La Corte di Giustizia dell’Unione europea, con una sentenza del 4 maggio 2023 (causa C-300/21), ha confermato in parte un orientamento già espresso dalla nostra giurisprudenza di legittimità sancendo che la mera violazione del GDPR non fonda un diritto al risarcimento, mentre non è invece richiesto, per conferire un diritto al risarcimento, che il danno immateriale subito raggiunga una determinata soglia di gravità.
Il caso esaminato dalla Corte di Giustizia riguarda l’attività specifica svolta in Austria dalla Österreichische Post che a partire dal 2017 raccoglie informazioni sulle affinità politiche della popolazione austriaca. In particolare con l’ausilio di un algoritmo, definisce «indirizzi di gruppi destinatari», secondo taluni criteri sociali e demografici. I dati così raccolti hanno indotto la Österreichische Post a stabilire che un determinato cittadino aveva un’elevata affinità con un determinato partito politico austriaco.
Il cittadino coinvolto, che non aveva acconsentito al trattamento dei suoi dati personali, lamentando la violazione della propria privacy ha affermato di aver provato una grave contrarietà, una perdita di fiducia, nonché un sentimento di umiliazione a causa della particolare affinità che era stata stabilita con il partito in questione. Di conseguenza ha chiesto dinanzi ai giudici austriaci a titolo di risarcimento del danno immateriale subito, un importo di 1000 euro.
La Corte suprema austriaca ha espresso dubbi in merito alla portata del diritto al risarcimento che il regolamento generale sulla protezione dei dati n. 679/2016 (GDPR) prevede in caso di danno materiale o immateriale derivante da una violazione di tale regolamento. Di conseguenza lo stesso organo giurisdizionale ha chiesto alla Corte di Giustizia se la mera violazione del GDPR possa ritenersi sufficiente per conferire il suddetto diritto e se il risarcimento sia possibile solo oltre un determinato grado di gravità del danno immateriale subito.
La Corte di Giustizia con la sentenza in argomento ha affermato, in primo luogo, che il diritto al risarcimento previsto dal GDPR è subordinato in modo univoco a tre condizioni cumulative: una violazione del GDPR, un danno materiale o immateriale derivante da tale violazione e un nesso di causalità tra il danno e la violazione. Pertanto, qualsiasi violazione del GDPR, da sola, non dà diritto al risarcimento.
Una diversa interpretazione sarebbe in contrasto con la chiara formulazione del GDPR. Inoltre, ai sensi dei considerando del GDPR riguardanti specificamente il diritto al risarcimento, la sua violazione non comporta necessariamente un danno e, per fondare un diritto al risarcimento, deve sussistere un nesso di causalità tra la violazione di cui trattasi e il danno subito. Pertanto, l’azione risarcitoria si distingue da altri mezzi di ricorso previsti dal GDPR, segnatamente quelli che consentono di infliggere ammende amministrative per le quali l’esistenza di un danno individuale non è stata dimostrata.
In secondo luogo, la Corte evidenzia che il diritto al risarcimento non è riservato ai danni immateriali che raggiungono una determinata soglia di gravità. Il GDPR non menziona un requisito del genere e una tale restrizione sarebbe in contraddizione con l’ampia concezione delle nozioni di «danno» o di «pregiudizio», adottata dal legislatore dell’Unione. Per giunta, subordinare il risarcimento di un danno immateriale ad una determinata soglia di gravità rischierebbe di nuocere alla coerenza del regime istituito dal GDPR. Infatti, la graduazione da cui dipenderebbe la possibilità o meno di ottenere il risarcimento potrebbe variare in funzione della valutazione dei giudici aditi.
Per quanto riguarda, in terzo e ultimo luogo, le norme relative alla valutazione del risarcimento, la Corte rileva che il GDPR non contiene disposizioni aventi tale oggetto. Spetta dunque all’ordinamento giuridico di ciascuno Stato membro fissare le modalità delle azioni intese a garantire la salvaguardia dei diritti derivanti per i singoli dal GDPR a tal riguardo e, in particolare, i criteri che consentono di determinare l’entità del risarcimento dovuto in tale contesto, fatto salvo il rispetto dei principi di equivalenza e di effettività. A tal proposito, la Corte sottolinea la funzione compensativa del diritto al risarcimento previsto dal GDPR e ricorda che tale strumento tende a garantire un risarcimento pieno ed effettivo del danno subito.
La nostra giurisprudenza di legittimità, come già si è avuto modo di sostenere, per quanto precedente al GDPR in parte condivide il principio sostenuto dalla Corte di Giustizia prevedendo la necessità di una prova adeguata del danno(Sentenza Cass., III sez. civ. 14 maggio - 3 luglio 2014, n. 15240). Al contrario, invece, richiede ai fini della risarcibilità la serietà del danno e la gravità della lesione(Sentenza Cass., III sez. civ. 9 maggio – 15 luglio 2014, n. 16133).
Difatti, sostiene la Suprema Corte che nell'alveo dell'art. 2043 cod. civ. va ricondotto anche il danno indicato dall'art. 2059 cod. civ., nel senso che tale ultima norma non disciplina un'autonoma fattispecie di illecito, produttiva di danno non patrimoniale, distinta da quella di cui all'art. 2043 cod. civ., bensì "regola i limiti e le condizioni di risarcibilità dei pregiudizi non patrimoniali (intesa come categoria omnicomprensiva, all'interno della quale non è possibile individuare, se non con funzione meramente descrittiva, ulteriori sottocategorie) sul presupposto dell'esistenza di tutti gli elementi costitutivi dell'illecito richiesti dall'art. 2043 c.c." (così Cass., 9 aprile 2009, n. 8703, che ribadisce in sintesi l'elaborazione della citata Cass., sez. un., n. 26972 del 2008, sulla scia delle sentenze n. 8827 e n. 8828 del 31 maggio 2003, della stessa Corte).
Sicché, in una lettura costituzionalmente orientata, l'art. 2059 cod. civ., nell'affermare la risarcibilità del danno non patrimoniale, è norma di rinvio "ai casi previsti dalla legge (e quindi ai fatti costituenti reato o agli altri fatti illeciti riconosciuti dal legislatore ordinario produttivi di tale tipo di danno) ovvero ai diritti costituzionali inviolabili presidiati dalla tutela minima risarcitoria, con la precisazione, in quest'ultimo caso, che la rilevanza costituzionale deve riguardare l'interesse leso e non il pregiudizio conseguentemente sofferto e che la risarcibilità del pregiudizio non patrimoniale presuppone, altresì, che la lesione sia grave (e cioè superi la soglia minima di tollerabilità, imposta dai doveri di solidarietà sociale) e che il danno non sia futile (vale a dire che non consista in meri disagi o fastidi o sia addirittura meramente immaginario)" (ancora la citata Cass. n. 8703 del 2009).
Secondo la Corte, quindi, può affermarsi in via generale che la "gravità della lesione" attiene al momento determinativo dell'evento dannoso, quale incidenza pregiudizievole sul diritto/ interesse selezionato (dal legislatore o dall'interprete) come meritevole di tutela aquiliana, e la sua portata è destinata a riflettersi sull'ingiustizia del danno, che non potrà più predicarsi tale in presenza di una minima offensività della lesione stessa. In definitiva, la gravità dell'offesa è funzione plastica del requisito dell'ingiustizia del danno, che ne modella il suo orbitare nella cerchia gravitazionale dell'illecito.
La "serietà del danno" riguarda, invece, il piano delle conseguenze della lesione e cioè l'area dell'obbligazione risarcitoria, che si appunta sulla effettività della perdita subita (il c.d. danno-conseguenza); il pregiudizio "non serio" esclude che vi sia una perdita di utilità derivante da una lesione che pur abbia superato la soglia di offensività.
Ed è questo il piano rispetto al quale la ormai consolidata giurisprudenza della Cassazione, escludendo che, nel sistema della responsabilità civile, al risarcimento del danno possa ascriversi una funzione punitiva, afferma l'insussistenza di un "danno in re ipsa" e ciò, per quanto qui interessa, non solo in riferimento alle ipotesi di lesione di diritti inviolabili (tra le altre, Cass., 21 giugno 2011, n. 13614; Cass., 14 maggio 2012, n. 7471; Cass., 24 settembre 2013, n. 21865), ma anche in quelle in cui il risarcimento del danno non patrimoniale sia previsto espressamente dalla legge (in tema di tutela della privacy: Cass., 26 settembre 2013, n. 22100; in tema di equa riparazione per durata irragionevole del processo: Cass., 26 maggio 2009, n. 12242).
Documenti correlati: