La perdita del controllo sui dati personali: un danno risarcibile secondo il Bundesgerichtshof
La Corte Federale di Giustizia tedesca (BGH), con una recente sentenza, ha stabilito che la perdita del controllo sui propri dati personali può configurarsi come un danno risarcibile ai sensi del GDPR, purché tale perdita sia una conseguenza diretta di una violazione del regolamento. La Corte ha inoltre chiarito che non è necessario dimostrare ulteriori conseguenze, come l’abuso concreto dei dati o danni materiali, per ottenere un risarcimento.
Principio fondamentale
La sentenza sottolinea che il controllo sui dati personali è un diritto fondamentale protetto dal GDPR. Anche una perdita parziale di tale controllo, se causata da una violazione normativa, è sufficiente per configurare un danno immateriale risarcibile. Questa interpretazione amplia la tutela offerta dal regolamento europeo, evidenziando l’importanza del diritto alla sovranità sui propri dati.
Il caso Meta e la vulnerabilità dei dati
Il caso analizzato riguarda Meta Platforms Ireland Ltd, gestore del social network Facebook. Nel 2021, dati personali di circa 533 milioni di utenti, provenienti da 106 Paesi, furono resi pubblici a causa di una vulnerabilità nelle impostazioni di visibilità del profilo. Terzi sconosciuti sfruttarono questa falla per associare numeri di telefono a profili Facebook tramite una tecnica di scraping. Tra i dati esposti vi erano ID utente, nome, cognome, luogo di lavoro e sesso, collegati ai numeri di telefono.
Il ricorrente, vittima dell’attacco, ha accusato Meta di non aver adottato misure di sicurezza adeguate, richiedendo un risarcimento per il danno immateriale subito e ulteriori misure di tutela. In primo grado, il tribunale ha riconosciuto un risarcimento di €250, mentre il tribunale d’appello ha respinto la causa, ritenendo insufficiente la sola perdita di controllo per configurare un danno risarcibile.
La decisione della Corte Federale di Giustizia
Il 31 ottobre 2024, il Bundesgerichtshof ha esaminato il caso, affermando che la perdita del controllo sui dati, anche in assenza di ulteriori conseguenze tangibili, può rappresentare un danno risarcibile. La sentenza sottolinea come il principio di minimizzazione dei dati e la trasparenza nelle informazioni fornite agli utenti siano centrali per valutare la conformità delle pratiche aziendali al GDPR.
La Corte ha inoltre richiamato la giurisprudenza della Corte di Giustizia dell’Unione Europea (CGUE), che riconosce la perdita del controllo sui dati come lesione autonoma e risarcibile. Sentenze come Österreichische Post (C-300/21) e PS GbR (C-590/22) hanno già stabilito che il GDPR tutela non solo i danni materiali, ma anche quelli immateriali legati alla violazione della privacy.
Implicazioni e prospettive future
Questa sentenza rappresenta un passo fondamentale per rafforzare la tutela dei diritti legati ai dati personali. Riconoscendo la perdita di controllo come danno risarcibile, la Corte elimina la necessità di dimostrare conseguenze materiali o psicologiche specifiche. Tuttavia, ciò pone nuove sfide, in particolare nella quantificazione del danno immateriale e nella gestione delle responsabilità aziendali.
Il Bundesgerichtshof ha fornito indicazioni sulla proporzionalità dei risarcimenti, suggerendo importi simbolici, come €100, in assenza di conseguenze gravi, ma ha anche sottolineato l’importanza di considerare il contesto specifico di ogni caso.
Considerazioni finali
La decisione del Bundesgerichtshof rafforza il diritto alla protezione dei dati personali come elemento centrale della dignità individuale, imponendo alle aziende standard più elevati di sicurezza e trasparenza. Al contempo, solleva interrogativi pratici su come bilanciare una tutela effettiva dei diritti con il rischio di risarcimenti eccessivi o strumentalizzazioni. In un mondo sempre più digitalizzato, questa sentenza contribuisce a delineare un quadro giuridico in cui la protezione dei dati personali non è solo una questione tecnica, ma un diritto fondamentale che richiede una tutela concreta e proporzionata.
