Danno da illecito trattamento dei dati personali

La Corte di Cassazione, con l’Ordinanza 4 giugno 2018, n. 14242, ha ribadito che “Il danno non patrimoniale risarcibile ai sensi dell’art. 15 del d.lgs. 30 giugno 2003, n. 196 (cosiddetto codice della privacy), pur determinato da una lesione del diritto fondamentale alla protezione dei dati personali tutelato dagli artt. 2 e 21 Cost. e dall’art. 8 della CEDU, non si sottrae alla verifica della “gravità della lesione” e della “serietà del danno” (quale perdita di natura personale effettivamente patita dall’interessato), in quanto anche per tale diritto opera il bilanciamento con il principio di solidarietà ex art. 2 Cost., di cui il principio di tolleranza della lesione minima è intrinseco precipitato, sicché determina una lesione ingiustificabile del diritto non la mera violazione delle prescrizioni poste dall’art. 11 del codice della privacy ma solo quella che ne offenda in modo sensibile la sua portata effettiva (Cass., n. 16133/2014)”.
Ancora, la Suprema Corte ha puntualizzato che “I danni cagionati per effetto del trattamento dei dati personali in base all’art. 15 del d.lgs. 30 giugno 2003, n. 196, sono assoggettati alla disciplina di cui all’art. 2050 c.c., con la conseguenza che il danneggiato è tenuto solo a provare il danno e il nesso di causalità con l’attività di trattamento dei dati, mentre spetta al convenuto la prova di aver adottato tutte le misure idonee ad evitare il danno (Cass., n. 18812/2014)”.
Ciò posto, la Corte ha stabilito che:
“La fattispecie delineata dai due commi dell’art. 15 del d.lgs. n. 196 del 2003 pone quindi due presunzioni: quella secondo la quale il danno è da addebitare a chi ha trattato i dati personali o a chi si è avvalso di un altrui trattamento a meno che egli non dimostri di avere adottato tutte le misure idonee per evitarlo ai sensi dell’art. 2050 c.c. e quella secondo la quale le conseguenze non patrimoniali di tale danno – sia esso di natura contrattuale che extracontrattuale – sono da considerare in re ipsa a meno che il danneggiante non dimostri che esse non vi sono state ovvero che si tratta di un danno irrilevante o bagatellare ovvero ancora che il danneggiato abbia tratto vantaggio dalla pubblicazione dei dati.
Presunzioni, queste, che varranno sia nel caso in cui il danneggiante sia il titolare del trattamento che nel caso in cui egli sia un “chiunque”, dato che gli interessi lesi di volta in volta attraverso un trattamento illecito, rappresentando diritti-interessi inviolabili del danneggiato, assumono un rilievo talmente evidente da comportare l’inversione dell’onere della prova; non a caso tale presunzione sull’an del danno non patrimoniale legata alla violazione delle regole di liceità correttezza è rafforzata proprio dal richiamo da parte del legislatore al concetto di attività pericolosa. Ed infatti il danno maggiormente connaturato all’illecito trattamento è proprio quello non patrimoniale sicché il non avere adottato le misure idonee ad evitarlo si rivela in sostanza come una violazione delle regole di correttezza e di liceità le quali sono finalizzate a bilanciare la libertà di chi tratta i dati con la preservazione della sfera del danneggiato.
Ovviamente, spetterà pur sempre al giudice dunque valutare, sulla base vuoi delle allegazioni del danneggiato, vuoi di semplici presunzioni, e tenendo conto dell’eventuale prova contraria fornita dal danneggiante, se il danno debba essere risarcito in quanto lesivo di diritti la cui violazione non debba e non possa essere tollerata dal danneggiato.
Una volta ritenuto pertanto che il bene violato faccia parte di quei valori fondamentali ovvero dei diritti inviolabili della persona, il giudice dovrà disporre che il danno debba essere risarcito, quanto meno in via equitativa, salvo la prova contraria addotta dal danneggiante”.