Corte di Cassazione, sezione prima civile, Ordinanza 17 settembre 2020, n. 19328.
La massima estrapolata:
Per le controversie in tema di protezione dei dati personali, ai sensi dell’art. 10 del d.lgs. n. 150 del 2011, è competente il tribunale del luogo in cui ha la “residenza” il titolare del trattamento dei dati, sicché nei casi in cui il titolare del trattamento sia una persona giuridica, si rende necessaria un’interpretazione integrativa e dinamica della norma e, dunque, la competenza va determinata in base al luogo dove è ubicata la sede effettiva, presso la quale il trattamento sia avvenuto in modo autonomo e si sia manifestato in concreto.
Ordinanza 17 settembre 2020, n. 19328
Data udienza 16 luglio 2020
Tag/parola chiave: Privacy – Dipendente le cui note negative sono state divulgate nel corso di una riunione sindacale – Danno morale – Risarcimento
REPUBBLICA ITALIANA
IN NOME DEL POPOLO ITALIANO
LA CORTE SUPREMA DI CASSAZIONE
SEZIONE PRIMA CIVILE
Composta dagli Ill.mi Sigg.ri Magistrati:
Dott. GIANCOLA Maria C. – Presidente
Dott. SCOTTI Umberto Luigi – rel. Consigliere
Dott. ACIERNO Maria – Consigliere
Dott. IOFRIDA Giulia – Consigliere
Dott. NAZZICONE Loredana – Consigliere
ha pronunciato la seguente:
ORDINANZA
sul ricorso 28107/2015 proposto da:
Inps, Istituto Nazionale della Previdenza Sociale in persona del legale rappresentante pro tempore, elettivamente domiciliato in Roma Via Cesare Beccaria 29 presso gli avvocati (OMISSIS), (OMISSIS) che lo rappresentano e difendono in forza di procura speciale a margine del ricorso;
– ricorrente –
contro
(OMISSIS), elettivamente domiciliata in (OMISSIS) presso lo studio dell’avvocato (OMISSIS) e rappresentata e difesa dall’avvocato (OMISSIS), in forza di procura speciale allegata al controricorso;
– controricorrente –
e contro
Garante per la Protezione dei Dati Personali, elettivamente domiciliato in Roma Via Dei Portoghesi 12, presso l’Avvocatura Generale dello Stato, che lo rappresenta e difende ex lege;
– controricorrente incidentale –
e contro
(OMISSIS), elettivamente domiciliata in (OMISSIS) presso lo studio dell’avvocato (OMISSIS) e rappresentata e difesa dall’avvocato (OMISSIS), in forza della predetta procura speciale allegata al controricorso
– controricorrente al ricorso incidentale –
avverso la sentenza n. 1792/2015 del TRIBUNALE di LATINA, depositata il 09/09/2015;
udita la relazione della causa svolta nella camera di consiglio del 16/07/2020 dal Consigliere UMBERTO LUIGI CESARE GIUSEPPE SCOTTI.
FATTI DI CAUSA
1. Con ricorso Decreto Legislativo n. 196 del 2003, ex articolo 152 (OMISSIS) ha impugnato dinanzi al Tribunale di Latina il provvedimento del Garante per la protezione dei dati personali (di seguito: semplicemente Garante) n. 296 del 18/10/2012 con cui era stato respinto il reclamo da essa proposto per lamentare l’illecito trattamento di propri dati personali e sensibili commesso ai suoi danni dalla Dirigente della sede INPDAP, ora INPS, ex gestione INPDAP, di Latina nel maggio-giugno del 2011.
Secondo la ricorrente, la predetta Dirigente aveva trattato dati personali riservati in modo illecito, disponendo che la comunicazione degli addebiti professionali mossi nei suoi confronti e contenuti nelle note dirigenziali n. 132 del 23/5/2011 e n. 149 del 3/6/2011, preliminari alla revoca della sua posizione di “capo area pensioni”, avvenisse brevi manu e a vista, a mezzo di addetto alla segreteria non preposto al trattamento di dati personali, senza alcuna precauzione o cautela, come l’inserimento in un plico o in una busta, in violazione del Decreto Legislativo n. 196 del 2003, articolo 11 del punto 5.3. delle “Linee guida in materia di trattamento dei dati personali di lavoratori per finalita’ di gestione del rapporto di lavoro in ambito pubblico” del 14/6/2007 e delle norme INPDAP, Protocollo relazioni sindacali, punto B.3.
Inoltre la ricorrente aveva lamentato il fatto che la Dirigente, in occasione di un incontro sindacale del 31/5/2011 per la discussione della bozza di un ordine di servizio per la riorganizzazione della sede, aveva dichiarato a verbale che l’ordine di servizio era stato preparato consultando alcuni soggetti coinvolti nella stesura del provvedimento, che erano quindi venuti a conoscenza di suoi dati personali e sensibili e di pesanti addebiti relativi alla sua professionalita’.
Tanto premesso, la ricorrente ha dedotto la nullita’ e l’ingiustizia del provvedimento del Garante, chiedendone l’annullamento, l’accertamento dell’illegittimita’ del trattamento dei propri dati personali e la condanna dell’INPS e dello stesso Garante per la protezione dei dati personali al risarcimento dei danni.
Si e’ costituito in giudizio l’INPS, eccependo preliminarmente la tardivita’ del ricorso e l’incompetenza del giudice adito, dovendosi ritenere competente il Tribunale di Roma, in relazione alla sede legale dell’Istituto titolare del trattamento e chiedendo nel merito il rigetto del ricorso.
Si e’ costituito altresi’ il Garante per la protezione dei dati personali, eccependo il proprio difetto di legittimazione passiva e chiedendo la declaratoria di inammissibilita’ o il rigetto del ricorso nei propri confronti.
All’esito di istruttoria documentale e testimoniale, con sentenza del 9/9/2015, previa lettura del dispositivo all’udienza del 30/6/2015, il Tribunale di Latina ha annullato il provvedimento del Garante per la protezione dei dati personali n. 296 del 18/10/2012, ha accolto parzialmente la domanda risarcitoria, condannando l’INPS a pagare a (OMISSIS) la somma di Euro 10.000,00, ha respinto la domanda risarcitoria nei confronti del Garante e ha condannato l’INPS a rifondere le spese di lite alla ricorrente, compensando le spese fra di essa e il Garante.
2. Avverso la predetta sentenza, notificata in data 24/9/2015, con atto notificato con affidamento al servizio postale il 20/11/2015 ha proposto ricorso per cassazione l’INPS, svolgendo quattro motivi.
Con atto notificato il 30/12/2015 ha proposto controricorso (OMISSIS), chiedendo la dichiarazione di inammissibilita’ o il rigetto dell’avversaria impugnazione.
Con atto notificato il 30/12/2015 ha proposto controricorso anche il Garante per la protezione dei dati personali, proponendo altresi’ ricorso incidentale per la cassazione della sentenza impugnata sulla base di cinque motivi.
Con atto notificato il 4/2/2016 la controricorrente (OMISSIS) ha proposto controricorso anche nei confronti del ricorso incidentale del Garante per la protezione dei dati personali, chiedendone la dichiarazione di inammissibilita’ o il rigetto.
Il ricorrente INPS e la controricorrente (OMISSIS) hanno depositato memoria illustrativa.
RAGIONI DELLA DECISIONE
1. Con il primo motivo di ricorso, proposto ex articolo 360 c.p.c., n. 2, l’Istituto ricorrente denuncia violazione delle norme sulla competenza e in particolare del Decreto Legislativo n. 196 del 2003, articolo 152 e Decreto Legislativo n. 150 del 2011, articolo 10 nonche’ dell’articolo 46 c.c. e articolo 19 c.p.c., dei principi di cui all’articolo 111 Cost. e del suo comma 2, in tema di relazione fra giusto processo e regole sulla competenza, in lettura integrata con l’articolo 6 CEDU.
1.1. Il Tribunale di Latina ha ritenuto la propria competenza quale giudice del luogo di sede decentrata provinciale, dotata di direttore munito di poteri rappresentativi ex articolo 19 c.p.c., comma 2.
Secondo l’INPS, la competenza attribuita al Tribunale del luogo ove risiede il titolare del trattamento dei dati ha invece natura funzionale e inderogabile e non era possibile invocare il Decreto Legislativo 30 marzo 2001, n. 165, articolo 16, lettera f), privo di attitudine a modificare il criterio di determinazione dell’organo legittimato a rappresentare legalmente l’amministrazione.
Inoltre la ravvisata esigenza di avvicinare il giudice al luogo del trattamento dei dati si scontrava con il termine “residenza” contenuto nella norma, di carattere soggettivo e utilizzato in senso proprio.
1.2. La censura e’ infondata e il Tribunale di Latina ha ben giudicato ravvisando la propria competenza territoriale.
Infatti, secondo il Decreto Legislativo 1 settembre 2011, n. 150, articolo 10, comma 2, richiamato dal Decreto Legislativo n. 196 del 2003, articolo 152 per le controversie in materia di applicazione delle disposizioni in materia di protezione dei dati personali e’ competente il tribunale del luogo in cui ha la sua “residenza” il titolare del trattamento dei dati, come definito dal Decreto Legislativo 30 giugno 2003, n. 196, articolo 4.
Il predetto, articolo 4, alla lettera f), nel testo pro tempore applicabile prima delle modifiche apportate dal Decreto Legislativo 10 agosto 2018, n. 101, definisce “titolare” la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalita’, alle modalita’ del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza.
Inoltre il Decreto Legislativo n. 196 del 2003, articolo 28 precisa che quando il trattamento e’ effettuato da una persona giuridica, da una pubblica amministrazione o da un qualsiasi altro ente, associazione od organismo, titolare del trattamento e’ l’entita’ nel suo complesso o l’unita’ od organismo periferico che esercita un potere decisionale del tutto autonomo sulle finalita’ e sulle modalita’ del trattamento, ivi compreso il profilo della sicurezza.
1.3. Come correttamente osservato dal Tribunale latinense, il riferimento della legge al luogo di “residenza” del titolare del trattamento e’ evidentemente applicabile, in modo diretto e giuridicamente proprio, alla sola persona fisica.
Quando il titolare del trattamento e’ una persona giuridica o una pubblica amministrazione si rende quindi necessaria l’interpretazione correttiva e integrativa, peraltro agevole, adottata nella sentenza impugnata, avuto riguardo al foro generale delle persone giuridiche, pubbliche e private, previsto dall’articolo 19 c.p.c., secondo il quale, salvo che la legge disponga altrimenti, qualora sia convenuta una persona giuridica, e’ competente il giudice del luogo dove essa ha sede, nonche’ il giudice del luogo dove essa ha uno stabilimento e un rappresentante autorizzato a stare in giudizio per l’oggetto della domanda.
Inoltre, ai sensi dell’articolo 46 c.c. quando la legge fa dipendere determinati effetti dalla residenza o dal domicilio, per le persone giuridiche si ha riguardo al luogo in cui e’ stabilita la loro sede e nei casi in cui la sede stabilita ai sensi dell’articolo 16 c.c. o la sede risultante dal registro sia diversa da quella effettiva, i terzi possono considerare come sede della persona giuridica anche questa ultima.
Per sede effettiva la giurisprudenza costante intende il luogo in cui hanno concreto svolgimento le attivita’ amministrative e di direzione dell’ente ed ove operano i suoi organi amministrativi o i suoi dipendenti, ossia il luogo deputato o stabilmente utilizzato per l’accentramento dei rapporti interni e con i terzi in vista del compimento degli affari e della propulsione dell’attivita’ dell’ente (Sez. L, n. 6021 del 12/03/2009).
1.4. Sulla base di queste complessive considerazioni e nella logica di individuare la regola di competenza in modo rispondente alle esigenze di tutela cui e’ finalizzato il Codice dei dati personali, deve quindi ritenersi che il luogo ove risiede il titolare del trattamento alluda a una nozione collegata ad una localizzazione “dinamica” e non “statica” del titolare, espressa quindi dal suo agire rilevante secondo il Codice.
Il luogo in cui risiede il titolare del trattamento si identifica pertanto in quello in cui il trattamento ha luogo in modo autonomo e quindi si manifesta in concreto.
Questa Corte, allorche’ ha escluso come manifestamente infondato il dubbio di legittimita’ costituzionale, in riferimento all’articolo 24 Cost., del Decreto Legislativo n. 196 del 2003, articolo 152, comma 2, ha ritenuto che la scelta di individuare il luogo di residenza del titolare del trattamento come foro territoriale esclusivo per le controversie in materia di protezione dei dati personali di cui al comma 1 rispondesse alla scelta di privilegiare l’esigenza di vicinanza del giudice al luogo di trattamento e diffusione dei dati, mediante non irragionevole esercizio della discrezionalita’ legislativa (Sez. 3, n. 12980 del 31/05/2006, Rv. 589931 – 01).
Inoltre, diversamente opinando, si perverrebbe al singolare risultato che una disciplina complessa come quella del Decreto Legislativo n. 196 del 2003, dettata in funzione dell’esigenza di tutela del soggetto come tale, sotto il profilo del luogo di svolgimento del processo e, quindi, della tutela giurisdizionale, avrebbe assunto come regola di radicazione della competenza un criterio diretto a tutelare precipuamente l’interesse del titolare del trattamento; infatti, e’ evidente che costringere il soggetto i cui dati sono trattati a litigare non gia’ nel luogo in cui gli effetti del trattamento si evidenziano e, quindi rivelano la loro capacita’ lesiva, bensi’ nel luogo in cui risiede il titolare (magari lontanissimo dal luogo di emersione del trattamento) implicherebbe una grave ed irragionevole contraddizione con la ratio di protezione del soggetto leso.
1.5. Il Tribunale, con diversa e concorrente linea argomentativa, non ha mancato di precisare agli effetti di cui all’articolo 19 c.p.c., comma 1, seconda parte, che secondo la giurisprudenza di legittimita’ l’estensione ad opera della L. 8 marzo 1985, n. 72 ai dirigenti degli uffici centrali e periferici degli enti pubblici economici della normativa di cui al Decreto del Presidente della Repubblica 30 giugno 1972, n. 748 sullo stato giuridico dei dirigenti statali comporta l’applicazione ai primi della disposizione di cui al Decreto del Presidente della Repubblica n. 748 del 1972, articolo 2, comma 2 circa il potere di rappresentanza giuridica dell’amministrazione nei confronti dei terzi, con la conseguente legittimazione dei dirigenti provinciali degli enti previdenziali a promuovere e resistere alle liti, senza necessita’ di preventiva delega da parte del Presidente dell’Istituto (Sez. U, n. 11050 del 22/12/1994, Rv. 489357 – 01; Sez. L, n. 12262 del 20/08/2003, Rv. 566085 – 01; Sez. L, n. 12870 del 12/07/2004, Rv. 574471 – 01).
Conclusione questa non scalfita dal nuovo contesto normativo (in seguito all’abrogazione dell’articolo 2 e alle disposizioni del Capo 1 del Decreto del Presidente della Repubblica n. 748 cit., e al Decreto Legislativo n. 29 del 1993, articoli 3 e 16 da parte del Decreto Legislativo n. 80 del 1998, articolo 43 e successive modificazioni), atteso che il Decreto Legislativo 30 marzo 2001, n. 165, articolo 4, comma 2, ha ribadito che ai dirigenti spetta l’adozione degli atti e provvedimenti amministrativi, compresi tutti gli atti che impegnano l’amministrazione verso l’esterno e il successivo articolo 16, lettera f), ha confermato il potere dei medesimi dirigenti di promuovere e resistere alle liti, conciliare e transigere (Sez. L, n. 955 del 24/01/2012, Rv. 621250 – 01).
Al riguardo l’Istituto ricorrente si limita a prospettare un diverso indirizzo giurisprudenziale (Sez. lav. 13/04/2012 n. 5885), che non appare pertinente poiche’ in quell’occasione era stata cassata la sentenza di merito che aveva escluso il potere di rappresentanza generale del rettore di una Universita’ degli studi, attribuendo il potere di rappresentanza in giudizio al dirigente amministrativo dell’Ente.
1.6. E’ infine il caso di ricordare che questa Corte, nel ritenere che in caso di dati personali nella disponibilita’ di un ufficio giudiziario (nella specie, relativi ad un procedimento disciplinare disposto nei confronti di un dipendente dell’ufficio), giudice territorialmente competente per l’azione di risarcimento per la loro indebita diffusione sia il tribunale del luogo di residenza del capo dell’ufficio giudiziario, che riveste la qualita’ di titolare del trattamento dei dati, ha avuto cura di precisare che tale luogo deve essere inteso in senso funzionale ed oggettivo, quale luogo di stanzialita’ e di stabile ubicazione e cioe’ quale luogo della sede dell’ufficio (Sez. 6 – 3, n. 22526 del 23/10/2014, Rv. 634404 – 01).
Da ultimo e per completezza, anche del Regolamento UE 27/04/2016 n. 679, articolo 79, il comma 2 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali (regolamento generale sulla protezione dei dati – GDPR) comunque inapplicabile ratione temporis, a differenza della previgente Direttiva 24/10/1995 n. 46 1995/46/CE, prevede espressamente che le azioni nei confronti del titolare del trattamento o del responsabile del trattamento debbono essere promosse dinanzi alle autorita’ giurisdizionali dello Stato membro in cui il titolare del trattamento o il responsabile del trattamento ha uno stabilimento. In alternativa, tali azioni possono essere promosse dinanzi alle autorita’ giurisdizionali dello Stato membro in cui l’interessato risiede abitualmente, salvo che il titolare del trattamento o il responsabile del trattamento sia un’autorita’ pubblica di uno Stato membro nell’esercizio dei pubblici poteri. Il considerando 22 precisa che lo stabilimento implica l’effettivo e reale svolgimento di attivita’ nel quadro di un’organizzazione stabile. A tale riguardo, non e’ determinante la forma giuridica assunta, sia essa una succursale o una filiale dotata di personalita’ giuridica.
2. Con il secondo motivo di ricorso, proposto ex articolo 360 c.p.c., n. 3, l’Istituto ricorrente denuncia violazione o falsa applicazione di legge in relazione al Decreto Legislativo n. 196 del 2003, articoli 11, 18, 28, 30, 35 e 112 nonche’ dei principi dell’articolo 111 Cost., con riferimento in particolare al comma 7 in tema di controllo delle parti sulla corretta applicazione della legge ex articolo 6 CEDU.
2.1. L’INPS critica in tal modo la decisione impugnata anche con riferimento alla ritenuta violazione della disciplina del trattamento dei dati personali da parte dell’Ente pubblico datore di lavoro della Dott.ssa (OMISSIS), che sarebbe stata consumata per effetto, da un lato, delle modalita’ di comunicazione dell’ordine di servizio n. 2 del 2011, riguardante la revoca della sua posizione organizzativa di capo area pensioni, dall’altro, del coinvolgimento di soggetti chiamati alla gestione del documento.
Secondo il ricorrente, la gestione dei dati relativi alla sig.ra (OMISSIS) (con particolare riferimento al mancato raggiungimento degli obiettivi prefissati dall’Ente), era avvenuta nel rispetto del Decreto Legislativo n. 196 del 2003, articoli 11 e 18 per scopi determinati e nello svolgimento delle funzioni istituzionali.
L’affermazione che la materiale gestione dei documenti contenenti i dati personali sia stata affidata a soggetti non legittimati e privi di ruolo di responsabile e incaricato del trattamento e’ stata fondata su di un presupposto errato, ossia che presso la sede di Latina non fosse stata istituita la figura dell’incaricato e che tale carenza non fosse surrogabile dall’ordine di servizio n. 2/2009 che avrebbe semplicemente delineato i compiti amministrativi del personale di segreteria.
Come risultava invece da apposito elenco, trascritto nel ricorso “ai fini di completezza e autosufficienza”, al punto 64 figurava il nome di Stefanile Anna, ossia dell’addetta alla segreteria del dirigente che aveva provveduto materialmente alla consegna della nota come emergeva dalle dichiarazioni rese dal Direttore della Sede di Latina il 7/5/2012 in sede di ispezione della Guardia di Finanza. Inoltre dall’ordine di servizio n. 2 del 2009, depositato con il documento 13 dalla ricorrente, risultava che la predetta (OMISSIS) era preposta ad occuparsi della notifica e della conservazione di tutti gli atti della segreteria del personale e del dirigente ed era addetta all’archivio fascicoli del personale.
2.2. E’ opportuno premettere che il motivo, al pari di quelli successivi, dedotti per violazione di legge ex articolo 360 c.p.c., n. 3, contiene una clausola finale, rivolta a lamentare anche violazione dei principi dell’articolo 111 Cost., con riferimento in particolare al comma 7 in tema di controllo delle parti sulla corretta applicazione della legge ex articolo 6 CEDU.
Si tratta peraltro di una sorta di formulazione di stile volta a rafforzare le censure svolte, ma priva di un autonomo contenuto, del resto neppur sviluppato nel ricorso sotto il profilo argomentativo.
2.3. Il ricorrente fonda la propria censura su alcuni documenti ossia l’elenco degli incaricati al trattamento dei dati trasmesso con missiva di posta elettronica dalla Direzione di Latina alla Direzione Centrale Affari Generali e Legislativi, Ufficio 4 dell’INPS del 18/9/2008 (doc. 6 del fascicolo di primo grado INPS), il verbale delle dichiarazioni rese dal Direttore della Sede di Latina in data 7/5/2012 alla Guardia di Finanza (doc. 3 del fascicolo di primo grado prodotto dall’INPS con la memoria di costituzione) e infine l’ordine di servizio n. 2/2009 del 1/6/2009 relativo ai compiti assegnati al personale (allegato sub 13 al ricorso introduttivo).
Il ricorso quindi contiene, come prescritto a pena di inammissibilita’ dall’articolo 366 c.p.c., comma 1, n. 6, la specifica indicazione dei documenti sui quali si fondano le sue censure, documenti del resto depositati ex articolo 372 c.p.c..
2.4. Il ricorso contiene non solo la sintesi dei passaggi rilevanti e l’integrale trascrizione dei documenti invocati, ma addirittura la loro incorporazione grafica nel testo: tecnica questa sovrabbondante e non raccomandabile, eppur priva di conseguenze sul piano dell’ammissibilita’ delle censure svolte.
Secondo questa Corte, qualora il ricorrente, in sede di legittimita’, denunci l’omessa valutazione di prove documentali, per il principio di autosufficienza ha l’onere non solo di trascrivere il testo integrale, o la parte significativa del documento nel ricorso per cassazione, al fine di consentire il vaglio di decisivita’, ma anche di specificare gli argomenti, deduzioni o istanze che, in relazione alla pretesa fatta valere, siano state formulate nel giudizio di merito, pena l’irrilevanza giuridica della sola produzione, che non assicura il contraddittorio e non comporta, quindi, per il giudice alcun onere di esame, e ancora meno di considerazione dei documenti stessi ai fini della decisione (Sez. 5, n. 13625 del 21/05/2019, Rv. 653996 – 01).
Sono infatti inammissibili, per violazione dell’articolo 366 c.p.c., comma 1, n. 6, le censure fondate su atti e documenti del giudizio di merito qualora: (a) il ricorrente si limiti a richiamare tali atti e documenti, senza riprodurli nel ricorso; ovvero (b) li abbia riprodotti ma senza fornire puntuali indicazioni necessarie alla loro individuazione con riferimento alla sequenza dello svolgimento del processo inerente alla documentazione, come pervenuta presso la Corte di cassazione, al fine di renderne possibile l’esame; ovvero ancora (c) non ne abbia precisato la collocazione nel fascicolo di ufficio o in quello di parte e la loro acquisizione o produzione in sede di giudizio di legittimita’. (Sez. U, n. 34469 del 27/12/2019, Rv. 656488 – 01).
Pertanto in applicazione del principio di autosufficienza del ricorso per cassazione, qualora sia dedotta la omessa o viziata valutazione di documenti, deve procedersi ad un sintetico ma completo resoconto del loro contenuto, nonche’ alla specifica indicazione del luogo in cui ne e’ avvenuta la produzione, al fine di consentire la verifica della fondatezza della doglianza sulla base del solo ricorso, senza necessita’ di fare rinvio od accesso a fonti esterne ad esso (Sez. 1, n. 5478 del 07/03/2018, Rv. 647747 – 01).
Non appare pertinente il tentativo della controricorrente di rinvenire una ragione di inammissibilita’ del ricorso dell’INPS nell’utilizzo della predetta tecnica con riferimento alla violazione dell’articolo 366 c.p.c., n. 3 in ordine all’esposizione dei fatti rilevanti di causa mediante tecnica di cosiddetto “assemblaggio” (Sez. U, n. 5698 del 11/04/2012, Rv. 621813 – 01), dal momento che nella fattispecie l’INPS ha impiegato tale metodo di incorporazione grafica solo per produrre i documenti non adeguatamente valutati, dando tuttavia conto delle ragioni per cui ne invocava l’esame e non gia’ per assolvere all’obbligo di sintetica esposizione dei fatti di causa.
2.4. Il predetto secondo motivo del ricorrente INPS e’ stato dedotto ex articolo 360, n. 3 per violazione e/o falsa applicazione di legge.
A rigore, almeno quanto all’elenco dei soggetti abilitati al trattamento dati e forse anche quanto alle mansioni attribuite alla collaboratrice, non si evidenzia un errore nell’applicazione della legge e nemmeno nella sussunzione nella norma della fattispecie concreta, perche’ la critica (come si dira’, fondatamente) l’accertamento del fatto a cui sono state applicate le norme: e cioe’, diversamente da quanto sostenuto dal Tribunale, quanto alla sussistenza di un elenco dei soggetti autorizzati al trattamento dati e al fatto che la collaboratrice amministrativa incaricata della consegna della missiva aveva compiti precisi che implicavano la possibilita’ di conoscenza della contenuto della lettera.
In realta’, a ben vedere, l’Istituto ricorrente lamenta, anche e soprattutto, un vizio di omesso esame di fatti decisivi, indica i documenti che li comprovavano, dice quando sono stati prodotti, ne trascrive integralmente il contenuto: quindi, almeno in parte, il motivo, pur non invocando l’articolo 360, n. 5, deduce nella sostanza quel tipo di vizio.
In applicazione del principio jura novit curia secondo cui “narra mihi factum, dabo tibi jus” compete a questa Corte la riqualificazione della la censura con il corretto nomen juris, avuto riguardo al suo contenuto sostanziale, come ritenuto da consolidata giurisprudenza di questa Corte, secondo la quale l’erronea intitolazione del motivo di ricorso per cassazione non osta alla sua sussunzione in altre fattispecie di cui all’articolo 360 c.p.c., comma 1, ne’ determina l’inammissibilita’ del ricorso, se dall’articolazione del motivo sia chiaramente individuabile il tipo di vizio denunciato (Sez. 6 – 5, n. 26310 del 07/11/2017, Rv. 64419 01; Sez. 6 – 5, n. 25557 del 27/10/2017, Rv. 646414 – 01; Sez. 6 – 3, n. 4036 del 20/02/2014, Rv. 630239 – 01; nonche’ Sez. U, n. 17931 del 24/07/2013, Rv. 627268 – 01).
2.5. La censura appare fondata.
Il Tribunale ha dapprima, correttamente, qualificato le informazioni relative alla revoca della sig.ra (OMISSIS) dalla posizione di responsabile dell’Area Pensioni presso la sede di Latina dell’INPS – Gestione ex INPDAP, come “dati personali” Decreto Legislativo n. 196 del 2003, ex articolo 4 applicabile ratione temporis, prima delle modifiche apportate dal Decreto Legislativo 10 agosto 2018, n. 101, recante disposizioni per l’adeguamento della normativa nazionale al regolamento (UE) 2016/679.
Quindi nel § 3.2.3. (pag.17-18 della sentenza impugnata) il Tribunale ha ritenuto illegittima la trasmissione della missiva effettuata a mani da una persona addetta alla segreteria mediante consegna del documento privo di busta, in contrasto con quanto previsto dal punto 5.3. delle “Linee guida in materia di trattamento di dati personali di lavoratori per finalita’ di gestione del rapporto di lavoro in ambito pubblico” del 14/6/2007 che, in tema di modalita’ di comunicazione impone l’adozione di opportune cautele volte a prevenire l’ingiustificata conoscibilita’ di dati personali da parte di soggetti diversi dal destinatario.
Tanto premesso, secondo il Tribunale, la persona che aveva trasmesso l’atto alla sig.ra (OMISSIS) non rivestiva la posizione di incaricato al trattamento dei dati Decreto Legislativo n. 196 del 2003, ex articolo 30 visto che tale figura non era stata istituita presso la Sede INPS di Latina; ne’ tale carenza poteva essere surrogata dall’ordine di servizio 2/2009, che delineava solamente i compiti amministrativi demandati ai vari addetti alla segreteria e non abilitava gli addetti alla notifica dei provvedimenti del Dirigente anche al trattamento dei dati.
2.6. Tali affermazioni contengono vari errori, puntualmente stigmatizzati dall’Istituto ricorrente.
In primo luogo, dal documento n. 6 del fascicolo di primo grado INPS risulta l’esistenza – negata dal Tribunale – di un elenco di soggetti incaricati al trattamento dei dati, trasmesso con missiva di posta elettronica dalla Direzione di Latina alla Direzione Centrale Affari Generali e Legislativi, Ufficio 4 dell’INPS del 18/9/2008, in cui figura al n. 64 il nome di (OMISSIS), addetto di supporto Al.
Dal verbale delle dichiarazioni rese dal Direttore della Sede di Latina in data 7/5/2012 alla Guardia di Finanza (doc. 3 del fascicolo di primo grado prodotto dall’INPS con la memoria di costituzione) risulta che la persona che consegno’ la missiva senza busta alla Dott.ssa (OMISSIS) era proprio la predetta (OMISSIS).
Infine, l’ordine di servizio n. 2/2009 del 1/6/2009 relativo ai compiti assegnati al personale (allegato sub 13 al ricorso introduttivo) attribuisce alla predetta (OMISSIS) non solo il compito di provvedere alla spedizione e curare la notifica della corrispondenza della segreteria del personale e del Dirigente, ma anche le mansioni di provvedere alla conservazione di atti e corrispondenza e di curare l’archivio dei fascicoli del personale, incarichi questi che implicano necessariamente l’accesso cognitivo al contenuto degli atti conservati e archiviati.
2.7. Per ravvisare l’illecito lamentato dalla ricorrente sig.ra (OMISSIS) il Tribunale avrebbe dovuto accertare che la lettera contenente i dati personali in questione fosse stata incautamente resa accessibile ad un soggetto diverso da quello abilitato al trattamento dei dati, alla sua notificazione, conservazione e archiviazione: accertamento doveroso, non compiuto dalla sentenza impugnata.
2.8. Non persuadono poi le obiezioni, invero molto generiche, svolte dalla controricorrente circa il mancato aggiornamento dell’elenco, risalente al 2008, tre anni prima dei fatti di causa, sia perche’ la controricorrente non offre riscontro di tale contestazione nel giudizio di merito, sia perche’ non risulta che tale elenco sia stato modificato, sia perche’, quand’anche alcuni dipendenti fossero stati trasferiti, non lo era la predetta sig.ra (OMISSIS) (unica circostanza rilevante).
Ne’, infine, assume rilievo l’obiezione che l’elenco non riguarderebbe il trattamento di dati personali sensibili, non essendo stati ritenuti tali quelli oggetto di controversia, qualificati invece come meri dati personali.
2.9. Solo con la memoria ex articolo 380 bis-1 c.p.c. del 30/6/2020 la controricorrente ha articolato ulteriori difese in ordine al contenuto dell’elenco del personale abilitato e dell’ordine di servizio 2/2009, volte a predicarne, sotto diversi profili, la genericita’ o la non conformita’ alle prescrizioni normative, che attengono tuttavia evidentemente al merito della valutazione che il Tribunale dovra’ rinnovare in sede di rinvio, senza omettere l’esame delle circostanze di fatto oggetto dei documenti sopra citati.
3. Con il terzo motivo di ricorso, proposto ex articolo 360 c.p.c., n. 4, l’Istituto ricorrente denuncia violazione degli articoli 115 e 116 c.p.c. e dei principi dell’articolo 111 Cost. e in particolare del comma 2 e del nucleo di garanzie irrinunciabili e coessenziali a un processo giusto in riferimento ai quali vanno ricondotti gli errori in procedendo, in lettura integrata con l’articolo 6 CEDU.
3.1. Secondo l’INPS, il Tribunale era incorso in palese violazione di regole processuali nella valutazione delle prove in ordine alla ravvisata indebita divulgazione di dati personali relativi alla rimozione di (OMISSIS) dalla sua posizione di capo area pensioni nel corso della riunione sindacale del 31/5/2011 in cui erano state discusse le modifiche organizzative apportate con l’ordine di servizio n. 2 del 2011.
Secondo l’Istituto, non era stata infatti esaminata la prova documentale rappresentata dal verbale della riunione, allegata al ricorso introduttivo (doc. 7 ricorrente), la cui lettura dimostrava in modo lampante che esso non conteneva alcun riferimento ai risultati conseguiti dalla sig.ra (OMISSIS) e alle ragioni della sua revoca dalla posizione organizzativa; di conseguenza, il contenuto della prova era stato travisato in modo incontrovertibile, cosa che smentiva in modo evidente l’assunto del Tribunale secondo cui, come confermato dal teste (OMISSIS) all’udienza del 10/4/2014 la diffusione dei dati personali era avvenuta nell’ambito della predetta riunione sindacale.
3.2. La controricorrente (OMISSIS) ritiene violato l’articolo 372 c.p.c. perche’ il documento in questione (che non era stato prodotto dall’INPS, ma da lei nel giudizio di merito) richiamato, allegato e riprodotto nel testo del ricorso ha un contenuto parzialmente diverso da quello effettivamente prodotto dalla sig.ra (OMISSIS), allora ricorrente: in particolare il documento in questione manca di due pagine rispetto a quello prodotto e contiene invece diciture relative alla sua trasmissione via fax da Latina a Milano nel 2012, assenti nel documento prodotto.
La Corte puo’ agevolmente superare tali obiezioni, di cui per vero non e’ ben chiara la rilevanza perche’ volte a dimostrare differenze formali nel contenuto dei documenti, prive pero’ di indicazioni circa la loro rilevanza ai fini di causa, in omaggio al principio della “ragion piu’ liquida” ispirato al principio di economia processuale.
3.3. Il motivo deve infatti ritenersi inammissibile in quanto privo di specificita’ e pertinenza rispetto alla ratio decidendi della sentenza impugnata.
A pag. 17 il Tribunale ha infatti affermato che “In definitiva, la diffusione della notizia della rimozione di (OMISSIS) dalle funzioni cui era stata preposta, avvenuta, come confermato dal teste (OMISSIS) sentito all’udienza del 10/4/2014, sicuramente nell’ambito della riunione sindacale del 31/5/2011, integra una condotta contraria alle norme precauzionali…”.
In tal modo l’accertamento del fatto lesivo avvenuto nel corso dell’incontro sindacale, ossia la divulgazione indebita della notizia della rimozione della signora (OMISSIS) dal suo incarico nell’ambito di una riunione sindacale e’ stato fondato dal Giudice di prima cura non gia’ sul verbale della riunione, che, redatto in forma sintetica, ben puo’ non riportare l’integrale contenuto di tutte le comunicazioni verbali intercorse in quell’occasione fra i soggetti coinvolti, ma sulle dichiarazioni del teste (OMISSIS), e quindi sul risultato di una prova testimoniale.
Il motivo pertanto non coglie il segno, trascurando di dar conto e affrontare criticamente la principale ragione sulla base della quale il Tribunale di Latina ha ritenuto che fosse stata realmente effettuata in quella circostanza di tempo e di luogo l’indebita diffusione di dati personali della sig.ra (OMISSIS).
4. Con il quarto motivo di ricorso principale, proposto ex articolo 360 c.p.c., n. 3, il ricorrente denuncia violazione o falsa applicazione di legge in relazione al Decreto Legislativo n. 196 del 2003, articolo 15 e dell’articolo 2050 c.c. nonche’ dei principi dell’articolo 111 Cost., con riferimento in particolare al comma 7 in tema di controllo delle parti sulla corretta applicazione della legge ex articolo 6 CEDU.
4.1. L’INPS sostiene che per potersi apprezzare una lesione ingiustificabile in tema di dati personali, suscettibile di risarcimento del danno non patrimoniale Decreto Legislativo n. 196 del 2003, ex articolo 15 non e’ sufficiente la mera violazione ma occorre una violazione sensibilmente offensiva, in difetto di dimostrazione di un pregiudizio significativo sofferto in conseguenza.
Nella fattispecie mancava in concreto la prova della gravita’ della lesione e della serieta’ del danno.
4.2. Il quarto motivo (erroneamente classificato quinto nel controricorso della sig.ra (OMISSIS)) riguarda la risarcibilita’ del danno non patrimoniale da illecito trattamento dei dati personali ai sensi del Decreto Legislativo n. 196 del 2003, articolo 15.
L’orientamento giurisprudenziale piu’ recente, condiviso anche dal Tribunale di Latina e conforme agli indirizzi di questa Corte (da ultimo Sez. 1, n. 207 del 8/1/2019), riconduce l’illecito trattamento di dati personali ad un’ipotesi di responsabilita’ oggettiva, anche alla luce dell’esplicito rinvio compiuto dalla legge (Decreto Legislativo n. 196 del 2003, articolo 15 applicabile pro tempore) all’articolo 2050 c.c..
Pertanto, il danneggiato che lamenti la lesione dell’interesse non patrimoniale puo’ limitarsi a dimostrare l’esistenza del danno e del nesso di causalita’ rispetto al trattamento illecito, mentre spetta al danneggiante titolare del trattamento, eventualmente in solido col responsabile, dimostrare di aver adottato tutte le misure idonee per evitare il danno. Questo schema e’ parzialmente confermato anche nel nuovo GDPR (articolo 82.3 GDPR) che, sulla base del principio di responsabilizzazione (accountability) addossa al titolare del trattamento dei dati – eventualmente in solido con il responsabile il rischio tipico di impresa (articolo 2050 c.c.).
Secondo la giurisprudenza di questa Corte, in tema di onere della prova, in caso di illecito trattamento dei dati personali, il pregiudizio non patrimoniale non e’ in re ipsa, ma deve essere allegato e provato da parte dell’attore, a pena di uno snaturamento delle funzioni della responsabilita’ aquiliana. La posizione attorea e’ tuttavia agevolata dal regime piu’ favorevole dell’onere della prova, descritto all’articolo 2050 c.c., rispetto alla regola generale del danno aquiliano, nonche’ dalla possibilita’ di dimostrare il danno anche solo tramite presunzioni semplici e dal risarcimento secondo equita’ (Sez. 1, 08/01/2019, n. 207; Sez. 1, 25/1/2017 n. 1931; Sez. 1, n. 10638 del 23/05/2016).
Per altro verso, il danno non patrimoniale risarcibile ai sensi del Decreto Legislativo 30 giugno 2003, n. 196, articolo 15 pur determinato da una lesione del diritto fondamentale alla protezione dei dati personali tutelato dagli articoli 2 e 21 Cost. e dall’articolo 8 della CEDU, non si sottrae alla verifica della gravita’ della lesione e della serieta’ del danno (quale perdita di natura personale effettivamente patita dall’interessato) alla stregua dei parametri generali scolpiti dalle sentenze gemelle delle Sezioni Unite n. 26972-26975 dell’11/11/2008; infatti anche per tale diritto opera il bilanciamento con il principio di solidarieta’ ex articolo 2 Cost., di cui la regola di tolleranza della lesione minima costituisce intrinseco precipitato, sicche’ determina una lesione ingiustificabile del diritto non la mera violazione delle prescrizioni poste dall’articolo 11 del codice della privacy ma solo quella che ne offenda in modo sensibile la sua portata effettiva. Il relativo accertamento di fatto e’ tuttavia rimesso al giudice di merito e resta ancorato alla concretezza della vicenda materiale portata alla cognizione giudiziale ed al suo essere maturata in un dato contesto temporale e sociale (Sez. 3, n. 16133 del 15/07/2014, Rv. 632536 – 01; Sez. 3, n. 20615 del 13/10/2016, Rv. 642913 – 02; Sez.1, 8/1/2019 n. 227).
Il titolare del trattamento, per non incorrere in responsabilita’ deve dimostrare che l’evento dannoso non gli e’ in alcun modo imputabile e non puo’ limitarsi alla prova negativa di non aver violato le norme (e quindi di essersi conformato ai precetti), ma occorre la prova positiva di aver valutato autonomamente il rischio di impresa, purche’ tipico, cioe’ prevedibile, e attuato le misure organizzative e di sicurezza tali da eliminare o ridurre il rischio connesso alla sua attivita’. In ogni caso, come lo stesso Istituto ricorrente riconosce, l’accertamento del danno non patrimoniale e’ un accertamento di fatto, “rimesso al giudice di merito e resta ancorato alla concretezza della vicenda materiale portata alla cognizione giudiziale ed al suo essere maturata in un dato contesto temporale e sociale” (cfr. sent.16133/2014, citata).
4.3. La pronuncia impugnata non si e’ sottratta alla corretta applicazione dei principi illustrati, richiedendo l’allegazione e la prova da parte della parte danneggiata del danno-conseguenza, e ribadendo che il danno risarcibile non si identificava con la lesione dell’interesse tutelato dall’ordinamento ma con le sue conseguenze causali.
Cio’ ha condotto il Tribunale ad escludere un danno biologico per lesione dell’integrita’ psico-fisica ma a ravvisare un danno non patrimoniale da sofferenza morale, pure dedotto da parte attrice e ritenuto dimostrato sulla base di un ragionamento presuntivo fondato su regole di esperienza.
Se e’ pur vero che il Tribunale sembra aver ritenuto operante una presunzione di sussistenza della sofferenza morale in caso di indebito trattamento dei dati personali, in apparente contraddizione con i principi generali in tema di riparto dell’onere probatorio dapprima richiamati, il Giudice latinense non si e’ comunque sottratto a una valutazione in concreto, allorche’, a pagina 34, ha fatto leva sulla massima di esperienza secondo cui dalla diffusione di valutazioni negative relative al proprio operato professionale normalmente scaturisce sofferenza morale dell’interessato, salvo poi circoscriverne l’entita’ in concreto sotto il profilo quantitativo considerando, da un lato, l’assenza di prova di elementi di personalizzazione specifici del pregiudizio e, dall’altro, il carattere limitato dell’ambito soggettivo di divulgazione ristretto all’ufficio ove la Dott.ssa (OMISSIS) prestava servizio.
Con la stessa valutazione, non sindacabile in sede di legittimita’, il Tribunale ha escluso, implicitamente ma inequivocabilmente, con l’apprezzamento di un pregiudizio di media entita’, che si fosse in presenza di una lesione minima e bagatellare dei diritti della personalita’ dell’interessata e di un pregiudizio irrisorio, e pertanto da ritenersi tollerabile alla luce del principio di solidarieta’ sociale.
4.4. Naturalmente anche l’entita’ del pregiudizio dovra’ essere rivista alla luce dell’accoglimento del secondo motivo e del possibile ridimensionamento oggettivo dell’illecito in sede di giudizio di rinvio.
5. Anche il Garante per la protezione dei dati personali ha proposto ricorso incidentale contro la sentenza del Tribunale di Latina notificatagli in data 5/10/2015, con il controricorso recante ricorso incidentale, notificato il 30/12/2015, fondato su cinque motivi.
5.1. Con il primo motivo, proposto ex articolo 360 c.p.c., n. 2, il Garante lamenta violazione e falsa applicazione delle norme sulla competenza, e in particolare del Decreto Legislativo n. 196 del 2003, articolo 152 e del Decreto Legislativo n. 150 del 2011, articolo 1 e dell’articolo 46 c.c. e articolo 19 c.p.c..
5.2. Con il secondo motivo, proposto ex articolo 360 c.p.c., n. 3, il Garante lamenta violazione e falsa applicazione del Decreto Legislativo n. 196 del 2003, articolo 30 e del punto 5.3. delle “Linee guida per il trattamento di dati personali di lavoratori per finalita’ di gestione del rapporto di lavoro in ambito pubblico del 14/6/2007”.
5.3. Con il terzo motivo, proposto ex articolo 360 c.p.c., n. 3, il Garante lamenta violazione e falsa applicazione del del Decreto Legislativo n. 196 del 2003, articolo 11.
5.4. Con il quarto motivo, proposto ex articolo 360 c.p.c., n. 4, il Garante lamenta violazione e falsa applicazione degli articoli 115 e 116 c.p.c..
5.5. Con il quinto motivo, proposto ex articolo 360 c.p.c., n. 5, il Garante lamenta travisamento di prova e omesso esame di fatto decisivo per il giudizio, con riferimento al contenuto del verbale di incontro sindacale del 31/5/2011.
5.6. L’impugnazione incidentale tardiva, da qualunque parte provenga, deve essere dichiarata inammissibile laddove l’interesse alla sua proposizione non possa ritenersi insorto per effetto dell’impugnazione principale (Sez. 3, n. 27616 del 29/10/2019, Rv. 655641 – 01; Sez. L, n. 6156 del 14/03/2018, Rv. 647499 – 01; Sez. 3, n. 19188 del 19/07/2018, Rv. 649738 – 01; Sez. 3, n. 15220 del 12/06/2018, Rv. 649306 – 01).
Nella specie, anche volendo ravvisare un interesse del Garante all’impugnazione della sentenza del Tribunale di Latina e la sua soccombenza, nonostante il rigetto della domanda risarcitoria nei suoi confronti e il mancato addebito delle spese processuali, in ragione dell’annullamento del provvedimento da lui emesso e comunque dell’accoglimento delle tesi della ricorrente circa l’illecito trattamento dei suoi dati personali, da lui avversata in sede amministrativa e giurisdizionale, appare assorbente il rilievo che tali circostanze preesistevano inequivocabilmente all’impugnazione dispiegata dall’INPS che in nessun modo poteva risultargli pregiudizievole.
La tardivita’ del ricorso rispetto al termine di sessanta giorni imposto dalla notifica ricevuta il 5/10/2015 comporta l’inammissibilita’ del ricorso del Garante e la considerazione del suo contenuto come mera difesa adesiva a supporto del ricorso principale.
6. In accoglimento quindi del secondo motivo di ricorso principale, la sentenza impugnata deve essere cassata con rinvio, anche per le spese del giudizio di legittimita’, al Tribunale di Latina in diversa composizione.
7. La Corte ritiene necessario disporre che, in caso di utilizzazione della presente sentenza in qualsiasi forma, per finalita’ di informazione scientifica su riviste giuridiche, supporti elettronici o mediante reti di comunicazione elettronica, sia omessa l’indicazione delle generalita’ e degli altri dati identificativi delle parti riportati nella sentenza.
P.Q.M.
La Corte accoglie il secondo motivo di ricorso principale, respinto il primo, inammissibile il terzo, respinto il quarto nei sensi di cui in motivazione, cassa la sentenza impugnata in relazione al motivo accolto e rinvia al Tribunale di Latina, in diversa composizione, anche per le spese del giudizio di legittimita’.
Dispone che, in caso di utilizzazione della presente sentenza in qualsiasi forma, per finalita’ di informazione scientifica su riviste giuridiche, supporti elettronici o mediante reti di comunicazione elettronica, sia omessa l’indicazione delle generalita’ e degli altri dati identificativi delle parti riportati nella sentenza.
In caso di diffusione omettere le generalità e gli altri dati identificativi dei soggetti interessati nei termini indicati.
Leave a Reply