CGE: Austria e violazione dei dati personali GDPR, come valutare il risarcimento del danno?

Dalla Corte di giustizia europea una nuova causa che riguarda la violazione dei dati personali. Nella causa C-300/21 | Österreichische Post, la Corte ha affermato che una mera violazione del Regolamento (UE) 2016/679«GDPR» (il Regolamento generale sulla protezione dei dati) non fonda un diritto al risarcimento. Questo risponde a determinate condizioni legate al nesso causale fra violazione del RGDP e danno immateriale derivato ma, per la sua valutazione non sussiste una soglia di gravità prevista dal Regolamento, la cui entità viene rimandata agli Stati Membri.

Il ricorso alla CGE permette di comprendere quando scatta il risarcimento del danno da violazione del regolamento sul trattamento dei dati e come valutare la sua entità.

Österreichische Post: trattamento di dati politici in Austria

Austria, 2017, la Österreichische Post (uno dei principali operatori postali austriaci) raccoglie informazioni sulle affinità politiche della popolazione Austriaca sfruttando un algoritmo che individua gruppi destinatari in base a criteri sociali e demografici ma senza condivisione di dati a terzi.

La causa origina da un cittadino austriaco che non aveva acconsentito al trattamento dei suoi dati personali, e lamentava una grave contrarietà, una perdita di fiducia, nonché un sentimento di umiliazione a causa della particolare affinità che era stata stabilita con uno dei partiti. Il risarcimento chiesto, di 1000 euro per il danno immateriale è al centro del ricorso alla Corte suprema austriaca che adisce la CGE chiedendo se la mera violazione del GDPR sia sufficiente per conferire tale diritto e se il risarcimento sia possibile solo oltre un determinato grado di gravità del danno immateriale subito.

Diritto al risarcimento per danno da violazione del RGDP: quando sussiste?

Secondo la Corte, il diritto al risarcimento previsto dal GDPR è subordinato a tre condizioni cumulative:

• una violazione del GDPR
•  un danno materiale o immateriale derivante da tale violazione
• e un nesso di causalità tra il danno e la violazione.

Ulteriormente la Corte chiarisce che la violazione del GDPR non comporta necessariamente un danno e, per fondare un diritto al risarcimento, deve sussistere un nesso di causalità tra la violazione di cui trattasi e il danno subito.

Ma il diritto al risarcimento non è riservato ai danni immateriali che raggiungono una determinata soglia di gravità. Il RGPD non menziona un requisito del genere, spiega la CGE e una tale restrizione sarebbe in contraddizione con l’ampia concezione delle nozioni di «danno» o di «pregiudizio», adottata dal legislatore dell’Unione ed il risarcimento potrebbe variare in funzione della valutazione dei giudici aditi.

Come valutare l’entità del risarcimento per violazione del Regolamento RGDP

Proprio rispetto alla valutazione del risarcimento, la Corte rileva che il GDPR non contiene disposizioni a riguardo: spetta dunque all’ordinamento giuridico di ciascuno Stato membro fissare

• le modalità delle azioni che garantiscono la salvaguardia dei diritti derivanti per i singoli dal GDPR
• i criteri che consentono di determinare l’entità del risarcimento dovuto in tale contesto, fatto salvo il rispetto dei principi di equivalenza e di effettività. A tal proposito, la Corte sottolinea la funzione compensativa del diritto al risarcimento previsto dal GDPR e ricorda che tale strumento tende a garantire un risarcimento pieno ed effettivo del danno subito.

Corte di giustizia: le ultime cause per violazioni dei dati personali

Trattamento dei dati: l’informazione e la formazione per il Professionista della Security

Qual è la normativa di riferimento per la security in azienda?

In materia di trattamento dei dati suggeriamo i libri di Security editi da EPC editore e dedicati alla formazione e informazione dei professionisti della security e dei lavoratori:

Protezione dei dati personali e sicurezza informatica

Compliance aziendale e modalità tecnico-comportamentali nella conduzione degli audit

a Beccara Jean Louis, Cirolini Lunelli Alessandra , Ranise Silvio

Libro

Edizione: ottobre 2023

Pagine: 176

Formato: 150×210 mm

Tutela dei dati e sicurezza informatica

Del Pizzo Alessia
E-book

Contesto normativo e strategico, studio della cybersecurity e blockchain, Cyber security del PTD, il corretto trattamento dei dati nei processi digitali e conoscenza del percorso digitale della pubblica amministrazione.

Il volume fa parte della collana “PNRR, digitalizzazione e cybersecurity”

Abc del trattamento dei dati personali

Biasiotti Adalberto

Manualistica per i lavoratori

Edizione: ristampa aggiornata marzo 2022

Pagine: 96

Formato: 115×165 mm

Il sistema integrato per la SICUREZZA delle INFORMAZIONI ed il GDPR

Castroreale Renato, Ponti Chiara

Libro

Edizione: marzo 2021

Pagine: 384

Formato: 150×210 mm

Corso di formazione e-learning sul GDPR

In materia di formazione del professionista della Security, suggeriamo il corso organizzato da Istituto Informa nel catalogo dei corsi di Security e Privacy e dedicato al GDPR

Corso e-learning
GDPR General Data Protection Regulation – Il nuovo Regolamento europeo sul trattamento dei dati

In questo corso si possono approfondire tutte le novità introdotte dal nuovo Regolamento Europeo 679/2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali. Il corso è rivolto a tutti coloro che hanno necessità di apprendere in modo puntuale e veloce le novità introdotte dal nuovo GDPR.