Corte di giustizia, Sentenza C-507/23

Danno immateriale da trattamento illecito di dati personali e risarcimento ex articolo 82 RGPD

La pronuncia riguarda un rinvio pregiudiziale dell'Augstākā tiesa (Senāts), nell'ambito di una controversia tra un giornalista lettone e il centro nazionale per la tutela dei consumatori, relativa alla diffusione non autorizzata di un video contenente un'imitazione del ricorrente. Il giudice nazionale chiede alla Corte come debba essere interpretato l'articolo 82, paragrafo 1, del regolamento (UE) 2016/679, con particolare riferimento alla nozione di danno immateriale e alle modalità di riparazione.

Fatti e procedimento principale

Il PTAC aveva diffuso su diversi siti Internet un filmato realizzato nell'ambito di una campagna informativa sui rischi dell'acquisto di veicoli usati; nel video compariva un personaggio che imitava il ricorrente, senza il suo consenso. Nonostante l'opposizione dell'interessato, il filmato era rimasto online. Il giudice di primo grado aveva dichiarato illegittimo il comportamento del PTAC, ordinando la cessazione della diffusione, la pubblicazione di scuse pubbliche e il pagamento di EUR 100 per danno immateriale. In appello, la Corte amministrativa regionale aveva confermato l'illiceità del trattamento e l'ordine di scuse, ma aveva negato il risarcimento pecuniario, ritenendo non grave la violazione e valorizzando il fatto che l'ente avesse agito per finalità di interesse pubblico e per un'errata interpretazione di norme complesse.

Questioni pregiudiziali

Il giudice del rinvio domanda in sostanza:

• se la sola violazione del RGPD possa costituire di per sé un danno ai sensi dell'articolo 82, paragrafo 1;
• se, quando non sia possibile ripristinare la situazione precedente, la presentazione di scuse possa essere l'unica forma di risarcimento del danno immateriale;
• se, nel determinare la misura del risarcimento, possano essere considerate le circostanze soggettive del titolare del trattamento, come la finalità di interesse pubblico, l'assenza di dolo o le difficoltà interpretative.

Quadro normativo rilevante

La Corte richiama, tra l'altro, il RGPD, in particolare:

• articolo 1, paragrafo 2, che tutela i diritti e le libertà fondamentali, con specifico riferimento alla protezione dei dati personali;
• articolo 4, punti 1, 7 e 12, che definiscono, rispettivamente, dato personale, titolare del trattamento e violazione dei dati personali;
• articolo 6, paragrafo 1, sulla liceità del trattamento;
• articolo 82, paragrafi 1 e 2, sul diritto al risarcimento e sulla responsabilità;
• articolo 83, paragrafo 2, sui criteri per le sanzioni amministrative pecuniarie;
• articolo 84, paragrafo 1, sulle altre sanzioni. Sono inoltre richiamati i considerando 1, 75, 85, 146 e 148 del RGPD e l'articolo 8, paragrafo 1, della Carta dei diritti fondamentali dell'Unione europea.

Prima questione: la sola violazione del RGPD non basta

La Corte ribadisce la propria giurisprudenza: il diritto al risarcimento ex articolo 82, paragrafo 1, presuppone cumulativamente tre condizioni, e cioè una violazione del RGPD, un danno subito e un nesso causale tra la violazione e il danno. Ne consegue che la mera violazione delle disposizioni del regolamento non è sufficiente a costituire, di per sé, un "danno" risarcibile. La Corte esclude quindi che il solo trattamento illecito possa automaticamente integrare un pregiudizio alla protezione dei dati personali, anche se tale diritto fondamentale è garantito dalla Carta e dal RGPD.

Seconda questione: scuse come forma di risarcimento

La Corte osserva che il RGPD non disciplina le modalità di quantificazione del risarcimento, che restano di competenza dell'ordinamento nazionale, nel rispetto dei principi di equivalenza ed effettività. Poiché l'articolo 82 ha funzione esclusivamente compensativa, il risarcimento deve essere pieno ed effettivo, ma non punitivo. In tale quadro, la Corte ammette che la presentazione di scuse possa costituire una forma di risarcimento, anche esclusiva, del danno immateriale, qualora il diritto nazionale lo preveda e purché tale misura sia idonea a compensare integralmente il pregiudizio concretamente subito. Questo vale anche quando il ripristino della situazione anteriore non sia possibile.

Terza questione: irrilevanza dell'atteggiamento e della motivazione del titolare

La Corte distingue nettamente tra la logica compensativa dell'articolo 82 e la logica sanzionatoria dell'articolo 83. I criteri relativi alla natura, gravità, durata, dolo o colpa, nonché alle circostanze attenuanti o aggravanti, rilevano per le sanzioni amministrative pecuniarie, non per il risarcimento del danno. Di conseguenza, l'atteggiamento e la motivazione del titolare del trattamento non possono essere presi in considerazione per ridurre il risarcimento al di sotto della piena compensazione del danno concretamente subito. Solo il danno effettivo dell'interessato rileva ai fini della liquidazione.

Dispositivo

La Corte risponde che:

• una violazione del RGPD non è di per sé sufficiente a costituire un danno ai sensi dell'articolo 82, paragrafo 1;
• la presentazione di scuse può costituire un risarcimento adeguato del danno immateriale, purché consenta la piena compensazione del pregiudizio;
• l'atteggiamento e la motivazione del titolare del trattamento non possono essere utilizzati per ridurre il risarcimento rispetto al danno concretamente subito.

Principi affermati

La decisione conferma che il risarcimento ex articolo 82 RGPD è uno strumento di tutela risarcitoria, non sanzionatoria. Per ottenere il ristoro, l'interessato deve dimostrare un danno effettivo; al contempo, gli Stati membri possono prevedere forme non pecuniarie di riparazione, come le scuse, se idonee a ristabilire integralmente l'equilibrio leso. Restano invece estranei alla quantificazione del danno i profili soggettivi del comportamento del titolare, che appartengono alla disciplina delle sanzioni amministrative.