Corte di giustizia, Sentenza C-182/22

Risarcimento del danno immateriale per furto di dati personali ex articolo 82 RGPD

La pronuncia riguarda due rinvii pregiudiziali dell’Amtsgericht München in controversie promosse da JU e SO contro Scalable Capital GmbH per ottenere il risarcimento del danno immateriale derivante dal furto di dati personali registrati su una piattaforma di trading. La Corte interpreta l’articolo 82 del regolamento (UE) 2016/679 alla luce dei considerando 75, 85 e 146.

Fatti e procedimento principale

I ricorrenti avevano aperto conti tramite un’applicazione di trading gestita da Scalable Capital, fornendo dati identificativi e una copia digitale della carta d’identità. Nel 2020, dati personali e informazioni sul portafoglio titoli sono stati sottratti da terzi non identificati; secondo la società, tali dati non risultavano ancora usati fraudolentemente. I ricorrenti hanno agito davanti al giudice tedesco chiedendo il ristoro del danno immateriale subito.

Questioni pregiudiziali

Il giudice del rinvio chiedeva, in sintesi:

• se il risarcimento ex articolo 82 RGPD abbia funzione solo compensativa o anche punitiva/dissuasiva;
• se, nella liquidazione, incidano la gravità della violazione e il dolo;
• se il danno da violazione di dati sia per natura meno grave di una lesione personale;
• se sia possibile un risarcimento meramente simbolico;
• come debba intendersi il furto d’identità richiamato nei considerando 75 e 85.

Normativa rilevante

La Corte richiama in particolare:

• l’articolo 82, paragrafi 1-3, RGPD;
• l’articolo 4, punti 1, 7, 10 e 12, RGPD;
• i considerando 75, 85 e 146 RGPD;
• l’articolo 267 TFUE per il rinvio pregiudiziale.

Ricevibilità

La Corte respinge l’eccezione di irricevibilità sollevata dalla società convenuta. Ribadisce che le questioni pregiudiziali godono di una presunzione di rilevanza e che l’eventuale contestazione sull’applicabilità della norma al caso concreto attiene al merito, non alla ricevibilità.

Natura del risarcimento ex articolo 82 RGPD

La Corte conferma la propria giurisprudenza secondo cui l’articolo 82 RGPD ha funzione esclusivamente compensativa. Il risarcimento serve a compensare integralmente il danno concretamente subito a causa della violazione, e non a punire il titolare del trattamento o a dissuaderlo in via generale o speciale. La funzione sanzionatoria nel sistema del RGPD è affidata agli articoli 83 e 84, che disciplinano rispettivamente sanzioni amministrative pecuniarie e altre sanzioni.

Gravità della violazione e dolo

La Corte precisa che il sorgere della responsabilità ai sensi dell’articolo 82 presuppone la colpa del titolare del trattamento, salvo prova che l’evento dannoso non gli sia in alcun modo imputabile; tuttavia, né il livello di gravità della violazione né il suo eventuale carattere doloso devono essere presi in considerazione nella quantificazione del risarcimento del danno immateriale. Il ristoro deve essere determinato in modo da compensare integralmente il pregiudizio, non da riflettere un giudizio di meritevolezza o colpevolezza aggravata.

Danno immateriale e lesione personale

La Corte afferma che non esiste, nel RGPD, una gerarchia tra danni fisici, materiali e immateriali. I considerando 75 e 85 elencano varie conseguenze possibili di una violazione dei dati senza attribuire al danno da data breach una gravità intrinsecamente inferiore rispetto alla lesione personale. Presumere in astratto una minore gravità del danno immateriale rischierebbe di compromettere il principio del pieno ed effettivo risarcimento.

Importo minimo o simbolico del risarcimento

La Corte ribadisce che non esiste una soglia de minimis per il sorgere del diritto al risarcimento, una volta dimostrati violazione, danno e nesso causale. Tuttavia, in presenza di un danno lieve, il giudice nazionale può accordare un importo ridotto, purché esso sia comunque idoneo a compensare integralmente il danno subito. È quindi escluso un risarcimento meramente simbolico se non soddisfa tale requisito compensativo.

Nozione di furto d’identità

Quanto al furto d’identità, la Corte osserva che i considerando 75 e 85 usano in modo intercambiabile espressioni come furto, usurpazione, abuso o sottrazione d’identità. La mera sottrazione o disponibilità di dati identificativi non integra di per sé un furto o un’usurpazione d’identità: occorre che l’identità della persona sia effettivamente usurpata da un terzo. Tuttavia, il diritto al risarcimento del danno immateriale causato dal furto di dati non è limitato ai casi in cui si provi anche la successiva usurpazione d’identità; restano sufficienti le condizioni generali dell’articolo 82, ossia trattamento illecito, danno e nesso causale.

Dispositivo

La Corte dichiara che:

• il risarcimento ex articolo 82, paragrafo 1, RGPD ha funzione esclusivamente compensativa;
• non occorre considerare gravità o dolo della violazione ai fini della liquidazione;
• il danno immateriale da violazione di dati non è per natura meno grave di una lesione personale;
• è possibile un risarcimento di importo minimo solo se pienamente compensativo;
• il furto d’identità richiede l’effettiva usurpazione dell’identità, ma il risarcimento del danno immateriale non presuppone necessariamente tale ulteriore evento.