Risarcimento dei danni da illecita divulgazione dei dati personali e criterio di minimizzazione: la pronuncia della Cassazione

In una recente ordinanza, la Corte di Cassazione si è pronunciata sul risarcimento dei danni da illecita divulgazione dei dati personali, soffermandosi anche sul criterio di minimizzazione nell'uso dei dati personali, secondo cui devono essere utilizzati solo i dati indispensabili, pertinenti e limitati a quanto necessario per il perseguimento delle finalità per cui sono raccolti e trattati.

Fatti di causa 

Un avvocato Caio proponeva ricorso ex art. 152 D.Lgs n. 196/2003 al fine di ottenere la condanna di Tizia al risarcimento del danno non patrimoniale subito per l'illecita divulgazione, ad opera di costei, di dati personali coperti da riservatezza. In particolare, la sig.ra, nel presentare un esposto al Consiglio dell'Ordine degli Avvocati di Firenze - nel quale aveva denunciato che l'avvocato, in sede di audizione in un procedimento disciplinare di una dipendente del Tribunale di Firenze, e quale difensore di quest'ultima, aveva tenuto comportamenti deontologicamente scorretti - aveva esordito nello stesso esposto evidenziando che quest'ultimo, prima di esercitare la professione di avvocato, era stato un dipendente del Tribunale di Firenze dalla stessa più volte sottoposto a procedimento disciplinare.

Il Tribunale di Firenze accoglieva la domanda attorea affermando che Tizia, con la sua condotta, aveva violato il diritto alla riservatezza dell'avvocato divulgando i propri dati sensibili riguardanti alcuni precedenti giudizi disciplinari promossi dalla stessa, quale dirigente del Tribunale di Firenze e superiore gerarchica, nei confronti dell'allora cancellerie Caio, senza dar conto degli annullamenti delle sanzioni dalla stessa irrogate, e quindi con una comunicazione finalizzata a gettare discredito sulla immagine e sulla reputazione del legale proprio nel ristretto ambiente lavorativo in cui era da breve tempo entrat

Avverso la predetta sentenza proponeva ricorso per cassazione Tizia affidando le sue doglianze a quattro motivi.

La decisione della Corte di Cassazione 

La Suprema Corte, con la decisione in commento (Cass. civ., sez. I, ordinanza n. 11020 depositata il 26 aprile 2021) ha rigettato il ricorso sulla base delle motivazioni che seguono.

Per quanto di interesse con il primo motivo di ricorso è stata dedotta la violazione e/o falsa applicazione dell'art. 10 D.Lgs n. 196/2003. La ricorrente, in particolare, ha eccepito il proprio difetto di legittimazione passiva, atteso che l'azione giudiziaria ex art. 152 D.Lgs. n. 196/2003 avrebbe dovuto essere rivolta contro il titolare del trattamento dati, che si identifica nel Presidente del Tribunale, mentre ella, avendo agito nella sua qualità di dirigente della cancelleria del Tribunale di Firenze, rivestiva la diversa funzione di mero responsabile del trattamento.

La Corte di Cassazione ritiene detto motivo infondato. Il giudice di primo grado, infatti, ha correttamente rilevato che l'art. 10 D.Lgs n. 196/2003 costituisce una norma sulla competenza e non sulla legittimazione passiva, in relazione alla quale deve, invece, farsi riferimento all'art. 15, comma 10, del medesimo decreto secondo cui "chiunque cagiona danno per effetto del trattamento dei dati personali è tenuto al risarcimento dei danni ai sensi dell'art. 2050 del codice civile".

Pertanto, la Suprema Corte ha affermato il seguente principio di diritto:

«dei danni determinati dall'illecita divulgazione di dati personali, ai sensi dell'art. 15 comma 1° D.Lgs. n. 196/2003 (applicabile ratione temporis al caso in esame), deve rispondere chiunque, con la propria condotta, li abbia eziologicamente provocati, indipendentemente dalla qualifica rivestita, sia di titolare o sia di responsabile del trattamento dati».

Con il terzo motivo di ricorso, invece, è stata dedotta la violazione dell'art. 15 D.Lgs n. 196/2003 e degli artt. 2050 e 2697 cod. civ..

La ricorrente, in particolare, espone che non era stata integrata la violazione dell'art. 15 del Codice della privacy, atteso che la divulgazione della notizia riservata era avvenuta non in un ambiente generico, caratterizzato dalla generalità indiscriminata delle persone, ma in un ambiente qualificato e deputato per disposizione di legge ad esercitare una funzione paragiurisdizionale, essendo il Consiglio dell'ordine degli Avvocati, in sede disciplinare, "giudice" del proprio iscritto. Peraltro, l'aver enunciato l'esistenza di pregressi procedimenti disciplinari a carico dell'avvocato rientrava nell'esercizio del potere difensivo ex art. 24 Cost. di colei che aveva presentato l'esposto. 

La Suprema Corte ritiene anche il detto motivo presenta infondato e, quindi, inammissibile. A tal riguardo la Corte osserva, in via preliminare, che non vi è dubbio che il trattamento delle informazioni personali effettuato nell'ambito di un esposto al Consiglio dell'Ordine degli Avvocati in relazione ad una asserita condotta deontologicamente scorretta posta in essere da un legale sia lecito purché, tuttavia, avvenga nel rispetto del criterio di minimizzazione nell'uso dei dati personali, dovendo essere utilizzati solo i dati indispensabili, pertinenti e limitati a quanto necessario per il perseguimento delle finalità per cui sono raccolti e trattati. Tale principio era ben espresso dall'art. 3 del D.Lgs n. 196/2003, recante il titolo "principio di necessità nel trattamento dei dati", e dall'art. 11 lett. d) D.Lgs. n. 196/2003, richiedente la pertinenza, la completezza e non eccedenza dei dati rispetto alle finalità per cui sono raccolti e trattati - tali articoli sono stati recentemente abrogati a seguito dell'entrata in vigore del D.Lgs. 10/08/2018, n. 101 - ed è stato recentemente riaffermato con l'entrata in vigore dell'art. 5 lett. c) del regolamento europeo sulla protezione dei dati personali 2016/679.

Nel caso di specie, il Tribunale di Firenze ha correttamente ritenuto illecita la divulgazione della ricorrente non delle informazioni relative all'asserita condotta deontologicamente scorretta dell'avvocato nell'esercizio della professione di avvocato - in relazione alle quali non occorre il consenso dell'interessato, data la rilevanza pubblica, di natura paragiurisdizionale, delle funzioni attribuite al Consiglio dell'Ordine degli Avvocati - ma di quei dati relativi ai pregressi procedimenti disciplinari del legale (quando era un impiegato pubblico), non funzionali e pertinenti rispetto allo scopo per cui erano stati trattati (accertare l'esistenza di eventuali illeciti disciplinari nell'esercizio della professione in oggetto) ed erano, inoltre, stati esposti in modo parziale e malizioso, occultando la circostanza pacifica che gli stessi procedimenti erano stati archiviati e le sanzioni irrogate erano state annullate. Dunque, non è ostativa all'integrazione della violazione dell'art. 15 Codice della privacy la mera circostanza che la divulgazione della notizia riservata avvenga nel contesto di un procedimento di rilevanza pubblica, risultando comunque illecita la comunicazione dei dati personali non pertinente ed eccedente le finalità per cui essi sono raccolti e trattati. Nel caso di specie, tale principio è stato chiaramente violato e correttamente il giudice di primo grado lo ha evidenziato.

In ordine al risarcimento dei danni, invece, la Corte osserva che la giurisprudenza di legittimità (vedi Cass. n. 17383 del 20/08/2020) ha già enunciato il principio di diritto secondo cui il danno non patrimoniale risarcibile, ai sensi dell'art. 15 del D.Lgs. n. 196 del 2003, pur determinato da una lesione del diritto fondamentale alla protezione dei dati personali tutelato dagli artt. 2 e 21 Cost. e dall'art. 8 della CEDU, non si sottrae alla verifica della "gravità della lesione" e della "serietà del danno", in quanto anche per tale diritto opera il bilanciamento con il principio di solidarietà ex art. 2 Cost., da cui deriva (come intrinseco precipitato) quello di tolleranza della lesione minima è, sicché determina una lesione ingiustificabile del diritto non la mera violazione delle prescrizioni poste dall'art. 11 del codice della privacy, ma solo quella che ne offenda in modo sensibile la sua portata effettiva, restando comunque il relativo accertamento di fatto rimesso al giudice di merito.

Deve, inoltre, rilevarsi che il danno alla privacy, pur non essendo, come ogni danno non patrimoniale, in "re ipsa", non identificandosi il danno risarcibile con la lesione dell'interesse tutelato dall'ordinamento, ma con le conseguenze di tale lesione, può essere, tuttavia, provato anche attraverso presunzioni. Nel caso di specie, il giudice di merito ha fatto un corretto uso di tale principi, infatti, il Tribunale di Firenze ha avuto cura di verificare la "gravità della lesione" e la "serietà del danno", evidenziando che la divulgazione di una pluralità di procedimenti disciplinari a carico dell'avvocato era stata effettivamente dannosa, determinando conseguenze inevitabilmente negative, oltre che sulla sfera emotiva dell'odierno controricorrente (già provato da procedimenti disciplinati infondati), sulla sua immagine e sulla sua reputazione sociale nel ristretto ambiente lavorativo in cui era da breve tempo entrato (due anni). In particolare, il giudice di merito ha messo in luce la condizione di particolare fragilità in cui si trova un avvocato iscritto all'Ordine forense solo da un paio d'anni, il quale è soprattutto impegnato nella costruzione di una propria immagine e credibilità professionale non solo in relazione ai potenziali clienti, ma anche rispetto a quei colleghi che possono così sensibilmente incidere sulla sua attività, anche per il futuro. 

Alla luce di tutte le osservazioni riportate la Corte di Cassazione ha rigettato il ricorso ritenendolo infondato.