Come si prova il danno da violazione dei dati personali: cosa serve davvero

Per ottenere un risarcimento non basta dimostrare che i tuoi dati sono stati violati: occorre allegare e provare quale pregiudizio concreto ne sia derivato. La legge non richiede una soglia minima di gravità, ma non riconosce nemmeno un danno automatico. La prova può essere raggiunta anche per presunzioni, purché fondata su elementi specifici e verificabili.

Nessuna soglia minima, ma nessun automatismo

L'art. 82 del GDPR riconosce il diritto al risarcimento a chiunque subisca un danno materiale o immateriale causato da una violazione del regolamento. La Corte di giustizia dell'Unione europea, con la sentenza del 4 maggio 2023 nella causa C-300/21 (Österreichische Post), ha chiarito due cose insieme: da un lato il risarcimento non è subordinato al superamento di una soglia minima di gravità del danno; dall'altro la semplice violazione della norma non è di per sé sufficiente, perché devono ricorrere anche un danno effettivo e il nesso causale tra violazione e danno.

Sul versante italiano la Corte di cassazione, prima sezione civile, con l'ordinanza n. 16402 depositata il 10 giugno 2021, ha affermato che il danno non patrimoniale da trattamento illecito dei dati non è mai «in re ipsa»: non coincide con la lesione dell'interesse tutelato, ma con le conseguenze concrete che ne derivano. La Corte aggiunge che quando la lesione è minima deve prevalere il principio della tolleranza, e che chi agisce in giudizio non può limitarsi ad affermare un generico patimento, ma deve indicare in modo analitico il pregiudizio subito.

Quali pregiudizi possono rilevare

La giurisprudenza europea ha riconosciuto che il danno immateriale non si esaurisce nelle perdite economiche. Possono rilevare, se dimostrati:

• la perdita di controllo sui propri dati personali, o l'incertezza sul modo in cui vengono trattati: la Corte di giustizia lo ha ribadito nella sentenza del 19 marzo 2026, causa C-526/24;
• il timore di un possibile uso abusivo dei dati da parte di terzi, che secondo la sentenza del 14 dicembre 2023, causa C-340/21, può costituire di per sé un danno immateriale, purché il timore sia effettivo e non meramente ipotetico;
• le conseguenze concrete e verificabili: aumento anomalo di messaggi e telefonate indesiderate, tentativi di phishing o smishing mirati che utilizzano dati corretti, notifiche di tentativi di accesso agli account;
• i pregiudizi ulteriori documentabili, come il tempo e le spese sostenute per porre rimedio (blocco di utenze, sostituzione di un numero, consulenze) o ripercussioni sulla serenità personale sostenute da elementi oggettivi.

Come documentare il proprio caso, in concreto

La prova può essere fornita anche in via presuntiva, ma le presunzioni devono poggiare su fatti precisi: un fascicolo ordinato vale più di qualsiasi affermazione generica. In pratica:

• conserva la documentazione del coinvolgimento: esito delle verifiche effettuate, eventuali comunicazioni ricevute dalla piattaforma, screenshot con data visibile;
• esercita il diritto di accesso previsto dall'art. 15 del GDPR e conserva integralmente la risposta ricevuta, compresi i termini e gli eventuali silenzi;
• raccogli le evidenze delle conseguenze: messaggi sospetti, chiamate indesiderate, notifiche di accessi anomali, indicando data e ora;
• ricostruisci una cronologia: da quando hai notato il fenomeno, che cosa è cambiato rispetto al periodo precedente, quali account risultano interessati;
• annota tempi e spese sostenute per rimediare, allegando ricevute quando esistono;
• descrivi il pregiudizio in modo specifico e circostanziato, evitando formule standardizzate: è esattamente ciò che la Cassazione considera inidoneo.

Anche il comportamento dell'interessato conta

La già citata sentenza C-526/24 del 19 marzo 2026 merita attenzione anche per un secondo profilo. La Corte ha stabilito che il titolare del trattamento può rifiutare una richiesta di accesso qualificandola come eccessiva solo dimostrando in modo inequivocabile un intento abusivo dell'interessato, e che il solo numero delle richieste non basta a giustificare il rifiuto: l'onere della prova grava sul titolare. È una pronuncia che rafforza il diritto di accesso, anche se esercitato in vista di una futura richiesta risarcitoria, ma conferma che la condotta dell'interessato non è irrilevante e che il danno non è risarcibile nella misura in cui sia stato causato dall'interessato stesso. Documentare fatti reali resta quindi l'unica strada praticabile.

Due filoni distinti, due percorsi probatori

Il filone dello scraping riguarda la raccolta massiva di dati da profili Facebook tra il 2018 e il 2019. Su questo perimetro il Centro Tutela Consumatori Utenti di Bolzano ha promosso un'azione di classe, ammessa dal Tribunale di Milano nell'aprile 2026 e con udienza fissata a ottobre 2026: è un'iniziativa seria, gratuita per gli aderenti e limitata a quel solo filone. Il riferimento tedesco di circa 100 euro deriva invece dalla sentenza del Bundesgerichtshof del 18 novembre 2024 (VI ZR 10/24), frutto di una valutazione equitativa secondo il diritto tedesco: non è una tariffa, non vincola i giudici italiani e riguarda unicamente lo scraping.

Il filone della monetizzazione dei dati è diverso e attiene al modo in cui i dati degli utenti sono stati sfruttati a fini commerciali. Qui non esistono precedenti liquidatori: nessun giudice ha ancora fissato un parametro di quantificazione, e chiunque prometta un importo certo afferma qualcosa che allo stato non è sostenibile. Anche per questo la ricostruzione della propria posizione individuale è decisiva.

Il punto pratico

La differenza tra una richiesta fondata e una destinata a essere respinta sta quasi sempre nella qualità della documentazione, non nella gravità delle parole usate. Se vuoi capire se la tua situazione presenta elementi utilmente documentabili, puoi esporre la tua posizione nella sezione «Il tuo caso»: la valutazione preliminare serve a verificare che cosa sia concretamente allegabile e provabile, senza anticipare alcun esito.