Art. 82 GDPR: risarcimento danni e responsabilità del titolare

Art. 82 GDPR: quando la tua azienda rischia di pagare i danni agli utenti e come proteggerti

È successo quasi senza accorgertene. Hai comunicato i dati personali di un cliente a un terzo senza il suo consenso. Nessun attacco informatico, nessuna falla tecnica evidente: solo un'email inviata alla persona sbagliata, o un fornitore a cui non avevi mai formalizzato le istruzioni per il trattamento dei dati. Nulla di preoccupante, fino a che il cliente l’ha scoperto e si è rivolto a un legale. E qualche mese dopo, ti è arrivata una richiesta di risarcimento.

Okay, qui esageriamo, ma non è esattamente uno scenario improbabile. Anzi, è proprio il tipo di situazione regolata dall’art. 82 del GDPR, che riconosce a chiunque abbia subito un danno, materiale o immateriale, a causa di una violazione del Regolamento, il diritto di ottenere un risarcimento dal titolare o dal responsabile del trattamento. La cosa che forse non sai è che questo meccanismo è separato e cumulabile rispetto alle sanzioni amministrative del Garante. Ciò significa che puoi ricevere una multa dall’autorità di controllo e una richiesta di risarcimento civile dallo stesso interessato. 

In questo articolo vediamo cosa prevede esattamente l’art. 82, quando scatta la responsabilità, quali sono le casistiche più comuni per le PMI e, soprattutto, come ridurre il rischio di trovarti in questa situazione.

Cosa dice l’art. 82 del GDPR

Il testo del comma 1 è piuttosto chiaro: chiunque subisca un danno materiale o immateriale causato da una violazione del Regolamento ha il diritto di ottenere il risarcimento del danno dal titolare del trattamento o dal responsabile del trattamento. 

Due aspetti meritano attenzione particolare. Il primo è la platea dei responsabili: non solo il titolare del trattamento, cioè chi decide finalità e mezzi del trattamento, ma anche il responsabile del trattamento, cioè il soggetto esterno che tratta i dati per conto del titolare. Questo significa che, in linea di principio, sia l’azienda che il suo fornitore di software gestionale possono essere chiamati a rispondere. Il secondo è la presunzione di colpa invertita. Non è l’interessato a dover dimostrare che hai sbagliato: sei tu a dover dimostrare che l’evento dannoso non ti è in alcun modo imputabile. 

Vale la pena chiarire anche la differenza con le sanzioni del Garante, che molti confondono con questo meccanismo. Le sanzioni amministrative sono misure pubbliche, irrogate dall’autorità di controllo a tutela della normativa. Il risarcimento ex art. 82 è invece un diritto assicurato all’interessato: se ottiene ragione, il denaro va direttamente a lui, non allo Stato.

Cosa si intende per “danno” secondo l’art. 82

Una delle questioni più rilevanti è capire cosa può effettivamente essere risarcito. Il GDPR distingue due categorie di danno: materiale e immateriale. 

• Il danno materiale è quello economicamente misurabile: una perdita finanziaria diretta causata dalla violazione, come nel caso di un furto d’identità che porta a una frode bancaria, o di un data breach che consente a terzi di accedere a conti o credenziali.

• Il danno immateriale è più difficile da quantificare, ma è esplicitamente riconosciuto dal Regolamento: stress, ansia, perdita di controllo sui propri dati, danno reputazionale. Non serve che l’interessato abbia subito una perdita economica concreta per avanzare una richiesta.

Su questo punto è intervenuta la Corte di Giustizia dell’Unione Europea con la sentenza sul caso Österreichische Post (2023), che ha chiarito che il semplice disagio psicologico causato dalla violazione può essere sufficiente a configurare un danno risarcibile.

Detto questo, la Corte ha anche fissato una soglia minima: il semplice fastidio o la mera contrarietà non bastano. Deve esserci qualcosa di più di una reazione emotiva generica. La soglia, però, è relativamente bassa, e nella pratica i tribunali tendono a non essere eccessivamente restrittivi nella sua applicazione.

Quando scatta la responsabilità: i casi più frequenti per le PMI

Non serve un attacco informatico di alto profilo per trovarsi esposti al rischio di una richiesta di risarcimento. Nella pratica quotidiana delle PMI, le situazioni che possono far scattare la responsabilità ex art. 82 sono spesso molto ordinarie:

• Email con dati personali inviata al destinatario sbagliato: uno degli errori più comuni e più sottovalutati: se nell’allegato ci sono dati di terzi, la violazione è già avvenuta.

• Data breach non gestito correttamente: se la violazione viene ignorata o notificata in ritardo, il danno per gli interessati si aggrava, e con esso il rischio di risarcimento.

• Conservazione di dati oltre i termini previsti: mantenere attivi archivi di clienti o dipendenti ben oltre il periodo necessario espone al rischio di violazioni su dati che non avresti più dovuto avere.

• Comunicazione di dati a terzi senza consenso o base giuridica: cedere o condividere dati con partner, fornitori o associati senza una base giuridica adeguata è una delle violazioni più dirette del Regolamento.

• Profilazione senza informativa adeguata: raccogliere dati comportamentali o di navigazione senza informare correttamente gli utenti o senza avere il consenso espresso ed inequivocabile  è un’area di rischio crescente, soprattutto per chi gestisce e-commerce o campagne marketing.

• Dati sanitari o particolari trattati senza le garanzie dell’art. 9: i dati relativi alla salute, all’orientamento sessuale, alle convinzioni religiose o politiche richiedono misure specifiche. La loro esposizione genera il rischio più elevato in assoluto sia di sanzioni che di richieste di risarcimento.

Come ci si difende: le esimenti dell’art. 82 comma 3

Il Regolamento prevede la possibilità per il titolare di liberarsi dalla responsabilità, ma le condizioni sono stringenti. Il comma 3 stabilisce che il titolare o il responsabile del trattamento sono esonerati dalla responsabilità se dimostrano che l’evento dannoso non è loro in alcun modo imputabile. Nella pratica, le strade percorribili sono tre:

• L’evento era del tutto imprevedibile e non prevenibile con le normali misure di diligenza;

• Si tratta di forza maggiore, cioè di un evento esterno straordinario e inevitabile;

• Il danno è stato causato esclusivamente dal comportamento dell’interessato stesso.

Il problema è che queste esimenti sono difficili da applicare nella pratica. I tribunali tendono a interpretarle in modo restrittivo e il risultato è una responsabilità quasi oggettiva de facto: basta che la violazione sia avvenuta e che non si riesca a dimostrare l’assenza di colpa per trovarsi esposti.

Ecco perché la documentazione diventa lo strumento difensivo più efficace a disposizione del titolare: un registro dei trattamenti aggiornato, contratti di responsabilità esterna ben redatti, misure di sicurezza documentate e procedure interne verificabili sono, in caso di contenzioso, la differenza tra una difesa credibile e una posizione indifendibile.

Responsabilità solidale: cosa succede se c’è un tuo fornitore in mezzo

Uno degli aspetti più insidiosi dell’art. 82 riguarda le situazioni in cui nel trattamento è coinvolto un soggetto esterno. Il comma 4 stabilisce che, quando più soggetti sono responsabili dello stesso danno, rispondono in solido. Questo significa che l’interessato può rivolgersi indifferentemente a ciascuno di loro per l’intero importo del risarcimento.

Un esempio dalla pratica quotidiana: il tuo software gestionale è in cloud, gestito da un fornitore esterno. Il fornitore subisce un breach e i dati dei tuoi clienti vengono esposti. Chi paga? Formalmente, entrambi. L’interessato può citare in giudizio te, il fornitore, o entrambi. E se il fornitore è insolvente o difficile da raggiungere, è probabile che l’azione si concentri su di te. Qui entra in gioco l’importanza dei contratti con i responsabili del trattamento, disciplinati dall’art. 28 del GDPR. Un Data Processing Agreement (DPA) ben redatto non impedisce la responsabilità solidale verso l’esterno, ma ti consente di rivalerti sul fornitore inadempiente una volta che hai risarcito l’interessato. 

La morale è semplice: ogni fornitore che tratta dati personali per conto tuo, come il gestionale, il CRM, la piattaforma di email marketing, il consulente del lavoro o il commercialista, dovrebbe essere coperto da un accordo art. 28 firmato. Non è un formalismo burocratico, è uno strumento di tutela concreta.

Come ridurre concretamente il rischio di essere citati in giudizio

Purtroppo, nessuna misura elimina completamente il rischio, ma alcune riducono in modo significativo sia la probabilità che la violazione avvenga, sia la tua esposizione nel caso in cui avvenga comunque.

• Informativa privacy chiara e aggiornata: un interessato che è stato informato correttamente e in modo comprensibile su come vengono trattati i suoi dati ha meno probabilità di ritenere di aver subito un danno e meno argomenti per sostenere una richiesta risarcitoria.

• Registro dei trattamenti come scudo documentale: dimostrare che i trattamenti erano mappati, che i tempi di conservazione erano definiti e che le misure di sicurezza erano proporzionate al rischio è il modo più efficace per sostenere la propria difesa.

• Contratti art. 28 con tutti i fornitori: come abbiamo visto, la responsabilità solidale è un rischio reale. Ogni fornitore che accede ai dati dei tuoi clienti o dipendenti dovrebbe essere coperto da un DPA in regola.

• Misure di sicurezza adeguate e documentate (art. 32): no, non basta adottarle, bisogna poter dimostrare di averlo fatto. Log di accesso, policy interne, verifiche periodiche sono tutti elementi che rafforzano la posizione difensiva.

• Piano di risposta ai data breach: una gestione tempestiva e corretta di una violazione riduce il danno per gli interessati e, di conseguenza, anche l’esposizione a richieste risarcitorie. Ne abbiamo parlato in dettaglio nell’articolo sul data breach GDPR (link all’articolo precedente).

Come avrai intuito, il filo conduttore di tutte queste misure è uno solo: la documentazione. Nel contenzioso civile, come in quello amministrativo, chi non può dimostrare cosa ha fatto parte già in svantaggio.

GDPR Pratico: consulenza per la gestione del rischio

La responsabilità civile prevista dall’art. 82 è un rischio reale, anche per le realtà più piccole. Non serve una violazione eclatante: basta una gestione superficiale dei dati, un fornitore senza contratto, una misura di sicurezza mai documentata. Una consulenza GDPR mirata ti permette di capire dove sei esposto e di intervenire prima che il problema si materializzi. Se vuoi sapere come giocare d’anticipo, compila il modulo e richiedi subito maggiori informazioni.

FAQ: art. 82 GDPR e risarcimento danni

1. Cosa prevede l’art. 82 del GDPR?

L’art. 82 del GDPR riconosce a chiunque abbia subito un danno materiale o immateriale a causa di una violazione del Regolamento il diritto di ottenere il risarcimento dal titolare o dal responsabile del trattamento. La responsabilità è presunta: è il titolare a dover dimostrare di non aver commesso alcuna violazione, non l’interessato a dover provare la colpa.

2. Chi può chiedere il risarcimento danni per violazione del GDPR?

Chiunque abbia subito un danno causato da una violazione del GDPR da parte del titolare o del responsabile del trattamento. Non è necessario che si tratti di un cliente: dipendenti, fornitori, visitatori del sito web, chiunque i cui dati siano stati trattati in modo non conforme può avanzare una richiesta.

3. Quanto si può chiedere come risarcimento per una violazione GDPR?

Non esiste un importo fisso: il risarcimento dipende dal danno effettivamente subito. Per i danni materiali, si tratta della perdita economica dimostrabile. Per i danni immateriali, i tribunali europei hanno riconosciuto importi molto variabili, in genere contenuti per violazioni minori, più significativi in presenza di dati particolari o di un danno reputazionale serio. La tendenza è verso un progressivo aumento del ricorso a questo strumento anche in Italia.

4. Come si dimostra di non essere responsabili ai sensi dell’art. 82?

Il titolare deve dimostrare che l’evento dannoso non gli è in alcun modo imputabile. Nella pratica, questo significa poter documentare le misure di sicurezza adottate, la corretta gestione dei dati, i contratti con i responsabili esterni e le procedure interne seguite. Le esimenti vere e proprie — forza maggiore, fatto esclusivo dell’interessato — sono difficili da applicare e interpretate in modo restrittivo dai tribunali.

5. Le sanzioni del Garante e il risarcimento civile si cumulano?

Sì. Le sanzioni amministrative irrogate dal Garante e il risarcimento civile previsto dall’art. 82 sono due meccanismi distinti e indipendenti. Una stessa violazione può generare sia una multa amministrativa che una o più richieste di risarcimento da parte degli interessati coinvolti. Non esiste un principio di assorbimento tra i due.