La CGUE conferma: la violazione del GDPR non dà automaticamente diritto al risarcimento del danno non patrimoniale
Con sentenza del 14 giugno 2024 (C-300/21), la Corte di giustizia dell’Unione europea (CGUE) ha chiarito che una semplice violazione delle disposizioni del Regolamento generale sulla protezione dei dati (GDPR) non comporta di per sé un diritto al risarcimento. Le persone interessate devono invece aver subito effettivamente un danno materiale o immateriale e devono dimostrarlo e motivarlo in caso di controversia. La sentenza offre orientamento giuridicamente vincolante alle imprese e ai soggetti che trattano i dati nell’affrontare i rischi di responsabilità previsti dal diritto della protezione dei dati e influenzerà in modo determinante anche la giurisprudenza dei tribunali nazionali in materia di violazioni della protezione dei dati.
Contesto della domanda pregiudiziale
La causa ha avuto origine in Austria. Un ricorrente ha chiesto il risarcimento del danno non patrimoniale a un gestore di una piattaforma online per presunte violazioni del GDPR. La sua pretesa si basava unicamente sul fatto che i suoi dati personali erano stati presumibilmente trattati in modo illecito, senza però specificare un concreto pregiudizio derivato – come malessere o una menomazione subita. Il Landesgericht Wien, chiamato a decidere sul caso, ha sottoposto alla CGUE diversi quesiti sull’interpretazione dell’art. 82 GDPR, chiedendo in particolare se una semplice violazione delle disposizioni sulla protezione dei dati possa bastare per un diritto al risarcimento.
Valutazione giuridica da parte della CGUE
Requisiti per il diritto al risarcimento ai sensi dell’art. 82 GDPR
La CGUE ha sottolineato che il GDPR prevede una regolamentazione differenziata per il risarcimento dei danni. L’art. 82 GDPR stabilisce una responsabilità per le violazioni delle disposizioni in materia di protezione dei dati, ma prevede però necessariamente tre presupposti affinché sorga il diritto al risarcimento:
- una violazione del GDPR,
- un danno derivante da tale violazione, nonché
- un nesso causale tra la violazione e il danno.
La Corte sottolinea così che non ogni comportamento difforme rispetto alle disposizioni del GDPR comporta direttamente una responsabilità risarcitoria. Il diritto al risarcimento presuppone piuttosto che si sia verificato effettivamente un pregiudizio materiale o immateriale.
Nessun automatismo a favore della persona interessata
Con questa decisione la CGUE respinge una rigorosa “responsabilità oggettiva”. La sola constatazione di una violazione delle norme sulla protezione dei dati – ad esempio un consenso non correttamente espresso o l’omissione dell’obbligo di informazione – non basta per ottenere il risarcimento per danno non patrimoniale. Gli interessati devono invece spiegare concretamente in che modo hanno effettivamente e individualmente subito un danno a causa della violazione. Ciò richiede normalmente una descrizione dettagliata delle ripercussioni subite, come ad esempio l’insorgere di ansie, stress o alterazioni del contesto sociale, e non solo svantaggi astratti o generali.
Nessuna soglia di gravità per il danno non patrimoniale
La CGUE chiarisce inoltre che il risarcimento non è soggetto ad una soglia secondo cui solo danni non patrimoniali “consistenti” sarebbero risarcibili. Anche pregiudizi di lieve entità possono fondare un diritto, purché siano effettivamente causati dalla violazione del GDPR e siano dimostrabili in giudizio. Tuttavia, permangono le esigenze relative alla prova del danno non patrimoniale.
Impatto sulla prassi giuridica nazionale e internazionale
Rafforzamento del principio della responsabilità individuale
La decisione della CGUE evidenzia che le aziende e i soggetti che trattano dati devono continuare a rispettare rigorosi requisiti in materia di protezione dei dati. Allo stesso tempo, la sentenza garantisce certezza giuridica e impedisce un’espansione illimitata dei rischi di responsabilità in caso di violazioni meramente tecniche o formali del GDPR, purché non venga comprovato un danno concreto.
Ciò significa, nella pratica, che semplici errori nella gestione dei dati personali – ad esempio nella comunicazione delle informazioni o nella documentazione – non danno luogo automaticamente a pretese economiche da parte degli interessati. L’avente diritto al risarcimento sorge solo se vengono allegati e provati svantaggi concreti e individuali.
Significato per aziende e responsabili della protezione dei dati
Alla luce della recente decisione della CGUE, è opportuno porre ancora maggiore attenzione alla documentazione dei processi di trattamento dei dati e ai potenziali rischi. Per i soggetti che trattano dati non ne derivano minori obblighi in tema di prevenzione, sensibilizzazione e obblighi di documentazione, ma una maggiore chiarezza circa i presupposti di fatto necessari per una eventuale pretesa risarcitoria.
Conclusioni e prospettive
La giurisprudenza della CGUE rappresenta un’importante pietra miliare nell’interazione tra protezione dei dati e diritto della responsabilità. Garantisce una necessaria distinzione tra mera violazione della legge e reale causazione di un danno. In tal modo sono bilanciati sia la posizione degli interessati sia gli interessi di imprese e titolari del trattamento. La sentenza della CGUE dovrebbe costituire un riferimento per la giurisprudenza attuale e per la futura evoluzione del diritto al risarcimento nel contesto della protezione dei dati.
Per ulteriori domande o in caso di incertezze giuridiche in tema di protezione dei dati, gli avvocati di MTR Legal Rechtsanwälte restano volentieri a vostra disposizione come interlocutori di riferimento.
