Cassazione Civile, Ordinanza n. 19550/2024 del 16/07/2024

Esito

La controversia

La lite trae origine da un'ordinanza-ingiunzione con cui all'impresa erano state contestate due violazioni in materia di protezione dei dati personali: la mancata informativa alla clientela per i dati acquisiti tramite il sito internet e la conservazione delle immagini di videosorveglianza oltre il termine consentito. Il Tribunale di Napoli aveva accolto solo parzialmente l'opposizione, annullando la sanzione riferita all'art. 154 del codice privacy e riducendo l'importo complessivo. Nel ricorso principale il Garante ha denunciato violazione degli artt. 154, 143 e 162 del d.lgs. n. 196/2003 e del provvedimento del 8.4.2010, sostenendo che il Tribunale avesse errato nel ritenere l'obbligo di conservazione delle immagini non riferibile indistintamente a tutti i destinatari ma legato a un soggetto determinato e a una specifica istruttoria. Nel ricorso incidentale la società ha dedotto, con il primo motivo, violazione degli artt. 113, 115, 116 c.p.c. e 2697 c.c., oltre vizi motivazionali e omesso esame, per avere il Tribunale confermato la sanzione sulla mancata informativa senza considerare che il sito era ancora in allestimento, che l'informativa era stata comunque resa nei locali e che il disservizio era stato subito segnalato al fornitore esterno; con il secondo motivo ha lamentato omessa pronuncia sulla censura relativa alla videosorveglianza, deducendo che l'esistenza dell'impianto era stata resa pubblica e che la sua attivazione era giustificata da esigenze di tutela degli utenti e dei loro beni.

La decisione

La Corte ha rigettato sia il ricorso principale del Garante sia il ricorso incidentale della società. Ha ritenuto infondata la censura del Garante perché l'art. 154 del codice privacy, per struttura, collocazione sistematica, rubrica e tenore letterale, presuppone un'istruttoria specifica e prescrizioni rivolte a un destinatario determinato, sicché non può essere sanzionato senza la preventiva apertura di tale procedimento. Ha poi respinto il primo motivo del ricorso incidentale rilevando che il Tribunale aveva accertato la piena accessibilità del sito internet e l'irrilevanza dell'informativa affissa nei locali rispetto agli utenti che avevano interagito via web; inoltre ha affermato che, in tema di violazioni amministrative, la responsabilità è esclusa solo se il destinatario prova di avere fatto tutto il possibile per osservare la legge, mentre nella specie la negligenza omissiva derivava dall'affidamento del sito a un fornitore esterno senza adeguata verifica del risultato. Il secondo motivo incidentale è stato dichiarato assorbito. Le spese del giudizio di legittimità sono state compensate per reciproca soccombenza e la Corte ha dato atto dell'obbligo di versamento dell'ulteriore contributo unificato, se dovuto.

Norme richiamate

• art. 154 d.lgs. 30 giugno 2003, n. 196

  La disposizione è stata letta come norma rivolta a un destinatario specifico e operante nell'ambito di una istruttoria o di un reclamo; presuppone l'emanazione di prescrizioni e la loro inosservanza, non essendo applicabile in via generale e indistinta.

• art. 143 d.lgs. 30 giugno 2003, n. 196

  Richiamato dal ricorrente principale tra le norme asseritamente violate, ma non oggetto di autonoma ratio decisoria nel rigetto.

• art. 162 d.lgs. 30 giugno 2003, n. 196

  Richiamato dal ricorrente principale tra le norme asseritamente violate, senza autonoma elaborazione decisoria.

• provvedimento del Garante per la privacy dell'8 aprile 2010

  Richiamato come fonte delle prescrizioni sulla videosorveglianza; la Corte lo considera applicabile solo nel quadro di prescrizioni specificamente impartite in istruttoria.

• art. 113 c.p.c.

  Richiamato nel ricorso incidentale per contestare la decisione di merito, senza accoglimento.

• art. 115 c.p.c.

  Richiamato nel ricorso incidentale in relazione alla valutazione delle prove, senza accoglimento.

• art. 116 c.p.c.

  Richiamato nel ricorso incidentale in relazione alla valutazione delle prove, senza accoglimento.

• art. 2697 c.c.

  Richiamato nel ricorso incidentale sul riparto dell'onere della prova; la Corte ribadisce che, in tema di sanzioni amministrative, la responsabilità è esclusa solo se l'interessato prova di aver fatto tutto il possibile per osservare la legge.

• art. 112 c.p.c.

  Richiamato nel secondo motivo incidentale per omessa pronuncia; il motivo è stato dichiarato assorbito dal rigetto del ricorso principale.

• art. 360, primo comma, n. 3, c.p.c.

  Usato come parametro di legittimità per il motivo principale e per il primo motivo incidentale.

• art. 360, primo comma, nn. 3, 4 e 5, c.p.c.

  Usato come parametro di legittimità per il primo motivo del ricorso incidentale.

• art. 360, primo comma, n. 5, c.p.c.

  Usato come parametro di legittimità per il secondo motivo incidentale.

• art. 3 l. 24 novembre 1981, n. 689

  La Corte ribadisce che per le violazioni amministrative è sufficiente la colpa e che la buona fede/errore scusabile rileva solo se l'errore era inevitabile e l'autore ha fatto tutto il possibile per osservare la legge.

• art. 13 d.lgs. 30 giugno 2003, n. 196

  Richiamato nella descrizione della violazione contestata all'impresa, senza autonoma ratio decisoria.

Massime di principio

• In materia di sanzioni previste dal codice della privacy, una disposizione che presupponga l'adozione di prescrizioni all'esito di una specifica istruttoria non può essere applicata in via generalizzata e richiede l'individuazione di un destinatario determinato e l'accertamento della sua inosservanza.
• Nella valutazione della responsabilità per violazioni amministrative, la semplice allegazione di una buona fede soggettiva non basta: occorre dimostrare un errore inevitabile, supportato da un elemento esterno idoneo a ingenerare la convinzione della liceità della condotta, e l'avere posto in essere ogni diligente accorgimento per rispettare la legge.
• L'informativa sul trattamento dei dati deve essere resa con modalità idonee rispetto al canale effettivamente utilizzato per acquisire i dati; una pubblicazione nei locali non è di per sé sufficiente a dimostrare l'informazione degli utenti che interagiscono tramite internet.
• L'affidamento a un fornitore esterno della gestione di un sito o di un servizio non esonera automaticamente da responsabilità: la diligenza richiede la verifica adeguata dell'attività svolta e del risultato ottenuto.

Come è indicizzato