LA RESPONSABILITA' CIVILE NELLA LEGGE N. 675/96: IL DANNO CAGIONATO DAL TRATTAMENTO DELLE INFORMAZIONI PERSONALI
di Massimo Prosperi

Molto spesso l'analisi dei rapporti tra la legge 675/96 e le imprese si concentra sulle problematiche scaturenti dalla considerazione di queste ultime come soggetti attivi del trattamento di dati e quindi come titolari di obblighi e adempimenti di varia natura e di ardua comprensione. Tuttavia, mutando angolo di visuale, giova rammentare che anche le imprese sono considerate come soggetti ammessi a fruire della tutela prevista dalla legge 675/96, la quale abbraccia non solo gli individui ma anche soggetti diversi dalle persone fisiche, siano essi dotati o meno di personalità giuridica. Del resto tale omogeneità di disciplina era imposta dalla diretta precettività del principio costituzionale di eguaglianza con il quale avrebbe invece contrastato l’adozione di un trattamento normativo differente basato soltanto sulla veste giuridica di soggetti che si trovano, in ipotesi, nelle medesime condizioni sostanziali.

L’estensione di tutela è quanto mai opportuna poiché un trattamento incontrollato di dati possiede certamente la capacità di offendere alcuni attributi fondamentali delle imprese in modo tale da danneggiarne, a volte in maniera irreversibile, l’immagine, la rispettabilità, il decoro, l’accesso al credito o ad altri servizi, la fiducia di fornitori e avventori e così via, sino ad investirne l’attività nel suo complesso.

La fondatezza di tale pericolo è dimostrata dalla circostanza che, già prima della entrata in vigore della legge 675/96, era operante in seno all’ordinamento civile un insieme di norme poste ad esclusiva protezione della riservatezza delle persone giuridiche. Si vedano, a mero titolo di esempio, l’art. 2105 c.c., che fa obbligo al lavoratore di non "divulgare notizie attinenti all’organizzazione e ai metodi di produzione dell’impresa"; l’art. 2407 c.c., che impone ai sindaci il mantenimento del "segreto sui fatti e sui documenti di cui hanno conoscenza per ragione del loro ufficio"; l’art. 2622 c.c., che riguarda la divulgazione di notizie sociali riservate, il quale prevede sanzioni penali per "gli amministratori, i direttori generali i sindaci e i liquidatori, che, senza giustificato motivo, si servono, a profitto proprio od altrui, di notizie avute a causa del loro ufficio, o ne danno comunicazione"; l’art. 2598 c.c., n. 2, che definisce come concorrente sleale "chiunque diffonde notizie e apprezzamenti sui prodotti e sull’attività di un concorrente".

Ancora, tra le leggi speciali in materia di società, sono degne di menzione la L. 7 giugno 1974 n. 216, istitutiva della CO.N.SO.B che, all’art. 3 lett. b, limita i poteri della Commissione stessa di richiedere a società e ad enti la pubblicazione di dati e notizie necessari per l’informazione del pubblico, nonché la L. 17 maggio 1991, n. 157 recante norme relative all’uso di informazioni riservate nelle operazioni su valori mobiliari, che crea una disciplina repressiva del c.d. insider trading recuperando la fattispecie di cui si interessa l’art. 2622 c.c. e ampliandone l’ambito (dirigenti, revisori dei conti); detta legge stabilisce sanzioni penali per tutti quei soggetti che, venendo a conoscenza di informazioni riservate in ragione della loro posizione all’interno della società (partecipazione al capitale, esercizio di una funzione, professione o ufficio), pongono in essere una serie di attività (operazioni su valori mobiliari, comunicazione dei dati a terzi o consiglio a terzi di compiere operazioni sui valori mobiliari cui le informazioni si riferiscono) servendosi delle informazioni medesime.

La considerazione complessiva delle suesposte norme mostra l’impegno profuso dal legislatore nell’apprestare adeguata ed effettiva tutela alla riservatezza delle notizie aziendali, specie se si riflette sulla natura delle sanzioni predisposte da talune delle disposizioni rapidamente scorse: la stigmatizzazione penale di alcuni dei comportamenti sopra descritti è indice della valutazione della riservatezza dell’impresa come un bene essenziale degno di una tutela rafforzata. Diversamente, risulterebbero violati due principi cardine operanti in materia penale. Ci si riferisce innanzitutto al principio di proporzione: tenendo presente l’effetto tipico della sanzione penale, cioè la privazione della libertà personale tutelata dall’art. 13 Cost., il ricorso a tale strumento è legittimo solo per tutelare beni di valore uguale o maggiore alla libertà personale, cioè beni di rango parimenti costituzionale; in secondo luogo viene in rilievo il principio di sussidiarietà (strumento penale come extrema ratio) secondo il quale l’uso della sanzione penale appare legittimo solo quando il bene giuridico non sia adeguatamente tutelabile attraverso strumenti extrapenali.

L’aspirazione dell’ordinamento ad assicurare l’integrità della sfera riservata dell’impresa ha trovato ulteriore realizzazione nella legge 675/96. Tra le altre, detta legge contempla anche disposizioni di notevole importanza in materia di responsabilità per danni arrecati a cagione di un trattamento di dati personali. Date le premesse svolte, il tema della responsabilità per fatto illecito investe le imprese nel possibile duplice ruolo di danneggiante - gestore del trattamento e di danneggiato — soggetto passivo del medesimo.

Il sistema della responsabilità civile per danni da trattamento di dati emerge dalla combinazione degli artt. 18 e 29, IX comma. Secondo la lettura combinata delle due disposizioni, un trattamento di dati personali è idoneo a causare entrambe le specie di danno tradizionalmente conosciute dall’ordinamento: quello patrimoniale, apprezzabile cioè secondo la consolidata teoria della differenza (negativa) nel complesso dei beni del paziente a causa dell’evento lesivo; e, limitatamente alle persone fisiche, quello non patrimoniale (sofferenze, risentimento, compressioni o turbamenti della personalità, dolore) che, secondo l’impostazione tradizionale è risarcibile solo nei casi espressamente preveduti dalla legge (cfr. art. 2059 c.c.). Normalmente, per effetto del combinato disposto degli artt. 2059 c.c. e 185 c.p., i danni non patrimoniali sono risarcibili solo a condizione che l’illecito civile rivesta anche profili di antigiuridicità penale. Il sistema generale risultante dalle due disposizioni è stato però superato dall’art. 29 ultimo comma della legge 675/96 nello stabilire che "il danno non patrimoniale è risarcibile anche nei casi di violazione dell’art. 9", giacché l’inosservanza di esso non è comportamento penalmente sanzionato. L’estensione determinata dalla norma si dimostra tanto più opportuna se si riflette sulla circostanza che lo strumento risarcitorio non spiega solo un ruolo di riattribuzione del risultato utile mai conseguito attraverso l’equivalente pecuniario, ma persegue anche finalità satisfattive per la vittima e/o generale o special — preventive o ancora punitive nei confronti dell’autore dell’illecito (il che, se condiviso, legittima l’applicabilità della sanzione civile anche in assenza di un danno economicamente quantificabile). A ben vedere la violazione dei principi descritti dall’art. 9 possiede una spiccata attitudine a provocare danni non patrimoniali. La letteratura su questo specifico tema narra spesso di disavventure patite da soggetti i cui dati circolavano liberamente pur non essendo aggiornati o completi. Due casi emblematici (citati rispettivamente da C. Sarzana e J. Shattuck) sono i seguenti: il primo clamoroso episodio è accaduto negli Stati Uniti ad un giovane studente di colore, tale Terry Dean Rogan, che aveva malauguratamente perduto il portafogli e, con esso, la patente di guida, il documento di identità e la carta di credito. I documenti furono utilizzati da un criminale in seguito ricercato per due omicidi e svariate rapine. I suoi dati, risultanti dai documenti del giovane Rogan e quindi inesatti, entrarono nel circuito degli schedari informatici di polizia e FBI. A causa di tale disguido Rogan fu arrestato una prima volta e poi rilasciato dopo cinque giorni di detenzione per l’evidenza dell’errore commesso. Nonostante ciò i dati non furono corretti e il giovane dovette subire ancora quattro arresti del tutto ingiustificati. La seconda vicenda riguarda il caso di un cittadino di New York al quale fu rifiutato un posto di lavoro poiché un rapporto di credito computerizzato mostrava che, all’età di tredici anni, era stato temporaneamente ospitato in un istituto di sanità mentale. I dati non specificavano però che il soggetto era orfano e che, al momento, quella struttura era l’unico luogo in cui le autorità potevano sistemarlo per un periodo di quattro anni. Una volta chiarita la concreta dimensione dei problemi che le violazioni dell’art. 9 sono atte a produrre, può comprendersi agevolmente il motivo per cui è bene che il IX comma dell’art. 29 sia tenuto nel massimo conto da chi gestisce un trattamento di dati personali. Infatti, la tendenza giurisprudenziale (si considerino, a titolo di esempio le decisioni in materia di risarcimenti per l’abuso dell’immagine altrui) è quella di accordare cospicui risarcimenti a titolo di pecunia doloris; ciò è anche possibile perché la determinazione del quantum è fatalmente rimessa al discrezionale apprezzamento del giudice a causa dell’impossibilità di riferirsi a parametri materiali di valutazione.

In linea generale l’art. 18 ha istituito un legame tra i danni cagionati per effetto di un trattamento di dati personali e l’art. 2050 c.c. relativo alla responsabilità per l’esercizio di attività pericolose. L’art. 2050 c.c. configura una forma di responsabilità speciale aggravata che si caratterizza per due elementi: la pericolosità intrinseca all’attività o determinata dagli strumenti utilizzati; la presunzione di responsabilità dell’esercente che porta ad un’inversione dell’onere della prova in ordine alla sussistenza o meno della responsabilità.

In relazione alla valutazione della pericolosità il fatto che il legislatore non abbia distinto tra trattamenti elettronici e trattamenti eseguiti senza l’ausilio di mezzi automatizzati induce a ritenere che il trattamento di dati (e non solo l’informatica di per sé) è stato considerato attività pericolosa per sua stessa natura; la valutazione dei mezzi adoperati potrà costituire un criterio sussidiario per fondare un grado di diligenza superiore. Corollario di questa affermazione è che il danneggiante non potrebbe divincolarsi dalla obbligazione risarcitoria invocando la minore capacità offensiva dei propri archivi cartacei.

Giurisprudenza e dottrina sono discordi circa la natura di questa forma di responsabilità, cioè se essa sia responsabilità per colpa oppure oggettiva. La questione non è priva di rilievi pratici giacché l’adozione dell’una o dell’altra impostazione finisce per influire in modo determinante sul momento genetico della responsabilità e sulla prova liberatoria.

Infatti, se si aderisce alla tesi della colpa, il fatto che fa sorgere la responsabilità risiede nella violazione di regole di prudenza e perizia; in questo caso la presunzione è vinta dimostrando il rispetto della diligenza professionale in maniera congrua rispetto all’attività svolta.

Secondo l’impostazione che propende per la responsabilità oggettiva prescindendo da elementi di colpa, la prova liberatoria è raggiunta solo dimostrando un eventuale decorso causale assolutamente atipico o l’esistenza dell’elemento ezioclastico, cioè la mancanza del nesso di causalità tra attività pericolosa e danno (es. caso fortuito in cui può rientrare a certe condizioni anche il fatto del danneggiato). Tale impostazione probabilmente considera la situazione in esame in termini di creazione di un rischio connesso con la percezione di un’utilità e soddisfa l’esigenza sociale di far sopportare i danni procurati dall’attività a chi da essa trae vantaggio (secondo il principio id est cuius commoda eius et incommoda): l’esercente di attività pericolosa risponderebbe così per il solo nesso di causalità fra l’azione e l’evento. Tuttavia, ciò contrasta con il tenore letterale dell’art. 2050 c.c. che espressamente lega l’esonero da responsabilità all’adozione di misure idonee, cioè alla mancanza di colpa. Il problema si pone più esattamente in questi termini: la responsabilità di natura colposa tende ad essere trasformata in oggettiva ad opera della giurisprudenza che spesso dilata a tal punto l’ambito delle misure "idonee" sino a ricomprendervi situazioni che, a causa delle dimensioni dell’impresa o delle concrete modalità dell’attività svolta che si avvale di apporti professionali e tecnici quanto mai eterogenei, di fatto sfuggono al controllo del titolare dell’attività medesima. Ma anche in casi siffatti la responsabilità potrebbe essere ricondotta alle figure della culpa in eligendo, vigilando o custodiendo, piuttosto che a mera responsabilità oggettiva

Conseguentemente risultano private di ogni fondamento quelle critiche mosse all’art. 18 considerato fonte di una responsabilità troppo estesa (perché oggettiva) che costringerebbe il danneggiante ad un onere della prova praticamente impossibile da assolvere (la tanto temuta probatio diabolica); in realtà la situazione è esattamente capovolta: la prova che il danno è dovuto a semplice responsabilità oggettiva, cioè ad una causa non imputabile al soggetto nemmeno sotto forma di deficienza dello sforzo diligente, vale a sollevare dall’obbligo di risarcire.

L’ambito delle misure idonee ad evitare il danno non è circoscritto alle sole misure di sicurezza (art. 15), ma si estende a tutte le prescrizioni, normative e non (G. Buttarelli, l’attuale Segretario Generale dell’Autorità Garante ritiene che: "l’idoneità delle misure va valutata in rapporto al complesso delle disposizioni primarie e secondarie situate anche al di fuori della legge del 1996, ivi comprese le prescrizioni impartite al titolare dal Garante o comprese nei codici di deontologia e di buona condotta"), che si traducono in regole di diligenza professionale la quale si è detto essere il parametro su cui valutare la sussistenza della responsabilità.

Parallelamente al risarcimento in forma generica o per equivalente, considerato l’istituto destinato ad operare in via prevalente in materia di lesione della privacy, è necessario occuparsi anche del risarcimento in forma specifica previsto dall’art. 2058 I comma c.c. (c.d. restitutio in integrum). Questo è finalizzato, quando possibile in tutto o in parte, a restituire al bene distrutto o diminuito l’integrità di cui godeva anteriormente alla lesione; tradizionalmente si afferma che il risarcimento in forma specifica è scarsamente praticabile per le offese al diritto alla riservatezza, mentre può risultare efficace per tutelare beni quali l’onore, la reputazione, l’identità personale degli individui o la rispettabilità ed il prestigio dell’impresa (ad esempio attraverso la pubblicazione di una rettifica delle informazioni lesive o della sentenza che accerta la violazione). Tali strumenti mirano dunque a realizzare l’interesse alla verità di fatti e circostanze che, in quanto inesatti o falsi, hanno determinato, in ipotesi, conseguenze dannose all’interessato e sempre una falsa rappresentazione offendendo il diritto ad una corretta, veritiera e attuale rappresentazione dell’individuo o della azienda agli occhi della collettività e degli altri operatori economici. Nel quadro del problema della "false light" agli occhi del pubblico, un ruolo decisivo è giocato dai requisiti di qualità dei dati e, sub specie, dal principio dell’esattezza e del correlativo aggiornamento dei medesimi proprio per le gravi conseguenze che le informazioni inesatte o datate possono produrre a carico dell’interessato. Sfortunatamente, grazie al mito della infallibilità degli elaboratori, i dati da questi generati tendono a beneficiare di una generale presunzione di esattezza. Le stesse considerazioni valgono per i dati incompleti, i quali forniscono una falsa rappresentazione della situazione personale o economica di un soggetto. Si pensi a quali effetti devastanti avrebbe sull’attività economica la circolazione di dati inesatti relativi alla solvibilità o ad un fallimento erroneamente dichiarato senza l’adozione di adeguati correttivi tesi a ristabilire la verità dei fatti. La prassi di registrare informazioni senza riprodurre il contesto loro proprio determina insiemi di dati che possono facilmente distorcere la situazione reale e attuale di un soggetto. Orbene, proprio a motivo di queste considerazioni, l’art. 13 della legge 675/96 ha conferito all’interessato un potere di controllo sui propri dati, esercitabile attraverso il diritto di accesso alle informazioni detenute dai raccoglitori.

I "diritti dell’interessato" enumerati dall’art. 13 altro non sono che articolazioni e specificazioni del generale diritto di accesso la cui funzione preminente è l’accertamento del rispetto dei principi di cui all’art. 9 della legge medesima. Si crea così un doppio filo che lega l’art. 9 all’art. 13 in modo che le due disposizioni siano l’una lo specchio dell’altra nel rapporto tra doveri del soggetto che procede al trattamento e diritti del soggetto interessato. Il rapporto tra il generale diritto di accesso e i diritti elencati nell’art. 13 è di natura squisitamente strumentale nel senso che l’accesso costituisce il presupposto per la conoscenza dell’esistenza di dati e delle notizie identificative dell’origine di essi, delle finalità e delle modalità del trattamento e del soggetto che vi procede (v. art. 13, comma I, lett. a, b, c). La realizzazione di questa funzione informativa porrà poi il soggetto in condizione di esercitare tutte le azioni consequenziali che riterrà opportune tra quelle previste nel prosieguo dell’art. 13.

Tornando al tema del rapporto tra risarcimento in forma specifica e diritto alla riservatezza, esso, si è detto, non risultava idoneo a tutelare tale diritto per l’ovvia impossibilità di cancellare dalla memoria altrui un’informazione che non si voleva far conoscere. Il diritto di privacy appare tutelabile, in via reattiva, solo per quanto riguarda il protrarsi degli effetti dannosi (attraverso l’inibizione pro futuro della ulteriore comunicazione della notizia e relativo utilizzo non autorizzato, il risarcimento del danno).

Le considerazioni che precedono necessitano però di essere rivalutate alla luce della recente legge 675/96 che potrebbe offrire spunti per l’utilizzo in tema di privacy dell’istituto della restitutio in integrum. Si è detto che quest’ultimo ha come scopo tipico la ricostituzione del bene distrutto o diminuito. Orbene l’art. 13 della citata legge prevede tra i diritti dell’interessato quello di "ottenere la cancellazione, la trasformazione in forma anonima […] dei dati trattati in violazione di legge". Dunque nel caso in cui abbia subito la violazione del proprio diritto all’autodeterminazione informativa l’interessato può ottenere la ricostituzione dell’integrità della propria sfera privata (cioè essere restituito nella situazione anteriore al verificarsi della lesione) attraverso l’eliminazione delle informazioni dalla sfera di disponibilità dell’autore dell’illecito agendo sulla memoria dell’archivio cartaceo o elettronico.

Nonostante questi spunti, risulta fuor di dubbio che lo strumento risarcitorio è stato concepito per i diritti a carattere patrimoniale. In questa prospettiva v’è chi ne evidenzia l’insufficienza e l’inidoneità a realizzare un’effettiva tutela della sfera privata a causa del carattere successivo e reattivo del rimedio e della quasi totale impossibilità di ricondurre la situazione allo stato anteriore al verificarsi della lesione. Per questi motivi si ritiene necessario che al risarcimento siano affiancati mezzi di tutela di natura preventiva, in grado cioè di operare prima che la lesione si verifichi (azione inibitoria, misure cautelari reali). Il risarcimento del danno, specie nella situazione attuale, non esplica nemmeno un effetto deterrente (che è l’unico effetto di natura preventiva che gli si può attribuire), poiché, in un’epoca in cui l’uso di informazioni personali è praticato da soggetti pubblici e privati organizzati e dotati di notevoli risorse economiche, questi possono utilizzare strumenti quali l’assicurazione o l’aumento del costo di beni e servizi per ammortizzare i maggiori costi derivanti dalla condanna ad un risarcimento danni.