Danno e oblio. Nesso di causalità, principio di proporzionalità e misure di sicurezza Data Protection

L'illecito protrarsi del trattamento dati giustifica l'accoglimento della pretesa risarcitoria ex art. 15 D.lgs. n. 196/2003 quando - secondo una valutazione bilanciata del diritto di cronaca e del diritto all'oblio - il mantenimento del diretto ed agevole accesso sul web alla risalente notizia di cronaca esorbita dal fine del lecito trattamento d'archiviazione online ledendo i diritti all'identità e alla reputazione dell'interessato.

Sul lungomare di Pescara si trovano due stabilimenti balneari con ristorante appartenenti a due fratelli e ai rispettivi figli. A causa di questioni economiche, il 27 marzo 2008 entrambi i locali divengono teatro di una rissa tra i quattro consanguinei che poi sfocia in un accoltellamento. Il tutto di fronte ai clienti e ad altri familiari che tentano di sedare la faida senza risultato. La Mobile di Pescara interviene e arresta tutti. Il Questore dispone la chiusura per venti giorni dei locali mentre gli aggressori vengono sottoposti ad arresti domiciliari.

L'indagine giudiziaria terminava con la richiesta di rinvio a giudizio degli indagati. Il processo penale è ancora in via di definizione (l'ultima udienza è stata difatti celebrata nel maggio 2016).

Alcuni imputati hanno patteggiato mentre per gli altri il processo è ancora pendente con rito ordinario.

Questa vicenda viene riportata da tutti i giornali locali. La pronunzia della Suprema Corte sottende il contenzioso apertosi nei confronti di uno soltanto dei quotidiani ovvero la testata telematica PrimaDaNoi.it. L'articolo di cronaca sulla vicenda appena citata pubblicato da questo giornale viene indicizzato nella prima pagina dei risultati Google Search digitando il nome dei protagonisti della rissa o il nome del ristorante. Trattandosi di informazioni riportate in modo corretto, finché il fatto è di interesse pubblico nulla quaestio. Dopo due anni però l'indicizzazione continua ad apparire nella prima pagina del motore di ricerca. Così - dopo varie missive rimaste inevase - in data 6 settembre 2010 i titolari del ristorante inoltrano diffida legale tramite avvocato chiedendo il blocco o la cancellazione dei dati personali contenuti nell'articolo invocando il diritto all'oblio. La testata telematica si rifiuta e gli istanti decidono di adire il tribunale. Con sentenza n. 3/2013 il tribunale di Chieti - sez. distaccata Ortona dà ragione ai ricorrenti ordinando inoltre al giornale di pagare una sanzione di € 10.000 e una somma di € 5.000 per ciascuno degli istanti a titolo di risarcimento danni ex art. 15 Codice Privacy. Tutto questo nonostante che durante il giudizio di primo grado in data 23 maggio 2011 PrimaDaNoi avesse spontaneamente rimosso l'articolo a fini transattivi.

La questione sottesa al commento della Cass. 13161/2016 è la seguente: come si individua il nesso di causalità tra trattamento illecito e danno Data Protection per lesione dell'oblio?

La Cass. 13161/2016 si colloca nel panorama nazionale come uno degli arresti più avanzati in materia di diritto all'oblio sotto molteplici profili. Quello che si vuole evidenziare in questa sede attiene al nesso di causalità tra condotta e danno. Troppo semplicisticamente la questione del diritto all'oblio viene ridotta unicamente a una questione di tempo. Si tratta invece di uno scenario complesso, abitato da diritti fondamentali quali il diritto di informazione e all'informazione, il diritto alla storia, il diritto all'identità personale digitale nonché materica, il diritto all'autodeterminazione informativa e il diritto alla reputazione.

Oblio dopo un anno, due anni, dieci anni. Cosa vuol dire? Non significa nulla. Il diritto all'oblio è una questione di coesistenza tra individuo e comunità. Il raffinatissimo lavoro di ricerca del compromesso affidato nel caso concreto all'operatore giuridico obbliga quest'ultimo a rifuggire da soluzioni standardizzate (oblio dopo due anni, oblio dopo dieci anni) e ad adottare quale unica bussola di orientamento il modello della responsabilità Data Protection declinata secondo il principio di proporzionalità.

a) Modello di responsabilità Data Protection.

La pronunzia de qua dichiara cessata la materia del contendere in merito alla prima domanda di blocco e/o cancellazione dei dati personali dall'articolo ma non per questo glissa la domanda risarcitoria. Il nesso di causalità tra condotta e danno viene individuato correttamente sulla scorta del combinato disposto tra art. 15 D.lgs. 196/2003 e art. 2050 c.c. correlato anche con gli artt. 7,11, 25 e 31 e declinato secondo il principio di proporzionalità di conio europeo (rilevato in CGUE 13 maggio 2014 - Costeja/Google; Linee Guida Garanti Privacy UE, 26.11.2014, per l'interpretazione della CGUE Costeja).

Si tratta di un meccanismo tipico della responsabilità Data Protection che viene intercettata quando il trattamento dati risulta eccessivo rispetto al fine originario e non sono state applicate misure di sicurezza atte a stabilire l'equilibrio tra i diritti contrapposti.

Il modello della responsabilità Data Protection ai sensi del combinato disposto tra art. 15 D.lgs. 196/2003 e art. 2050 c.c. si costituisce degli elementi seguenti:

• violazione dei diritti della persona e/o violazione delle misure di sicurezza privacy idonee;
• nesso di causalità tra condotta scorretta e danno (profilo oggettivo);
• presunzione di colpevolezza (profilo soggettivo: colpa o dolo).

Si tratta di un modello di responsabilità semi-oggettiva dove la colpevolezza (elemento soggettivo) viene presunta. Il danneggiato deve provare soltanto la lesione del diritto Data Protection e il nesso causale tra il trattamento illecito e il danno-conseguenza. Nessun obbligo di prova grava sul danneggiato riguardo all'elemento soggettivo (colpa o dolo) della condotta del titolare del trattamento. In merito a questo punto si registra un'inversione dell'onere della prova a carico di quest'ultimo che potrà liberarsi allegando di avere adottato tutte le misure possibili secondo lo stato tecnologico del momento per evitare il sinistro oppure adducendo l'esistenza del caso fortuito che ha interrotto il nesso causale tra condotta e danno.

La Cass. n. 13161/2016 rispecchia fedelmente il modello della responsabilità semi-oggettiva Data Protection perché si concentra sul cuore dell'istituto ovvero il nesso di causalità tra condotta e danno alla luce del principio di proporzionalità e delle misure di sicurezza.

b) Nesso di causalità omissiva tra condotta e conseguenze dannose.

Il danneggiato può dimostrare il nesso eziologico tra trattamento illecito e danno assumendo il principio di causalità omissiva imperante nel modello della responsabilità civile generale secondo cui anche la violazione di una norma può costituire causa o concausa di un evento, quando essa sia preordinata ad impedirlo (Cass. 9 giugno 2010 n.13830). In siffatto contesto «il danno diviene una concretizzazione del rischio che la norma di condotta violata tendeva a prevenire. Il Giudice pertanto è tenuto ad accertare se l'evento sia ricollegabile all'omissione (causalità omissiva) nel senso che esso non si sarebbe verificato se (causalità ipotetica) l'agente avesse posto in essere la condotta doverosa impostagli, con esclusione di fattori alternativi» (Cass. civ., sez. III, 14 febbraio 2012, n. 2085).

Pertanto, traducendo il criterio della causalità omissiva nelle ipotesi di danno da oblio, possiamo concludere che il danneggiato-interessato deve dimostrare che il danno-conseguenza non si sarebbe prodotto se il titolare del trattamento avesse osservato gli artt. 11 e 31 adottando le misure di sicurezza idonee. Nella materia del diritto all'oblio o meglio del diritto all'autodeterminazione informativa digitale, le misure idonee sono la deindicizzazione, l'aggiornamento tramite link o banner, l'anonimizzazione o la rimozione. Quando il titolare della testata telematica o del motore di ricerca, sebbene obbligato alla luce del principio di proporzionalità, non ha adottato nessuna di queste misure scatta il criterio della causalità omissiva tra danno Data Protection e condotta del gestore web.

L'art. 15 Cod. Privacy presuppone un trattamento dati scorretto che si verifica quando non vengono rispettati i principi dell'art. 11 Cod. Privacy e quando non vengono applicate le misure di sicurezza idonee secondo lo stato del progresso tecnologico del momento ex art. 31 Cod. Privacy. La Cass. 13161/2016 non cita espressamente l'art. 31 Cod. Privacy ma lo applica implicitamente allorquando indica la deindicizzazione quale misura di sicurezza che si sarebbe dovuto adottare per correggere la sproporzione verificatasi tra diritto di cronaca e diritto all'autodeterminazione informativa o diritto all'oblio: l'illecito trattamento dati non viene individuato nell'eventuale inesattezza del pezzo di cronaca o nell'archiviazione on line «ma nel mantenimento del diretto ed agevole accesso a quel risalente servizio giornalistico pubblicato il 29.03.2008 e della sua diffusione sul Web, quanto meno a fare tempo dal ricevimento della diffida in data 6.09.2010 per la rimozione di questa pubblicazione dalla rete (spontaneamente attuata solo nel corso del giudizio, come da non contestata notizia fornita il 23 maggio 2011 dal (OMISSIS))».

Il «mantenimento del diretto ed agevole accesso a quel risalente servizio giornalistico» costituisce una mancata deindicizzazione ed è in questa omissione che la Suprema Corte riconosce la causa del danno. Il persistere on line dell'abbinamento lesivo«c) aveva determinato una lesione del diritto dei ricorrenti alla riservatezza ed alla reputazione e ciò in relazione alla peculiarità dell'operazione di trattamento, caratterizzata da sistematicità e capillarità della divulgazione dei dati».

In questo caso l'illecito trattamento dati (condotta) e il danno sono collegati da un nesso di causalità omissiva perché il danno non si sarebbe verificato se la testata telematica avesse adottato la misura di sicurezza-deindicizzazione.

La Cass. 13161/2016 ha il grande merito di avere collegato danno e oblio in modo chiaro e immediato. L'operatore giuridico leggendo questa sentenza non può avere dubbi sull'iter giuridico per intercettare l'eventuale danno da lesione del diritto all'oblio, iter che può schematizzarsi secondo i seguenti passaggi:

• applicazione al caso concreto del bilanciamento dei diritti contrapposti secondo il principio di proporzionalità;
• ove si evincano squilibri occorre procedere all'indicazione delle misure di sicurezza che il titolare avrebbe dovuto adottare (deindicizzazione, anonimizzazione, aggiornamento tramite link e/o banner, rimozione);
• rilevamento del danno-conseguenza per mancata applicazione della misura di sicurezza e del diritto di proporzionalità.

Ovviamente, una volta rilevato il danno-conseguenza, non si può restare inermi. Occorre procedere alle allegazioni del pregiudizio asseritamente subito sia in via presuntiva sia tramite testimonianze e/o relazioni tecniche e mediche.

La Cass. 13161/2016 sottopone il riconoscimento del danno alla condizione che fosse allegata - sia pure in via presuntiva - l'esistenza di pregiudizi di natura non patrimoniale sofferti in conseguenza dell'eccessiva esposizione mediatica digitale. Sono stati così riconosciuti danni non patrimoniali la cui liquidazione è avvenuta in via equitativa attribuendo a ciascun ricorrente la somma di € 5.000,00 oltre al rimborso delle spese legali.