Il danno da violazione privacy: cosa deve provare chi chiede i soldi

Che cosa dice davvero l'articolo 82

L'art. 82, par. 1 riconosce a chiunque subisca un danno materiale o immateriale causato da una violazione del Regolamento il diritto al risarcimento da parte del titolare o del responsabile. E' una norma breve, che per anni e' stata letta in modi opposti dai giudici nazionali: c'e' chi chiedeva un pregiudizio serio e documentato, e chi riteneva sufficiente la violazione in se'. Fra il 2023 e il 2024 la Corte di giustizia ha chiuso quasi tutte quelle divergenze.

I tre elementi, e la soglia che non esiste

Con la sentenza Osterreichische Post (causa C-300/21, 4 maggio 2023) la Corte ha stabilito che il diritto al risarcimento richiede tre condizioni cumulative: una violazione del Regolamento, un danno concreto, e un nesso di causalita' fra i due. La mera violazione, da sola, non fa nascere il diritto. Fin qui, una buona notizia per i titolari. La seconda parte della stessa sentenza pero' toglie molto di quello che la prima aveva dato.

Il timore puo' essere un danno. Ma non sempre

Nella causa C-340/21 (14 dicembre 2023), nata da un attacco informatico all'agenzia delle entrate bulgara, la Corte ha affermato che il timore di un possibile uso illecito dei dati da parte di terzi, conseguente a una violazione, puo' costituire di per se' un danno immateriale. Non serve che l'uso illecito si sia gia' verificato. Poco dopo, con MediaMarktSaturn (causa C-687/21, 25 gennaio 2024), ha precisato il limite: un timore puramente ipotetico, senza alcuna conseguenza negativa concreta, non basta. Il confine passa fra il timore fondato su una perdita di controllo reale e la preoccupazione generica.

Chi deve provare che cosa

Questa e' la parte che interessa piu' da vicino il lavoro del DPO. Sempre nella C-340/21 la Corte ha chiarito che, quando si discute dell'adeguatezza delle misure tecniche e organizzative ex art. 32, l'onere della prova grava sul titolare. Non e' l'interessato a dover dimostrare che le misure erano insufficienti: e' il titolare a dover dimostrare che erano appropriate. E l'esonero previsto dall'art. 82, par. 3 opera solo se il titolare prova che l'evento dannoso non gli e' in alcun modo imputabile - un'asticella alta, che nella causa juris (C-741/21, 11 aprile 2024) la Corte ha confermato non essere superata dal semplice fatto che l'errore sia stato commesso da un dipendente.

Risarcire, non punire

Con la causa C-590/22 (20 giugno 2024) la Corte ha ribadito che la funzione dell'art. 82 e' esclusivamente compensativa: serve a riparare il pregiudizio subito, non a punire il titolare ne' a dissuadere il mercato. Da qui due conseguenze pratiche opposte. La prima e' che non si possono chiedere importi punitivi. La seconda, meno comoda, e' che l'eventuale sanzione gia' inflitta dall'autorita' non riduce il risarcimento dovuto al singolo: sono due binari separati, e si sommano.

Che cosa ne fai lunedi' mattina

Il modo in cui questa giurisprudenza si traduce in lavoro concreto e' meno drammatico di quanto sembri, ma va fatto prima e non dopo. Sono cinque cose, e nessuna richiede un progetto.

• Verifica che per ogni cliente esista una documentazione datata delle misure ex art. 32 e del perche' sono state ritenute adeguate: e' quella che sposta l'onere della prova a tuo favore, e deve esistere prima dell'incidente.
• Nei registri delle violazioni, annota sempre la valutazione del rischio per gli interessati anche quando decidi di non notificare: e' la traccia che dimostra che una valutazione c'e' stata.
• Quando la violazione riguarda molti interessati, ricorda che l'esposizione civile si moltiplica per il loro numero: una somma modesta per persona diventa la voce economica piu' pesante dell'incidente.
• Comunicare tempestivamente agli interessati non e' solo un obbligo dell'art. 34: riduce il timore, e il timore e' esattamente cio' che la Corte considera danno risarcibile.
• Metti per iscritto i pareri che rendi al titolare quando sconsigli una scelta: se il titolare decide diversamente, quel documento e' la linea che separa la sua responsabilita' dalla tua.