L’INPS deve risarcire il dipendente per la diffusione di note professionali negative.
Nota a Cass., ord., 17 settembre 2020, n. 19328
Fabrizio Girolami
Il datore di lavoro pubblico deve risarcire il danno non patrimoniale da sofferenza morale patito dal lavoratore per l’illecito trattamento di dati personali attuato mediante la diffusione – nell’ambito di una riunione sindacale – di valutazioni professionali negative (da cui sia derivata la rimozione dall’incarico di responsabilità precedentemente svolto), anche laddove il pregiudizio sia stato dimostrato soltanto mediante presunzioni semplici.
Lo ha affermato la Corte di Cassazione con l’ordinanza n. 19328 del 17 settembre 2020 che offre spunti di riflessione sul tema del risarcimento del danno non patrimoniale derivante da illecito trattamento dei dati personali.
Nel caso di specie, una lavoratrice aveva impugnato dinanzi al Tribunale di Latina il provvedimento del Garante per la protezione dei dati personali emesso nel 2012 che aveva respinto il reclamo dalla medesima proposto per denunciare l’illecito trattamento dei propri dati personali commesso, nel 2011, dalla dirigente di una sede territoriale dell’INPDAP (ora INPS).
Secondo la lavoratrice, la dirigente aveva attuato un illecito trattamento di dati personali, con due distinte condotte: a) la consegna a mano a un addetto alla segreteria (sprovvisto, a suo dire, della qualifica di “incaricato del trattamento”) di una nota di comunicazione alla lavoratrice di addebiti professionali che avevano portato alla revoca della sua posizione organizzativa; b) la diffusione del provvedimento nell’ambito di un incontro sindacale.
Il Tribunale aveva annullato il provvedimento del Garante e condannato la dirigente INPS al risarcimento del danno non patrimoniale, respingendo la domanda risarcitoria nei confronti del Garante.
Nel giudizio per cassazione proposto dall’INPS, la Cassazione si è mossa su due fronti:
- da un lato ha accolto il motivo di ricorso dell’INPS, ritenendo che la consegna a un addetto alla segreteria, della lettera sugli addebiti professionali era stata effettuata a un soggetto legittimato, quale incaricato del trattamento, con compiti precisi che importavano anche la possibilità di conoscenza del contenuto della lettera, ritenendo non conferenti le motivazioni del giudice di primo grado;
- dall’altro ha confermato la correttezza della sentenza di merito nella parte in cui ha ritenuto illegittima la divulgazione indebita, nel corso dell’incontro sindacale, della notizia della rimozione della dipendente dal suo incarico, fondato dal giudice di prime cure sulla base di dichiarazioni testimoniali.
Con riferimento a questo ultimo aspetto, la Cassazione ha operato una puntuale analisi della normativa ratione temporis vigente (art. 15, D.LGS. n. 196/2003, c.d. Codice della privacy, oggi abrogato dal D.LGS. n. 101/2018, che ha recepito il Regolamento UE n. 679/2016, cd. Regolamento generale per la protezione dei dati – GDPR).
Come noto, detta disposizione prevede(va) che “chiunque cagiona danno ad altri per effetto del trattamento di dati personali è tenuto al risarcimento ai sensi dell’articolo 2050 del codice civile” riconducendo, quindi, nell’alveo della responsabilità (oggettiva) da esercizio di attività pericolose il trattamento illecito dei dati. La medesima disposizione riconosce (va) il risarcimento del danno non patrimoniale anche in caso di violazione dell’art. 11 del Codice e quindi anche nell’ipotesi di mancato rispetto dei principi di liceità e di correttezza del trattamento, di finalità, esattezza, necessità, completezza, non eccedenza e pertinenza.
Secondo la Corte – sulla base del richiamo operato dal (vecchio) art. 15 D.LGS. n. 196/2003 all’art. 2050 c.c. – il danneggiato che lamenti la lesione dell’interesse non patrimoniale può limitarsi a dimostrare l’esistenza del danno e del nesso di causalità rispetto al trattamento illecito, mentre spetta al danneggiante titolare del trattamento, eventualmente in solido col responsabile, dimostrare di aver adottato tutte le misure idonee per evitare il danno.
Tale schema, afferma la Corte, è stato “parzialmente confermato” anche nel vigente art. 82 del Regolamento UE n. 679/2016, il quale – sulla base del nuovo principio di “responsabilizzazione” (cd. accountability) del titolare del trattamento che deve mettere in atto tutta una serie di misure al fine di evitare la circolazione incontrollata dei dati – addossa al titolare del trattamento dei dati – eventualmente in solido con il responsabile del trattamento – il rischio tipico di impresa (art. 2050 c.c.).
La Corte rileva che, sotto il profilo probatorio, in caso di illecito trattamento dei dati personali, il pregiudizio non patrimoniale non è in re ipsa, ma deve essere allegato e provato dal danneggiato, con la possibilità di dimostrare il danno anche solo tramite presunzioni semplici.
Inoltre, come stabilito dalle sentenze delle Sezioni Unite della Cassazione (Cass. n. 26972-26975 dell’11 novembre 2008, secondo cui, in tema di quantificazione del danno non patrimoniale, il giudice deve indagare sulla gravità della lesione e sulla serietà del danno in modo da bilanciare, da una parte, il principio di solidarietà verso il danneggiato e, dall’altra, quello di tolleranza imposto dal contesto sociale), non può dirsi, di per sé sufficiente, ai fini del risarcimento, la mera violazione di una norma sul trattamento dei dati personali, ma occorre verificare la concreta lesione di un interesse protetto che ne offenda in modo sensibile la sua portata effettiva.
In questa prospettiva, secondo la Corte, il Tribunale ha correttamente applicato i suddetti principi, escludendo la configurabilità di un danno biologico per lesione dell’integrità psico-fisica e ravvisando un danno non patrimoniale da sofferenza morale, ritenuto dimostrato sulla base di un ragionamento presuntivo fondato su regole di esperienza. In particolare, il giudice ha fatto leva sulla “massima di esperienza” per cui dalla diffusione di valutazioni negative relative al proprio operato professionale normalmente scaturisce sofferenza morale dell’interessato, circoscrivendone poi l’entità in concreto sotto il profilo quantitativo, per l’assenza, da un lato, di prova di elementi di personalizzazione specifici del pregiudizio e, dall’altro, per il carattere limitato dell’ambito soggettivo di divulgazione ristretto alla sede in cui la dipendente prestava servizio.