Regolamento generale sulla protezione dei dati: una mera violazione non fonda un diritto al risarcimento

La mera violazione del ‘Regolamento generale sulla protezione dei dati’ non fonda un diritto al risarcimento. Allo stesso tempo, però, per conferire un diritto al risarcimento non è necessario che il danno immateriale subito da un soggetto, a seguito della violazione del ‘Regolamento generale sulla protezione dei dati’, raggiunga una determinata soglia di gravità. Il caso preso in esame dai giudici ha riguardato l’Austria e l’attività lì portata avanti dal principale operatore postale, che prima ha raccolto informazioni sulle affinità politiche della popolazione e poi, con l’ausilio di un algoritmo, ha definito indirizzi di gruppi destinatari, secondo taluni criteri sociali e demografici, tanto da stabilire che un determinato cittadino aveva un’elevata affinità con un determinato partito politico. Il cittadino coinvolto, che non aveva acconsentito al trattamento dei suoi dati personali, ha sostenuto di aver provato una grave contrarietà, una perdita di fiducia, nonché un sentimento di umiliazione a causa della particolare affinità che era stata stabilita con un partito e ha chiesto 1.000 euro a titolo di risarcimento del danno immateriale subito. A fronte di tale quadro, i giudici hanno chiarito, in primo luogo, che il diritto al risarcimento previsto dal ‘Regolamento generale sulla protezione dei dati’ è subordinato in modo univoco a tre condizioni cumulative: una violazione, un danno materiale o immateriale derivante da tale violazione e un nesso di causalità tra il danno e la violazione. Pertanto, qualsiasi violazione del ‘Regolamento generale sulla protezione dei dati’, da sola, non dà diritto al risarcimento. Per fondare un diritto al risarcimento, quindi, deve sussistere un nesso di causalità tra la violazione e il danno. Allo stesso tempo, i giudici chiariscono che il diritto al risarcimento non è riservato ai danni immateriali che raggiungono una determinata soglia di gravità. (Sentenza del 4 maggio 2023 della Corte di giustizia dell’Unione Europea)