Petición de decisión prejudicial planteada por el Bundesgerichtshof (Alemania) el 7 de noviembre de 2023 — IP / Quirin Privatbank AG
(Asunto C-655/23, Quirin Privatbank)
Lengua de procedimiento: alemán
Órgano jurisdiccional remitente
Bundesgerichtshof
Partes en el procedimiento principal
Recurrente: IP
Recurrida: Quirin Privatbank AG
Cuestiones prejudiciales
1. a) ¿Debe interpretarse el artículo 17 del RGPD 1 en el sentido de que el interesado cuyos datos personales hayan sido comunicados de manera ilícita por el responsable del tratamiento mediante su transferencia ulterior podrá ejercer una acción de cesación contra el referido responsable para evitar nuevas transferencias ilícitas de dichos datos, si el interesado no exige a dicho responsable la supresión de los datos?
b) ¿Puede deducirse tal derecho a exigir la cesación (también) del artículo 18 del RGPD o de alguna otra disposición del RGPD?
2. En caso de respuesta afirmativa a las letras a) y/o b) de la primera cuestión:
a) ¿Existe un derecho a exigir la cesación derivado del Derecho de la Unión solamente cuando quepa esperar que se produzcan en el futuro nuevas lesiones a los derechos que el RGPD reconoce al titular (riesgo de reiteración)?
b) ¿Se presume el riesgo de reiteración, en su caso, por la existencia de una infracción anterior del RGPD?
3) En caso de respuesta negativa a las letras a) y b) de la primera cuestión:
¿Debe interpretarse el artículo 84, en relación con el artículo 79, del RGPD, en el sentido de permite al juez nacional reconocer al interesado cuyos datos personales hayan sido comunicados por el responsable del tratamiento de manera ilícita mediante su transferencia ulterior, aparte de una indemnización de los daños y perjuicios materiales o inmateriales con arreglo al artículo 82 del RGPD y de los derechos que se derivan de los artículos 17 y 18 del RGPD, un derecho a exigir al responsable del tratamiento que cese en las transferencias ilícitas de dichos datos de conformidad con las disposiciones del Derecho nacional?
4. ¿Debe interpretarse el artículo 82, apartado 1, del RGPD, en el sentido de que, para la apreciación de daños y perjuicios inmateriales a los efectos de dicha disposición, basta la existencia de simples sentimientos negativos, como enfado, disgusto, insatisfacción, preocupación y miedo, que de por sí forman parte de las vicisitudes habituales de la vida y con frecuencia se padecen en el día a día? ¿Es preciso, por el contrario, que la persona física afectada sufra un perjuicio que vaya más allá de tales sentimientos?
5. ¿Debe interpretarse el artículo 82, apartado 1, del RGPD en el sentido de que, al cuantificar el importe de los daños y perjuicios inmateriales que deben indemnizarse, constituye un criterio relevante el grado de culpa del responsable o encargado del tratamiento o de sus trabajadores?
6. En caso de respuesta afirmativa a las letras a) o b) de la primera cuestión o a la tercera cuestión:
¿Debe interpretarse el artículo 82, apartado 1, del RGPD en el sentido de que, al cuantificar el importe de los daños y perjuicios inmateriales que ceben indemnizarse, se puede tener en cuenta como circunstancia atenuante que el interesado, junto al derecho a indemnización, tenga también derecho a exigir la cesación?
____________
1 Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO 2016, L 119, p. 1).