La Corte di Giustizia UE ha progressivamente abbassato la soglia di prova per il danno immateriale risarcibile ex art. 82 GDPR, mentre la giurisprudenza italiana continua ad applicare un filtro di gravità e serietà in contrapposizione con l’orientamento europeo. Una ricognizione dello stato dell’arte, con un occhio alle conseguenze pratiche per i data breach che coinvolgono dati sanitari o disciplinari dei dipendenti.
Quanto deve essere “grave” un data breach perché la persona coinvolta abbia diritto a un risarcimento? Sembrava una domanda con risposta consolidata — serve un danno concreto, provato, non un semplice disagio — ma la giurisprudenza degli ultimi tre anni l’ha riaperta: da un lato la Corte di Giustizia UE ha valorizzato sempre più il diritto al risarcimento previsto dall’art. 82 GDPR, dall’altro l’Italia continua a muoversi su un binario più restrittivo.
Capire dove si colloca oggi l’asticella non è un esercizio accademico: il contesto lavorativo, dove certificati medici e informazioni disciplinari transitano quotidianamente tra HR e medico competente, è tra i più esposti a nuove richieste risarcitorie.
Indice degli argomenti
Danno da data breach nel GDPR: il quadro europeo
L’art. 82 GDPR riconosce a chiunque subisca un danno materiale o immateriale da una violazione del Regolamento il diritto al risarcimento. Il Considerando 146 rimanda alla giurisprudenza della Corte di Giustizia l’interpretazione autentica di questa nozione, che si è costruita attraverso una linea evolutiva coerente:
la mera violazione non è sufficiente: servono tre condizioni cumulative — violazione, danno, nesso di causalità — che chi lamenta il danno deve sempre allegare e, se contestato, provare;
non è ammissibile una soglia minima di gravità (“de minimis”) imposta a livello nazionale: la Corte lo ha ribadito anche nella sentenza del 19 marzo 2026 (causa C-526/24), affrontando pure l’ipotesi — rilevante per i contenziosi di lavoro — in cui il danno derivi dalla violazione degli obblighi di informazione e accesso (artt. 12 e 15 GDPR), non da un trattamento illecito in senso stretto;
la nozione di danno immateriale è ampia, ma non automatica: con la sentenza del 4 settembre 2025 (causa C-655/23), la Corte ha affermato che anche la semplice perdita di controllo sui propri dati, o il timore di un loro uso improprio, può integrare un danno risarcibile — a condizione che l’interessato dimostri di aver effettivamente provato quel timore, con le sue conseguenze negative, e il nesso causale con la violazione. La sentenza di marzo 2026 ribadisce che la mera allegazione, senza prova concreta, non basta.
La prova del danno immateriale dopo le sentenze UE
Il baricentro si è quindi spostato dalla domanda “quanto è grave il danno?” alla domanda “il danno, per quanto lieve, è stato davvero provato?”: una distinzione che sposta il contenzioso dalla qualificazione giuridica all’istruttoria probatoria caso per caso.
È in questo quadro che si inseriscono pronunce nazionali che, applicando questi principi, respingono comunque domande fondate su timori non dimostrati: un tribunale polacco, ad esempio, ha di recente negato il risarcimento a una dipendente i cui dati sanitari erano stati inviati per errore a un indirizzo privato e cancellati nella stessa giornata, ritenendo il timore dichiarato non supportato da elementi concreti, in assenza di indizi di accesso da terzi.
Un caso che mostra come la soglia probatoria della Corte di Giustizia UE, per quanto bassa, resti comunque una soglia, e continui a filtrare le domande più deboli.
Il danno da data breach in Italia tra GDPR e filtro della serietà
La giurisprudenza italiana si muove su un binario diverso. La Cassazione, con l’ordinanza n. 13073/2023, ha ribadito un orientamento già maturato prima del GDPR (sent. n. 17383/2020): il danno da illecito trattamento non si presume automaticamente, e l’interessato deve provare non solo la violazione ma anche la “gravità della lesione” e la “serietà del danno”, intesi come pregiudizio che superi la soglia di tollerabilità minima imposta dal principio di solidarietà sociale (art. 2 Cost.).
L’impostazione non è un episodio isolato: anche nel 2026 alcuni tribunali di merito l’hanno applicata in modo esplicito, respingendo domande risarcitorie — a fronte di un “danno-evento” accertato dal Garante — per mancanza di prova del “danno-conseguenza” serio e concreto.
Il punto di frizione con Lussemburgo è evidente: se la Corte di Giustizia esclude soglie minime imposte a livello nazionale, un filtro di “serietà” rischia di introdurre proprio quel de minimis che l’Europa ha ripetutamente negato. Parte della dottrina segnala questa tensione come destinata a una ricomposizione, forse tramite rinvio pregiudiziale, ma nel frattempo il rischio per chi opera in Italia è duplice: un contenzioso interno relativamente prevedibile, e l’incertezza di un possibile allineamento, anche retroattivo, alla linea più permissiva europea.
Data breach in azienda: i rischi di danno per dati HR e dipendenti
Il contesto lavorativo è particolarmente esposto per tre ragioni: la frequenza dei trattamenti di dati sensibili (certificati medici, esiti disciplinari, dati di infortunio, con margini di errore materiale non trascurabili); la relazione di dipendenza tra le parti, che rende più plausibile — e più facilmente allegabile in giudizio — un vissuto di preoccupazione; e la sovrapposizione con altri titoli di responsabilità, come la tutela della dignità già presidiata dallo Statuto dei Lavoratori.
L’effetto combinato di questi fattori e dell’apertura di Lussemburgo rende ragionevole attendersi un aumento del contenzioso, anche di modesta entità, legato a incidenti fino a poco tempo fa considerati troppo lievi per generare una richiesta di risarcimento.
Come gestire un data breach minore e ridurre il rischio di danno
Documentare tempestivamente il contenimento: rapidità di cancellazione e assenza di accesso da terzi sono elementi che i giudici valorizzano per escludere il danno, e vanno tracciati dal primo momento, non ricostruiti a posteriori.
Comunicare all’interessato in modo tempestivo e trasparente, anche senza obbligo di notifica al Garante: riduce la plausibilità di un timore prolungato, oggi al centro dell’onere della prova.
Evitare di minimizzare l’incidente: una gestione percepita come reticente alimenta, più della violazione in sé, il disagio emotivo potenzialmente risarcibile.
Mappare i flussi di dati sensibili in ambito HR, individuando i punti di maggior rischio (invii massivi, chat di gruppo, allegati non controllati) e introducendo controlli specifici.
Predisporre un modello di verbalizzazione interna dell’incidente, con orario di rilevazione, tempo di contenimento, categorie di dati coinvolte, evidenza di assenza di accesso da terzi, misure correttive.
Monitorare l’evoluzione giurisprudenziale italiana: un rinvio pregiudiziale o un revirement della Cassazione potrebbero modificare rapidamente le prospettive di rischio anche per incidenti già verificatisi.
Documentazione e conseguenze concrete dell’incidente
La sintesi, per chi gestisce data breach in ambito HR, è che il criterio della “gravità minima” non è più — se mai lo è stato — un rifugio sicuro. La partita si gioca sulla capacità di dimostrare, con documentazione puntuale, che l’incidente è stato contenuto, comunicato correttamente e privo di conseguenze concrete: non perché la legge richieda ancora una soglia di gravità, ma perché è questa la prova che permette di escludere che quella soglia — sempre più bassa — sia stata superata.
Partecipa alla community