REPUBBLICA ITALIANA
IN NOME DEL POPOLO ITALIANO
LA CORTE SUPREMA DI CASSAZIONE
SEZIONE PRIMA CIVILE
Composta dagli Ill.mi Sigg.ri Magistrati:
Dott. GIANCOLA Maria C. – Presidente –
Dott. SCOTTI Umberto Luigi – rel. Consigliere –
Dott. ACIERNO Maria – Consigliere –
Dott. IOFRIDA Giulia – Consigliere –
Dott. NAZZICONE Loredana – Consigliere –
ha pronunciato la seguente:
ORDINANZA
sul ricorso 28107/2015 proposto da:
Inps, Istituto Nazionale della Previdenza Sociale in persona del legale rappresentante pro tempore, elettivamente domiciliato in Roma Via Cesare Beccaria 29 presso gli avvocati Gaetano De Ruvo, Elisabetta Lanzetta, Paola Massafra che lo rappresentano e difendono in forza di procura speciale a margine del ricorso;
– ricorrente –
contro
M.P.L., elettivamente domiciliata in Roma Via Tacito 23 presso lo studio dell’avvocato Cristoforo Parisi e rappresentata e difesa dall’avvocato Alfredo Soldera, in forza di procura speciale allegata al controricorso;
– controricorrente –
e contro
Garante per la Protezione dei Dati Personali, elettivamente domiciliato in Roma Via Dei Portoghesi 12, presso l’Avvocatura Generale dello Stato, che lo rappresenta e difende ex lege;
– controricorrente incidentale –
e contro
M.P.L., elettivamente domiciliata in Roma Via Tacito 23 presso lo studio dell’avvocato Cristoforo Parisi e rappresentata e difesa dall’avvocato Alfredo Soldera, in forza della predetta procura speciale allegata al controricorso – controricorrente al ricorso incidentale –
avverso la sentenza n. 1792/2015 del TRIBUNALE di LATINA, depositata il 09/09/2015;
udita la relazione della causa svolta nella camera di consiglio del 16/07/2020 dal Consigliere UMBERTO LUIGI CESARE GIUSEPPE SCOTTI.
Svolgimento del processo
1. Con ricorso D.Lgs. n. 196 del 2003, ex art. 152 M.P.L. ha impugnato dinanzi al Tribunale di Latina il provvedimento del Garante per la protezione dei dati personali (di seguito: semplicemente Garante) n. 296 del 18/10/2012 con cui era stato respinto il reclamo da essa proposto per lamentare l’illecito trattamento di propri dati personali e sensibili commesso ai suoi danni dalla Dirigente della sede INPDAP, ora INPS, ex gestione INPDAP, di Latina nel maggio-giugno del 2011.
Secondo la ricorrente, la predetta Dirigente aveva trattato dati personali riservati in modo illecito, disponendo che la comunicazione degli addebiti professionali mossi nei suoi confronti e contenuti nelle note dirigenziali n. 132 del 23/5/2011 e n. 149 del 3/6/2011, preliminari alla revoca della sua posizione di “capo area pensioni”, avvenisse brevi manu e a vista, a mezzo di addetto alla segreteria non preposto al trattamento di dati personali, senza alcuna precauzione o cautela, come l’inserimento in un plico o in una busta, in violazione del D.Lgs. n. 196 del 2003, art. 11 del punto 5.3. delle “Linee guida in materia di trattamento dei dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico” del 14/6/2007 e delle norme INPDAP, Protocollo relazioni sindacali, punto B.3.
Inoltre la ricorrente aveva lamentato il fatto che la Dirigente, in occasione di un incontro sindacale del 31/5/2011 per la discussione della bozza di un ordine di servizio per la riorganizzazione della sede, aveva dichiarato a verbale che l’ordine di servizio era stato preparato consultando alcuni soggetti coinvolti nella stesura del provvedimento, che erano quindi venuti a conoscenza di suoi dati personali e sensibili e di pesanti addebiti relativi alla sua professionalità.
Tanto premesso, la ricorrente ha dedotto la nullità e l’ingiustizia del provvedimento del Garante, chiedendone l’annullamento, l’accertamento dell’illegittimità del trattamento dei propri dati personali e la condanna dell’INPS e dello stesso Garante per la protezione dei dati personali al risarcimento dei danni.
Si è costituito in giudizio l’INPS, eccependo preliminarmente la tardività del ricorso e l’incompetenza del giudice adito, dovendosi ritenere competente il Tribunale di Roma, in relazione alla sede legale dell’Istituto titolare del trattamento e chiedendo nel merito il rigetto del ricorso.
Si è costituito altresì il Garante per la protezione dei dati personali, eccependo il proprio difetto di legittimazione passiva e chiedendo la declaratoria di inammissibilità o il rigetto del ricorso nei propri confronti.
All’esito di istruttoria documentale e testimoniale, con sentenza del 9/9/2015, previa lettura del dispositivo all’udienza del 30/6/2015, il Tribunale di Latina ha annullato il provvedimento del Garante per la protezione dei dati personali n. 296 del 18/10/2012, ha accolto parzialmente la domanda risarcitoria, condannando l’INPS a pagare a M.P.L. la somma di Euro 10.000,00, ha respinto la domanda risarcitoria nei confronti del Garante e ha condannato l’INPS a rifondere le spese di lite alla ricorrente, compensando le spese fra di essa e il Garante.
2. Avverso la predetta sentenza, notificata in data 24/9/2015, con atto notificato con affidamento al servizio postale il 20/11/2015 ha proposto ricorso per cassazione l’INPS, svolgendo quattro motivi.
Con atto notificato il 30/12/2015 ha proposto controricorso M.P.L., chiedendo la dichiarazione di inammissibilità o il rigetto dell’avversaria impugnazione.
Con atto notificato il 30/12/2015 ha proposto controricorso anche il Garante per la protezione dei dati personali, proponendo altresì ricorso incidentale per la cassazione della sentenza impugnata sulla base di cinque motivi.
Con atto notificato il 4/2/2016 la controricorrente M.P.L. ha proposto controricorso anche nei confronti del ricorso incidentale del Garante per la protezione dei dati personali, chiedendone la dichiarazione di inammissibilità o il rigetto.
Il ricorrente INPS e la controricorrente M. hanno depositato memoria illustrativa.
Motivi della decisione
1. Con il primo motivo di ricorso, proposto ex art. 360 c.p.c., n. 2, l’Istituto ricorrente denuncia violazione delle norme sulla competenza e in particolare del D.Lgs. n. 196 del 2003, art. 152 e D.Lgs. n. 150 del 2011, art. 10 nonchè dell’art. 46 c.c. e art. 19 c.p.c., dei principi di cui all’art. 111 Cost. e del suo comma 2, in tema di relazione fra giusto processo e regole sulla competenza, in lettura integrata con l’art. 6 CEDU. 1.1. Il Tribunale di Latina ha ritenuto la propria competenza quale giudice del luogo di sede decentrata provinciale, dotata di direttore munito di poteri rappresentativi ex art. 19 c.p.c., comma 2.
Secondo l’INPS, la competenza attribuita al Tribunale del luogo ove risiede il titolare del trattamento dei dati ha invece natura funzionale e inderogabile e non era possibile invocare il D.Lgs. 30 marzo 2001, n. 165, art. 16, lett. f), privo di attitudine a modificare il criterio di determinazione dell’organo legittimato a rappresentare legalmente l’amministrazione.
Inoltre la ravvisata esigenza di avvicinare il giudice al luogo del trattamento dei dati si scontrava con il termine “residenza” contenuto nella norma, di carattere soggettivo e utilizzato in senso proprio.
1.2. La censura è infondata e il Tribunale di Latina ha ben giudicato ravvisando la propria competenza territoriale.
Infatti, secondo il D.Lgs. 1 settembre 2011, n. 150, art. 10, comma 2, richiamato dal D.Lgs. n. 196 del 2003, art. 152 per le controversie in materia di applicazione delle disposizioni in materia di protezione dei dati personali è competente il tribunale del luogo in cui ha la sua “residenza” il titolare del trattamento dei dati, come definito dal D.Lgs. 30 giugno 2003, n. 196, art. 4.
Il predetto, art. 4, alla lett. f), nel testo pro tempore applicabile prima delle modifiche apportate dal D.Lgs. 10 agosto 2018, n. 101, definisce “titolare” la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza.
Inoltre il D.Lgs. n. 196 del 2003, art. 28 precisa che quando il trattamento è effettuato da una persona giuridica, da una pubblica amministrazione o da un qualsiasi altro ente, associazione od organismo, titolare del trattamento è l’entità nel suo complesso o l’unità od organismo periferico che esercita un potere decisionale del tutto autonomo sulle finalità e sulle modalità del trattamento, ivi compreso il profilo della sicurezza.
1.3. Come correttamente osservato dal Tribunale latinense, il riferimento della legge al luogo di “residenza” del titolare del trattamento è evidentemente applicabile, in modo diretto e giuridicamente proprio, alla sola persona fisica.
Quando il titolare del trattamento è una persona giuridica o una pubblica amministrazione si rende quindi necessaria l’interpretazione correttiva e integrativa, peraltro agevole, adottata nella sentenza impugnata, avuto riguardo al foro generale delle persone giuridiche, pubbliche e private, previsto dall’art. 19 c.p.c., secondo il quale, salvo che la legge disponga altrimenti, qualora sia convenuta una persona giuridica, è competente il giudice del luogo dove essa ha sede, nonchè il giudice del luogo dove essa ha uno stabilimento e un rappresentante autorizzato a stare in giudizio per l’oggetto della domanda.
Inoltre, ai sensi dell’art. 46 c.c. quando la legge fa dipendere determinati effetti dalla residenza o dal domicilio, per le persone giuridiche si ha riguardo al luogo in cui è stabilita la loro sede e nei casi in cui la sede stabilita ai sensi dell’art. 16 c.c. o la sede risultante dal registro sia diversa da quella effettiva, i terzi possono considerare come sede della persona giuridica anche questa ultima.
Per sede effettiva la giurisprudenza costante intende il luogo in cui hanno concreto svolgimento le attività amministrative e di direzione dell’ente ed ove operano i suoi organi amministrativi o i suoi dipendenti, ossia il luogo deputato o stabilmente utilizzato per l’accentramento dei rapporti interni e con i terzi in vista del compimento degli affari e della propulsione dell’attività dell’ente (Sez. L, n. 6021 del 12/03/2009).
1.4. Sulla base di queste complessive considerazioni e nella logica di individuare la regola di competenza in modo rispondente alle esigenze di tutela cui è finalizzato il Codice dei dati personali, deve quindi ritenersi che il luogo ove risiede il titolare del trattamento alluda a una nozione collegata ad una localizzazione “dinamica” e non “statica” del titolare, espressa quindi dal suo agire rilevante secondo il Codice.
Il luogo in cui risiede il titolare del trattamento si identifica pertanto in quello in cui il trattamento ha luogo in modo autonomo e quindi si manifesta in concreto.
Questa Corte, allorchè ha escluso come manifestamente infondato il dubbio di legittimità costituzionale, in riferimento all’art. 24 Cost., del D.Lgs. n. 196 del 2003, art. 152, comma 2, ha ritenuto che la scelta di individuare il luogo di residenza del titolare del trattamento come foro territoriale esclusivo per le controversie in materia di protezione dei dati personali di cui al comma 1 rispondesse alla scelta di privilegiare l’esigenza di vicinanza del giudice al luogo di trattamento e diffusione dei dati, mediante non irragionevole esercizio della discrezionalità legislativa (Sez. 3, n. 12980 del 31/05/2006, Rv. 589931 – 01).
Inoltre, diversamente opinando, si perverrebbe al singolare risultato che una disciplina complessa come quella del D.Lgs. n. 196 del 2003, dettata in funzione dell’esigenza di tutela del soggetto come tale, sotto il profilo del luogo di svolgimento del processo e, quindi, della tutela giurisdizionale, avrebbe assunto come regola di radicazione della competenza un criterio diretto a tutelare precipuamente l’interesse del titolare del trattamento; infatti, è evidente che costringere il soggetto i cui dati sono trattati a litigare non già nel luogo in cui gli effetti del trattamento si evidenziano e, quindi rivelano la loro capacità lesiva, bensì nel luogo in cui risiede il titolare (magari lontanissimo dal luogo di emersione del trattamento) implicherebbe una grave ed irragionevole contraddizione con la ratio di protezione del soggetto leso.
1.5. Il Tribunale, con diversa e concorrente linea argomentativa, non ha mancato di precisare agli effetti di cui all’art. 19 c.p.c., comma 1, seconda parte, che secondo la giurisprudenza di legittimità l’estensione ad opera della L. 8 marzo 1985, n. 72 ai dirigenti degli uffici centrali e periferici degli enti pubblici economici della normativa di cui al D.P.R. 30 giugno 1972, n. 748 sullo stato giuridico dei dirigenti statali comporta l’applicazione ai primi della disposizione di cui al D.P.R. n. 748 del 1972, art. 2, comma 2 circa il potere di rappresentanza giuridica dell’amministrazione nei confronti dei terzi, con la conseguente legittimazione dei dirigenti provinciali degli enti previdenziali a promuovere e resistere alle liti, senza necessità di preventiva delega da parte del Presidente dell’Istituto (Sez. U, n. 11050 del 22/12/1994, Rv. 489357 – 01; Sez. L, n. 12262 del 20/08/2003, Rv. 566085 – 01; Sez. L, n. 12870 del 12/07/2004, Rv. 574471 – 01).
Conclusione questa non scalfita dal nuovo contesto normativo (in seguito all’abrogazione dell’art. 2 e alle disposizioni del Capo 1 del D.P.R. n. 748 cit., e al D.Lgs. n. 29 del 1993, artt. 3 e 16 da parte del D.Lgs. n. 80 del 1998, art. 43 e successive modificazioni), atteso che il D.Lgs. 30 marzo 2001, n. 165, art. 4, comma 2, ha ribadito che ai dirigenti spetta l’adozione degli atti e provvedimenti amministrativi, compresi tutti gli atti che impegnano l’amministrazione verso l’esterno e il successivo art. 16, lett. f), ha confermato il potere dei medesimi dirigenti di promuovere e resistere alle liti, conciliare e transigere (Sez. L, n. 955 del 24/01/2012, Rv. 621250 – 01).
Al riguardo l’Istituto ricorrente si limita a prospettare un diverso indirizzo giurisprudenziale (Sez. lav. 13/04/2012 n. 5885), che non appare pertinente poichè in quell’occasione era stata cassata la sentenza di merito che aveva escluso il potere di rappresentanza generale del rettore di una Università degli studi, attribuendo il potere di rappresentanza in giudizio al dirigente amministrativo dell’Ente.
1.6. E’ infine il caso di ricordare che questa Corte, nel ritenere che in caso di dati personali nella disponibilità di un ufficio giudiziario (nella specie, relativi ad un procedimento disciplinare disposto nei confronti di un dipendente dell’ufficio), giudice territorialmente competente per l’azione di risarcimento per la loro indebita diffusione sia il tribunale del luogo di residenza del capo dell’ufficio giudiziario, che riveste la qualità di titolare del trattamento dei dati, ha avuto cura di precisare che tale luogo deve essere inteso in senso funzionale ed oggettivo, quale luogo di stanzialità e di stabile ubicazione e cioè quale luogo della sede dell’ufficio (Sez. 6 – 3, n. 22526 del 23/10/2014, Rv. 634404 – 01).
Da ultimo e per completezza, anche del Regolamento UE 27/04/2016 n. 679, art. 79, il comma 2 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali (regolamento generale sulla protezione dei dati – GDPR) comunque inapplicabile ratione temporis, a differenza della previgente Direttiva 24/10/1995 n. 46 1995/46/CE, prevede espressamente che le azioni nei confronti del titolare del trattamento o del responsabile del trattamento debbono essere promosse dinanzi alle autorità giurisdizionali dello Stato membro in cui il titolare del trattamento o il responsabile del trattamento ha uno stabilimento. In alternativa, tali azioni possono essere promosse dinanzi alle autorità giurisdizionali dello Stato membro in cui l’interessato risiede abitualmente, salvo che il titolare del trattamento o il responsabile del trattamento sia un’autorità pubblica di uno Stato membro nell’esercizio dei pubblici poteri. Il considerando 22 precisa che lo stabilimento implica l’effettivo e reale svolgimento di attività nel quadro di un’organizzazione stabile. A tale riguardo, non è determinante la forma giuridica assunta, sia essa una succursale o una filiale dotata di personalità giuridica.
2. Con il secondo motivo di ricorso, proposto ex art. 360 c.p.c., n. 3, l’Istituto ricorrente denuncia violazione o falsa applicazione di legge in relazione al D.Lgs. n. 196 del 2003, artt. 11, 18, 28, 30, 35 e 112 nonchè dei principi dell’art. 111 Cost., con riferimento in particolare al comma 7 in tema di controllo delle parti sulla corretta applicazione della legge ex art. 6 CEDU. 2.1. L’INPS critica in tal modo la decisione impugnata anche con riferimento alla ritenuta violazione della disciplina del trattamento dei dati personali da parte dell’Ente pubblico datore di lavoro della Dott.ssa M., che sarebbe stata consumata per effetto, da un lato, delle modalità di comunicazione dell’ordine di servizio n. 2 del 2011, riguardante la revoca della sua posizione organizzativa di capo area pensioni, dall’altro, del coinvolgimento di soggetti chiamati alla gestione del documento.
Secondo il ricorrente, la gestione dei dati relativi alla sig.ra M. (con particolare riferimento al mancato raggiungimento degli obiettivi prefissati dall’Ente), era avvenuta nel rispetto del D.Lgs. n. 196 del 2003, artt. 11 e 18 per scopi determinati e nello svolgimento delle funzioni istituzionali.
L’affermazione che la materiale gestione dei documenti contenenti i dati personali sia stata affidata a soggetti non legittimati e privi di ruolo di responsabile e incaricato del trattamento è stata fondata su di un presupposto errato, ossia che presso la sede di Latina non fosse stata istituita la figura dell’incaricato e che tale carenza non fosse surrogabile dall’ordine di servizio n. 2/2009 che avrebbe semplicemente delineato i compiti amministrativi del personale di segreteria.
Come risultava invece da apposito elenco, trascritto nel ricorso “ai fini di completezza e autosufficienza”, al punto 64 figurava il nome di Stefanile Anna, ossia dell’addetta alla segreteria del dirigente che aveva provveduto materialmente alla consegna della nota come emergeva dalle dichiarazioni rese dal Direttore della Sede di Latina il 7/5/2012 in sede di ispezione della Guardia di Finanza. Inoltre dall’ordine di servizio n. 2 del 2009, depositato con il documento 13 dalla ricorrente, risultava che la predetta S.A. era preposta ad occuparsi della notifica e della conservazione di tutti gli atti della segreteria del personale e del dirigente ed era addetta all’archivio fascicoli del personale.
2.2. E’ opportuno premettere che il motivo, al pari di quelli successivi, dedotti per violazione di legge ex art. 360 c.p.c., n. 3, contiene una clausola finale, rivolta a lamentare anche violazione dei principi dell’art. 111 Cost., con riferimento in particolare al comma 7 in tema di controllo delle parti sulla corretta applicazione della legge ex art. 6 CEDU. Si tratta peraltro di una sorta di formulazione di stile volta a rafforzare le censure svolte, ma priva di un autonomo contenuto, del resto neppur sviluppato nel ricorso sotto il profilo argomentativo.
2.3. Il ricorrente fonda la propria censura su alcuni documenti ossia l’elenco degli incaricati al trattamento dei dati trasmesso con missiva di posta elettronica dalla Direzione di Latina alla Direzione Centrale Affari Generali e Legislativi, Ufficio 4 dell’INPS del 18/9/2008 (doc. 6 del fascicolo di primo grado INPS), il verbale delle dichiarazioni rese dal Direttore della Sede di Latina in data 7/5/2012 alla Guardia di Finanza (doc. 3 del fascicolo di primo grado prodotto dall’INPS con la memoria di costituzione) e infine l’ordine di servizio n. 2/2009 del 1/6/2009 relativo ai compiti assegnati al personale (allegato sub 13 al ricorso introduttivo).
Il ricorso quindi contiene, come prescritto a pena di inammissibilità dall’art. 366 c.p.c., comma 1, n. 6, la specifica indicazione dei documenti sui quali si fondano le sue censure, documenti del resto depositati ex art. 372 c.p.c..
2.4. Il ricorso contiene non solo la sintesi dei passaggi rilevanti e l’integrale trascrizione dei documenti invocati, ma addirittura la loro incorporazione grafica nel testo: tecnica questa sovrabbondante e non raccomandabile, eppur priva di conseguenze sul piano dell’ammissibilità delle censure svolte.
Secondo questa Corte, qualora il ricorrente, in sede di legittimità, denunci l’omessa valutazione di prove documentali, per il principio di autosufficienza ha l’onere non solo di trascrivere il testo integrale, o la parte significativa del documento nel ricorso per cassazione, al fine di consentire il vaglio di decisività, ma anche di specificare gli argomenti, deduzioni o istanze che, in relazione alla pretesa fatta valere, siano state formulate nel giudizio di merito, pena l’irrilevanza giuridica della sola produzione, che non assicura il contraddittorio e non comporta, quindi, per il giudice alcun onere di esame, e ancora meno di considerazione dei documenti stessi ai fini della decisione (Sez. 5, n. 13625 del 21/05/2019, Rv. 653996 – 01).
Sono infatti inammissibili, per violazione dell’art. 366 c.p.c., comma 1, n. 6, le censure fondate su atti e documenti del giudizio di merito qualora: (a) il ricorrente si limiti a richiamare tali atti e documenti, senza riprodurli nel ricorso; ovvero (b) li abbia riprodotti ma senza fornire puntuali indicazioni necessarie alla loro individuazione con riferimento alla sequenza dello svolgimento del processo inerente alla documentazione, come pervenuta presso la Corte di cassazione, al fine di renderne possibile l’esame; ovvero ancora (c) non ne abbia precisato la collocazione nel fascicolo di ufficio o in quello di parte e la loro acquisizione o produzione in sede di giudizio di legittimità. (Sez. U, n. 34469 del 27/12/2019, Rv. 656488 – 01).
Pertanto in applicazione del principio di autosufficienza del ricorso per cassazione, qualora sia dedotta la omessa o viziata valutazione di documenti, deve procedersi ad un sintetico ma completo resoconto del loro contenuto, nonchè alla specifica indicazione del luogo in cui ne è avvenuta la produzione, al fine di consentire la verifica della fondatezza della doglianza sulla base del solo ricorso, senza necessità di fare rinvio od accesso a fonti esterne ad esso (Sez. 1, n. 5478 del 07/03/2018, Rv. 647747 – 01).
Non appare pertinente il tentativo della controricorrente di rinvenire una ragione di inammissibilità del ricorso dell’INPS nell’utilizzo della predetta tecnica con riferimento alla violazione dell’art. 366 c.p.c., n. 3 in ordine all’esposizione dei fatti rilevanti di causa mediante tecnica di cosiddetto “assemblaggio” (Sez. U, n. 5698 del 11/04/2012, Rv. 621813 – 01), dal momento che nella fattispecie l’INPS ha impiegato tale metodo di incorporazione grafica solo per produrre i documenti non adeguatamente valutati, dando tuttavia conto delle ragioni per cui ne invocava l’esame e non già per assolvere all’obbligo di sintetica esposizione dei fatti di causa.
2.4. Il predetto secondo motivo del ricorrente INPS è stato dedotto ex art. 360, n. 3 per violazione e/o falsa applicazione di legge.
A rigore, almeno quanto all’elenco dei soggetti abilitati al trattamento dati e forse anche quanto alle mansioni attribuite alla collaboratrice, non si evidenzia un errore nell’applicazione della legge e nemmeno nella sussunzione nella norma della fattispecie concreta, perchè la critica (come si dirà, fondatamente) l’accertamento del fatto a cui sono state applicate le norme: e cioè, diversamente da quanto sostenuto dal Tribunale, quanto alla sussistenza di un elenco dei soggetti autorizzati al trattamento dati e al fatto che la collaboratrice amministrativa incaricata della consegna della missiva aveva compiti precisi che implicavano la possibilità di conoscenza della contenuto della lettera.
In realtà, a ben vedere, l’Istituto ricorrente lamenta, anche e soprattutto, un vizio di omesso esame di fatti decisivi, indica i documenti che li comprovavano, dice quando sono stati prodotti, ne trascrive integralmente il contenuto: quindi, almeno in parte, il motivo, pur non invocando l’art. 360, n. 5, deduce nella sostanza quel tipo di vizio.
In applicazione del principio jura novit curia secondo cui “narra mihi factum, dabo tibi jus” compete a questa Corte la riqualificazione della la censura con il corretto nomen juris, avuto riguardo al suo contenuto sostanziale, come ritenuto da consolidata giurisprudenza di questa Corte, secondo la quale l’erronea intitolazione del motivo di ricorso per cassazione non osta alla sua sussunzione in altre fattispecie di cui all’art. 360 c.p.c., comma 1, nè determina l’inammissibilità del ricorso, se dall’articolazione del motivo sia chiaramente individuabile il tipo di vizio denunciato (Sez. 6 – 5, n. 26310 del 07/11/2017, Rv. 64419 01; Sez. 6 – 5, n. 25557 del 27/10/2017, Rv. 646414 – 01; Sez. 6 – 3, n. 4036 del 20/02/2014, Rv. 630239 – 01; nonchè Sez. U, n. 17931 del 24/07/2013, Rv. 627268 – 01).
2.5. La censura appare fondata.
Il Tribunale ha dapprima, correttamente, qualificato le informazioni relative alla revoca della sig.ra M. dalla posizione di responsabile dell’Area Pensioni presso la sede di Latina dell’INPS – Gestione ex INPDAP, come “dati personali” D.Lgs. n. 196 del 2003, ex art. 4 applicabile ratione temporis, prima delle modifiche apportate dal D.Lgs. 10 agosto 2018, n. 101, recante disposizioni per l’adeguamento della normativa nazionale al regolamento (UE) 2016/679.
Quindi nel p. 3.2.3. (pag.17-18 della sentenza impugnata) il Tribunale ha ritenuto illegittima la trasmissione della missiva effettuata a mani da una persona addetta alla segreteria mediante consegna del documento privo di busta, in contrasto con quanto previsto dal punto 5.3. delle “Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico” del 14/6/2007 che, in tema di modalità di comunicazione impone l’adozione di opportune cautele volte a prevenire l’ingiustificata conoscibilità di dati personali da parte di soggetti diversi dal destinatario.
Tanto premesso, secondo il Tribunale, la persona che aveva trasmesso l’atto alla sig.ra M. non rivestiva la posizione di incaricato al trattamento dei dati D.Lgs. n. 196 del 2003, ex art. 30 visto che tale figura non era stata istituita presso la Sede INPS di Latina; nè tale carenza poteva essere surrogata dall’ordine di servizio 2/2009, che delineava solamente i compiti amministrativi demandati ai vari addetti alla segreteria e non abilitava gli addetti alla notifica dei provvedimenti del Dirigente anche al trattamento dei dati.
2.6. Tali affermazioni contengono vari errori, puntualmente stigmatizzati dall’Istituto ricorrente.
In primo luogo, dal documento n. 6 del fascicolo di primo grado INPS risulta l’esistenza – negata dal Tribunale – di un elenco di soggetti incaricati al trattamento dei dati, trasmesso con missiva di posta elettronica dalla Direzione di Latina alla Direzione Centrale Affari Generali e Legislativi, Ufficio 4 dell’INPS del 18/9/2008, in cui figura al n. 64 il nome di S.A., addetto di supporto Al.
Dal verbale delle dichiarazioni rese dal Direttore della Sede di Latina in data 7/5/2012 alla Guardia di Finanza (doc. 3 del fascicolo di primo grado prodotto dall’INPS con la memoria di costituzione) risulta che la persona che consegnò la missiva senza busta alla Dott.ssa M. era proprio la predetta S.A..
Infine, l’ordine di servizio n. 2/2009 del 1/6/2009 relativo ai compiti assegnati al personale (allegato sub 13 al ricorso introduttivo) attribuisce alla predetta S.A. non solo il compito di provvedere alla spedizione e curare la notifica della corrispondenza della segreteria del personale e del Dirigente, ma anche le mansioni di provvedere alla conservazione di atti e corrispondenza e di curare l’archivio dei fascicoli del personale, incarichi questi che implicano necessariamente l’accesso cognitivo al contenuto degli atti conservati e archiviati.
2.7. Per ravvisare l’illecito lamentato dalla ricorrente sig.ra M. il Tribunale avrebbe dovuto accertare che la lettera contenente i dati personali in questione fosse stata incautamente resa accessibile ad un soggetto diverso da quello abilitato al trattamento dei dati, alla sua notificazione, conservazione e archiviazione: accertamento doveroso, non compiuto dalla sentenza impugnata.
2.8. Non persuadono poi le obiezioni, invero molto generiche, svolte dalla controricorrente circa il mancato aggiornamento dell’elenco, risalente al 2008, tre anni prima dei fatti di causa, sia perchè la controricorrente non offre riscontro di tale contestazione nel giudizio di merito, sia perchè non risulta che tale elenco sia stato modificato, sia perchè, quand’anche alcuni dipendenti fossero stati trasferiti, non lo era la predetta sig.ra S.A. (unica circostanza rilevante).
Nè, infine, assume rilievo l’obiezione che l’elenco non riguarderebbe il trattamento di dati personali sensibili, non essendo stati ritenuti tali quelli oggetto di controversia, qualificati invece come meri dati personali.
2.9. Solo con la memoria ex art. 380 bis-1 c.p.c. del 30/6/2020 la controricorrente ha articolato ulteriori difese in ordine al contenuto dell’elenco del personale abilitato e dell’ordine di servizio 2/2009, volte a predicarne, sotto diversi profili, la genericità o la non conformità alle prescrizioni normative, che attengono tuttavia evidentemente al merito della valutazione che il Tribunale dovrà rinnovare in sede di rinvio, senza omettere l’esame delle circostanze di fatto oggetto dei documenti sopra citati.
3. Con il terzo motivo di ricorso, proposto ex art. 360 c.p.c., n. 4, l’Istituto ricorrente denuncia violazione degli artt. 115 e 116 c.p.c. e dei principi dell’art. 111 Cost. e in particolare del comma 2 e del nucleo di garanzie irrinunciabili e coessenziali a un processo giusto in riferimento ai quali vanno ricondotti gli errori in procedendo, in lettura integrata con l’art. 6 CEDU. 3.1. Secondo l’INPS, il Tribunale era incorso in palese violazione di regole processuali nella valutazione delle prove in ordine alla ravvisata indebita divulgazione di dati personali relativi alla rimozione di M.P.L. dalla sua posizione di capo area pensioni nel corso della riunione sindacale del 31/5/2011 in cui erano state discusse le modifiche organizzative apportate con l’ordine di servizio n. 2 del 2011.
Secondo l’Istituto, non era stata infatti esaminata la prova documentale rappresentata dal verbale della riunione, allegata al ricorso introduttivo (doc. 7 ricorrente), la cui lettura dimostrava in modo lampante che esso non conteneva alcun riferimento ai risultati conseguiti dalla sig.ra M. e alle ragioni della sua revoca dalla posizione organizzativa; di conseguenza, il contenuto della prova era stato travisato in modo incontrovertibile, cosa che smentiva in modo evidente l’assunto del Tribunale secondo cui, come confermato dal teste B. all’udienza del 10/4/2014 la diffusione dei dati personali era avvenuta nell’ambito della predetta riunione sindacale.
3.2. La controricorrente M. ritiene violato l’art. 372 c.p.c. perchè il documento in questione (che non era stato prodotto dall’INPS, ma da lei nel giudizio di merito) richiamato, allegato e riprodotto nel testo del ricorso ha un contenuto parzialmente diverso da quello effettivamente prodotto dalla sig.ra M., allora ricorrente: in particolare il documento in questione manca di due pagine rispetto a quello prodotto e contiene invece diciture relative alla sua trasmissione via fax da Latina a Milano nel 2012, assenti nel documento prodotto.
La Corte può agevolmente superare tali obiezioni, di cui per vero non è ben chiara la rilevanza perchè volte a dimostrare differenze formali nel contenuto dei documenti, prive però di indicazioni circa la loro rilevanza ai fini di causa, in omaggio al principio della “ragion più liquida” ispirato al principio di economia processuale.
3.3. Il motivo deve infatti ritenersi inammissibile in quanto privo di specificità e pertinenza rispetto alla ratio decidendi della sentenza impugnata.
A pag. 17 il Tribunale ha infatti affermato che “In definitiva, la diffusione della notizia della rimozione di M.P.L. dalle funzioni cui era stata preposta, avvenuta, come confermato dal teste B. sentito all’udienza del 10/4/2014, sicuramente nell’ambito della riunione sindacale del 31/5/2011, integra una condotta contraria alle norme precauzionali…”.
In tal modo l’accertamento del fatto lesivo avvenuto nel corso dell’incontro sindacale, ossia la divulgazione indebita della notizia della rimozione della signora M. dal suo incarico nell’ambito di una riunione sindacale è stato fondato dal Giudice di prima cura non già sul verbale della riunione, che, redatto in forma sintetica, ben può non riportare l’integrale contenuto di tutte le comunicazioni verbali intercorse in quell’occasione fra i soggetti coinvolti, ma sulle dichiarazioni del teste B., e quindi sul risultato di una prova testimoniale.
Il motivo pertanto non coglie il segno, trascurando di dar conto e affrontare criticamente la principale ragione sulla base della quale il Tribunale di Latina ha ritenuto che fosse stata realmente effettuata in quella circostanza di tempo e di luogo l’indebita diffusione di dati personali della sig.ra M..
4. Con il quarto motivo di ricorso principale, proposto ex art. 360 c.p.c., n. 3, il ricorrente denuncia violazione o falsa applicazione di legge in relazione al D.Lgs. n. 196 del 2003, art. 15 e dell’art. 2050 c.c. nonchè dei principi dell’art. 111 Cost., con riferimento in particolare al comma 7 in tema di controllo delle parti sulla corretta applicazione della legge ex art. 6 CEDU. 4.1. L’INPS sostiene che per potersi apprezzare una lesione ingiustificabile in tema di dati personali, suscettibile di risarcimento del danno non patrimoniale D.Lgs. n. 196 del 2003, ex art. 15 non è sufficiente la mera violazione ma occorre una violazione sensibilmente offensiva, in difetto di dimostrazione di un pregiudizio significativo sofferto in conseguenza.
Nella fattispecie mancava in concreto la prova della gravità della lesione e della serietà del danno.
4.2. Il quarto motivo (erroneamente classificato quinto nel controricorso della sig.ra M.) riguarda la risarcibilità del danno non patrimoniale da illecito trattamento dei dati personali ai sensi del D.Lgs. n. 196 del 2003, art. 15.
L’orientamento giurisprudenziale più recente, condiviso anche dal Tribunale di Latina e conforme agli indirizzi di questa Corte (da ultimo Sez. 1, n. 207 del 8/1/2019), riconduce l’illecito trattamento di dati personali ad un’ipotesi di responsabilità oggettiva, anche alla luce dell’esplicito rinvio compiuto dalla legge (D.Lgs. n. 196 del 2003, art. 15 applicabile pro tempore) all’art. 2050 c.c..
Pertanto, il danneggiato che lamenti la lesione dell’interesse non patrimoniale può limitarsi a dimostrare l’esistenza del danno e del nesso di causalità rispetto al trattamento illecito, mentre spetta al danneggiante titolare del trattamento, eventualmente in solido col responsabile, dimostrare di aver adottato tutte le misure idonee per evitare il danno. Questo schema è parzialmente confermato anche nel nuovo GDPR (art. 82.3 GDPR) che, sulla base del principio di responsabilizzazione (accountability) addossa al titolare del trattamento dei dati – eventualmente in solido con il responsabile il rischio tipico di impresa (art. 2050 c.c.).
Secondo la giurisprudenza di questa Corte, in tema di onere della prova, in caso di illecito trattamento dei dati personali, il pregiudizio non patrimoniale non è in re ipsa, ma deve essere allegato e provato da parte dell’attore, a pena di uno snaturamento delle funzioni della responsabilità aquiliana. La posizione attorea è tuttavia agevolata dal regime più favorevole dell’onere della prova, descritto all’art. 2050 c.c., rispetto alla regola generale del danno aquiliano, nonchè dalla possibilità di dimostrare il danno anche solo tramite presunzioni semplici e dal risarcimento secondo equità (Sez. 1, 08/01/2019, n. 207; Sez. 1, 25/1/2017 n. 1931; Sez. 1, n. 10638 del 23/05/2016).
Per altro verso, il danno non patrimoniale risarcibile ai sensi del D.Lgs. 30 giugno 2003, n. 196, art. 15 pur determinato da una lesione del diritto fondamentale alla protezione dei dati personali tutelato dagli artt. 2 e 21 Cost. e dall’art. 8 della CEDU, non si sottrae alla verifica della gravità della lesione e della serietà del danno (quale perdita di natura personale effettivamente patita dall’interessato) alla stregua dei parametri generali scolpiti dalle sentenze gemelle delle Sezioni Unite n. 26972-26975 dell’11/11/2008; infatti anche per tale diritto opera il bilanciamento con il principio di solidarietà ex art. 2 Cost., di cui la regola di tolleranza della lesione minima costituisce intrinseco precipitato, sicchè determina una lesione ingiustificabile del diritto non la mera violazione delle prescrizioni poste dall’art. 11 del codice della privacy ma solo quella che ne offenda in modo sensibile la sua portata effettiva. Il relativo accertamento di fatto è tuttavia rimesso al giudice di merito e resta ancorato alla concretezza della vicenda materiale portata alla cognizione giudiziale ed al suo essere maturata in un dato contesto temporale e sociale (Sez. 3, n. 16133 del 15/07/2014, Rv. 632536 – 01; Sez. 3, n. 20615 del 13/10/2016, Rv. 642913 – 02; Sez.1, 8/1/2019 n. 227).
Il titolare del trattamento, per non incorrere in responsabilità deve dimostrare che l’evento dannoso non gli è in alcun modo imputabile e non può limitarsi alla prova negativa di non aver violato le norme (e quindi di essersi conformato ai precetti), ma occorre la prova positiva di aver valutato autonomamente il rischio di impresa, purchè tipico, cioè prevedibile, e attuato le misure organizzative e di sicurezza tali da eliminare o ridurre il rischio connesso alla sua attività. In ogni caso, come lo stesso Istituto ricorrente riconosce, l’accertamento del danno non patrimoniale è un accertamento di fatto, “rimesso al giudice di merito e resta ancorato alla concretezza della vicenda materiale portata alla cognizione giudiziale ed al suo essere maturata in un dato contesto temporale e sociale” (cfr. sent.16133/2014, citata).
4.3. La pronuncia impugnata non si è sottratta alla corretta applicazione dei principi illustrati, richiedendo l’allegazione e la prova da parte della parte danneggiata del danno-conseguenza, e ribadendo che il danno risarcibile non si identificava con la lesione dell’interesse tutelato dall’ordinamento ma con le sue conseguenze causali.
Ciò ha condotto il Tribunale ad escludere un danno biologico per lesione dell’integrità psico-fisica ma a ravvisare un danno non patrimoniale da sofferenza morale, pure dedotto da parte attrice e ritenuto dimostrato sulla base di un ragionamento presuntivo fondato su regole di esperienza.
Se è pur vero che il Tribunale sembra aver ritenuto operante una presunzione di sussistenza della sofferenza morale in caso di indebito trattamento dei dati personali, in apparente contraddizione con i principi generali in tema di riparto dell’onere probatorio dapprima richiamati, il Giudice latinense non si è comunque sottratto a una valutazione in concreto, allorchè, a pagina 34, ha fatto leva sulla massima di esperienza secondo cui dalla diffusione di valutazioni negative relative al proprio operato professionale normalmente scaturisce sofferenza morale dell’interessato, salvo poi circoscriverne l’entità in concreto sotto il profilo quantitativo considerando, da un lato, l’assenza di prova di elementi di personalizzazione specifici del pregiudizio e, dall’altro, il carattere limitato dell’ambito soggettivo di divulgazione ristretto all’ufficio ove la Dott.ssa M. prestava servizio.
Con la stessa valutazione, non sindacabile in sede di legittimità, il Tribunale ha escluso, implicitamente ma inequivocabilmente, con l’apprezzamento di un pregiudizio di media entità, che si fosse in presenza di una lesione minima e bagatellare dei diritti della personalità dell’interessata e di un pregiudizio irrisorio, e pertanto da ritenersi tollerabile alla luce del principio di solidarietà sociale.
4.4. Naturalmente anche l’entità del pregiudizio dovrà essere rivista alla luce dell’accoglimento del secondo motivo e del possibile ridimensionamento oggettivo dell’illecito in sede di giudizio di rinvio.
5. Anche il Garante per la protezione dei dati personali ha proposto ricorso incidentale contro la sentenza del Tribunale di Latina notificatagli in data 5/10/2015, con il controricorso recante ricorso incidentale, notificato il 30/12/2015, fondato su cinque motivi.
5.1. Con il primo motivo, proposto ex art. 360 c.p.c., n. 2, il Garante lamenta violazione e falsa applicazione delle norme sulla competenza, e in particolare del D.Lgs. n. 196 del 2003, art. 152 e del D.Lgs. n. 150 del 2011, art. 1 e dell’art. 46 c.c. e art. 19 c.p.c..
5.2. Con il secondo motivo, proposto ex art. 360 c.p.c., n. 3, il Garante lamenta violazione e falsa applicazione del D.Lgs. n. 196 del 2003, art. 30 e del punto 5.3. delle “Linee guida per il trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico del 14/6/2007”.
5.3. Con il terzo motivo, proposto ex art. 360 c.p.c., n. 3, il Garante lamenta violazione e falsa applicazione del del D.Lgs. n. 196 del 2003, art. 11.
5.4. Con il quarto motivo, proposto ex art. 360 c.p.c., n. 4, il Garante lamenta violazione e falsa applicazione degli artt. 115 e 116 c.p.c..
5.5. Con il quinto motivo, proposto ex art. 360 c.p.c., n. 5, il Garante lamenta travisamento di prova e omesso esame di fatto decisivo per il giudizio, con riferimento al contenuto del verbale di incontro sindacale del 31/5/2011.
5.6. L’impugnazione incidentale tardiva, da qualunque parte provenga, deve essere dichiarata inammissibile laddove l’interesse alla sua proposizione non possa ritenersi insorto per effetto dell’impugnazione principale (Sez. 3, n. 27616 del 29/10/2019, Rv. 655641 – 01; Sez. L, n. 6156 del 14/03/2018, Rv. 647499 – 01; Sez. 3, n. 19188 del 19/07/2018, Rv. 649738 – 01; Sez. 3, n. 15220 del 12/06/2018, Rv. 649306 – 01).
Nella specie, anche volendo ravvisare un interesse del Garante all’impugnazione della sentenza del Tribunale di Latina e la sua soccombenza, nonostante il rigetto della domanda risarcitoria nei suoi confronti e il mancato addebito delle spese processuali, in ragione dell’annullamento del provvedimento da lui emesso e comunque dell’accoglimento delle tesi della ricorrente circa l’illecito trattamento dei suoi dati personali, da lui avversata in sede amministrativa e giurisdizionale, appare assorbente il rilievo che tali circostanze preesistevano inequivocabilmente all’impugnazione dispiegata dall’INPS che in nessun modo poteva risultargli pregiudizievole.
La tardività del ricorso rispetto al termine di sessanta giorni imposto dalla notifica ricevuta il 5/10/2015 comporta l’inammissibilità del ricorso del Garante e la considerazione del suo contenuto come mera difesa adesiva a supporto del ricorso principale.
6. In accoglimento quindi del secondo motivo di ricorso principale, la sentenza impugnata deve essere cassata con rinvio, anche per le spese del giudizio di legittimità, al Tribunale di Latina in diversa composizione.
7. La Corte ritiene necessario disporre che, in caso di utilizzazione della presente sentenza in qualsiasi forma, per finalità di informazione scientifica su riviste giuridiche, supporti elettronici o mediante reti di comunicazione elettronica, sia omessa l’indicazione delle generalità e degli altri dati identificativi delle parti riportati nella sentenza.
P.Q.M.
La Corte accoglie il secondo motivo di ricorso principale, respinto il primo, inammissibile il terzo, respinto il quarto nei sensi di cui in motivazione, cassa la sentenza impugnata in relazione al motivo accolto e rinvia al Tribunale di Latina, in diversa composizione, anche per le spese del giudizio di legittimità.
Dispone che, in caso di utilizzazione della presente sentenza in qualsiasi forma, per finalità di informazione scientifica su riviste giuridiche, supporti elettronici o mediante reti di comunicazione elettronica, sia omessa l’indicazione delle generalità e degli altri dati identificativi delle parti riportati nella sentenza.
Così deciso in Roma, nella camera di consiglio della Prima Sezione civile, il 16 luglio 2020.
Depositato in Cancelleria il 17 settembre 2020