Questo ci ha fatto tornare alla mente un caso concreto, oggetto di studio, che ha visto un ente europeo subire un data breach con la sottrazione e successiva pubblicazione online di milioni di dati personali dei propri clienti.
Molti di quegli interessati, vedendo i propri dati diffusi, hanno chiesto il risarcimento per danno immateriale, fondando la pretesa sul timore che le loro informazioni, ormai di dominio pubblico, potessero essere usate in modo illecito da terzi.
La questione, tutt’altro che semplice, è arrivata fino alla Corte di Giustizia dell’Unione Europea.
La Corte si è trovata a decidere se fosse dovuto un risarcimento per danno immateriale derivante dalla sola diffusione dei dati, anche in assenza di un concreto utilizzo illecito.
Il nodo stava proprio qui: non era stato dimostrato che quei dati fossero stati effettivamente sfruttati da terzi per commettere illeciti.
Eppure i ricorrenti lamentavano il timore costante, l’ansia e il malessere derivanti dall’idea che qualcuno potesse farlo in futuro.
La Corte di Giustizia dell’Unione Europea ha dato loro ragione:
Il timore di un uso illecito, anche solo potenziale, di dati diffusi illegittimamente online può configurare un danno immateriale meritevole di risarcimento.
Cosa ci insegna
Il nostro sistema integrato multilivello di protezione dei dati (definizione presa in prestito dall’Avv. Giovanni Grassucci) non prevede che la mera ipotesi di un accesso non autorizzato generi automaticamente responsabilità risarcitoria per il Titolare o per il Responsabile.
Tuttavia, entrambi hanno l’onere di provare di aver adottato misure adeguate e proporzionate per ridurre al minimo il rischio.
Non basta dire “è stato un terzo”.
Occorre dimostrare che il danno non è imputabile direttamente al Titolare o al Responsabile.
E, certamente – come in molti starete pensando – rimane centrale la prova effettiva della violazione del GDPR, del danno e del nesso causale.
Prove, risarcimento, istruttoria … Siamo dunque dinnanzi ad un Giudice, il quale dovrà decidere anche su eventuali richieste istruttorie (con lungaggine dei tempi processuali).
Ma il vero punto è un altro!
L’impatto concreto per le aziende
Dal momento del data breach al termine del processo, quante risorse sono già state bruciate per limitare i danni?
Comunicazioni, consulenze tecniche, indagini, gestione dell’assistenza agli interessati, oltre al danno reputazionale.
Che si tratti di una grande catena alberghiera o di un piccolo hotel a conduzione familiare, ogni volta che vengono raccolti e conservati dati anagrafici, bancari o copie dei documenti dei clienti, una domanda dovrebbe guidare ogni scelta: “Sto proteggendo davvero questi dati, oltre a trattarli e/o conservarli?”.
Ed è qui che ancora oggi si nota una certa reticenza, soprattutto nelle piccole e medie imprese, a investire non solo in strumenti tecnologici, ma anche – e soprattutto – nella formazione del personale.
E tu, nella tua azienda, sei davvero sicuro che i dati che raccogli ogni giorno siano custoditi e protetti come meritano?
La sicurezza non è un optional: è parte integrante della fiducia che i clienti ripongono in te.
