Risarcimento Danno Privacy: L’Errore Umano Non Salva il Titolare del Trattamento
Il tema del risarcimento danno privacy è sempre più centrale nel panorama giuridico, specialmente dopo l’entrata in vigore del GDPR. Una recente ordinanza della Corte di Cassazione ha offerto chiarimenti cruciali sulla responsabilità del titolare del trattamento in caso di violazione dei dati personali, anche quando questa derivi da un banale errore umano. La Corte ha stabilito che la semplice distrazione di un dipendente non è sufficiente a esonerare l’ente o l’azienda dalla responsabilità di risarcire il danno causato.
I Fatti del Caso
Una dipendente di un ente pubblico si è vista pubblicare, sull’albo pretorio online dell’ente stesso, un documento contenente dati sensibili relativi a un pignoramento sul suo stipendio. La pubblicazione era avvenuta per un’inavvertenza di un operatore che, durante la procedura di caricamento di una determina anonimizzata, aveva erroneamente selezionato il campo ‘pubblica’ per un visto contabile che doveva invece rimanere a uso interno.
Sebbene l’ente avesse rimosso il documento entro poco più di 24 ore dalla pubblicazione, la dipendente ha agito in giudizio per ottenere il risarcimento del danno subito. Il Tribunale di primo grado le ha dato ragione, condannando l’ente pubblico. Quest’ultimo ha quindi proposto ricorso in Cassazione, sostenendo che l’incidente fosse stato un errore umano imprevedibile e che il danno non potesse essere considerato automatico (in re ipsa).
Il Risarcimento Danno Privacy secondo la Cassazione
La Corte di Cassazione ha rigettato il ricorso dell’ente, confermando la condanna al risarcimento. La decisione si fonda su principi chiave del GDPR e del nostro ordinamento, offrendo una lettura rigorosa delle responsabilità del titolare del trattamento.
La Corte ha stabilito due principi di diritto fondamentali:
- Responsabilità del Titolare: Ai sensi del GDPR, il titolare del trattamento è sempre tenuto a risarcire il danno causato da un trattamento non conforme. Può essere esonerato solo se dimostra che ‘l’evento dannoso non gli è in alcun modo imputabile’, una prova estremamente difficile da fornire.
- Natura del Danno: L’esclusione del principio del danno
in re ipsa implica che non basta la semplice violazione formale di una norma per ottenere un risarcimento. È necessaria la prova della ‘serietà della lesione’ al diritto alla riservatezza. Tuttavia, una violazione che offende concretamente la portata effettiva di tale diritto, come la pubblicazione di dati su un pignoramento, integra un danno risarcibile.
Le Motivazioni
La Suprema Corte ha smontato le difese dell’ente punto per punto. Innanzitutto, ha chiarito che la causa della violazione (errore umano, distrazione) è irrilevante ai fini della responsabilità. Il titolare del trattamento, ai sensi dell’art. 2049 c.c., risponde sempre del fatto colposo dei propri dipendenti. L’errore del singolo operatore ricade inevitabilmente sull’organizzazione per cui lavora.
In secondo luogo, la Corte ha affrontato il concetto di danno. Se è vero che il danno non è automatico (non è in re ipsa), è altrettanto vero che il diritto alla protezione dei dati personali è un diritto fondamentale. La sua lesione, quando supera una soglia minima di tollerabilità, costituisce un danno non patrimoniale risarcibile. Nel caso specifico, la pubblicazione di informazioni relative a una procedura di pignoramento, visibili nell’ambiente socio-lavorativo della persona interessata, è stata ritenuta una lesione sufficientemente grave e seria da giustificare il risarcimento, nonostante la breve durata dell’esposizione dei dati.
Infine, la Cassazione ha sottolineato che l’essersi attivati per rimuovere il dato illecitamente pubblicato è un dovere del titolare, non una circostanza che lo esonera dalla responsabilità per il danno che si è già verificato.
Le Conclusioni
Questa ordinanza rappresenta un monito importante per tutti i titolari del trattamento, sia pubblici che privati. La gestione dei dati personali richiede non solo l’adozione di sistemi di sicurezza adeguati, ma anche una formazione continua e procedure rigorose per minimizzare il rischio di errore umano. La decisione conferma che la soglia per l’esonero da responsabilità in caso di violazione della privacy è altissima. Per chi subisce una violazione dei propri dati, la sentenza ribadisce che è possibile ottenere un risarcimento danno privacy a condizione di dimostrare che la lesione subita sia stata concreta e seria, andando oltre la mera violazione formale della normativa.
Un semplice errore umano che causa una violazione della privacy esonera il datore di lavoro dalla responsabilità?
No, secondo la Cassazione l’errore umano o la distrazione del dipendente non esonera il titolare del trattamento (il datore di lavoro) dalla responsabilità. Il titolare risponde del fatto colposo dei propri dipendenti e può essere esonerato solo se dimostra che l’evento dannoso non gli è ‘in alcun modo imputabile’.
Per ottenere un risarcimento danno privacy è sufficiente dimostrare che una norma del GDPR è stata violata?
No, non è sufficiente. La Corte ha chiarito che il danno non è automatico (in re ipsa). È necessario dimostrare che la violazione ha causato una lesione seria e grave del diritto alla riservatezza, superando una soglia minima di tollerabilità. La pubblicazione di dati finanziari sensibili, anche per breve tempo, integra tale lesione.
Il titolare del trattamento può evitare di pagare i danni se rimuove tempestivamente i dati illecitamente pubblicati?
No. Rimuovere i dati illecitamente esposti è un dovere del titolare, ma questo adempimento non lo esonera dalla responsabilità per il danno che si è già verificato nel periodo in cui i dati sono stati visibili. La rimozione tempestiva non costituisce una causa di esonero dalla responsabilità per il risarcimento.