Il danno da ‘‘perdita di controllo dei dati personali’’ nel pensiero della Corte di Giustizia UE

L’articolo commenta la sentenza della Corte di Giustizia UE del 4 maggio 2023 (causa C-300/21), che chiarisce i criteri di risarcibilità del danno non patrimoniale da illecito trattamento dei dati personali. La Corte afferma che la mera violazione del GDPR non basta a fondare il diritto al risarcimento: l’interessato deve dimostrare l’esistenza di un danno effettivo e di un nesso causale con la violazione. Tuttavia, non è richiesta una soglia minima di gravità del pregiudizio, essendo risarcibili anche le sofferenze interiori derivanti dalla sola perdita di controllo sui propri dati. Calabrese evidenzia come la decisione segni il definitivo superamento della tesi dell’“oggettivizzazione” del danno e introduca un modello di responsabilità imprenditoriale per rischio privacy, fondato sul principio di accountability. L’autore sottolinea infine l’assenza, nel GDPR, di criteri uniformi per la quantificazione dei danni non materiali, che potrebbe condurre a disomogeneità applicative negli ordinamenti nazionali.