Quanto risarcimento spetta per una violazione della privacy? Perché non esiste un importo fisso

Non esiste un importo fisso. Il GDPR non prevede tariffari né soglie minime: l'articolo 82 riconosce il diritto al risarcimento solo a chi dimostri una violazione, un danno concreto e il nesso fra i due. E l'importo, quando riconosciuto, deve compensare esattamente quel danno: né più, né meno.

Perché la legge non fissa un tariffario

Il Regolamento (UE) 2016/679 riconosce a chiunque abbia subìto un danno materiale o immateriale il diritto di ottenerne il risarcimento, ma non indica alcuna cifra, nessun minimo e nessun massimo. La ragione è strutturale: la Corte di giustizia dell'Unione europea ha chiarito che il risarcimento previsto dall'art. 82 ha funzione esclusivamente compensativa e non punitiva o dissuasiva (sentenza 21 dicembre 2023, causa C-667/21). Serve cioè a rimettere la persona nella situazione in cui si sarebbe trovata senza la violazione, non a punire l'azienda.

È qui che nasce l'equivoco più diffuso. Le cifre milionarie che si leggono sui giornali sono quasi sempre sanzioni amministrative irrogate da un'autorità di controllo, oppure accordi transattivi con enti pubblici: somme che finiscono nelle casse dello Stato, non sui conti correnti degli utenti. Il risarcimento individuale segue un binario distinto e molto più sobrio.

I tre presupposti da dimostrare prima ancora di parlare di cifre

La Corte di giustizia, con la sentenza del 4 maggio 2023 nella causa C-300/21 (Österreichische Post), ha fissato tre condizioni cumulative: una violazione del Regolamento, un danno effettivamente subito, un nesso causale fra i due. Mancandone una sola, non si arriva nemmeno alla quantificazione.

Due precisazioni importanti, solo in apparenza in tensione fra loro. Da un lato non esiste alcuna soglia minima di gravità: anche un pregiudizio contenuto, se provato, è risarcibile. Dall'altro la sola violazione non basta a far sorgere il diritto: non c'è automatismo. La Corte di cassazione italiana è allineata, avendo escluso il danno cosiddetto «in re ipsa», cioè automaticamente connesso alla violazione (ordinanza 10 giugno 2021 n. 16402).

Che cosa incide sull'importo e che cosa no

• Incide la consistenza concreta del pregiudizio: che cosa è realmente accaduto alla persona, con quali conseguenze verificabili nella sua vita quotidiana.
• Incide l'estensione e la durata dell'esposizione: quali categorie di dati sono state coinvolte, per quanto tempo, con quale diffusione.
• Non incide, di per sé, la gravità della violazione commessa dall'azienda: la Corte di giustizia ha escluso che il grado di gravità sia un criterio di quantificazione, richiedendo invece che l'importo compensi integralmente il danno concretamente subìto (C-667/21).
• Non incidono le buone intenzioni o l'atteggiamento collaborativo del titolare del trattamento per ridurre l'importo al di sotto del danno effettivo (sentenza 4 ottobre 2024, causa C-507/23).
• Non incide il fatturato dell'azienda: è un parametro delle sanzioni amministrative, non del risarcimento civile.

La stessa sentenza C-507/23 ha aggiunto un dato che aiuta a calibrare le aspettative: in situazioni determinate anche una forma non monetaria di riparazione — ad esempio delle scuse formali — può costituire un risarcimento adeguato del danno immateriale, purché lo compensi integralmente. Il risarcimento in denaro, insomma, non è l'esito scontato di ogni violazione.

I «100 euro» del caso tedesco: un riferimento, non una tariffa

Il parametro più citato in Italia arriva dalla Germania: la Corte federale di giustizia (BGH), con la decisione del 18 novembre 2024 nel procedimento VI ZR 10/24, ha indicato un ordine di grandezza intorno ai 100 euro per la mera perdita di controllo sui dati nel contenzioso sullo scraping di Facebook. È utile conoscerlo, ma va letto per quello che è: una valutazione equitativa di un giudice tedesco, non vincolante per i tribunali italiani, riferita a un solo filone di contenzioso e commisurata alle prove raccolte in quel giudizio. Non è una tariffa, non è un importo garantito e non si trasferisce automaticamente ad altri casi.

Due filoni distinti, due scenari molto diversi

Chi cerca un importo di riferimento deve prima capire in quale scenario si colloca. Il filone dello scraping riguarda i dati di utenti Facebook raccolti fra il 2018 e il 2019 e poi circolati in rete: è il contesto in cui si inserisce il precedente tedesco ed è anche l'oggetto dell'azione di classe promossa dal Centro Tutela Consumatori Utenti di Bolzano, ammessa dal Tribunale di Milano, gratuita per chi vi aderisce e con udienza attesa nell'autunno 2026. È un'iniziativa distinta dalla nostra, che merita rispetto e che ciascuno può valutare in autonomia.

Il filone della monetizzazione e della profilazione pubblicitaria è un'altra cosa: riguarda il modo in cui i dati vengono trattati e valorizzati a fini commerciali. Qui, allo stato, non esistono precedenti liquidatori italiani a cui ancorarsi. Chiunque prospetti cifre certe su questo terreno sta anticipando decisioni che nessun giudice ha ancora preso.

Come farsi un'idea realistica del proprio caso

• Verifica se e quando i tuoi dati sono stati effettivamente coinvolti, e quali categorie di informazioni riguardano.
• Raccogli documentazione datata: notifiche ricevute, tentativi di accesso anomali, messaggi o chiamate indesiderate, comunicazioni dell'azienda.
• Annota le conseguenze concrete e la loro collocazione nel tempo: è il collegamento fra evento e pregiudizio a reggere la richiesta, non la gravità astratta della violazione.
• Diffida di chi garantisce importi, tempi o esiti: nel risarcimento privacy non esistono certezze preventive.

La domanda corretta, in definitiva, non è «quanto mi spetta» ma «che cosa posso dimostrare». Se vuoi capire in quale scenario ricade la tua situazione e quali elementi avresti a disposizione, puoi verificare il tuo caso nella sezione «Il tuo caso»: una valutazione preliminare, senza impegno e senza promesse di risultato.