Corte di giustizia UE/2025

62023CJ0655_RES [OSCURATO:PERSONA]655/23 IP contro [OSCURATO:PERSONA] (domanda di pronuncia pregiudiziale, proposta dal Bundesgerichtshof) Sentenza della Corte (Quarta Sezione) del 4 settembre 2025 «Rinvio pregiudiziale – Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento (UE) 2016/679 – Diritti dell’interessato – Articolo 17 – Diritto alla cancellazione di dati – Articolo 18 – Diritto alla limitazione del trattamento – Articolo 79 – Diritto a un ricorso giurisdizionale effettivo – Trattamento illecito di dati personali – Ricorso teso ad ingiungere al titolare del trattamento di astenersi dall’effettuare in futuro qualsiasi nuovo trattamento illecito – Fondamento – Condizioni – Articolo 82, paragrafo 1 – Diritto al risarcimento – Nozione di “danno immateriale” – Valutazione del risarcimento – Eventuale presa in considerazione della gravità della colpa del responsabile del trattamento – Eventuale incidenza del beneficio di un’“ingiunzione ad astenersi”» Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento 2016/679 – Mezzi di ricorso – Obbligo, per gli Stati membri, di prevedere un mezzo di ricorso che permetta di ingiungere al titolare del trattamento di astenersi dal procedere a qualsiasi nuovo trattamento illecito – Assenza – Normativa nazionale che permette di esercitare un siffatto mezzo di ricorso nell’ordinamento giuridico interno – Ammissibilità (Carta dei diritti fondamentali dell’Unione europea, art. 8, § 1 e 2; regolamento del Parlamento europeo e del Consiglio 2016/679, considerando 1, 10 e 11 e art. 1, 4, punto 1, 5, 6, 17, 18 e da 77 a 79) (v. punti 38-52, disp. 1) Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento 2016/679 – Diritto al risarcimento e responsabilità – Diritto al risarcimento del danno subìto –Danno morale – Nozione – Sentimenti negativi provati dalla persona interessata a seguito di una trasmissione non autorizzata dei suoi dati personali ad un terzo – Inclusione – Presupposti – Necessità di dimostrare l’esistenza di siffatti sentimenti e le loro conseguenze negative a causa della violazione di detto regolamento (Regolamento del Parlamento europeo e del Consiglio 2016/679, considerando 1, 10, 75, 85 e 146 e art. 1 e 82, § 1) (v. punti 55, 56, 58-64, disp. 2) Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento 2016/679 – Diritto al risarcimento e responsabilità – Diritto al risarcimento del danno subìto – Determinazione dell’importo e della forma del risarcimento – Normativa nazionale che autorizza la presa in considerazione della gravità della colpa dell’autore del danno ai fini della valutazione del risarcimento di un danno immateriale – Inammissibilità (Regolamento del Parlamento europeo e del Consiglio 2016/679, considerando 146 e art. 82 e 83) (v. punti 66, 67, 69-73, disp. 3) Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento 2016/679 – Diritto al risarcimento e responsabilità – Diritto al risarcimento del danno subìto – Determinazione dell’importo e della forma del risarcimento – Presa in considerazione, al fine di ridurre o escludere il risarcimento pecuniario di un danno immateriale, di un’ingiunzione ad astenersi dal reiterare una violazione del suddetto regolamento – Inammissibilità (Regolamento del Parlamento europeo e del Consiglio 2016/679, art. 82) (v. punti 77-79, 81-83, disp. 4) [OSCURATO:PERSONA] di una domanda di pronuncia pregiudiziale da parte del Bundesgerichtshof (Corte federale di giustizia, Germania), la Corte precisa l’entità dei diritti conferiti da varie disposizioni del RGPD ( 1 ) alla persona interessata in caso di trattamento illecito dei suoi dati personali. IP ha offerto, tramite un social network professionale on-line, la propria disponibilità a ricoprire una posizione lavorativa presso la [OSCURATO:PERSONA], una società di diritto tedesco. Successivamente, un’impiegata di questa società ha utilizzato il servizio di messaggeria elettronica di detto network per inviare a un terzo, non interessato da questa procedura di assunzione, un messaggio destinato unicamente a IP, nel quale essa informava quest’ultimo del rigetto delle sue pretese salariali e gli proponeva una diversa retribuzione. Questa terza persona, che conosceva IP per aver lavorato con lui in passato, gli ha trasmesso tale messaggio e gli ha chiesto se era alla ricerca di un impiego. IP ha proposto, dinanzi al [OSCURATO:PERSONA] (Tribunale del [OSCURATO:PERSONA], [OSCURATO:PERSONA], Germania), un’azione intesa ad ottenere che la [OSCURATO:PERSONA] fosse condannata, da un lato, ad astenersi da qualsiasi trattamento dei dati personali attinenti alla sua candidatura idoneo a reiterare la divulgazione non autorizzata di tali dati e, dall’altro, a corrispondergli un importo a titolo di risarcimento del danno immateriale sofferto. Il giudice di primo grado ha accolto tali domande. A seguito dell’appello proposto dalla [OSCURATO:PERSONA] dinanzi all’[OSCURATO:PERSONA] (Tribunale superiore del [OSCURATO:PERSONA], [OSCURATO:PERSONA] sul Meno, Germania), detta sentenza è stata parzialmente riformata nel senso che la domanda di risarcimento è stata respinta. Infatti, ad avviso di questo giudice, la prova di un pregiudizio concreto non era stata fornita da IP e, anche supponendo che quest’ultimo avesse subìto un’umiliazione, questa non avrebbe potuto essere qualificata come danno immateriale. IP e la [OSCURATO:PERSONA] hanno proposto entrambi un’impugnazione contro tale sentenza dinanzi al Bundesgerichtshof (Corte federale di giustizia, Germania), odierno giudice del rinvio. Nutrendo dei dubbi riguardo all’interpretazione di varie disposizioni del RGPD, l’alto giudice di cassazione ha interrogato la Corte in merito all’estensione dei mezzi di ricorso, alla portata del diritto al risarcimento del danno subìto e ai criteri che permettono di valutare il danno immateriale risarcibile. Giudizio della Corte Anzitutto, la Corte è chiamata a pronunciarsi sulla questione se le disposizioni del RGPD prevedano, a beneficio della persona interessata dal trattamento illecito di dati personali che non chieda la cancellazione di questi ultimi, un mezzo di ricorso giurisdizionale che le permetta di ottenere, a titolo preventivo, che al titolare del trattamento venga ingiunto di astenersi dall’effettuare in futuro un nuovo trattamento illecito, e se, in caso di risposta negativa, tali disposizioni impediscano agli Stati membri di istituire un siffatto mezzo di ricorso nei loro rispettivi ordinamenti giuridici. La Corte rileva, a questo proposito, che il RGPD non contiene alcuna disposizione che preveda, esplicitamente o implicitamente, che l’interessato benefici di un diritto ad ottenere in via preventiva, mediante un’azione giudiziale, che il titolare del trattamento di dati personali venga costretto ad astenersi, in futuro, dal commettere una violazione delle disposizioni di tale regolamento, più specificamente sotto forma di reiterazione di un trattamento illecito. Inoltre, la Corte constata che nessuna delle disposizioni di detto regolamento riguardanti i mezzi di ricorso ( 2 ) obbliga gli Stati membri a prevedere un ricorso preventivo. In particolare, l’articolo 79, paragrafo 1, del RGPD, che sancisce il diritto ad un ricorso giurisdizionale effettivo contro un titolare del trattamento, non impone agli Stati membri di prevedere un mezzo di ricorso specifico che permetta di ottenere mediante un’azione giudiziale, a titolo preventivo, un’ingiunzione di astensione. Ciò premesso, tenuto conto, segnatamente, del riconoscimento, da parte del RGPD, del diritto di ciascun interessato di disporre di un ricorso giurisdizionale effettivo qualora esso ritenga che i diritti riconosciutigli da tale regolamento siano stati violati a causa di un trattamento dei suoi dati personali effettuato in violazione del regolamento stesso, «fatto salvo» qualsiasi altro ricorso amministrativo o extragiudiziale, la Corte considera che agli Stati membri non è precluso prevedere un siffatto ricorso preventivo al fine di ingiungere al titolare del trattamento di astenersi da qualsiasi nuova violazione dei diritti conferiti da tale regolamento alla persona interessata. In ordine a tale punto, la Corte sottolinea che varie disposizioni del RGPD offrono espressamente la possibilità agli Stati membri di prevedere norme nazionali supplementari, più rigorose o a carattere derogatorio, che lasciano loro un margine di discrezionalità circa il modo in cui tali disposizioni possono essere attuate («clausole di apertura»). In tale contesto, essa rileva che, se le disposizioni del RGPD riguardanti i mezzi di ricorso non contengono specificamente una siffatta clausola di apertura, il legislatore dell’Unione non ha però inteso procedere ad un’armonizzazione esaustiva dei mezzi di ricorso esperibili in caso di violazione delle disposizioni del citato regolamento e, in particolare, non ha escluso una siffatta possibilità di ricorso preventivo. La Corte aggiunge che tale interpretazione è confermata dagli obiettivi perseguiti dal RGPD. Infatti, la possibilità per l’interessato di proporre un ricorso in sede giurisdizionale affinché ad un titolare del trattamento venga ordinato di astenersi, in futuro, dal violare le disposizioni sostanziali del RGPD è atta a rafforzare l’effetto utile di tali disposizioni e, dunque, l’elevato livello di protezione degli interessati con riguardo al trattamento dei loro dati personali. La Corte ne deduce che il RGPD non osta a che un diritto di ricorso inteso ad ottenere un’ingiunzione che permetta di prevenire l’eventuale commissione di una violazione delle disposizioni sostanziali di tale regolamento, segnatamente mediante una potenziale reiterazione di un trattamento illecito, sia disponibile sulla base di disposizioni del diritto di uno Stato membro che siano applicabili dinanzi al giudice nazionale adito. In un secondo tempo, la Corte fornisce delle precisazioni in ordine alla nozione di «danno immateriale» che conferisce, in virtù del RGPD ( 3 ), alla persona interessata, il diritto di ottenere dal titolare del trattamento il risarcimento del danno subìto. In tale contesto, essa ricorda che l’articolo 82, paragrafo 1, del RGPD, relativo al diritto al risarcimento, osta ad una norma o ad una prassi nazionale che subordini il ristoro di un «danno immateriale» alla condizione che il pregiudizio subìto dalla persona interessata abbia raggiunto un certo grado di gravità. La disposizione suddetta non esige che un danno immateriale fatto valere dall’interessato debba raggiungere una «soglia di rilevanza» perché tale danno possa essere risarcito ( 4 ). Inoltre, la Corte osserva che le situazioni, come quelle invocate nel procedimento principale, attinenti ad un «pregiudizio alla reputazione» derivante da una violazione di dati personali o ad una «perdita del controllo» su dati siffatti, figurano esplicitamente tra gli esempi di possibili danni che sono elencati nel RGPD ( 5 ). Essa ricorda altresì che il timore, provato dall’interessato, che i suoi dati personali siano oggetto di utilizzazione abusiva in futuro, a seguito di una violazione del RGPD, è idoneo a costituire, di per sé solo, un «danno immateriale», a condizione che tale timore, con le sue conseguenze negative, sia debitamente dimostrato, aspetto questo la cui verifica incombe al giudice nazionale adito ( 6 ). Così, la Corte riconosce che, sebbene i sentimenti negativi menzionati dal giudice del rinvio, in particolare il timore o l’insoddisfazione, possano peraltro far parte dei rischi inerenti alla normale esperienza di vita, simili sentimenti sono suscettibili di costituire un «danno immateriale», ai sensi del RGPD, purché la persona interessata dimostri che prova sentimenti siffatti, con le loro conseguenze negative, proprio in ragione della violazione in questione del suddetto regolamento, come ad esempio una trasmissione non autorizzata dei suoi dati personali ad un terzo che ingeneri il rischio di un uso abusivo di questi ultimi, aspetto questo che deve essere valutato dai giudici nazionali aditi. La Corte sottolinea che tale interpretazione è conforme al tenore letterale dell’articolo 82, paragrafo 1, del RGPD, letto alla luce dei considerando 85 e 146 di tale regolamento, i quali invitano ad adottare un’accezione ampia della nozione di «danno immateriale», ed è corroborata dall’obiettivo del citato regolamento, che consiste nell’assicurare un livello elevato di protezione delle persone fisiche con riguardo al trattamento dei dati personali. In terza battuta, la Corte constata che l’articolo 82, paragrafo 1, del RGPD, relativo al diritto al risarcimento, osta a che il livello di gravità della colpa del titolare del trattamento venga preso in considerazione ai fini della valutazione del risarcimento di un danno immateriale dovuto ai sensi di tale articolo. A questo proposito, essa ricorda che, tenuto conto della funzione esclusivamente compensativa del diritto al risarcimento, i giudici nazionali sono tenuti ad assicurare un ristoro «pieno ed effettivo» del danno subìto, senza che sia necessario, ai fini di una siffatta compensazione integrale, imporre il versamento di un risarcimento a titolo di danni punitivi ( 7 ). Essa precisa che tale funzione esclusivamente compensativa del diritto al risarcimento previsto dal RGPD osta a che il grado di gravità e l’eventuale carattere intenzionale della violazione di tale regolamento commessa dal titolare del trattamento vengano presi in considerazione ai fini del risarcimento di un danno su tale base. Pertanto, l’atteggiamento e la motivazione del titolare del trattamento non possono essere presi in considerazione al fine, eventualmente, di concedere all’interessato un risarcimento inferiore al pregiudizio che quest’ultimo ha concretamente subìto, sotto il profilo, indifferentemente, del quantum o della forma di tale risarcimento. In quarta e ultima istanza, la Corte considera che l’articolo 82, paragrafo 1, del RGPD osta a che la circostanza che la persona interessata abbia ottenuto, in virtù del diritto nazionale applicabile, un’ingiunzione di astensione dalla reiterazione di una violazione di detto regolamento, opponibile al titolare del trattamento, venga presa in considerazione al fine di ridurre l’entità del risarcimento pecuniario di un danno immateriale dovuto a titolo di tale articolo o, a fortiori, al fine di prendere il posto di tale risarcimento. La Corte ricorda come essa abbia già riconosciuto che, nei limiti risultanti dal principio di effettività, alcune circostanze possono influire sulla valutazione del risarcimento dovuto a titolo dell’articolo 82 del RGPD, specialmente per limitare tale risarcimento. Orbene, una forma di riparazione prevista dal diritto nazionale applicabile può essere considerata conforme al RGPD soltanto laddove sia idonea ad assicurare una riparazione piena ed effettiva del pregiudizio subìto dalla persona interessata. In particolare, un risarcimento dovuto a titolo dell’articolo 82 di tale regolamento non può essere concesso sotto forma, in tutto o in parte, di un’ingiunzione di astensione, in quanto il diritto al risarcimento di un danno soddisfa una funzione esclusivamente compensativa, mentre un’ingiunzione di astensione opposta nei confronti dell’autore del danno ha una finalità puramente preventiva. ( 1 ) Articoli 17, 18, 79 e 82 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) ( GU 2016, L 119, pag. 1 ; in prosieguo: il «RGPD»). ( 2 ) Capo VIII del RGPD, intitolato «Mezzi di ricorso, responsabilità e sanzioni», che comprende, segnatamente, gli articoli da 77 a 79 di tale regolamento. ( 3 ) Articolo 82, paragrafo 1, del RGPD. ( 4 ) V., in tal senso, sentenze del 4 maggio 2023, [OSCURATO:PERSONA] (Danno immateriale inerente al trattamento di dati personali) ( C‑300/21 , EU:C:2023:370 , punto 51 ), nonché del 4 ottobre 2024, Agentsia po vpisvaniyata ( C‑200/23 , EU:C:2024:827 , punti 147 e 149 ). ( 5 ) V. i considerando 75 e 85 del RGPD. ( 6 ) V., in tal senso, sentenze del 20 giugno 2024, PS (Indirizzo errato) ( C‑590/22 , EU:C:2024:536 , punti 32 , 35 e 36 ), nonché del 4 ottobre 2024, Agentsia po vpisvaniyata ( C‑200/23 , EU:C:2024:827 , punti 143 , 144 e 155 nonché giurisprudenza citata). ( 7 ) V., in tal senso, sentenze del 4 maggio 2023, [OSCURATO:PERSONA] (Danno immateriale inerente al trattamento di dati personali) ( C‑300/21 , EU:C:2023:370 , punti 57 e 58 ), nonché del 4 ottobre 2024, Patērētāju tiesību aizsardzības centrs ( C‑507/23 , EU:C:2024:854 , punto 34 ).