Diritto Civile

Il Caso.it, Sez. Giurisprudenza, 24924 - pubb. 26/02/2021

Tutela dei dati personali, modalità di trattamento nel settore bancario e gerarchia dei valori costituzionalmente tutelati

Cassazione civile, sez. I, 13 Gennaio 2021, n. 368. Pres. De Chiara. Est. Caradonna.

Trattamento dati personali - Tutela dei dati già pubblici o pubblicati - Dignità dell'interessato è preminente rispetto all'iniziativa economica privata - Dati personali nel settore bancario - Modalità

Il D.Lgs. n. 196 del 2003 (nella versione anteriore alle modifiche apportate dal D.Lgs. 10 agosto 2018, n. 101) ha ad oggetto della tutela anche i dati già pubblici o pubblicati, poichè colui che compie operazioni di trattamento di tali informazioni, dal loro accostamento, comparazione, esame, analisi, congiunzione, rapporto od incrocio può ricavare ulteriori informazioni e, quindi, un valore aggiunto informativo, non estraibile dai dati isolatamente considerati, potenzialmente lesivo della dignità dell'interessato (ai sensi dell'art. 3 Cost., comma 1 e dell'art. 2 Cost.), valore sommo a cui è ispirata la legislazione sul trattamento dei dati personali (Cass., 25 giugno 2004, n. 11864).

Ed invero, nella gerarchia dei valori costituzionalmente tutelati la dignità dell'interessato è ritenuta preminente rispetto all'iniziativa economica privata che, secondo l'art. 41 Cost., non può svolgersi in modo da recare danno alla dignità umana.

Con specifico riferimento al trattamento dei dati, del D.Lgs. n. 196 del 2003, art. 11, prescrive che i dati personali (compresi quelli di natura soggettiva, come opinioni e valutazioni che rilevano soprattutto nel settore bancario, per la valutazione dell'affidabilità di chi richiede un prestito, o assicurativo o nel mercato del lavoro) devono essere trattati in modo lecito e secondo correttezza, essere pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono raccolti o successivamente trattati. (Redazione IL CASO.it) (riproduzione riservata)

Sistema di informazione creditizio tra diritto di iniziativa economica e tutela della dignita’: e’ un reale conflitto? (nota a Cass. Civ. Sez. I, ord. 368/2021). di Mauro Zollo

La predisposizione e la conservazione di una banca dati aziendale contenente informazioni sui propri partners commerciali e, indirettamente, su soggetti che intrattengano rapporti con questi ultimi, non può limitarsi a rispettare canoni di correttezza formale e di verità storica. Bensì, ai fini della sua liceità sotto il profilo della tutela della privacy, deve anche corrispondere a criteri di pertinenza dei dati raccolti, che debbono quindi essere indispensabili e strettamente correlati all’esercizio dell’attività economica.

La prima sezione della Corte di Cassazione, attraverso l’ordinanza numero 368 del 2021, individua i precisi limiti che la ricorrente prassi imprenditoriale di organizzare banche dati contenenti informazioni sulla solidità patrimoniale e l’affidabilità di altri soggetti economici incontra, e che sono rappresentati dalla correttezza, ma anche dalla pertinenza quali canoni legali di trattamento dei dati personali.

Nel caso in esame, infatti, la banca dati conservata a fini aziendali dalla società resistente includeva non solo informazioni riferibili al suo diretto partner commerciale ma anche riconducibili a soggetti terzi, altre società le cui esposizioni debitorie venivano ricavate grazie alla trascrizione in pubblici registri di domande revocatorie, trattandosi pertanto di informazioni pubbliche.

Tali società terze, quindi, agivano in giudizio chiedendo la cancellazione dei propri dati personali dal sistema di informazione creditizio , oltre che il risarcimento dei danni non patrimoniali subiti in ragione dell’illecito trattamento dei dati personali.

Viene allora in rilievo il delicato confronto tra asserite esigenze di tutela della riservatezza, che trovano fondamento normativo nel nucleo generale di salvaguardia dei diritti della personalità  (articolo 2 della Costituzione) e a livello legislativo ordinario nel decreto legislativo numero 196 del 2003 (cosiddetto Codice della Privacy) e il diritto di iniziativa economica, pure tutelato a livello costituzionale dall’articolo 41 della Carta.

Infatti, la difesa della società resistente, sin dal primo grado di giudizio, si è incentrata sulla natura pubblicamente ricavabile dei dati raccolti, come detto rinvenibile da chiunque nei pubblici registri di trascrizione delle domande giudiziali di azioni revocatorie, e sulla circostanza concreta che tali dati non erano stati assolutamente trattati , essendosi tale società limitata a raccoglierli e a conservarli.

Proprio in primo grado il Tribunale di Bologna aveva accolto le ragioni della società convenuta, rigettando integralmente le domande attoree, sul presupposto appunto della natura pubblica dei dati raccolti, non successivamente manipolati e in alcun modo trattati.

Tuttavia, la Corte di Cassazione censura tale impostazione, reputando non soddisfacente un mero vaglio di correttezza dei dati personali organizzati nella banca dati, e sottolineando la necessità di valutare anche la pertinenza che i dati personali raccolti rivestono rispetto al concreto esercizio dell’attività imprenditoriale cui la banca dati è stata preordinata.

Si tratta, dunque, di valorizzare anche il criterio della pertinenza dei dati personali, e non soltanto quello della correttezza. La pertinenza  può essere definita come la rispondenza dei dati raccolti alla finalità perseguita, tenendo in considerazione le caratteristiche che il trattamento lecito dei dati personali deve osservare, a mente dell’articolo 11 del decreto legislativo numero 196 del 2003.

Pertanto, la circostanza che siano raccolti dati pur pubblici non è condizione di per sé sufficiente ai fini della legittimità del trattamento dei dati: ciò, sebbene non esplicitato nell’ordinanza in esame, appare ricavabile in via anche sistematica, sol che si pensi alla fondamentale rilevanza che lo stesso articolo 11, comma 1 lettera b), conferisce alla determinatezza e alla esplicitazione degli scopi della raccolta e registrazione dei dati, proprio al fine di evitare che i dati personali rimangano in circolazione a lungo e in massa pur senza una meritevole finalità.

Del resto, il canone della pertinenza appare in grado di consentire anche un vaglio indirettamente sulla ragionevolezza, in termini di tempo e di numero, dei dati raccolti: la tutela degli interessi creditori di una azienda non può che basarsi, infatti, su dati cronologicamente attuali e che siano in numero tale da risultare gestibili in rapporto alle dimensioni e al volume dei traffici economici dell’azienda stessa, con la conseguenza che, al di fuori di detti termini di ragionevolezza, i dati raccolti risulterebbero ultronei rispetto ai fini, agli scopi di tutela commerciale e creditizia perseguiti (si pensi a dati riguardanti esposizioni debitorie di vari decenni fa, a fronte del risanamento completo del soggetto economico cui i dati si riferiscono…).

Vi è, adesso, da chiedersi se la soluzione interpretativa indicata dalla Corte di Cassazione si ponga davvero in conflitto con la libertà di iniziativa economica, o, meglio, se veramente si denoti un conflitto tra diritti della personalità (riservatezza dei dati personali) e libertà di impresa risolto in favore della salvaguardia dei primi, a limitazione della seconda.

La risposta che qui si propone è negativa: la valorizzazione, da parte della Corte di Cassazione, del requisito della pertinenza dei dati inclusi nel sistema informativo creditizio di una impresa appare piuttosto in sintonia con gli scopi perseguiti dal soggetto economico stesso a salvaguardia del proprio credito, comunque libero, se interessato, di dimostrare che gli eventuali crediti vantati dai propri partners commerciali verso terzi giustificano la raccolta di informazioni concernenti anche questi ultimi, rimanendo pertanto nell’alveo della pertinenza.

In conclusione, si è inteso dar conto dell’insufficienza che, ai fini della valutazione di legittimità del trattamento dei dati personali, riveste il canone della completezza, essendo altresì fondamentale vagliare la pertinenza dei dati rispetto agli scopi perseguiti, nel caso in esame con peculiare riguardo all’organizzazione di un sistema di informazione creditizia privato da parte di una impresa. (riproduzione riservata)

Svolgimento del processo

1. Con ricorso D.Lgs. 30 giugno 2003, n. 206, ex art. 152, depositato il 15 luglio 2014 omissis, hanno convenuto in giudizio omissis. chiedendo la cancellazione dei loro dati personali dal sistema di informazione creditizio e da ogni banca dati della omissis, oltre il risarcimento dei danni non patrimoniali subiti in ragione dell'illegittimo trattamento dei loro dati personali con riferimento alle specificate domande giudiziali e alle loro trascrizioni e la condanna, ex art. 614 bis c.p.c., per ogni giorno di ritardo nell'esecuzione della decisione.

2. Il Tribunale, con la sentenza in questa sede impugnata, ha rigettato le domande attrici e condannato i ricorrenti al pagamento delle spese processuali, affermando che omissis aveva inserito nel proprio archivio dati conformi ed in linea con quelli risultanti dai pubblici registri; che i detti dati erano utilizzabili senza il consenso dell'interessato e che il termine di trentasei mesi per la conservazione dei dati non era riferibile alle informazioni provenienti da fonte pubblica.

3. Avverso la superiore sentenza omissis hanno presentato ricorso per cassazione, fondato su due motivi.

4. Omissis ha depositato controricorso.

5. Entrambe le parti hanno depositato memoria ex art. 380 bis.1 c.p.c..

Motivi della decisione

1. In via preliminare vanno rigettate le eccezioni della carenza dell'interesse ad agire e del difetto di legittimazione ad agire sollevate dalla società convenuta nel controricorso.

Questa Corte ha precisato che la legitimatio ad causam, attiva e passiva, consiste nella titolarità del potere e del dovere di promuovere o subire un giudizio in ordine al rapporto sostanziale dedotto in causa, mediante la deduzione di fatti in astratto idonei a fondare il diritto azionato, secondo la prospettazione dell'attore; essa resta dunque ferma anche quando poi, in ipotesi, il diritto vantato contro quel convenuto non sussista per avere quello agito nel rispetto della legge (Cass. 10 gennaio 2008, n. 355).

Nella specie, i ricorrenti in primo grado hanno convenuto in giudizio omissis imputando proprio ad essa la pubblicazione dei dati, censurando quindi una condotta propria della resistente e non anche di altri soggetti.

Sussiste anche l'interesse ad agire in capo ai ricorrenti, che consiste nell'esigenza di ottenere un risultato utile, giuridicamente apprezzabile e non conseguibile senza l'intervento del giudice, da accertare avendo riguardo all'azione proposta ed alle difese svolte dalla parte convenuta.

I ricorrenti hanno agito, infatti, oltre che per il risarcimento dei danni non patrimoniali, anche per la cancellazione dei loro dati personali dal sistema di informazione creditizio e da ogni banca dati della omissis con ciò azionando un interesse personale, attuale al momento della proposizione della domanda e concreto in relazione al pregiudizio che hanno dedotto essersi verificato in loro danno.

2. Con il primo motivo i ricorrenti lamentano la violazione del D.Lgs. 30 giugno 2003, n. 196, art. 7 e art. 11, lett. d), perchè le trascrizioni in esame si riferivano a domande revocatorie concernenti esposizioni debitorie di un soggetto terzo, tale omissis, con la conseguenza che l'indicazione delle esposizioni debitorie di tale soggetto terzo nei rapporti e nei prodotti informativi della omissis riguardanti loro non erano pertinenti e, in ogni caso, erano eccedenti rispetto alla specifica finalità perseguita che era quella di fornire informazioni sull'affidabilità e sulla puntualità dei pagamenti.

I ricorrenti, inoltre, deducono la violazione dell'art. 115 c.p.c. e censurano l'omesso l'esame dei fatti esposti e specificamente delle note di trascrizione pubblicate il 5 e il 10 novembre 2008 e dei relativi atti di citazione riguardanti le azioni revocatorie in cui il debitore era omissis, violando anche il disposto dell'art. 11, lett. d) del Codice della Privacy e dell'interpretazione che di tale norma aveva fornito la giurisprudenza di legittimità.

3. Con il secondo motivo i ricorrenti lamentano la violazione e falsa applicazione del D.Lgs. 30 giugno 2003, n. 196, art. 7, art. 11, lett. e) e dell'art. 6 del Codice di deontologia e di buona condotta per i sistemi informativi gestiti da soggetti privati per i crediti al consumo, affidabilità e puntualità nei pagamenti - Allegato A 5 al D.Lgs. n. 196 del 2003, perchè la sentenza impugnata non aveva ritenuto applicabile il termine massimo di trentasei mesi per la conservazione dei dati in quanto non riferibile alle informazioni provenienti da fonte pubblica, non tenendo in considerazione che il Codice della Privacy tutela anche i dati già pubblici o pubblicati e la natura e funzione prevalente di informazione creditizia di detti dati, oltre che del fatto che, ove si ritenesse inapplicabile il termine di trentasei mesi, mancherebbe qualsiasi previsione di termine di conservazione per i dati pubblici inseriti nei Sistemi Informativi Creditizi.

3.1 Il primo motivo è fondato.

Questa Corte ha affermato che in tema di trattamento dei dati personali, il D.Lgs. n. 196 del 2003 (nella versione applicabile ratione temporis, anteriore alle modifiche apportate dal D.Lgs. 10 agosto 2018, n. 101) ha ad oggetto della tutela anche i dati già pubblici o pubblicati, poichè colui che compie operazioni di trattamento di tali informazioni, dal loro accostamento, comparazione, esame, analisi, congiunzione, rapporto od incrocio può ricavare ulteriori informazioni e, quindi, un valore aggiunto informativo, non estraibile dai dati isolatamente considerati, potenzialmente lesivo della dignità dell'interessato (ai sensi dell'art. 3 Cost., comma 1 e dell'art. 2 Cost.), valore sommo a cui è ispirata la legislazione sul trattamento dei dati personali (Cass., 25 giugno 2004, n. 11864).

Ed invero, nella gerarchia dei valori costituzionalmente tutelati la dignità dell'interessato è ritenuta preminente rispetto all'iniziativa economica privata che, secondo l’art. 41 Cost., non può svolgersi in modo da recare danno alla dignità umana (Cass., 8 agosto 2013, n. 18981).

3.2 Con specifico riferimento al trattamento dei dati, del D.Lgs. n. 196 del 2003, art. 11, prescrive che i dati personali (compresi quelli di natura soggettiva, come opinioni e valutazioni che rilevano soprattutto nel settore bancario, per la valutazione dell'affidabilità di chi richiede un prestito, o assicurativo o nel mercato del lavoro) devono essere trattati in modo lecito e secondo correttezza, essere pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono raccolti o successivamente trattati.

3.3 La sentenza impugnata non ha fatto buon governo dei principi esposti, limitandosi ad evidenziare che la omissis aveva inserito nel proprio archivio dati conformi e in linea con quelli risultanti dai pubblici registri e omettendo del tutto l'indagine sulle finalità del trattamento e, quindi, sulla pertinenza e non eccedenza di quest'ultimo rispetto alle prime.

Nè appare rilevante, al fine di stabilire la pertinenza e la non eccedenza del trattamento dei dati, l'affermazione del Tribunale di Bologna che la omissis non aveva elaborati i dati, nè li aveva valutati nel merito.

Il giudice di merito doveva, quindi, correttamente accertare se l'informazione che riguardava i ricorrenti fosse stata trattata in modo non pertinente e in modo eccedente rispetto alla finalità perseguita dalla omissis;

4. In ragione dell'accoglimento del primo motivo di ricorso deve ritenersi assorbito il secondo motivo.

5. In conclusione la decisione impugnata va cassata con rinvio al Tribunale di Bologna in diversa composizione per il riesame e la liquidazione delle spese di legittimità.

P.Q.M.

La Corte accoglie il primo motivo di ricorso e, assorbito il secondo, cassa la sentenza impugnata in relazione al motivo accolto e rinvia al Tribunale di Bologna, in diversa composizione, anche per le spese di legittimità.

Così deciso in Roma, nella Camera di consiglio, il 16 settembre 2020.

Depositato in Cancelleria il 13 gennaio 2021