Violazione GDPR e risarcimento danni: nuovi scenari?

Violazione GDPR e risarcimento danni: nuovi scenari?

Abstract

L’art. 82 GDPR pone nuovi interrogativi agli operatori del diritto. L’orientamento giurisprudenziale consolidato richiede al soggetto che lamenta la violazione dei diritti in materia di protezione dati la prova di aver subito il danno, sia esso patrimoniale che non patrimoniale. Oggi si può parlare di nuove voci di danno e di riconoscimento del diritto al risarcimento del danno da parte dell’individuo indipendentemente dalla prova che la condotta vietata abbia determinato un danno?

1. Il concetto di responsabilizzazione-accountability

Uno dei principali obblighi giuridici previsti dal GDPR è costituito dal principio dell’accountability-responsabilizzazione.

Tradurlo in termini comprensibili a tutti diventa difficile.

Per esemplificare molto pensiamo:

• a un software che cambi le password del pc ogni tre mesi;
• a un archivio, anche informatico, ove possono accedere solo alcuni soggetti, etc.;
• alla descrizione delle procedure per verificare che tali regole vengano rispettate.

L’intento della nuova legge era, ed è, quella di attribuire all’individuo una posizione centrale, allo scopo di garantire alla persona fisica una tutela sostanziale ed effettiva dei suoi diritti, piuttosto che una tutela meramente formalistica e favorire la libera circolazione dei dati.

2. Cosa dice l’articolo 82 GDPR

 

Il GDPR, che si applica sull’intero territorio dell’UE e che ha come scopo quello dell’armonizzazione delle legislazioni dei singoli Stati aderenti all’UE, ha innovato anche le precedenti leggi nazionali.

Il contenuto del Decreto Legislativo 196/03 è stato quasi interamente abrogato ed è stato integrato dal Decreto Legislativo 101/18, noto anche come testo legge di armonizzazione al GDPR. L’art. 82 recita testualmente:

1. Chiunque subisca un danno materiale o immateriale causato da una violazione del presente regolamento ha il diritto di ottenere il risarcimento del danno dal titolare del trattamento o dal responsabile del trattamento.
2. Un titolare del trattamento coinvolto nel trattamento risponde per il danno cagionato dal suo trattamento che violi il presente regolamento. Un responsabile del trattamento risponde per il danno causato dal trattamento solo se non ha adempiuto gli obblighi del presente regolamento specificatamente diretti ai responsabili del trattamento o ha agito in modo difforme o contrario rispetto alle legittime istruzioni del titolare del trattamento.
3. Il titolare del trattamento o il responsabile del trattamento è esonerato dalla responsabilità, a norma del paragrafo 2 se dimostra che l’evento dannoso non gli è in alcun modo imputabile.
4. Qualora più titolari del trattamento o responsabili del trattamento oppure entrambi il titolare del trattamento e il responsabile del trattamento siano coinvolti nello stesso trattamento e siano, ai sensi dei paragrafi 2 e 3, responsabili dell’eventuale danno causato dal trattamento, ogni titolare del trattamento o responsabile del trattamento è responsabile in solido per l’intero ammontare del danno, al fine di garantire il risarcimento effettivo dell’interessato.
5. Qualora un titolare del trattamento o un responsabile del trattamento abbia pagato, conformemente al paragrafo 4, l’intero risarcimento del danno, tale titolare del trattamento o responsabile del trattamento ha il diritto di reclamare dagli altri titolari del trattamento o responsabili del trattamento coinvolti nello stesso trattamento la parte del risarcimento corrispondente alla loro parte di responsabilità per il danno conformemente alle condizioni di cui al paragrafo 2.
6. Le azioni legali per l’esercizio del diritto di ottenere il risarcimento del danno sono promosse dinanzi alle autorità giurisdizionali competenti a norma del diritto dello Stato membro di cui all’articolo 79, paragrafo 2.

3. L’attuale orientamento giurisprudenziale

Nel corso degli anni di vigenza del Decreto Legislativo 196/03 sia le Corti di merito che la Cassazione hanno sostenuto che è ammesso il riconoscimento del diritto al risarcimento del danno patrimoniale e non patrimoniale, soltanto in presenza di prova del c.d., “danno/conseguenza”; cioè è chi lamenta di aver subito un danno che deve fornire la prova.

Tuttavia la sentenza n. 16601/2017, della Cassazione – Sezioni Unite statuisce che alla responsabilità civile non è assegnato solo il compito di restaurare la sfera patrimoniale del soggetto che ha subito la lesione, poiché sono interne al sistema anche la funzione di deterrenza e quella sanzionatoria del responsabile civile.

4. Il panorama europeo

A livello europeo non si è ancora formato un orientamento.

In tema di risarcimento del danno non patrimoniale non può passare inosservata la pronuncia del Tribunale regionale austriaco (Landesgericht) di Feldkirch (cfr. LG Feldkirch, Beschl. V. 07.08.2019 – Az.: 57 Cg 30 / 19b – 15) che ha riconosciuto e assegnato a un interessato, i cui dati personali erano stati illecitamente elaborati dalla Österreichische Post (ÖPAG), l’importo di € 800,00, a titolo di risarcimento del danno immateriale.

Il Tribunale ha stabilito che: “Il concetto di danno deve essere interpretato in modo ampio e autonomo secondo il GDPR.

5. Il nuovo concetto di danno nel GDPR – il superamento del concetto di “danno/conseguenza”

Così come già descritto, l’attuale normativa attribuisce centralità all’individuo.

È concepibile, ancora oggi, parlare di risarcibilità del danno solo quando viene provato il nesso causale tra una condotta e il danno?

Prova che, nel caso di specie, costituisce quasi una “probatio diabolica”?

O si deve prendere atto del fatto che, oltre alla legislazione, sono mutati scenari e conseguenze?

Il nostro ordinamento giuridico riconosce già il diritto al risarcimento del danno non patrimoniale alle persone anche senza una specifica allegazione del danno patito.

Si pensi, ad esempio, al risarcimento danni da lite temeraria o del danno da occupazione senza titolo di immobile con destinazione pubblica.

Il “Considerando 75 GDPR” parla di danno fisico, materiale o immateriale, di danno economico o sociale significativo.

Possiamo parlare di una nuova categoria di danno?

In una società caratterizzata sempre di più dal fenomeno della digitalizzazione e della fame di notizie online, sono maturi i tempi per una rivisitazione delle regole di risarcimento del danno?

Si può iniziare a riflettere, seriamente, sul delicato tema della tutela effettiva e reale dei diritti fondamentali?

La pandemia, oltre ad aver disseminato terrore e dolori, ha fatto emergere l’importanza della tutela dei diritti fondamentali, quello della salute in primis.

Oggi non possiamo girarci dall’altra parte; abbiamo tutti un compito importante da svolgere e portare avanti.