La divulgazione di informazioni eccedenti il criterio di minimizzazione dei dati comporta il risarcimento del danno

La divulgazione di informazioni eccedenti il criterio di minimizzazione dei dati comporta il risarcimento del danno dei danni determinati dall'illecita divulgazione di dati personali. Ne risponde, ai sensi dell'art. 15, comma 1, d.lgs. n. 196/2003 (secondo l'accezione ante GDPR), chiunque, con la propria condotta, li abbia provocati, indipendentemente dalla qualifica data protection ricoperta.

Un legale, un tempo cancelliere presso il tribunale, agiva in giudizio contro la dirigente della cancelleria che aveva presentato un esposto nei suoi confronti al Consiglio dell'Ordine di appartenenza.

La dirigente, nel tempo in cui l'avvocato era stato dipendente pubblico, era il suo superiore gerarchico e lo aveva sottoposto a diversi procedimenti disciplinari; nell'esposto al Consiglio dell'ordine, la stessa aveva raccontato tali trascorsi senza, tuttavia, dar evidenza della circostanza che le sanzioni dalla stessa irrogate fossero state annullate.

L'avvocato, quindi, si doleva del fatto che la donna avesse violato il suo diritto alla riservatezza, divulgando i dati relativi ai precedenti giudizi disciplinari promossi da costei, in qualità di dirigente del tribunale. Secondo il difensore, la menzione di tali fatti nell'esposto presentato al COA era finalizzata unicamente a gettare discredito alla sua immagine e reputazione nell'ambiente lavorativo in cui aveva fatto ingresso da poco tempo. Il tribunale accoglieva la domanda del legale e condannava la donna al risarcimento del danno non patrimoniale, oltre al pagamento di circa 8 mila euro ex art. 96 c. 3 c.p.c. La stessa, proponeva ricorso in Cassazione.

È lecito il trattamento dei dati personali nell'ambito di un esposto? Quali condizioni e principi devono essere rispettati?

La Corte di Cassazione con il Provvedimento del 26 aprile 2021 n. 11020 ha stabilito che il trattamento delle informazioni personali nell'ambito di un esposto è lecito purché avvenga nel rispetto del criterio di minimizzazione nell'uso dei dati personali.

Infatti, devono essere utilizzati solo i dati indispensabili, pertinenti e limitati a quanto necessario per il perseguimento delle finalità per cui sono raccolti e trattati. Tale principio, noto come minimizzazione nell'uso dei dati personali, disciplinato dall'art. 5.1. lett c) del GDPR, prevede che devono essere utilizzati solo i dati indispensabili, pertinenti e limitati a quanto necessario per il perseguimento delle finalità per cui sono raccolti e trattati.

Lo stesso trova applicazione anche nell'ipotesi che “la divulgazione della notizia riservata avvenga nel contesto di un procedimento di rilevanza pubblica” di natura para-giurisdizionale, come un esposto al consiglio dell'ordine degli avvocati.
Allorché tale principio venga violato, l'interessato ha diritto al risarcimento del danno non patrimoniale, sempre che la lesione sia grave e il danno serio, in virtù del principio di tolleranza della lesione minima.

Nel caso analizzato la divulgazione di notizie non funzionali e pertinenti rispetto allo scopo originario risulta comunque illecita e foriera del diritto dell'interessato al risarcimento dei danni anche immateriali, qualora sussistano i presupposti di gravità della lesione e serietà del danno. Infine, è irrilevante la circostanza che la divulgazione della notizia riservata avvenga nel contesto di un procedimento di rilevanza pubblica (come l'esposto al Consiglio dell'Ordine), risultando illecita la comunicazione dei dati personali in misura eccedente alle finalità per cui essi sono raccolti e trattati.

In particolare, la Corte rigetta tale doglianza facendo riferimento espresso al principio di minimizzazione. Infatti, i Giudici ammettono che “il trattamento delle informazioni personali effettuato nell'ambito di un esposto al Consiglio dell'Ordine degli Avvocati in relazione ad una asserita condotta deontologicamente scorretta posta in essere da un legale sia lecito”. Nondimeno, la liceità di tale condotta è subordinata al rispetto del criterio di minimizzazione nell'uso dei dati personali.

Nel caso in esame, correttamente il tribunale ha ritenuto che fosse illecita la divulgazione dei dati relativi ai procedimenti disciplinari svolti nei confronti del legale quando rivestiva il ruolo di cancelliere. Infatti, tali dati non risultavano né funzionali né pertinenti rispetto allo scopo per cui erano stati trattati, ossia accertare l'esistenza di eventuali illeciti disciplinari nell'esercizio della professione in oggetto. Inoltre, i dati erano stati esposti artatamente al fine di gettare discredito sull'avvocato, atteso che non si era dato conto della loro archiviazione e dell'annullamento delle sanzioni. Viceversa, non è ravvisabile alcuna violazione in relazione alle informazioni fornite dalla ricorrente circa la presunta condotta deontologicamente scorretta tenuta dall'avvocato. In tal caso, infatti, non occorre il consenso dell'interessato, “data la rilevanza pubblica, di natura para-giurisdizionale, delle funzioni attribuite al Consiglio dell'Ordine degli Avvocati”. Secondo la Corte: “non è ostativa all'integrazione della violazione dell'art. 15 codice della privacy la mera circostanza che la divulgazione della notizia riservata avvenga nel contesto di un procedimento di rilevanza pubblica, risultando comunque illecita la comunicazione dei dati personali non pertinente ed eccedente le finalità per cui essi sono raccolti e trattati”.

La violazione dell'art. 15 Codice Privacy (ora abrogato) determina il diritto al risarcimento del danno non patrimoniale, atteso che è violato il diritto fondamentale alla protezione dei dati personali tutelato dagli artt. 2 e 21 Cost. e dall'art. 8 della CEDU. Nondimeno, il diritto al risarcimento è subordinato alla verifica della serietà del danno e gravità della lesione (Cass. 17383/2020). Infatti, pur trattandosi di un diritto fondamentale, opera il bilanciamento con il principio di solidarietà (ex art. 2 Cost.), da cui discende il principio di tolleranza della lesione minima. Pertanto, “determina una lesione ingiustificabile del diritto non la mera violazione delle prescrizioni poste dall'art. 11 del codice della privacy, ma solo quella che ne offenda in modo sensibile la sua portata effettiva, restando comunque il relativo accertamento di fatto rimesso al giudice di merito”. Il danno non patrimoniale può essere provato anche con presunzioni. Nel caso di specie, il tribunale correttamente ha effettuato un esame preliminare sulla gravità della lesione e la serietà del danno.

È emerso che la divulgazione di una pluralità di procedimenti disciplinari, prospettata in modo generico e allusivo, era stata dannosa, determinando conseguenze inevitabilmente negative: sulla sfera emotiva dell'avvocato, già provato da procedimenti disciplinati infondati, sulla sua immagine e sulla sua reputazione sociale nel ristretto ambiente lavorativo in cui si trovava da poco tempo. Difatti, un neoiscritto all'ordine forense si trova in una condizione di fragilità, in quanto è impegnato nella costruzione della propria immagine e credibilità, non solo con riferimento ai potenziali clienti, ma anche rispetto ai colleghi.

L'elemento costitutivo della fattispecie consiste nel riscontro di una condotta oggettivamente valutabile alla stregua di “abuso del processo”, come avere agito o resistito pretestuosamente (Cass. 20018/2020; Cass. 29812/2019). Secondo la Corte, nella fattispecie in esame, la sentenza gravata “non ha evidenziato la sussistenza di un "abuso del processo" perpetrato dalla ricorrente nel resistere in giudizio, al di là della fisiologica confutazione delle deduzioni della controparte processuale”.

Il danno alla privacy, pur non essendo, come ogni danno non patrimoniale, in "re ipsa", non identificandosi il danno risarcibile con la lesione dell'interesse tutelato dall'ordinamento, ma con le conseguenze di tale lesione, può essere, tuttavia, provato anche attraverso presunzioni (cfr. lesione del danno non patrimoniale dell'onore, Cass. n. 25420 del 26/10/2017, i cui principi, sotto il profilo della prova del danno, sono applicabili anche al caso in esame).

Il trattamento delle informazioni personali effettuato nell'ambito di un esposto al Consiglio dell'Ordine degli Avvocati in relazione ad una asserita condotta deontologicamente scorretta posta in essere da un legale è lecito purché, tuttavia, avvenga nel rispetto del criterio di minimizzazione nell'uso dei dati personali; per la divulgazione da parte dell'odierna ricorrente delle informazioni relative all'asserita condotta deontologicamente scorretta nell'esercizio della professione di avvocato non occorre il consenso dell'interessato, data la rilevanza pubblica, di natura para-giurisdizionale, delle funzioni attribuite al Consiglio dell'Ordine degli Avvocati.

È illecita la divulgazione di dati relativi ai pregressi procedimenti disciplinari del legale (quando non era ancora avvocato), non funzionali e pertinenti rispetto allo scopo per cui erano stati trattati (accertare l'esistenza di eventuali illeciti disciplinari nell'esercizio della professione in oggetto) e sono, inoltre, stati esposti in modo parziale e malizioso, occultando la circostanza pacifica che gli stessi procedimenti erano stati archiviati e le sanzioni irrogate erano state annullate.

Non è ostativa all'integrazione della violazione dell'art. 15 codice della privacy la mera circostanza che la divulgazione della notizia riservata avvenga nel contesto di un procedimento di rilevanza pubblica, risultando comunque illecita la comunicazione dei dati personali non pertinente ed eccedente le finalità per cui essi sono raccolti e trattati.

In ordine al risarcimento dei danni, va osservato come la Corte (cfr. Cass. n. 17383 del 20/08/2020) ha già enunciato il principio di diritto secondo cui il danno non patrimoniale risarcibile, ai sensi del D.Lgs. n. 196 del 2003, art. 15 (codice della privacy), pur determinato da una lesione del diritto fondamentale alla protezione dei dati personali tutelato dagli artt. 2 e 21 Cost. e dall'art. 8 della CEDU, non si sottrae alla verifica della "gravità della lesione" e della "serietà del danno", in quanto anche per tale diritto opera il bilanciamento con il principio di solidarietà ex art. 2 Cost., da cui deriva (come intrinseco precipitato) quello di tolleranza della lesione minima, sicché determina una lesione ingiustificabile del diritto non la mera violazione delle prescrizioni poste dall'art. 11 del codice della privacy, ma solo quella che ne offenda in modo sensibile la sua portata effettiva, restando comunque il relativo accertamento di fatto rimesso al giudice di merito.

Dei danni determinati dall'illecita divulgazione di dati personali, ai sensi del D.Lgs. n. 196 del 2003, art. 15, comma 1, deve rispondere chiunque, con la propria condotta, li abbia eziologicamente provocati, indipendentemente dalla qualifica rivestita, sia di titolare o sia di responsabile del trattamento dati.