CGUE, com. del 4 maggio 2023, n. 72, sent. nella causa C-300/21 | Österreichische Post (Danno immateriale inerente al trattamento di dati personali).

La mera violazione del RGPD non fonda un diritto al risarcimento. Non è invece richiesto, per conferire un diritto al risarcimento, che il danno immateriale subito raggiunga una determinata soglia di gravità.

A partire dal 2017, la Österreichische Post ha raccolto informazioni sulle affinità politiche della popolazione austriaca. Con l’ausilio di un algoritmo, essa ha definito «indirizzi di gruppi destinatari», secondo taluni criteri sociali e demografici. I dati così raccolti hanno indotto la Österreichische Post a stabilire che un determinato cittadino aveva un’elevata affinità con un determinato partito politico austriaco. Per contro, i dati trattati non sono stati trasferiti a terzi. Il cittadino coinvolto, che non aveva acconsentito al trattamento dei suoi dati personali, afferma di aver provato una grave contrarietà, una perdita di fiducia, nonché un sentimento di umiliazione a causa della particolare affinità che era stata stabilita con il partito in questione. A titolo di risarcimento del danno immateriale che ritiene di avere subito, egli reclama dinanzi ai giudici austriaci un importo di 1000 euro.

La Corte suprema austriaca ha espresso dubbi in merito alla portata del diritto al risarcimento che il regolamento generale sulla protezione dei dati1 prevede in caso di danno materiale o immateriale derivante da una violazione di tale regolamento. Tale organo giurisdizionale chiede alla Corte di giustizia se la mera violazione del RGPD sia sufficiente per conferire il suddetto diritto e se il risarcimento sia possibile solo oltre un determinato grado di gravità del danno immateriale subito. Esso desidera anche sapere quali siano i requisiti del diritto dell’Unione in ordine alla determinazione dell’importo del risarcimento.

Nella sua sentenza odierna, la Corte enuncia, in primo luogo, che il diritto al risarcimento previsto dal RGPD è subordinato in modo univoco a tre condizioni cumulative: una violazione del RGPD, un danno materiale o immateriale derivante da tale violazione e un nesso di causalità tra il danno e la violazione. Pertanto, qualsiasi violazione del RGPD, da sola, non dà diritto al risarcimento. Una diversa interpretazione sarebbe in contrasto con la chiara formulazione del RGPD. Inoltre, ai sensi dei considerando del RGPD riguardanti specificamente il diritto al risarcimento, la sua violazione non comporta necessariamente un danno e, per fondare un diritto al risarcimento, deve sussistere un nesso di causalità tra la violazione di cui trattasi e il danno subito. Pertanto, l’azione risarcitoria si distingue da altri mezzi di ricorso previsti dal RGPD, segnatamente quelli che consentono di infliggere ammende amministrative per le quali l’esistenza di un danno individuale non è stata dimostrata. In secondo luogo, la Corte evidenzia che il diritto al risarcimento non è riservato ai danni immateriali che raggiungono una determinata soglia di gravità.

Il RGPD non menziona un requisito del genere e una talerestrizione sarebbe in contraddizione con l’ampia concezione delle nozioni di «danno» o di «pregiudizio», adottata dal legislatore dell’Unione. Per giunta, subordinare il risarcimento di un danno immateriale ad una determinata soglia di gravità rischierebbe di nuocere alla coerenza del regime istituito dal RGPD. Infatti, la graduazione da cui dipenderebbe la possibilità o meno di ottenere il risarcimento potrebbe variare in funzione della valutazione dei giudici aditi. Per quanto riguarda, in terzo e ultimo luogo, le norme relative alla valutazione del risarcimento, la Corte rileva che il RGPD non contiene disposizioni aventi tale oggetto. Spetta dunque all’ordinamento giuridico di ciascuno Stato membro fissare le modalità delle azioni intese a garantire la salvaguardia dei diritti derivanti per i singoli dal RGPD a tal riguardo e, in particolare, i criteri che consentono di determinare l’entità del risarcimento dovuto in tale contesto, fatto salvo il rispetto dei principi di equivalenza e di effettività. A tal proposito, la Corte sottolinea la funzione compensativa del diritto al risarcimento previsto dal RGPD e ricorda che tale strumento tende a garantire un risarcimento pieno ed effettivo del danno subito.