Illecito trattamento di dati personali (responsabilità per)

Nozione

IN FASE DI AGGIORNAMENTO AUTORALE DI PROSSIMA PUBBLICAZIONE

L'art. 15, D.Lgs. 30 giugno 2003, n.196 - Codice in materia di protezione dei dati personali (c.d. Codice Privacy), intitolato «danni cagionati per effetto del trattamento», prevede che: «Chiunque cagiona danni ad altri per effetto del trattamento di dati personali è tenuto al risarcimento ai sensi dell'art. 2050 c.c.. Il danno non patrimoniale è risarcibile anche in caso di violazione dell'art. 11».

L'articolo in esame introduce quindi due caratteristiche specifiche che distinguono il risarcimento dei danni causati dal trattamento dei dati personali dall'ordinario risarcimento dei danni extra-contrattuali:

• il trattamento dei dati viene costituisce svolgimento di attività pericolosa ex art. 2050 c.c.. Sul punto dottrina e giurisprudenza non sono univoche; la dottrina prevalente vede nella responsabilità per attività pericolosa da trattamento di dati personali un caso di responsabilità oggettiva, mentre la giurisprudenza prevalente la configura come responsabilità aggravata con inversione dell'onere della. In ogni caso la conseguenza pratica è di onerare il convenuto di una prova estremamente difficile, al limite della probatio diabolica, quale quella di dimostrare di aver adottato tutte le misure possibili e comunque idonee ad evitare il danno.
• Il danno non patrimoniale è risarcibile non solo in caso di reato – e molti dei trattamenti illeciti di dati configurano anche reato, ai sensi dell'art. 167 ss. Cod. Privacy – ma anche in tutti i casi di violazione dei principi generali (ed assai ampi) stabiliti dall'art. 11 Cod. Privacy, vale a dire la liceità e correttezza del trattamento, l'esattezza, l'aggiornamento, la pertinenza, la completezza, la non eccedenza dei dati e la congrua conservazione degli stessi. L'attore quindi è facilitato nell'ottenere un pieno risarcimento, in quanto non vincolato dalle limitazioni elaborate dalla giurisprudenza in materia di risarcibilità del cd. “danno esistenziale”.

Elemento oggettivo

La nozione di trattamento dei dati (ex art. 4, comma 1, lett. a) Cod. Privacy) è estremamente ampia e tendenzialmente onnicomprensiva: infatti si configura un trattamento di dati personali in presenza di qualsiasi operazione (inclusa la raccolta dei dati, la loro distruzione o anche la mera conservazione “passiva” degli stessi) avente ad oggetto qualsivoglia informazione (nome, indirizzo, caratteristiche fisiche, immagine, voce) relativa a persone fisiche identificate o identificabili, anche in modo indiretto.

Al riguardo la Corte di Cassazione (Cass., 8 agosto 2013, n. 18981) ha precisato che «la legge tutela anche i dati già pubblici o pubblicati, poiché colui che compie operazioni di trattamento di tali informazioni, dal loro accostamento, comparazione, esame, analisi, congiunzione, rapporto od incrocio, può ricavare ulteriori informazioni e, quindi, un “valore aggiunto informativo” non estraibile dai dati isolatamente considerati, potenzialmente lesivo della dignità dell'interessato».

Il che significa che il campo di applicazione della disciplina è estremamente ampio, in quanto la maggioranza delle attività umane implica (anche) un trattamento di dati personali.

Ne deriva quindi la risarcibilità dei danni (anche non patrimoniali) non solo qualora il trattamento dei dati sia illecito, e pertanto a fronte di fattispecie predefinite, ancorché non tassative (es. trattamento senza il consenso dell'interessato, o a fronte di omessa informativa sulle finalità o caratteristiche del trattamento, o a fronte di casi specifici di trattamenti che il Codice Privacy indica come illeciti), ma anche in una serie aperta di casi che di per sé non costituirebbero un illecito trattamento (es. trattamenti a cui il soggetto cui i dati si riferiscono aveva dato il consenso ma che, anche successivamente, sia emerso implicassero il trattamenti di dati “eccedenti” rispetto a quelli minimali strettamente necessari). Di fatto, qualsiasi trattamento dei dati scorretto, eccessivo o anche semplicemente erroneo (trattamento di dati non corretti o non aggiornati) può dar luogo a risarcimento di danno anche non patrimoniale.

Elemento soggettivo

Trattandosi di responsabilità oggettiva, non occorre provare alcun elemento soggettivo in capo al danneggiante, essendo sufficiente la prova dell'esistenza di un nesso di causalità materiale tra evento e condotta.

Onere della prova

Secondo lo schema tipico della responsabilità oggettiva, il danneggiato deve identificare un trattamento di dati effettuato da un titolare del trattamento, deve provare di aver subito un danno e il nesso di causalità fra il trattamento ed il danno.

A quel punto, per andare esente da responsabilità, il titolare danneggiante deve provare di aver adottato tutte le misure possibili al fine di evitare un trattamento non consentito dei dati, il che sostanzialmente equivale a provare il caso fortuito quale causa del danno.

La giurisprudenza non è univoca nel richiedere anche la prova che il trattamento costituisca un illecito ex art. 167 Cod. Privacy, in quanto tale requisito non è espressamente previsto dalla legge, e pertanto il danneggiante ben potrebbe essere condannato anche a fronte di un trattamento che formalmente risulta lecito; da questo punto di vista, tuttavia, l'esercizio di un diritto viene considerato una scriminante (Cass., 22 settembre 2011, n. 19365; Cass. 8 febbraio 2011, n. 3033).

Accertamento del danno e criteri di liquidazione

La Suprema Corte ha più volte chiarito che il danno da trattamento dei dati, come ogni altro tipologia di danno, non può ritenersi “in re ipsa”, ma che va allegato e provato con qualsiasi mezzo, incluse le presunzioni semplici e la prova testimoniale che attesti uno stato di sofferenza fisica o psichica (Cass.,5 settembre 2014, n. 18812; Cass., 14 agosto 2014, n. 17974; Cass.,26 settembre 2013, n. 22100; Cass., 25 settembre 2012, n. 16279; Cass., n. 10527/2011). Tuttavia, proprio l'ampio utilizzo delle presunzioni fa sì che spesso la giurisprudenza di merito si avvicini molto al desumere il danno dall'illecito. In tal senso, esemplificativamente, Trib. Bari,23 luglio 2010, n. 2637: «Si riconosce come l'illegittima segnalazione (al registro dei cattivi pagatori) possa determinare, oltre ad un danno patrimoniale, anche una lesione di fondamentali diritti del debitore, quali quello all'immagine ed alla reputazione. Con ciò non si deve però ritenere che si tratti di danno risarcibile "in re ipsa". Infatti, ogni qual volta emerga che la notizia lesiva risulti compresa nella banca dati della Centrale per un tempo sufficiente a consentirne la percepibilità da parte di coloro che vi hanno accesso, può ritenersi verificata la presunzione di un danno non patrimoniale in capo al segnalato, per la cui determinazione può procedersi in via equitativa».

Testualmente negli stessi termini Trib. Milano, 8 maggio 2014 (inedita), facendo inoltre riferimento «al presumibile disagio che la situazione denunciata ha arrecato al ricorrente».

Al riguardo anche Cass.,15 luglio 2014, n. 16133: «Il danno non patrimoniale risarcibile ai sensi dell'art. 15, d.lgs. 30 giugno 2003, n. 196 (Cod. Privacy), pur determinato da una lesione del diritto fondamentale alla protezione dei dati personali tutelato dagli artt. 2 e 21 Cost. e dall'art. 8 dCedu, non si sottrae alla verifica della "gravità della lesione" e della "serietà del danno" (quale perdita di natura personale effettivamente patita dall'interessato), in quanto anche per tale diritto opera il bilanciamento con il principio di solidarietà ex art. 2 Cost., di cui il principio di tolleranza della lesione minima è intrinseco precipitato, sicché determina una lesione ingiustificabile del diritto non la mera violazione delle prescrizioni poste dall'art. 11 del cod. Privacy ma solo quella che che ne offenda in modo sensibile la sua portata effettiva». In tal senso anche Cass.,11 gennaio 2016, n. 222 e Cass. 3 marzo 2015, n. 4231.

Aspetti processuali

Le controversie in materia di privacy sono soggette ad un rito processuale speciale, recentemente attenuato. L'art. 152 Cod.Privacy dispone infatti che

1. «Tutte le controversie che riguardano, comunque, l'applicazione delle disposizioni del presente codice, comprese quelle inerenti ai provvedimenti del Garante in materia di protezione dei dati personali o alla loro mancata adozione, nonché le controversie previste dall'articolo 10, comma 5, della legge 1° aprile 1981, n. 121 (Relative ai dati di polizia detenuti presso il Centro Elaborazione Dati del Ministero dell'Interno), e successive modificazioni, sono attribuite all'autorità giudiziaria ordinaria.

1-bis. Le controversie di cui al comma 1 sono disciplinate dall'articolo 10 del decreto legislativo 1° settembre 2011, n. 150».

Il richiamato art. 10 del D.Lgs. 1° settembre 2011, n. 150 («disposizioni complementari al codice di procedura civile in materia di risoluzione e semplificazione dei procedimenti civili di cognizione, ai sensi dell'art. 54 della legge 18 giugno 2009, n. 69»), dispone che: «1. Le controversie previste dall'articolo 152 del decreto legislativo 30 giugno 2003, n. 196, sono regolate dal rito del lavoro, ove non diversamente disposto dal presente articolo. E' competente il tribunale del luogo in cui ha la residenza il titolare del trattamento dei dati, come definito dall'articolo 4 del decreto legislativo 30 giugno 2003, n. 196. Il ricorso avverso i provvedimenti del Garante per la protezione dei dati personali è proposto, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento o dalla data del rigetto tacito, ovvero entro sessanta giorni se il ricorrente risiede all'estero. L'efficacia esecutiva del provvedimento impugnato può essere sospesa secondo quanto previsto dall'articolo 5”. Se alla prima udienza il ricorrente non compare senza addurre alcun legittimo impedimento, il giudice dispone la cancellazione della causa dal ruolo e dichiara l'estinzione del processo, ponendo a carico del ricorrente le spese di giudizio. La sentenza che definisce il giudizio non è appellabile e può prescrivere le misure necessarie anche in deroga al divieto di cui all'art. 4, l. 20 marzo 1865, n. 2248, allegato E), anche in relazione all'eventuale atto del soggetto pubblico titolare o responsabile dei dati, nonché il risarcimento del danno».

Pertanto, per effetto del recente intervento di semplificazione processuale, che ha portato all'abrogazione di numerosi riti civili, tutte le cause aventi ad oggetto il trattamento dei dati personali, e che comunque rientrano nell'alveo delle disposizioni di cui al Cod. Privacy (fra cui anche le domande risarcitorie) sono soggette al rito del lavoro, salvo quanto diversamente disposto dall'art. 10 citato. Tali eccezioni al rito lavoristico peraltro non sono affatto marginali, in quanto le controversie in materia di privacy tuttora hanno quale foro speciale inderogabile il domicilio del titolare del trattamento, una disciplina ad hoc in caso di mancata comparizione del ricorrente alla prima udienza e l'inappellabilità della sentenza di primo grado, avverso la quale può essere unicamente proposto ricorso per Cassazione.

In merito all'estensione del foro speciale si è verificato un contrasto giurisprudenziale: mentre Cass. 31 maggio 2006,n. 12980 ha ritenuto che il foro speciale riguardi qualsiasi forma di controversia, Cass, 14 ottobre 2009,n. 21814, poi confermata da Cass. 9 ottobre 2015, n. 20304 e Cass. 10 febbraio 2016,n. 2687, hanno ritenuto che «quando la tutela contro il trattamento dei dati personali nei confronti del titolare del trattamento venga invocata nell'ambito di un rapporto di consumo, come tale soggetto all'art. 33, comma 2, lett. u), d.lgs. n. 206 del 2005, il foro previsto da tale norma prevale su quello individuato dall'art. 152 del d.lgs. n. 196 del 2003 (applicabile "ratione temporis"), in quanto la sopravvenienza della prima disposizione ha derogato alla seconda con riguardo alle controversie sul trattamento dei dati personali, la cui titolarità origini da rapporti di consumo».

In termini di successione di leggi Cass. 23 maggio 2013,n. 12749 ha invece ritenuto che il menzionato art. 10 del D.Lgs. 1° settembre 2011, n. 150 abbia introdotto nuovamente una competenza esclusiva, prevalente anche sul foro del consumatore, per le controversie instaurate successivamente al 6 ottobre 2011.

Infine Cass. 12 marzo 2014 n. 5705 ha ritenuto che il foro del consumatore prevalga comunque ratione materiae.

Aspetti penali

Il Cod.Privacy prevede una vasta gamma di reati connessi al trattamento dei dati; al riguardo la norma principale è l'art. articolo 167 (Trattamento illecito di dati), che prevede che «1. Salvo che il fatto costituisca più grave reato, chiunque, al fine di trarne per sé o per altri profitto o di recare ad altri un danno, procede al trattamento di dati personali in violazione di quanto disposto dagli articoli 18, 19, 23, 123, 126 e 130, ovvero in applicazione dell'articolo 129, è punito, se dal fatto deriva nocumento, con la reclusione da sei a diciotto mesi o, se il fatto consiste nella comunicazione o diffusione, con la reclusione da sei a ventiquattro mesi. 2. Salvo che il fatto costituisca più grave reato, chiunque, al fine di trarne per sé o per altri profitto o di recare ad altri un danno, procede al trattamento di dati personali in violazione di quanto disposto dagli articoli 17, 20, 21, 22, commi 8 e 11, 25, 26, 27 e 45, è punito, se dal fatto deriva nocumento, con la reclusione da uno a tre anni».

Si tratta di reati che richiedono il dolo specifico, così che il profitto dell'autore della condotta o il danno del soggetto cui i dati si riferiscono devono costituire la specifica finalità del soggetto agente. Sul punto la Corte di Cassazione ha precisato che «il reato è perfetto quando la condotta si sostanzia in un trattamento dei dati personali, in violazione di precise disposizioni di legge, effettuato con il fine precipuo di trame un profitto per sé o per altri o di recare ad altri un danno ma la sua punibilità discende dalla ricorrenza di un effettivo "nocumento" (nel senso, cioè, che il profitto conseguito o il danno causato siano apprezzabili sotto più punti di vista). Si è, in altri termini, al cospetto di un reato di pericolo effettivo e non meramente presunto» (Cass. pen., sez. III, 24 maggio 2012, n. 23798). Peraltro la medesima decisione, nel confermare la condanna a 9 mesi di reclusione all'amministratore delegato di una società che aveva inviato via mail newsletter senza il consenso del destinatario ha confermato la decisione di merito che aveva ritenuto integrasse il nocumento «la perdita di tempo nel vagliare mail indesiderate e nelle procedure da seguire per evitare ulteriori invii», legittimando in tal senso una concezione decisamente estesa di tale requisito.

In senso analogo Cass., pen., sez. III, 10 settembre 2015, n. 40356: «il delitto di trattamento illecito dei dati personali rientra nella categoria dei reati di danno. Per ritenere integrato siffatto reato è necessario che dalla realizzazione della condotta criminosa derivi un nocumento per la vittima, da intendersi, a differenza del danno, come qualsiasi effetto pregiudizievole che possa scaturire dall'arbitrario comportamento invasivo dell'autore dell'azione delittuosa».

Casistica