Corte di giustizia, Sentenza C-590/22

Risarcimento del danno immateriale ex articolo 82 RGPD

La pronuncia riguarda un rinvio pregiudiziale dell’Amtsgericht Wesel in una controversia tra AT e BT, clienti di una società di consulenza fiscale, e la PS GbR con i suoi soci, relativa alla divulgazione a terzi di una dichiarazione dei redditi contenente dati personali. La Corte chiarisce la portata del diritto al risarcimento previsto dall’articolo 82, paragrafo 1, del regolamento (UE) 2016/679 (RGPD), con particolare attenzione al danno immateriale, al timore di una divulgazione dei dati e ai criteri di quantificazione del risarcimento.

Fatti e procedimento principale

I ricorrenti avevano comunicato il cambio di indirizzo alla società di consulenza fiscale, che però avrebbe utilizzato un indirizzo non aggiornato per spedire la dichiarazione dei redditi. La busta fu recapitata al vecchio indirizzo, aperta per errore da terzi e poi restituita, ma non era possibile stabilire con precisione quali documenti contenesse originariamente né in quale misura i terzi ne avessero preso conoscenza.

I ricorrenti hanno agito per ottenere EUR 15 000 a titolo di risarcimento del danno immateriale, sostenendo di aver subito sofferenze per la divulgazione non autorizzata dei propri dati personali.

Normativa rilevante

La Corte richiama in particolare:

• l’articolo 82 RGPD, sul diritto al risarcimento e sulla responsabilità;
• l’articolo 83 RGPD, relativo alle sanzioni amministrative pecuniarie;
• l’articolo 79 RGPD, sul ricorso giurisdizionale effettivo;
• l’articolo 4 RGPD, con le definizioni di dato personale, titolare del trattamento, terzo e violazione dei dati personali;
• i considerando 85, 146 e 148 RGPD.

Questioni sottoposte alla Corte

Il giudice del rinvio chiede, in sostanza:

• se la violazione del RGPD basti da sola a fondare il risarcimento;
• se il danno immateriale debba essere grave;
• se il semplice timore di una divulgazione dei dati sia sufficiente;
• se i criteri dell’articolo 83 possano essere usati per determinare il quantum del risarcimento;
• se il risarcimento debba avere funzione dissuasiva;
• se vadano considerate anche violazioni simultanee di norme nazionali in materia di protezione dei dati.

Ragionamento della Corte sulle prime due questioni

La Corte ribadisce che l’articolo 82, paragrafo 1, RGPD richiede tre condizioni cumulative:

• una violazione del regolamento;
• un danno materiale o immateriale;
• un nesso causale tra violazione e danno.

Ne consegue che la sola violazione del RGPD non basta a fondare il diritto al risarcimento. Tuttavia, la Corte esclude anche che il danno immateriale debba raggiungere una soglia minima di gravità: l’interessato deve provare un danno effettivo, anche se minimo.

Il timore per la divulgazione dei dati come danno immateriale

Quanto alla terza questione, la Corte afferma che il timore che i dati personali siano stati divulgati a terzi può, in linea di principio, costituire un danno immateriale ai sensi dell’articolo 82 RGPD. Ciò vale anche quando non sia dimostrabile con certezza che i terzi abbiano effettivamente acquisito conoscenza dei dati.

Tuttavia, il timore non è risarcibile in astratto: deve essere debitamente provato, insieme alle sue conseguenze negative. La mera allegazione soggettiva di paura o apprensione, senza elementi concreti, non è sufficiente.

Quantificazione del risarcimento: no ai criteri dell’articolo 83 RGPD

Sulle questioni quarta e quinta, la Corte distingue nettamente tra:

• articolo 82 RGPD, che ha funzione compensativa;
• articolo 83 RGPD, che disciplina le sanzioni amministrative pecuniarie e persegue finalità di repressione e deterrenza.

I criteri previsti per le sanzioni amministrative pecuniarie, come natura, gravità e durata della violazione, non possono essere applicati mutatis mutandis per quantificare il risarcimento del danno ex articolo 82. Il risarcimento deve coprire integralmente il danno concretamente subito, ma non può assumere una funzione dissuasiva o punitiva.

La Corte precisa inoltre che, in mancanza di norme armonizzate dell’Unione sulla modalità di calcolo del danno, spetta al diritto interno stabilire i criteri di liquidazione, nel rispetto dei principi di equivalenza ed effettività.

Violazioni simultanee di norme nazionali

Quanto alla sesta questione, la Corte esclude che, per determinare l’importo del risarcimento ex articolo 82 RGPD, si debba tenere conto di violazioni simultanee di norme nazionali sulla protezione dei dati che non specificano il contenuto del regolamento.

Il considerando 146 menziona anche il trattamento non conforme alle norme nazionali che specificano il RGPD, ma non estende tale rilievo a ogni disciplina nazionale in materia di riservatezza. Rimane ferma la possibilità che il diritto nazionale consenta un risarcimento più elevato, se ciò è autonomamente previsto dall’ordinamento interno.

Dispositivo e principi affermati

La Corte risponde che:

• la violazione del RGPD, da sola, non basta a ottenere il risarcimento;
• il danno immateriale non deve essere grave;
• il timore di divulgazione può essere un danno risarcibile se provato;
• i criteri dell’articolo 83 non si applicano alla quantificazione del risarcimento;
• il risarcimento non ha funzione dissuasiva;
• le violazioni di norme nazionali non attuative del RGPD non rilevano, di regola, per il quantum ex articolo 82.

La pronuncia consolida l’orientamento della Corte secondo cui il rimedio risarcitorio del RGPD è compensativo, non sanzionatorio, e richiede sempre la prova concreta del danno subito.