62023CJ0507
SENTENZA DELLA CORTE (Ottava Sezione)
4 ottobre 2024 (
*1
) (
i
)
«Rinvio pregiudiziale – Protezione dei dati personali – Regolamento (UE) 2016/679 – Articolo 82, paragrafo 1 – Diritto al risarcimento e responsabilità – Trattamento illecito dei dati – Violazione del diritto alla protezione dei dati personali – Nozione di “danno” – Riparazione di un danno immateriale sotto forma di presentazione di scuse – Ammissibilità – Principio di effettività – Valutazione della forma e del livello del risarcimento – Eventuale presa in considerazione dell’atteggiamento e della motivazione del titolare del trattamento»
Nella causa C‑507/23,
avente ad oggetto la domanda di pronuncia pregiudiziale proposta alla Corte, ai sensi dell’articolo 267 TFUE, dall’Augstākā tiesa (Senāts) (Corte suprema, Lettonia), con decisione del 7 agosto 2023, pervenuta in cancelleria l’8 agosto 2023, nel procedimento
A
contro
Patērētāju tiesību aizsardzības centrs,
LA CORTE (Ottava Sezione),
composta da N. Piçarra, presidente di sezione, N. Jääskinen (relatore) e M. Gavalec, giudici,
avvocato generale: M. Szpunar
cancelliere: A. Calot Escobar
vista la fase scritta del procedimento,
considerate le osservazioni presentate:
–
per il governo lettone, da J. Davidoviča e K. Pommere, in qualità di agenti;
–
per la Commissione europea, da A. Bouchagiar, H. Kranenborg e I. Naglis, in qualità di agenti,
vista la decisione, adottata dopo aver sentito l’avvocato generale, di giudicare la causa senza conclusioni,
ha pronunciato la seguente
Sentenza
1
La domanda di pronuncia pregiudiziale verte sull’interpretazione dell’articolo 82, paragrafo 1, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1; in prosieguo: il «RGPD»).
2
Tale domanda è stata presentata nell’ambito di una controversia tra A e il Patērētāju tiesību aizsardzības centrs (Centro per la tutela dei diritti dei consumatori, Lettonia) (in prosieguo: il «PTAC») in merito al risarcimento del danno immateriale che il ricorrente nel procedimento principale afferma di aver subito a causa del trattamento da esso non autorizzato di taluni dei suoi dati personali da parte del PTAC.
Contesto normativo
Diritto dell’Unione
3
I considerando 1, 75, 85, 146 e 148 del RGPD sono formulati come segue:
«(1)
La protezione delle persone fisiche con riguardo al trattamento dei dati di carattere personale è un diritto fondamentale. L’articolo 8, paragrafo 1, della Carta dei diritti fondamentali dell’Unione europea (“Carta”) e l’articolo 16, paragrafo 1, del [TFUE] stabiliscono che ogni persona ha diritto alla protezione dei dati di carattere personale che la riguardano.
(...)
(75)
I rischi per i diritti e le libertà delle persone fisiche, aventi probabilità e gravità diverse, possono derivare da trattamenti di dati personali suscettibili di cagionare un danno fisico, materiale o immateriale, in particolare: se il trattamento può comportare (...) pregiudizio alla reputazione, (...) o qualsiasi altro danno economico o sociale significativo; se gli interessati rischiano di essere privati dei loro diritti e delle loro libertà o venga loro impedito l’esercizio del controllo sui dati personali che li riguardano; (...).
(...)
(85)
Una violazione dei dati personali può, se non affrontata in modo adeguato e tempestivo, provocare danni fisici, materiali o immateriali alle persone fisiche, ad esempio perdita del controllo dei dati personali che li riguardano o limitazione dei loro diritti, (...) pregiudizio alla reputazione, (...) o qualsiasi altro danno economico o sociale significativo alla persona fisica interessata. (...)
(...)
(146)
Il titolare del trattamento o il responsabile del trattamento dovrebbe risarcire i danni cagionati a una persona da un trattamento non conforme al presente regolamento. (...) Il concetto di danno dovrebbe essere interpretato in senso lato alla luce della giurisprudenza della Corte di giustizia in modo tale da rispecchiare pienamente gli obiettivi del presente regolamento. Ciò non pregiudica le azioni di risarcimento di danni derivanti dalla violazione di altre norme del diritto dell’Unione o degli Stati membri. (...) Gli interessati dovrebbero ottenere pieno ed effettivo risarcimento per il danno subito. (...)
(...)
(148)
Per rafforzare il rispetto delle norme del presente regolamento, dovrebbero essere imposte sanzioni, comprese sanzioni amministrative pecuniarie per violazione del regolamento (…). Si dovrebbe prestare tuttavia debita attenzione alla natura, alla gravità e alla durata della violazione, al carattere doloso della violazione e alle misure adottate per attenuare il danno subito, al grado di responsabilità (...) e [ad] eventuali altri fattori aggravanti o attenuanti (...)».
4
L’articolo 1 di tale regolamento, intitolato «Oggetto e finalità», dispone, al paragrafo 2, quanto segue:
«Il presente regolamento protegge i diritti e le libertà fondamentali delle persone fisiche, in particolare il diritto alla protezione dei dati personali».
5
L’articolo 4 di detto regolamento, intitolato «Definizioni», è così formulato:
«Ai fini del presente regolamento s’intende per:
1)
“dato personale”: qualsiasi informazione riguardante una persona fisica identificata o identificabile (“interessato”); (...)
(...)
7)
“titolare del trattamento”: la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali; (…)
(...)
12)
“violazione dei dati personali”: la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati;
(...)».
6
L’articolo 6 dello stesso regolamento, intitolato «Liceità del trattamento», dispone, al suo paragrafo 1, che il trattamento dei dati personali è lecito solo se e nella misura in cui ricorre almeno una delle condizioni in esso elencate.
7
Il capo VIII del RGPD, intitolato «Mezzi di ricorso, responsabilità e sanzioni», contiene i suoi articoli da 77 a 84.
8
L’articolo 82 di tale regolamento, intitolato «Diritto al risarcimento e responsabilità», ai paragrafi 1 e 2 così dispone:
«1.   Chiunque subisca un danno materiale o immateriale causato da una violazione del presente regolamento ha il diritto di ottenere il risarcimento del danno dal titolare del trattamento o dal responsabile del trattamento.
2.   Un titolare del trattamento coinvolto nel trattamento risponde per il danno cagionato dal suo trattamento che violi il presente regolamento (...)».
9
L’articolo 83 del RGPD, intitolato «Condizioni generali per infliggere sanzioni amministrative pecuniarie», al paragrafo 2 prevede quanto segue:
«(...) Al momento di decidere se infliggere una sanzione amministrativa pecuniaria e di fissare l’ammontare della stessa in ogni singolo caso si tiene debito conto dei seguenti elementi:
a)
la natura, la gravità e la durata della violazione tenendo in considerazione la natura, l’oggetto o la finalità del trattamento in questione nonché il numero di interessati lesi dal danno e il livello del danno da essi subito;
b)
il carattere doloso o colposo della violazione;
c)
le misure adottate dal titolare del trattamento o dal responsabile del trattamento per attenuare il danno subito dagli interessati;
(...)
k)
eventuali altri fattori aggravanti o attenuanti applicabili alle circostanze del caso, ad esempio i benefici finanziari conseguiti o le perdite evitate, direttamente o indirettamente, quale conseguenza della violazione».
10
L’articolo 84 di tale regolamento, intitolato «Sanzioni», al paragrafo 1 precisa quanto segue:
«Gli Stati membri stabiliscono le norme relative alle altre sanzioni per le violazioni del presente regolamento in particolare per le violazioni non soggette a sanzioni amministrative pecuniarie a norma dell’articolo 83, e adottano tutti i provvedimenti necessari per assicurarne l’applicazione. Tali sanzioni devono essere effettive, proporzionate e dissuasive».
Diritto lettone
11
L’articolo 14, intitolato «Imposizione dell’obbligo di risarcimento del danno immateriale», del Valsts pārvaldes iestāžu nodarīto zaudējumu atlīdzināšanas likums (legge sulla responsabilità patrimoniale delle pubbliche amministrazioni), del 2 giugno 2005 (Latvijas Vēstnesis, 2005, n. 96), nella versione applicabile al procedimento principale (in prosieguo: la «legge del 2005»), prevede quanto segue:
«1.   L’obbligo di risarcire il danno immateriale viene imposto in funzione dell’importanza dei diritti e degli interessi giuridicamente protetti rispetto ai quali si è verificata l’interferenza e della gravità di quest’ultima, alla luce del fondamento e dei motivi di fatto e di diritto alla base dell’atto dell’autorità, del comportamento e della corresponsabilità della vittima, nonché delle altre circostanze rilevanti per lo specifico caso.
2.   La riparazione del danno immateriale ha luogo attraverso il ripristino della situazione anteriore alla causazione del danno o, qualora detta opzione sia impossibile in tutto o in parte oppure sia inappropriata, mediante una presentazione di scuse o il pagamento di un risarcimento adeguato.
3.   Ove l’autorità o il giudice, dopo aver valutato le circostanze dello specifico caso, ritenga che l’interferenza con i diritti o gli interessi giuridicamente protetti dell’individuo non sia grave, una presentazione scritta di scuse oppure delle scuse pubbliche possono costituire l’unico risarcimento o un risarcimento aggiuntivo del danno immateriale.
4.   Il risarcimento del danno immateriale può raggiungere l’importo massimo di EUR 7000. In caso di gravità del danno, il risarcimento può essere fissato fino a un massimo di EUR 10000; tuttavia, in caso di danni alla vita o alla salute particolarmente gravi, la soglia massima dell’importo del risarcimento è pari a EUR 30000».
Procedimento principale e questioni pregiudiziali
12
Il ricorrente nel procedimento principale è noto in Lettonia come giornalista esperto nel settore automobilistico.
13
Nell’ambito di una campagna diretta a sensibilizzare i consumatori riguardo ai rischi che si corrono in occasione dell’acquisto di un veicolo usato, il PTAC ha diffuso, su diversi siti Internet, un filmato che, in particolare, metteva in scena un personaggio che imitava il ricorrente nel procedimento principale, senza che quest’ultimo vi avesse acconsentito.
14
Malgrado l’opposizione da esso espressa riguardo alla realizzazione e alla diffusione di tale filmato, essa è rimasta disponibile on line. Inoltre, il PTAC ha respinto le sue domande espresse dirette a ottenere l’interruzione di tale diffusione e un risarcimento per pregiudizio alla sua reputazione.
15
Il ricorrente nel procedimento principale ha allora adito l’administratīvā rajona tiesa (Tribunale amministrativo distrettuale, Lettonia), al fine, da un lato, di far constatare l’illegittimità del comportamento del PTAC, consistente nell’utilizzo e nella diffusione dei suoi dati personali senza autorizzazione, nonché, dall’altro, di ottenere il risarcimento del danno immateriale da esso subito, sotto forma di presentazione di scuse e di un risarcimento pari a EUR 2000. Dopo aver dichiarato illegittimo tale comportamento, detto giudice ha ingiunto al PTAC di porvi fine e di presentare scuse pubbliche al ricorrente nonché di pagargli un risarcimento di EUR 100 a titolo di riparazione del danno immateriale subito.
16
Con sentenza del 20 maggio 2023, l’Administratīvā apgabaltiesa (Corte amministrativa regionale, Lettonia), statuendo in appello, ha confermato, sul fondamento dell’articolo 6 del RGPD, l’illiceità del trattamento dei dati personali effettuato dal PTAC e ha ingiunto, facendo applicazione dell’articolo 14 della legge del 2005, la cessazione di tale comportamento nonché la pubblicazione di scuse sui siti Internet che avevano diffuso il filmato. Per contro, tale giudice ha respinto la domanda di risarcimento pecuniario del danno immateriale subito dal ricorrente nel procedimento principale. A tale riguardo, esso ha, in particolare, considerato che la violazione commessa non era grave, in quanto il filmato aveva lo scopo di eseguire un compito di interesse pubblico e non di nuocere alla reputazione, all’onore e alla dignità del ricorrente. Inoltre, esso ha ritenuto che tale violazione fosse dovuta al fatto che il PTAC aveva male interpretato disposizioni normative di carattere complesso.
17
Nel ricorso per cassazione proposto dinanzi all’Augstākā tiesa (Senāts) (Corte suprema, Lettonia), che è il giudice del rinvio nella presente causa, il ricorrente nel procedimento principale contesta tale sentenza nella parte in cui nega il risarcimento pecuniario del danno immateriale da esso subito. Egli afferma, in sostanza, che il giudice d’appello è incorso in alcuni errori nella valutazione della gravità della violazione dei suoi diritti e nella valutazione del danno derivante da quest’ultima. Egli sostiene altresì che un risarcimento sotto forma della presentazione di scuse non è né equo né appropriato alla luce dell’articolo 82 del RGPD.
18
In primo luogo, il giudice del rinvio considera, alla luce della sentenza del 4 maggio 2023, Österreichische Post (Danno immateriale inerente al trattamento di dati personali) (C‑300/21; in prosieguo: la «sentenza Österreichische Post, EU:C:2023:370), che l’articolo 82 del RGPD non consente di disporre un risarcimento a norma di una violazione di tale regolamento senza avere previamente individuato un danno cagionato da tale violazione. A suo avviso, nel caso di specie, il giudice d’appello ha travisato tale articolo 82 ingiungendo un risarcimento siffatto senza aver constatato il pregiudizio alla reputazione, all’onore e alla dignità del ricorrente nel procedimento principale. In tale contesto, detto giudice chiede se, alla luce dell’articolo 1, paragrafo 2, del RGPD nonché dei considerando 75, 85 e 146 di quest’ultimo, il trattamento illecito dei dati personali possa costituire, di per sé, una violazione del diritto fondamentale alla protezione di tali dati, come garantito all’articolo 8, paragrafo 1, della Carta e, di conseguenza, costituire un «danno» ai sensi dell’articolo 82 suddetto, anche qualora non sia stata accertata l’esistenza di alcun pregiudizio alla reputazione, all’onore o alla dignità dell’interessato.
19
In secondo luogo, il giudice del rinvio s’interroga sul risarcimento adeguato del danno immateriale a norma dell’articolo 82, paragrafo 1, del RGPD, come interpretato nella sentenza del 4 maggio 2023, Österreichische Post (C‑300/21, EU:C:2023:370). Esso chiede se l’obbligo di presentare scuse alla persona lesa, che nel diritto lettone può costituire una forma di risarcimento unico o aggiuntivo, possa in alcuni casi essere considerato quale sufficiente risarcimento alla luce di detto articolo 82, paragrafo 1.
20
In terzo ed ultimo luogo, tale giudice si chiede, sulla base del punto 58 di tale sentenza, se l’articolo 82, paragrafo 1, del RGPD consenta di prendere in considerazione, nel valutare la forma e il livello del risarcimento dovuto a tale titolo, delle circostanze che accompagnano, o giustificano, il comportamento dell’autore della violazione di disposizioni di tale regolamento.
21
In tale contesto, l’Augstākā tiesa (Senāts) (Corte suprema) ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali:
«1)
Se l’articolo 82, paragrafo 1, del [RGPD] debba essere interpretato nel senso che il trattamento illecito dei dati personali, nella misura in cui viola detto regolamento, può costituire di per sé un’interferenza ingiustificata con il diritto soggettivo di un individuo alla protezione dei propri dati e causargli un danno;
2)
se l’articolo 82, paragrafo 1, del [RGPD] debba essere interpretato nel senso che, nell’impossibilità di ripristinare la situazione precedente al verificarsi del danno, consente di condannare alla richiesta di scuse quale unica forma di risarcimento del danno immateriale;
3)
se l’articolo 82, paragrafo 1, del [RGPD] debba essere interpretato nel senso che consente che circostanze indicative della condotta di colui che tratta i dati e della sua motivazione (ad esempio, la necessità di eseguire un compito di interesse pubblico, l’assenza dell’intento di arrecare danno alla persona oppure le difficoltà nella comprensione del contesto normativo) giustifichino la determinazione in misura inferiore del risarcimento del danno menzionato».
Sulle questioni pregiudiziali
Sulla prima questione
22
Con la sua prima questione, il giudice del rinvio chiede, in sostanza, se l’articolo 82, paragrafo 1, del RGPD, letto alla luce dell’articolo 8, paragrafo 1, della Carta, debba essere interpretato nel senso che una violazione delle disposizioni di tale regolamento è di per sé sufficiente a costituire un «danno», ai sensi di tale articolo 82, paragrafo 1.
23
L’articolo 82, paragrafo 1, del RGPD dispone che: «[c]hiunque subisca un danno materiale o immateriale causato da una violazione del presente regolamento ha il diritto di ottenere il risarcimento del danno dal titolare del trattamento o dal responsabile del trattamento».
24
La Corte ha più volte interpretato tale articolo 82, paragrafo 1, nel senso che la mera violazione del suddetto regolamento non è sufficiente per conferire un diritto al risarcimento su tale base, in quanto l’esistenza di un «danno», materiale o immateriale, che sia stato «subito» costituisce una delle condizioni del diritto al risarcimento previsto da tale disposizione, così come l’esistenza di una violazione di disposizioni di detto regolamento e di un nesso di causalità tra tale danno e detta violazione, tre condizioni che sono cumulative. La persona che chiede il risarcimento di un danno immateriale sulla base di tale disposizione è infatti tenuta a dimostrare non solo la violazione del medesimo regolamento, ma anche che tale violazione le ha causato un siffatto danno [v., in tal senso, sentenze del 4 maggio 2023, Österreichische Post, C‑300/21, EU:C:2023:370, punti 32, 33, 42 e 50; del 20 giugno 2024, Scalable Capital, C‑182/22 e C‑189/22, EU:C:2024:531, punti 41 e 42, nonché del 20 giugno 2024, PS (Indirizzo errato), C‑590/22, EU:C:2024:536, punti 22, 24, 25 e 27].
25
Poiché queste tre condizioni sono necessarie e sufficienti per avere un diritto al risarcimento, ai sensi dell’articolo 82, paragrafo 1, del RGPD (sentenza del 14 dicembre 2023, Gemeinde Ummendorf, C‑456/22, EU:C:2023:988, punto 14), tale diritto non può essere subordinato alla dimostrazione supplementare che l’interessato, quale definito all’articolo 4, punto 1, di tale regolamento, ha subito un pregiudizio ingiustificato all’interesse giuridico che lo stesso regolamento mira a proteggere, ossia il diritto di un simile interessato alla protezione dei suoi dati personali.
26
Inoltre, la Corte ha sottolineato che, anche qualora la disposizione del RGPD oggetto di violazione concedesse diritti alle persone fisiche, una violazione siffatta non potrebbe, di per sé, essere idonea a costituire un «danno immateriale», ai sensi di tale regolamento, e a fondare un diritto al risarcimento a tale titolo, poiché detto regolamento richiede che siano soddisfatte anche le altre due condizioni menzionate al punto 24 della presente sentenza (v., in tal senso, sentenza dell’11 aprile 2024, juris, C‑741/21, EU:C:2024:288, punto 40).
27
Detta interpretazione dell’articolo 82, paragrafo 1, del RGPD è corroborata dai considerando 75, 85 e 146 di quest’ultimo. Infatti, da tali considerando risulta, in primo luogo, che la realizzazione di un danno nel contesto del trattamento illecito dei dati personali è una conseguenza soltanto potenziale e non automatica di un trattamento siffatto; in secondo luogo, che una violazione del RGPD non comporta necessariamente un danno e, in terzo luogo, che deve esistere un nesso di causalità tra la violazione di cui trattasi e il danno subito dall’interessato per fondare un diritto al risarcimento (v., in tal senso, sentenza del 4 maggio 2023, Österreichische Post, C‑300/21, EU:C:2023:370, punto 37).
28
L’interpretazione suddetta è quindi idonea a garantire la protezione dei dati personali come diritto fondamentale sancito all’articolo 8, paragrafo 1, della Carta, al quale rinvia il considerando 1 del RGPD.
29
Alla luce di tutte le considerazioni che precedono, occorre rispondere alla prima questione dichiarando che l’articolo 82, paragrafo 1, del RGPD, letto alla luce dell’articolo 8, paragrafo 1, della Carta, deve essere interpretato nel senso che una violazione delle disposizioni di tale regolamento non è di per sé sufficiente a costituire un «danno», ai sensi di detto articolo 82, paragrafo 1.
Sulla seconda questione
30
Con la sua seconda questione, il giudice del rinvio chiede, in sostanza, se l’articolo 82, paragrafo 1, del RGPD debba essere interpretato nel senso che la presentazione di scuse può costituire un risarcimento adeguato di un danno immateriale sul fondamento di tale disposizione, segnatamente quando sia impossibile ripristinare la situazione anteriore al verificarsi di tale danno.
31
Conformemente a una giurisprudenza costante, spetta all’ordinamento giuridico interno di ciascuno Stato membro stabilire le modalità procedurali dei ricorsi giurisdizionali destinati a garantire la salvaguardia dei diritti dei singoli, in forza del principio di autonomia processuale, a condizione tuttavia che, nelle situazioni disciplinate dal diritto dell’Unione, esse non siano meno favorevoli rispetto a quelle relative a situazioni analoghe assoggettate al diritto interno (principio di equivalenza) e che non rendano in pratica impossibile o eccessivamente difficile l’esercizio dei diritti conferiti dal diritto dell’Unione (principio di effettività) (sentenze del 4 maggio 2023, Österreichische Post, C‑300/21, EU:C:2023:370, punto 53, nonché del 20 giugno 2024, Scalable Capital, C‑182/22 e C‑189/22, EU:C:2024:531, punto 32).
32
Nel caso di specie, dato che il RGPD non contiene disposizioni intese a definire le norme relative alla valutazione del risarcimento dei danni dovuto a titolo del diritto al risarcimento sancito all’articolo 82 di tale regolamento, i giudici nazionali devono a tal fine applicare le norme interne di ciascuno Stato membro sulla portata del risarcimento pecuniario, fatto salvo il rispetto dei principi di equivalenza e di effettività del diritto dell’Unione [v., in tal senso, sentenze del 4 maggio 2023, Österreichische Post, C‑300/21, EU:C:2023:370, punti 54 e 59; del 20 giugno 2024, Scalable Capital, C‑182/22 e C‑189/22, EU:C:2024:531, punti 27 e 33, nonché del 20 giugno 2024, PS (Indirizzo errato), C‑590/22, EU:C:2024:536, punto 40].
33
A tal riguardo, con riferimento al rispetto di tale principio di equivalenza, la Corte non dispone di alcun elemento atto a indicare che detto principio possa avere un rilievo concreto nel presente procedimento principale.
34
Riguardo al rispetto di tale principio di effettività, la funzione esclusivamente compensativa del diritto al risarcimento previsto all’articolo 82 del RGPD comporta che i criteri di valutazione del risarcimento dovuto a norma di tale articolo debbano essere stabiliti all’interno dell’ordinamento giuridico di ciascuno Stato membro, purché detto risarcimento sia pieno ed effettivo, senza che sia necessario, ai fini di una siffatta compensazione integrale, imporre il versamento di un risarcimento di danni punitivi [v., in tal senso, sentenze del 4 maggio 2023, Österreichische Post, C‑300/21, EU:C:2023:370, punti 57 e 58; del 20 giugno 2024, Scalable Capital, C‑182/22 e C‑189/22, EU:C:2024:531, punti 23, 24, 35, 36 e 43, nonché del 20 giugno 2024, PS (Indirizzo errato), C‑590/22, EU:C:2024:536, punto 42].
35
Peraltro, la Corte ha ammesso che un giudice nazionale può, in caso di non gravità del danno subito dall’interessato, compensarlo accordandogli un risarcimento minimo, a condizione che detto importo poco elevato del risarcimento, così attribuito, sia tale da compensare integralmente il danno subito, il che dev’essere verificato da tale giudice (v., in tal senso, sentenza del 20 giugno 2024, Scalable Capital, C‑182/22 e C‑189/22, EU:C:2024:531, punto 46).
36
Del pari, l’articolo 82, paragrafo 1, del RGPD non osta a che la presentazione di scuse possa costituire un risarcimento unico o aggiuntivo di un danno immateriale, come previsto, nel caso di specie, dall’articolo 14 della legge del 2005, purché tale forma di risarcimento rispetti i suddetti principi di equivalenza e di effettività, in particolare in quanto deve permettere di compensare integralmente il danno immateriale che è stato concretamente subito a causa della violazione di tale regolamento, il che dev’essere verificato dal giudice nazionale adito alla luce delle circostanze di ogni caso di specie.
37
Tenuto conto dei motivi che precedono, occorre rispondere alla seconda questione dichiarando che l’articolo 82, paragrafo 1, del RGPD deve essere interpretato nel senso che la presentazione di scuse può costituire un risarcimento adeguato di un danno immateriale sul fondamento di tale disposizione, segnatamente qualora sia impossibile ripristinare la situazione anteriore al verificarsi del danno, a condizione che detta forma di risarcimento sia tale da compensare integralmente il danno subito dall’interessato.
Sulla terza questione
38
Con la sua terza questione, il giudice del rinvio chiede, in sostanza, se l’articolo 82, paragrafo 1, del RGPD debba essere interpretato nel senso che esso osta a che l’atteggiamento e la motivazione del titolare del trattamento possano essere presi in considerazione al fine di concedere eventualmente all’interessato un risarcimento inferiore al danno che esso ha concretamente subito.
39
In primo luogo, dall’articolo 83 del RGPD, letto alla luce del considerando 148 di quest’ultimo, risulta che, per decidere se occorra imporre una sanzione pecuniaria amministrativa e per determinarne l’importo, si deve tenere conto, in particolare, di criteri relativi all’atteggiamento e alla motivazione del titolare del trattamento, a titolo di «fattori aggravanti o attenuanti». Per contro, tali criteri non sono menzionati all’articolo 82 di detto regolamento, né del resto al suo considerando 146, che riguarda specificamente il diritto al risarcimento previsto dall’articolo 82 suddetto.
40
Il mancato riferimento a tali criteri si giustifica con il fatto che l’articolo 82 del RGPD espleta una funzione esclusivamente compensativa, in quanto un risarcimento, in particolare pecuniario, basato su tale articolo 82 deve permettere di compensare integralmente il danno subito, contrariamente ad altre disposizioni di tale regolamento, anch’esse contenute nel capo VIII di quest’ultimo, ossia i suoi articoli 83 e 84, che perseguono, dal canto loro, una finalità sostanzialmente punitiva, dato che consentono, rispettivamente, di infliggere sanzioni amministrative pecuniarie e altre sanzioni (v., in tal senso, sentenze del 4 maggio 2023, Österreichische Post, C‑300/21, EU:C:2023:370, punti 38 e 40, e del 20 giugno 2024, Scalable Capital, C‑182/22 e C‑189/22, EU:C:2024:531, punto 22).
41
Pertanto, alla luce delle differenze di formulazione e di finalità esistenti tra l’articolo 82 del RGPD, letto alla luce del suo considerando 146, e l’articolo 83 del regolamento summenzionato, letto alla luce del suo considerando 148, non si può ritenere che i criteri di valutazione specificamente enunciati in tale articolo 83 siano applicabili mutatis mutandis nell’ambito di detto articolo 82 [sentenza del 20 giugno 2024, PS (Indirizzo errato), C‑590/22, EU:C:2024:536, punto 43 e giurisprudenza ivi citata]. Tale constatazione è valida, in particolare, per la fissazione dell’importo del risarcimento dei danni dovuti a titolo di un risarcimento dei danni basato sull’articolo 82 suddetto [v., in tal senso, sentenza del 20 giugno 2024, PS (Indirizzo errato), C‑590/22, EU:C:2024:536, punti 39 e 44] nonché, più in generale, per la determinazione della forma, pecuniaria o d’altro tipo, e del livello di un risarcimento siffatto.
42
In secondo luogo, la funzione esclusivamente compensativa del diritto al risarcimento previsto all’articolo 82, paragrafo 1, del RGPD osta a che il livello di gravità e l’eventuale carattere doloso della violazione di tale regolamento, commessa dal titolare del trattamento, siano presi in considerazione ai fini del risarcimento del danno sulla base di detta disposizione (v., in tal senso, sentenza del 20 giugno 2024, Scalable Capital, C‑182/22 e C‑189/22, EU:C:2024:531, punti da 28 a 30).
43
Sulla base della funzione esclusivamente compensativa, e non punitiva, svolta da tale diritto al risarcimento, la gravità di una violazione siffatta non può incidere sull’importo del risarcimento dei danni concesso ai sensi di tale articolo 82, paragrafo 1, e tale importo non può essere fissato ad un livello che vada oltre la piena compensazione del danno [v., in tal senso, sentenza del 20 giugno 2024, PS (Indirizzo errato), C‑590/22, EU:C:2024:536, punto 41 e giurisprudenza ivi citata]. Solo il danno concretamente subito dall’interessato deve essere preso in considerazione per determinare l’importo di un risarcimento pecuniario siffatto (v., in tal senso, sentenza dell’11 aprile 2024, juris, C‑741/21, EU:C:2024:288, punto 64).
44
Allo stesso modo, la funzione esclusivamente compensativa di detto articolo 82, paragrafo 1, non sarebbe rispettata se l’atteggiamento e la motivazione del titolare del trattamento fossero prese in considerazione per determinare la forma del risarcimento concesso sul fondamento di tale disposizione o per concedere un risarcimento di «livello inferiore» alla compensazione completa del danno subito dall’interessato, come il giudice di rinvio considera nella presente causa.
45
Alla luce dei motivi che precedono, occorre rispondere alla terza questione dichiarando che l’articolo 82, paragrafo 1, del RGPD deve essere interpretato nel senso che esso osta a che l’atteggiamento e la motivazione del titolare del trattamento possano essere presi in considerazione al fine di concedere, eventualmente, all’interessato un risarcimento inferiore al danno che esso ha concretamente subito.
Sulle spese
46
Nei confronti delle parti nel procedimento principale la presente causa costituisce un incidente sollevato dinanzi al giudice nazionale, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.
Per questi motivi, la Corte (Ottava Sezione) dichiara:
1)
L’articolo 82, paragrafo 1, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), letto alla luce dell’articolo 8, paragrafo 1, della Carta dei diritti fondamentali dell’Unione europea,
deve essere interpretato nel senso che:
una violazione delle disposizioni di tale regolamento non è di per sé sufficiente a costituire un «danno», ai sensi di detto articolo 82, paragrafo 1.
2)
L’articolo 82, paragrafo 1, del regolamento 2016/679
deve essere interpretato nel senso che:
la presentazione di scuse può costituire un risarcimento adeguato di un danno immateriale sul fondamento di tale disposizione, segnatamente qualora sia impossibile ripristinare la situazione anteriore al verificarsi del danno, a condizione che detta forma di risarcimento sia tale da compensare integralmente il danno subito dall’interessato.
3)
L’articolo 82, paragrafo 1, del regolamento 2016/679
deve essere interpretato nel senso che:
esso osta a che l’atteggiamento e la motivazione del titolare del trattamento possano essere presi in considerazione al fine di concedere, eventualmente, all’interessato un risarcimento inferiore al danno che esso ha concretamente subito.
Firme
(
*1
)	Lingua processuale: il lettone.
(
i
)	Gli indicatori, i punti 38, 39, 42, 44, 45 e il dispositivo 3 del presente testo sono stati oggetto di una modifica di ordine linguistico, successivamente alla pubblicazione iniziale.