LA RESPONSABILITA' PER ILLECITO TRATTAMENTO DEI DATI PERSONALI

LA NORMA

La responsabilità per illecito trattamento dei dati personali è disciplinata dall'art. 15 del d.lgs 30 giugno 2003 n 196 (Codice della Privacy). In base al I comma di tale norma chiunque cagiona danno ad altri per effetto del trattamento dei dati personali è tenuto al risarcimento ai sensi dell'art. 2050 del codice civile. Il secondo comma, inoltre, prevede che il danno non patrimoniale è risarcibile anche in caso di violazione dell'art. 11.

In forza della disposizione de qua, il Legislatore ha specificato un'ulteriore ipotesi di applicazione della figura di responsabilità per attività pericolosa ex art. 2050 c.c., la quale prevede una responsabilità aggravata, di tipo oggettivo o semioggettivo, nei confronti di chi svolge una attività pericolosa.

LA DISCIPLINA PREVIGENTE

Prima di esaminare l'applicazione della fattispecie ex art 2050 c.c. all'ipotesi del trattamento dei dati personali, è doveroso premettere che nella ormai abrogata L. 675/1996 la tutela risarcitoria era disciplinata da due distinti articoli, l'art. 18 e l'art. 29, comma 9. Tali disposizioni prevedevano la risarcibilità del danno non patrimoniale solo nel caso in cui il danno stesso fosse stato cagionato da privati e non dalla P.A.. Inoltre, nella vecchia disciplina veniva rimarcata la differenza tra la lesione di dati personali o dati sensibili. Invece, con il Codice della Privacy è prevista una “nuova” fattispecie risarcitoria, la quale prevede la risarcibilità di qualsivoglia pregiudizio patito, sia patrimoniale che non patrimoniale, e da chiunque cagionato.

IL SIGNIFICATO DEL RICHIAMO ALLA FIGURA DI RESPONSABILITA' EX ART. 2050 C.C.

Tornando all'esame della fattispecie ex art 15 Codice della Privacy, il richiamo alla figura ex art 2050 c.c. è oggetto di vivace dibattito dottrinale. Sul punto vi sono due contrapposti orientamenti:

1) In base ad un primo, il richiamo a tale norma ha l'effetto di qualificare il trattamento dei dati personali come vera e propria attività pericolosa. Tale tesi si basa sia su considerazioni di ordine generale che su ulteriori dati normativi previsti dal Codice della Privacy stesso. Infatti, alla luce dell'intera disciplina del trattamento dei dati personali, il concetto di “attività pericolosa” si fonda sulla necessaria esigenza di tutelare la riservatezza, l'identità personale e il diritto alla protezione dei dati personali. Pertanto, l'attività di trattamento degli stessi deve necessariamente essere posta in essere nel rispetto del principio di legalità, correttezza e in modo anonimo. A riprova di ciò, il Legislatore, dagli art. 31 e seguenti Codice della Privacy, prevede dei veri e propri obblighi di sicurezza, tramite i quali si vuole evitare che “i rischi di distruzione o di perdita, anche accidentale, dai dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta”.

2) Altri Autori, invece, ritengono che il richiamo all'ipotesi ex art 2050 c.c. sia solo un “escamotage” per consentire al soggetto leso una regola probatoria di favore. Tramite il richiamo alla figura de qua, il Legislatore ha voluto solo prevedere una inversione nell'onere probatorio per tutelare maggiormente il soggetto leso, il quale sarà tenuto solo a dimostrare il danno subito ed il nesso di causalità.

IL SOGGETTO DANNEGGIANTE

Quanto al soggetto danneggiante, innanzitutto, i “responsabili” del trattamento dei dati personali sono il soggetto titolare (art. 28), il responsabile del trattamento (art. 29) e l'incaricato del trattamento (art. 30). Tuttavia, può essere considerato responsabile anche il soggetto terzo che, sebbene non rivesta alcuna delle predette qualifiche, abbia comunque cagionato un danno al soggetto a cui tali dati si riferiscono.

Nell'ipotesi in cui l'attività di trattamento dei dati personali o sensibili sia riconducibile in concreto ad alcuni o a tutti i succitati soggetti, la responsabilità ex art. 15 Codice della Privacy dovrà essere valutata in concreto, in base all'attività dagli stessi effettivamente esercitata nella fattispecie reale, alla luce dei poteri decisionali e all'autonomia posseduta da ciascuno. La dottrina, infatti, è concorde nel rigettare la possibilità di applicare a tale fattispecie la figura della responsabilità ex art. 2049 c.c. (responsabilità dei padroni e dei committenti) in capo al soggetto titolare del trattamento.

Pertanto, la responsabilità ex art 15 Codice Privacy deve essere accertata in concreto e quando riguardi tutti quei soggetti sopra menzionati può essere ipotizzabile una loro responsabilità solidale ex art 2055 c.c., avuto riguardo alla effettiva attività svolta ed alle concrete violazioni poste in essere da ciascuno.

LE CONDOTTE VIETATE E L'ONERE DELLA PROVA

Le condotte “vietate”, dalle quali possono derivare danni al titolare dei dati personali, sono specificate dall'art 11 Codice Privacy, il quale contiene specifiche prescrizioni in tal senso (I dati personali oggetto di trattamento sono: a) trattati in modo lecito e secondo correttezza; b) raccolti e registrati per scopi determinati, espliciti e legittimi, ed utilizzati in altre operazioni del trattamento in termini compatibili con tali scopi; c) esatti e, se necessario, aggiornati; d) pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono raccolti o successivamente trattati; e) conservati in una forma che consenta l'identificazione dell'interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati. I dati personali trattati in violazione della disciplina rilevante in materia di trattamento dei dati personali non possono essere utilizzati.)

Ulteriori prescrizioni disposizioni a riguardo vengono previste dall'art. 12, il quale rinvia ai codici deontologici delle varie categorie, le cui norme devono integrare e rafforza la tutela posta in essere dal d.lgs 196/2003.

Quanto all'onere della prova, il danneggiante, nel caso in cui si adotti il sopra riportato orientamento che qualifica la figura ex art. 2050 c.c. come responsabilità di tipo oggettivo, è tenuto a fornire solo ed esclusivamente la prova dell'assenza del nesso di causalità tra la sua condotta ed il danno patito dal soggetto leso.

D'altro canto, ottemperando alla tesi che ascrive alla fattispecie de qua una ipotesi di responsabilità semioggettiva, il danneggiante deve dimostrare di avere posto in essere nell'occasione una condotta diligente, senza colpa alcuna, in relazione ovviamente all'attività esercitata, e di aver adottato tutte le precauzioni previste dalla legge e dal buon senso.

IL RISARCIMENTO DEL DANNO NON PATRIMONIALE

Infine, riguardo al II comma dell'art. 15 Codice Privacy e allo specifico riferimento della risarcibilità del danno non patrimoniale, il Legislatore ha ripreso e ampliato la stessa disposizione già prevista dall'art. 29, IX comma L 675/1996. All'epoca tale previsione venne considerata una innovazione rivoluzionaria, in quanto detta norma deve essere considerata uno dei primi atti legislativi nella quale veniva considerato risarcibile il danno non patrimoniale al di fuori delle ipotesi di reato.

Ora invece, alla luce degli approfondimenti dottrinari e giurisprudenziali avvenuti negli ultimi anni, la disposizione suddetta vede senza dubbio affievolita la sua spinta innovatrice.

ALCUNE SPECIFICHE PRONUNCE GIURISPRUDENZIALI SULLA FATTISPECIE

Di seguito vi sono menzionate, a mio avviso, le più rilevanti e specifiche pronunce di merito sulla figura di illecito. Tali sentenze rivestono grande importanza perchè, in primo luogo, le pronunce sull'illecito in esame sono indubbiamente "cosa rara”. In secondo luogo, le massime in oggetto contribuiscono a specificare e concretizzare sia l'ambito in cui si configura “nei fatti” l'illecito de quo sia perchè delineano l'oggetto del risarcimento susseguente alla violazione stessa.

1) Anche il risarcimento del danno non patrimoniale (disciplinato dall'art. 15, comma 2, del Codice della privacy) va riconosciuto tutte le volte in cui il responsabile della violazione non ha provato di aver adottato tutte le misure idonee ad evitarlo (per come prescritto dall'art. 15, comma 1, per il danno patrimoniale) (Trib. Roma, 12/03/2004)

2) L'invio di posta elettronica indesiderata costituisce fatto illecito produttivo di responsabilità civile sia per la scorrettezza e l'illiceità del trattamento dei dati personali del titolare dell'indirizzo bersaglio, sia per l'invasione della sfera di riservatezza di quest'ultimo (Giudice di pace Napoli, Sez. I, 10/06/2004).

3) L'articolista di un giornale che, senza verificare l'attendibilità della notizia, attribuisce un determinato orientamento politico a chi non lo aveva mai reso pubblico compie un atto lesivo della privacy; di conseguenza, il responsabile è tenuto, insieme con il direttore responsabile, al risarcimento del danno morale (Trib. Milano, 26/11/2004).

4) La pubblicazione, senza il consenso degli interessati, dei dati riguardanti la residenza ed il numero telefonico, integra una fattispecie d'illecito trattamento dei dati personali ex art. 11, comma 1, lett. a) del D.Lgs. n. 196/2003, senza che possa ritenersi rilevante la conoscibilità, mediante richiesta agli uffici anagrafici, del dato relativo alla (sola) residenza. In quanto non causalmente riferibile, con la necessaria certezza ed univocità, al constatato illecito, il danno patrimoniale non è risarcibile (Trib. Milano, Sez. I, 19/05/2005).

5) Lo stato d'ansia e preoccupazione derivante dalla possibilità che la diffusione dei dati consentisse la ricomparsa del, rispettivamente, padre e marito dei ricorrenti, che in passato li aveva ripetutamente minacciati ed aggrediti, giustifica il riconoscimento di un profilo di danno non patrimoniale da liquidarsi in euro 5.000,00 per ciascuno (Trib. Milano, Sez. I, 19/05/2005).

6) È illegittimo il trattamento di dati personali effettuato da un gestore del servizio di telefonia mobile, il quale invii ad un proprio cliente, titolare di una scheda prepagata, senza il suo consenso e malgrado l'opposizione dallo stesso manifestata, alcuni Sms contenenti informazioni relative a servizi collegati con l'uso del telefono cellulare che, pur potendo essere abilitati gratuitamente, sono utilizzabili dietro pagamento di un prezzo; pertanto, va inibita l'utilizzazione dei dati personali dell'interessato per finalità estranee all'erogazione del servizio telefonico e il gestore va condannato a risarcire il pregiudizio subito dal cliente per essere stato costretto a controllare i messaggi pervenutigli e ad eliminare quelli indesiderati (nella specie, il danno è stato quantificato in via equitativa nella misura di mille euro per ciascuno dei nove messaggi ricevuti) (Trib. Terracina, 19/06/2006).

7) Il datore di lavoro non può controllare la posta elettronica e la navigazione Internet dei dipendenti e/o effettuare controlli indiretti mediante tecnologia "software" o "hardware" se non in casi eccezionali e previa definizione delle modalità d'uso di tali strumenti nel rispetto dei diritti dei lavoratori e della disciplina in tema di relazioni sindacali (Garante protezione dati pers., 01/03/2007).

8) I messaggi di posta elettronica scambiati nell'ambito di una "mailing list" vanno assimilati alla corrispondenza epistolare privata e la relativa pubblicazione su di un giornale costituisce violazione del segreto epistolare. La diffusione di notizie personali (come nome e cognome, posizione ricoperta e sede di lavoro) da parte di un giornale si pone in contrasto con il requisito dell'essenzialità dell'informazione e costituisce, quindi, un illecito trattamento dei dati (Trib. Milano, Sez. I, 27/06/2007)

Avv. Luigi Modaffari