Corte di giustizia, Sentenza C-741/21

Risarcimento del danno immateriale ex articolo 82 RGPD: violazioni multiple e quantificazione del danno

La pronuncia riguarda un rinvio pregiudiziale del Landgericht Saarbrücken in una controversia tra un professionista e una società tedesca che aveva continuato a trattare i suoi dati per marketing diretto nonostante l’opposizione dell’interessato. La Corte interpreta l’articolo 82 RGPD, letto alla luce degli articoli 29 e 83 e dei considerando 85, 146 e 148, per chiarire quando sussista un danno immateriale risarcibile e come vada determinato l’importo del risarcimento.

Fatti e procedimento principale

Il ricorrente, avvocato che esercita in proprio, aveva revocato i consensi e si era opposto a qualsiasi trattamento dei suoi dati per finalità di marketing diretto, salvo l’invio di newsletter. Nonostante ciò, la società gli aveva inviato più prospetti pubblicitari nominativi; inoltre, ciascun prospetto conteneva un codice personale che consentiva di accedere a un modulo d’ordine con sue menzioni. Il ricorrente ha quindi chiesto il risarcimento del danno materiale e immateriale, sostenendo di aver subito una perdita di controllo sui propri dati personali.

Questioni sottoposte alla Corte

Il giudice nazionale chiedeva, in sostanza:

• se la violazione di disposizioni del RGPD che attribuiscono diritti all’interessato integri di per sé un danno immateriale;
• se il titolare possa essere esonerato quando la violazione sia dipesa dall’errore di un soggetto che agisce sotto la sua autorità, ai sensi dell’articolo 29;
• se, nella quantificazione del risarcimento, vadano applicati i criteri dell’articolo 83 relativi alle sanzioni amministrative pecuniarie;
• se, in caso di violazioni multiple connesse alla stessa operazione di trattamento, occorra procedere a una valutazione per singola violazione o a una valutazione globale.

Normativa rilevante

La Corte richiama in particolare:

• l’articolo 21, paragrafo 3, RGPD sul diritto di opposizione al marketing diretto;
• gli articoli 24, 25 e 32 RGPD, relativi alla responsabilità del titolare, alla protezione dei dati fin dalla progettazione e alla sicurezza del trattamento;
• l’articolo 29 RGPD sul trattamento sotto l’autorità del titolare;
• l’articolo 79 RGPD sul ricorso giurisdizionale effettivo;
• l’articolo 82 RGPD sul diritto al risarcimento e sulla responsabilità;
• l’articolo 83 RGPD sulle sanzioni amministrative pecuniarie;
• l’articolo 84 RGPD sulle altre sanzioni;
• i considerando 85, 146 e 148 RGPD.

Ragionamento della Corte sulla nozione di danno immateriale

La Corte ribadisce che l’articolo 82, paragrafo 1, RGPD richiede tre condizioni cumulative: violazione del regolamento, esistenza di un danno materiale o immateriale effettivamente subito e nesso causale tra i due. La mera violazione del RGPD non è quindi sufficiente a fondare il diritto al risarcimento.

La Corte precisa inoltre che non è necessario che il danno immateriale raggiunga una soglia minima di gravità. Tuttavia, ciò non significa che la violazione di una norma che attribuisce diritti all’interessato sia essa stessa, automaticamente, un danno immateriale. L’interessato deve provare di aver subito un pregiudizio concreto, anche minimo. In tale contesto, la perdita di controllo sui dati personali può costituire un danno immateriale risarcibile, come già affermato nella giurisprudenza richiamata, purché sia effettivamente dimostrata.

Responsabilità del titolare e errore di chi agisce sotto la sua autorità

Quanto all’esonero ex articolo 82, paragrafo 3, la Corte afferma che il titolare non può sottrarsi alla responsabilità limitandosi a sostenere che il danno è stato causato dall’errore di un dipendente o di altra persona che agisce sotto la sua autorità. L’articolo 29 e l’articolo 32, paragrafo 4, impongono al titolare di assicurare che chi opera sotto la sua autorità tratti i dati solo su istruzione e secondo le istruzioni impartite.

L’esonero è ammesso solo se il titolare dimostra che l’evento dannoso non gli è in alcun modo imputabile, anche con riferimento ai propri obblighi di protezione dei dati. In altre parole, non basta provare di aver dato istruzioni interne e che un dipendente le abbia violate; occorre escludere ogni nesso di causalità tra una violazione degli obblighi del titolare e il danno lamentato.

Quantificazione del risarcimento: inapplicabilità dell’articolo 83

La Corte distingue nettamente la funzione dell’articolo 82, di natura compensativa, da quella degli articoli 83 e 84, che hanno finalità sostanzialmente punitiva o dissuasiva. Per questo motivo, i criteri di cui all’articolo 83, paragrafo 2, per la determinazione delle sanzioni amministrative pecuniarie non possono essere trasposti nella valutazione del danno risarcibile.

Il giudice nazionale deve quindi determinare l’importo del risarcimento secondo il proprio diritto interno, nel rispetto dei principi di equivalenza ed effettività. Il risarcimento deve essere pieno ed effettivo, ma non punitivo: deve compensare integralmente il danno concretamente subito, non aggiungervi una componente sanzionatoria.

Violazioni multiple e valutazione dell’importo

La Corte chiarisce infine che, ai fini del risarcimento ex articolo 82, il numero delle violazioni del RGPD commesse nell’ambito della stessa operazione di trattamento non costituisce un criterio autonomo di quantificazione. Ciò che conta è soltanto il danno concretamente patito dall’interessato. Le violazioni multiple non devono quindi essere sommate come fattore di aggravamento risarcitorio, se non nella misura in cui abbiano effettivamente inciso sul danno subito.

Dispositivo

La Corte risponde che:

• la violazione di disposizioni del RGPD che conferiscono diritti all’interessato non è di per sé sufficiente a integrare un danno immateriale, indipendentemente dalla gravità;
• il titolare non può essere esonerato soltanto perché il danno è stato causato dall’errore di una persona che agisce sotto la sua autorità;
• per quantificare il risarcimento non si applicano mutatis mutandis i criteri dell’articolo 83;
• non si tiene conto del fatto che più violazioni, riferibili a una stessa operazione di trattamento, riguardino la persona che chiede il risarcimento.

Impatto pratico

Per gli operatori, la sentenza conferma che il risarcimento ex RGPD non è automatico: serve la prova di un pregiudizio concreto. Al tempo stesso, rafforza la responsabilità organizzativa del titolare del trattamento, che non può scaricare sul singolo dipendente l’inosservanza delle regole interne. Sul piano economico, il risarcimento resta ancorato alla funzione riparatoria e non può essere trasformato in una sanzione indiretta.