Risarcimento Danni per Violazione Privacy e Dati Sanitari
Un caso emblematico: Data Breach ASL 1 Abruzzo, attacco Hacker, sottrazione e pubblicazione Dati Sanitari
Agli inizi del mese di maggio 2023 gli organi di stampa iniziavano a diffondere la notizia di un attacco hacker ai sistemi informatici della ASL1 Avezzano, Sulmona, L’Aquila con esfiltrazione di dati pubblicati online.
Dal 12.05.2023 gli avvocati Marco Colantoni e Pier Luigi D’Amore, per conto dei propri clienti, inoltravano alla ASL1 quale titolare del trattamento dei dati asseritamente esfiltrati, specifiche istanze volte ad avere effettiva e formale notizia della sottrazione e pubblicazione.
In data 18.05.2023, con comunicazione ex art. 34 G.D.P.R. pubblicata sul sito istituzionale dell’Azienda Sanitaria, il titolare del trattamento confermava l’attacco subìto, con conseguente sottrazione e diffusione su internet di dati personali, genetici, biometrici e sulla salute degli assistiti.
Poco dopo venivano sporte da parte degli assistiti degli avvocati D’Amore e Colantoni querele contro ignoti.
In data 30.05.2023 era consegnato al Garante per la Protezione dei Dati Personali il primo reclamo redatto dagli avvocati Colantoni e D’Amore nell’interesse dei propri assistiti, a cui ne seguivano di ulteriori.
Primi riscontri e provvedimento 255 del 2023
I primi riscontri della ASL pervenivano sul finire del mese di maggio. Con formulazione stereotipata, si ribadiva quanto affermato col comunicato del 18 maggio: l’Azienda non era in grado di riferire se tra i dati sottratti e pubblicati vi fossero quelli dei soggetti patrocinati dai due legali.
In data 15.06.2023 veniva pubblicato sul sito istituzionale del Garante privacy il provvedimento n. 255 del 08.06.2023 con il quale l’Autorità predetta ingiungeva alla ASL1 “…di comunicare individualmente a tutti gli interessati coinvolti (di cui l’Azienda ha evidenza allo stato o ne avrà in futuro) la violazione dei dati personali, descrivendone la natura e le possibili conseguenze, fornendo i dati di contatto del responsabile della protezione dei dati o di altro punto di contatto appositamente istituito presso cui ottenere più informazioni, nonché fornendo informazioni sulle misure adottate per porre rimedio alla violazione e per attenuarne i possibili effetti negativi…” assegnando per l’adempimento giorni quindici.
Iniziavano così a pervenire comunicazioni individuali ai pazienti ASL 1 i cui dati erano stati interessati dall’evento (si erano nel frattempo meglio chiariti i fatti: esfiltrazione di 389 GB di dati personali e sanitari, successivamente pubblicati sul dark web da organizzazioni criminali ove sarebbero rimasti sino al mese di luglio).
Le indagini in sede penale sarebbero proseguite per oltre due anni (passando, nel 2025, dalla Procura di L’Aquila a quella di Campobasso che domandava ulteriore proroga).
Il provvedimento n. 83/2025
Nel mese di marzo 2025 il Garante, a mezzo pec, comunicava agli avvocati Colantoni e D’Amore l’avvenuta adozione del provvedimento n. 83/2025 (doc. web n. 10116834, il medesimo provvedimento che ha sollevato scalpore nell’opinione pubblica – soprattutto nel mese di novembre 2025 a seguito di inchiesta giornalistica di Report incentrata per lo più sull’entità della sanzione e su presunti conflitti di interesse relativi ad alcuni membri del Garante; aspetti, questi ultimi, ininfluenti sulle problematiche affrontate dallo Studio).
L’analisi dei contenuti giuridici e tecnico/informatici del provvedimento 83/2025, ha permesso agli Avv.ti Colantoni e D’Amore di iniziare, a novembre 2025, l’inoltro all’Azienda di istanze risarcitorie puntuali e circostanziate,prodromiche alla proposizione delle relative domande giudiziali.
L’Intervento del Garante Privacy: Provvedimento del 13 Febbraio 2025
Le Violazioni Accertate dal Garante Privacy
Il Garante privacy ha accertato gravi e plurime violazioni del GDPR da parte dell’Azienda Sanitaria (in particolare, violazioni degli articoli 5, 12, 32 e 34 del Regolamento UE 2016/679 scaturite da molteplici condotte e scelte organizzative connotate da colpa grave, imprudenza, imperizia che sembrano palesare una sorta di “risk acceptance”).
Come anche confermato da esperti di cybersicurezza di fiducia di Impresa & Consumo che hanno a lungo studiato il provvedimento in discorso, le violazioni predette sono derivate da accertate vulnerabilità nella conservazione e protezione dei dati che hanno permesso agli hacker di entrare nel sistema ASL e muoversi indisturbati.
Alcune erano ben note e richiedevano semplici attività operative pressoché in assenza di qualsivoglia costo per l’Azienda.
Ci si trova, quindi, dinanzi a errori elementari di gestione, scelte errate, carenze organizzative che avrebbero potuto essere evitate con minime misure di ordinaria sicurezza informatica. Non si è trattato, in definitiva, di una sfida tecnologica insuperabile, ma di un venire meno di obblighi basilari.
Fondamento Giuridico del Diritto al Risarcimento
Le richieste risarcitorie inoltrate, sono state il prodotto di analisi giuridica di un numero sterminato di fonti e di collaborazione sinergica con esperti informatici e di cybersicurezza e si fondano sugli elementi che vengono, con estrema sintesi, riportati nei paragrafi che seguono.
Giurisprudenza della Corte UE
In merito al risarcimento del danno non patrimoniale derivante da violazione del GDPR, la Giurisprudenza Europea ha elaborato tre fondamentali principi di diritto:
Principio 1: non sufficienza della mera violazione
L’articolo 82, paragrafo 1 del GDPR deve essere interpretato nel senso che la mera violazione delle disposizioni del Regolamento non è sufficiente per configurare un diritto al risarcimento.
È invece necessario che ricorrano cumulativamente tre elementi:
- violazione accertata del GDPR,
- danno effettivamente subìto,
- nesso causale tra violazione e danno.
Principio 2: Assenza di Soglia Minima di Gravità
Secondo la CGUE, la normativa di settore (GDPR) osta a qualunque norma o prassi nazionale che subordini il risarcimento di un danno immateriale al superamento di una determinata soglia di gravità.
La Corte precisa che “danno materiale o immateriale” ai sensi del GDPR, costituiscono nozioni autonome del diritto dell’Unione, da interpretare uniformemente in tutti gli Stati membri.
Dunque anche ove il danno fosse considerato “marginale”, ciò non potrebbe escludere il diritto al risarcimento.
Principio 3: Pieno ed Effettivo Risarcimento
La Giurisprudenza unionale ribadisce che l’art. 82 GDPR deve garantire un pieno ed effettivo risarcimento per il danno subìto, che lo compensi integralmente nel rispetto dei principi di equivalenza ed effettività.
La Giurisprudenza di Legittimità nazionale
La Suprema Corte di Cassazione, a partire dal 2023, si è dimostrata in linea con le decisioni della CGUE, superando l’orientamento più restrittivo in punto di risarcimento del danno non patrimoniale da violazione della normativa privacy. Ha quindi affermato alcuni principi fondamentali.
Principio 1: Danno come Lesione di Diritto Fondamentale
Secondo la Cassazione, il danno non patrimoniale derivante da violazione della normativa privacy è determinato da una lesione del diritto fondamentale alla protezione dei dati personali tutelato costituzionalmente.
Principio 2: Danno Anche Se Marginale
Il risarcimento spetta ogni qual volta la violazione della privacy si traduca in una lesione concreta, anche quando il danno sia in apparenza “piccolo”, purché reale e dimostrabile.
Principio 3: Ostensione dei Dati e Lesione della Riservatezza
La lesione effettiva della riservatezza si verifica con l’ostensione (divulgazione) dei dati dell’interessato.
Quando il danno non è imputabile
La Suprema Corte ha altresì evidenziato come il titolare del trattamento potrebbe liberarsi dalla responsabilità risarcitoria solo dimostrando che l’evento dannoso non gli è in alcun modo imputabile.
Applicazione pratica alla vicenda ASL1
Da quanto esposto nei paragrafi precedenti, è possibile affermare che nella vicenda ASL 1 risultino accertate molteplici, gravi violazioni della normativa privacy.
Da tali violazioni è derivato un danno immateriale pluriforme e concreto (solo a titolo esemplificativo: danno da lesione della riservatezza medica, psichico, reputazionale etc.) che deve ovviamente essere opportunamente argomentato e documentato.
È poi evidente il nesso causale tra violazioni accertate dal Garante e danno subìto dai pazienti ASL interessati.
Quantificazione del Danno Risarcibile
Aspetto assai complesso è senza ombra di dubbio quello della quantificazione dell’importo di denaro che possa compensare il danno subìto.
La Giurisprudenza unionale sul punto offre elementi di base e principi cui uniformarsi. Non procede, però, ad una diretta quantificazione o alla indicazione di “parametri numerici”, limitandosi a rimandare alla normativa interna dei singoli Stati membri.
Nel nostro ordinamento non esiste attualmente una norma utile ai fini della determinazione esatta del quantum risarcibile con riferimento al danno non patrimoniale derivante dalla violazione della normativa privacy.
Ne consegue che la quantificazione debba essere effettuata utilizzando, oltre ai principi indicati dalla Corte Europea e dalla Corte di Legittimità, anche parametri e/o tabelle comunemente utilizzate per fattispecie affini, avendo l’accortezza di mantenersi entro i confini del pregiudizio effettivamente subìto e della ragionevolezza.
Tale modus operandi ovviamente non può prescindere dalla attenta e approfondita analisi delle specifiche condizioni del danneggiato.
Articolo aggiornato a dicembre 2025
Disclaimer: Questo articolo è fornito a scopo informativo e non costituisce consulenza legale. Per una valutazione specifica del vostro caso, contattate lo studio legale per una consultazione personalizzata.
Continua a leggere i nostri articoli
Per informazioni su Risarcimento Danni per Violazione Privacy e Dati Sanitari, contattaci
Comments are closed