Austria: Questioni preliminari sottoposte alla Corte di giustizia europea - Risarcimento dei danni irrilevanti ai sensi dell'art. 82 del GDPR. 82 GDPR

In una recente sentenza, resa il 15 aprile 2021, la Corte Suprema austriaca (Oberste Gerichtshof, OGH) ha stabilito che il trattamento dei dati sull'affinità del soggetto per un partito politico costituisce una categoria speciale di dati personali. Ciò vale anche se i dati in questione si basano su sondaggi e statistiche anonimizzate.

Inoltre, con una richiesta di pronuncia pregiudiziale ai sensi dell'art. 267 TFUE, l'OG ha chiesto che il trattamento dei dati personali sia considerato una categoria speciale. 267 TFUE, l'OGH ha sottoposto alla Corte di giustizia questioni fondamentali relative all'interpretazione dell'art. 82 GDPR. 82 del GDPR alla Corte di giustizia europea (CGUE). In particolare, ha chiesto chiarimenti sui requisiti per la concessione di un risarcimento danni basato su violazioni del GDPR e sulla valutazione di tale risarcimento ai sensi dell'art. 82 GDPR. 82 GDPR.

I fatti

I fatti alla base di questo caso trovano origine in una controversia legale separata (6Ob35/21x).

• Il convenuto vendeva dati personali per scopi di marketing a terzi in qualità di editore di indirizzi ("Adresshändler") ai sensi del § 151 della legge austriaca sulla regolamentazione del commercio (Gewerbeordnung 1994, GewO);
• Le informazioni raccolte dal convenuto includevano dettagli sull'affinità di partito dei cittadini austriaci;
  A seguito di una richiesta di accesso (art. 15 GDPR), il ricorrente ha appreso che il convenuto aveva presunto che l'affinità politica del ricorrente fosse con il Partito della Libertà Austriaco (FPÖ);
• Le informazioni relative all'affinità del soggetto sono state ricavate attraverso l'uso di un algoritmo per definire "indirizzi di gruppi target" in base a caratteristiche socio-demografiche;
• Senza che sia stato dato il consenso al trattamento e all'archiviazione dei dati, il ricorrente ha chiesto:
• Un'ingiunzione per impedire al convenuto di trattare i dati sulle sue presunte opinioni politiche;
• un risarcimento di 1.000 euro per il danno immateriale causato dall'affinità partitica che gli era stata attribuita, ritenuta offensiva, vergognosa e lesiva del credito.

Mentre la richiesta di ingiunzione è stata accolta dal Tribunale regionale di Vienna per le questioni civili (Landesgericht für Zivilsachen), il risarcimento dei danni è stato negato per il mancato raggiungimento della soglia richiesta per il danno immateriale risarcibile. La decisione è stata confermata dal Tribunale regionale superiore (Oberlandesgericht). La decisione è stata impugnata da entrambe le parti.

Questioni giuridiche

La sentenza dell'OGH si è concentrata su 1) se i dati relativi all'affinità del partito con i partiti politici siano da considerarsi dati personali (art. 4(1) GDPR); 2) se tali dati costituiscano una categoria speciale di dati personali (art. 9 GDPR); 3) se il convenuto debba astenersi dal continuare a trattare i dati del ricorrente in futuro; 4) se il trattamento dei dati dia diritto al risarcimento (art. 82 GDPR).

Sentenza parziale dell'OGH

• Dati personali (art. 4(1) GDPR)
• Per dati personali si intende qualsiasi informazione relativa a persone fisiche identificate o identificabili ("interessati");
• Una persona fisica identificabile deve poter essere identificata, direttamente o indirettamente, con particolare riferimento a un identificatore;
• I dati personali sono stati ritenuti comprensivi di dati ottenuti mediante valutazioni soggettive e/o oggettive (cioè dati non personali, ad esempio sondaggi/statistiche) in quanto consentivano di attribuire direttamente l'"affinità per un partito politico" a una persona fisica identificata/identificabile;
• La validità della presunta affinità è irrilevante;
• Il fatto che l'informazione fosse solo un'espressione del presunto interesse dei soggetti per un particolare partito politico è ugualmente irrilevante.^[1]

Categoria speciale di dati personali (art. 9 GDPR)

• Il termine "opinione politica" deve essere interpretato in senso lato per garantire un livello di protezione uniforme ed elevato;
• deve essere eliminato qualsiasi rischio di grave discriminazione derivante dal trattamento di particolari tipi di dati;
• I dati relativi alle preferenze politiche dei soggetti danno luogo a potenziali discriminazioni e devono quindi essere considerati come rientranti nell'ambito delle opinioni politiche ai sensi dell'art. 9 del GDPR. 9 GDPR.^[2]

Ricorso (art. 79 GDPR)

• Il diritto a un ricorso giurisdizionale effettivo è garantito dall'art. 79 GDPR quando i diritti dell'interessato sono stati lesi. 79 GDPR, qualora i diritti dell'interessato siano stati violati a seguito di un trattamento dei suoi dati personali non conforme alle disposizioni del GDPR;
• In assenza di un consenso esplicito da parte dell'interessato, il trattamento dei dati relativi all'affinità con un partito politico è considerato di per sé illegittimo ai sensi dell'art. 9, paragrafo 2, lettera a);
• Il fatto che i dati in questione siano stati cancellati/non pubblicati, ossia che siano stati trattati internamente ma non siano apparsi all'esterno, è irrilevante in quanto non elimina il pericolo che tali dati vengano (ri)creati in futuro;
• Un'ingiunzione deve essere accolta quando esiste la possibilità che i dati vengano ricreati in futuro.

Questioni sottoposte alla CGUE

La Corte Suprema austriaca ha chiesto alla CGUE di pronunciarsi in via pregiudiziale, ai sensi dell'art. 267 TFUE, sull'interpretazione del diritto di accesso ai dati. 267 TFUE sull'interpretazione e l'applicazione della richiesta di risarcimento danni disciplinata dall'art. 82 GDPR. 82 GDPR.

In particolare, si chiede alla CGUE di chiarire:

• se una richiesta di risarcimento danni, oltre alla violazione di una disposizione del GDPR, richieda che l'attore abbia subito danni specifici o se tale violazione sia sufficiente per ottenere il risarcimento;
• se i giudici nazionali debbano prendere in considerazione ulteriori requisiti del diritto dell'UE, oltre ai principi di efficacia ed equivalenza, nella valutazione dei danni;
• se la soglia per i danni non pecuniari/non materiali richieda che la violazione abbia conseguenze di un certo grado o peso che vadano oltre la rabbia o il fastidio causati da tale violazione.

Sebbene sia tipicamente perseguito attraverso richieste di risarcimento di massa, qualsiasi persona che abbia subito un danno materiale o non materiale come risultato di una violazione di una disposizione del GDPR, conserva il diritto di intentare un'azione legale ai sensi dell'art. 82 del GDPR. 82 DEL GDPR.

Si consiglia alle aziende di monitorare attentamente le notizie di stampa sulla perdita di dati e di identificare tempestivamente gli indicatori di violazione della protezione dei dati, per consentire una rapida revisione delle carenze nell'ambito delle normative vigenti in materia di protezione dei dati. Inoltre, sarebbe utile garantire che la documentazione e i processi interni siano allineati ai principi e ai requisiti di attuazione del GDPR. A tal fine, la revisione delle decisioni passate relative all'art. 82 del GDPR, sia a livello nazionale sia a livello dell'Unione europea, è stata effettuata. 82 del GDPR a livello nazionale e dell'UE. È evidente che, sulla base del rinvio delle questioni preliminari da parte dell'OGH alla CGUE, è stata posta un'importante base che potrebbe consentire un'interpretazione uniforme della legge sulla protezione dei dati in materia di danni.

Risorse

1. Vedi anche 6Ob127 / 20z (OGH); W258 2217446-1 (BVwG).
2. Vedi anche W258 2217446-1 (BVwG).

Il contenuto di questo articolo ha lo scopo di fornire una guida generale all'argomento. È necessario richiedere una consulenza specialistica in merito alla propria situazione specifica.