Corte di giustizia, Sentenza C-456/22

Risarcimento del danno immateriale ex articolo 82 RGPD e soglia de minimis

La sentenza riguarda un rinvio pregiudiziale del Landgericht Ravensburg in materia di protezione dei dati personali e responsabilità risarcitoria del titolare del trattamento. La Corte è chiamata a chiarire se, ai fini dell'articolo 82, paragrafo 1, del RGPD, il danno immateriale debba superare una soglia minima di gravità oppure se sia sufficiente la perdita, anche temporanea, del controllo sui dati personali pubblicati online.

Fatti e procedimento principale

Il Comune di Ummendorf aveva pubblicato sul proprio sito Internet, senza il consenso di AT e VX, l'ordine del giorno di una riunione del consiglio comunale contenente più volte i loro nomi, nonché una sentenza del Verwaltungsgericht Sigmaringen che riportava nomi, cognomi e indirizzo di domicilio. I documenti erano accessibili sulla homepage del sito per alcuni giorni. I ricorrenti hanno chiesto il risarcimento del danno immateriale ex articolo 82, paragrafo 1, RGPD, sostenendo di aver subito sofferenze per la divulgazione illecita dei dati personali.

Questioni sottoposte alla Corte

Il giudice del rinvio ha espresso dubbi sulla configurabilità del danno immateriale quando la lesione consista nella sola perdita temporanea del controllo sui dati, senza svantaggio tangibile né lesione oggettivamente evidente degli interessi personali. In sostanza, chiede se il diritto dell'Unione consenta o imponga una soglia de minimis per il risarcimento.

Normativa rilevante

La Corte richiama in particolare:

• il considerando 146 RGPD, che impone un'interpretazione ampia del concetto di danno;
• l'articolo 5, paragrafo 1, lettera a), RGPD, relativo ai principi di liceità, correttezza e trasparenza;
• l'articolo 82, paragrafo 1, RGPD, che riconosce il diritto al risarcimento del danno materiale o immateriale causato da una violazione del regolamento.

Ragionamento della Corte

La Corte ricorda anzitutto che il diritto al risarcimento ex articolo 82 RGPD presuppone tre condizioni cumulative: una violazione del regolamento, un danno subito e un nesso causale tra violazione e danno. La nozione di "danno immateriale" deve essere interpretata in modo autonomo e uniforme nel diritto dell'Unione, senza rinvio al diritto nazionale.

Richiamando la giurisprudenza già resa in materia, la Corte ribadisce che l'articolo 82, paragrafo 1, RGPD osta a regole o prassi nazionali che subordinino il risarcimento alla prova di una certa gravità del danno. Non possono quindi essere aggiunte condizioni ulteriori, come il carattere tangibile del pregiudizio o la necessità di una lesione oggettivamente evidente degli interessi personali.

La Corte osserva che il considerando 146 del RGPD impone una nozione ampia di danno, coerente con l'obiettivo di garantire un livello elevato e uniforme di tutela nell'Unione. Introdurre una soglia minima di gravità rischierebbe di compromettere la coerenza del sistema e di creare disparità applicative tra giudici nazionali.

Al tempo stesso, la Corte precisa che la sola violazione del RGPD non basta a fondare il diritto al risarcimento: l'interessato deve dimostrare che le conseguenze concrete della violazione costituiscono un danno immateriale. Perciò, anche la pubblicazione online dei dati personali con conseguente perdita temporanea di controllo può dar luogo a un danno risarcibile, ma solo se tale danno è provato in concreto, sia pure di entità minima.

Decisione e principio affermato

La Corte dichiara che l'articolo 82, paragrafo 1, del RGPD osta a una normativa o prassi nazionale che imponga una soglia de minimis per il danno immateriale. L'interessato deve dimostrare di aver subito un danno distinto dalla mera violazione del regolamento, ma non è tenuto a provare uno svantaggio tangibile o una soglia minima di gravità.

Rilievi pratici

Per gli operatori, la pronuncia conferma che in ambito GDPR non è difendibile, in via generale, l'eccezione basata sull'assenza di un danno "serio" o economicamente apprezzabile. Rimane però essenziale documentare il pregiudizio allegato dall'interessato, poiché il risarcimento non discende automaticamente dalla sola illiceità del trattamento.