Con sentenza del 4.5.2023, a definizione della causa 300-21, la CGUE ha statuito che il riconoscimento del diritto al risarcimento dei danni da violazione di dati personali è subordinato alla sussistenza di tre condizioni cumulative: (i) una violazione del GDPR; (ii) un danno materiale o immateriale derivante da tale violazione (a prescindere dalla sua entità o gravità); (iii) un nesso di causalità tra il danno e la violazione