Sentencia ZQ de 21 de diciembre de 2023

SENTENCIA DEL TRIBUNAL DE JUSTICIA (Sala Tercera)

de 21 de diciembre de 2023 (*)

«Procedimiento prejudicial — Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Artículo 6, apartado 1 — Condiciones de licitud del tratamiento — Artículo 9, apartados 1 a 3 — Tratamiento de categorías especiales de datos — Datos relativos a la salud — Evaluación de la capacidad laboral de un trabajador — Servicio médico en materia de seguro de enfermedad que trata datos relativos a la salud de sus propios trabajadores — Procedencia y condiciones de tal tratamiento — Artículo 82, apartado 1 — Derecho a indemnización y responsabilidad — Indemnización de daños y perjuicios inmateriales — Función compensatoria — Incidencia de la culpa del responsable del tratamiento»

En el asunto C‑667/21, que tiene por objeto una petición de decisión prejudicial planteada, con arreglo al artículo 267 TFUE, por el Bundesarbeitsgericht (Tribunal Supremo de lo Laboral, Alemania), mediante resolución de 26 de agosto de 2021, recibida en el Tribunal de Justicia el 8 de noviembre de 2021, en el procedimiento entre

ZQ y Medizinischer Dienst der Krankenversicherung Nordrhein, Körperschaft des öffentlichen Rechts,

el Tribunal de Justicia (Sala Tercera) declara:

1)      El artículo 9, apartado 2, letra h), del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), debe interpretarse en el sentido de que la excepción contemplada en esta disposición es aplicable a las situaciones en las que un organismo de control médico trate datos relativos a la salud de uno de sus empleados no como empleador, sino como servicio médico, con el fin de evaluar la capacidad laboral de ese trabajador, siempre que el tratamiento en cuestión cumpla los requisitos y observe las garantías que impone expresamente esa letra h) y el apartado 3 de dicho artículo 9.

2)      El artículo 9, apartado 3, del Reglamento 2016/679 debe interpretarse en el sentido de que el responsable de un tratamiento de datos relativos a la salud, basado en el artículo 9, apartado 2, letra h), de ese Reglamento, no está obligado, en virtud de estas disposiciones, a garantizar que ningún compañero de trabajo del interesado pueda acceder a los datos relativos al estado de salud de este. No obstante, podrá imponerse tal obligación al responsable de ese tratamiento bien en virtud de una normativa adoptada por un Estado miembro sobre la base del artículo 9, apartado 4, de dicho Reglamento, bien en virtud de los principios de integridad y confidencialidad enunciados en el artículo 5, apartado 1, letra f), del mismo Reglamento y concretados en el artículo 32, apartado 1, letras a) y b), de este.

3)      Los artículos 9, apartado 2, letra h), y 6, apartado 1, del Reglamento 2016/679 deben interpretarse en el sentido de que un tratamiento de datos relativos a la salud basado en esta primera disposición debe, para ser lícito, no solo cumplir los requisitos que se derivan de esta, sino también, al menos, una de las condiciones de licitud enunciadas en ese artículo 6, apartado 1.

4)      El artículo 82, apartado 1, del Reglamento 2016/679 debe interpretarse en el sentido de que el derecho a indemnización contemplado en esa disposición cumple una función compensatoria, dado que una reparación pecuniaria basada en dicha disposición debe permitir compensar íntegramente los daños y perjuicios sufridos concretamente como consecuencia de la infracción de ese Reglamento, y no una función disuasoria o punitiva.

5)      El artículo 82 del Reglamento 2016/679 debe interpretarse en el sentido de que, por una parte, el nacimiento de la responsabilidad del responsable del tratamiento está supeditado a la existencia de culpa por parte de este, la cual se presume, a menos que este demuestra que no es en modo alguno responsable del hecho que haya causado los daños y perjuicios, y, por otra parte, ese artículo 82 no exige que el grado de culpa se tenga en cuenta al fijar el importe de la indemnización por daños y perjuicios concedida como reparación de un daño inmaterial sobre la base de esa disposición.

https://curia.europa.eu/juris/document/document.jsf?text=&docid=280768&pageIndex=0&doclang=es&mode=req&dir=&occ=first&part=1&cid=11965008