La tutela cautelare del danno per violazione della privacy.

La tutela cautelare del danno per violazione della privacy.

Roma, 12 maggio 2019.

Ferdinando Tota

Come noto, il 25 maggio 2018 è entrato in vigore il nuovo Regolamento Europeo in materia di dati personali, il quale ribadisce e rafforza numerose regole già previste dal Codice della Privacy. Formalmente i rischi per chi pone in essere dei trattamenti di dati personali senza rispettare il regolamento sono elevati. Innanzitutto vi sono pesanti sanzioni amministrative. Inoltre, l’interessato i cui dati sono stati trattati in modo illecito può chiedere un risarcimento danno.

Il Gdpr prevede la responsabilità solidale tra il titolare del trattamento ed il responsabile del trattamento.

Il danno risarcibile è sia quello patrimoniale che quello non patrimoniale.

I presupposti per potere ottenere il risarcimento sono:

• l’accertamento della condotta, sia attiva che omissiva, adottata in contrasto alle regole del Gdpr;

• la sussistenza di un danno provocato all’interessato;

• il nesso di causalità tra la condotta e il danno.

• Il titolare del trattamento, se vuole sfuggire al risarcimento, deve provare che:

• l’evento dannoso non è in alcun modo a lui imputabile;

• l’evento non ha prodotto realmente alcun danno.

Non essendo prevista l’obbligatorietà della mediazione, ma solo l’eventuale obbligo della negoziazione assistita, l’interessato dovrà agire attraverso una domanda stragiudiziale, ossia, inviando previamente una diffida al titolare del trattamento con la quale chiede la cessazione dell’evento dannoso e lo mette in mora, invitandolo al risarcimento.

Se questo tentativo non ha successo – come nella maggioranza dei casi – non resta che l’azione giudiziaria. Il Gdpr prevede che le azioni legali per l’esercizio deldiritto al risarcimentodel danno devono essere promosse dinanzi alle autorità giurisdizionali dello Stato membro in cui l’interessato risiede abitualmente, salvo che il titolare o il responsabile del trattamento sia un’autorità pubblica di uno Stato membro nell’esercizio dei pubblici poteri.

Il sistema di tutela della protezione dei dati personali è fondato su un duplice binario: l’attività amministrativa delle autorità garanti, che lo esplicano attraverso il sistema di sanzioni amministrative, di sanzioni penali ed attraverso la tutela indiretta in via amministrativa dei diritti degli interessati; il sistema basato sul risarcimento del danno al privato derivante dall’art. 82.

ll reclamo in via amministrativa è attualmente il mezzo di tutela preferito, sia perchè è gratuito, sia perchè i tempi di definizione del procedimento sono accettabili. La tutela è indiretta ed è realizzata attraverso il sistema dissuasivo delle pesanti sanzioni che il Garante può applicare. Ma tutto ciò non realizza il ristoro del danno in capo all’interessato, per ottenere il quale non vi è che il ricorso al giudice ordinario. Ma il più delle volte la difficoltà o l’impossibilità di provare il quantum debeatur, i costi di accesso alla giustizia e quelli per la difesa tecnica, hanno come effetto quello di non rendere conveniente il ricorso al giudice ordinario.

Peraltro, l’art. 79, co. 2 del GDPR ha previsto che lo stato membro debba assicurare all’interessato il diritto di proporre un ricorso giurisdizionale effettivo e la previsione è stata attuata attraverso le nuove disposizioni processuali sono contenute nell’art. 17 del d.lgs. 101/2018, modificativo dell’articolo 10 del decreto legislativo 1° settembre 2011 n. 150 (c.d. semplificazione dei riti), il quale prevede che: “tutte le controversie che riguardano le materie oggetto dei ricorsi giurisdizionali di cui agli articoli 78 e 79 del Regolamento e comunque· riguardanti l’applicazione della normativa in materia di protezione dei dati personali, nonché il diritto al risarcimento del danno ai sensi dell’articolo 82 del medesimo Regolamento, sono attribuite all’autorità giudiziaria ordinaria”.

Nonostante il d.lgs. 101/2018 abbia abrogato l’art. 15 d.lgs. 196/2003 in base al quale il legislatore aveva previsto che “chiunque cagiona danno ad altri per effetto del trattamento di dati personali è tenuto al risarcimento ai sensi dell’articolo 2050 del codice civile”, si può affermare che la responsabilità per violazione della privacy continua ad ispirarsi al modello della responsabilità per esercizio di attività pericolosa di cui all’art. 2050 cod. civ., in quanto l’art. 82 del GDPR prevede che: “chiunque subisca un danno materiale o immateriale causato da una violazione del presente regolamento ha il diritto di ottenere il risarcimento del danno dal titolare del trattamento o dal responsabile del trattamento. Un titolare del trattamento coinvolto nel trattamento risponde per il danno cagionato dal suo trattamento che violi il presente regolamento. Un responsabile del trattamento risponde per il danno causato dal trattamento solo se non ha adempiuto gli obblighi del presente regolamento specificatamente diretti ai responsabili del trattamento o ha agito in modo difforme o contrario rispetto alle legittime istruzioni del titolare del trattamento.Il titolare del trattamento o il responsabile del trattamento è esonerato dalla responsabilità, a norma del paragrafo 2 se dimostra che l’evento dannoso non gli è in alcun modo imputabile”.

Per quanto riguarda il rito applicabile, sia per i ricorsi avverso i provvedimenti emessi dall’autorità garante, che per i ricorsi aventi ad oggetto le controversie in materia di privacy, è previsto che: “le controversie previste dall’articolo 152 del decreto legislativo 30 giugno 2003, n. 196, sono regolate dal rito del lavoro, ove non diversamente disposto dal presente articolo” e sono decise dal Tribunale in composizione monocratica con sentenza non appellabile, ricorribile solo per cassazione.

La limitata portata del comma 7 dell’art. 17 cit. il quale prevede che “l’efficacia esecutiva del provvedimento impugnato può essere prevista secondo quanto previsto dall’articolo 5”, non può limitare l’ambito della tutela cautelare di cui dispone il giudice civile in virtù dell’art. 700 c.p.c. e quindi ben potrà il giudice civile adottare tutti i provvedimenti ritenuti necessari all’eliminazione del fatto illecito, ivi compreso l’oscuramento, la rimozione o il blocco di qualsiasi dato personale diffuso nella rete internet, ovvero detenuto e/o trattato illecitamente.

Il comma 9 dell’art. 17 cit. prevede che anche se non sia parte in giudizio, il Garante possa presentare osservazioni nella controversia in corso ed a tal fine è previsto che: “il giudice dispone chesia data comunicazione alGarante circa lapendenza della controversia, trasmettendo copia degli atti introduttivi, al finedi consentire l’eventuale presentazione delle osservazioni”.

Inoltre, si segnala che il d.lgs. 101/2018 ha riconosciuto al Garante un proprio potere di agire e di rappresentanza in giudizio. Invero, in base all’art. 154-ter del Codice Privacy, “il Garante è legittimato ad agire in giudizio nei confronti del titolare o del responsabile del trattamento in caso di violazione delle disposizioni in materia di protezione dei dati personali”. In questi casi, il Garante è rappresentato in giudizio dall’Avvocatura dello Stato, salvo nei casi di conflitto di interesse, allorché il Garante, sentito l’Avvocato generale dello Stato, può stare in giudizio tramite propri funzionari iscritti nell’elenco speciale degli avvocati dipendenti di enti pubblici ovvero avvocati del libero foro.

Come esempio di un sollecito e puntuale intervento del Garante si può richiamare il provvedimento n. 11 del 17.1.2019, con il quale il Garante ha ordinato la rimozione di un URL a Google relativamente al diritto all’Oblio ¹.

La tutela cautelare ovviamente si impone allorchè l’urgenza di provvedere non consente di attendere i lunghi tempi tecnici della giustizia ordinaria. Com’è ampiamente noto, i presupposti fondamentali per l’accoglimento sono due : il fumus boni iuris ed il periculum in mora, cioè la verosimiglianza di fondatezza del diritto sostanziale azionato; il periculum in mora, cioè il rischio di vanificazione del provvedimento richiesto nel ritardo e nell’attesa del provvedimento definitivo e, quindi, l’urgenza di provvedere.

Il provvedimento cautelare tuttavia, non sempre è idoneo ad essere definitivo e dovrà necessariamente essere confermato da una successiva sentenza di merito, in caso di provvedimento cautelare conservativo; mentre per i provvedimenti cautelari anticipatori, il processo di merito non deve necessariamente essere incardinato, è una facoltà delle parti introdurlo dopo aver ottenuto la tutela cautelare, cosicché se il processo di merito non viene introdotto comunque la misura cautelare conserverà i suoi effetti ed è idonea a mantenere la sua efficacia.

Purtroppo vi sono tutta una serie di situazioni nelle quali i nostri diritti di tutela della privacy sono gravemente compromessi.

Mi riferisco in particolare agli argomenti relativi ai Big Data, all’uso dei dati da parte dei social networks, alle profilazioni e geolocalizzazioni personali ai fini della sollecitazione al consumo di beni o servizi, alle attività di marketing aggressivo dei call center o, peggio ancora, alle attività degli hacker che violando sistemi di sicurezza risibili, carpiscono e diffondono dati di terzi detenuti su piattaforme in outsourcing (mi riferisco al recente caso di violazione delle Pec degli avvocati).

L’applicazione dei princìpi di gestione del diritto alla privacy di cui al GDPR diviene molto problematica con riferimento ai social networks, l’accesso ai quali, costringe gli utenti a rinunciare a questi diritti, in ragione dell’adesione ed accettazione alle condizioni di uso del sito, senza le quali non si può di fatto accedere al sito ed impone il rilascio di tutta una serie di autorizzazioni, sia per la condivisione dei contenuti creati dall’utente, che per i dati personali immessi nel sito. Nessuno controlla o può cambiare questi consensi in favore dell’utente.

Parimenti non esiste un sistema effettivo di controlli da parte del Garante, che si muove molto lentamente, limitandosi a elargire sanzioni. Riferisce l’attuale Garante, prossimo alla sua scadenza, che nel 2018 c’è stato un boom di sanzioni, oltre il doppio dei dodici mesi precedenti (+115%) e che «abbiamo incrociato cambiamenti molto importanti: dalle rivelazioni di Snowden allo scandalo Cambridge Analytica, dall’esplosione dell’internet delle cose all’intelligenza artificiale, fino all’esperienza dell’oblio».

Nel contempo lo stesso Garante ha riconosciuto però che sono state solo 150 le ispezioni effettuate nel 2018. Per quanto riguarda il privato, le ispezioni si sono rivolte principalmente ai trattamenti dagli istituti di credito, da società per attività di rating sul rischio e sulla solvibilità delle imprese, dalle aziende sanitarie locali e poi trasferiti a terzi per il loro utilizzo a fini di ricerca, da società che svolgono attività di telemarketing, da quelle che offrono servizi di «money transfer», oltre ai trattamenti di dati svolti da società assicuratrici attraverso l’installazione di «scatole nere» a bordo degli autoveicoli e da società che offrono servizi medico-sanitari tramite app; per quanto riguarda il pubblico, l’attività di verifica si è concentrata su enti svolgenti trattamenti di dati personali mediante app per smartphone e tablet, con particolare attenzione all’eventuale profilazione e geolocalizzazione degli utenti, sulle grandi banche dati, sul sistema della fiscalità, con speciale riguardo alle misure di sicurezza e al sistema degli audit, sul sistema informativo dell’Istat e sullo Spid. Sempre da dati diffusi dal Garante sembra che lo stesso abbia fornito riscontro a oltre 5.600 quesiti, reclami e segnalazioni in materia di: marketing telefonico e cartaceo; centrali rischi; credito al consumo; videosorveglianza; concessionari di pubblico servizio; recupero crediti; settore bancario e finanziario; assicurazioni; lavoro; enti locali; sanità e servizi di assistenza sociale.

Troppo poco, secondo chi scrive, attesa la moltitudine di soggetti interessati, che risulta pari alla quasi totalità degli utenti, secondo una sensazione ampiamente diffusa: chi non ha mai ricevuto almeno una telefonata da un call center che offriva nuove stipulazioni commerciali di servizi ?

Ma anche per la tutela dei minori sembra sia stato fatto poco, essendosi solo riusciti a relazionare solo in merito ai pericoli relativi ai possibili rischi insiti nell’uso indiscriminato dei dati personali sui social network, degli smartphone e negli smart toys. Per il cyberbullismo il Garante ha predisposto misure ed indicazioni per la rimozione dei contenuti offensivi, così come sono stati sollecitati controlli sulle fake news, sulla geolocalizzazione personale necessaria per l’uso di alcune applicazioni (prima fra tutte Google Maps) che consente però la memorizzazione e quindi lo screening sulle abitudini delle persone al fine di propinare la fruizione di beni o servizi e sull’uso sui social. Anche la memorizzazione delle impronte digitali dei dipendenti, fenomeno in continua crescita per evitare il falso badge, si presta a perpetrare abusi.

Il Garante ha fornito anche indicazioni sull’uso dei droni a scopo ricreativo e su come difendersi dai software dannosi, tipo il ransomware, un programma che ha lo scopo di bloccare pc, tablet, smartphone o smart tv, ovvero di impedirne l’accesso per chiedere un riscatto.

Su tutti questi argomenti che sono stati sollevati dalla Autority, vi può essere una violazione dei diritti ed un concreto interesse ad agire in giudizio in via cautelare, anche se, nella realtà, si preferisce il ricorso amministrativo o quantomeno la denuncia al Garante per ottenere una tutela indiretta e gratuita.

Il ricorso giurisdizionale è percepito dagli stessi operatori del diritto e dagli interessati come rischioso, in quanto debbono essere presenti i presupposti sostanziali e processuali per il suo accoglimento. Inoltre, dopo il cautelare c’è anche l’eventualità del giudizio di merito, che aumenta i costi dell’operazione di tutela del diritto. Ma è la fase dell’esecuzione del cautelare o del merito che merita la maggiore attenzione e presta i maggiori rischi di ineseguito, atteso che nella maggior parte dei casi i dati sono delocalizzati spesso all’estero, sotto giurisdizioni non trasparenti e non collaboranti.

In definitiva, la tutela cautelare della privacy sconta le medesime problematiche degli utenti di accesso al servizio “Giustizia”: costi elevati (parcella degli avvocati e spese di giustizia), tempi di soluzione incerti e indeterminati, esito applicativo incerto in merito alla concreta esecuzione del provvedimento inibitorio.

Roma, 12 maggio 2019

Avv. Ferdinando Tota