Corte di giustizia, Sentenza C-300/21

Risarcimento del danno immateriale ex articolo 82 RGPD

La pronuncia riguarda un rinvio pregiudiziale dell’Oberster Gerichtshof (Austria) nella controversia tra UI e Österreichische Post AG. La questione centrale è l’interpretazione dell’articolo 82 del regolamento (UE) 2016/679 (RGPD) in materia di diritto al risarcimento per trattamenti di dati personali effettuati in violazione del regolamento.

Fatti e procedimento principale

La Österreichische Post aveva raccolto e trattato dati sulle presunte affinità politiche di persone residenti in Austria, compreso UI, elaborando profili per finalità di marketing. UI aveva chiesto sia la cessazione del trattamento sia il risarcimento di EUR 1000 per il danno immateriale asseritamente subito, consistito in sentimenti di contrarietà, perdita di fiducia e umiliazione.

I giudici austriaci di merito avevano accolto la domanda inibitoria ma respinto quella risarcitoria, ritenendo che, secondo il diritto interno, il danno immateriale fosse risarcibile solo oltre una certa soglia di gravità. Il giudice di rinvio ha quindi interrogato la Corte sulla portata dell’articolo 82 RGPD, sul ruolo dei principi di equivalenza ed effettività e sulla compatibilità di una simile soglia nazionale.

Questioni pregiudiziali

L’Oberster Gerichtshof ha sottoposto alla Corte tre questioni sostanziali:

• se, per ottenere il risarcimento ex articolo 82 RGPD, sia sufficiente la mera violazione del regolamento o sia necessario un danno effettivo;
• se, nella determinazione del risarcimento, vi siano altre prescrizioni di diritto UE oltre ai principi di equivalenza ed effettività;
• se sia compatibile con il diritto dell’Unione una regola nazionale che richieda, per il danno immateriale, un livello minimo di gravità.

Quadro normativo rilevante

La Corte richiama in particolare:

• l’articolo 82 RGPD, che riconosce il diritto al risarcimento a chiunque subisca un danno materiale o immateriale causato da una violazione del regolamento;
• gli articoli 77 e 78 RGPD, relativi ai ricorsi contro l’autorità di controllo;
• gli articoli 83 e 84 RGPD, relativi a sanzioni amministrative e altre sanzioni;
• i considerando 10, 75, 85 e 146 RGPD, decisivi per l’interpretazione autonoma e ampia del concetto di danno e per l’obiettivo di un risarcimento pieno ed effettivo.

Ragionamento della Corte: la sola violazione non basta

La Corte afferma che l’articolo 82, paragrafo 1, RGPD deve essere interpretato in modo autonomo e uniforme in tutta l’Unione, poiché il regolamento non rinvia al diritto nazionale per definire la nozione di danno.

Dalla lettera della disposizione emerge che il diritto al risarcimento presuppone tre condizioni cumulative:

• una violazione del RGPD;
• un danno materiale o immateriale effettivamente subito;
• un nesso causale tra violazione e danno.

Ne consegue che la mera violazione del regolamento non è sufficiente a fondare il diritto al risarcimento. La Corte valorizza anche il contesto sistematico: gli articoli 77 e 78 prevedono rimedi senza riferimento al danno, mentre gli articoli 83 e 84 perseguono finalità sanzionatorie diverse dalla funzione compensativa dell’articolo 82.

Danno immateriale e soglia di gravità

La Corte dichiara che l’articolo 82, paragrafo 1, RGPD osta a una norma o prassi nazionale che subordini il risarcimento del danno immateriale al superamento di una soglia minima di gravità.

La nozione di danno, compreso il danno immateriale, deve essere interpretata in senso autonomo, uniforme e ampio. Il regolamento non prevede alcuna soglia di gravità e il considerando 146 invita a una lettura che rispecchi pienamente gli obiettivi del RGPD. Una soglia nazionale rischierebbe inoltre di compromettere la coerenza del sistema e di introdurre variabilità tra gli Stati membri.

La Corte precisa tuttavia che ciò non esonera l’interessato dall’onere di dimostrare che le conseguenze negative lamentate costituiscano davvero un danno immateriale ai sensi dell’articolo 82.

Determinazione del quantum risarcitorio

Quanto alla quantificazione del danno, la Corte osserva che il RGPD non contiene norme specifiche sui criteri di liquidazione. In assenza di disciplina UE, spetta quindi all’ordinamento di ciascuno Stato membro stabilire le modalità di determinazione dell’importo, nel rispetto dei principi di:

• equivalenza;
• effettività.

Il risarcimento deve essere pieno ed effettivo, cioè idoneo a compensare integralmente il pregiudizio concretamente subito, senza che sia necessario attribuirgli una funzione punitiva. La Corte chiarisce quindi che il RGPD non richiede un risarcimento punitivo, ma solo compensativo.

Dispositivo

La Corte risponde che:

• la mera violazione del RGPD non basta per ottenere il risarcimento ex articolo 82, paragrafo 1;
• è incompatibile con l’articolo 82 una regola nazionale che imponga una soglia minima di gravità per il danno immateriale;
• la determinazione dell’importo del risarcimento è affidata al diritto nazionale, purché siano rispettati i principi di equivalenza ed effettività.

Principi affermati

La sentenza consolida tre punti di riferimento per le azioni risarcitorie in materia di dati personali:

• il diritto al risarcimento ex RGPD richiede sempre un danno effettivo e il nesso causale;
• il danno immateriale non è soggetto a soglie di gravità imposte dal diritto nazionale;
• la liquidazione del danno resta affidata ai giudici nazionali, ma deve garantire un ristoro pieno ed effettivo e non può svuotare di contenuto il diritto conferito dal RGPD.