I tuoi dati sono finiti fuori per un attacco: che cosa puoi chiedere
Un timore fondato di uso abusivo può essere un danno e non serve superare una soglia di gravità. Il titolare deve dimostrare che le misure di sicurezza erano adeguate; chi chiede il risarcimento deve dimostrare violazione, danno e collegamento.
Contenuto verificato sulle fonti ufficiali il
In breve
- Il timore può bastare, se è fondato e provato. Il timore di un potenziale uso abusivo dei propri dati può costituire danno immateriale risarcibile. Un rischio puramente ipotetico non basta.
- Nessuna soglia di gravità. Non è ammesso subordinare il risarcimento del danno immateriale al raggiungimento di un certo grado di gravità.
- Ma la sola violazione non basta. Occorre allegare e dimostrare un danno concreto: la violazione in sé non conferisce automaticamente il diritto.
- La prova è divisa. Dimostrare che le misure di sicurezza erano adeguate spetta al titolare del trattamento. A te spetta dimostrare la violazione, il danno e il collegamento fra i due.
- Esonero stretto. Il titolare si libera solo dimostrando che l'evento dannoso non gli è in alcun modo imputabile.
- Più soggetti, responsabilità solidale: chi è coinvolto nello stesso trattamento ed è responsabile del danno risponde per l'intero.
Con questa pagina puoi scrivere da solo. Il servizio che prepara e spedisce la lettera apre a breve.
Iscriviti alla lista d'attesa →Il servizio non è ancora aperto. Chi si iscrive riceve al lancio la prima lettera gratis, spedizione via PEC compresa.
Quando un'azienda comunica che i suoi sistemi sono stati violati e che fra i dati esposti ci sono i tuoi, si può pensare di dover aspettare che succeda qualcosa. Per la giurisprudenza europea non è sempre necessario: in certe condizioni il danno c'è già.
Che cosa si può chiedere dopo un data breach?
Chiunque subisca un danno materiale o immateriale causato da una violazione del regolamento ha diritto al risarcimento dal titolare o dal responsabile del trattamento.
L'esonero è stretto: il titolare si libera solo se dimostra che l'evento dannoso non gli è in alcun modo imputabile. E quando più soggetti sono coinvolti nello stesso trattamento e sono responsabili del danno, ciascuno risponde in solido per l'intero ammontare (articolo 82, paragrafo 4).
Che cosa ha stabilito la Corte di giustizia?
Nella sentenza Österreichische Post la Corte ha chiarito tre punti che vanno letti insieme, perché il primo e il secondo tirano in direzioni opposte.
1. La mera violazione non basta. Il fatto che il regolamento sia stato violato non conferisce di per sé il diritto al risarcimento: un danno va allegato e provato. 2. Ma non esiste una soglia minima di gravità. Il diritto dell'Unione osta a una norma o a una prassi nazionale che subordini il risarcimento del danno immateriale alla condizione che abbia raggiunto un certo grado di gravità. Non si può quindi rispondere «è troppo poco per essere risarcito». 3. L'importo si determina secondo le regole interne di ciascuno Stato, nel rispetto dei principi europei.
Il timore che i dati siano usati male è già un danno?
Nella sentenza Natsionalna agentsia za prihodite la Corte ha stabilito che il timore di un potenziale utilizzo abusivo dei propri dati da parte di terzi, nutrito a seguito di una violazione del regolamento, può di per sé costituire un danno immateriale.
Non serve quindi attendere che qualcuno usi davvero i dati, ma ci sono limiti:
- il giudice deve verificare che il timore sia fondato (C-340/21);
- un rischio puramente ipotetico non dà diritto al risarcimento e, se è accertato che il terzo non ha visto i dati, il semplice timore non è un danno (C-687/21);
- il timore deve essere debitamente provato, con le sue conseguenze negative (C-590/22);
- il risarcimento compensa il danno, non punisce chi l'ha causato (C-687/21).
Chi deve dimostrare che la sicurezza era adeguata?
La stessa sentenza ha stabilito un secondo principio: nell'azione di risarcimento incombe al titolare del trattamento l'onere di dimostrare l'adeguatezza delle misure di sicurezza adottate.
Questo non ti esonera da ogni prova: devi dimostrare la violazione, il danno e il collegamento fra i due (C-687/21). E l'accesso abusivo di terzi non basta da solo a ritenere inadeguate le misure (C-340/21).
Per iscritto si chiede l'indicazione delle misure tecniche e organizzative in essere al momento della violazione.
Che cosa deve contenere la richiesta di risarcimento?
Conviene indicare la violazione a cui ci si riferisce e la comunicazione ricevuta, i dati che risultano esposti e in che cosa consiste concretamente il pregiudizio — perché il timore va descritto, non evocato. E chiedere due cose: il risarcimento e l'indicazione delle misure di sicurezza adottate.
Puoi scriverla anche senza aiuto. Se preferisci, il servizio che prepara e spedisce la lettera apre a breve: iscriviti alla lista d'attesa.
Conviene anche fare reclamo al Garante?
Va valutato prima. In Italia reclamo al Garante e giudice sono forme alternative: presentare il reclamo rende improponibile una domanda al giudice tra le stesse parti e per lo stesso oggetto (Codice privacy, articolo 140-bis, comma 3).
Il reclamo serve a far accertare la violazione e può portare a sanzioni, ma non produce il risarcimento. Si può sostenere che il risarcimento abbia un oggetto diverso, ma il punto è controverso. Se pensi di chiedere i danni in giudizio, parlane con un avvocato prima di presentare il reclamo.
Domande frequenti
Posso chiedere un risarcimento se i miei dati sono stati esposti ma non è successo nulla?
Sì, a certe condizioni. Nella sentenza C-340/21 la Corte di giustizia ha stabilito che il timore di un potenziale utilizzo abusivo dei propri dati, nutrito a seguito di una violazione del regolamento, può costituire un danno immateriale risarcibile. Il giudice verifica che sia fondato e il timore va provato: un rischio puramente ipotetico non basta.
Esiste una soglia minima di gravità per il danno?
No. Nella sentenza C-300/21 la Corte di giustizia ha stabilito che il diritto dell'Unione osta a una norma o prassi nazionale che subordini il risarcimento del danno immateriale al raggiungimento di un certo grado di gravità.
Basta che ci sia stata una violazione per avere diritto al risarcimento?
No. La stessa sentenza precisa che la mera violazione delle disposizioni del regolamento non è sufficiente a conferire il diritto al risarcimento: occorre allegare e dimostrare un danno.
Devo dimostrare io che l'azienda non aveva protezioni adeguate?
No. Nell'azione di risarcimento fondata sull'articolo 82 l'onere di dimostrare l'adeguatezza delle misure di sicurezza adottate incombe al titolare del trattamento. A te resta da dimostrare la violazione, il danno e il collegamento fra i due.
Il reclamo al Garante mi fa ottenere il risarcimento?
No. Il reclamo all'autorità di controllo serve a far accertare la violazione e può portare all'irrogazione di sanzioni, ma il risarcimento si chiede al titolare del trattamento e, se necessario, si ottiene in sede civile. In Italia le due strade sono alternative per lo stesso oggetto: prima di presentare il reclamo conviene valutare con un avvocato l'articolo 140-bis del Codice privacy.
Sapere che cosa prevedono le regole è il primo passo. Il secondo è la lettera: scritta in forma corretta, con le norme citate per esteso e una data che si può dimostrare. Il servizio che la prepara e la spedisce apre a breve.
Iscriviti alla lista d'attesa →Il servizio non è ancora aperto. Chi si iscrive riceve al lancio la prima lettera gratis, spedizione via PEC compresa.
Questa pagina spiega che cosa prevedono le regole in situazioni di questo tipo. Non è un parere sul caso singolo e non anticipa l'esito, che dipende dai fatti del caso concreto. Per sapere quando basta una lettera e quando serve un avvocato, leggi quando serve un avvocato.
Fonti ufficiali