Articolo 15 Codice della privacy

Per rispondere al quesito in esame, occorre in primo luogo tenere presente quanto prevede il Testo Unico sul pubblico impiego relativamente alle forme e termini del procedimento disciplinare.
In particolare, si deve far riferimento a quanto previsto dall’art. 55 bis comma 5 del predetto testo unico (il D.Lgs 165/2001) secondo cui: “la comunicazione di contestazione dell'addebito al dipendente, nell'ambito del procedimento disciplinare, e' effettuata tramite posta elettronica certificata, nel caso in cui il dipendente dispone di idonea casella di posta, ovvero tramite consegna a mano. In alternativa all'uso della posta elettronica certificata o della consegna a mano, le comunicazioni sono effettuate tramite raccomandata postale con ricevuta di ritorno.”
Tale disposizione, va letta insieme alla previsione contenuta nell’art. 47, comma 3 del Codice dell’amministrazione digitale (D. Lgs 7 marzo 2005, n. 82 ) il quale recita: "Le pubbliche amministrazioni utilizzano per le comunicazioni tra l'amministrazione ed i propri dipendenti la posta elettronica o altri strumenti informatici di comunicazione nel rispetto delle norme in materia di protezione dei dati personali".

Dalla lettura di queste disposizioni emerge quindi in modo palese che la comunicazione debba essere fatta al lavoratore in modo da non diffondere a terzi i relativi dati personali.

Tale principio è ribadito, del resto, nelle Linee Guida del Garante della Privacy del 14.06.07 in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico. Infatti, al punto 5.1, il Garante dispone espressamente che “non possono essere comunicati dati personali del dipendente (ad esempio, quelli inerenti alla circostanza di un'avvenuta assunzione, allo status o alla qualifica ricoperta, all'irrogazione di sanzioni disciplinari, a trasferimenti del lavoratore come pure altre informazioni contenute nei contratti individuali di lavoro) a terzi”.
E al punto 5.3 viene ribadito che: “l'amministrazione deve utilizzare forme di comunicazione individualizzata con il lavoratore, adottando le misure più opportune per prevenire la conoscibilità ingiustificata di dati personali, in particolare se sensibili, da parte di soggetti diversi dal destinatario”.

Le predette modalità di comunicazione, non risultano invece essere state rispettate nel caso in esame.

Leggiamo infatti nel quesito che la contestazione del presunto illecito disciplinare perveniva “senza la dicitura (riservata personale) e quindi in forma pubblica”.
Dobbiamo quindi supporre che la consegna della comunicazione sia avvenuta a mano in una lettera accessibile anche agli altri dipendenti.
In tali circostanze, appare pertanto palese e non giustificata la violazione della privacy.

Ciò precisato, quale tutela legale?

Nel nostro ordinamento, il legislatore ha predisposto un’ampia tutela in ambito amministrativo, civile e penale.

Dal punto di vista amministrativo, per lamentare un trattamento dei dati in violazione della legge (essenzialmente il diritto di accesso e gli altri diritti previsti dall’art. 7 del Codice della Privacy), ci si può rivolgere al Garante tramite una mera segnalazione (cioè una istanza gratuita con cui si segnala la non conformità del trattamento dei dati alla legge e si richiede un controllo da parte della stessa autorità garante), un reclamo (cui va allegata una ricevuta del versamento di € 150,00 a titolo di diritti di segreteria) o un ricorso (in caso di tardiva o mancata risposta del titolare o del responsabile del trattamento dei dati).

Tuttavia, tali strumenti non appaiono adatti al caso in esame dal momento che non si lamenta semplicemente una violazione del diritto di accesso ai dati o comunque un illegittimo trattamento dei medesimi bensì di aver subito un danno (all’immagine, ma anche patrimoniale considerate le ripercussioni a livello lavorativo) a seguito della violazione di privacy.

In base all’art. 15 del D.Lgs n.196 del 2003 “chiunque cagiona danno ad altri per effetto del trattamento di dati personali è tenuto al risarcimento ai sensi dell'articolo 2050 del codice civile”. Inoltre, ai sensi dell’art.152 tutte le controversie che riguardano l'applicazione delle disposizioni di tale normativa, comprese quelle inerenti ai provvedimenti del Garante in materia di protezione dei dati personali o alla loro mancata adozione, sono attribuite all'autorità giudiziaria ordinaria.

Pertanto, laddove si voglia intentare una causa di risarcimento danni, occorre rivolgersi al tribunale.

Nel caso di specie, appare essere effettivamente sussistente sia un danno patrimoniale che un danno non patrimoniale.
Sul punto, occorre comunque tenere presente che qualunque danno di cui si voglia chiedere un risarcimento va provato.
Tale principio, si applica anche alla lesione del diritto alla riservatezza al quale "non consegue un’automatica risarcibilità in quanto il pregiudizio morale o patrimoniale deve essere comunque provato secondo le regole ordinarie" (Cass. Civ. sentenza n.15240/ 2014).
Tuttavia, poiché per espressa previsione normativa (il sopra citato art.15 del Codice della Privacy) l’attività di trattamento dei dati personali viene qualificata come attività pericolosa rientrante nell’art. 2050 c.c., l’interessato dovrà allegare solo la prova del danno subito dalla violazione della privacy.
Di contro, sarà il responsabile del trattamento a dover dare prova di aver adottato tutte quelle misure idonee ad evitare la presunta violazione della privacy.

Riguardo poi l’aspetto del danno non patrimoniale, la Corte di Cassazione ha sottolineato che il suo risarcimento ai sensi dell’art. 15 del d.lgs. 30 giugno 2003, n. 196 “non si sottrae alla verifica di “gravità della lesione” e di “serietà del danno” che, in linea generale, si richiede in applicazione dell’art. 2059 cod. civ. nelle ipotesi di pregiudizio inferto ai diritti inviolabili previsti in Costituzione” (sent.16133/2014 ).
In ogni caso, occorre tenere presente che l’eventuale azione civile di risarcimento si prescrive in cinque anni da quando il fatto si è verificato. Nel nostro caso, quindi nel 2019.

Da ultimo, per completezza, ci limitiamo a segnalare che è prevista tutela anche in ambito penale.
Si veda sul punto l’art. 167 del Codice della Privacy relativo al trattamento illecito di dati secondo cui: “Salvo che il fatto costituisca più grave reato, chiunque, al fine di trarne per sè o per altri profitto o di recare ad altri un danno, procede al trattamento di dati personali in violazione di quanto disposto dagli articoli 18, 19, 23, 123, 126 e 130, ovvero in applicazione dell'articolo 129, è punito, se dal fatto deriva nocumento, con la reclusione da sei a diciotto mesi o, se il fatto consiste nella comunicazione o diffusione, con la reclusione da sei a ventiquattro mesi".
Ricordiamo però che per tale tipo di fattispecie criminosa è richiesto il dolo specifico e non un mero comportamento colposo (come appare invece essere nel caso in esame).

Il Codice in materia di protezione dei dati personali, D.lgs. 30 giugno 2003 n. 196, ha modificato il codice di procedura civile prevedendo, da un lato, che sia omessa l'indicazione del debitore negli avvisi relativi agli atti esecutivi pubblicati sui quotidiani e nelle forme della pubblicità commerciale (art. 174, comma 9, del Codice; art. 490, comma 3, c.p.c.) e, dall'altro, prevedendo che gli avvisi di vendita debbano necessariamente contenere l’indicazione che "maggiori informazioni anche relative alle generalità del debitore possono essere fornite dalla cancelleria del Tribunale a chiunque vi abbia interesse" (art. 174, comma 10, del Codice; art. 570 c.p.c.).

In questo modo il legislatore ha cercare di bilanciare le esigenze di pubblicità degli atti con i diritti degli interessati nell'ambito del processo esecutivo, in quanto mentre l'omissione del nominativo del debitore nell'avviso di vendita (art. 490, terzo comma, c.p.c.) risponde alla necessità di tutelare il diritto degli interessati a non subire un'ingiustificata divulgazione dei dati personali che li riguardano, per converso la possibilità di conoscere le generalità del debitore, e ogni altra ulteriore utile informazione, attraverso le strutture degli uffici giudiziari (art. 570 c.p.c.), consente, a chi sia realmente interessato all'acquisto, un'informata valutazione circa l'effettiva situazione giuridica del bene da espropriare.

Inoltre, seppure non previsto da una specifica norma di legge, nelle copie pubblicate degli atti delle procedure esecutive occorre che non siano riportati i dati personali di soggetti estranei alla procedura stessa (quale nel nostro caso la moglie), trattandosi di informazioni eccedenti e non pertinenti rispetto alle finalità cui è preordinato il procedimento espropriativo.

In ordine, invece, alle forme di tutela esperibili avverso comportamenti lesivi della privacy, il riferimento va preliminarmente fatto all’art. 141 del Codice Privacy, il quale individua tre diverse modalità attraverso cui l’interessato può rivolgersi al Garante, ossia il reclamo circostanziato, la segnalazione ed il ricorso (per il cui contenuto si fa rinvio alla norma stessa).
Trattasi delle forme tipiche di tutela predisposte per ottenere la cessazione del comportamento violativo della privacy, mentre qualora, come nel caso di specie, tale effetto sia stato raggiunto per altra via, si offre all’interessato la possibilità di chiedere il risarcimento del danno patito a causa del suddetto comportamento.

E’ lo stesso Codice Privacy, all’art. 15, a riconoscere espressamente il diritto ad ottenere il risarcimento per violazione della privacy in favore di chi abbia subìto un danno per un trattamento illecito dei suoi dati personali, diritto che viene riconosciuto ex art. 2050 c.c. indipendentemente dalla gravità del caso o dal numero di persone che vengono a conoscenza di quei dati in maniera illegale.
Affinché ci sia un risarcimento, però, ci deve essere un danno.

Su questo aspetto, cioè sulla determinazione del danno per violazione della privacy, si ritiene possa essere interessante richiamare, tra le altre, la sentenza della Corte di Cassazione, Sezione terza civile, n. 16133 del 15.07.2014, la quale, nel riconoscere in caso di trattamento illecito di dati personali, il risarcimento del danno non patrimoniale, afferma che tale voce di danno non si sottrae ad un accertamento da parte del giudice, da compiersi con riferimento alla concretezza della vicenda, destinato ad investire i profili della gravità della lesione inferta e della serietà del danno da essa derivante.

Anche la stessa Unione europea, con la Direttiva 95/46/CE, ha affermato che “chiunque subisca un danno cagionato da un trattamento illecito o da qualsiasi altro atto incompatibile con le disposizioni nazionali di attuazione della presente direttiva, abbia il diritto di ottenere il risarcimento del pregiudizio subito dal responsabile del trattamento”.

Nel nostro caso la sussistenza del danno non patrimoniale va individuata nell’esistenza, in capo ai soggetti il cui nominativo è stato indebitamente reso pubblico, di un "disagio conseguente alla propria (indiscriminata) esposizione di carattere economico", trattandosi di un tipo di pregiudizio che, astrattamente, non può dirsi estraneo al paradigma del danno non patrimoniale risarcibile in base all'art. 15 del d.lgs. n. 196 del 2003, come effetto del trattamento di dati personali.

Va tuttavia precisato che più volte la medesima Corte di Cassazione ha affermato che il danno non può qualificarsi in re ipsa, e ciò seppure si tratti di un’ipotesi di danno prevista espressamente dalla legge.
L'accertamento della gravità della lesione e della serietà del danno spetta dunque al giudice in forza del "parametro costituito dalla coscienza sociale in un determinato momento storico" (Cass., sez. un., n. 26972 del 2008, cit.); trattasi di un accertamento di fatto che, naturalmente, richiede la previa allegazione di parte degli elementi fattuali atti ad innescarlo, sui quali incentrare il thema probandum.
Si è così affermato che nel riconoscimento del danno non patrimoniale, occorre soddisfare quanto più possibile l'esigenza di arginare la proliferazione delle c.d. liti bagatellari, dovendosi a tal fine operare un bilanciamento tra il principio di solidarietà verso la vittima, e quello di tolleranza, con la conseguenza che il risarcimento del danno non patrimoniale è dovuto solo nel caso in cui sia superato il livello di tollerabilità ed il pregiudizio non sia futile (così Cass. N. 26972/2008); pregiudizi connotati da futilità devono invece essere accettati da ogni persona che sia inserita nel complesso contesto sociale, e ciò in virtù del dovere di tolleranza che la convivenza impone (art. 2 Cost.).

In conclusione, dunque, seppure nel caso di specie il nominativo in chiaro del debitore e della moglie risultino dalla perizia dell’immobile e, dunque, da un atto diverso dall’avviso di vendita a cui espressamente si riferiscono gli artt. 490 e 570 c.p.c., in realtà dal contenuto complessivo di tali norme e da quella che è la loro stessa ratio può dedursi che l’omissione possa e debba estendersi anche alla perizia, trattandosi pur sempre di un atto proprio della procedura esecutiva ed avendo il legislatore inteso soddisfare la possibilità di conoscere le generalità del debitore, e ogni altra ulteriore utile informazione, soltanto attraverso le strutture degli uffici giudiziari.

Sussistendo dunque gli estremi di un illecito trattamento di dati personali, sarà consentito ex art. 15 Codice Privacy chiedere, in sede giudiziaria, secondo le forme previste dall’art. 152 dello stesso Codice, il risarcimento dei danni, senza dover provare la "colpa" del titolare che ha trattato i dati, ma gravando a carico dell'interessato l'onere di provare quali danni siano derivati dal trattamento di tali dati, e ciò in conformità al prevalente orientamento giurisprudenziale secondo cui il danno non può considerarsi in re ipsa.

In tal senso appare utile da ultimo richiamare la sentenza della Corte di Cassazione Sezioni Unite n. 26972 dell’11 novembre 2008, la quale, pur in materia di lesione di diritti inviolabili della persona costituzionalmente garantiti, nell'ammettere la risarcibilità della lesione di siffatti diritti e nel tracciarne rigorosamente i confini, ha contestualmente riconosciuto che l'esistenza del relativo danno deve comunque essere provata dal danneggiato.