Domanda di risarcimento dei danni non patrimoniali per illecito trattamento di dati personali

Illecito trattamento dei dati personali

L'illecito costituito dall'erronea segnalazione di un soggetto costituisce un fatto illecito, il quale, ai sensi degli artt. 2043 e 2050 c.c., obbliga il segnalante al risarcimento dei danni.

Viene regolamentato, in particolare, il caso in cui il trattamento dei dati personali (contenuti in una banca dati) sia avvenuto senza il consenso dell'interessato, ed i dati trattati si siano rivelati non esatti e/o non prontamente aggiornati. Si tratta di un'ipotesi di responsabilità extracontrattuale oggettiva che, proprio nell'ambito del trattamento professionale dei dati personali, trova piena rispondenza in considerazione del valore commerciale che tali dati hanno per gli operatori professionali.

Da ciò consegue che, poiché i danni cagionati per effetto del trattamento dei dati personali sono assoggettati alla disciplina di cui all' art. 2050 c.c., il danneggiato è tenuto solo a provare il danno e il nesso di causalità con l'attività di trattamento dei dati (id est, tra l'esercizio dell'attività e l'evento dannoso), mentre spetta al convenuto la prova di aver adottato tutte le misure idonee ad evitare il danno ( Cass. I, 10638/2016).

Per liberarsi dalla responsabilità prevista dall' art. 2050 c.c., al gestore del trattamento non è sufficiente la prova negativa di non aver commesso alcuna violazione delle norme di legge o di comune prudenza, ma è necessaria la dimostrazione di aver impiegato ogni cura o misura atta ad impedire l'evento dannoso e, quindi, il pregiudizio per il danneggiato che può essere tanto patrimoniale, tanto non patrimoniale (cfr. Cass. I, n. 9785/2015, che ha riconosciuto il risarcimento del danno patito da lesione del diritto alla riservatezza di un soggetto che aveva cambiato sesso, poiché l'ufficio elettorale del Comune dal quale il suddetto si era trasferito aveva trasmesso, senza rispettare le norme, anche tecniche, sulla diffusione dei dati super-sensibili, al Comune di destinazione il fascicolo contenente tutte le informazioni sul mutamento del sesso).

La risarcibilità del danno non patrimoniale è configurabile allorquando il fatto lesivo incida su una situazione giuridica ai diritti fondamentali della persona umana garantiti dalla Costituzione, e fra tali diritti rientra l'immagine, ossia la diminuzione della considerazione della persona. Non c'è dubbio che tanto nel caso della persona fisica, quanto nel caso della persona giuridica, l'illegittima segnalazione è fonte di discredito per il “segnalato”. E in ogni caso, a prescindere dall'attività economica eventualmente esercitata dal danneggiato, si riconosce come l'illegittima segnalazione possa determinare, oltre ad un danno patrimoniale, anche una lesione di fondamentali diritti del debitore, quali quelli all'immagine ed alla reputazione.

Con ciò non si deve, però, ritenere che si tratti di danno risarcibile in re ipsa. Invero, in subiecta materia va fatto tesoro dell'insegnamento delle Sezioni Unite (così Trib. Potenza 13 aprile 2011), in base al quale il danno in re ipsa rappresenta una figura non contemplata dal nostro ordinamento giuridico; né può ammettersi che tale risarcimento possa svolgere una funzione meramente punitiva o sanzionatoria, dal momento che, da un lato, la potestà sanzionatoria in tale materia compete esclusivamente al Garante della privacy e, dall'altro, non può farsi a meno di evidenziare che il sistema della responsabilità aquiliana ha nel nostro ordinamento una funzione prettamente riparatoria (limitandosi ai casi previsti dalla legge i cc.dd. danni punitivi). Non sussiste, pertanto, il diritto al risarcimento del danno non patrimoniale da illecito trattamento di dati personali in mancanza di prova del pregiudizio subìto ( Cass. III, n. 15240/2014; Tribunale Napoli, 28 aprile 2003). Da ciò consegue che, pur in presenza di un trattamento illecito di dati personali, deve ritenersi erronea la condanna del relativo titolare al risarcimento del danno non patrimoniale allorché, per un verso, i pregiudizi all'immagine, all'onore e alla reputazione dell'interessato siano stati dalla stessa pronuncia ritenuti insussistenti o comunque indimostrati e, per altro verso, quest'ultimo non abbia allegato circostanze idonee a provare in che termini si fosse verificata una sofferenza ricollegabile al trattamento (così Cass. VI, n. 18812/2014, in considerazione dell'assenza totale di attività probatoria circa la sussistenza di uno stato di sofferenza, ha deciso la causa nel merito, rigettando la domanda risarcitoria).

Anche se, ogni qual volta emerga che la notizia lesiva risulti compresa nella banca dati della Centrale per un tempo sufficiente a consentirne la percepibilità da parte di coloro che vi hanno accesso, può ritenersi verificata la presunzione di un danno non patrimoniale in capo al segnalato, per la cui determinazione può procedersi in via equitativa ( Trib. Bari II, 23 luglio 2010, n. 2637). Pertanto, il danno va allegato e provato, sia pure attraverso il ricorso a presunzioni semplici, e, quindi, a maggior ragione, tramite testimonianze, che attestino uno stato di sofferenza fisica o psichica.

Inoltre, il danno non patrimoniale risarcibile in base al cd. codice della privacy, pur determinato da una lesione del diritto fondamentale alla protezione dei dati personali tutelato dagli artt. 2 e 21 Cost. e dall'art. 8 della CEDU, non si sottrae alla verifica della “gravità della lesione” e della “serietà del danno” (quale perdita di natura personale effettivamente patita dall'interessato), in quanto anche per tale diritto opera il bilanciamento con il principio di solidarietà ex art. 2 Cost., di cui il principio di tolleranza della lesione minima è intrinseco precipitato, sicché determina una lesione ingiustificabile del diritto non la mera violazione delle prescrizioni poste dall' art. 11 del codice della privacy, ma solo quella che ne offenda in modo sensibile la sua portata effettiva (Cass. III, n. 16133/2014). In particolare, in caso di lesione della riservatezza, astrattamente configurabile in caso di illecito trattamento di dati personali, il diritto al risarcimento del danno postula che a tale condotta sia conseguito uno stato di sofferenza dotato di adeguate caratteristiche di serietà della offesa e gravità del danno.

Il danno non patrimoniale da violazione della privacy va ristorato in relazione sia alla conoscenza di dati personali destinati a rimanere riservati da parte di quanti li avevano illecitamente acquisiti e trattati, sia alla sofferenza patita dall'interessato una volta resosi conto di aver subìto controlli abusivi ( App. Milano 22 luglio 2015).

Il responsabile dell'indebito utilizzo di dati personali, è tenuto al risarcimento dei danni con riferimento alle categorie ordinarie di pregiudizio risarcibile, senza che la citata disciplina speciale, che si limita, come detto, a qualificare pericolosa l'attività ai sensi dell' art. 2050 c.c. (con le conseguenti presunzioni di responsabilità) e ad obbligare al risarcimento dei danni che ne siano derivati, consenta di individuare ulteriori categorie di pregiudizi ( Trib. Torino IV, 28 marzo 2007).

Di recente, la S.C. (Cass. I, n. 14242/2018) ha ribadito che il danno non patrimoniale risarcibile ai sensi dell’art. 15 d.lgs. n. 196/2003 non si sottrae alla verifica della “gravità della lesione” e della “serietà del danno”. In questo contesto, inoltre, pur rimanendo esclusa – anche nella materia in esame – la possibilità di ritenere il danno non patrimoniale insito nella stessa lesione dell’interesse protetto, deve ammettersi la possibilità per il danneggiato di offrire la prova del pregiudizio subìto mediante il ricorso a presunzioni. Ne consegue, pertanto, un’inversione dell’onere della prova a favore dell’interessato, gravando sul danneggiante l’onere di dimostrare il mancato verificarsi del pregiudizio nel caso concreto, ovvero che lo stesso sia irrilevante o, ancora, che il danneggiato abbia tratto vantaggio dalla condotta illecita. La posizione del danneggiato è, tuttavia, agevolata dall’onere della prova più favorevole, come previsto dall’art. 2050 c.c., nonché dalla possibilità di dimostrare il danno anche solo tramite presunzioni semplici e dal risarcimento secondo equità (Cass. I, n. 207/2019).

La produzione in giudizio, effettuata da un medico e dal legale dello stesso, delle fotografie di una paziente relative ad un intervento di mastoplastica dalla stessa subìto costituisce, ai sensi dell' art. 4, lett. l), d.lgs. n. 196/2003, una comunicazione di dati (in quanto rivolta a “dare conoscenza dei dati personali a uno o più soggetti determinati diversi dall'interessato”), che, ai sensi dell'art. 4, lett. a), del medesimo decreto, rientra nella definizione di trattamento. Pertanto, il medico e il legale dello stesso sono tenuti in solido al risarcimento dei danni, ai sensi dell' art. 15 d.lgs. n. 196/2003, atteso che, ai sensi dell'art. 23 del medesimo decreto, il trattamento di dati personali è ammesso solamente con il consenso dell'interessato (che si intende validamente prestato solo se espresso liberamente e specificamente in riferimento ad un trattamento chiaramente individuato, se è documentato per iscritto e se sono state rese all'interessato le informazioni di cui all' art. 13 d.lgs. n. 196/2003), e che la paziente aveva rilasciato il consenso esclusivamente al trattamento dei propri dati per fini scientifici, del tutto estranei al trattamento poi effettivamente realizzato (Cass. III, n. 19172/2014).

Alternatività del ricorso all'autorità giudiziaria rispetto al ricorso del Garante per la protezione dei dati personali

In materia di trattamento dei dati personali, il principio di alternatività del ricorso all'autorità giudiziaria rispetto al ricorso del Garante per la protezione dei dati personali (nel senso che, se da un lato il ricorso al Garante non può essere proposto qualora per il medesimo oggetto e tra le stesse parti è stata già adita l'autorità giudiziaria, dall'altro, la presentazione del ricorso al Garante rende improponibile un'ulteriore domanda davanti all'autorità giudiziaria ordinaria tra le stesse parti e per lo stesso oggetto), previsto nell'ipotesi in cui entrambe le suddette iniziative abbiano il medesimo oggetto, per essere compatibile con l' art. 24 Cost. deve essere inteso in senso specifico e conforme ai principi generali del diritto processuale e, quindi, nel senso che può applicarsi solo quando la domanda proposta in sede giurisdizionale e quella proposta in sede amministrativa siano tali che, in ipotesi di contestuale pendenza davanti a più giudici, potrebbero, in via generale, essere assoggettate al regime processuale della litispendenza o della continenza. Ne consegue che tutte le volte che, in sede giurisdizionale, si fa valere l'inottemperanza da parte del gestore dei dati personali rispetto ai provvedimenti assunti dal Garante e/o viene proposta una domanda di risarcimento del danno patrimoniale o non patrimoniale che è riservata all'esame del giudice ordinario e che comunque ha causa petendi e petitum specifici e del tutto diversi rispetto alle ragioni fatte valere con il ricorso al Garante non può certamente ipotizzarsi l'applicazione del suddetto principio di alternatività delle tutele (Cass. sez. lav., n. 6775/2016). Sia alla luce dell'abrogato comma 12 dell' art. 152, d.lgs. n. 196/2003 sia alla stregua del vigente comma 6 dell' art. 10, d.lgs. n. 150/2011, la tutela risarcitoria riconosciuta per effetto dell'illecito trattamento di dati personali è rimessa in via esclusiva all'autorità giudiziaria ordinaria. Invero, i provvedimenti che possono essere adottati dal Garante, su ricorso ex art. 141, lett. c), d.lgs. n. 196/2003, si articolano in misure di natura provvisoria (blocco in tutto od in parte dei dati o sospensione del trattamento) e definitiva (cessazione del comportamento illegittimo, indicando le misure necessarie a tutela dei diritti dell'interessato e assegnando un termine per la loro adozione; se richiesto dalle parti, poi, il Garante può provvedere sulle spese; infine, ove sorgano difficoltà o contestazioni in ordine all'esecuzione, possono essere disposte modalità di attuazione, sentite le parti. Da tale impostazione, sul piano pratico, deriva che l'accoglimento del ricorso, totale o parziale, da parte del Garante può facilitare il ricorso alla tutela risarcitoria davanti all'autorità giudiziaria ordinaria, ma non escluderla. Nel caso, invece. di rigetto del ricorso da parte del Garante, per adire l'autorità giudiziaria è necessaria l'impugnazione tempestiva del provvedimento di diniego, con conseguente facoltà di proporre la connessa domanda risarcitoria unitamente a quella relativa all'accertamento della illiceità del trattamento dei dati.

La responsabilità del cd. caching e del cd. hosting provider.

L'hosting provider attivo è il prestatore dei servizi della società di informazione il quale svolge un'attività che esula da un servizio di ordine meramente tecnico, automatico e passivo, e pone, invece, in essere una condotta attiva, concorrendo con altri nella commissione dell'illecito, onde resta sottratto al regime generale di esenzione di cui all'articolo 16 d.lgs. n. 70 del 2003, dovendo la sua responsabilità civile atteggiarsi secondo le regole comuni.

Di recente, la S.C., con sentenza n. 7708 del 19/03/2019, ha chiarito che, nell'ambito dei servizi della società dell'informazione, la responsabilità dell'hosting provider, prevista dall'art. 16 d.lgs. n. 70 del 2003, sussiste in capo al prestatore di servizi che non abbia provveduto alla immediata rimozione dei contenuti illeciti, nonchè se abbia continuato a pubblicarli, pur quando ricorrano congiuntamente le seguenti condizioni: a) sia a conoscenza legale dell'illecito perpetrato dal destinatario del servizio, per averne avuto notizia dal titolare del diritto leso oppure aliunde; b) l'illiceità dell'altrui condotta sia ragionevolmente constatabile, onde egli sia in colpa grave per non averla positivamente riscontrata, alla stregua del grado di diligenza che è ragionevole attendersi da un operatore professionale della rete in un determinato momento storico; c) abbia la possibilità di attivarsi utilmente, in quanto reso edotto in modo sufficientemente specifico dei contenuti illecitamente immessi da rimuovere. Resta affidato al giudice del merito l'accertamento in fatto se, sotto il profilo tecnico-informatico, l'identificazione di video, diffusi in violazione dell'altrui diritto, sia possibile mediante l'indicazione del solo nome o titolo della trasmissione da cui sono tratti, od, invece, sia indispensabile, a tal fine, la comunicazione dell'indirizzo “url”, alla stregua delle condizioni esistenti all'epoca dei fatti.

Nell'ambito dei servizi della società dell'informazione, la responsabilità del c.d. caching, prevista dall'art. 15 d.lgs. n. 70 del 2003, sussiste, invece, in capo al prestatore dei servizi che non abbia provveduto alla immediata rimozione dei contenuti illeciti, pur essendogli ciò stato intimato dall'ordine proveniente da un'autorità amministrativa o giurisdizionale.

Le principali novità introdotte, in tema di responsabilità, dal d.lgs. 10 agosto 2018, n. 101, nell'ottica del Regolamento  (Ue) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016.

L'art. 82 del Regolamento Ue è chiaro nel riconoscere il diritto ad ottenere il risarcimento del danno a chiunque subisca un danno, materiale o immateriale, causato da una violazione dello stesso regolamento. E' stata, inoltre, riconosciuta la possibilità di ottenere un risarcimento anche in relazione al danno non patrimoniale.

L'individuazione dei soggetti tenuti al risarcimento del danno nel “titolare del trattamento” e nel “responsabile del trattamento” restringe, da un punto di vista soggettivo, la previsione dell'art. 15 del Codice della privacy, laddove, invece, era stabilito che “chiunque cagiona danno ad altri per lo svolgimento di un'attività pericolosa”.

La detta responsabilità è inquadrata tra le fattispecie di cui agli artt. 2050 e 2054 c.c., quindi, tra le attività pericolose, con la conseguenza che vi è l'inversione dell'onere della prova. Ne deriva che sarà onere del titolare dei dati provare solo l'esistenza di un danno, la sussistenza di una condotta in violazione della normativa a tutela dei dati personali ed il nesso di causalità fra i primi due; mentre il convenuto, per essere esonerato dalla responsabilità risarcitoria, dovrà provare che l'evento dannoso non sia stato in alcun modo a lui imputabile, e che ha posto in essere tutto quanto possibile per evitare l'evento.

Poiché è configurabile una responsabilità solidale tra il titolare ed il responsabile del trattamento, il danneggiato potrà essere risarcito per l'intero ammontare del danno subìto, indifferentemente da uno dei due responsabili, salva la possibilità di rivalsa nei confronti del coobbligato da parte del soggetto che abbia risarcito interamente il danno.

Il quadro delle sanzioni amministrative pecuniarie si è notevolmente inasprito rispetto a quanto previsto dalla previgente normativa, non soltanto per quanto attiene all'entità degli importi delle sanzioni, ma anche per quanto concerne le ipotesi in cui le stesse possono essere comminate.

Il d.lgs. n. 101/2018 ha adeguato il quadro sanzionatorio delineato dal previgente Codice della privacy, lasciando sostanzialmente inalterate le precedenti fattispecie incriminatrici, ma introducendone nuove, al fine della salvaguardia del diritto alla protezione dei dati personali.