Chi ritiene che i propri dati personali siano stati trattati in modo illecito può presentare gratuitamente un reclamo al Garante per la protezione dei dati personali (art. 77 GDPR) oppure rivolgersi al tribunale (art. 79 GDPR); il risarcimento del danno, anche non patrimoniale, si chiede invece solo al giudice (art. 82 GDPR). Il Garante può sanzionare e dare ordini, ma non risarcisce.
Le regole sono quelle del Regolamento europeo 2016/679, il GDPR, e del Codice della privacy (D.Lgs. 196/2003). Vediamo quando c’è una violazione, come si presenta il reclamo, come funziona la causa, cosa bisogna provare per il risarcimento e quali sono i casi più frequenti.
In breve
- Reclamo al Garante e ricorso al tribunale sono alternativi: per lo stesso oggetto e tra le stesse parti si sceglie l’uno o l’altro (art. 140-bis D.Lgs. 196/2003).
- Il Garante decide il reclamo entro nove mesi, dodici se servono approfondimenti, e informa l’interessato sullo stato del procedimento entro tre mesi (art. 143 D.Lgs. 196/2003).
- Contro la decisione del Garante, o se il termine per decidere scade, si può ricorrere al tribunale entro 30 giorni (art. 10 D.Lgs. 150/2011).
- Il risarcimento spetta per i danni materiali e immateriali causati da una violazione del GDPR, ma il danno va provato: la violazione da sola non basta (art. 82 GDPR).
Quando c’è una violazione della privacy?
Un dato personale è ogni informazione su una persona identificata o identificabile: nome, fotografia, voce, numero di telefono, posizione, stato di salute. Le regole valgono per imprese, pubbliche amministrazioni, professionisti, condomìni e associazioni, ma non per le attività a carattere esclusivamente personale o domestico (art. 2 GDPR).
C’è violazione quando i dati sono trattati senza una base giuridica, per esempio senza consenso o fuori dai casi previsti dalla legge, quando sono diffusi senza motivo, conservati senza misure di sicurezza adeguate o usati per scopi diversi da quelli dichiarati. Anche non rispondere a una richiesta dell’interessato è una violazione: il titolare deve dare riscontro entro un mese, prorogabile di due mesi nei casi complessi (art. 12 GDPR).
Il titolare del trattamento è chi decide perché e come trattare i dati: il datore di lavoro, la clinica, il Comune, il condominio. È lui, di regola, a rispondere della violazione.
Come si presenta un reclamo al Garante?
Si usa il modulo pubblicato sul sito del Garante e lo si invia per PEC, posta o email, allegando i documenti. Deve indicare nel modo più dettagliato possibile i fatti, le norme che si ritengono violate, le misure richieste e il titolare del trattamento, se noto (art. 142 D.Lgs. 196/2003).
La legge non fissa un termine per presentarlo, ma conviene muoversi presto, finché le prove sono disponibili. Per i diritti di accesso, cancellazione e simili conviene scrivere prima al titolare e attendere la sua risposta, come raccomanda lo stesso Garante.
Il Garante può ordinare di cessare il trattamento, cancellare o limitare i dati e infliggere sanzioni che, per le violazioni più gravi, arrivano a 20 milioni di euro o al 4% del fatturato mondiale delle imprese (art. 83 GDPR). Le sanzioni vanno allo Stato, non a chi ha presentato il reclamo.
Reclamo al Garante o giudice: quale strada scegliere?
Le due strade si escludono: il reclamo non si può proporre se per lo stesso oggetto e tra le stesse parti si è già andati dal giudice, e dopo il reclamo non si può avviare una causa sullo stesso oggetto (art. 140-bis D.Lgs. 196/2003). La domanda di risarcimento, che il Garante non può esaminare, secondo l’interpretazione prevalente resta però proponibile al giudice anche dopo il reclamo. Resta la possibilità di impugnare la decisione del Garante davanti al tribunale:
- Entro 30 giorni dalla comunicazione della decisione, a pena di inammissibilità (art. 10, comma 3, D.Lgs. 150/2011).
- Entro 30 giorni dalla scadenza del termine per decidere, se il Garante non si è pronunciato, o dalla scadenza dei tre mesi senza alcuna informazione (art. 10, comma 4).
Tutte le cause sulla protezione dei dati, compreso il risarcimento, spettano al giudice ordinario (art. 152 D.Lgs. 196/2003) e seguono il rito del lavoro. È competente, a scelta, il tribunale del luogo in cui risiede l’interessato o quello in cui ha sede il titolare: chi vive in Sicilia può agire nella propria zona anche se il titolare ha sede altrove. La sentenza non è appellabile: resta solo il ricorso in Cassazione.
Quando un contenuto continua a diffondersi e ogni giorno aggrava il danno, si può chiedere al tribunale un provvedimento d’urgenza.
Quando spetta il risarcimento e come si prova il danno?
Chiunque subisca un danno materiale o immateriale causato da una violazione del GDPR può chiederne il risarcimento al titolare o al responsabile del trattamento. Il titolare si libera solo se dimostra che l’evento dannoso non gli è in alcun modo imputabile (art. 82 GDPR): una prova difficile.
Chi agisce deve però provare la violazione, il danno e il collegamento tra i due. Il danno materiale è, per esempio, un lavoro perso o somme sottratte dopo un furto di dati. Quello immateriale, o non patrimoniale, comprende ansia, umiliazione, discredito, perdita di controllo sui propri dati.
La Corte di giustizia dell’Unione europea, con la sentenza del 4 maggio 2023 (causa C-300/21), ha chiarito che la sola violazione non dà diritto al risarcimento, ma che gli Stati non possono pretendere una soglia minima di gravità. In Italia la Cassazione aveva a lungo richiesto un danno serio; oggi resta fermo che il danno va allegato e provato, anche con presunzioni, come la delicatezza dei dati o il numero di persone che li hanno visti. L’importo è stabilito dal giudice in via equitativa.
Nei casi più gravi c’è anche un rilievo penale: in alcune ipotesi previste dalla legge, il trattamento illecito compiuto per trarne profitto o per danneggiare, che provoca un nocumento all’interessato, è reato (art. 167 D.Lgs. 196/2003).
Quali sono i casi più frequenti?
- Videosorveglianza: telecamere di negozi, condomìni o privati che inquadrano spazi altrui; per le liti tra vicini si veda la guida sulla videosorveglianza esterna.
- Dati sanitari: referti inviati alla persona sbagliata, accessi al fascicolo sanitario da parte di personale non autorizzato, informazioni sulla salute pubblicate in graduatorie o atti. I dati relativi alla salute non possono essere diffusi (art. 2-septies D.Lgs. 196/2003).
- Pubblicazione online: fotografie, documenti o dati personali messi su siti, social o albi online oltre il necessario; si può chiedere la cancellazione (art. 17 GDPR). Per le immagini dei bambini si veda la guida sulle foto dei figli minori sui social; per le offese, quella sulla diffamazione sui social.
- Furto di dati: in caso di violazione dei sistemi, il titolare deve avvisare il Garante, di regola entro 72 ore, e, se il rischio è elevato, le persone coinvolte (artt. 33 e 34 GDPR).
Domande frequenti
Quanto costa fare un reclamo al Garante della privacy?
Nulla: il reclamo è gratuito e si può presentare senza avvocato. Per la causa in tribunale, invece, serve l’assistenza di un legale.
Un sito non cancella i miei dati: cosa posso fare?
Si chiede per iscritto la cancellazione al titolare del sito, che deve rispondere entro un mese (artt. 12 e 17 GDPR). Se non risponde o rifiuta senza motivo, si può presentare reclamo al Garante o rivolgersi al giudice.
Entro quanto tempo devo agire per il risarcimento?
Il GDPR non fissa un termine, quindi si applicano le regole italiane sulla prescrizione, di regola cinque anni per i fatti illeciti (art. 2947 c.c.). Conviene comunque agire presto, perché i contenuti online e le prove possono sparire.
Se ritieni che i tuoi dati siano stati trattati o diffusi illecitamente, possiamo valutare con te fatti e documenti e aiutarti a scegliere tra reclamo, ricorso e richiesta di risarcimento. I recapiti degli studi di Palermo e Mussomeli sono nella pagina sedi e contatti.
