Trattamento dei dati personali c.d. comuni: forma del consenso e contenuto dell'onere probatorio

La regola introdotta dall'art. 23, comma 3, d.lgs n. 196/2003, secondo cui il consenso al trattamento è validamente prestato, tra l'altro, se è documentato per iscritto, attiene non alla forma di manifestazione del consenso in questione - come invece stabilito per il trattamento dei dati sensibili di cui al comma 4 dello stesso art. 23 - ma al contenuto dell'onere probatorio gravante sul titolare dei dati personali.

Tizio agiva in giudizio per vedere intimata alla società Alfa, presso la quale egli aveva attivato tre utenze di telefonia mobile, l'immediata interruzione sia del trattamento dei propri dati personali sia dell'invio di materiale promozionale e pubblicitario. Tizio chiedeva, inoltre, il risarcimento dei danni patrimoniali e non patrimoniali, asseritamente subiti in conseguenza del cospicuo e continuo invio del materiale indesiderato. A fondamento delle proprie ragioni, l'attore asseriva di non avere prestato valido consenso al trattamento dei propri dati personali c.d. comuni. Il consenso, infatti, era stato reso oralmente e, dunque, in forma tale - secondo la ricostruzione attorea - da inficiarne la validità a norma dell'art. 23, comma 3, d.lgs n. 196/2003; ne discendeva, secondo Tizio, l'illegittimità del comportamento della società Alfa.

Resisteva la convenuta, asserendo la piena validità del consenso prestato da Tizio, nonché la piena legittimità del proprio comportamento. L'invio del materiale indesiderato, infatti, sarebbe intervenuto all'interno dei periodi temporali di efficacia del consenso, con la precisazione che la revoca di questo, intervenuta in tempi differenti e solo per alcune delle utenze, aveva determinato l'interruzione del suddetto invio.

Il Tribunale rigettava la domanda risarcitoria proposta da Tizio, altresì condannandolo alle spese di giudizio e dichiarava cessata la materia del contendere per quanto concerneva l'invio del materiale. Avverso tale sentenza Tizio ricorreva in Cassazione.

Il punto è il seguente: a fronte del consenso al trattamento dei dati personali c.d. comuni, reso in forma non scritta, può dirsi fondata la domanda di risarcimento dei danni patrimoniali e non patrimoniali, asseritamente subiti in conseguenza dell'invio di continui messaggi di contenuto promozionale e pubblicitario?

Il ricorrente asserisce che il trattamento dei propri dati personali da parte della convenuta sia avvenuto in violazione delle norme poste a tutela della riservatezza, atteso il portato dell'art. 23, c. 3, d.lgs n. 196/2003 che, secondo la tesi attorea, richiederebbe per il trattamento anche dei dati personali c.d. comuni la forma scritta, assente nel caso di specie. Tale circostanza varrebbe, pertanto, a escludere la validità della manifestazione di volontà espressa a suo tempo, a qualificare come illegittimo l'utilizzo dei dati da parte della società resistente e a fondare il diritto al risarcimento dei danni lamentati per le ripercussioni negative derivanti dal costante invio del materiale indesiderato.

In ogni caso, sempre nella prospettazione dell'attore, la prova del consenso al trattamento dei dati personali - sulla base della quale la sentenza impugnata aveva respinto la domanda risarcitoria - avrebbe dovuto essere raggiunta con gli ordinari mezzi di prova e non, invece, mediante mera riproduzione informatica. In tal senso, il ricorrente faceva valere il fatto che la riproduzione informatica, al pari degli altri mezzi di riproduzione meccanica, ai sensi dell'art. 2712 c.c., è idonea a fare piena prova dei fatti e delle cose rappresentate solamente qualora colui contro il quale sia prodotta non ne disconosca la conformità ai fatti. Tale circostanza, secondo il ricorrente, non era verificata, avendo egli provveduto a contestare la riproduzione informatica prodotta dalla controparte.

Respingendo le esposte doglianze, la Suprema Corte anzitutto richiama gli approdi della giurisprudenza sulla disciplina che regola la forma del consenso al trattamento dei dati personali e che appare differente a seconda che si tratti di dati personali comuni ovvero sensibili. In proposito, per il trattamento dei soli dati personali c.d. sensibili è prescritta la forma scritta, mentre il silenzio del legislatore relativamente al trattamento dei dati personali c.d. comuni deve intendersi, secondo il Giudice di legittimità, significativo nel senso di escludere un preciso onere di forma ad substantiam (in tal senso, v. anche l'art. 17, dir. 2002/58/CE).

Il fulcro della pronuncia concerne l'esegesi dell'art. 23, comma 3, d.lgs n. 196/2003 nella parte in cui è richiesta la «documentazione per iscritto» del consenso fornito dall'interessato. In merito, la Cassazione precisa che «la prestazione del consenso dei dati personali c.d. comuni non è soggetta al requisito della forma scritta», potendo «essere espressa anche oralmente purché venga documentata per iscritto». Conferma ne sarebbe la differente disciplina delineata al quarto comma del d.lgs n. 196/2003, il quale per i dati personali c.d. sensibili prescrive, invece, la manifestazione del consenso in forma scritta. Insomma, la normativa in esame «ai commi 3 e 4 […] espressamente e logicamente distingue le due ipotesi, imponendone una diversa disciplina e significativamente tacendo sulla forma della prima».

La precisazione normativa che il consenso al trattamento dei dati c.d. comuni per essere valido debba essere «documentato per iscritto», infatti, attiene non alla forma del consenso, ma al contenuto dell'onere probatorio gravante sul titolare del trattamento: questi, in caso di controversia, ha l'onere di fornire la documentazione per iscritto del consenso prestato dall'utente per il trattamento dei propri dati personali, restando indifferente la forma, orale o scritta, con cui quest'ultimo abbia a suo tempo manifestato il consenso.

Relativamente, poi, alla doglianza sul mezzo utilizzato per fornire la prova del consenso, il Supremo Collegio ricorda che la documentazione per iscritto può sempre essere integrata da riproduzioni meccaniche o informatiche ex art. 2712 c.c., salva la verifica giurisdizionale dell'idoneità ed adeguatezza del contenuto dell'acquisita annotazione. Il disconoscimento a opera della controparte, previsto dalla norma e volto limitare l'efficacia probatoria del mezzo di prova, deve essere chiaro e circostanziato e deve concretizzarsi nell'allegazione di elementi attestanti la non rispondenza tra la realtà e l'oggetto della riproduzione. Nel caso di specie, invece, il ricorrente aveva contestato non il dato annotato ma soltanto la validità del consenso espresso in forma non scritta e poi trasposto nel sistema informatico della resistente società.

Pertanto, la Suprema Corte, risolta in senso affermativo la questione relativa alla validità del consenso, in mancanza di contestazione circa il fatto che l'invio del materiale, per tutte le utenze intestate al ricorrente, era avvenuto nei periodi di tempo in cui il consenso - ritenuto valido - spiegava effetti, respinge il ricorso.

Come noto, la tutela civilistica della riservatezza è affidata al d.lgs n. 196/2003, nel quale è contenuta la disciplina attinente al trattamento dei dati personali - relativi a persone, anche minori, ed enti - che trova applicazione ad eccezione delle ipotesi in cui tale trattamento sia eseguito per finalità personali - salvo che i dati siano destinati ad una comunicazione sistematica o alla diffusione - ovvero in esecuzione di funzioni di rilievo pubblicistico da parte di soggetti espressamente autorizzati.

Specifiche disposizioni sono previste in tema di consenso al trattamento dei dati: è, anzitutto, prescritto che l'utente debba essere informato circa gli scopi del trattamento, i quali, tra l'altro, debbono risultare determinati, espliciti e legittimi; in secondo luogo, il consenso, per essere valido, deve essere espresso liberamente, riguardare un trattamento precisamente individuato, essere documentato in forma scritta salvo le eccezioni previste dalla legge (e.g., trattamento eseguito a fini di giustizia). Per i dati personali c.d. comuni si tratta, dunque, di forma ad probationem tantum.

Per i dati sensibili - quelli, cioè, idonei a rivelare l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché dati personali idonei a rivelare lo stato di salute e la vita sessuale dell'interessato - è, invece, richiesta la forma scritta ad substantiam actus. Sul punto, dottrina e giurisprudenza sono concordi ed è, pertanto, senz'altro da condividersi la sentenza in commento che si fonda proprio su tale distinzione.

In tema di consenso, poi, si sostiene autorevolmente che questo non possa considerarsi come negozio dispositivo di un bene, il che presupporrebbe l'acquisto di un diritto di proprietà sui dati e, dunque, anche una successione nel relativo diritto. Al contrario, i molteplici doveri di comportamento - per il cui adempimento è possibile agire di fronte al giudice o al Garante - previsti dal d.lgs. n. 196/2003 a carico del titolare del trattamento (e.g., informare dell'inizio dell'attività il Garante, consentire all'utente l'accesso, la rettifica, la cancellazione dei propri dati, garantirne la sicurezza, nonché interrompere l'invio in caso di revoca del consenso) risultano incompatibili con un atto di acquisto.

In punto di responsabilità, l'art. 15, d.lgs. n. 196/2003 prevede la condanna al risarcimento ai sensi dell'art. 2050 c.c. per i danni cagionati in conseguenza dell'illecito trattamento dei dati personali: si prescinde, dunque, dalla prova della colpa, posta la parificazione del trattamento dei dati all'esercizio di un'attività pericolosa. Resta ferma, in ogni caso, la responsabilità ex art. 2043 c.c.

Quanto al risarcimento dei danni non patrimoniali, questo è espressamente previsto, ex art. 15, comma 2, d.lgs. n. 196/2003, anche per il caso di violazione della modalità di raccolta dei dati, disciplinata a norma dell'art. 11 della stessa normativa.

Il mancato rispetto delle disposizioni sul trattamento dei dati personali è, inoltre, fonte di responsabilità penale ex artt. 167 ss., d.lgs 196/2003, e amministrativa ex artt. 161 ss. dello stesso decreto legislativo.