A partire dall’anno 2017, l’Österreichische Post AG, un’impresa editrice di indirizzi, raccoglieva informazioni circa l’affinità della popolazione in relazione ai partiti politici. Grazie all’utilizzo di un algoritmo, essa individuava gli “indirizzi di gruppi destinatari” partendo da fattori socio-demografici.

UI è un individuo rispetto al quale la Österreichische Post AG aveva effettuato un’estrapolazione in base a un calcolo statistico al fine di stabilirne la classificazione nei possibili gruppi destinatari della pubblicità elettorale dei differenti partiti politici. UI chiedeva un risarcimento dei danni, quantificato in 1.000 euro, poiché non aveva mai prestato il consenso al trattamento dei dati personali. Di conseguenza, avanzava una richiesta per risarcimento di danni immateriali, disagi interiori, affermando altresì che l’affinità politica attribuitagli era infamante e offensiva, dunque, andava a ledere la sua immagine.

I primi due gradi di giudizio interni rigettavano la domanda di risarcimento poiché, secondo il diritto austriaco, il danno risarcibile è solamente quello che va oltre la mera irritazione o il danno emozionale. A questo si deve aggiungere che, sempre secondo il diritto austriaco, il diritto al risarcimento del danno presuppone una certa rilevanza dei danni lamentati.

A seguito dell’impugnazione della sentenza del giudice di appello dinnanzi alla Oberster Gerichtshof (Corte suprema) questa, a sua volta, sottoponeva alla Corte di Giustizia dell’Unione Europea tre questioni: 1) se ai fini del risarcimento del danno, ai sensi dell’art. 82 RGPD, occorre non solo la mera violazione delle disposizioni del RGDP ma anche che il ricorrente abbia patito un danno; 2) se esistano delle prescrizioni in materia di calcolo del risarcimento del danno, oltre all’applicazione dei principi di effettività ed equivalenza; 3) se è compatibile con il diritto dell’Unione Europea “la tesi secondo cui il presupposto per il riconoscimento di un danno immateriale è la presenza di una conseguenza o di un effetto della violazione di un diritto avente almeno un certo peso e che vada oltre l’irritazione provocata dalla violazione stessa”.

La Corte di Giustizia, nella Causa C-300/21 UI c. Österreichische Post AG, ha avanzato una differente e ulteriore interpretazione rispetto a quella prospettata dal Giudice del rinvio. Questa seconda sarebbe più complessa dato che richiederebbe di accertare se la violazione delle disposizioni del RGDP provoca necessariamente un danno dal quale sorge il diritto al risarcimento senza che al convenuto sia offerta la possibilità di dimostrare il contrario.

In tal senso, viene evidenziato dalla Corte come la tesi secondo cui sussiste un diritto al risarcimento del danno derivante dalla mera violazione del RGPD e senza vi sia alcun danno per l’interessato pone problematiche interpretative. Il riferimento, infatti, va all’art. 82, par. 1 RGDP: questa disposizione prevede la possibilità di riconoscere un risarcimento a condizione che sia stato provocato un danno. La persona, ergo, deve aver subito un danno quale conseguenza della violazione del RGDP.

Alla luce di questo, in assenza di un danno, il risarcimento non svolgerebbe la funzione risarcitoria delle conseguenze negative provocate dalla violazione poiché la sua  funzione sarebbe quasi sanzionatoria. La Corte aggiunge che, nonostante esista anche una responsabilità “punitiva” da contrapporre a quella civile, l’RGDP, secondo una interpretazione letterale, non consente di prevedere un risarcimento di carattere punitivo. A questa conclusione si perviene anche qualora si acceda a una interpretazione storica dell’art. 82 RGPD poiché, dallo studio dei lavori preparatori, per la Corte di Giustizia non vi è traccia alcuna di una funzione punitiva della responsabilità civile.

A ciò la Corte aggiunge che nel sistema delineato dall’art. 82 RGDP, la funzione risarcitoria e punitiva sono separate. La prima è svolta dal reclamo del singolo e dai procedimenti giurisdizionali, mentre la seconda è svolta dalle sanzioni pecuniari che possono essere inflitte dalle autorità di controllo e/o dall’autorità giurisdizionale.

Infine, sulla scorta di una interpretazione teleologica, “la prospettiva di ottenere un risarcimento indipendentemente da qualsiasi danno stimolerebbe probabilmente le controversie civili, con azioni magari non sempre giustificate, e potrebbe quindi disincentivare l’attività di trattamento dei dati”.

A tutto questo si aggiunge la considerazione secondo cui la finalità dell’RGDP non è quella di ampliare il controllo del singolo sulle informazioni che lo riguardano ma contemperare il diritto alla protezione dei dati personali con gli interessi della società e dei terzi. Questo obiettivo viene perseguito, secondo quanto prospettato dalla Corte, “anzitutto, con la promozione della fiducia dell’interessato nel fatto che il trattamento sarà effettuato in un contesto sicuro, al quale contribuisce egli stesso. In tal modo si incentiva la sua predisposizione volontaria a consentire l’accesso e l’utilizzo dei suoi dati, anche nell’ambito delle operazioni commerciali online”.

Per quanto attiene allo strumento idoneo per ristorare dalla violazione del RGDP, la Corte evidenzia come il risarcimento, previsto dall’art. 82 par. 1, non sia lo strumento adatto qualora la violazione si traduca in una mera rabbia o irritazione. In altri termini, la domanda di risarcimento per la mera sensazione di malessere causata dall’inosservanza della legge è facilmente confondibile con un risarcimento senza danno.

In conclusione, la Corte di Giustizia ha statuito che “ai fini del riconoscimento di un risarcimento per danni subiti da una persona in conseguenza di una violazione del menzionato regolamento non è sufficiente, di per sé, la mera violazione della norma, se essa non è accompagnata dal relativo danno, materiale o immateriale”. A ciò deve essere aggiunto che il risarcimento del danno immateriale, sempre disciplinato dal RGPD, “non si estende alla mera irritazione che l’interessato possa provare a causa della violazione delle disposizioni del regolamento”.