L’ente pubblico è chiamato a rispondere dei danni morali se diffonde note professionali negative di un proprio dipendente
di Federico Gavioli – Dottore commercialista, revisore legale e giornalista pubblicista
La Corte di Cassazione con la sentenza n. 19328, del 17 settembre 2020, ha ribadito che un ente pubblico , nel caso in esame si trattava dell’INPS, deve pagare i danni morali per la diffusione delle note professionali negative di una dipendente
Il contenzioso
Una dipendente ha impugnato dinanzi al Tribunale il provvedimento del Garante per la protezione dei dati personali dell’ottobre 2012 con cui era stato respinto il reclamo da essa proposto per lamentare l’illecito trattamento di propri dati personali e sensibili commesso ai suoi danni dalla Dirigente della sede INPDAP, ora INPS, ex gestione INPDAP, nel maggio-giugno del 2011.
Secondo la ricorrente, la predetta Dirigente aveva trattato dati personali riservati in modo illecito, disponendo che la comunicazione degli addebiti professionali mossi nei suoi confronti e contenuti in alcune note dirigenziali , preliminari alla revoca della sua posizione di “capo area pensioni”, avvenisse brevi manu e a vista, a mezzo di addetto alla segreteria non preposto al trattamento di dati personali, senza alcuna precauzione o cautela, come “l’inserimento in un plico o in una busta, in violazione del D.Lgs. n. 196 del 2003, art. 11 del punto 5.3. delle “Linee guida in materia di trattamento dei dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico” del 14/6/2007 e delle norme INPDAP, Protocollo relazioni sindacali, punto B.3″.
Inoltre la ricorrente aveva lamentato il fatto che la Dirigente, in occasione di un incontro sindacale per la discussione della bozza di un ordine di servizio per la riorganizzazione della sede, aveva dichiarato a verbale che l’ordine di servizio era stato preparato consultando alcuni soggetti coinvolti nella stesura del provvedimento, che erano quindi venuti a conoscenza di suoi dati personali e sensibili e di pesanti addebiti relativi alla sua professionalità.
Tanto premesso, la ricorrente ha dedotto la nullità e l’ingiustizia del provvedimento del Garante, chiedendone l’annullamento, l’accertamento dell’illegittimità del trattamento dei propri dati personali e la condanna dell’INPS e dello stesso Garante per la protezione dei dati personali al risarcimento dei danni.
All’esito dell’istruttoria il Tribunale ha annullato il provvedimento del Garante per la protezione dei dati personali dell’ottobre 2012, ha accolto parzialmente la domanda risarcitoria, condannando l’INPS a pagare alla ricorrente la somma di Euro 10.000,00 e ha respinto la domanda risarcitoria nei confronti del Garante; ha condannato l’INPS a rifondere le spese di lite alla ricorrente, compensando le spese fra di essa e il Garante.
Avverso la predetta sentenza, ha proposto ricorso per cassazione l’INPS.
L’analisi della Cassazione
Con riferimento in particolare alla parte del ricorso che interessa il presente commento, l’INPS denuncia violazione o falsa applicazione di legge in relazione al D.Lgs. n. 196 del 2003, art. 15 e dell’art. 2050 c.c. nonché dei principi dell’art. 111 Cost., con riferimento in particolare al comma 7, in tema di controllo delle parti sulla corretta applicazione della legge.
L’INPS sostiene che per potersi apprezzare una lesione ingiustificabile in tema di dati personali, suscettibile di risarcimento del danno non patrimoniale di cui al D.Lgs. n. 196 del 2003, ex D.Lgs. n. 196 del 2003, non è sufficiente la mera violazione ma occorre una violazione sensibilmente offensiva, in difetto di dimostrazione di un pregiudizio significativo sofferto in conseguenza.
Nella fattispecie mancava in concreto la prova della gravità della lesione e della serietà del danno.
L’orientamento giurisprudenziale più recente, condiviso anche dal Tribunale e conforme agli indirizzi della Cassazione (n. 207 del 8 gennaio 2019), riconduce l’illecito trattamento di dati personali ad un’ipotesi di responsabilità oggettiva, anche alla luce dell’esplicito rinvio compiuto dalla legge (D.Lgs. n. 196 del 2003, art. 15 applicabile pro tempore) all’art. 2050 c.c..
Pertanto, il danneggiato che lamenti la lesione dell’interesse non patrimoniale puo’ limitarsi a dimostrare l’esistenza del danno e del nesso di causalità rispetto al trattamento illecito, mentre spetta al danneggiante titolare del trattamento, eventualmente in solido col responsabile, dimostrare di aver adottato tutte le misure idonee per evitare il danno. Questo schema è parzialmente confermato anche nel nuovo GDPR (articolo 82.3 GDPR) che, sulla base del principio di responsabilizzazione (accountability) addossa al titolare del trattamento dei dati – eventualmente in solido con il responsabile il rischio tipico di impresa (art. 2050 c.c.).
Secondo la giurisprudenza della Cassazione in tema di onere della prova, in caso di illecito trattamento dei dati personali, il pregiudizio non patrimoniale non è in re ipsa, ma deve essere allegato e provato da parte dell’attore, a pena di uno snaturamento delle funzioni della responsabilità aquiliana. La posizione attorea è tuttavia agevolata dal regime più favorevole dell’onere della prova, descritto all’art. 2050 c.c., rispetto alla regola generale del danno aquiliano, nonché dalla possibilità di dimostrare il danno anche solo tramite presunzioni semplici e dal risarcimento secondo equità.
Per altro verso, il danno non patrimoniale risarcibile ai sensi del D.Lgs. 30 giugno 2003, n. 196, art. 15, pur determinato da una lesione del diritto fondamentale alla protezione dei dati personali tutelato dagli artt. 2 e 21 Cost. e dall’art. 8 della CEDU, non si sottrae alla verifica della gravità della lesione e della serietà del danno (quale perdita di natura personale effettivamente patita dall’interessato) alla stregua dei parametri generali scolpiti dalle sentenze gemelle delle Sezioni Unite n. 26972–26975 dell’11 novembre 2008; infatti anche per tale diritto opera il bilanciamento con il principio di solidarietà ex articolo 2 Cost., di cui la regola di tolleranza della lesione minima costituisce intrinseco precipitato, sicchè determina una lesione ingiustificabile del diritto non la mera violazione delle prescrizioni poste dall’art. 11 del Codice della privacy ma solo quella che ne offenda in modo sensibile la sua portata effettiva.
Il relativo accertamento di fatto è tuttavia rimesso al giudice di merito e resta ancorato alla concretezza della vicenda materiale portata alla cognizione giudiziale ed al suo essere maturata in un dato contesto temporale e sociale.
Il titolare del trattamento, per non incorrere in responsabilità deve dimostrare che l’evento dannoso non gli è in alcun modo imputabile e non può limitarsi alla prova negativa di non aver violato le norme (e quindi di essersi conformato ai precetti), ma occorre la prova positiva di aver valutato autonomamente il rischio di impresa, purché tipico, cioè prevedibile, e attuato le misure organizzative e di sicurezza tali da eliminare o ridurre il rischio connesso alla sua attività. In ogni caso, come lo stesso Istituto ricorrente riconosce, l’accertamento del danno non patrimoniale è un accertamento di fatto, “rimesso al giudice di merito e resta ancorato alla concretezza della vicenda materiale portata alla cognizione giudiziale ed al suo essere maturata in un dato contesto temporale e sociale” (cfr. sent. 16133/2014, citata).
La Cassazione osserva che la pronuncia impugnata non si è sottratta alla corretta applicazione dei principi illustrati, richiedendo l’allegazione e la prova da parte della parte danneggiata del danno-conseguenza, e ribadendo che il danno risarcibile non si identificava con la lesione dell’interesse tutelato dall’ordinamento ma con le sue conseguenze causali.
Ciò ha condotto il Tribunale ad escludere un danno biologico per lesione dell’integrità psico-fisica ma a ravvisare un danno non patrimoniale da sofferenza morale, pure dedotto da parte attrice e ritenuto dimostrato sulla base di un ragionamento presuntivo fondato su regole di esperienza.
Nel respingere la parte del ricorso che interessa il presente commento la Cassazione evidenzia che nel risarcimento i giudici hanno comunque tenuto conto dell’ambiente circoscritto all’ufficio in cui era circolare la notizia.
