Lo scorso 6 ottobre, l'Avvocato Generale ("AG") della Corte di giustizia dell'Unione europea ("CGUE"), Manuel Campos Sánchez-Bordona, ha presentato le proprie conclusioni, nella causa C-300/21, in merito alla domanda di pronuncia pregiudiziale proposta dalla Suprema Corte austriaca sulla risarcibilità dei danni non materiali in conseguenza di una violazione del diritto alla protezione dei dati personali, ai sensi dell’art. 82 del Regolamento UE 2016/679 (“GDPR”). La vicenda alla base del procedimento ha visto come protagonista un’impresa editrice austriaca (la “Società”) la quale aveva svolto una campagna di profilazione illecita riguardante milioni di cittadini, raccogliendo anche dati sensibili (nello specifico dati relativi alle preferenze politiche degli interessati). In particolare, la Società, tramite un algoritmo, aveva classificato gli interessati in possibili gruppi target destinatari della pubblicità elettorale di vari partiti politici. In ragione di quanto sopra, uno degli interessati, destinatario di tali comunicazioni, aveva promosso un’azione legale dinanzi all’autorità giurisdizionale competente, lamentando di non aver prestato il consenso al trattamento dei propri dati e ritenendo di aver subito un danno immateriale pari a 1.000 euro, quale conseguenza dell’illecito trattamento dei dati stessi. Nello specifico, lo stesso aveva evidenziato di aver provato un “disagio interiore” poiché l’affinità politica a lui attribuita, a suo avviso, era “offensiva e infamante, nonché lesiva della sua immagine”. Nei primi due gradi la richiesta dell’interessato veniva respinta. Giunti al terzo grado di giudizio, la Suprema Corte austriaca aveva proposto domanda di pronuncia pregiudiziale alla CGUE, sottoponendo alla stessa le seguenti questioni pregiudiziali: Nell’ambito delle sue conclusioni, l’AG ha rilevato che il risarcimento del danno immateriale di cui all’art. 82 del GDPR non copre il semplice “turbamento” che un individuo può provare a seguito di una violazione del GDPR: la mera violazione della normativa, infatti, non è di per sé sufficiente se non è accompagnata dall’allegazione del relativo danno materiale o immateriale. L’AG ha, quindi, evidenziato che la violazione del GDPR non genera automaticamente una presunzione insuperabile di danno ma che tale danno necessita di essere provato. In relazione al calcolo del risarcimento, l'AG ha, inoltre, rilevato che l’art. 82 del GDPR non impone altro requisito che la violazione delle sue norme, mentre non fornisce ai giudici nazionali criteri in merito al calcolo dell’importo del risarcimento di tale danno. Lo stesso afferma, infatti, che spetta ai singoli Stati Membri stabilire le altre prescrizioni per il calcolo dell’ammontare, oltre ai principi di effettività e di equivalenza. Negli ordinamenti che lo prevedono, ad avviso dell’AG, è infatti possibile che il regime di responsabilità civile contempli altre modalità di risarcimento dei danni (ad esempio tramite il pagamento di un risarcimento simbolico o la neutralizzazione dei vantaggi indebiti mediante la restituzione di quanto ottenuto senza causa). Infine, in merito alla terza questione pregiudiziale, l’AG ha proposto l’introduzione di una soglia oltre la quale il danno da lesione dei dati personali sarebbe risarcibile, mentre al di sotto di tale soglia il danno non sarebbe meritevole di tutela risarcitoria. Sul punto, è stato altresì rilevato che il riconoscimento del risarcimento del danno immateriale è subordinato a una violazione di un certo peso che va oltre il mero turbamento causato dalla violazione stessa, posto che “sul piano pratico, includere tra i danni immateriali risarcibili la mera irritazione non è efficace, tenuto conto degli inconvenienti e delle difficoltà che caratterizzano una domanda giudiziale per l’attore e la difesa per il convenuto”. Nelle conclusioni, l’AG ha pertanto specificato che il risarcimento del danno immateriale di cui all’art. 82 del GDPR “non si estende alla mera irritazione che l’interessato possa provare a causa della violazione delle disposizioni del GDPR”, spettando ai giudici nazionali stabilire quando “la sensazione soggettiva di malessere” provata dall’interessato possa essere considerata, caso per caso, un danno immateriale. La giurisprudenza italiana sui danni non patrimoniali In tema di risarcimento del danno da lesione del diritto alla protezione dei dati personali, anche la Suprema Corte di Cassazione si era già espressa nello stesso senso dell’Avvocato Generale, affermando che “il danno alla privacy, come ogni danno non patrimoniale, non sussiste in "re ipsa", non identificandosi il danno risarcibile con la mera lesione dell'interesse tutelato dall'ordinamento, ma con le conseguenze di tale lesione” (sul puntoCass. civ., sez. I, n. 16402/2021). Nel caso di specie era, infatti, stato osservato che “la mera allegazione da parte del ricorrente che l'illecito uso dei dati personali riguardanti la sua vita lavorativa gli avrebbe procurato una sofferenza costituisce un'asserzione generica ed apodittica inidonea anche solo a far comprendere i motivi di tale turbamento”, rilevando pertanto che il pregiudizio risarcibile non s'identifica con la mera lesione del diritto tutelato dall'ordinamento, ma con le conseguenze pregiudizievoli causate dalla lesione stessa, le quali devono essere allegate e dimostrate dall’interessato, raggiungendo una soglia di lesività seria ed effettiva. Ad ogni modo, si rimane ora in attesa della sentenza dei giudici della CGUE. La versione integrale delle conclusioni dell’AG è disponibile qui.
