I diritti al risarcimento danni per violazione del GDPR sussistono solo se è effettivamente sorto un danno. È quanto ha deciso la CGUE con sentenza del 4 maggio 2023 (Causa C-300/21).
Le aziende gestiscono grandi quantità di dati personali sensibili. Ciò impone elevati requisiti di protezione dei dati e le violazioni del regolamento generale sulla protezione dei dati (GDPR) possono comportare multe elevate e richieste di risarcimento, spiega lo studio legale commerciale MTR Legal Rechtsanwälte, che consiglia la propria clientela anche nel diritto IT e nella protezione dei dati.
La Corte di Giustizia dell’Unione Europea ha ora stabilito che i diritti al risarcimento danni per violazioni del GDPR esistono solo se è effettivamente sorto un danno. Tuttavia, i giudici a Lussemburgo non hanno fissato una soglia troppo alta per l’insorgere del danno. Non è necessaria un’importante entità del danno.
Davanti alla CGUE si è discusso di un caso proveniente dall’Austria. Qui un uomo aveva intentato una causa per risarcimento danni immateriale contro le Poste austriache. Il motivo era che le Poste, con l’aiuto di un algoritmo e basandosi su caratteristiche sociali e demografiche, avevano raccolto informazioni sulle preferenze partitiche. Questi dati non sono stati pubblicati, ma erano destinati a scopi di propaganda elettorale delle parti. Per l’uomo si è venuta a creare così un’affiliazione a un determinato partito. Questo non piaceva all’uomo. Ha fatto causa ai sensi dell’Art. 82 del GDPR per risarcimento danni immateriale.
La Corte suprema austriaca ha deferito il caso alla CGUE, e questa ha stabilito che una semplice violazione del GDPR non giustifica un diritto al risarcimento danni. Il diritto al risarcimento è subordinato a tre condizioni: in primo luogo, deve esservi una violazione del GDPR. Inoltre, deve essere sorto un danno materiale o immateriale e la violazione del GDPR ne deve essere la causa. Pertanto, non ogni violazione del GDPR porta automaticamente a diritti al risarcimento danni.
Tuttavia, il diritto al risarcimento per danni immateriali non richiede un’entità significativa. Non esistono casi di poco conto. I criteri per determinare il danno non sono stabiliti dal GDPR, ma è compito degli Stati membri dell’UE. Tuttavia, questi devono garantire che venga assicurato un risarcimento danni completo ed efficace per il danno subito, secondo la CGUE.
Nel trattamento dei dati personali è richiesta un’elevata diligenza alla luce della sentenza UE. Avvocati esperti nel diritto IT consigliano presso MTR Legal Rechtsanwälte sulle questioni della protezione dei dati.
