocar, según los casos, la ruptura del imprescindible nexo entre el «hecho» (el artículo 82, apartado 3, del RGPD emplea esa locución) y la autoría del responsable. Acentuar el carácter restringido de la cláusula de escape no impide que una determinada actuación del interesado desencadene, por sí misma, el daño y determine, en consecuencia, la exención de responsabilidad del gestor del tratamiento.

111.

La interpretación sistemática apoya que se tenga en cuenta, en el marco de la responsabilidad por daños, la intervención del interesado en la producción de estos. En el sistema del RGPD los individuos se involucran en la protección de sus datos, confiriéndoles al efecto instrumentos que son, en sí mismos, derechos.

112.

Desde una perspectiva teleológica, entiendo que el RGPD quiere acordar una protección elevada, pero no hasta el punto de obligar al responsable a indemnizar también por los daños resultantes de acontecimientos o acciones imputables al interesado. ( 92 )

113.

El tribunal de reenvío ha confirmado que la quinta pregunta prejudicial se extiende a dilucidar si el grado de culpa del responsable del tratamiento afecta al cálculo de la indemnización. Más concretamente, si la ausencia de culpa o una culpa leve de aquel responsable pueden ser tenidas en cuenta en su favor.

114.

El artículo 82 del RGPD es ciertamente parco, o directamente calla, en lo relativo a aspectos clave de la compensación que incidirían sobre el cálculo de su cuantía. No da pautas al intérprete sobre los elementos que la integran, ( 93 ) los criterios para valorar (traducir en cantidad) esos elementos, ( 94 ) o los factores que pudieran afectar a su montante. ( 95 )

115.

A pesar de ello, entiendo que el RGPD confiere al interesado el derecho a una indemnización cuyo importe se determina en atención a los daños y perjuicios efectivamente sufridos. Una vez establecida la cifra que compensa en términos objetivos esos daños, no debería modificarse en función de la mayor o menor negligencia del responsable del tratamiento.

116.

Para sustentar mi postura me remito, mutatis mutandis, a lo que he expuesto a propósito de la atribución de responsabilidad al gestor del tratamiento, al margen de su culpa, en el sistema del artículo 82 del RGPD. Desde la perspectiva de la víctima, cuyo patrimonio (material e inmaterial) ha de quedar indemne tras la producción del daño, la compensación por este ha de hacerse sin ligarla a la culpa del gestor del tratamiento, sea cual sea su nivel de gravedad. ( 96 )

117.

Creo que a esa misma solución se llega al advertir que el artículo 82 del RGPD (cuyos trabajos preparatorios no ofrecen claves para sostener una postura u otra) ( 97 ) difiere de otros instrumentos del derecho de la Unión, que de forma expresa distinguen si la intervención en la infracción fue «a sabiendas» o no, a la hora de fijar el importe indemnizable en concepto de responsabilidad civil. ( 98 )

118.

Corroboran, a mi juicio, esta apreciación dos argumentos más:

119.

En atención a las consideraciones anteriores, sugiero responder al Bundesarbeitsgericht (Tribunal Supremo de lo laboral, Alemania) en estos términos:

«El artículo 9, apartado 2, letra h), y apartado 3, así como el artículo 82, apartados 1 y 3, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos),

deben interpretarse en el sentido de que

No prohíben a un servicio médico de una caja de seguro de enfermedad tratar datos relativos a la salud de un trabajador de dicho servicio, cuando son indispensables para la evaluación de su capacidad laboral.

Admiten la excepción a la prohibición de tratar datos personales relativos a la salud, cuando ese tratamiento sea necesario para fines de evaluación de la capacidad laboral del trabajador, se sujete a los principios del artículo 5 y a alguna de las condiciones de licitud previstas en el artículo 6 del Reglamento 2016/679.

El grado de culpa del responsable o del encargado del tratamiento no es relevante para generar la responsabilidad de uno u otro, ni para cuantificar el importe de los daños y perjuicios inmateriales que deben indemnizarse con arreglo al artículo 82, apartado 1, del Reglamento 2016/679.

La intervención del interesado en el hecho del que deriva la obligación de indemnizar puede determinar, según los casos, la exención de responsabilidad del responsable o del encargado del tratamiento recogida en el artículo 82, apartado 3, del Reglamento 2016/679».