La Terza Sezione della Corte di Giustizia dell’Unione
Europea, con sentenza del 14 dicembre 2023, pronunciata nella Causa C-340/21,
ha chiarito l’interpretazione dell’articolo 5, paragrafo 2, degli articoli 24 e
32, nonché dell’articolo 82, paragrafi da 1 a 3, del regolamento (UE) 2016/679
del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla
protezione delle persone fisiche con riguardo al trattamento dei dati
personali, nonché alla libera circolazione di tali dati e che abroga la
direttiva 95/46/CE (Regolamento generale sulla protezione dei dati).
Una divulgazione non autorizzata di dati personali o un accesso non autorizzato a tali dati da parte di «terzi», ai sensi dell’art. 4, punto 10, di tale regolamento, non sono sufficienti, di per sé, per ritenere che le misure tecniche e organizzative attuate dal titolare del trattamento in questione non fossero «adeguate», ai sensi di tali artt. 24 e 32. Infatti, dal tenore letterale degli artt. 24 e 32 del Regolamento generale sulla protezione dei dati (in prosieguo: il «RGPD») risulta che tali disposizioni si limitano ad imporre al titolare del trattamento di adottare misure tecniche e organizzative destinate ad evitare, per quanto possibile, qualsiasi violazione di dati personali. D’altra parte, il legislatore dell’Unione, nel considerando 83 del RGPD, ha manifestato la sua intenzione di «limitare» i rischi di violazione dei dati personali, senza affermare che sarebbe possibile eliminarli. Inoltre, l’adeguatezza delle misure tecniche e organizzative attuate dal titolare del trattamento ai sensi dell’art. 32 del RGPD deve essere valutata dai giudici nazionali in concreto, tenendo conto dei rischi connessi al trattamento di cui trattasi e valutando se la natura, il contenuto e l’attuazione di tali misure siano adeguati a tali rischi. Un siffatto esame richiede di procedere a un’analisi concreta sia della natura e del contenuto delle misure che sono state attuate dal titolare del trattamento, del modo in cui tali misure sono state applicate e dei loro effetti pratici sul livello di sicurezza che quest’ultimo era tenuto a garantire, tenuto conto dei rischi inerenti a tale trattamento.
La Corte si è pronunciata anche in merito al principio di responsabilità del titolare del trattamento, enunciato all’art. 5, par. 2, del RGPD e concretizzato all’art. 24 di quest’ultimo, affermando che nell’ambito di un’azione di risarcimento fondata sull’art. 82 di tale regolamento, al titolare del trattamento di cui trattasi incombe l’onere di dimostrare l’adeguatezza delle misure di sicurezza da esso attuate ai sensi dell’art. 32 di detto regolamento. Questi tre articoli enunciano quindi una regola, di applicazione generale, che occorre, in mancanza di indicazione contraria nel RGPD, applicare anche nell’ambito di un’azione di risarcimento fondata sull’art. 82 di tale regolamento. Inoltre, l’art. 32 del RGPD e il principio di effettività del diritto dell’Unione devono essere interpretati nel senso che: al fine di valutare l’adeguatezza delle misure di sicurezza che il titolare del trattamento ha attuato ai sensi di tale articolo, una perizia giudiziaria non può costituire un mezzo di prova sistematicamente necessario e sufficiente. Infatti, come rilevato dalla Commissione europea nelle sue osservazioni scritte, il principio di effettività potrebbe essere violato nell’ipotesi in cui il termine «sufficiente» dovesse essere inteso nel senso che un giudice nazionale deve dedurre esclusivamente o automaticamente da una perizia giudiziaria che le misure di sicurezza attuate dal titolare del trattamento in questione sono «adeguate», ai sensi dell’art. 32 del RGPD. Per quanto riguarda l’interpretazione dell’art. 82, par. 3, del RGPD la Corte ha affermato che: il titolare del trattamento non può essere esonerato dal suo obbligo di risarcire il danno subito da una persona, ai sensi dell’art. 82, parr. 1 e 2, di tale regolamento, per il solo fatto che tale danno deriva da una divulgazione non autorizzata di dati personali o da un accesso non autorizzato a tali dati da parte di «terzi», ai sensi dell’art. 4, punto 10, di detto regolamento, dato che tale responsabile deve allora dimostrare che il fatto che ha provocato il danno in questione non gli è in alcun modo imputabile. Pertanto, in caso di violazione di dati personali commessa da un terzo, il titolare del trattamento può esimersi dalla propria responsabilità, sulla base dell’art. 82, par. 3, del RGPD, dimostrando che non sussiste alcun nesso di causalità tra la sua eventuale violazione dell’obbligo di protezione dei dati e il danno subito dalla persona fisica. Infine, il timore di un potenziale utilizzo abusivo dei suoi dati personali da parte di terzi che un interessato nutre a seguito di una violazione di tale regolamento può, di per sé, costituire un «danno immateriale», ai sensi dell’art. 82 par. 1, del RGPD.
Orbene, un’interpretazione dell’art. 82, par. 1, del RGPD secondo la quale la nozione di «danno immateriale», ai sensi di tale disposizione, non includerebbe le situazioni in cui un interessato si avvale unicamente del suo timore che i suoi dati siano oggetto di un utilizzo abusivo da parte di terzi, in futuro, non sarebbe conforme alla garanzia di un livello elevato di protezione delle persone fisiche con riguardo al trattamento dei dati personali all’interno dell’Unione, cui si riferisce tale strumento.
