In una recente ordinanza la Corte di Cassazione è stata chiamata a pronunciarsi in materia di risarcimento del danno causato da un illecito trattamento di dati personali, fissando alcuni importanti principi.
Rileviamo preliminarmente che la sentenza che esamineremo prende in esame il disposto dell’art. 15 D.Lgs. 196/2003, in vigore al tempo in cui veniva avviato il giudizio di primo grado; l’articolo 15 è stato abrogato dal D.Lgs. 101/2018 ma è stato di fatto sostituito dall’art. 82 Reg. Ue 2016/679 secondo cui
“chiunque subisca un danno materiale o immateriale causato da una violazione del presente regolamento ha il diritto di ottenere il risarcimento del danno dal titolare del trattamento o dal responsabile del trattamento“.
L’espressione utilizzata è riferita al danno patrimoniale e non patrimoniale.
I principi enunciati dalla Cassazione sono come vedremo validi ed applicabili anche in vigenza di GDPR.
I fatti di causa
Il giudizio prendeva le mosse dalla richiesta di risarcimento del danno promosso da un avvocato Caio contro Tizia, la quale, nel presentare un esposto al Consiglio dell’Ordine degli Avvocati per presunti comportamenti deontologicamente scorretti di Caio, riportava fatti che riguardavano la precedente carriera di Caio in qualità di dipendente pubblico amministrativo che Tizia aveva sottoposto ripetutamente a procedimenti disciplinari. Tizia ometteva peraltro di precisare che i procedimenti erano stati tutti archiviati e le sanzioni annullate.
Il Tribunale di primo grado si pronunciava in favore di Caio ritenendo violato il suo diritto alla riservatezza.
Chiamata a pronunciarsi, la Corte di Cassazione enuncia alcuni importanti principi.
Il soggetto chiamato a risarcire il danno
Tizia eccepiva la propria carenza di legittimazione passiva, ritenendo che a risarcire il danno avrebbe dovuto essere chiamato il Titolare del trattamento e non lei personalmente, avendo agito in qualità di Dirigente di cancelleria e quindi di responsabile (autorizzato).
La Cassazione ha affermato il seguente principio:
“…dei danni determinati dall’illecita divulgazione di dati personali, …, deve rispondere chiunque, con la propria condotta, li abbia eziologicamente provocati, indipendentemente dalla qualifica rivestita, sia di titolare o sia di responsabile del trattamento dati”.
La violazione del principio di minimizzazione
Tizia eccepiva inoltre che la notizia riservata era stata divulgata in un ambiente qualificato, il Consiglio dell’Ordine degli avvocati, e non verso la generalità delle persone e che comunque l’aver richiamato i precedenti procedimenti disciplinari subiti da Caio rientrava nell’esercizio del diritto di difesa.
La Cassazione afferma che indubbiamente il trattamento di dati personali effettuato nell’ambito di un esposto in relazione ad una condotta ritenuta scorretta sia da ritenersi lecito, purché
“avvenga nel rispetto del criterio di minimizzazione nell’uso dei dati personali, dovendo essere utilizzati solo i dati indispensabili, pertinenti e limitati a quanto necessario per il perseguimento delle finalità per cui sono raccolti e trattati”.
Alla luce di questi principi è stata ritenuta illegittima la divulgazione dei dati relativi ai pregressi procedimenti disciplinari subiti da Caio, in quanto non funzionali e pertinenti rispetto allo scopo per cui erano trattati ovvero accertare l’esistenza di eventuali illeciti professionali nell’esercizio della professione di avvocato; inoltre i dati erano stati esposti in modo parziale e non corretto.
Sulle modalità di definizione del risarcimento
In merito al risarcimento del danno, la Corte richiama una precedente sentenza (Cassazione n. 17383 del 20/8/2020) in cui enunciava il principio per cui il danno non patrimoniale risarcibile a causa di una lesione del diritto fondamentale alla protezione dei dati personali non si sottrae alla verifica della “gravità della lesione” e della “serietà del danno”, che devono dunque essere verificate in concreto dal giudice del merito.
La Corte aggiunge che il danno può essere provato per presunzioni, richiamando quanto già enunciato in tema di risarcimento del danno non patrimoniale dell’onore (Cass.n. 25240 del 26/10/2017).
