La diffusione del dato negativo del dipendente (per mancato raggiungimento dei risultati) comporta la responsabilità del titolare

Il caso La signora MP impugnava il provvedimento del Garante della Privacy che respingeva il reclamo presentato dalla stessa contro il Dirigente dell'ente pubblico presso cui lavorava per trattamento illecito dei dati personali. La ricorrente deduceva la nullità e l'ingiustizia del provvedimento del Garante e chiedeva l'annullamento dello stesso nonché l'accertamento dell'illegittimità del trattamento dei dati e la condanna al risarcimento del danno. Il presupposto risiedeva nel trattamento illecito dei dati personali in quanto il datore di lavoro disponeva con ordine di servizio la comunicazione degli addebiti professionali mossi nei suoi confronti (e la conseguente revoca della posizione organizzativa di capo area) tramite consegna a mano da parte di altro dipendente, addetto alla segreteria, non preposto al trattamento dei dati personali. Inoltre, ciò avveniva senza alcuna precauzione a tutela della privacy della ricorrente quale la consegna in busta chiusa. Inoltre, la ricorrente lamentava il fatto che il Dirigente dell'ente, in occasione di un incontro sindacale, dichiarava a verbale che l'ordine di servizio era stato preparato consultando alcuni soggetti coinvolti nella stesura del provvedimento e, quindi, che erano venuti a conoscenza dei suoi dati personali e sensibili nonché dei pesanti addebiti alla sua professionalità.

Nel procedimento innanzi al Tribunale si costituivano l'ente titolare del trattamento e il Garante per la protezione dei dati personali. Il Giudice di primo grado annullava il provvedimento del Garante e accoglieva parzialmente la richiesta risarcitoria condannando esclusivamente l'ente datore di lavoro al pagamento della somma a titolo risarcitorio, per una somma di 10.000 euro, e alla rifusione delle spese sostenute di lite. Respingeva invece la domanda risarcitoria nei confronti del Garante.

Contro la sentenza del Tribunale, emessa nel 2015 e quindi riferita alla normativa a suo tempo vigente, l'ente proponeva ricorso in Cassazione svolgendo quattro motivi.

Per quanto di interesse in tema di trattamento dei dati personali, i motivi di maggior rilievo riguardano le violazioni connesse alle modalità di comunicazione dell'ordine di servizio riguardante la revoca della posizione organizzativa della dipendente e il coinvolgimento dei soggetti chiamati alla gestione di detto provvedimento (secondo motivo). Nonché, il tema della risarcibilità del danno da illecito trattamento dei dati personali (quarto motivo).

Sulle modalità di comunicazioni della nota di servizio. L'ente ricorrente lamenta come la gestione dei dati sia avvenuta per scopi determinati e nello svolgimento delle funzioni istituzionali e che la figura preposta al trattamento di tali dati fosse in realtà stata indicata e formata secondo le normative vigenti.

Tale motivo viene accolto dalla Suprema Corte.

In particolare, la Corte ritiene che l'affermazione circa la il fatto che la materiale gestione dei documenti contenenti dati personali fosse stata affidata a soggetti non legittimati e privi di ruolo di responsabile e incaricato del trattamento è stata fondata su di un presupposto errato da parte del Tribunale ossia che presso la sede dell'ente non fosse stata istituita la figura dell'incaricato al trattamento.

Infatti, il soggetto incaricato della consegna del documento alla dipendente oggetto di provvedimento interno risultava nell'elenco dei soggetti incaricati (documento non considerato dal Tribunale) dove figurava l'affidamento alla stessa del ruolo di preposto ad occuparsi della notifica e della conservazione di tutti gli atti della segreteria del personale e del dirigente ed era addetta all'archivio fascicoli del personale. Compiti questi che implicano anche l'accesso cognitivo al contenuto degli atti conservati e archiviati. La Corte precisa anche che per potersi ravvisare un illecito il Tribunale avrebbe dovuto accertare che la comunicazione contenente i dati personali era stata resa accessibile a soggetti diversi da quelli autorizzati al trattamento.

Sulla quantificazione del danno per l'illecito trattamento dei dati. L'ente ricorrente lamenta la violazione o falsa applicazione dell'art. 15 d.lgs. 196/2003 e art. 2050 c.c. In particolare, rileva che alla base di un risarcimento del danno è necessaria la prova della gravità della lesione e della serietà del danno che non era presente nel caso di specie.

La Cassazione in relazione a tale motivo ritiene che la valutazione del Tribunale non sia sindacabile in sede di legittimità pertanto lo respinge ma specifica che, alla luce dell'accoglimento del secondo motivo di ricorso, sarà necessario un ridimensionamento dell'illecito in sede di rinvio a giudizio e quindi una nuova valutazione.

La Corte precisa come l'orientamento giurisprudenziale più recente (Cass. civ., 8 gennaio 2019, n. 207) riconduce l'illecito trattamento di dati personali a un'ipotesi di responsabilità oggettiva, anche alla luce dell'esplicito rinvio della legge all'art. 2050 c.c., schema sostanzialmente immutato con l'avvento del GDPR.

Secondo la Giurisprudenza della Corte «il pregiudizio non patrimoniale non è in re ipsa, ma deve essere allegato e provato da parte dell'attore, a pena di uno snaturamento delle funzioni della responsabilità aquiliana. La posizione attorea è tuttavia agevolata dal regime più favorevole dell'onere della prova, descritto dall'art. 2050 c.c., rispetto alla regola generale del danno aquiliano, nonché dalla possibilità di dimostrare il danno anche solo tramite presunzioni semplici e dal risarcimento secondo equità». Ad ogni buon conto il danno non patrimoniale non si sottrae alla verifica della gravità della lesione e della serietà del danno alla stregua dei parametri generali e pertanto si determina una lesione del diritto qualora vi sia una offesa in modo sensibile alla portata effettiva delle prescrizioni e non la mera violazione.

Quindi il titolare del trattamento per non incorrere in responsabilità «deve dimostrare che l'evento dannoso non gli è in alcun modo imputabile e non può limitarsi alla prova negativa di non aver violato le norme (e quindi essersi conformato ai precetti), ma occorre la prova positiva di aver valutato autonomamente il rischio di impresa, purché tipico, cioè prevedibile, e attuato le misure organizzative e di sicurezza tali da eliminare o ridurre il rischio connesso alla sua attività».

Il Tribunale, precisa la Corte, nel caso di specie ha fatto leva sulla massima di esperienza secondo cui dalla diffusione di valutazioni negative relative al proprio operato professionale normalmente scaturisce sofferenza morale dell'interessato.

Competenza Con il primo motivo l'ente ricorrente lamentava la violazione delle norme sulla competenza in quanto il giudice adito doveva essere quello della sede legale dell'ente poiché non applicabile il criterio della residenza.

La Corte rigetta la domanda.

In particolare, precisa che il Tribunale ha ben giudicato ravvisando la sua competenza perché in materia di trattamento dei dati personali è competente il Tribunale del luogo in cui ha la residenza il titolare del trattamento dei dati come definito dall'art 4 d.lgs. n. 196/2003.

La Corte precisa inoltre che, come previsto nel predetto d.lgs. n. 196/2003, all'art 28, se il trattamento è effettuato da persona giuridica, pubblica amministrazione o ente può essere inteso come titolare del trattamento anche un organismo periferico che esercita un potere decisionale sulle finalità e modalità del trattamento. Viene quindi in soccorso la norma del foro generale delle persone giuridiche, pubbliche e private, prevista dall'art. 19 c.p.c.

La Cassazione ritiene pertanto infondato il dubbio di legittimità e individua come corretta la competenza del tribunale di primo grado.

Prova documentale Con il terzo motivo si lamenta la violazione degli artt. 115 e 116 c.p.c. in quanto era stata omessa la valutazione di una prova documentale che avrebbe dimostrato la mancanza a livello contenutistico di informazioni personali sul rendimento della signora MP.

La Corte ritiene non ammissibile tale motivo privo di specificità e pertinenza rispetto alla decisione assunta dal Tribunale in quanto la decisione dello stesso era basato non sul documento ma sulle dichiarazioni del testimone.

*Tratto da: dirittoegiustizia.it