Source: https://sentenze.laleggepertutti.it/sentenza/cassazione-civile-n-3456-del-09-02-2017
Timestamp: 2020-07-14 14:18:36+00:00
Document Index: 11011353

Matched Legal Cases: ['sentenza ', 'art. 152', 'art. 4', 'art. 22', 'art. 409', 'art. 18', 'art. 22', 'art. 2', 'art. 5', 'art. 4', 'art. 22', 'art. 22', 'art. 4', 'art. 20', 'art. 409', 'art. 185']

Sentenza Cassazione Civile n. 3456 del 09/02/2017 – Sentenze La Legge per Tutti
Sentenza Sentenza Cassazione Civile n. 3456 del 09/02/2017
Cassazione civile, sez. I, 09/02/2017, (ud. 11/10/2016, dep.09/02/2017), n. 3456
V.A., elettivamente domiciliata in Roma, viale
Gorizia, n. 22, nello studio dell’avv. Cristiano Toschi;
rappresentata e difesa dagli avv.ti Michele Scolamiero ed Emilio
Mignone, giusta procura speciale in calce al ricorso;
UNICREDIT S.P.A., elettivamente domiciliata in Roma, via degli
Scipioni, n. 268/a, nello studio dell’avv. Marco Filesi;
rappresentata e difesa dall’avv. Paolo Napolitano, giusta procura
avverso la sentenza del Tribunale di Napoli, n. 13744, depositata il
20 dicembre 2011;
sentiti per la ricorrente l’avv. Scolamiero;
dott. CAPASSO Lucio, il quale ha concluso per la rimessione alle
1. Con ricorso proposto ai sensi del D.Lgs. 30 giugno 2003, n. 196, art. 152, la signora V.A. conveniva dinanzi al Tribunale di Napoli la Regione Campania, la S.p.a. Unicredit Banca di Roma, ora Unicredit S.p.a. ed il Garante per la protezione dei dati personali; premetteva di beneficiare di un indennizzo ai sensi della L. 25 febbraio 1992, n. 210, che veniva pagato dalla Regione Campania mediante accredito sul proprio conto corrente, presso una filiale della banca suddetta.
1.1. La suddetta indicazione – in quanto idonea a rivelare il proprio stato di salute – costituiva, a criterio della ricorrente, un illegittimo trattamento di dati personali, che aveva causato un danno, in relazione al quale chiedeva la condanna della Regione e della banca al relativo risarcimento, nonchè alla rimozione del dato divulgato ed all’adozione delle misure idonee a prevenirne l’ulteriore divulgazione.
In particolare, all’esito di una complessiva ricognizione della normativa di riferimento, è stato affermato che, pur costituendo la citazione della “L. n. 210 del 1992” nella causale di accredito un dato sensibile, perchè rivelatore dello stato di salute della beneficiaria del pagamento, non era ravvisabile nella specie un’illecita diffusione dello stesso, ai sensi del D.Lgs n. 196 del 2003, in quanto la comunicazione del pagamento era stata effettuata dalla Regione a un soggetto determinato, ovvero all’istituto di credito designato dalla stessa interessata, sulla base di un rapporto di conto corrente con lo stesso intrattenuto.
1.3. Esclusi, quindi, profili di illegittimità nella condotta dell’ente pubblico, si è aggiunto che il riferimento della parte ricorrente all’illecita detenzione del dato da parte della banca non trovava riscontro nella tipizzazione del trattamento dei dai personali contenuta nel richiamato D.Lgs. n. 196 del 2003, art. 4 laddove la descrizione della c.d. causale del bonifico era avvenuta sulla base di un preciso obbligo contrattuale, vale a dire in esecuzione di una delega ricevuta proprio dalla parte ricorrente.
1.4 – Per la cassazione di tale decisione la sig.ra V. propone ricorso, affidato ad unico e articolato motivo, cui la Regione Campania e la S.p.a. Banco di Napoli resistono con controricorso.
2. Con unico e articolato motivo la ricorrente deduce che con la decisione impugnata sarebbero stati violati i principi desumibili dalla normativa intesa alla protezione dei dati personali, con particolare riferimento al D.Lgs. n. 196 del 2003, artt. 1, 4, 11, 15, 18, 20, 22 e 68: il giudice del merito non avrebbe opportunamente considerato la distinzione tra dati personali, dati sensibili e dati giudiziari, obliterando la necessità, quanto a questi ultimi, di un trattamento con tecniche di cifratura o mediante l’identificazione di codici identificativi o di altre soluzioni che, considerato il numero e la natura dei dati trattati, li rendano temporaneamente inintelligibili anche a chi è autorizzato ad accedervi e permettono di identificare gli interessati solo in caso di necessità (D.Lgs. n. 196 del 2003, art. 22, comma 6).
Il riferimento al R.D. n. 827 del 1924, art. 409 secondo cui i mandati di pagamento debbono contenere la precisa indicazione dell’oggetto della spesa, sarebbe inadeguato, dovendosi tale norma interpretare alla luce del quadro normativo delineato dal citato D.Lgs. n. 196 del 2003 e dal rilievo attribuito alla tutela del diritto alla protezione dei dati personali (Carta dei diritti del cittadino europeo), cui la pubblica amministrazione prima, e la banca dopo, avrebbero dovuto conformarsi, adottando, nel trattare e nel trasmettere il dato inerente allo stato di salute del ricorrente, gli accorgimenti suggeriti dal citato decreto (in particolare, art. 18, art. 22, comma 6).
4. Con decisione n. 10947 del 19 maggio 2014 questa sezione, dopo aver ricostruito l’evoluzione del quadro normativo in materia di tutela dei dati personali, ha rilevato che il D.Lgs. n. 196 del 2003, art. 2 precisa che il trattamento dei dati personali deve svolgersi nel rispetto dei diritti e delle libertà fondamentali, con particolare riferimento alla riservatezza e alla identità personale.
Ha quindi osservato: “Particolare tutela deve essere assicurata ai dati c.d. sensibili: al riguardo, viene, tra l’altro, in considerazione, accanto alla protezione della riservatezza, la tutela della salute, ad essa strettamente collegata (un riscontro ulteriore della circolarità stretta, nei contenuti, dei diritti della personalità) (al riguardo, Cass. n. 19635 del 2011; 18980 del 2013). E infatti se la tutela più circoscritta dell’integrità fisica di cui all’art. 5 c.c. richiama gli aspetti esteriori della condizione del soggetto ed è valore eminentemente statico, la salute si configura, al contrario, come nozione relativa e dinamica, coinvolgendo soprattutto gli aspetti interiori, come avvertiti e vissuti in concreto dal soggetto, valore non solo da garantire ma da promuovere ed accrescere, secondo le indicazioni degli artt. 2.3 e 32 Cost.”. Si è aggiunto che “l’art. 4, relativo appunto ai dati personali idonei a rivelare lo stato di salute e la vita sessuale dell’interessato: è dato personale ogni informazione relativa al soggetto, individuabile, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale. Ai sensi dell’art. 22, gli enti pubblici sono tenuti a conformare il trattamento dei dati sensibili, secondo modalità volte a prevenire violazioni di diritti, delle libertà fondamentali e della dignità dell’interessato, soltanto ove tali dati siano indispensabili per svolgere attività istituzionali che non possono essere adempiute con il trattamento di dati anonimi o personali di diversa natura; in ogni caso i dati idonei a rivelare lo stato di salute non possono essere diffusi. Lo stesso articolo, al comma 6, stabilisce che tali dati devono essere trattati con tecniche di cifratura o mediante codici identificativi che li rendano temporaneamente inintellegibili a chi è autorizzato ad accedervi”.
In riferimento, quindi, a fattispecie sovrapponibile a quella in esame è stato quindi affermato: “Il dato, che la Regione ha rivelato e la Banca ha riportato, riguardava la L. n. 210 del 1992, che riconosce il diritto ad un indennizzo a chi abbia riportato, a causa di vaccinazioni obbligatorie, una menomazione permanente dell’integrità psicofisica o a chi risulti contagiato da infezioni HIV, a seguito di somministrazione di sangue o derivati, nonchè gli operatori sanitari che, in occasione e durante il servizio, abbiano riportato danni permanenti, conseguenti ad infezione a seguito di contatto con sangue o derivati provenienti da soggetti affetti da HIV. Da quanto osservato emerge l’illegittimo trattamento dei dati, della Regione e della Banca, che, secondo le indicazione dell’art. 22, avrebbero dovuto rispettivamente diffondere e conservare i dati stessi, utilizzando cifrature o numeri di codice non identificabili”.
6. In primo luogo è stato escluso che la dizione “indennizzo ex lege n. 210 del 1992”, inserita dalla Regione Campania e dalla Banca – rispettivamente – nell’ordine di bonifico e nell’estratto-conto, fosse un dato sensibile, perchè idoneo a rivelare lo stato di salute del creditore, in quanto le provvidenze previste dalla L. n. 210 del 1992 sono erogate a due categorie di persone: a coloro che hanno patito una infezione per effetto di trasfusione o vaccinazione; ai prossimi congiunti di persone decedute a causa dell’infezione da trasfusione o vaccinazione. Poichè i beneficiari appartenenti alla seconda categoria sono sani, l’informazione secondo cui taluno sia percettore di un “assegno ex L. n. 210 del 1992”, da sola, sarebbe “inidonea a rivelare lo stato di salute del percettore, giacchè l’erogazione potrebbe avvenire tanto in via diretta, quanto in via – per così dire – di “reversibilità”, ed in questo secondo caso l’elargizione dipende non da una malattia dell’accipiens, ma da una malattia del suo dante causa”.
6.1. Appare opportuno rilevare sin d’ora che tale osservazione, che attiene a un aspetto, di per sè risolutivo, non esaminato nella prima decisione, non appare condivisibile, in quanto la citata L. n. 210 del 1992 attribuisce ai congiunti della persona deceduta a seguito di contagio una somma “una tantum”, mentre il pagamento dei ratei “arretrati bimestrali e posticipati”, cui si riferisce la causale di accredito in esame, appare inequivocabilmente destinato a un soggetto, cui unicamente compete il pagamento dei ratei in esame, che abbia riportato una menomazione permanente dell’integrità psicofisica o risulti contagiato da infezioni HIV.
L’indicazione, per come formulata, riguarda un dato sensibile, e come tale è facilmente percepibile.
7. E’ stato poi rilevato che per “diffusione” deve intendersi “il dare conoscenza dei dati personali a soggetti indeterminati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione”, laddove la comunicazione del dato sensibile ad un soggetto determinato non costituisce “diffusione”, neppure considerando la pluralità dei soggetti, nell’ambito della Banca, che ne sarebbe venuta a conoscenza, in quanto la norma non distingue, quanto ai destinatari della comunicazione, la persona fisica da quella giuridica, e sarebbe “inesigibile, da parte di chi trasmette dati sensibili” ad una persona giuridica, che opera attraverso i suoi organi, la previa identificazione della persona fisica cui indirizzare la comunicazione.
10. Si è quindi affermato che “le norme sulle tutela dei dati sensibili vanno coordinate e bilanciate da un lato con la norme costituzionali che tutelano altri e prevalenti diritti (tra questi, l’interesse pubblico alla celerità, trasparenza ed efficacia dell’attività amministrativa); e dall’altro con le norme civilistiche in tema di negozi giuridici”. La trasmissione di dati dalla banca al cliente non costituirebbe una “comunicazione” ai sensi del D.Lgs. n. 196 del 2003, art. 4, comma 1, lett. l), poichè tale norma esclude che possa qualificarsi “comunicazione” la trasmissione di dati allo stesso titolare; nè potrebbe ravvisarsi una “comunicazione” nella trasmissione dei dati dalla Regione alla banca, in quanto, in virtù del rapporto contrattuale di conto corrente la seconda andrebbe qualificata come mandatario con rappresentanza del correntista. L’imputazione del pagamento (c.d. “causale”) con la quale la Regione ha contraddistinto l’accredito “vale come compiuta dal debitore (la Regione) direttamente al creditore”. “Essendo stata la banca autorizzata preventivamente dalla correntista a ricevere il pagamento e conseguentemente le dichiarazioni che l’accompagnino, queste dichiarazioni debbono considerarsi compiute direttamente al correntista”. Poichè il diritto alla riservatezza è un diritto disponibile, “colui il quale nomina un mandatario, un rappresentante od un adiectus solutionis causa per ricevere un pagamento e le dichiarazioni ad esso necessariamente connesse, manifesta per ciò solo la volontà di accettare che quelle dichiarazioni possano essere rese alla persona indicata.
11. Si è quindi osservato, che, pur richiedendo il trattamento di dati sensibili da parte della p.a., anche se necessario per i propri fini istituzionali, una norma di legge che lo autorizzi (art. 20, comma 1), anche a voler ritenere che nella specie la comunicazione riguardasse “dati sensibili”, essa sarebbe stata comunque lecita, in quanto autorizzata ai sensi del R.D. n. 827 del 1924, art. 409, del D.Lgs. 10 agosto 2000, n. 267, art. 185, nonchè del Provvedimento del Garante per la protezione dei dati personali 16/12/2009, n. 5 (in Gazzetta Uff. 18/01/2010, n. 13), il quale ha autorizzato il trattamento di dati sensibili per fini previdenziali da parte delle banche. Al di là della liceità dell’indicazione, correlata alla sua obbligatorietà, è stato affermato che la comunicazione non richiedeva alcun consenso da parte del titolare dei dati sensibili, escluso dallo stesso D.Lgs. n. 196 del 2003 quando il trattamento è necessario per adempiere un obbligo previsto dalla legge o dal contratto.
12. Ad avviso del Collegio, indipendentemente dal diverso grado di approfondimento, nelle decisioni sopra richiamate, della normativa di riferimento, sussiste un insanabile contrasto, per altro in merito a questioni estremamente rilevanti, sulla definizione delle nozioni di trattamento e di comunicazione dei dati sensibili(cfr. anche Cass., 29 maggio 2015, n. 11223), nonchè sulla esigenza di traguardare la normativa richiamata nella decisione impugnata e in quella di questa Corte n. 10280 del 2015, anche con riferimento alle modalità del trattamento e alla comunicazione dei dati sensibili (attraverso cifratura o altri accorgimenti), al lume delle esigenze sottese alla protezione dei dati personali.