In una recente sentenza, resa il 15 aprile 2021, la Corte suprema austriaca (Oberste Gerichtshof, OGH) ha dichiarato che il trattamento dei dati sull'affinità del soggetto per un partito politico costituisce una categoria speciale di dati personali. Questo vale anche se i dati in questione sono basati su sondaggi e statistiche anonimizzate.

Inoltre, con una domanda di pronuncia pregiudiziale ai sensi dell'art. 267 TFUE, l'OGH ha sottoposto questioni fondamentali relative all'interpretazione dell'art. 82 GDPR alla Corte di giustizia europea (CGUE). Più specificamente, ha chiesto chiarimenti sui requisiti per il riconoscimento dei danni basati su violazioni del GDPR e la valutazione di tale risarcimento ai sensi dell'art. 82 GDPR. 82 GDPR.

Fatti

I fatti alla base di questo caso trovano la loro origine in una controversia legale separata (6Ob35/21x).

• Il convenuto ha venduto dati personali per scopi di marketing di terzi come editore di indirizzi ("Adresshändler") ai sensi del § 151 della legge austriaca sulla regolamentazione del commercio (Gewerbeordnung 1994, GewO);
• Le informazioni raccolte dall'imputato includevano dettagli sull'affinità di partito dei cittadini austriaci;
  A seguito di una richiesta di accesso (art. 15 GDPR), l'attore ha appreso che il convenuto aveva presunto l'affinità politica dell'attore con il Partito della Libertà austriaco (FPÖ);
• L'informazione sull'affinità del soggetto è stata derivata attraverso l'uso di un algoritmo per definire gli "indirizzi del gruppo target" secondo le caratteristiche socio-demografiche;
• Senza che sia stato dato il consenso per il trattamento e la conservazione dei dati, l'attore ha chiesto:
• Un'ingiunzione per impedire all'imputato di elaborare dati sulle sue presunte opinioni politiche;
• Risarcimento di 1.000 euro per il danno immateriale causato a causa dell'affinità di partito che gli era stata assegnata, ritenuta insultante, vergognosa e lesiva del credito.

Mentre la richiesta di ingiunzione è stata accolta dalla Corte regionale di Vienna per le questioni civili (Landesgericht für Zivilsachen), il risarcimento è stato negato per motivi di mancato raggiungimento della soglia richiesta per il danno immateriale risarcibile. La decisione è stata confermata dalla Corte regionale superiore (Oberlandesgericht). La decisione è stata appellata da entrambe le parti.

Questioni legali

La sentenza dell'OGH si è concentrata su 1) se i dati riguardanti l'affinità del partito per i partiti politici si qualificano come dati personali (art. 4(1) GDPR); 2) se tali dati costituiscono una categoria speciale di dati personali (art. 9 GDPR); 3) se il convenuto deve astenersi dal continuare a trattare i dati dell'attore in futuro; 4) se il trattamento dei dati dà diritto all'attore al risarcimento (art. 82 GDPR).

Sentenza parziale di OGH

• Dati personali (art. 4(1) GDPR)
• I dati personali si riferiscono a qualsiasi informazione relativa a persone fisiche identificate o identificabili ("persone interessate");
• Una persona fisica identificabile deve essere una persona che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificatore;
• Si è ritenuto che i dati personali comprendessero dati ottenuti mediante valutazioni soggettive e/o oggettive (cioè dati non personali, ad esempio sondaggi/statistiche), dato che permettevano di assegnare direttamente l'"affinità per un partito politico" a una persona fisica identificata/identificabile;
• La validità della presunta affinità è quindi irrilevante;
• Il fatto che l'informazione fosse semplicemente un'espressione del presunto interesse dei soggetti per un particolare partito politico è ugualmente irrilevante.¹

Categoria speciale di dati personali (art. 9 GDPR)

• Il termine "opinione politica" deve essere interpretato in modo ampio per garantire un livello di protezione uniforme ed elevato;
• Qualsiasi rischio di grave discriminazione come risultato del trattamento di particolari tipi di dati deve essere minato;
• I dati relativi alle preferenze politiche dei soggetti danno luogo a una potenziale discriminazione e quindi devono essere considerati come rientranti nell'ambito delle opinioni politiche ai sensi dell'art. 9 GDPR.²

Rimedio (art. 79 GDPR)

• Il diritto a un ricorso giurisdizionale effettivo è garantito dall'art. 79 GDPR quando i diritti dell'interessato sono stati violati a causa del trattamento dei suoi dati personali non conforme alle disposizioni del GDPR;
• In assenza di un consenso esplicito da parte del soggetto, il trattamento dei dati sull'affinità per un partito politico è considerato illegale ai sensi del 9(2)(a) di per sé;
• Il fatto che i dati in questione siano stati cancellati/non pubblicati, vale a dire che avvengono internamente ma non appaiono all'esterno, è irrilevante poiché non elimina il pericolo che tali dati vengano (ri)creati in futuro;
• Un'ingiunzione deve essere mantenuta quando esiste la possibilità che i dati siano ricreati in futuro.

Questioni sottoposte alla CGUE

La Corte suprema austriaca ha chiesto una pronuncia pregiudiziale della CGUE ai sensi dell'art. 267 TFUE sull'interpretazione e l'applicazione della richiesta di risarcimento danni regolata dall'art. 82 GDPR.

In particolare, si chiede alla CGUE di chiarire:

• Se una richiesta di risarcimento danni, oltre alla violazione di una disposizione del GDPR, richiede che il ricorrente abbia subito danni specifici o se detta violazione è sufficiente per qualificarsi per il premio;
• Se i requisiti aggiuntivi del diritto dell'UE, al di là dei principi di efficacia e di equivalenza devono essere considerati dai giudici nazionali nella valutazione dei danni;
• Se la soglia per i danni non pecuniari/non materiali richiede che la violazione abbia conseguenze di un certo grado o peso che si estendono oltre la rabbia o il fastidio causati da tale violazione.

Anche se tipicamente perseguito attraverso reclami di massa, qualsiasi persona che ha subito un danno materiale o immateriale a seguito di una violazione di una disposizione del GDPR, mantiene il diritto di intentare un'azione legale ai sensi dell'art. 82 GDPR.

Le aziende sono ben consigliate di monitorare da vicino le notizie della stampa sulla perdita di dati e di identificare precocemente gli indicatori di violazioni della protezione dei dati per consentire una rapida revisione delle carenze all'interno dei regolamenti esistenti sulla protezione dei dati. Inoltre, sarebbe utile garantire che la documentazione e i processi interni siano allineati ai principi del GDPR e ai requisiti di attuazione. A tal fine, la revisione delle decisioni passate relative all'art. 82 GDPR sia a livello nazionale che a livello dell'UE sarà determinante. È evidente che sulla base del rinvio delle questioni preliminari da parte dell'OGH alla CGUE, è stata posta un'importante base che potrebbe consentire un'interpretazione uniforme della legge sulla protezione dei dati sui danni.

Note a piè di pagina

1. Vedi anche 6Ob127 / 20z (OGH); W258 2217446-1 (BVwG).

2. Vedi anche W258 2217446-1 (BVwG).

Il contenuto di questo articolo intende fornire una guida generale all'argomento. Si consiglia di richiedere una consulenza specialistica sulle vostre circostanze specifiche.