CGE: Austria e violazione dei dati personali GDPR, come valutare il risarcimento del danno?

Dalla Corte di giustizia europea una nuova causa che riguarda la violazione dei dati personali. Nella causa C-300/21 | Österreichische Post, la Corte ha affermato che una mera violazione del Regolamento (UE) 2016/679«GDPR» (il Regolamento generale sulla protezione dei dati) non fonda un diritto al risarcimento. Questo risponde a determinate condizioni legate al nesso causale fra violazione del RGDP e danno immateriale derivato ma, per la sua valutazione non sussiste una soglia di gravità prevista dal Regolamento, la cui entità viene rimandata agli Stati Membri.

Il ricorso alla CGE permette di comprendere quando scatta il risarcimento del danno da violazione del regolamento sul trattamento dei dati e come valutare la sua entità.

Österreichische Post: trattamento di dati politici in Austria

Austria, 2017, la Österreichische Post (uno dei principali operatori postali austriaci) raccoglie informazioni sulle affinità politiche della popolazione Austriaca sfruttando un algoritmo che individua gruppi destinatari in base a criteri sociali e demografici ma senza condivisione di dati a terzi.

La causa origina da un cittadino austriaco che non aveva acconsentito al trattamento dei suoi dati personali, e lamentava una grave contrarietà, una perdita di fiducia, nonché un sentimento di umiliazione a causa della particolare affinità che era stata stabilita con uno dei partiti. Il risarcimento chiesto, di 1000 euro per il danno immateriale è al centro del ricorso alla Corte suprema austriaca che adisce la CGE chiedendo se la mera violazione del GDPR sia sufficiente per conferire tale diritto e se il risarcimento sia possibile solo oltre un determinato grado di gravità del danno immateriale subito.

Diritto al risarcimento per danno da violazione del RGDP: quando sussiste?

Secondo la Corte, il diritto al risarcimento previsto dal GDPR è subordinato a tre condizioni cumulative:

• una violazione del GDPR
•  un danno materiale o immateriale derivante da tale violazione
• e un nesso di causalità tra il danno e la violazione.

Ulteriormente la Corte chiarisce che la violazione del GDPR non comporta necessariamente un danno e, per fondare un diritto al risarcimento, deve sussistere un nesso di causalità tra la violazione di cui trattasi e il danno subito.

Ma il diritto al risarcimento non è riservato ai danni immateriali che raggiungono una determinata soglia di gravità. Il RGPD non menziona un requisito del genere, spiega la CGE e una tale restrizione sarebbe in contraddizione con l’ampia concezione delle nozioni di «danno» o di «pregiudizio», adottata dal legislatore dell’Unione ed il risarcimento potrebbe variare in funzione della valutazione dei giudici aditi.

Come valutare l’entità del risarcimento per violazione del Regolamento RGDP

Proprio rispetto alla valutazione del risarcimento, la Corte rileva che il GDPR non contiene disposizioni a riguardo: spetta dunque all’ordinamento giuridico di ciascuno Stato membro fissare

• le modalità delle azioni che garantiscono la salvaguardia dei diritti derivanti per i singoli dal GDPR
• i criteri che consentono di determinare l’entità del risarcimento dovuto in tale contesto, fatto salvo il rispetto dei principi di equivalenza e di effettività. A tal proposito, la Corte sottolinea la funzione compensativa del diritto al risarcimento previsto dal GDPR e ricorda che tale strumento tende a garantire un risarcimento pieno ed effettivo del danno subito.

Corte di giustizia: le ultime cause per violazioni dei dati personali