Corte di Cassazione, sezione terza penale, Sentenza 10 ottobre 2019, n. 41604.
Massima estrapolata:
In tema di trattamento illecito di dati personali, nella norma incriminatrice di cui all’art. 167, d.lgs. 196/2003, anche dopo le modifiche introdotte dal d.lgs. n. 101/2018, il richiamo alla necessità del verificarsi di un nocumento è rimasto immutato, sebbene nell’attuale versione normativa la determinazione del nocumento si configura come un elemento costitutivo della fattispecie penale e non più come condizione obiettiva di punibilità, idonea cioè ad attualizzare.
Sentenza 10 ottobre 2019, n. 41604
Data udienza 20 giugno 2019
REPUBBLICA ITALIANA
IN NOME DEL POPOLO ITALIANO
LA CORTE SUPREMA DI CASSAZIONE
SEZIONE TERZA PENALE
Composta dagli Ill.mi Sigg.ri Magistrati:
Dott. ANDREAZZA Gastone – Presidente
Dott. LIBERATI Giovanni – Consigliere
Dott. GENTILI Andrea – Consigliere
Dott. ANDRONIO Alessandro Mari – Consigliere
Dott. ZUNICA Fabio – rel. Consigliere
ha pronunciato la seguente:
SENTENZA
sul ricorso proposto da:
(OMISSIS), nato a (OMISSIS);
avverso la sentenza del 15-11-2017 della Corte di appello di Torino;
visti gli atti, il provvedimento impugnato e il ricorso;
udita la relazione svolta dal consigliere Dott. Fabio Zunica;
udito il Pubblico Ministero, in persona del Sostituto Procuratore generale Dott. DALL’OLIO Marco, che ha concluso per l’inammissibilita’ del ricorso;
udito per la parte civile l’avvocato (OMISSIS), che depositava conclusioni scritte e nota spese;
udito per il ricorrente l’avvocato (OMISSIS), sostituto processuale dell’avvocato (OMISSIS), che si riportava ai motivi del ricorso e ne chiedeva l’accoglimento.
RITENUTO IN FATTO
1. Con sentenza del 15 novembre 2017, la Corte di appello di Torino confermava la sentenza del 28 aprile 2015, con cui il Tribunale di Aosta aveva condannato (OMISSIS) alla pena, condizionalmente sospesa, di mesi 6 di reclusione, in quanto ritenuto colpevole del reato di cui all’articolo 167 in relazione al Decreto Legislativo n. 196 del 2003, articolo 130, a lui contestato per aver proceduto al trattamento illecito dei dati personali degli iscritti all’Associazione Igienisti Dentali Italiani, inviando reiteratamente agli stessi numerose email provenienti dal suo indirizzo (OMISSIS), con cui pubblicizzava propri corsi di aggiornamento, in tal modo agendo al fine di procurarsi un profitto, consistito nell’ottenere la partecipazione a corsi e convegni da lui patrocinati o organizzati nel settore dell’igiene dentale, e procurando altresi’ agli associati un nocumento, consistente nella necessita’ di controllare e vagliare le numerose email inviate senza il loro consenso; fatti commessi in Aosta dal maggio al settembre 2013. Con statuizione del Tribunale confermata in secondo grado, (OMISSIS) veniva altresi’ condannato al risarcimento dei danni in favore dell’Associazione Igienisti Dentali Italiani (A.I.D.I.), costituitasi parte civile, da liquidare in separata sede.
2. Avverso la sentenza della Corte di appello piemontese, (OMISSIS), tramite il suo difensore, ha proposto ricorso per cassazione, sollevando quattro motivi.
Con il primo, la difesa deduce l’illogicita’ e l’apparenza della motivazione della sentenza impugnata, in ordine alla ritenuta sussistenza del nocumento in capo ai destinatari delle e-mail inviate da (OMISSIS), osservando che a tal fine non poteva essere valorizzato il mero dato numerico dei messaggi inviati, posto che quest’ultimo deve essere rapportato all’Associazione e non a ogni singolo iscritto, nessuno dei quali, peraltro, si e’ costituito parte civile personalmente.
L’illogicita’ della motivazione in ordine al nocumento involgerebbe inoltre anche il passaggio argomentativo con cui e’ stato escluso il riconoscimento dell’ipotesi di cui all’articolo 131 bis c.p., avendo la Corte di appello sostenuto che l’offesa non fosse qualificabile in termini di particolare tenuita’, non gia’ all’esito di un’indagine riferita alla singola persona offesa, ma piuttosto in base all’assioma secondo cui dalla ritenuta esistenza di un invio massivo di e-mail non autorizzate a una pluralita’ di soggetti, conseguirebbe che ogni singolo associato avesse patito un nocumento, pur senza alcuna personalizzazione probatoria.
Con il secondo motivo, oggetto di doglianza e’ il travisamento del dato processuale costituito dalla documentazione prodotta dalla parte civile, posto che dallo stesso poteva desumersi che in realta’ l’imputato aveva inviato 14 comunicazioni differenti a un totale di 93 indirizzi mail appartenenti ad alcuni associati della A.I.D.I. e poi da questi ultimi inoltrati alla medesima associazione, per cui non si era affatto in presenza dell’invio di “centinaia di comunicazioni”.
In definitiva, ogni associato aveva ricevuto in genere una o due mail da (OMISSIS), mentre uno solo ne ha ricevuto dieci, per cui doveva escludersi che sia stato arrecato un nocumento ai singoli destinatari delle predette comunicazioni.
Con il terzo motivo, il ricorrente censura, sotto il profilo della mancanza e della illogicita’ della motivazione, il diniego delle attenuanti generiche, evidenziando che, su tale aspetto, la Corte territoriale aveva rinviato al percorso argomentativo esplicitato nella sentenza di primo grado, nella quale tuttavia nulla era stato esposto sul punto, essendo stata esclusivamente giustificata la scelta compiuta dal Tribunale di contenere la pena nel minimo edittale.
Con il quarto motivo, infine, viene contestato il mancato riconoscimento dell’ipotesi di cui all’articolo 131 bis c.p., osservandosi che, sul punto, la motivazione della sentenza impugnata, oltre che apparente, era contraddittoria, non avendo la Corte di appello riconosciuto la particolare tenuita’ del fatto, pur affermando che la condotta e il danno posti in essere da (OMISSIS) erano di rilevanza esigua e che il comportamento contestato era stato occasionale.
CONSIDERATO IN DIRITTO
Sono fondati e assorbenti i primi due motivi di ricorso, relativi al giudizio sulla sussistenza della fattispecie contestata.
1. Preliminarmente, al fine di circoscrivere l’ambito valutativo del presente giudizio, appare utile una sintetica ricostruzione dell’odierna vicenda fattuale che, almeno nei suoi passaggi essenziali, non risulta invero contestata, essendo invece controversa la sola qualificazione giuridica della condotta dell’imputato. Tale condotta, come emerge dalla lettura delle due conformi sentenze di merito, si inquadra nel rapporto professionale dell’avvocato (OMISSIS) con l’A.I.D.I, ovvero l’Associazione Igienisti Dentali Italiani, di cui all’epoca dei fatti la moglie del ricorrente, (OMISSIS), era membro del Consiglio direttivo.
Per conto della Presidente dell’Associazione, (OMISSIS), l’avv. (OMISSIS) aveva assunto il patrocinio legale dell’A.I.D.I. in almeno tre procedimenti, tra i quali uno di particolare importanza avviato nei confronti di (OMISSIS) s.p.a..
Dopo un iniziale periodo in cui le prestazioni professionali dell’imputato avevano trovato l’apprezzamento dell’Associazione, i rapporti si incrinavano nel febbraio 2013, allorquando l’avv. (OMISSIS) assumeva alcune iniziative non gradite dal Consiglio direttivo, come l’offerta di consulenza legale rivolta agli igienisti dentali iscritti, pubblicizzata anche mediante una pagina facebook appositamente creata, e l’organizzazione di convegni su aspetti legali di interesse della categoria, avendo inoltre il ricorrente richiesto il sostegno dell’A.I.D.I. per un libro che intendeva pubblicizzare e per lo svolgimento di corsi aperti agli associati, ai quali venivano inviati delle e-mails con l’indicazione delle varie attivita’ svolte.
Dopo che l’Associazione aveva negato la sua disponibilita’ a patrocinare le iniziative personali dell’avvocato (OMISSIS), i rapporti conobbero una definitiva rottura durante una cena tenutasi la sera del 23 maggio 2013, allorquando la Presidente e la Segretaria Nazionale segnalavano alla (OMISSIS) l’inopportunita’ dei comportamenti del marito, il quale, almeno fino al settembre 2013, continuo’ tuttavia a inviare alcuni messaggi di posta elettronica agli igienisti dentali iscritti, alcuni dei quali se ne lamentarono poi con l’Associazione.
Orbene, tanto premesso, deve escludersi, a differenza di quanto sostenuto dai giudici di merito, che il comportamento del ricorrente sia suscettibile di essere inquadrato nella fattispecie di cui al Decreto Legislativo n. 196 del 2003, articolo 167.
In proposito deve premettersi che, al momento del fatto, la norma incriminatrice (rubricata “trattamento illecito di dati personali”) era cosi’ formulata:
“1. Salvo che il fatto costituisca piu’ grave reato, chiunque, al fine di trarne per se’ o per altri profitto o di recare ad altri un danno, procede al trattamento di dati personali in violazione di quanto disposto dagli articoli 18, 19, 23, 123, 126 e 130, ovvero in applicazione dell’articolo 129, e’ punito, se dal fatto deriva nocumento, con la reclusione da sei a diciotto mesi o, se il fatto consiste nella comunicazione o diffusione, con la reclusione da sei a ventiquattro mesi.
2. Salvo che il fatto costituisca piu’ grave reato, chiunque, al fine di trarne per se’ o per altri profitto o di recare ad altri un danno, procede al trattamento di dati personali in violazione di quanto disposto dagli articoli 17, 20 e 21, articolo 22, commi 8 e 11, articoli 25, 26, 27 e 45, e’ punito, se dal fatto deriva nocumento, con la reclusione da uno a tre anni”.
La norma e’ stata di recente riformata dal Decreto Legislativo 10 agosto 2018, n. 101 (articolo 15, comma 1, lettera b) che tuttavia non ha inciso in termini sostanziali sul contenuto della norma incriminatrice, essendo rimasto in particolare invariato l’elemento soggettivo del reato, costituito dal fine dell’agente di trarre per se’ o per altri un profitto o di recare ad altri un danno mediante l’illecito trattamento. Il reato si connota pertanto come delitto a dolo specifico (cosi’ Sez. 3, n. 3683 del 11/12/2013, dep. 2014, Rv. 258492), la cui struttura finalistica e’ incompatibile con la forma del dolo eventuale, che postula l’accettazione solo in via ipotetica, seppure avverabile, del conseguimento di un determinato risultato.
Parimenti immutato e’ rimasto il richiamo alla necessita’ del verificarsi di un “nocumento”, dovendosi tuttavia precisare al riguardo che nell’attuale versione normativa (“salvo che il fatto costituisca piu’ grave reato, chiunque, al fine di trarre per se’ o per altri profitto ovvero di arrecare danno all’interessato, operando in violazione di quanto disposto dagli articoli 123, 126 e 130 o dal provvedimento di cui all’articolo 129 arreca nocumento all’interessato, e’ punito con la reclusione da sei mesi a un anno e sei mesi”), la determinazione del nocumento si configura come un elemento costitutivo della fattispecie penale.
Viceversa, nella precedente formulazione del reato, peraltro vigente al momento del fatto, e’ stata invece a lungo prevalente nella giurisprudenza di legittimita’, anche in ragione del tenore testuale della norma (l’agente “e’ punito, se dal fatto deriva nocumento”) la tesi che qualificava il nocumento come una condizione obiettiva di punibilita’, idonea cioe’ ad attualizzare l’offesa dell’interesse tutelato gia’ realizzata dal fatto tipico (cfr. Sez. 3, n. 7504 del 16/07/2013, dep. 2014, Rv. 259261 e Sez. 5, n. 44940 del 28/09/2011, Rv. 251448), anche se si e’ poi delineata una diversa impostazione ermeneutica, invero piu’ condivisibile, secondo la quale il nocumento per la persona alla quale i dati illecitamente trattati si riferiscono costituisce, per la sua omogeneita’ rispetto all’interesse leso, e la sua diretta derivazione causale dalla condotta tipica, un elemento costitutivo del reato, e non una condizione oggettiva di punibilita’, con la conseguenza che esso deve essere previsto e voluto o comunque accettato dall’agente come effetto della propria azione, indipendentemente dal fatto che costituisca o si identifichi con il fine dell’azione (Sez. 3, n. 40103 del 05/02/2015, Rv. 264798). Quanto poi al contenuto del nocumento, deve richiamarsi la condivisa affermazione di questa Corte (cfr. ex multis Sez. 3, n. 52135 del 19/06/2018, Rv. 275456 e Sez. 3, n. 15221 del 23/11/2016, dep. 2017, Rv. 270055), secondo cui il nocumento previsto dal Decreto Legislativo 30 giugno 2003, n. 196, articolo 167 deve intendersi come un pregiudizio giuridicamente rilevante di qualsiasi natura, patrimoniale o non patrimoniale, subito dal soggetto cui si riferiscono i dati protetti oppure da terzi quale conseguenza dell’illecito trattamento.
La nozione di nocumento, in definitiva, coerentemente con l’etimologia del termine (derivante dal verbo nuocere, ovvero arrecare un danno anche morale), evoca l’esistenza di una concreta lesione della sfera personale o patrimoniale, che, nell’ottica della fattispecie per cui si procede, deve ritenersi direttamente riconducibile a un’operazione di illecito trattamento dei dati protetti.
Orbene, in applicazione di tale premessa ermeneutica, deve escludersi che nel caso di specie sia ravvisabile un “nocumento” nel senso appena indicato.
Se infatti deve convenirsi circa la illegittimita’ del trattamento, stante la violazione del Decreto Legislativo n. 196 del 2003, articolo 130, disposizione dedicata alle “comunicazioni indesiderate” (anch’essa integrata con la novella del 2018 ma senza sostanziali variazioni), che subordina al consenso dell’utente interessato la divulgazione di materiale pubblicitario mediante comunicazioni operate tra l’altro anche mediante posta elettronica, occorre tuttavia osservare che i vari destinatari delle mail inviate dall’avv. (OMISSIS) non hanno ricevuto alcun pregiudizio giuridicamente apprezzabile, non potendosi sottacere che ciascun igienista dentale iscritto all’associazione ha in realta’ ricevuto dal ricorrente un numero molto contenuto di messaggi, in media non piu’ di tre o quattro, per cui non puo’ affatto parlarsi di una significativa invasione del proprio spazio informatico.
Ne’ puo’ essere ignorata la circostanza che, a parte la protesta rivolta alla moglie dell’avv. (OMISSIS) durante una cena, dunque in maniera del tutto irrituale, non vi e’ mai stata alcuna formale rimostranza da parte dei singoli iscritti nei confronti del ricorrente, tale da rendere manifesta la contrarieta’ all’invio di quelle poche mail. Ora, non c’e’ dubbio che, nell’attuale contesto socio-economico, e’ molto diffusa la pratica del cd. spamming, ovvero dell’invio in varie forme di una pluralita’ di messaggi pubblicitari a una vasta platea di utenti senza il consenso di costoro; tuttavia, affinche’ tale condotta assuma rilievo penale, occorre che si verifichi per ciascun destinatario un effettivo “nocumento”, che non puo’ certo esaurirsi nel semplice fastidio di dover cancellare di volta in volta le mail indesiderate, ma deve tradursi in un pregiudizio concreto, anche non patrimoniale, ma comunque suscettibile di essere giuridicamente apprezzato, richiedendosi in tal senso un’adeguata verifica fattuale volta ad accertare, ad esempio, se l’utente abbia segnalato al mittente di non voler ricevere un certo tipo di messaggi e se, nonostante tale iniziativa, l’agente abbia perseverato in maniera non occasionale a inviare messaggi indesiderati, creando cosi’ un reale disagio al destinatario.
Ora, nel caso di specie, nessun destinatario delle e-mails aveva manifestato all’avv. (OMISSIS) la sua opposizione a ricevere i suoi messaggi promozionali, il cui invio peraltro e’ avvenuto nel ristretto arco temporale di pochi mesi e in misura contenuta, dovendosi avere riguardo in tal senso non al numero complessivo di messaggi inviati a tutti gli iscritti all’associazione, ma all’entita’ dei messaggi spediti a ogni singolo associato, posto che la valutazione del nocumento non puo’ che essere riferita alla dimensione individuale dell’utente e non a quella impersonale del gruppo associato di cui ciascuno di essi faceva parte.
In quest’ottica, deve quindi escludersi che la ricezione di tre o quattro mails nell’arco di circa cinque mesi, senza alcuna diffida preventiva rivolta al mittente, possa integrare un “nocumento” idoneo a integrare la fattispecie contestata, non essendo sufficiente in tal senso qualche generica lamentela rivolta da taluno degli associati non direttamente all’avv. (OMISSIS), ma solo alla propria associazione. A cio’ deve unicamente aggiungersi che tale soluzione interpretativa non si pone in aperto contrasto con il precedente di questa Corte richiamato nelle sentenze di merito (Sez. 3, n. 23798 del 24/05/2012, Rv. 253632), secondo cui integra il reato di trattamento illecito di dati personali l’indebito utilizzo di un “data-base” contenente l’elenco di utenti iscritti a una “newsletter” ai quali venivano inviati messaggi pubblicitari non autorizzati provenienti da altro operatore, che traeva profitto dalla percezione di introiti commerciali e pubblicitari, con corrispondente nocumento per l’immagine del titolare della banca dati abusivamente consultata e per gli stessi utenti, costretti a cancellare i messaggi di posta indesiderata, a predisporre accorgimenti per impedire ulteriori invii e a tutelare la “privacy” dalla circolazione non autorizzata delle informazioni personali.
Il caso trattato nella sentenza sopra citata, infatti, riguardava l’utilizzo in rete dei dati personali di almeno 177.090 persone, tramite l’indebita sottrazione di un “data-base” contenente piu’ di 400.000 nominativi, per cui si era in presenza di un ben diverso livello di invasione dell’altrui sfera di liberta’ informatica.
Al di la’ della indubbia diversita’ delle situazioni trattate, deve tuttavia evidenziarsi che anche la sentenza n. 23798 del 24/05/2012 ha agganciato la nozione di nocumento a quella di offensivita’, qualificando la fattispecie in termini di reato di pericolo concreto e non presunto, dovendosi solo ribadire, in cio’ sviluppando in parte il percorso argomentativo del precedente citato, che, nell’attuale sistema informativo e commerciale, “nocumento” non puo’ essere il solo disagio di dover cancellare pochi e occasionali messaggi non desiderati, richiedendosi, al fine di attribuire rilevanza penale al fatto, un quid pluris, consistente in un pregiudizio effettivo, che si riveli proporzionato rispetto all’invasivita’ del comportamento di chi invia i contenuti sgraditi, restando magari indifferente a eventuali richieste di porre termine alta spedizione di una determinata tipologia di messaggi.
2. In conclusione, dovendosi escludere nella vicenda oggetto di giudizio l’esistenza di un effettivo “nocumento” sia da parte dell’associazione “A.I.D.I.”, sia da parte dei suoi singoli iscritti, il reato contestato non puo’ ritenersi configurabile, t tanto a prescindere dalla qualificazione del nocumento in termini di elemento costitutivo del reato o di condizione obiettiva di punibilita’.
Pertanto, assorbite nell’accoglimento dei primi due motivi di ricorso sulla responsabilita’ le due ulteriori doglianze sollevate dalla difesa, la sentenza impugnata deve essere annullata senza rinvio, perche’ il fatto non sussiste.
P.Q.M.
Annulla senza rinvio la sentenza impugnata perche’ il fatto non sussiste.
In caso di diffusione omettere le generalità e gli altri dati identificativi dei soggetti interessati nei termini indicati.
Leave a Reply