Corte di giustizia UE/2022

62023CC0655 CONCLUSIONI DELL’[OSCURATO:PERSONA]-BORDONA presentate il 20 marzo 2025 ( 1 ) Causa C‑655/23 IP contro [OSCURATO:PERSONA] [domanda di pronuncia pregiudiziale proposta dal Bundesgerichtshof (Corte federale di giustizia, Germania)] «Rinvio pregiudiziale – Protezione dei dati personali – Regolamento (UE) 2016/679 – Articolo 5, paragrafo 1, lettera a) – Articolo 6, paragrafo 1 – Articolo 17 – Articolo 18 – Articolo 79, paragrafo 1 – Articolo 82, paragrafo 1 – Diritto di proporre un’azione inibitoria volta all’astensione dalla recidiva in un trattamento illecito – Diritto al risarcimento del danno – Danno immateriale –Valutazione» 1. Nella controversia che dà origine al presente rinvio pregiudiziale si discute, in sintesi, se una persona abbia diritto di proporre un’azione inibitoria affinché il titolare del trattamento dei suoi dati personali si astenga, in futuro, dal ripetere una condotta contraria alle disposizioni del regolamento (UE) 2016/679 ( 2 ). La stessa persona chiede, inoltre, che il titolare del trattamento sia condannato a risarcirle il danno immateriale conseguente alla violazione, già commessa, del RGPD. 2. La Corte di giustizia si è pronunciata sull’interpretazione del RGPD in merito al risarcimento del danno ( 3 ), nonché relativamente alle azioni inibitorie nei confronti di trattamenti illeciti di dati personali ( 4 ). Ciò nonostante, non ha ancora affrontato alcuno dei problemi specifici posti dal presente rinvio pregiudiziale. I. Contesto normativo A. Diritto dell’Unione. RGPD 3. L’articolo 4 («Definizioni») così dispone: «Ai fini del presente regolamento s’intende per: (...) 2) “trattamento”: qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la (...) limitazione, la cancellazione o la distruzione; 3) “limitazione di trattamento”: il contrassegno dei dati personali conservati con l’obiettivo di limitarne il trattamento in futuro; (...)». 4. L’articolo 5 («Principi applicabili al trattamento di dati personali») stabilisce quanto segue: «1.   I dati personali sono: a) trattati in modo lecito, corretto e trasparente nei confronti dell’interessato (“liceità, correttezza e trasparenza”); (...) 2.   Il titolare del trattamento è competente per il rispetto del paragrafo 1 e in grado di comprovarlo (“responsabilizzazione”)». 5. L’articolo 6 («Liceità del trattamento»), paragrafo 1, così prevede: «Il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni: a) l’interessato ha espresso il consenso al trattamento dei propri dati personali per una o più specifiche finalità; (...)». 6. A norma dell’articolo 17 [«Diritto alla cancellazione (“diritto all’oblio”)»]: «1.   L’interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l’obbligo di cancellare senza ingiustificato ritardo i dati personali, se sussiste uno dei motivi seguenti: (...) d) i dati personali sono stati trattati illecitamente; (...)». 7. L’articolo 18 («Diritto di limitazione del trattamento») prevede quanto segue: «1.   L’interessato ha il diritto di ottenere dal titolare del trattamento la limitazione del trattamento quando ricorre una delle seguenti ipotesi: (...) b) il trattamento è illecito e l’interessato si oppone alla cancellazione dei dati personali e chiede invece che ne sia limitato l’utilizzo; (...)». 8. In virtù dell’articolo 79 («Diritto a un ricorso giurisdizionale effettivo nei confronti del titolare del trattamento o del responsabile del trattamento»), paragrafo 1: «Fatto salvo ogni altro ricorso amministrativo o extragiudiziale disponibile, compreso il diritto di proporre reclamo a un’autorità di controllo ai sensi dell’articolo 77, ogni interessato ha il diritto di proporre un ricorso giurisdizionale effettivo qualora ritenga che i diritti di cui gode a norma del presente regolamento siano stati violati a seguito di un trattamento». 9. L’articolo 82 («Diritto al risarcimento e responsabilità»), paragrafo 1, enuncia quanto segue: «Chiunque subisca un danno materiale o immateriale causato da una violazione del presente regolamento ha il diritto di ottenere il risarcimento del danno dal titolare del trattamento o dal responsabile del trattamento». 10. L’articolo 84 («Sanzioni»), paragrafo 1, così dispone: «[OSCURATO:PERSONA] membri stabiliscono le norme relative alle altre sanzioni per le violazioni del presente regolamento in particolare per le violazioni non soggette a sanzioni amministrative pecuniarie a norma dell’articolo 83, e adottano tutti i provvedimenti necessari per assicurarne l’applicazione. Tali sanzioni devono essere effettive, proporzionate e dissuasive». B. Diritto tedesco. [OSCURATO:PERSONA] ( 5 ) 11. L’articolo 823 («Obbligo di risarcimento del danno») così dispone: «(1)   Chi dolosamente o colposamente lede illecitamente la vita, l’integrità fisica, la salute, la libertà, la proprietà o un altro diritto altrui è tenuto a risarcire all’altro il danno che ne deriva. (2)   Lo stesso obbligo incombe a chi violi una legge intesa a tutelare i terzi. Qualora sia possibile, in base al contenuto della legge, una sua violazione anche senza colpa, l’obbligo di risarcimento sorge soltanto in caso di colpa». 12. L’articolo 1004 («Sulle azioni di rimozione o inibitorie»), paragrafo 1, prevede quanto segue: «Se il pregiudizio per la proprietà deriva da una causa diversa da una confisca o da un diritto di ritenzione, il proprietario può chiedere all’autore di porre fine al pregiudizio in questione. Nel caso in cui si verifichino nuovi pregiudizi per la proprietà, il proprietario può esperire un’azione inibitoria» ( 6 ). II. Fatti, procedimento e questioni pregiudiziali 13. La decisione di rinvio contiene la seguente esposizione dei fatti: – IP si stava candidando ad un posto presso la banca [OSCURATO:PERSONA] AG (in prosieguo: la «[OSCURATO:PERSONA]»), mediante una procedura svolta sul portale online Xing; – il 23 ottobre 2018, nell’ambito di tale procedura, una collaboratrice della [OSCURATO:PERSONA], utilizzando il canale di messaggistica del portale Xing, inviava anche ad un terzo estraneo alla procedura di candidatura un messaggio destinato unicamente a IP, con il seguente testo: «Caro sig. [IP], spero che stia bene! Il nostro direttore – il sig. R – trova il Suo profilo commerciale estremamente interessante. Non possiamo tuttavia soddisfare le Sue aspettative di retribuzione. È possibile offrirLe 80000 + una retribuzione variabile. Potrebbe interessarLe ancora con queste prospettive? Sarò lieto di avere Sue notizie (...) Cordiali saluti (...)»; – il terzo destinatario del messaggio lo ha trasmesso a IP, che conosceva avendo lavorato in precedenza nella stessa holding , chiedendogli se si trattasse di un messaggio diretto a lui (IP) e se fosse alla ricerca di un impiego. 14. IP ha adito il [OSCURATO:PERSONA] (Tribunale del Land, Germania) affinché condannasse la [OSCURATO:PERSONA] ad astenersi in futuro dal trattare o far trattare i suoi dati personali connessi alla sua candidatura, «laddove ciò accada come nel messaggio tramite il portale Xing (...) del 23 ottobre 2018». Ha richiesto altresì un importo minimo di EUR 2500 a titolo di risarcimento del danno immateriale ( 7 ). 15. [OSCURATO:PERSONA] (Tribunale del Land) ha accolto parzialmente la domanda, condannando la [OSCURATO:PERSONA] ad astenersi dal porre in essere la condotta contestata e a pagare a IP la somma di EUR 1000, maggiorata degli interessi. 16. [OSCURATO:PERSONA] ha interposto appello avverso la sentenza di primo grado dinanzi all’Oberlandesgericht (Tribunale superiore del Land, Germania), che l’ha accolto solo in parte revocando il diritto al risarcimento e respingendo l’appello quanto al resto. 17. Secondo il giudice d’appello: – in virtù dell’articolo 17, paragrafo 1, del RGPD, IP può proporre un’azione inibitoria affinché la [OSCURATO:PERSONA] si astenga dal trattamento dei suoi dati personali, qualora ciò avvenga nella forma del messaggio del 23 ottobre 2018. Il giudice d’appello ha ritenuto che, in tal senso, sussistesse un rischio di recidiva; – a IP non spettava un diritto a un risarcimento ai sensi dell’articolo 82 del RGDP, non avendo dimostrato il verificarsi di un danno. 18. Avverso tale decisione è diretto il ricorso per cassazione («Revision») proposto da [OSCURATO:PERSONA], che insiste in toto nelle proprie pretese. Dal suo canto, la [OSCURATO:PERSONA] richiede, nel suo ricorso per cassazione («Revision»), il rigetto integrale della domanda. 19. In tale contesto, il Bundesgerichtshof (Corte federale di giustizia, Germania) sottopone alla Corte di giustizia sei questioni pregiudiziali, delle quali trascrivo la prima, la seconda, la terza e la sesta ( 8 ), formulate nei seguenti termini: «1) a) Se l’articolo 17 del RGPD debba essere interpretato nel senso che l’interessato, i cui dati personali siano stati illecitamente divulgati dal titolare del trattamento mediante trasmissione abbia diritto a un’azione nei confronti del titolare del trattamento intesa ad inibire una nuova trasmissione illecita di tali dati, laddove lo stesso non esiga dal titolare del trattamento la cancellazione dei dati. b) Se una siffatta azione inibitoria possa derivare (anche) dall’articolo 18 del RGPD o da un’altra disposizione del RGPD. 2) In caso di risposta affermativa alle questioni sub 1a) e/o 1b): a) Se il diritto a proporre un’azione inibitoria ai sensi del diritto dell’Unione sussista solo qualora in futuro si debbano temere ulteriori violazioni dei diritti dell’interessato derivanti dal RGPD (rischio di recidiva). b) Se si possa presumere l’esistenza di un rischio di recidiva a causa della violazione del RGPD già esistente. 3) In caso di risposta negativa alle questioni sub 1a) e 1b): Se l’articolo 84 in combinato disposto con l’articolo 79 del RGPD debba essere interpretato nel senso che consente al giudice nazionale di riconoscere ai sensi delle disposizioni del diritto nazionale all’interessato, i cui dati personali siano stati divulgati illecitamente dal titolare del trattamento mediante trasmissione, oltre al risarcimento del danno materiale o immateriale ai sensi dell’articolo 82 del RGPD e ai diritti derivanti dall’articolo 17 e dall’articolo 18 del RGPD, un’azione nei confronti del titolare del trattamento intesa a inibire una nuova trasmissione illecita di tali dati. 6) In caso di risposta affermativa alle questioni sub 1a), 1b) o 3: Se l’articolo 82, paragrafo 1, del RGPD debba essere interpretato nel senso che, in sede di quantificazione dell’importo del danno immateriale da risarcire, possa essere preso in considerazione, per poterlo ridurre, il fatto che all’interessato spetti, oltre al diritto al risarcimento del danno, un’azione inibitoria». III. Procedimento dinanzi alla Corte di giustizia 20. La domanda di pronuncia pregiudiziale è pervenuta alla cancelleria della Corte il 7 novembre 2023. 21. Hanno presentato osservazioni scritte IP, la [OSCURATO:PERSONA] e la Commissione europea. Non è stato ritenuto indispensabile lo svolgimento di un’udienza. IV. Analisi 22. Su indicazione della Corte di giustizia, nelle presenti conclusioni mi limiterò a trattare la prima, la seconda, la terza e la sesta questione pregiudiziale. A. Sulla prima questione pregiudiziale 23. Il giudice del rinvio chiede se, qualora i dati personali siano stati già trattati illecitamente ai sensi del RGPD, l’interessato possa, sulla base degli articoli 17 o 18 o di un’altra disposizione dello stesso RGPD, richiedere al titolare del trattamento di astenersene ( Anspruch auf Unterlassung ) per «inibire una nuova trasmissione illecita di tali dati, laddove [l’interessato] non esiga dal titolare del trattamento la cancellazione dei dati». 24. I dubbi del giudice a quo sembrano derivare dai pareri diversi, nella dottrina e nella giurisprudenza tedesche, in merito al (presunto) diritto di richiedere, in via giudiziaria, che il titolare si astenga, in futuro, da determinati trattamenti illeciti di dati personali, analoghi a quelli già effettuati in precedenza. 25. All’origine di tale dibattito vi sarebbe il mancato riconoscimento esplicito del suddetto diritto nel RGPD. Tale assenza significherebbe, per alcuni, che un diritto simile non esiste nel RGPD medesimo e nel contempo, per altri, la possibilità di desumerlo dai suoi articoli 17 o 18 ( 9 ). 26. Tra i sostenitori della prima tesi si ha, inoltre, un’ulteriore divisione. Secondo alcuni, il RGPD istituisce un sistema chiuso, che impedirebbe di fondare sul diritto nazionale la richiesta di astensione. Altri, come avviene nel caso del giudice di primo grado nella specie, sono del parere opposto. 27. È vero che il RGPD non prevede esplicitamente nel testo un’azione inibitoria a disposizione dell’interessato affinché il titolare del trattamento illecito si astenga dal ripeterlo. Ciò nonostante, per interpretare una disposizione del diritto dell’Unione occorre tenere conto non soltanto della formulazione di quest’ultima, ma anche del suo contesto e degli obiettivi che persegue l’atto di cui fa parte, nonché eventualmente della sua genesi ( 10 ). 28. In prosieguo tratterò l’analisi della prima questione pregiudiziale alla luce di tali criteri ermeneutici. 1. Diritto di chiedere che non venga reiterato un trattamento illecito 29. In linea con quanto sostenuto dalla Commissione ( 11 ), ritengo che il diritto dell’interessato di richiedere (al titolare del trattamento dei suoi dati personali) che non venga reiterato un trattamento illecito, ove quest’ultimo si sia già verificato in precedenza, si possa dedurre dallo stesso RGPD: nello specifico, dall’articolo 5, paragrafo 1, lettera a), e dall’articolo 6, paragrafo 1, in combinato disposto con l’articolo 79, paragrafo 1, del medesimo regolamento. 30. Comprendo le riserve che può suscitare questo parere, poiché gli articoli 5 e 6 del RGPD sono inclusi nel capo II («Principi») anziché nel capo III, dedicato specificamente ai «Diritti dell’interessato». Prima facie , si potrebbe pensare che il catalogo dei diritti dell’interessato tutelati dal RGPD si esaurisca con l’elencazione di quelli contenuti nel capo III. 31. Tali riserve non mi paiono tuttavia insuperabili. 32. Sotto il titolo «Principi», il capo II del RGPD non si limita a dichiarazioni programmatiche o semplicemente utili ai fini dell’interpretazione di altre norme, anzi istituisce obblighi di legge per tutti coloro cui è rivolto il regolamento medesimo. A tali obblighi corrispondono, in contropartita e a rigor di logica, interessi soggettivi meritevoli di tutela oppure, secondo i casi, veri e propri diritti degli interessati ( 12 ). 33. L’articolo 5, paragrafo 1, del RGPD enuncia principi direttamente vincolanti e da osservare necessariamente ( 13 ). Il paragrafo 2 dello stesso articolo conferma il loro carattere normativo, in quanto traduce «il rispetto del paragrafo 1» in un obbligo materiale, imposto soprattutto al titolare del trattamento ( 14 ). Inoltre, la violazione dei «principi di base del trattamento» è passibile di sanzioni pecuniarie ( 15 ). 34. A un livello normativo superiore, l’articolo 8 della Carta dei diritti fondamentali dell’Unione europea, dopo aver proclamato il diritto alla protezione dei dati di carattere personale, prescrive al paragrafo 2 che il trattamento di tali dati si conformi a determinate condizioni che ne garantiscono la liceità («Tali dati devono essere trattati secondo il principio di lealtà, per finalità determinate e in base al consenso della persona interessata o a un altro fondamento legittimo previsto dalla legge»). 35. La violazione, da parte del titolare del trattamento, di uno dei principi previsti agli articoli 5 e 6 del RGPD implica l’illiceità di tale trattamento. Nella stessa misura, un trattamento illecito dei dati personali viola il diritto alla protezione dei dati personali. 36. Con ciò non intendo dire che qualsiasi violazione delle norme del RGPD causi automaticamente l’illiceità del trattamento dei dati personali ( 16 ). Orbene, nel caso in cui la violazione del RGPD sia di gravità tale da ledere, di per sé, i principi che regolano il trattamento, ribadisco che l’illiceità di quest’ultimo implica la violazione del diritto stesso alla protezione dei dati personali. 37. Per quanto concerne il principio della liceità del trattamento, la Corte di giustizia: – ne ha riconosciuto il carattere obbligatorio, ricordando costantemente che ogni trattamento di dati personali deve essere conforme al principio di liceità ( 17 ); – ha sottolineato la «portata degli obblighi a carico del titolare del trattamento derivanti dall’articolo 5, paragrafo 1, lettera a), e dall’articolo 6, paragrafo 1, [del RGPD]» ( 18 ). Tale portata è specificata negli articoli da 7 a 11 del regolamento: il trattamento di dati personali, per essere lecito, deve altresì rispettare tali disposizioni ( 19 ). 38. Esiste dunque, come contropartita immediata del precetto dell’articolo 5, paragrafo 1, lettera a), e dell’articolo 6, paragrafo 1, del RGPD, un diritto dell’interessato a che ogni trattamento dei suoi dati personali sia lecito . Credo che questo sia il postulato da cui si deve partire, benché tale diritto non traspaia in maniera esplicita dal capo III del RGPD. 39. Difatti, se il capo III del RGPD, dedicato ai diritti dell’interessato, non contiene in quanto tale il riconoscimento del diritto a che il trattamento dei suoi dati personali sia lecito, ciò è dovuto al fatto che detto riconoscimento esplicito risulta superfluo: è sufficiente la lettura degli articoli 5 e 6 del RGPD per dedurre che tale diritto è dato per scontato. 40. Rendere esplicito in tale regolamento, a integrazione di quanto è già stato proclamato nell’articolo 5, un diritto a che ogni trattamento di dati personali si fondi su una base legittima non era, lo ribadisco, indispensabile ( 20 ). Per motivi di uniformità, e ai fini della certezza del diritto a beneficio di tutte le parti, sarebbe stato sufficiente specificare e delineare tali basi nello stesso RGPD. 41. Quanto al resto, non sono sicuro che i diritti dell’interessato siano esclusivamente quelli specificati nel capo III del RGPD, in cui si possono trovare altri diritti il cui esercizio deve essere agevolato, in primo luogo, dal titolare del trattamento ( 21 ). A titolo esemplificativo, il diritto di revocare il proprio consenso è contemplato all’articolo 7, paragrafo 3, del RGPD e non è compreso in quanto tale nel capo III di detto regolamento. 42. A mio parere, il diritto dell’interessato di richiedere che il titolare del trattamento non reiteri un trattamento illecito, analogo a quello già verificatosi in precedenza, può essere incluso come corollario del diritto dell’interessato medesimo a che ogni trattamento dei suoi dati personali sia lecito. 43. A tale diritto ( ius ) è abbinato un meccanismo di reazione giudiziaria ( actio ) indispensabile ai fini del RGPD, meccanismo cui fa riferimento l’articolo 79 di detto regolamento; altrimenti, la tutela giuridica assicurata per i dati personali sarebbe imperfetta. 44. Riconoscere all’interessato un’azione (se del caso, dinanzi a un giudice) affinché non venga reiterato un trattamento illecito dei suoi dati corrisponde all’obiettivo, enunciato nel considerando 10 del RGPD, di garantire un livello elevato di protezione delle persone fisiche con riguardo al trattamento dei loro dati personali nell’Unione. Il considerando 11 del RGDP enuncia, inoltre, che un’efficace protezione dei dati personali presuppone il rafforzamento dei diritti degli interessati ( 22 ). 45. Tra i poteri dell’autorità di controllo previsti dall’articolo 58, paragrafo 2, lettere d) e f), del RGPD si annoverano, rispettivamente, quello di ingiungere di conformare il trattamento a tale regolamento in una determinata maniera e quello di imporre limitazioni provvisorie o definitive ai trattamenti di dati, incluso il divieto di trattamento. Un reclamo dell’interessato a norma dell’articolo 77, paragrafo 1, del RGPD può comportare l’avvio di tali azioni. 46. Il fatto di dotare l’autorità di controllo dei suddetti poteri è pienamente compatibile con il ricorso da parte dell’interessato, qualora lo ritenga opportuno, a un organo giurisdizionale per richiedere la tutela effettiva dei suoi diritti violati. A tal fine, l’interessato può esperire un’azione giudiziaria nei confronti del titolare del trattamento, ai sensi dell’articolo 79, paragrafo 1, del RGPD ( 23 ). Nulla osta a che, tra le pretese avanzate tramite tale azione, figuri quella di condannare il titolare a non reiterare un trattamento illecito. 47. Alla luce di quanto esposto, ritengo che l’interessato disponga sia del diritto ( ius ) a che il titolare del trattamento si astenga dal reiterare un trattamento illecito ai sensi del RGPD sia della possibilità di ricorrere a un organo giurisdizionale ( actio ) affinché imponga l’obbligo di astensione al suddetto titolare. 48. Una domanda dell’interessato in tal senso è conforme al contenuto tipico dell’articolo 79, paragrafo 1, del RGPD, ossia può rientrare fra i meccanismi di un ricorso effettivo messi a sua disposizione da detto regolamento ( 24 ). Occorre considerare che il risarcimento, in quanto rimedio ai danni già causati dalla violazione del RGPD, è disciplinato specificamente all’articolo 82 e che la sua funzione è «esclusivamente compensativa», e non dissuasiva o punitiva ( 25 ). 49. Contrariamente alla tesi che sostengo, la [OSCURATO:PERSONA] afferma ( 26 ) che, durante il processo di elaborazione del RGPD, alla fine non è stata approvata una proposta della Commissione secondo cui «gli [OSCURATO:PERSONA] membri provvedono affinché i ricorsi giurisdizionali previsti dal diritto nazionale consentano di prendere rapidamente provvedimenti, anche provvisori, atti a porre fine alle asserite violazioni e impedire ulteriori danni agli interessi in causa » ( 27 ). 50. Non mi sembra, tuttavia, che la scomparsa di questo paragrafo nel suo passaggio al Consiglio sia indicativa della finalità legislativa di «non integrare diritti all’attuazione di misure urgenti per prevenire ulteriori danni nella versione finale del RGPD» ( 28 ) e neppure che si tratti di una dimenticanza ( 29 ). Credo, piuttosto, che le modifiche subite dalla proposta della Commissione in tale punto rispondano alla volontà di conferire un impianto sistematico più corretto al capo VIII originale («Ricorsi, responsabilità e sanzioni») nel suo complesso. 51. Difatti, sotto i titoli «Diritto a un ricorso giurisdizionale contro il responsabile del trattamento o l’incaricato del trattamento» e «Norme comuni per i procedimenti giurisdizionali», rispettivamente, gli articoli 75 e 76 della proposta disciplinavano una pluralità di casi privi di coesione ( 30 ). Nel nuovo impianto sistematico del capo, il diritto alla tutela giurisdizionale dei diritti dell’interessato è stato trasferito nell’articolo 79 del RGPD, dove è logico presumere che siano previste, quali manifestazioni caratteristiche di un ricorso giurisdizionale effettivo ( 31 ), le azioni per impedire il reiterarsi di un trattamento illecito dei dati personali. 2. Possibilità di dedurre in giudizio il diritto di proporre un’azione inibitoria affinché non sia reiterato un trattamento illecito sulla base degli articoli 17 o 18 del RGPD 52. Il giudice del rinvio formula la sua prima questione pregiudiziale riferendosi agli articoli 17 e 18 oppure a «un’altra disposizione del RGPD», come potenziali basi del diritto dell’interessato di proporre un’azione inibitoria affinché il titolare del trattamento si astenga dal reiterare la trasmissione illecita dei suoi dati personali. 53. Da parte mia, come ho già esposto, ritengo che tale base sia fornita dagli articoli 5 e 6, in combinato disposto con l’articolo 79, del RGPD, rendendo superflua la trattazione dell’incidenza degli articoli 17 e 18 del regolamento medesimo in merito a tale punto. 54. Per completezza, tuttavia, mi occuperò di seguito delle due disposizioni suddette, esponendo i motivi che, a mio parere, impediscono di dedurre in giudizio il diritto summenzionato: – dall’articolo 17 del RGPD, qualora l’interessato non richieda la cancellazione dei dati oggetto del trattamento illecito ( 32 ); oppure – dall’articolo 18 del RGPD, in particolare dal paragrafo 1, lettera b) ( 33 ). 55. In generale ( 34 ), l’interessato beneficia, nei confronti del titolare, sia del diritto alla cancellazione dei dati personali che sono stati trattati illecitamente [articolo 17, paragrafo 1, lettera d), del RGPD] sia del diritto di limitazione di trattamento [articolo 18, paragrafo 1, lettera b), del RGPD] ove quest’ultimo sia illecito e l’interessato, opponendosi alla cancellazione, chieda invece che ne sia limitato l’utilizzo. 56. A mio parere, nessuna delle due disposizioni è, di per sé, sufficiente a fondare il diritto dell’interessato a che il titolare del trattamento si astenga dal reiterare un trattamento illecito (analogo a quello già effettuato): – l’ottenimento, ai sensi dell’articolo 17, paragrafo 1, lettera d), del RGPD, della cancellazione dei dati personali oggetto di un trattamento illecito eviterà che tale trattamento si ripeta, ma ne impedirà analogamente qualsiasi altro ( 35 ), circostanza che, in alcuni casi, si risolverà a danno di tutte le parti ( 36 ); – la limitazione del trattamento dei dati, a norma dell’articolo 18, paragrafo 1, lettera b), del RGPD, non costituisce una misura tale da assicurare una tutela sufficiente contro un trattamento illecito. Con una misura analoga (soggetta a condizioni) si sospende, su richiesta dell’interessato, l’obbligo che incombe al titolare di cancellare i dati, appunto, a causa dell’illiceità del trattamento. 57. Letteralmente, l’articolo 17 del RGPD contempla i diritti alla cancellazione dei dati personali e all’oblio, stabilendo al paragrafo 1 il diritto dell’interessato di ottenere l’eliminazione dei dati personali che lo riguardano e i motivi per cui è possibile esercitarlo ( 37 ). Quando sussistono detti motivi, il titolare del trattamento deve procedere alla cancellazione dei dati «senza ingiustificato ritardo». 58. Un’interpretazione dell’articolo 17 secondo cui quest’ultimo contemplerebbe una richiesta dell’interessato diversa dalla cancellazione dei dati personali trattati contrasta con la lettera della disposizione e risulta estranea al suo oggetto. 59. Tale interpretazione genera anche difficoltà di natura sistematica: all’interno del capo III del RGPD, altri articoli contemplano diritti di limitazione del trattamento dei dati senza cancellarli ( 38 ). Ritenere che anche l’articolo 17 serva a tale scopo rischierebbe di privare di effetto utile tali altri articoli. 60. Esclusa, dunque, tale interpretazione, non mi sembra logico desumere dall’articolo 17 del RGPD un diritto di ottenere l’astensione, per il futuro, da uno specifico trattamento dei dati personali da parte dello stesso titolare che era in loro possesso. Per definizione, se il titolare fa seguito al mandato di cancellazione dei dati, non ne disporrà più né potrà, di fatto, trattarli ( 39 ). 61. Neppure l’articolo 18 del RGPD conferisce all’interessato il diritto a che il titolare si astenga dal reiterare il trattamento illecito dei suoi dati personali, analogo a quello già effettuato. 62. Sotto il titolo «Diritto di limitazione di trattamento», l’articolo 18 del RGPD conferisce all’interessato facoltà alternative a quella di richiedere la cancellazione dei suoi dati personali. Si tratta di facoltà che gli vengono attribuite con un contenuto preciso, a determinate condizioni e per un tempo limitato. L’articolo 18 del RGPD permette, altresì, all’interessato di opporsi alla cancellazione di tali dati. 63. L’obiettivo della disposizione è conciliare gli interessi della persona i cui dati sono oggetto di trattamento con quelli del relativo titolare, in caso di disaccordo tra i due sulla necessità di rettificare [paragrafo 1, lettera a)] o eliminare tali dati [paragrafo 1, lettere b) e c)] o su quale interesse debba prevalere, in caso di opposizione dell’interessato a un trattamento ai sensi dell’articolo 21, paragrafo 1, del RGPD [paragrafo 1, lettera d)]. 64. L’esercizio del diritto di limitazione di trattamento comporta come conseguenza il fatto che i «dati limitati» non sono rettificati né cancellati ( 40 ), riducendo tuttavia l’unico trattamento possibile alla loro conservazione ( 41 ), vale a dire alla loro memorizzazione ( 42 ). Orbene, tale conservazione non è, in realtà, una concessione al titolare del trattamento, bensì un obbligo per quest’ultimo ( 43 ), che comporta quello di adottare le misure pertinenti per garantirla ( 44 ). 65. La limitazione di trattamento a norma dell’articolo 18 del RGPD è temporanea; la sua durata dipende dal conseguimento dell’obiettivo per cui l’interessato esercita il diritto di limitare il trattamento. La temporaneità è indubbia nelle situazioni descritte all’articolo 18, paragrafo 1, lettere a) ( 45 ), c) ( 46 ) e d) ( 47 ), del RGPD, ma corrisponde anche, a mio parere, a quella della lettera b). 66. Difatti l’articolo 18, paragrafo 1, lettera b), del RGPD, il cui senso e la cui portata non sono certo chiari ( 48 ), deve essere interpretato nel suo contesto, ossia coerentemente con il resto dell’articolo 18, paragrafo 1, dello stesso strumento normativo ( 49 ). In tale quadro, esso fa parte di un binomio completato dalla lettera c), relativa a un trattamento lecito che è giunto a conclusione. In quest’ultima ipotesi, come in quella di un trattamento illecito, non è giustificata la conservazione dei dati da parte del titolare oltre il tempo necessario ( 50 ). Obbligarlo a farlo, sulla base dell’opposizione dell’interessato alla cancellazione di tali dati, è possibile solo in via provvisoria. 67. Per ragioni anche sistematiche, l’assenza alla lettera b) dell’articolo 18, paragrafo 1, del RGPD di qualsiasi riferimento ai motivi dell’interessato per opporsi alla cancellazione dei suoi dati (e chiedere, invece, che ne sia limitato l’utilizzo) non deve essere letta come un’ammissione indiscriminata di qualsiasi motivo, e tanto meno nel senso che non ne sia necessario alcuno. Piuttosto, il diritto di chiedere la limitazione del trattamento ai sensi dell’articolo 18, paragrafo 1, lettera b), deve rispondere a una finalità fondata e legittima ( 51 ). 68. La conservazione dei dati personali rappresenta un onere per il titolare del trattamento, non esente da rischi, ragion per cui deve essere richiesta al titolare solo provvisoriamente, in circostanze in cui la cancellazione di tali dati danneggerebbe interessi legittimi dell’interessato. 69. Ritengo, pertanto, che non si possa dedurre dall’articolo 18, paragrafo 1, lettera b), del RGPD neppure il diritto dell’interessato a che il titolare si astenga dal ripetere un trattamento illecito dei suoi dati personali. La finalità di tale disposizione consiste nell’evitare, provvisoriamente e per un obiettivo legittimo dell’interessato, che il titolare attui l’obbligo legale che per lui deriva dall’illiceità, cancellando senza indugio i dati personali interessati. B. Sulla terza questione pregiudiziale 70. La terza questione pregiudiziale è formulata nell’ipotesi di una risposta negativa alla prima questione. Poiché, a mio parere, gli articoli 5, 6 e 79 del GPD, interpretati nel senso che ho esposto, costituiscono un fondamento sufficiente per giustificare il diritto dell’interessato di proporre un’azione inibitoria affinché il titolare del trattamento si astenga dall’effettuare nuove trasmissioni illecite dei suoi dati personali, è superfluo esaminare se si possa giungere alla stessa soluzione basandosi su disposizioni di diritto nazionale. C. Sulla seconda questione pregiudiziale 71. La seconda questione pregiudiziale presuppone che il RGPD conferisca all’interessato il diritto a che il titolare si astenga dall’effettuare un trattamento illecito dei dati personali, analogo a quello già verificatosi in precedenza. 72. Partendo da tale premessa, il giudice del rinvio chiede se tale diritto dipenda dall’esistenza di un rischio di recidiva e, in caso affermativo, se di tale rischio «si possa presumere l’esistenza (...) a causa della violazione del RGPD già esistente». 73. Poiché il RGPD non disciplina il regime delle azioni inibitorie intese a prevenire la reiterazione del trattamento illecito dei dati personali, spetta a ciascuno Stato membro stabilirne le modalità in virtù del principio di autonomia processuale. 74. Tali modalità non devono essere meno favorevoli di quelle applicabili ai ricorsi previsti per la protezione dei diritti che derivano dall’ordinamento nazionale (principio di equivalenza), né essere strutturate in modo da rendere in pratica impossibile o eccessivamente difficile l’esercizio dei diritti conferiti dall’ordinamento giuridico dell’Unione (principio di effettività) ( 52 ). 75. Dalle informazioni che fornisce la decisione di rinvio, non si deduce che le norme nazionali sull’esercizio di un’azione intesa a prevenire la reiterazione di un trattamento illecito dei dati personali non siano conformi ai due suddetti principi: – prima facie , tali norme sono le stesse previste dal diritto nazionale per situazioni analoghe. Pertanto, la tutela dei diritti conferiti dall’ordinamento giuridico dell’Unione ai singoli non è meno favorevole di quella prevista per diritti contemplati da disposizioni interne; – non sembra neppure che tali norme impongano oneri eccessivi all’interessato che intenta l’azione. È vero che, conformemente alla ripartizione abituale dell’onere della prova, l’interessato (ricorrente) dovrà dimostrare l’esistenza di un rischio di recidiva da parte del titolare del trattamento. Nulla impedisce, tuttavia, che il ricorrente si avvalga della presunzione iuris tantum dell’esistenza di detto rischio, alla luce della violazione già commessa. In virtù di tale presunzione, che ammette la prova contraria, è ammissibile l’ordine di astenersi dal reiterare il trattamento illecito, a meno che il titolare del trattamento non dimostri l’assenza del rischio di recidiva nel caso specifico. D. Sulla sesta questione pregiudiziale 76. Supponendo, ancora una volta, che all’interessato spetti un’azione giudiziaria intesa a richiedere l’astensione da un trattamento illecito dei suoi dati personali analogo a quello già effettuato in precedenza, il giudice del rinvio chiede l’interpretazione dell’articolo 82, paragrafo 1, del RGPD. 77. Intende sapere, in particolare se «in sede di quantificazione dell’importo del danno immateriale da risarcire, possa essere preso in considerazione, per poterlo ridurre, il fatto che all’interessato spetti, oltre al diritto al risarcimento del danno, un’azione [intesa a richiedere l’astensione]». 78. Dalla lettura della sentenza del Bundesgerichtshof (Corte federale di giustizia) citata nella decisione di rinvio ( 53 ), comprendo che, in Germania, al risarcimento in denaro ( Geldentschädigung ) di un danno immateriale connesso a una violazione dei diritti della persona ( allgemeine Persönlichkeitsrechte ) sono associate funzioni di soddisfazione della vittima nonché di prevenzione. In tale contesto, l’ingiunzione inibitoria emanata in via preventiva potrebbe incidere sul risarcimento, influendo sul suo ammontare o escludendo addirittura il risarcimento medesimo, nella misura in cui tale ingiunzione garantisce già la tutela necessaria ( 54 ). 79. Per il giudice del rinvio, «[c]i si chiede se (...) tali principi possano essere applicati (...) al diritto al risarcimento del danno immateriale ai sensi dell’articolo 82, paragrafo 1, del RGPD (...)». 80. Il risarcimento di un danno causato da un trattamento illecito dei dati, come richiede l’articolo 82, paragrafo 1, del RGPD, si ispira a una concezione diversa da quella che emerge nella sesta questione pregiudiziale. Ne consegue che, a mio avviso, la risposta a tale questione deve essere negativa. 81. Il risarcimento previsto dall’articolo 82, paragrafo 1, del RGPD riguarda qualsiasi danno, materiale e immateriale, subito a causa di una violazione del regolamento. La nozione di «danno immateriale», ai sensi di tale disposizione, deve ricevere una definizione autonoma e uniforme ( 55 ). 82. La Corte di giustizia ha interpretato in senso ampio il concetto di danno immateriale. Ha dichiarato, in particolare, che «il timore di un potenziale utilizzo abusivo dei suoi dati personali da parte di terzi che un interessato nutre a seguito di una violazione del medesimo regolamento può, di per sé, costituire un “danno immateriale”, ai sensi di tale articolo 82, paragrafo 1» ( 56 ). 83. Secondo tale interpretazione, l’articolo 82, paragrafo 1, del RGPD non opera una distinzione tra la fattispecie in cui l’utilizzo abusivo da parte di terzi dei dati personali si sia già prodotto, alla data della domanda di risarcimento, e quella in cui il danno immateriale lamentato dall’interessato sia collegato al timore che un siffatto utilizzo possa prodursi in futuro ( 57 ). 84. Una volta che la parte lesa abbia dimostrato di avere subito effettivamente un danno, le spetta un risarcimento tale da compensarlo integralmente ( 58 ), a prescindere dalla sua entità ( 59 ). 85. Secondo una giurisprudenza consolidata della Corte di giustizia, il risarcimento integrale persegue esclusivamente una finalità compensativa. Pur ammettendo che il diritto di chiedere il risarcimento di un danno possa anche scoraggiare la reiterazione di comportamenti illeciti, la Corte di giustizia sostiene che la finalità del risarcimento di cui all’articolo 82 del RGPD non è dissuasiva né punitiva ( 60 ). 86. Alla luce di tale giurisprudenza, si può affermare quanto segue: – l’obiettivo del risarcimento richiesto od ottenuto ai sensi dell’articolo 82 del RGPD non coincide con quello delle azioni inibitorie, proposte affinché il titolare non reiteri, in futuro, un trattamento illecito dei dati analogo a quello già effettuato; – un’ingiunzione inibitoria, volta a evitare la reiterazione di comportamenti che hanno causato danni affinché non ne avvengano altri, non risarcisce quelli già subiti. 87. Richiedere un’ingiunzione inibitoria affinché non si ripeta un trattamento di dati in contrasto con il RGPD presuppone l’esistenza di un certo rischio che tale trattamento si ripeta in futuro. Se si adotta la misura, detto rischio sarà scongiurato e risulterà difficile giustificare un timore basato sulla possibilità di reiterazione del trattamento illecito per chiedere con successo un risarcimento. L’ingiunzione inibitoria non risarcisce invece a posteriori il danno immateriale, subito prima della sua adozione, che era associato a detto timore. 88. In sintesi, in sede di quantificazione dell’importo del danno immateriale derivante da un trattamento illecito, da risarcire perché si è già prodotto, non può essere considerata un’attenuante il fatto che all’interessato, oltre al diritto al risarcimento, spetti anche un’azione intesa a richiedere, pro futuro , l’inibizione dal reiterare un trattamento illecito analogo a quello già effettuato. V. Conclusione 89. Alla luce delle suesposte considerazioni, propongo di rispondere alla prima, alla seconda, alla terza e alla sesta questione pregiudiziale formulate dal Bundesgerichtshof (Corte federale di giustizia, Germania) nei seguenti termini: «Il combinato disposto dell’articolo 5, paragrafo 1, lettera a), dell’articolo 6, paragrafo 1, dell’articolo 79, paragrafo 1 e dell’articolo 82, paragrafo 1, del regolamento (UE) 2016/679 del [OSCURATO:PERSONA] europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), deve essere interpretato nel senso che: – ai sensi dell’articolo 5, paragrafo 1, lettera a), e dell’articolo 6, paragrafo 1, in combinato disposto con l’articolo 79, paragrafo 1, del regolamento 2016/679, l’interessato i cui dati personali siano stati illecitamente divulgati dal titolare del trattamento ha diritto di intentare un’azione affinché detto titolare si astenga, in futuro, dall’effettuare nuove trasmissioni illecite dei dati, analoghe a quelle già avvenute; – compete all’ordinamento nazionale, nel rispetto dei principi di equivalenza ed effettività, regolamentare le condizioni per esercitare l’azione inibitoria nei confronti del titolare del trattamento dei dati personali. Nulla impedisce di richiedere, a tal fine, la prova del rischio di recidiva né, se del caso, di stabilire una presunzione (relativa) di tale rischio, derivante dall’esistenza di una precedente violazione del regolamento 2016/679; – a norma dell’articolo 82, paragrafo 1, del regolamento 2016/679, in sede di quantificazione dell’importo del danno immateriale da risarcire, detto importo non è ridotto per il fatto che all’interessato, oltre al diritto al risarcimento, spetti anche quello di proporre un’azione inibitoria affinché il titolare del trattamento si astenga, in futuro, da un ulteriore trattamento illecito analogo a quello già effettuato». ( 1 ) Lingua originale: lo spagnolo. ( 2 ) Regolamento del [OSCURATO:PERSONA] europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) ( GU 2016, L 119, pag. 1 ; in prosieguo: il «RGPD»). ( 3 ) A proposito dell’articolo 82, paragrafo 1, del RGPD, v., da ultimo, sentenze del 20 giugno 2024, [OSCURATO:PERSONA] ( C‑182/22 e C‑189/22 , EU:C:2024:531 ), del 4 ottobre 2024, Agentsia po vpisvaniyata ( C‑200/23 , EU:C:2024:827 ; in prosieguo: la «sentenza Agentsia po vpisvaniyata»), e del 4 ottobre 2024, Patērētāju tiesību aizsardzības centrs ( C‑507/23 , EU:C:2024:854 ; in prosieguo: la «sentenza Patērētāju tiesību aizsardzības centrs»). ( 4 ) Sentenze del 28 aprile 2022, [OSCURATO:PERSONA] ( C‑319/20 , EU:C:2022:322 ), e del 4 ottobre 2024, Lindenapotheke ( C‑21/23 , EU:C:2024:846 ). In tali cause si perseguiva la cessazione di una pratica ritenuta sleale in quanto non conforme ai requisiti di legge per ottenere un valido consenso dell’interessato ai sensi del RGPD. In entrambi i casi, la finalità consisteva nella protezione dei dati personali per mezzo di azioni inibitorie in base a norme volte a tutelare i consumatori o a combattere le pratiche commerciali sleali: la violazione del RGPD costituiva la situazione di fatto disciplinata da tali norme. Le questioni sottoposte alla Corte di giustizia vertevano sulla legittimazione dei ricorrenti nelle rispettive controversie. ( 5 ) Codice civile tedesco (in prosieguo: il «BGB»). ( 6 ) Al punto 10, la decisione di rinvio spiega che, in tal caso, la disposizione si applicherebbe per analogia alla violazione di diritti assoluti ai sensi dell’articolo 823, paragrafo 1, del BGB o alla violazione di una delle norme del tipo cui si fa riferimento al paragrafo 2 di quest’ultima disposizione. ( 7 ) A sostegno della sua domanda di risarcimento, IP afferma che il danno immateriale subito non risiede nella perdita astratta di controllo sui dati divulgati, bensì nel fatto che adesso almeno un’altra persona, che conosce lo stesso IP e i suoi datori di lavoro potenziali e precedenti, sia a conoscenza di circostanze che sono soggette a riservatezza. Teme che detta persona, che lavora nello stesso settore, abbia divulgato i dati contenuti nel messaggio oppure, grazie alla loro conoscenza, abbia potuto procurarsi un vantaggio quale concorrente per eventuali posti disponibili nel mercato del lavoro. Aggiunge di avvertire il rifiuto delle sue aspettative di retribuzione come un’umiliazione che non avrebbe rivelato a terzi, soprattutto non a potenziali concorrenti. ( 8 ) V. infra , paragrafo 22. ( 9 ) V. riferimenti citati nei punti 21 e 29 della decisione di rinvio. ( 10 ) Sentenza del 21 dicembre 2023, [OSCURATO:PERSONA] ( C‑667/21 , EU:C:2023:1022 ), punto 37 . ( 11 ) Osservazioni scritte della Commissione, punti 11 e segg., benché senza un riferimento esplicito all’articolo 5 del RGPD. ( 12 ) Ai sensi dell’articolo 1, paragrafo 2, il RGPD «protegge i diritti e le libertà fondamentali delle persone fisiche, in particolare il diritto alla protezione dei dati personali». Il RGPD è dunque idoneo a generare obblighi in immediata relazione con tali persone fisiche e non solo nell’interesse pubblico o generale. ( 13 ) La formula imperativa si trova almeno nelle seguenti versioni linguistiche: «los datos personales serán» (versione spagnola); «personal data shall be» (versione inglese); «les données à caractère personnel doivent être» (versione francese); «[OSCURATO:PERSONA] müssen» (versione tedesca). ( 14 ) A norma dell’articolo 5, paragrafo 2, del RGPD, «[i]l titolare del trattamento è competente per il rispetto del paragrafo 1 e in grado di comprovarlo (“responsabilizzazione”)». A tal fine il titolare deve accertare la liceità del trattamento. V. sentenza del 4 maggio 2023, [OSCURATO:PERSONA] (Casella di posta elettronica degli uffici giudiziari) ( C‑60/22 , EU:C:2023:373 ), punti 53 e 54 . ( 15 ) Articolo 83, paragrafo 5, lettera a), del RGPD. ( 16 ) V., confrontando gli obblighi imposti dagli articoli 26 e 30 del RGPD e quelli derivanti dagli articoli 5 e 6, la sentenza del 4 maggio 2023, [OSCURATO:PERSONA] (Casella di posta elettronica degli uffici giudiziari) ( C‑60/22 , EU:C:2023:373 ), punti 59 e segg. ( 17 ) Sentenza del 4 maggio 2023, [OSCURATO:PERSONA] (Casella di posta elettronica degli uffici giudiziari) ( C‑60/22 , EU:C:2023:373 ), punto 57 : «ogni trattamento di dati personali deve essere conforme ai principi relativi al trattamento dei dati elencati all’articolo 5, paragrafo 1, di tale regolamento, e soddisfare le condizioni di liceità del trattamento dati enumerate all’articolo 6 di detto regolamento». V., altresì, sentenza del 1o ottobre 2015, Bara e a. ( C‑201/14 , EU:C:2015:638 ), in relazione alla norma antecedente al RGPD, ossia la direttiva 95/46/CE del [OSCURATO:PERSONA] europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati ( GU 1995, L 281, pag. 31 ). La realizzazione del trattamento in maniera lecita era presente nell’articolo 6 della direttiva 95/46 tra i «principi relativi alla qualità dei dati» e le basi della liceità lo erano nell’articolo 7 in quanto «principi relativi alla legittimazione del trattamento dei dati». ( 18 ) Sentenza del 21 dicembre 2023, [OSCURATO:PERSONA] ( C‑667/21 , EU:C:2023:1022 ), punto 77 , con ulteriori riferimenti. ( 19 ) Ibidem. ( 20 ) Adottando come punto di partenza la direttiva 95/46, la situazione era diversa per altre declinazioni (sotto forma di diritti dell’interessato) dei principi del trattamento di dati personali; alcuni dei diritti connessi a tali principi erano già presenti nella direttiva 95/46 e il RGPD li specifica, come spiegati nel considerando 9. Altri non figuravano in tale direttiva e la loro aggiunta nel regolamento ha generato resistenze, soprattutto per la necessità di stabilire un equilibrio fra tali diritti e altri: ciò è avvenuto, in particolare, con il diritto alla cancellazione dei dati personali sotto forma di «diritto all’oblio». ( 21 ) Articolo 12, paragrafo 2, del RGPD. ( 22 ) Da tali enunciati la Corte di giustizia ha dedotto altre conseguenze, non previste testualmente nel RGPD: v. sentenze del 28 aprile 2022, [OSCURATO:PERSONA] ( C‑319/20 , EU:C:2022:322 ) e del 4 ottobre 2024, Lindenapotheke ( C‑21/23 , EU:C:2024:846 ), relativamente alla legittimazione attiva dinanzi ai giudici civili ai sensi del capo VIII del RGPD. ( 23 ) L’articolo 79, paragrafo 1, del RGPD evidenzia che il diritto a un ricorso giurisdizionale effettivo è riconosciuto «[f]atto salvo ogni altro ricorso amministrativo o extragiudiziale disponibile, compreso il diritto di proporre reclamo a un’autorità di controllo (...)». V. anche sentenze del 28 aprile 2022, [OSCURATO:PERSONA] ( C‑319/20 , EU:C:2022:322 ), punto 54 , e del 12 gennaio 2023, [OSCURATO:PERSONA] és [OSCURATO:PERSONA] ( C‑132/21 , EU:C:2023:2 ), punti 34 , 35 e 42 . ( 24 ) Come ulteriore argomento ricordo che, in virtù dell’articolo 80, paragrafo 2, del RGPD, gli [OSCURATO:PERSONA] membri possono disporre che determinati organismi esercitino i diritti di cui all’articolo 79 del regolamento medesimo senza mandato da parte degli interessati. Spesso le azioni di tali organismi svolgono una funzione preventiva. Ritenere che l’articolo 79, paragrafo 1, non includa detto tipo di tutela svuoterebbe tale disposizione (e il summenzionato articolo 80, paragrafo 2, del RGPD) di gran parte del suo significato. ( 25 ) Sentenze del 20 giugno 2024, [OSCURATO:PERSONA] ( C‑182/22 e C‑189/22 , EU:C:2024:531 ), punto 23 , Agentsia po vpisvaniyata, punto 153, e Patērētāju tiesību aizsardzības centrs, punti 40 e segg. La Corte di giustizia ha riconosciuto che il diritto di chiunque a chiedere il risarcimento di un danno ai sensi dell’articolo 82 del RGPD «rafforza l’operatività della norme di protezione previste da tale regolamento ed è atto a scoraggiare la reiterazione di comportamenti illeciti»: sentenze del 4 maggio 2023, [OSCURATO:PERSONA] (Danno immateriale inerente al trattamento di dati personali) ( C‑300/21 , EU:C:2023:370 ), punto 40 , dell’11 aprile 2024, juris ( C‑741/21 , EU:C:2024:288 ), punto 59 , e del 20 giugno 2024, [OSCURATO:PERSONA] ( C‑182/22 e C‑189/22 , EU:C:2024:531 ), punto 22 . Ciò nonostante, esclude che la finalità stessa della disposizione sia quella di scoraggiare futuri trattamenti illeciti. ( 26 ) Osservazioni scritte della [OSCURATO:PERSONA], punto 1, in fine . ( 27 ) Il corsivo è mio. Si trattava dell’articolo 76, paragrafo 5, della proposta di regolamento del [OSCURATO:PERSONA] europeo e del Consiglio concernente la tutela delle persone fisiche con riguardo al trattamento dei dati personali e la libera circolazione di tali dati (regolamento generale sulla protezione dei dati), COM(2012) 11 final, che riprendeva l’articolo 18, paragrafo 1, della direttiva 2000/31/CE del [OSCURATO:PERSONA] europeo e del Consiglio, dell’8 giugno 2000, relativa a taluni aspetti giuridici dei servizi della società dell’informazione, in particolare il commercio elettronico, nel mercato interno («Direttiva sul commercio elettronico») ( GU 2000, L 178, pag. 1 ). [OSCURATO:PERSONA] non ha suggerito modifiche da apportare a tale punto. ( 28 ) Osservazioni scritte della [OSCURATO:PERSONA], punto 1, in fine . ( 29 ) Spiegazione alternativa proposta, e respinta, dalla [OSCURATO:PERSONA], ibidem . ( 30 ) L’articolo 75 disciplinava la legittimazione dell’interessato, la competenza giurisdizionale internazionale, il cumulo di procedimenti giudiziari e amministrativi nell’ambito del meccanismo di coerenza e l’esecuzione di decisioni giudiziarie di altri [OSCURATO:PERSONA] membri. Dal suo canto, l’articolo 76 contemplava la legittimazione di organismi aventi per oggetto la tutela dei diritti e degli interessi delle persone coinvolte per quanto riguarda la protezione dei loro dati personali, nonché quella delle autorità di controllo, la comunicazione tra organi giurisdizionali di diversi [OSCURATO:PERSONA] membri, il cumulo di procedimenti in due o più [OSCURATO:PERSONA] membri e l’oggetto delle misure di tutela. ( 31 ) Tale termine, invece, non figurava nella proposta, che si limitava a fare riferimento all’adozione rapida di provvedimenti. ( 32 ) Questa precisazione figura nella stessa questione del giudice del rinvio. ( 33 ) Questa precisazione figura al punto 21 della decisione di rinvio. ( 34 ) In alcuni casi, l’esercizio dei diritti alla cancellazione dei dati o alla limitazione del trattamento non è possibile o non nella loro interezza: v. l’articolo 17, paragrafo 3 (trattamenti necessari per determinate finalità) e l’articolo 23 del RGPD. Sulla stessa linea si trova l’articolo 18, paragrafo 2, del RGPD, in cui si fa cenno al trattamento dei dati nell’interesse di persone diverse dall’interessato o per motivi di interesse pubblico. Logicamente, non si può ottenere il divieto dei trattamenti autorizzati da tali norme né un’azione inibitoria affinché ci si astenga dai suddetti trattamenti. ( 35 ) La conservazione da parte del titolare del trattamento dei dati personali tenuto a cancellarli è una circostanza eccezionale: v. l’articolo 17, paragrafo 3, e il considerando 65 del RGPD. Di norma, l’obbligo di cancellare determinati dati comporta anche la loro distruzione. ( 36 ) In una situazione «mista», in cui sui medesimi dati sono effettuati trattamenti leciti e illeciti, la conservazione dei primi può operare a favore non solo del loro titolare, ma anche dell’interessato. Per esempio, nel caso di specie, è ragionevole supporre che il trattamento (lecito) dei dati personali di IP sia necessario per quest’ultimo, perché senza tale trattamento egli non potrebbe, di fatto, partecipare alla procedura di selezione del personale della [OSCURATO:PERSONA]. ( 37 ) Tra questi, vi è il fatto che i dati personali siano stati trattati illecitamente: articolo 17, paragrafo 1, lettera d), del RGPD. ( 38 ) Ad esempio gli articoli 18 (diritto di limitazione di trattamento) o 21 (diritto di opposizione). ( 39 ) Supra , nota 35. La proposta della Commissione, all’articolo 17, paragrafo 1, riconosceva all’interessato il diritto «di ottenere dal responsabile del trattamento la cancellazione di dati personali che lo riguardano» e aggiungeva «e la rinuncia a un’ulteriore diffusione di tali dati (...)». Questo inciso è stato ritenuto «meaningless» da alcune delegazioni degli [OSCURATO:PERSONA] membri, con cui si è dichiarata d’accordo anche la presidenza del Consiglio poiché, una volta eliminati i dati, la loro diffusione non è più possibile: v. Nota della presidenza del Consiglio al gruppo «Protezione dei dati», documento 16529/12, del 4 dicembre 2012, nota 245. Si è ritenuto superfluo anche il paragrafo 8 del summenzionato articolo 17, a norma del quale «[q]uando provvede alla cancellazione, il responsabile del trattamento si astiene da altri trattamenti di tali dati personali»: ibidem , nota 270. ( 40 ) Temporaneamente: v. paragrafi seguenti delle presenti conclusioni. ( 41 ) Articolo 18, paragrafo 2, del RGPD. Limitato il trattamento conformemente all’articolo 18, paragrafo 1, del RGPD e, fino a quando non venga eliminata la restrizione, qualsiasi trattamento dei dati personali interessati diverso dalla loro conversazione è eccezionale e dipende dalla sussistenza di uno dei motivi previsti dal summenzionato articolo 18, paragrafo 2. ( 42 ) Il termine «memorizzazione» è impiegato in alcune versioni linguistiche del RGPD, come quella inglese («storage») e quella tedesca («Speicherung»). La direttiva 95/46, dal suo canto, utilizzava il termine «congelamento» nel suo articolo 12, lettera b), mentre il regolamento (CE) n. 45/2001 del [OSCURATO:PERSONA] europeo e del Consiglio, del 18 dicembre 2000, concernente la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari, nonché la libera circolazione di tali dati ( GU 2001, L 8, pag. 1 ), utilizza il termine «blocco» all’articolo 15, paragrafo 1, lettera c). Tutte queste nozioni evocano l’idea di «congelamento» dei dati personali. ( 43 ) Particolarmente chiaro nelle circostanze previste alle lettere b) e c). ( 44 ) La conservazione presuppone non solo la memorizzazione dei dati, ma anche operazioni tecniche come il loro contrassegno (che, ai sensi dell’articolo 4, punto 3, del RGPD, è la definizione della «limitazione di trattamento») o quelle descritte nel considerando 67 del RGPD, che consentono di riconoscere i dati interessati, isolarli e proteggerli da qualsiasi trattamento. ( 45 ) «(…) per il periodo necessario al titolare del trattamento per verificare l’esattezza [dei dati]». ( 46 ) Mentre all’interessato occorrono i dati «per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria». ( 47 ) «(…) in attesa della verifica in merito all’eventuale prevalenza dei motivi legittimi del titolare del trattamento rispetto a quelli dell’interessato». ( 48 ) I dubbi espressi in merito hanno fatto sì che, nei negoziati all’interno del Consiglio, tale punto della proposta della Commissione, che il [OSCURATO:PERSONA] non ha contestato, fosse inserito tra parentesi in un primo momento (v. Nota della presidenza del Consiglio al gruppo «Protezione dei dati», documento 16529/12, del 4 dicembre 2012, nota 275) per poi scomparire direttamente. La sua successiva ricomparsa per essere sottoposto alle delegazioni si spiega (a mio parere discutibilmente) con il fatto che la possibilità che prevede aumenta la tutela dell’interessato «without entailing additional administrative burden on controllers»: Nota della presidenza del Consiglio alle delegazioni in vista del dialogo a tre, documento 11696/15, del 4 settembre 2015, pag. 9, in cui si chiede inoltre alle delegazioni «to show flexibility on this point». ( 49 ) Una disposizione analoga all’articolo 18, paragrafo 1, lettera b), del RGPD esisteva nella direttiva 95/46, nonché nell’articolo 15, paragrafo 1, lettera c), del regolamento n. 45/2001. Di analogo tenore è l’articolo 20, paragrafo 1, lettera b), del regolamento (UE) 2018/1725 del [OSCURATO:PERSONA] europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE ( GU 2018, L 295, pag. 39 ). Tali disposizioni non sono state interpretate dalla Corte di giustizia e, a mio parere, suscitano gli stessi dubbi destati da quella del RGPD, ragion per cui non aiutano per la comprensione quest’ultima. ( 50 ) Considerando 39 e articolo 5, paragrafo 1, lettera e), del RGPD.V., inoltre, sentenza del 20 ottobre 2022, Digi ( C‑77/21 , EU:C:2022:805 ), punto 53 : «il principio della “limitazione della conservazione” richiede che il titolare del trattamento sia in grado di dimostrare, conformemente al principio di responsabilità (...), che i dati personali sono conservati unicamente per il periodo necessario al conseguimento delle finalità per le quali i dati sono stati raccolti o per le quali sono stati ulteriormente trattati». ( 51 ) Sarebbe valida, a mio avviso, la finalità di servire a dimostrare l’illiceità del trattamento: all’articolo 18, paragrafo 1, le lettere b) e c) avrebbero obiettivi analoghi, ma un punto di partenza diverso [l’illiceità del trattamento alla lettera b) e la sua liceità alla lettera c)]. ( 52 ) Sentenza del 12 gennaio 2023, [OSCURATO:PERSONA] és [OSCURATO:PERSONA] ( C‑132/21 , EU:C:2023:2 ), punti 45 e segg. ( 53 ) Punto 43 della decisione di rinvio. Si tratta della sentenza del 22 febbraio 2022 ([OSCURATO:PERSONA] 1175/20, ECLI:DE:BGH:2022:220222UVIZR1175.20.0). ( 54 ) Sentenza del Bundesgerichtshof (Corte federale di giustizia) del 22 febbraio 2022 ([OSCURATO:PERSONA] 1175/20, ECLI:DE:BGH:2022:220222UVIZR1175.20.0), punti 44 e 51. ( 55 ) Sentenza del 20 giugno 2024, PS (Indirizzo errato) ( C‑590/22 , EU:C:2024:536 ), punto 31 . ( 56 ) Sentenze del 20 giugno 2024, PS (Indirizzo errato) ( C‑590/22 , EU:C:2024:536 ), punto 32 e Agentsia po vpisvaniyata, punto 144. ( 57 ) Sentenza del 14 dicembre 2023, Natsionalna agentsia za prihodite ( C‑340/21 , EU:C:2023:986 ), punti 79 e 80 . ( 58 ) Sentenza Patērētāju tiesību aizsardzības centrs, punti 36 e 37. ( 59 ) Sentenza Agentsia po vpisvaniyata, punto 150. ( 60 ) Supra , nota 25. L’importo del risarcimento pecuniario deve corrispondere al danno effettivamente subito dall’interessato, senza eccedere la compensazione né rimanere a un livello inferiore: sentenze del 20 giugno 2024, PS (Indirizzo errato) ( C‑590/22 , EU:C:2024:536 ), punto 41 , e Patērētāju tiesību aizsardzības centrs, punti 43 e 44. Devono essere ignorati sia il livello di gravità della violazione e l’eventuale carattere doloso della violazione (sentenza Patērētāju tiesību aizsardzības centrs, punto 42) sia l’atteggiamento e la motivazione del responsabile del trattamento ( ibidem , punto 44) o la circostanza che più violazioni siano state commesse dal titolare del trattamento nei confronti dello stesso interessato [(sentenza dell’11 aprile 2024, juris ( C‑741/21 , EU:C:2024:288 ), punto 64 ].