Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
Il 16 luglio 2026 il Garante per la protezione dei dati personali ha pubblicato nella newsletter n. 549 una notizia che ha fatto notizia: Wind Tre si è vista infliggere una sanzione di 1.715.600 euro per gravi carenze nella sicurezza dei sistemi aziendali, emerse in seguito a due accessi abusivi che hanno portato alla sottrazione dei dati personali di oltre 365mila clienti. Una cifra imponente. Un fatto accertato. Eppure, per i 365mila clienti coinvolti, quella sanzione non vale un euro di risarcimento. Non automaticamente, almeno.
Questo è il punto che il Tribunale di Cagliari ha messo in chiaro con la sentenza n. 970 del 15 aprile 2026: non c'è automatismo tra provvedimento del Garante e sentenza del giudice civile, chiamato a decidere gli stessi fatti dalla diversa prospettiva della richiesta di risarcimento del danno. Il giudice sardo ha rigettato la richiesta di indennizzo di un'interessata i cui dati erano stati violati, nonostante il Garante avesse già accertato e sanzionato la condotta del titolare del trattamento.
Immaginate di scoprire che la vostra azienda telefonica ha lasciato i vostri dati — nome, recapiti, IBAN — nelle mani di cybercriminali. Presentate un reclamo al Garante. Il Garante accerta tutto, istruisce il procedimento, irroga una sanzione da milioni di euro. Poi vi rivolgete al tribunale per ottenere un risarcimento. E il tribunale vi risponde: prove insufficienti. È esattamente il paradosso che la sentenza cagliaritana porta alla luce, e che merita un'analisi attenta.
Se il Garante sanziona un'azienda per data breach ho diritto automatico al risarcimento?
La risposta è no, e la sentenza del Tribunale di Cagliari n. 970/2026 ne è la dimostrazione più recente e diretta. Il procedimento amministrativo davanti al Garante e il giudizio civile di risarcimento rispondono a logiche diverse, a oneri probatori distinti e a presupposti che non si sovrappongono meccanicamente.
Cosa succede quando un interessato domanda ai magistrati ordinari il risarcimento dei danni non patrimoniali connessi a un data breach accertato? Nonostante l'intensificarsi dell'attività sanzionatoria delle Autorità di controllo, ottenere un indennizzo economico per la lesione della propria privacy si sta rivelando un percorso tutt'altro che scontato, che impone di fare i conti con il rigoroso orientamento giurisprudenziale sull'onere della prova.
Il Tribunale di Cagliari si è ispirato all'orientamento elaborato dalle Sezioni Unite della Cassazione nel 2008 — le cosiddette sentenze di San Martino — secondo cui il danno non patrimoniale, pur costituzionalmente rilevante, deve essere serio, grave e superare la soglia minima di tollerabilità imposta dall'ordinamento. Al di sotto di quella soglia, il danno è considerato bagatellare e, come tale, non risarcibile, a prescindere dall'illecito che lo ha generato. Applicato al dato personale, questo significa che la mera violazione — il data breach in sé — non è sufficiente: occorre che l'interessato dimostri di aver subìto conseguenze concrete, personali, effettive.
Sul versante civilistico, nel caso cagliaritano i magistrati non giudicavano provati né l'aggravarsi della condizione di ansia dedotta dall'interessata né il nesso causale tra il disagio psicologico allegato e il data breach. Sebbene fosse stato pacificamente accertato il cosiddetto danno-evento, mancava la prova del danno-conseguenza (serio) e del relativo nesso causale.
La distinzione tra danno-evento e danno-conseguenza è qui cruciale, e spesso trascurata. Il primo è la violazione in sé: i dati sono stati esfiltrati, questo è accertato. Il secondo è ciò che quella violazione ha prodotto nella sfera personale del soggetto: un'ansia concreta e documentabile, un pregiudizio economico, una lesione dell'identità. Quest'ultimo deve essere provato dall'interessato con elementi specifici, non semplicemente affermato o dedotto in via presuntiva dal solo fatto della violazione.
Come si prova il danno da violazione dei dati personali?
La prova del danno da data breach risarcimento è il punto più delicato dell'intera strategia processuale. Non è sufficiente dimostrare che i propri dati siano stati sottratti. Occorre documentare il pregiudizio effettivo subìto: stati d'ansia persistenti attestati da uno specialista, accessi non autorizzati a conti o servizi, danni reputazionali con riscontro concreto, phishing o truffe subite in conseguenza diretta della violazione. Ogni elemento deve essere collegato causalmente al data breach specifico, il che diventa particolarmente complesso quando i dati esfiltrati sono quelli di massa — come nel caso Wind Tre, dove gli interessati si contano a centinaia di migliaia.
Per 41.359 persone, la violazione Wind Tre ha coinvolto anche informazioni relative ai metodi di pagamento, tra cui IBAN, bollettini postali e dati parzialmente oscurati delle carte di credito. Per questi soggetti il rischio di danno patrimoniale concreto è obiettivamente più elevato, e la prova del pregiudizio effettivo potrebbe rivelarsi meno ardua. Per chi ha subìto la sola esfiltrazione di dati anagrafici e di contatto, invece, il percorso risarcitorio si annuncia in salita.
Vale la pena notare che il Garante, nel quantificare la sanzione a Wind Tre, ha tenuto conto di elementi che il giudice civile non può semplicemente traslare in risarcimento: nella determinazione dell'importo, il Garante ha considerato la tempestiva notifica dell'incidente, le misure correttive adottate dopo l'attacco e la collaborazione fornita dalla società nel corso dell'istruttoria. Attenuanti che incidono sulla sanzione pubblica, ma che non elidono il danno privato eventualmente sofferto dagli interessati.
Quando è risarcibile il danno non patrimoniale per data breach?
La risposta che emerge dalla giurisprudenza nazionale più recente è: quando il pregiudizio è reale, individuabile e dimostrabile, e quando supera la soglia minima di gravità e serietà. Questa posizione, però, si discosta dall'orientamento della Corte di Giustizia dell'Unione Europea.
Con la sentenza del 4 settembre 2025 (causa C-655/23), i giudici europei hanno ribadito che la violazione del GDPR non è sufficiente per conferire un diritto al risarcimento ai sensi dell'art. 82 del Regolamento, e che le condizioni cumulative per ottenere il risarcimento sono tre: l'esistenza di un danno materiale o immateriale subìto dall'interessato... — e a questo punto la CGUE diverge dai giudici italiani — perché la Corte europea ha riconosciuto che anche il semplice timore fondato di un futuro utilizzo abusivo dei dati possa costituire un danno immateriale risarcibile, senza richiedere che il danno si sia già manifestato in forma grave e concreta.
È questa la frattura che il Tribunale di Cagliari incarna in modo emblematico: la giurisprudenza italiana applica un filtro di gravità — il danno bagatellare non si risarcisce — che il diritto europeo non conosce nella medesima forma. Il risultato è un sistema in cui il Garante può sanzionare con milioni di euro, ma l'interessato che ha subìto la violazione rimane spesso senza ristoro.
A complicare ulteriormente il quadro, nel luglio 2026 si è inserita la Corte di Cassazione, Prima Sezione civile, con la sentenza n. 22791 del 6 luglio 2026. La Cassazione ha rigettato il ricorso di una casa editrice che invocava la decadenza del potere sanzionatorio del Garante per la protezione dei dati personali, eccepita sul presupposto che la sanzione fosse pervenuta ben oltre il termine annuale previsto dall'art. 143, comma 3, del d.lgs. n. 196/2003 per la definizione del reclamo. La Cassazione ha chiarito che il procedimento di reclamo e il procedimento sanzionatorio del Garante sono distinti, e che i ritardi nella conclusione del primo non fanno decadere il potere di irrogare sanzioni.
Questa pronuncia consolida il potere sanzionatorio del Garante nel tempo — il che è una buona notizia per la tenuta del sistema pubblico di enforcement — ma non risolve il problema opposto: che una sanzione robusta e tempestiva del Garante non genera, per sé sola, alcun diritto al risarcimento privato.
Il brocardo vigilantibus iura subveniunt — il diritto soccorre chi è vigile — si rivela qui particolarmente severo. Chi ha subìto un data breach e intende chiedere un risarcimento deve attivarsi con tempestività e rigore: raccogliere documentazione medica o psicologica che attesti lo stato ansioso, conservare prove di eventuali utilizzi illeciti dei propri dati, segnalare immediatamente al proprio istituto bancario qualsiasi anomalia, e costruire un fascicolo che colleghi causalmente ogni pregiudizio alla specifica violazione subìta. L'attesa che la sanzione del Garante "parli da sola" davanti al giudice civile è un errore che la sentenza n. 970/2026 del Tribunale di Cagliari certifica senza attenuanti.
Come scriveva Norberto Bobbio, il diritto non è soltanto un sistema di norme, ma un sistema di garanzie — e una garanzia che rimane inaccessibile sul piano pratico non è tale che sulla carta. La distanza tra la sanzione milionaria inflitta a chi viola i dati e il risarcimento ottenuto da chi li ha visti violare è, oggi, la misura più precisa di quella inaccessibilità.
Redazione - Staff Studio Legale MP
