Una recentissima sentenza della Corte d’Appello di Catanzaro, Sezione I, del 3 giugno 2026, n. 805, offre lo spunto per soffermarsi su una questione in tema di c.d. tutela della privacy. La Corte ha confermato il principio secondo cui, in materia di illecito trattamento dei dati personali, il danno non è in re ipsa, cioè non insorge automaticamente, per cui ne consegue la necessità di dimostrare l’effettiva lesione derivante dal trattamento illecito (v. sentenza Corte di Cassazione, Sezioni Unite, 11.11.2008, n. 26972).
Nell’esaminare la fattispecie, va anzitutto ricordato che è irrilevante che la violazione sia stata determinata da errore umano, negligenza o mera disattenzione. Il titolare del trattamento, infatti, risponde anche dei fatti colposi commessi dai propri dipendenti o collaboratori, in applicazione del principio generale sancito dall’art. 2049 c.c. in tema di responsabilità civile.
Il danno non patrimoniale risarcibile trova fondamento nella lesione del diritto fondamentale alla protezione dei dati personali, riconosciuto e tutelato dagli artt. 2 e 21 della Costituzione, nonché dall’art. 8 della Convenzione Europea dei Diritti dell’Uomo.
La centralità del rimedio risarcitorio emerge dall’art. 82 del GDPR, che riconosce all’interessato il diritto di ottenere il risarcimento di qualsiasi danno subito a causa di un trattamento effettuato in violazione del Regolamento o della normativa nazionale di attuazione.
Ulteriori chiarimenti sono forniti dal Considerando n. 146 del GDPR, secondo il quale il titolare o il responsabile del trattamento deve risarcire i danni causati da trattamenti non conformi al Regolamento, salvo che dimostri che l’evento dannoso non sia in alcun modo a lui imputabile. Lo stesso Considerando precisa che il concetto di danno deve essere interpretato in senso ampio, alla luce della giurisprudenza della Corte di Giustizia dell’Unione Europea, al fine di garantire agli interessati un risarcimento pieno ed effettivo.
Tuttavia, il diritto al risarcimento resta subordinato all’accertamento della gravità della lesione e della serietà del pregiudizio subito (v. sentenza di Cassazione n. 17383 del 2020). Anche in questo ambito trova applicazione il principio di solidarietà di cui all’art. 2 Cost., dal quale deriva la necessità di tollerare le lesioni meramente bagatellari o prive di effettiva consistenza lesiva.
Ne consegue che la semplice violazione formale delle regole sul trattamento dei dati personali non è, di per sé, sufficiente a fondare una pretesa risarcitoria. Il danno risarcibile sussiste, invece, quando la violazione incide concretamente sul diritto alla riservatezza e alla protezione dei dati personali dell’interessato (v. ordinanza Cassazione 12 maggio 2023, n. 13073, nonché Corte di giustizia dell’Unione Europea, sentenza 4 maggio 2023, in causa C-300/2021).
In conclusione, la sentenza afferma che il titolare del trattamento dei dati personali è tenuto a risarcire i danni causati da trattamenti non conformi al GDPR e può andare esente da responsabilità soltanto dimostrando che l’evento dannoso non gli è in alcun modo imputabile; non è sufficiente, a tal fine, aver successivamente rimosso o corretto il dato illecitamente divulgato. Inoltre, la Corte stabilisce che l’esclusione del danno in re ipsa richiede la prova della concreta gravità della lesione subita.
Francesco Salimbeni
