LA CORTE DI GIUSTIZIA SI PRONUNCIA SUL DIRITTO AL RISARCIMENTO DEL DANNO CAUSATO DA UN TRATTAMENTO DI DATI EFFETTUATO IN VIOLAZIONE DEL GDPR

In data 11 aprile 2024, la Corte di Giustizia dell’Unione Europea si è pronunciata nella Causa C-741/21, GP contro juris GmbH, sull’interpretazione dell’articolo 82, paragrafi 1 e 3, del Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (General Data Protection Regulation, GDPR)^[1] in combinato disposto con gli articoli 29 e 83 di tale regolamento nonché alla luce dei suoi considerando 85 e 146. Tale domanda era stata presentata nell’ambito di una controversia tra GP e la juris GmbH (“juris”), società con sede in Germania, in merito al risarcimento dei danni che GP sosteneva di aver subito a causa di diversi trattamenti dei suoi dati personali operati per finalità di marketing diretto nonostante le sue ripetute opposizioni.

Più particolarmente, GP aveva revocato, per iscritto, tutti i suoi assensi a ricevere dalla juris informazioni per posta elettronica o per telefono, e si era opposto a qualsiasi trattamento di tali dati salvo per l’invio delle newsletter di cui desiderava continuare ad essere destinatario. Ciononostante, GP aveva successivamente ricevuto due prospetti pubblicitari inviati nominativamente al suo indirizzo professionale, e pertanto aveva inviato una lettera alla juris chiedendo il risarcimento del danno causato dalla creazione di tali prospetti^[2]. Avendo tuttavia ricevuto un nuovo prospetto pubblicitario, GP aveva adito il Landgericht Saarbrücken (Tribunale del Land Saarbrücken; il “giudice del rinvio”) che, alla luce della necessità di interpretare la normativa europea rilevante in materia, aveva deciso di sospendere il procedimento e di sottoporre alla Corte di Giustizia quattro questioni pregiudiziali.

Con la prima questione, il giudice del rinvio chiedeva se l’articolo 82^[3], paragrafo 1, del GDPR debba essere interpretato nel senso che una violazione delle disposizioni di tale regolamento che conferiscono diritti alla persona interessata sia sufficiente, di per sé, a costituire un “danno immateriale”, ai sensi della suddetta disposizione, indipendentemente dal grado di gravità del danno subito da tale persona.

La Corte ha preliminarmente ricordato che la mera violazione del GDPR non è sufficiente per conferire un diritto al risarcimento, in quanto l’esistenza di un danno, materiale o immateriale, che sia stato subito costituisce solo una delle condizioni del diritto al risarcimento previsto dall’articolo 82, paragrafo 1, così come l’esistenza di una violazione e di un nesso di causalità tra quest’ultima e il danno in questione^[4]. Di conseguenza, la persona che chiede il risarcimento di un danno immateriale sulla base di tale disposizione è tenuta a dimostrare non solo la violazione di disposizioni del GDPR, e bensì anche che la stessa le ha causato un danno del genere^[5], e pertanto la violazione di disposizioni del GDPR che conferiscono diritti all’interessato non è sufficiente, di per sé, a fondare un diritto sostanziale ad ottenere un risarcimento ai sensi di tale regolamento.

Con la seconda questione, invece, il giudice del rinvio chiedeva se l’articolo 82 del GDPR debba essere interpretato nel senso che è sufficiente che il titolare del trattamento, per essere esonerato dalla responsabilità conformemente al paragrafo 3 di tale articolo, faccia valere che il danno in questione è stato causato dall’errore di una persona che agisce sotto la sua autorità, ai sensi dell’articolo 29^[6] di tale regolamento.

La Corte ha preliminarmente ricordato che, ai sensi del GDPR, le persone che agiscono sotto l’autorità del titolare del trattamento, come i suoi dipendenti, e che hanno accesso a dati personali possono, in linea di principio, trattare tali dati solo su sue istruzioni e conformemente alle stesse^[7]. Il titolare del trattamento, inoltre, deve adottare misure per garantire che qualsiasi persona fisica che agisca sotto la sua autorità, e abbia accesso a tali dati, non li tratti se non su sua istruzione, a meno che non vi sia obbligata dal diritto europeo o nazionale^[8]. Poiché un dipendente del titolare del trattamento è effettivamente una persona fisica che agisce sotto la sua autorità, pertanto, spetta al titolare stesso assicurarsi che le sue istruzioni siano correttamente applicate dai propri dipendenti, non potendo sottrarsi alla propria responsabilità ai sensi dell’articolo 82, paragrafo 3, del GDPR semplicemente invocando una negligenza o un inadempimento di una persona che agisce sotto la sua autorità. Al contrario, in caso di violazione di dati personali commessa da una persona che agisce sotto la sua autorità, detto titolare potrà beneficiare dell’esonero da responsabilità unicamente se prova che non sussiste alcun nesso di causalità tra l’eventuale violazione dell’obbligo di protezione dei dati ad esso incombente e il danno subito dall’interessato^[9].

Con le questioni terza e quarta, infine, il giudice del rinvio chiedeva se l’articolo 82, paragrafo 1, del GDPR debba essere interpretato nel senso che, per determinare l’importo dovuto a titolo di risarcimento di un danno fondato su tale disposizione, occorre, da un lato, applicare mutatis mutandis i criteri di fissazione dell’importo delle sanzioni amministrative pecuniarie previsti dall’articolo 83^[10] di tale regolamento e, dall’altro, tener conto del fatto che più violazioni riconducibili ad una stessa operazione di trattamento riguardano la persona che richiede il risarcimento.

La Corte ha preliminarmente ricordato che poiché il GDPR non contiene disposizioni relative alla valutazione del risarcimento danni dovuto ai sensi del suo articolo 82, i giudici nazionali devono applicare le norme interne di ciascuno Stato Membro relative all’entità del risarcimento pecuniario, purché siano rispettati i principi di equivalenza e di effettività previsti dal diritto dell’Unione^[11]. L’articolo 82 del GDPR, infatti, riveste una funzione compensativa, contrariamente ad altre disposizioni quali l’articolo 83 che perseguono una finalità sostanzialmente punitiva, in quanto consentono di infliggere sanzioni amministrative pecuniarie e di altra natura. La gravità della violazione del GDPR che ha causato l’asserito danno materiale o immateriale, inoltre, non può incidere sull’importo del risarcimento concesso ai sensi dell’articolo 82, che pertanto non può essere fissato ad un livello che vada oltre la piena compensazione di tale danno^[12].

Di conseguenza, non si può ritenere che i criteri di valutazione specificamente enunciati dall’articolo 83 del GDPR siano applicabili mutatis mutandis nell’ambito dell’articolo 82, sebbene i mezzi di ricorso previsti da queste due disposizioni siano effettivamente complementari per garantire il rispetto del medesimo regolamento. La circostanza che più violazioni siano state commesse dal titolare del trattamento nei confronti dello stesso interessato, inoltre, non può costituire un criterio rilevante ai fini della valutazione del danno da riconoscere a quest’ultimo ai sensi dell’articolo 82 del GDPR, in quanto solo il danno concretamente subito deve essere preso in considerazione per determinare l’importo del risarcimento pecuniario dovuto a titolo di compensazione.

Tutto ciò premesso, la Corte ha pertanto statuito che:

“L’articolo 82, paragrafo 1, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), deve essere interpretato nel senso che una violazione di disposizioni di tale regolamento che conferiscono diritti alla persona interessata non è di per sé sufficiente a costituire un «danno immateriale», ai sensi di tale disposizione, indipendentemente dal grado di gravità del danno subito da tale persona.

L’articolo 82 del regolamento 2016/679 deve essere interpretato nel senso che non può essere sufficiente che il titolare del trattamento, per essere esonerato dalla sua responsabilità ai sensi del paragrafo 3 di detto articolo, faccia valere che il danno di cui trattasi è stato causato dall’errore di una persona che agisce sotto la sua autorità, a norma dell’articolo 29 di tale regolamento.

L’articolo 82, paragrafo 1, del regolamento 2016/679 deve essere interpretato nel senso che per determinare l’importo dovuto a titolo di risarcimento di un danno fondato su tale disposizione, da un lato, non si devono applicare mutatis mutandis i criteri di fissazione dell’importo delle sanzioni amministrative pecuniarie previsti dall’articolo 83 di tale regolamento e, dall’altro, non si deve tener conto del fatto che più violazioni di detto regolamento riconducibili ad una stessa operazione di trattamento riguardino la persona che richiede il risarcimento”.

Scarica l’articolo