Corte di giustizia, Sentenza C-340/21

Responsabilità per violazione dei dati personali e danno da timore di uso abusivo futuro

La pronuncia concerne un rinvio pregiudiziale del Varhoven administrativen sad (Bulgaria) in una controversia tra una persona fisica e l’Agenzia nazionale per le entrate pubbliche bulgara, titolare del trattamento. La causa nasce da un attacco informatico al sistema della NAP, seguito dalla divulgazione online di dati personali di milioni di persone, e riguarda il risarcimento del danno immateriale chiesto da un interessato ai sensi del RGPD.

Fatti e procedimento principale

La ricorrente sostiene di aver subito un danno immateriale perché la pubblicazione dei suoi dati le avrebbe generato timore per un possibile utilizzo abusivo futuro, compresi ricatto, aggressione o rapimento. La NAP contesta la propria responsabilità, affermando di aver adottato le misure necessarie, di non avere nesso causale con il danno lamentato e di essere stata essa stessa vittima di un’azione dolosa di terzi non controllabili. Il giudice di primo grado ha respinto la domanda, ritenendo non dimostrata l’inerzia della NAP e inesistente un danno immateriale risarcibile; in cassazione il giudice del rinvio ha sollevato cinque questioni interpretative sul RGPD.

Normativa rilevante

La Corte esamina, in particolare:

• l’articolo 5, paragrafo 2, RGPD, sul principio di responsabilizzazione;
• l’articolo 24 RGPD, sulla responsabilità del titolare del trattamento;
• l’articolo 32 RGPD, sulla sicurezza del trattamento;
• l’articolo 79, paragrafo 1, RGPD, sul ricorso giurisdizionale effettivo;
• l’articolo 82, paragrafi 1-3, RGPD, sul diritto al risarcimento e sull’esonero da responsabilità;
• le definizioni dell’articolo 4, punti 10 e 12, RGPD;
• i considerando 74, 76, 83, 85 e 146 del regolamento.

Primo e secondo quesito: adeguatezza delle misure di sicurezza

La Corte afferma che gli articoli 24 e 32 RGPD non possono essere letti nel senso che la sola divulgazione non autorizzata dei dati o il solo accesso non autorizzato da parte di terzi consentano di presumere, in modo assoluto, l’inadeguatezza delle misure adottate dal titolare. Il regolamento impone un regime di gestione del rischio: il titolare deve adottare misure tecniche e organizzative adeguate per ridurre i rischi, non per eliminare ogni rischio di violazione.

L’adeguatezza va quindi verificata in concreto. Il giudice nazionale deve valutare:

• i rischi specifici derivanti dal trattamento;
• la probabilità e la gravità di tali rischi;
• la natura, il contenuto e l’effettiva attuazione delle misure;
• lo stato dell’arte e i costi di attuazione;
• il contesto, l’ambito e le finalità del trattamento.

Ne consegue che il controllo giurisdizionale non può limitarsi a registrare la mera esistenza di un data breach, ma deve essere un esame nel merito delle misure effettivamente adottate.

Terzo quesito: onere della prova e perizia

La Corte chiarisce che il principio di responsabilizzazione dell’articolo 5, paragrafo 2, concretizzato dall’articolo 24 RGPD, comporta che l’onere di dimostrare l’adeguatezza delle misure di sicurezza spetta al titolare del trattamento, anche in un’azione di risarcimento ex articolo 82. Tale conclusione è coerente con la struttura del regolamento e con l’esigenza di non svuotare di contenuto il diritto al risarcimento degli interessati.

Quanto alla perizia giudiziaria, la Corte precisa che il diritto dell’Unione non disciplina le regole probatorie specifiche in materia; queste restano, in linea di principio, rimesse al diritto processuale nazionale, nel rispetto dei principi di equivalenza ed effettività. Una perizia non può però essere considerata sistematicamente necessaria né automaticamente sufficiente: il giudice deve poter fondare la propria valutazione su tutte le prove disponibili e svolgere una valutazione autonoma e obiettiva.

Quarto quesito: esonero da responsabilità in caso di violazione da parte di terzi

L’articolo 82, paragrafo 3, non prevede un’esenzione automatica quando il data breach sia causato da terzi, compresi i criminali informatici. Il titolare può essere esonerato solo se dimostra che il fatto dannoso non gli è in alcun modo imputabile. Se la violazione è stata resa possibile da un inadempimento del titolare agli obblighi di sicurezza e protezione del RGPD, il nesso di imputabilità permane.

In altri termini, l’attacco hacker non basta da solo a interrompere la responsabilità: occorre verificare se il titolare abbia adempiuto agli obblighi di cui agli articoli 5, paragrafo 1, lettera f), 24 e 32 RGPD e se tra una sua eventuale violazione e il danno esista un nesso causale.

Quinto quesito: danno immateriale da timore di uso abusivo futuro

La Corte interpreta in modo ampio la nozione di danno immateriale dell’articolo 82, paragrafo 1. Il testo del regolamento non esclude che il timore di un futuro utilizzo abusivo dei propri dati, sorto dopo una violazione, possa costituire di per sé un danno risarcibile. Il considerando 146 invita a un’interpretazione ampia del concetto di danno, e il considerando 85 menziona espressamente la perdita di controllo sui dati come pregiudizio potenzialmente risarcibile.

Tuttavia, il giudice nazionale deve verificare che il timore sia reale e fondato nelle circostanze concrete del caso. Non è richiesto che si sia già verificato un ulteriore uso illecito dei dati, ma la persona interessata deve provare che le conseguenze lamentate integrino effettivamente un danno immateriale.

Dispositivo e principi applicati

La Corte risponde quindi che:

• il solo data breach da parte di terzi non basta a dimostrare l’inadeguatezza delle misure di sicurezza;
• la valutazione dell’adeguatezza va svolta in concreto dal giudice nazionale;
• l’onere di provare l’adeguatezza grava sul titolare del trattamento;
• la perizia non è mezzo di prova obbligatorio e risolutivo;
• il titolare non è automaticamente esonerato se la violazione è commessa da terzi;
• il timore di un possibile uso abusivo futuro dei dati può costituire danno immateriale risarcibile.

Implicazioni pratiche

Per i professionisti, la sentenza rafforza il contenzioso risarcitorio da data breach: il titolare deve documentare in modo robusto le misure tecniche e organizzative adottate e la loro aggiornamento continuo, mentre l’interessato può fondare la domanda anche su un pregiudizio psichico o emotivo derivante dal timore del futuro uso illecito dei dati. La decisione conferma che il giudice deve effettuare un controllo sostanziale, non meramente formale, sulla sicurezza del trattamento e sulla prova dell’imputabilità dell’evento.