Corte di giustizia, Sentenza C-655/23

Rinvio pregiudiziale sul RGPD: tutela preventiva e risarcimento del danno immateriale

La pronuncia, resa in un rinvio pregiudiziale del Bundesgerichtshof, riguarda una controversia tra un interessato e una banca tedesca in merito alla divulgazione non autorizzata di dati personali tramite un messaggio elettronico inviato a un terzo. La Corte è chiamata a interpretare gli articoli 17, 18, 79, 82 e 84 del regolamento (UE) 2016/679 (RGPD), in rapporto sia alla tutela inibitoria preventiva sia al risarcimento del danno immateriale.

Fatti e procedimento principale

Un candidato a un impiego presso Quirin Privatbank AG aveva reso disponibili i propri dati tramite un social network professionale. Un’impiegata della banca inviava per errore a un terzo un messaggio contenente informazioni riservate sulla trattativa salariale del candidato. Il terzo inoltrava poi il messaggio all’interessato. Quest’ultimo agiva in giudizio chiedendo:

• un'ingiunzione che imponesse alla banca di astenersi da future divulgazioni illecite dei suoi dati personali;
• il risarcimento del danno immateriale asseritamente subito.

Il giudice di primo grado accoglieva entrambe le domande. In appello, il giudice tedesco riconosceva il diritto all’astensione futura, ma negava il risarcimento. Dinanzi al Bundesgerichtshof, entrambe le parti proponevano ricorso per Revision.

Questioni pregiudiziali

Il giudice del rinvio chiedeva, in sintesi:

• se il RGPD attribuisca all’interessato un diritto di ottenere un’ingiunzione preventiva di astensione da nuovi trattamenti illeciti;
• se tale diritto possa ricavarsi dagli articoli 17 o 18 RGPD, oppure da altre disposizioni, in particolare dagli articoli 79 e 84;
• se, in caso positivo, occorra un rischio di reiterazione e se questo possa presumersi;
• se, ai fini dell’articolo 82 RGPD, sentimenti negativi come rabbia, paura, insoddisfazione o inquietudine integrino un danno immateriale;
• se la gravità della colpa del titolare del trattamento rilevi nella quantificazione del risarcimento;
• se l’esistenza di un’ingiunzione di astensione possa ridurre o sostituire il risarcimento pecuniario.

Normativa rilevante

La Corte richiama in particolare:

• il considerando 1, sul diritto fondamentale alla protezione dei dati;
• i considerando 10, 11, 75, 85 e 146 RGPD;
• gli articoli 1, 4, 5, 6, 17, 18, 79, 82, 83 e 84 RGPD;
• l’articolo 8 della Carta dei diritti fondamentali e l’articolo 16 TFUE.

Ragionamento della Corte: tutela preventiva

La Corte osserva che il RGPD si fonda sul diritto fondamentale alla protezione dei dati personali e mira a garantire un livello elevato e omogeneo di tutela. Tuttavia, esaminando il tenore delle disposizioni, rileva che il regolamento non contiene alcuna norma che riconosca espressamente o implicitamente un diritto autonomo dell’interessato a ottenere, con un’azione di merito, un’ingiunzione preventiva che vieti al titolare del trattamento future violazioni.

In particolare:

• l’articolo 17 riguarda la cancellazione dei dati;
• l’articolo 18 disciplina la limitazione del trattamento;
• l’articolo 79 riconosce un ricorso giurisdizionale effettivo, ma non impone agli Stati membri di prevedere uno specifico rimedio inibitorio preventivo.

La Corte precisa però che il RGPD non osta a che uno Stato membro preveda nel proprio ordinamento un simile ricorso, in quanto il legislatore dell’Unione non ha realizzato un’armonizzazione esaustiva dei mezzi di ricorso in caso di violazione del regolamento. Un rimedio di questo tipo, anzi, può rafforzare l’effetto utile delle norme sostanziali del RGPD.

Ragionamento della Corte: danno immateriale ex articolo 82

Quanto al danno immateriale, la Corte ribadisce che la nozione è autonoma e uniforme nel diritto dell’Unione. Per ottenere il risarcimento, l’interessato deve provare tre elementi cumulativi:

• la violazione del RGPD;
• l’esistenza di un danno materiale o immateriale;
• il nesso causale tra violazione e danno.

La Corte chiarisce che non esiste alcuna soglia minima di gravità del danno. Pertanto, sentimenti negativi quali timore, insoddisfazione, rabbia o inquietudine possono integrare un danno immateriale, purché siano effettivamente dimostrati e causalmente ricollegati alla violazione. Nel caso della divulgazione non autorizzata di dati a terzi, la perdita di controllo sui dati, il timore di un uso abusivo e il pregiudizio alla reputazione sono coerenti con gli esempi richiamati nei considerando 75 e 85 RGPD.

Ragionamento della Corte: quantificazione del risarcimento

La Corte esclude che il grado di gravità o la colpevolezza dell’illecito possano essere presi in considerazione per ridurre l’importo del risarcimento dovuto ex articolo 82. Il risarcimento previsto dal RGPD ha infatti funzione esclusivamente compensativa e deve assicurare una riparazione piena ed effettiva del pregiudizio subito, senza finalità punitive o dissuasive.

In conseguenza, criteri propri di ordinamenti nazionali che tengano conto della colpa dell’autore del danno non possono incidere sull’importo dovuto ai sensi del RGPD, se ciò compromette la piena compensazione del pregiudizio.

Ingiunzione di astensione e risarcimento

La Corte aggiunge che l’eventuale ottenimento, in base al diritto nazionale, di un’ingiunzione di astensione da future violazioni non può ridurre il risarcimento pecuniario dovuto per il danno già subito, né sostituirlo in tutto o in parte. L’ingiunzione ha una funzione soltanto preventiva, mentre il risarcimento ex articolo 82 serve a compensare il danno già verificatosi.

Decisione/dispositivo

La Corte risponde quindi che:

• il RGPD non prevede un mezzo di ricorso giurisdizionale preventivo per ottenere l’astensione da future violazioni, ma non impedisce agli Stati membri di prevederlo;
• la nozione di danno immateriale comprende sentimenti negativi provati a causa della violazione, se dimostrati;
• il grado di gravità dell’illecito non rileva ai fini della liquidazione del risarcimento ex articolo 82;
• un’ingiunzione di astensione non può ridurre né sostituire il risarcimento pecuniario dovuto.

Principi pratici per gli operatori

Per gli operatori italiani, la sentenza conferma che nel contenzioso RGPD:

• la tutela risarcitoria va separata da quella inibitoria;
• il danno immateriale non richiede una soglia minima di gravità, ma va provato;
• il giudice nazionale non può applicare criteri sanzionatori o punitivi nella quantificazione del danno ex articolo 82;
• eventuali rimedi preventivi di matrice interna restano ammissibili, purché non incidano sulla funzione compensativa del risarcimento europeo.