Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
Chi subisce una violazione della privacy spesso parte convinto di avere in mano una causa già vinta: c'è stata un'infrazione al GDPR, dunque il risarcimento è dovuto. Questa convinzione, comprensibile ma giuridicamente imprecisa, è esattamente la trappola che fa perdere molte cause davanti ai giudici civili italiani. La prova del danno da violazione del GDPR è oggi il terreno più scivoloso del contenzioso privacy, e una recentissima pronuncia lo conferma con chiarezza.
La sentenza di Catanzaro: niente risarcimento automatico per la violazione GDPR
La Corte d'Appello di Catanzaro (Sez. I Civile, sentenza 3 giugno 2026 n. 805) ha osservato come, in tema di illecito trattamento dei dati personali, l'esclusione del principio del danno in re ipsa presupponga la prova della lesione conseguente al trattamento. Il caso riguardava l'installazione non autorizzata di videocamere in spazi condominiali: il titolare dell'impianto aveva violato le norme di videosorveglianza previste dal Codice della Privacy e dai provvedimenti del Garante, ed è stato costretto allo smantellamento dell'impianto. Ma il risarcimento? Negato.
Se da un lato l'intrusione nella sfera di riservatezza altrui viene sanzionata con lo smantellamento dell'impianto di videosorveglianza, dall'altro lato la tutela risarcitoria richiede una prova rigorosa perché la violazione formale della privacy non può trasformarsi in una pretesa economica automatica. La pronuncia ribadisce, sul piano della responsabilità civile, che il titolare risponde anche per fatto colposo dei propri dipendenti ai sensi dell'art. 2049 c.c. — ma il nesso causale con un danno effettivo resta comunque indispensabile per ottenere il risarcimento.
Non si tratta di un caso isolato. Nonostante l'intensificarsi dell'attività sanzionatoria delle autorità di controllo, ottenere un indennizzo economico per la lesione della propria privacy si sta rivelando un percorso tutt'altro che scontato per gli interessati, che devono fare i conti con il rigoroso orientamento giurisprudenziale sull'onere della prova. Con una significativa pronuncia, la sentenza n. 970 del 15 aprile 2026, il Tribunale di Cagliari, Sez. II, ha messo un punto fermo in materia di data breach sanitario: i magistrati non giudicavano provati né l'aggravarsi della condizione di ansia dedotta dall'interessata né il nesso causale tra il disagio psicologico allegato e il data breach. Sebbene fosse stato pacificamente accertato il danno-evento, mancava la prova del danno-conseguenza (serio) e del nesso causale.
Vigilantibus iura subveniunt: il diritto assiste chi vigila. E chi vuole il risarcimento deve dimostrare di aver davvero sofferto qualcosa, non solo di essere stato esposto a una violazione.
Dove la giurisprudenza italiana si separa dall'Europa: una frattura da conoscere
Qui emerge la criticità più rilevante sul piano sistematico. L'impostazione della giurisprudenza italiana si discosta dall'orientamento della Corte di Giustizia dell'Unione Europea. Con la sentenza del 4 settembre 2025 (causa C-655/23), i giudici europei hanno ribadito il principio di diritto secondo il quale la violazione del GDPR non è sufficiente per conferire un diritto al risarcimento ai sensi dell'articolo 82 del Regolamento, e che le condizioni cumulative che devono ricorrere perché l'interessato possa ottenere il risarcimento del danno sono tre: l'esistenza di un danno, materiale o immateriale, subìto dall'interessato...
Sin qui i due orientamenti sembrano coincidere. La divergenza si apre sul tipo di danno immateriale che può dirsi provato. La CGUE, attraverso una giurisprudenza ormai consolidata nelle sentenze Österreichische Post (C-300/21), MediaMarktSaturn (C-687/21), Agentsia po vpisvaniyata (C-200/23) e, da ultimo, la causa C-655/23 del settembre 2025, ha stabilito in modo inequivocabile che l'art. 82 GDPR non contempla alcuna soglia minima di rilevanza del danno. La semplice perdita di controllo sui propri dati personali, il timore fondato di un utilizzo abusivo, persino sentimenti negativi quali paura o insoddisfazione, possono costituire danno immateriale risarcibile, a condizione che l'interessato ne fornisca dimostrazione e provi il nesso causale con la violazione.
Questa contraddizione non è puramente teorica. L'interpretazione del giudice italiano, apparentemente divergente da quello europeo, ha come conseguenza pratica quella di diminuire la possibilità di risarcimento del danno per l'interessato, con pregiudizio per l'uniformità di applicazione del GDPR.
Il punto è sottile ma decisivo: la CGUE ammette che anche il timore di un uso futuro dei dati violati possa essere danno risarcibile, purché dimostrato. I giudici italiani sembrano invece richiedere una soglia di concretezza più elevata, orientandosi verso conseguenze percepibili e dimostrabili nella vita effettiva dell'interessato — ansia documentata, reputazione compromessa, pregiudizi economici concreti.
Come ha lucidamente osservato Ronald Dworkin, i diritti non sono meri princìpi programmatici: la loro tutela effettiva dipende interamente dalla capacità delle corti di trasformarli in rimedi azionabili. Quando giurisprudenza nazionale e sovranazionale divergono sul cosa costituisce danno, è proprio l'effettività del diritto a vacillare.
I 3 errori che fanno perdere il risarcimento per danno da violazione della privacy
Il primo errore è confondere l'accertamento dell'illecito con la prova del danno. Il provvedimento del Garante che sanziona il titolare del trattamento, o l'ordinanza del giudice che ordina la rimozione delle videocamere, accertano la violazione della norma — ma non provano automaticamente che il ricorrente abbia subìto un pregiudizio risarcibile. Sono due piani distinti: quello pubblicistico-sanzionatorio e quello civilistico-risarcitorio. Chi confonde i due piani si trova con una sentenza di accoglimento sullo smantellamento dell'impianto e un rigetto sul risarcimento.
Il secondo errore è allegare il danno in modo generico. Scrivere in citazione che la videosorveglianza illecita ha causato "turbamento psicologico", "ansia" o "disagio" senza supportare tali affermazioni con elementi probatori concreti — testimonianze, certificazioni mediche, documentazione dello stato emotivo prima e dopo la violazione — non è sufficiente. La Corte di Giustizia dell'Unione Europea riconosce come danno immateriale risarcibile anche emozioni intangibili, ma ai fini della risarcibilità occorre che l'interessato "dimostri che prova sentimenti siffatti, con le loro conseguenze negative, a causa della violazione del Regolamento". Se questo standard vale anche — e a maggior ragione — per la giurisprudenza italiana, che chiede di più, il rischio di rigetto senza una prova solida è elevatissimo.
Il terzo errore è trascurare il nesso causale tra la violazione e il pregiudizio concreto. Non basta che ci sia stata una violazione e che il ricorrente abbia sofferto di qualcosa: il collegamento tra i due deve essere provato. Nel caso del Tribunale di Cagliari, l'ansia era stata dedotta, ma il collegamento specifico con il data breach non era stato dimostrato. Il giudice ha separato il danno-evento (la violazione accertata) dal danno-conseguenza (il pregiudizio reale), riconoscendo solo il primo e respingendo il secondo.
Un aspetto spesso trascurato riguarda la responsabilità del titolare per fatto dei dipendenti. La sentenza di Catanzaro conferma che il titolare del trattamento risponde solidalmente ex art. 2049 c.c. anche per la condotta colposa dei propri dipendenti nell'uso dei sistemi di sorveglianza: un profilo rilevante per le imprese, che non possono delegare la compliance e poi disconoscere le conseguenze dei comportamenti del personale.
Il quadro che emerge impone una riflessione critica. La norma europea sull'art. 82 GDPR nasce per incentivare la compliance attraverso il rischio del risarcimento civile: se la soglia probatoria per ottenerlo diventa così alta da rendere il rimedio quasi inaccessibile nella pratica, si indebolisce uno dei principali strumenti deterrenti del Regolamento. Il contenzioso privacy italiano rischia di produrre un paradosso: più violazioni accertate dal Garante, meno risarcimenti liquidati dai tribunali civili. Un esito che non serve né agli interessati né a un'effettiva cultura della protezione dei dati.
Redazione - Staff Studio Legale MP
