1. Il caso

L’Ordinanza n. 14242 del 04.06.2018, resa dalla Corte di Cassazione, Sez. I, prende le mosse da una vicenda in tema di violazione del diritto alla privacy per trattamento illegittimo dei dati personali. Invero, un lavoratore, all’epoca dipendente dell’Agenzia delle Dogane e dei Monopoli, veniva trasferito in un altro ufficio a seguito dell’avvio di un’indagine a suo carico da parte della Procura della Repubblica. Tuttavia, il lavoratore lamentava che la P.A. mediante il provvedimento di trasferimento, emanato utilizzando un protocollo ordinario, rendeva di pubblico dominio le informazioni relative al suo coinvolgimento in delle indagini. Dapprima, l’interessato proponeva ricorso al Garante della Privacy che lo rigettava, ritenendo che il trattamento dei dati personali non fosse avvenuto in violazione di legge, poiché finalizzato a garantire una corretta esecuzione del rapporto di lavoro. Pertanto, il lavoratore adiva gli organi giurisdizionali ordinari, proponendo azione di risarcimento danni nei confronti sia dell’Agenzia delle Dogane che del Garante per la protezione dei dai personali. Il Tribunale di Roma, in quell’occasione, accoglieva la domanda, condannando l’Agenzia delle Dogane, ritenendo sussistente la violazione del diritto alla privacy.  

Avverso tale decisione, l’Agenzia delle Dogane e dei Monopoli proponeva ricorso in Cassazione censurando la decisione del Tribunale di prime cure che da un lato, secondo il ricorrente, aveva omesso di considerare fatti decisivi emersi nel corso del giudizio da cui desumere che la diffusione della notizia dell’apertura del procedimento penale fosse avvenuta prima dell’invio della nota da parte dell’Agenzia delle Dogane e dall’altro riteneva che il giudice di merito avesse deciso senza che fosse stata fornita la prova del danno e del nesso causale tra il trattamento dei dati ed il danno lamentato.

La Suprema Corte con l’ordinanza in commento rigettava il ricorso della P.A. e coglieva l’occasione per delineare la portata dell’art. 15, secondo comma, cod. priv., affermando che il danno non patrimoniale risarcibile non scaturisce automaticamente dalla presenza di un trattamento illecito o scorretto dei dati personali, pur in presenza di una violazione di un diritto fondamentale ai sensi degli artt. 2 e 21 Cost e art. 8 CEDU, dovendo essere allegata, anche in via presuntiva, l'effettiva lesione della privacy. Una volta verificata la lesione della privacy, il danno non patrimoniale esisterà in re ipsa.

2. Il diritto alla privacy

L’ordinanza oggetto di commento verte in materia di privacy e di protezione dei dati personali del lavoratore. Sicché, preliminarmente, bisogna individuare la reale portata di tale diritto, nonostante ad oggi non esista una definizione normativa né nel contesto europeo, né in quello interno, in grado di ricomprenderne tutte le sfaccettature. Il concetto di privacy, prima di appartenere all’ambito tecnico giuridico, è proprio della filosofia politica, indicando quella sfera della nostra vita che appartiene a noi stessi e alla nostra socialità spontanea. Prendendo le mosse da questa definizione, il diritto alla privacy è stato inteso come una clausola generale, tale da ricondurre sotto il suo mantello protettivo le libertà, i diritti fondamentali e personalissimi per mezzo dei quali trova svolgimento l’identità del soggetto e la sua vita privata. Tali diritti possono essere individuati, in via esemplificativa, nella riservatezza, nell’onore, nella reputazione, nella dignità. Se dapprima il termine privacy è stato riferito essenzialmente alla sfera privata (right to be alone), a quella dimensione statica secondo la quale ogni individuo ha il diritto di impedire a terzi l’interferenza nella propria vita privata, successivamente ha subito un’apertura verso una dimensione dinamica, quale diritto a costruire la propria individualità e la propria vita privata, mantenendo il controllo sui propri dati personali. Il rispetto alla privacy è necessario per permettere a ciascun individuo il diritto all’autodeterminazione esistenziale, nei limiti dei diritti altrui e dei valori per i quali si richiede un contemperamento^[1].

Il lungo cammino che conduce alla protezione dei dati personali nasce come risposta all’avvento di quella tecnologia legata al trattamento automatizzato dei dati in diversi settori della nostra esistenza. Difatti, nella società contemporanea i servizi e la rete consentono una circolazione potenzialmente illimitata nel tempo delle informazioni che riguardano la persona umana, comportando dei pericoli elevati per la libertà e la dignità delle persone. Tra i diversi ambiti, l’evoluzione tecnologica ha avuto delle ricadute positive anche nel campo lavorativo, in termini di efficienza e produttività, pur portando con sé innumerevoli rischi per i lavoratori relativi a controlli particolarmente invasivi nella loro sfera personale. Invero, la tecnicizzazione del lavoro ha permesso agli operatori di raccogliere ed elaborare innumerevoli informazioni sui lavoratori, di creare forme di sorveglianza, raccolta e selezione dei dati. Se il potere di controllo e di vigilanza del datore di lavoro è del tutto lecito, espressione del suo potere direttivo ex art. 2401 c.c., non potrà mai essere assoluto, perché il suo esercizio non deve in alcun modo ledere spazi di riservatezza, dignità e libertà di ciascun lavoratore^[2].

2.1 Il fondamento costituzionale del diritto alla privacy

Il diritto alla privacy è una prerogativa degli Stati Moderni, sorto al fine di contemperare il rapporto fra l’interesse del singolo alla riservatezza e l’interesse pubblico all’informazione^[3]. Dal diritto alla privacy è successivamente nato, specularmente, il diritto alla protezione dei dati personali che trova espressione, essenzialmente, in tre specifici diritti: nel diritto di ognuno all’accesso ai dati e alle informazioni a lui riferiti o riferibili, nel diritto ad essere informati sulle finalità e modalità dei trattamenti relativi ai propri dati ed il diritto di ognuno a dare o negare il consenso alla raccolta o all’uso delle informazioni che lo riguardano. Ciononostante, nessuna delle Costituzioni europee dei primi anni successivi alla seconda guerra mondiale ha sentito la necessità di inserire tra i diritti fondamentali quello alla protezione dei dati personali, considerato come un diritto a sé stante. Neanche la Convenzione europea dei diritti dell’uomo, pur tutelando la privacy mediante il richiamo all’art. 8 della CEDU, ha consacrato un autonomo diritto alla riservatezza ed un esplicito e formalizzato diritto alla protezione dei dati personali.

Tutt’ora nella nostra Costituzione manca un espresso riconoscimento del diritto alla privacy, pur potendosi individuare in via interpretativa il suo fondamento costituzionale agli artt. 2, 3, 13, 14, 15, 21 Cost.^[4] Le disposizioni menzionate non sono accomunate da caratteri strutturali o formali, quanto dalla comune ratio legis di vietare ogni intrusione non consentita nella sfera personale e sociale dell’individuo. Tra queste disposizioni, il cuore della materia è rappresentato dall’art. 2 Cost., dal quale è possibile desumere che il riserbo della vita privata e familiare è un elemento essenziale nello svolgimento e sviluppo dell’uomo. L’art. 2 Cost., secondo la ricostruzione maggioritaria, è una norma aperta, astrattamente idonea a garantire costituzionalmente tutti quegli aspetti che in un determinato momento storico risultano espressione di diritti inviolabili^[5]. Sennonché, la giurisprudenza ha più volte ribadito che nella tutela di determinati diritti debba esservi sempre un bilanciamento dei valori in gioco in modo da salvaguardare i principi o diritti di rango costituzionale che altrimenti risulterebbero irreparabilmente sacrificati, al fine di evitare l’illimitata espansione di uno dei diritti, che diverrebbe tiranno nei confronti delle altre situazioni giuridicamente riconosciute e protette^[6]. Ed ancora la Corte di Cassazione con sentenza del 20 maggio 2015, n. 10280 ha affermato che il diritto ad esigere una corretta gestione dei propri dati personali, pur se rientrante nei diritti fondamentali di cui all’art. 2 Cost., non è un totem al quale possono sacrificarsi altri diritti altrettanto rilevanti sul piano costituzionale. Lo stesso principio, nell’ambito lavorativo, impone all’imprenditore o al datore di lavoro di non esercitare la sua posizione economicamente e contrattualmente dominante in modo da ledere la sicurezza, la libertà, la dignità del lavoratore. Se la Costituzione all’art. 41, comma 2 Cost. tutela la libera iniziativa economica e la libertà di impesa, all’art 2 Cost. ne individua un confine di legittimità. Proprio su questo fondamento costituzionale si è innestata la legislazione speciale della legge 20 maggio 1970, n. 300, lo Statuto dei Lavoratori^[7], che ha lo scopo principale, indicato al Titolo I intitolato “Delle libertà e dignità del lavoratore”, di impedire che l’inserimento di un individuo all’interno dell’apparato produttivo si traduca nella compromissione dei suoi diritti fondamentali. Emblematici a tal fine sono gli artt. 4 e 8 Stat. Lav., la cui violazione si ripercuote nella disciplina della privacy^[8].

A livello internazionale ed europeo, il diritto alla privacy del lavoratore trova il suo riconoscimento, in primo luogo, nell’art. 8 della CEDU^[9] che tutela la sfera privata, riferendosi anche all’attività professionale e lavorativa in cui si esplica l’identità dell’individuo, nonché nella Carta di Nizza e nella Raccomandazione n. R (89) 2 in cui viene a valorizzarsi il ruolo delle rappresentanze sindacali, dell’auto controllo e dell’autodeterminazione dei lavoratori in materia.

3. Il Codice della Privacy

Agli inizi degli anni Ottanta venne compiuto un passo in avanti nella tutela della privacy mediante l’emanazione della Convenzione n. 108, adottata a Strasburgo il 28 giugno 1981 dal Consiglio d’Europa, avente ad oggetto la protezione delle persone rispetto al trattamento automatizzato di dati di carattere personale^[10]. La Convenzione di Strasburgo ha avuto un valore elevato, chiudendo quella fase in cui le innovazioni tecnologiche erano utilizzate per aumentare i controlli sui cittadini da parte degli Stati Autoritari e delineando una serie di tutele e garanzie che devono essere riconosciute alle persone i cui dati sono trattati. Nonostante la Convenzione di Strasburgo sia stata approvata in ambito CEDU, la Comunità europea fino al 1995 non ha provveduto a dotarsi di alcuna forma di regolazione comune su questa materia, né nella modalità della Direttiva, né in quella del Regolamento. Solamente nel 1995 viene adottata la prima direttiva, a seguito del Trattato di Maastricht del 1992, con la costituzione dell’Unione Europea e l’impegno di costituire un Mercato Unico. La direttiva di armonizzazione 95/46/CE, e le successive direttiva comunitarie (97/66/CE – 00/31/CE – 02/58/CE – 24/06/CE)^[11], perseguirono in progetto della Convenzione di Strasburgo, richiedendo agli Stati Membri di tutelare i diritti e le libertà fondamentali delle persone rispetto al trattamento automatizzato dei dati personali, introducendo, quale principale criterio di legittimità formale della circolazione dei dati personali, il consenso o in alternativa i principi di carattere oggettivo predefiniti e connessi con particolari situazioni in cui alle esigenze dell’individuo si contrappongono esigenze diverse, quale strumento di riappropriazione e controllo dei dati personali. Oltre agli Accordi di Schengen, il concetto è stato riportato nella Carta dei diritti fondamentali dell’Unione. L’art 8 della Carta di Nizza del 2000^[12] è dedicato alla protezione dei dati personali, considerato come un diritto fondamentale, a sé stante ed autonomo, anche rispetto al diritto alla riservatezza e alla tutela della vita familiare indicato all’art 7.

La normativa europea, nonché i pareri e le pronunce del Garante della privacy, sono state recepite in Italia con la L. 675/1996, poi sostituita dal d.lgs. 30 giugno 2003 n. 196, il Codice di protezione dei dati personali e comunemente conosciuto come codice della privacy, il primo testo unico in materia di tutela dei soggetti rispetto al trattamento dei dati personali e delle disposizioni connesse, che sancisce che i dati personali devono essere trattati nel rispetto dei diritti e delle libertà fondamentali, nonché della dignità dell’interessato, con particolare riferimento alla riservatezza, all’identità personale e al diritto della protezione dei dati personali. Il Codice della Privacy è diviso in tre parti: nella prima sono contenute le disposizioni generali, nella seconda quelle relative a specifici settori, mentre nella terza trovano posto le norme relative alle forme di tutela, alle sanzioni ed all’ufficio del Garante per la protezione dei dati personali. Oggetto di protezione sono i dati personali, intesi come proiezione dell’identità di ogni individuo, per i quali la legge rimette il controllo e la protezione al legittimo interessato. La ragione della tutela deriva dalla preoccupazione che il dato venga scisso, isolato, combinato ed utilizzato in maniera strumentale, tale da essere decontestualizzato dall’individuo a cui appartiene. L’art. 4 cod. priv. definisce la nozione di dato personale, come qualunque informazione relativa a una persona fisica, identificata o identificabile, anche indirettamente, mediante il riferimento a qualsiasi altra informazione, compreso un numero di identificazione personale. Tra questi, I dati giudiziari, oggetto di violazione nella controversia in esame, sono un sottoinsieme della categoria del dato personale il cui trattamento può essere ammesso solo a determinate condizioni. Sono da definire tali quei dati personali idonei a rivelare i provvedimenti in materia di casellario giudiziario, di anagrafe delle sanzioni amministrative dipendenti da reato e dai relativi carichi pendenti o la qualità di imputato o indagato ai sensi dell’art. 60 e 61 c.p.p.

3.1 Il trattamento dei dati personali

Il Codice della Privacy, all’art. 1, introduce il diritto alla protezione dei dati personali, quale parametro di controllo e di protezione dei dati che lo riguardano, autonomo rispetto a quello alla privacy. La protezione dei dati personali è necessitata dall’esigenza di tutelare i dati personali da possibili trattamenti ad opera di terzi che non rispondono alle finalità e alle modalità previste dal legislatore. Preliminarmente, bisogna chiarire che per trattamento dei dati personali si intende qualunque operazione o insieme di operazioni, volti a raccogliere, registrare, organizzare, consultare, elaborare, modificare selezione raffrontare informazioni personali, anche senza l’ausilio di strumenti elettronici. Invero, il trattamento è un fenomeno particolarmente diffuso nella nostra realtà socioeconomica che di per sé si caratterizza per la neutralità, potendone, invece, essere lecite o illecite solamente le sue modalità di realizzazione. A tal fine, il legislatore si è preoccupato di stabilire le condizioni generali di liceità e correttezza all’art 11 cod. priv.

L’ambito oggettivo della materia è individuato all’art. 2 cod. priv. che va letto in coordinazione con l’art. 14 cod. priv. Il primo comma dell’art. 2 cod. priv. riconosce il diritto alla protezione dei dati personali che, a sua volta, richiama la tutela dell’identità personale, del diritto alla riservatezza, delle libertà fondamentali e di ogni diritto fondamentale. L’art. 2, al secondo comma, cod. priv. stabilisce quei principi essenziali che reggono il trattamento dei dati personali^[13], mentre il secondo comma dell’art. 3 cod. priv. afferma che il trattamento dovrà avvenire in conformità al principio di necessità e liceità, informando gli interessati e chiedendo preventivamente il consenso solo quando non sia corretto avvalersi di strumenti equipollenti, nel rispetto della peculiarità di dati giudiziari o dati sensibili.

L’art. 4 cod. priv., invece, si occupa del profilo soggettivo, stabilendo che chiunque può commettere detto tipo di illecito. Ciononostante, gran parte della dottrina ritiene questa affermazione non corretta, trattandosi invece di una forma di responsabilità propria poiché i soli soggetti che possono trattare i dati sono quelli abilitati a tal fine. Viene, a tal fine, individuata la figura del titolare (colui che decide il fine per il quale i dati vengono trattati), del responsabile (soggetto che gestisce i dati) e dell’incaricato (soggetto che materialmente effettua l’inserimento ed il trattamento dati). Il danneggiato, diversamente, sarà l’interessato, ovvero quella persona fisica, giuridica, ente o associazione a cui si riferiscono i dati personali. Il trattamento dei dati, come nel caso oggetto di controversia, potrà avvenire anche ad opera della Pubblica Amministrazione che, in ragione delle particolari responsabilità e funzioni di cui sono investite, giurisdizionali o amministrative in senso stretto, possono procedere al trattamento anche in difetto di consenso o autorizzazione, purché sussista una specifica previsione normativa. La norma di autorizzazione dovrà indicare sia le modalità di trattamento, che esplicitare le finalità di interesse pubblico dell’ente. In presenza di dati giudiziari o dati sensibili, il trattamento da parte della P.A. dovrà avvenire nel rispetto della norma generale di cui all’art. 22 cod. priv.

In ogni caso, l’art. 14 cod. priv. prescrive che nessun atto o provvedimento giudiziario o amministrativo, quindi atto della pubblica autorità amministrativa o giurisdizionale, che implichi una valutazione del comportamento umano può essere fondato unicamente su un trattamento automatizzato di dati personali volto a definire il profilo o la personalità dell’interessato. La previsione sta ad indicare che la P.A. non potrà servirsi di un dato ricavato da un trattamento automatizzato al fine di utilizzarlo come presupposto di un atto o di una decisione, o servirsene per apprezzare comportamenti umani.

4. Art. 15, secondo comma, Codice della Privacy: la risarcibilità del danno non patrimoniale

Dagli anni ‘60 in poi la giurisprudenza italiana ha iniziato a tutelare in via diretta il diritto alla riservatezza come autonomo diritto soggettivo, riconoscendone l’intangibilità della sfera personale. Emblematica, in tal senso, è la sentenza del 27 maggio 1975 n. 2129 della Corte di Cassazione, nel Caso Soraya^[14]. La tutela giurisdizionale offerta all’interessato implica quattro livelli di protezione: una tutela penale, una tutela inibitoria, una tutela risarcitoria e una tutela amministrava che si esplica attraverso il ricorso al Garante.

La tutela risarcitoria è richiamata all’art. 15 cod. priv., articolo che afferma il diritto al risarcimento dei danni derivanti dall’illegittimo trattamento dei dati personali. La previsione ha sintetizzato i previgenti art. 18 e 29 legge n. 675/1996 che, rispettivamente, disciplinavano il risarcimento dei danni patrimoniali e non patrimoniali, eliminando così i vecchi e numerosi problemi interpretativi derivanti dalla scissione. L’art. 15 cod. priv. statuisce che chiunque cagiona danno ad altri per effetto del trattamento di dati personali è tenuto al risarcimento ai sensi dell’art. 2050 c.c.. Il comma 2 aggiunge poi che il danno non patrimoniale è risarcibile anche in caso di violazione dell’art. 11. In via di prima approssimazione, dal dato normativo emerge che un trattamento di dati personali è potenzialmente idoneo a causare danni patrimoniali, derivanti dalla differenza subita dal complesso dei beni del soggetto a causa dell’evento lesivo, e danni non patrimoniali, trattandosi di lesioni a valori eminentemente personalistici.

In passato, con riferimento alla voce di danno non patrimoniale di cui all’art. 15, comma 2, cod. priv., vi sono stati dei dibattiti circa il suo inquadramento sistematico, soprattutto in riferimento al rapporto con la previsione generale dell’art. 2059 c.c. Difatti, il significato della dizione di danno non patrimoniale derivante da trattamento illecito o scorretto dei dati personali è stato al centro di una dibattuta querelle dottrinaria e giurisprudenziale. Se, dapprima, la Corte Costituzionale con sentenza 184/1986 abbracciava una interpretazione restrittiva dell’art. 2059 c.c., individuandone la riferibilità al solo danno morale subiettivo, successivamente con il revirement giurisprudenziale nel 2003 si è chiarito che nell’ambito della nozione di danno non patrimoniale rientrano tutti i danni lesivi di diritti fondamentali che creano un pregiudizio alla sfera non economica dell’individuo, anche nel caso in cui il danno derivi da un illecito non qualificabile come illecito penale. Pertanto, la sfera di applicazione dell’art. 15 cod. priv. è divenuta parzialmente coincidente con quella dell’art. 2059 c.c., poiché tra i diritti della persona costituzionalmente garantiti non possono non essere annoverati quelli relativi alla dignità, riservatezza ed identità personale, sintetizzati nel più ampio diritto alla protezione dei dati personali di cui all’art. 2 Cod. Privacy.

4.1. La liceità e la correttezza del trattamento: Il richiamo all’art. 11 cod. priv.

L’art. 15, secondo comma, cod. priv., nel delineare i presupposti in presenza dei quali il danneggiato è legittimato a richiedere il risarcimento per danni non patrimoniali, richiama “anche” l’art. 11 cod. priv. che delinea i criteri relativi alle modalità di trattamento dei dati personali, rispondenti ai principi di finalità, esattezza, pertinenza, non eccedenza, nel rispetto dell’obbligo di aggiornamento dei dati e il diritto all’oblio^[15]. Sennonché, parte della dottrina ha ritenuto linguisticamente superfluo l’utilizzo della congiunzione anche nel richiamare l’art. 11 cod. priv. Ciononostante, la disposizione assume una rilevanza centrale nell’ambito del risarcimento dei danni non patrimoniali, soprattutto con riferimento alla clausola di lawfulness and correctness di cui all’art. 11, lett. a), cod. priv..

Invero, il richiamo alle clausole generali di liceità e correttezza ha la funzione di delimitare i casi in cui il trattamento dei dati personali possa definirsi lecito e corretto. Dalla norma, in primo luogo, si desume che il trattamento è illecito ogni qual volta sia contrario a norme imperative, ordine pubblico e buon costume. L’illiceità si avrà non solo nei casi di inottemperanza ai precetti del Codice della Privacy, avendo la giurisprudenza in via esemplificativa individuato nelle violazioni dello Statuto dei lavoratori, degli artt. 2105, 2407, 2622 c.c., nonché dei codici deontologici, ipotesi di trattamento illecito dei dati personali tali da legittimare il diritto risarcimento di danni non patrimoniali. Nondimeno, Il trattamento sarà scorretto, a prescindere dalla violazione di una previsione normativa, ogni qualvolta non sia eseguito con correttezza, lealtà e trasparenza. Alle lettere successive dell’art. 11 Cod. Priv., il legislatore stabilisce le modalità in cui dati personali dovranno essere trattati, dovendo essere raccolti e registrati per scopi determinati, espliciti e legittimi, o per essere utilizzati in altre operazioni, purché compatibili con tali scopi. I dati raccolti e registrati dovranno, altresì, essere esatti ed aggiornati, oltre che pertinenti, completi e non eccedenti rispetto alle finalità per i quali siano stati raccolti o successivamente trattati, al fine di non fornire una falsa rappresentazione della situazione reale di un soggetto. Infine, le informazioni personali dovranno essere conservate, per un periodo di tempo non superiore a quello necessario per gli scopi per i quali sono stati raccolti o successivamente trattati, in una forma che ne consenta l’identificazione dell’interessato^[16].

Il legislatore ha, inoltre, conferito all’interessato un potere di controllo sui propri dati, esercitabile attraverso il diritto di accesso alle informazioni detenute dal titolare del trattamento al fine di evitare errori sulle proprie informazioni all’art. 7 Cod. Priv. Il diritto riconosciuto all’interessato è speculare rispetto a quello di cui all’art. 11, creando una simmetria tra i doveri del soggetto che procede al trattamento e i diritti del soggetto interessato.

4.2 Problemi di coordinamento tra l’art. 15 cod. priv. e l’art. 2050 c.c.

La Corte di Cassazione con l’ordinanza in commento, in primo luogo, ha analizzato il richiamo all’art 2050 c.c., intitolata Responsabilità per l’esercizio di attività pericolosa, da parte dall’art 15 cod. priv., stabilendo che dalla combinazione delle due norme scaturisce la regola secondo la quale in materia di trattamento illecito o scorretto dei dati personali la responsabilità per i danni non patrimoniali cagionati è da attribuire in via presuntiva al titolare dei dati personali o a chi se ne è avvalso, salvo che il danneggiante dimostri di aver adottato tutte le misure idonee ad evitare il danno.

L’art. 2050 c.c. configura, secondo la ricostruzione più accreditata, una forma di responsabilità oggettiva caratterizzata, da un lato, dalla pericolosità dell’attività, per sua natura intrinseca o per il dinamismo degli strumenti utilizzati e dall’altro, dalla presunzione di responsabilità dell’esercente, da cui consegue l’inversione dell’onere della prova a suo carico, in ordine alla sussistenza della relativa responsabilità^[17].  

L’indicazione nell’art. 15 cod. priv. di questa forma speciale di responsabilità risponde ad una ragione specifica. Infatti, bisogna ricordare che la legge 675/1996 e, conseguentemente, il Codice della Privacy sono il frutto del recepimento della Direttiva 94/96/CE che prescriveva l’obbligo per gli Stati membri, nel formulare la disciplina del risarcimento per danni non patrimoniali derivanti dal trattamento illegittimo di dati personali, di stabilire l’inversione dell’onere della prova a carico del danneggiante, al fine di non far gravare la prova dell’illecito in capo al danneggiante, parte debole della vicenda risarcitoria. Il legislatore, pertanto, nel recepire le prescrizioni comunitarie ha scelto di richiamare l’art. 2050 c.c., generando collateralmente, una frattura tra dottrina e giurisprudenza circa le ricadute applicative sull’art. 15 cod. priv., che è riconducibile, a grandi linee, a due posizioni.

Una prima ipotesi interpretativa ha ricostruito la responsabilità di cui all’art. 15 Cod. Priv. alla stregua di una responsabilità presunta, ritenendo che il richiamo all’art. 2050 c.c. sarebbe unicamente espressivo di quell’inversione dell’onere della prova richiesto dalle prescrizioni comunitarie. L’art. 2050 c.c. non sarebbe frutto di un richiamo tecnico, non potendosi definire in astratto un’attività pericolosa senza aver accertato in concreto la sua effettiva offensività, salvo non voler attribuire in capo al danneggiante una sproporzionata ed eccessiva responsabilità. Il trattamento dei dati personali, potenzialmente lesivo, potrebbe nei fatti, ad esempio, non avere oggetto dati che in concreto ledono i diritti fondamentali dell’individuo o avere ad oggetto un trattamento minimale non gravemente pericoloso. Secondo questa tesi, la pericolosità non sarebbe riferita al trattamento in sé, quanto ad un comportamento del titolare che per errore o colpa nell’uso dei mezzi produce un danno nell’altrui sfera giuridica. A tal fine, non potrebbe parlarsi di vera e propria responsabilità oggettiva, essendo il regime assimilabile a quello di cui all’art. 2050 c.c. solo dal punto di vista del regime probatorio. Se si concordasse con la tesi della colpa presunta, l’elemento che farebbe sorgere la responsabilità risiederebbe nella violazione di regole di prudenza e perizia e la presunzione potrebbe essere vinta dimostrando di aver posto in essere una condotta conforme alla diligenza professionale richiesta in relazione alla pericolosità o alla natura dell’attività.

Una seconda opzione ermeneutica, ad oggi prevalente, ha attribuito valore oggettivo alla responsabilità derivante dal trattamento illegittimo dei dati personali, equiparandola tout court a quella di cui all’art. 2050 c.c., in ragione della pericolosità insita nell’attività de quo. Sicché, secondo questa tesi l’art. 15 cod. priv. rappresenterebbe un caso peculiare in cui la pericolosità è stabilita in astratto, una volta e per sempre, da legislatore, non essendo rimesso il suo accertamento concreto al sensibile apprezzamento del giudice. La pericolosità sussisterebbe a prescindere dai mezzi utilizzati, riferendosi sia al trattamento informatizzo e telematico dei dati, che a quello manuale. La ricostruzione della pericolosità in re ipsa dell’attività sarebbe giustificata da un lato, dalla presenza dell’art. 31 cod. priv. che individua gli obblighi di sicurezza da adottare nel trattamento dei dati personali e dall’altro, dall’oggetto di tutela della disciplina in tema di privacy. Difatti, La pericolosità del trattamento dei dati personali deriverebbe dall’elevato rischio di ledere i diritti personali o personalissimi dell’individuo. Ricondurre l’art. 15 del Cod. priv. alla responsabilità di tipo oggettivo implica che il disvalore del fatto si concentri sul danno ingiusto, trascurando l’elemento soggettivo che non verrebbe preso in considerano né come oggetto di prova in capo al danneggiato, né come facoltà di esonero della responsabilità da parte del danneggiante. Pertanto, se l’interessato sarà a tenuto dimostrare la sussistenza del nesso di causalità tra il trattamento dei dati personali e il danno, il titolare avrà l’onere di provare di aver adottato tutte le misure idonee ad evitare il danno. Pertanto, il disvalore sanzionato dall’art. 2050 c.c. attiene all’attività pericolosa da lui svolta, e non al comportamento del danneggiante, responsabile indipendentemente da ogni giudizio di colpa ed anche se, al momento del fatto, aveva improntato il proprio comportamento alla massima diligenza, prudenza e perizia. L’adozione delle misure idonee non potrà essere soddisfatta dalla dimostrazione di aver adottato misure minime di sicurezza di cui all’art. 31 Cod. Priv., trattandosi di norma che non richiama norme particolari, ma solo criteri generali. Invero, L’ambito delle misure idonee non è circoscritto all’adeguamento di standard di sicurezza minimi, ma si estende a tutte le prescrizioni normative, senza contraddistinguere la disciplina sulla privacy e sulla sicurezza delle informazioni^[18]. Egli, invero, verrà chiamato a rispondere ogni qualvolta sussistano tecnologie di sicurezza superiori che avrebbero potuto prevenire il danno e che il titolare non ha adottato perché eccessivamente complesse e costose. Dunque, la prova liberatoria per il danneggiante sarà raggiunta solo quando dimostri di aver adottato tutte le misure di sicurezza che, anche in relazione alle caratteristiche dell’attività esercitata, rientrano nella sua sfera di controllo e si presentano adeguate ad impedire il realizzarsi del danno. Inoltre, i danni per cause ignote rimangono in capo a chi esercita l’attività se non ha predisposto i necessari accorgimenti preventivi, mentre se ha predisposto le misure necessarie potrà essere ritenuto esente da responsabilità anche se le cause produttive del danno rimangono ignote^[19].

4.3 Danno non patrimoniale in re ipsa: effettiva lesione della privacy

Con l’ordinanza n. 14242 del 04.06.2018 la Corte di Cassazione ribadisce le condizioni in presenza delle quali il danneggiato è legittimato a richiedere ed ottenere il risarcimento dei danni non patrimoniali ai sensi dell'art. 15, secondo comma, cod. priv. La Suprema Corte sostiene che non è sufficiente la sussistenza di un trattamento illecito o scorretto dei dati personali dell'interessato a far scattare automaticamente il risarcimento del danno non patrimoniale, dovendo sussistere una lesione effettiva alla privacy, la cui violazione non possa essere tollerata dal danneggiato. Sennonché, al danneggiato basterà provare questo elemento, anche mediante presunzioni, per far scaturire automaticamente il diritto al risarcimento: accertata tale lesione, il danno non patrimoniale sussiste in re ipsa. La soluzione interpretativa si presenta, dunque, ossequiosa dei principi individuati dalla giurisprudenza di legittimità in materia di danno non patrimoniale ex all’art. 2059 c.c., seppur con gli adattamenti necessitati dalla delicatezza della materia e con l'inversione dell’onere della prova dettata dal richiamo dell’art. 2050 c.c.^[20] La Corte di Cassazione, in primo luogo, parte dalla premessa che pur in presenza di una lesione di un diritto fondamentale, come quello alla riservatezza, riconosciuto all’art. 2, 21 Cost. e art. 8 CEDU, non viene meno la necessità di verificare la gravità della lesione e serietà del danno, operando sempre e comunque il bilanciamento con il principio di solidarietà di cui all’art. 2 Cost, quale principio di tolleranza della lesione minima è intrinseco^[21]. Questa soluzione è conforme al principio espresso dalla Corte di Cassazione con le storiche sentenze 8827/8828 del 2003^[22], 16004 del 2003 e a Sezioni Unite 26972 del 2008, secondo il quale il danno non patrimoniale risarcibile è sempre il danno conseguenza, che deve essere allegato e provato, anche attraverso meccanismi presuntivi, dovendo consistere in una effettiva perdita della sfera giuridica del soggetto leso^[23]. La precisazione è stata dettata dalla necessità di porre fine a quegli orientamenti definibili “eventisti”, che riconoscevano il risarcimento in presenza del solo illecito, ovvero del danno evento^[24]. Secondo le Sezioni Unite con le sentenze di San Martino del 2008 anche il pregiudizio conseguente alla lesione di diritti costituzionalmente protetti deve essere tanto serio da essere meritevole di tutela in un sistema che impone un grado minimo di tolleranza. A tal fine il giudice dovrà accertare la gravità dell’offesa e della serietà del pregiudizio secondo il parametro costituito dalla coscienza sociale in un determinato momento storico. La Corte di Cassazione, con sentenza del 15 luglio 2014 n. 16133, in tema di art. 15, secondo comma, c.c., aveva già sancito tale soluzione interpretativa, paventando il rischio, diversamente, di trasformare il risarcimento del danno in uno strumento sanzionatorio da comminare a prescindere dallo specifico interesse del danneggiato. Inoltre, a sostegno di questa ricostruzione, l’art 15 cod. priv., pur prevedendo l’espressa risarcibilità del danno non patrimoniale, non indica criteri volti ad escludere l’accertamento della sussistenza o meno di una lesione alla privacy effettivamente subita dal danneggiato.

Nondimeno, il danneggiante ha la possibilità di liberarsi dal giudizio di responsabilità dimostrando che il danno è inesistente o bagatellare, o che il danneggiato abbia avuto vantaggio dalla pubblicazione dei dati.

Da un lato, la Corte ritiene che il danneggiante potrà liberarsi da responsabilità provando l’insussistenza della gravità dell’offesa e della serietà del danno, o che la lesione sia di entità tale da poter essere tollerata dall’uomo medio secondo il comune sentire, traducendosi, ad esempio, in un semplice fastidio della vita. D’altro canto, la Suprema Corte sostiene che il titolare del trattamento sarà esente da qualunque responsabilità ogni qual volta dimostri che dal fatto illecito, consistente nello scorretto o illecito trattamento dei dati, derivi un vantaggio in capo al danneggiato. Questa regola di delimitazione della responsabilità in capo al danneggiante, risponde a quel principio in tema di risarcimento di cui all’art. 1223 c.c., secondo il quale la funzione del risarcimento è quella di riportare il danneggiato nella stessa curva di indifferenza in cui si sarebbe trovato se non avesse subito l’illecito. Il risarcimento ha la principale funzione di compensare il danno, senza andare oltre, non potendosi mai trasformarsi in una fonte di arricchimento per il danneggiato. La Suprema Corte, dunque, senza farne menzione, richiama il principio che sta alla base dell’istituto della compensatio lucri damno, seppur con gli opportuni adattamenti: se il fatto illecito produca conseguenze vantaggiose in capo al danneggiato, queste dovranno essere valutate dal giudice ai fini dell’accertamento dell’entità e dell’esistenza del danno risarcibile. Per la Corte l’esistenza dell’istituto della compensatio, trova il proprio fondamento nell’idea del danno risarcibile quale risultato di una valutazione globale degli effetti prodotti dall’atto dannoso, dovendo vagliare sia le poste negative che quelle positive. Dunque, nella determinazione del risarcimento dovrà essere valutata l’esistenza di un beneficio collaterale che elimini il danno da risarcire. (Cass. Civ. Sez. Unite 12564/2018, n. 584/2008 – ed in materia amministrativa Consiglio di Stato n.1/2018).

In ogni caso, il danno non patrimoniale non sarà a lui imputabile ogni qual volta, come anzi detto, dimostri che non gli sia addebitabile, per aver apprestato tutte le misure idonee ad evitare il danno, dovendosi ricondurre così al fortuito, all’imprevedibile, al fatto del terzo o del danneggiato. Se, invece, la prova liberatoria non è raggiunta, il giudice dovrà disporre il risarcimento del danno nella misura da stabilire in via equitativa o secondo le allegazioni prodotte dal danneggiato. Le prove che il danneggiato potrà allegare a sostegno della propria pretesa, trattandosi di valori eminentemente immateriali, potranno essere anche presunzioni semplice.

Nel caso di specie, il giudice dove aver accertato la lesione del diritto alla riservatezza del ricorrente mediante la diffusione di dati giudiziari inerenti alla persona, ha stabilito che la condotta ha provocato un forte senso di turbamento e di vergogna, tale da dover essere risarcito. Sulla base di tali presupposti, ed in assenza di prove da parte del ricorrente volte a renderlo esente da responsabilità, il ricorso è stato rigettato.

5. Considerazioni conclusive

Alla luce della disamina compiuta è chiaro che la Corte di Cassazione continua ad essere fedele ai principi e alle soluzioni ermeneutiche in materia di danno non patrimoniale conquistate a seguito di quel lungo iter interpretativo intorno all'art. 2059 c.c. iniziato più di vent’anni fa e conclusosi con le Sentenze gemelle di San Martino del 2008. Ciononostante, la giurisprudenza di legittimità si presenta sempre elastica ed aperta nel conciliare i capisaldi che reggono il nostro sistema alle materie più delicate, come quella del trattamento dei dati personali, in continuo confronto con le sfide della modernità, preoccupandosi di trovare il giusto bilanciamento tra i diversi valori in gioco.