Hai autorizzato l’uso dei tuoi dati? Non significa che ogni trattamento sia lecito: quando si può chiedere il risarcimento
17 Agosto 2026
Quando si parla di protezione dei dati personali esiste un equivoco particolarmente diffuso: se l’interessato ha autorizzato l’utilizzo dei propri dati, allora chi li tratta sarebbe sostanzialmente al riparo da contestazioni. Non è così.
Il consenso, o, più genericamente, l’autorizzazione dell’interessato, non rappresenta una sorta di sanatoria o lasciapassare capace di rendere legittima qualsiasi operazione compiuta sui dati personali.
È un principio importante, sul quale è intervenuto recentemente anche il Garante per la protezione dei dati personali con il provvedimento n. 381/2026: l’autorizzazione dell’interessato non può rendere lecito un trattamento che, per le modalità con cui viene effettuato, viola la disciplina sulla protezione dei dati.
La questione non è meramente formale. Un trattamento illecito può riguardare informazioni sulla salute, vicende personali e familiari, dati economici, informazioni lavorative o altri elementi della vita privata e, in determinate circostanze, può provocare conseguenze concrete anche molto serie.
La domanda diventa allora inevitabile: se i miei dati vengono trattati illecitamente, nonostante io ne abbia in qualche modo autorizzato l’utilizzo, posso chiedere un risarcimento?
La risposta è sì, quando ricorrono i presupposti previsti dal GDPR. Ma il risarcimento non è automatico.
Il consenso non è un lasciapassare per utilizzare i dati come si vuole
Il punto di partenza è il Regolamento (UE) 2016/679, il GDPR. L’articolo 5 stabilisce i principi fondamentali ai quali deve conformarsi ogni trattamento: liceità, correttezza e trasparenza; limitazione della finalità; minimizzazione dei dati; esattezza; limitazione della conservazione; integrità e riservatezza.
Questi principi devono essere rispettati indipendentemente dall’eventuale manifestazione di volontà dell’interessato. Il consenso, inoltre, costituisce soltanto una delle basi giuridiche che possono rendere lecito un trattamento, come emerge dall’articolo 6 GDPR. E, quando viene utilizzato, deve possedere caratteristiche precise: ai sensi dell’articolo 4, n. 11, deve essere libero, specifico, informato e inequivocabile.
Esistono poi regole ancora più rigorose per le categorie particolari di dati previste dall’articolo 9 GDPR, tra cui quelli relativi alla salute, all’origine razziale o etnica, alle opinioni politiche, alle convinzioni religiose e alla vita o all’orientamento sessuale.
Il punto, quindi, è semplice ma fondamentale: autorizzare un determinato utilizzo non significa autorizzare qualsiasi utilizzo.
Pensiamo a una persona che consegna documentazione sanitaria per ottenere una determinata prestazione. Il fatto che abbia volontariamente fornito quei documenti non significa che essi possano successivamente essere diffusi, comunicati a soggetti estranei o utilizzati per finalità completamente differenti.
La volontà dell’interessato non elimina gli obblighi gravanti sul titolare del trattamento.
Il provvedimento n. 381/2026 del Garante: l’autorizzazione non sana l’illiceità
È proprio su questo aspetto che assume particolare interesse il provvedimento n. 381/2026 del Garante Privacy.
Il principio che emerge dalla decisione è rilevante: l’eventuale autorizzazione proveniente dalla persona alla quale i dati si riferiscono non può trasformare in lecito un trattamento che, alla luce della normativa applicabile, rimane illegittimo.
La ragione risiede nella struttura stessa del GDPR. Il titolare del trattamento è tenuto a verificare autonomamente la presenza di una valida base giuridica, il rispetto della finalità per la quale i dati sono raccolti, la proporzionalità del trattamento e l’osservanza di tutti gli altri principi previsti dalla normativa.
Non può trasferire questa responsabilità sull’interessato attraverso una generica autorizzazione. Un esempio permette di comprendere meglio il problema.
Una persona potrebbe acconsentire alla trasmissione di alcuni documenti contenenti informazioni personali. Questo non significa necessariamente che sia lecita la pubblicazione integrale di quei documenti su un sito accessibile a chiunque, soprattutto qualora la finalità perseguita potesse essere raggiunta oscurando nominativi, informazioni sanitarie o altri dati non pertinenti.
È qui che entra in gioco anche il principio di minimizzazione sancito dall’articolo 5 GDPR: devono essere trattati soltanto i dati adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità perseguite.
L’autorizzazione dell’interessato, pertanto, non cancella il principio di necessità né quello di proporzionalità.
Quando da un trattamento illecito può nascere il diritto al risarcimento
Accertata l’illiceità del trattamento, occorre compiere un secondo passaggio.
Non ogni violazione della normativa sulla privacy determina automaticamente un risarcimento. L’articolo 82 del GDPR riconosce a chiunque abbia subito un danno materiale o immateriale causato da una violazione del Regolamento il diritto di ottenere il risarcimento dal titolare o dal responsabile del trattamento.
Su questo punto è intervenuta in maniera particolarmente importante la Corte di giustizia dell’Unione europea con la sentenza del 4 maggio 2023, causa C-300/21, Österreichische Post.
La Corte ha individuato tre elementi necessari: una violazione del GDPR, l’esistenza di un danno materiale o immateriale e un rapporto causale tra la violazione e il danno.
La mera violazione del Regolamento, dunque, non è sufficiente da sola a fondare una pretesa risarcitoria.
La stessa sentenza ha però stabilito un altro principio estremamente importante: non è possibile pretendere che il danno non patrimoniale superi una particolare “soglia di gravità” per poter essere risarcito.
Significa che non esistono danni automaticamente esclusi perché considerati troppo modesti. Resta però necessario dimostrare che un pregiudizio sia realmente esistito. La distinzione è fondamentale.
Il GDPR non trasforma ogni irregolarità in un’occasione di risarcimento, ma allo stesso tempo non consente di negare tutela soltanto perché il danno immateriale non appare particolarmente grave.
Quali danni possono derivare dall’utilizzo illecito dei dati personali
Le conseguenze possono essere molto diverse. Il caso più semplice è quello del danno patrimoniale.
Pensiamo alla divulgazione illecita di informazioni che determini la perdita di un contratto, un pregiudizio professionale oppure una spesa necessaria per limitare le conseguenze della violazione.
Più delicata è la questione del danno immateriale.
Un trattamento illecito può determinare, a seconda delle circostanze, perdita del controllo sui propri dati, compromissione della riservatezza, lesione della reputazione, discriminazione o altre conseguenze personali.
Non basta però limitarsi ad affermare: “è stata violata la mia privacy”. Occorre ricostruire cosa sia concretamente accaduto a causa della violazione.
Consideriamo, ad esempio, la pubblicazione online di un documento contenente informazioni sanitarie che avrebbero dovuto essere oscurate. Una cosa è accorgersi immediatamente dell’errore, con rimozione del documento prima che venga consultato da terzi. Altra cosa è scoprire che quelle informazioni sono rimaste pubblicamente accessibili per mesi, sono state indicizzate dai motori di ricerca o sono giunte a colleghi, clienti o conoscenti.
La violazione può essere la stessa; le conseguenze risarcibili possono essere profondamente differenti.
È per questa ragione che in una causa risarcitoria assumono particolare importanza le prove: documenti, comunicazioni, screenshot, segnalazioni, eventuali conseguenze professionali ed economiche e ogni elemento utile a dimostrare l’effettivo pregiudizio.
Sanzione del Garante e risarcimento sono due cose diverse
Un’ultima distinzione è indispensabile. Il procedimento davanti al Garante e l’azione per ottenere il risarcimento perseguono finalità differenti.
Il Garante può accertare una violazione, ordinare determinate misure e, quando ne ricorrono i presupposti, applicare le sanzioni amministrative previste dall’articolo 83 GDPR.
Ma la sanzione inflitta al titolare non costituisce il risarcimento della persona danneggiata.
Il risarcimento previsto dall’articolo 82 ha una funzione compensativa: deve ristabilire, per quanto possibile, la situazione della persona che ha concretamente subito le conseguenze dell’illecito.
È quindi possibile che esista una violazione sanzionabile dall’Autorità senza che l’interessato abbia automaticamente diritto a una somma di denaro. Per ottenere il risarcimento occorrerà dimostrare il danno e il collegamento causale con il trattamento illecito.
Ed è proprio qui che l’assistenza legale diventa importante.
Occorre innanzitutto ricostruire la base giuridica del trattamento, comprendere quali dati siano stati utilizzati, da chi, per quale finalità e per quanto tempo. Successivamente bisogna accertare quali conseguenze siano effettivamente derivate dalla condotta e individuare la forma di tutela più appropriata.
Il provvedimento n. 381/2026 del Garante Privacy richiama, in definitiva, un principio che dovrebbe essere centrale in ogni trattamento di dati personali: non è sufficiente poter affermare che “l’interessato era d’accordo”. La liceità deve essere verificata sulla base dell’intero sistema di garanzie previsto dalla normativa.
Se ritieni che i tuoi dati personali siano stati utilizzati, comunicati o diffusi in modo illecito, anche dopo averne inizialmente autorizzato un determinato utilizzo, contatta lo Studio Legale Bombaci & Partners. Analizzeremo le modalità del trattamento e le conseguenze concretamente subite per verificare se sussistano i presupposti per ottenere la cessazione della condotta, la tutela dei tuoi diritti e, quando previsto, il risarcimento dei danni ai sensi dell’articolo 82 del GDPR.
Avv. Alessio Bombaci
