Corte di giustizia, Sentenza C-687/21

Risarcimento ex RGPD per consegna erronea di documenti a un terzo non autorizzato

La pronuncia riguarda un rinvio pregiudiziale dell'Amtsgericht Hagen in materia di protezione dei dati personali e responsabilità risarcitoria ex articolo 82 del regolamento (UE) 2016/679. La controversia oppone una persona fisica al titolare del trattamento, dopo che documenti cartacei contenenti dati personali erano stati consegnati per errore a un terzo non autorizzato.

Fatti e procedimento principale

BL aveva acquistato un elettrodomestico presso la Saturn/MediaMarktSaturn. Per la vendita e il finanziamento erano stati raccolti e stampati dati personali quali nome, indirizzo, luogo di residenza, datore di lavoro, redditi e coordinate bancarie. Al momento della consegna, un altro cliente riceveva per errore sia l'elettrodomestico sia i documenti contenenti i dati; l'errore veniva corretto entro circa mezz'ora, con restituzione del materiale al cliente interessato.

BL agiva in giudizio chiedendo il risarcimento del danno immateriale, sostenendo di aver subito una perdita di controllo sui propri dati e il timore di un loro possibile uso futuro abusivo. La società resistente contestava sia la violazione del RGPD sia l'esistenza di un danno, rilevando che il terzo non aveva utilizzato i dati in modo abusivo.

Questioni pregiudiziali sottoposte alla Corte

Il giudice del rinvio sollevava sette questioni, riguardanti in sintesi:

• la validità dell'articolo 82 RGPD per asserita indeterminatezza;
• la necessità di provare, oltre alla violazione, un danno materiale o immateriale;
• la sufficienza della consegna erronea di documenti a un terzo per integrare una violazione del RGPD;
• l'eventuale rilevanza dell'adeguatezza delle misure tecniche e organizzative ex articoli 5, 24 e 32 RGPD;
• la configurabilità di un danno immateriale in presenza del solo timore di futura diffusione o uso abusivo;
• il peso della gravità della violazione nella liquidazione del risarcimento;
• la natura compensativa o punitiva del risarcimento.

Ricevibilità della questione sulla validità dell'articolo 82 RGPD

La Corte dichiara irricevibile la prima questione. Il giudice del rinvio non aveva indicato motivi precisi di invalidità, come richiesto dall'articolo 94, lettera c), del regolamento di procedura della Corte. In mancanza di un'esposizione adeguata delle ragioni che avrebbero dovuto fondare il controllo di validità, la Corte non può esaminare la questione.

Adeguatezza delle misure di sicurezza e consegna erronea dei documenti

Esaminando congiuntamente le questioni terza e quarta, la Corte interpreta gli articoli 5, 24, 32 e 82 RGPD nel senso che la sola circostanza che alcuni dipendenti abbiano consegnato per errore a un terzo non autorizzato un documento contenente dati personali non basta, di per sé, a concludere che le misure tecniche e organizzative del titolare fossero inadeguate.

La Corte richiama il principio di responsabilizzazione del titolare del trattamento: l'adeguatezza delle misure va valutata in concreto, alla luce della natura, del contesto, dell'oggetto e delle finalità del trattamento, nonché dei rischi connessi. In un'azione ex articolo 82 RGPD, il titolare conserva la possibilità di dimostrare che, nonostante l'errore del personale, le misure adottate erano adeguate. Il giudice nazionale non può quindi fondare la decisione solo sull'errore materiale, ma deve considerare tutti gli elementi di prova prodotti dal titolare.

Funzione del risarcimento ex articolo 82 RGPD

La Corte ribadisce che il diritto al risarcimento previsto dall'articolo 82, paragrafo 1, RGPD ha funzione compensativa e non punitiva. Esso è distinto dalle sanzioni amministrative pecuniarie e dalle altre sanzioni previste dagli articoli 83 e 84 RGPD, che svolgono invece una funzione più marcatamente punitiva/dissuasiva.

Ne consegue che il risarcimento pecuniario deve compensare integralmente il danno concretamente subito, senza assumere una funzione sanzionatoria assimilabile a una penale contrattuale.

Irrilevanza della gravità della violazione ai fini della quantificazione del risarcimento

La Corte afferma che l'articolo 82 RGPD non impone di prendere in considerazione il livello di gravità della violazione commessa dal titolare del trattamento ai fini della liquidazione del danno. La responsabilità sorge sulla base dell'esistenza della violazione, del danno e del nesso causale, ma l'importo del risarcimento va determinato in modo da ristabilire integralmente il pregiudizio subito, non in funzione della gravità della condotta illecita.

Necessità di provare un danno effettivo

Rispondendo alla seconda questione, la Corte precisa che la persona che chiede il risarcimento deve dimostrare non solo la violazione del RGPD, ma anche che tale violazione le ha causato un danno materiale o immateriale. La mera violazione, di per sé, non basta a fondare il diritto al risarcimento.

La Corte ribadisce inoltre che, per il danno immateriale, non è richiesto il superamento di una soglia minima di gravità, ma è comunque necessaria la prova di conseguenze negative effettive riconducibili alla violazione.

Nozione di danno immateriale e timore di futura diffusione dei dati

Quanto alla quinta questione, la Corte afferma che il semplice timore di una futura diffusione o di un futuro utilizzo abusivo può, in linea di principio, rientrare nella nozione autonoma e uniforme di "danno immateriale" ex articolo 82, paragrafo 1, RGPD. Tuttavia, il timore deve essere fondato e verificato dal giudice nazionale; non è sufficiente un rischio meramente ipotetico.

Nel caso concreto, poiché il documento era stato restituito in tempi brevi e il terzo non aveva preso conoscenza dei dati, il solo timore astratto di un eventuale uso futuro abusivo non basta a integrare un danno immateriale risarcibile. Occorre dunque una prova effettiva del pregiudizio lamentato.

Dispositivo

La Corte dichiara irricevibile la prima questione e risponde alle altre nel senso che:

• l'errore dei dipendenti nella consegna di documenti non basta, da solo, a provare l'inadeguatezza delle misure di sicurezza;
• il risarcimento ex articolo 82 RGPD è compensativo, non punitivo;
• la gravità della violazione non deve essere considerata nella quantificazione del danno;
• il ricorrente deve provare sia la violazione sia il danno e il nesso causale;
• il timore di futura diffusione o uso abusivo, da solo e in assenza di effettiva conoscenza dei dati da parte del terzo, non costituisce necessariamente danno immateriale risarcibile.