Dati personali e dati identificativi: differenze ed effetti derivanti dall’art. 13 Codice Privacy.

I "dati identificativi" sono dati personali che permettono tale identificazione direttamente, per cui il dato identificativo non è che una species all’interno del genus principale.

Dati personali e dati identificativi: il caso

A seguito di operazioni ispettive, la Guardia di Finanza verificava che una società effettuava il trattamento dei dati personali dei propri clienti raccogliendoli mediante la compilazione di una scheda comprendente il cognome, il nome e l’indirizzo mail. Tali dati venivano trattati/conservati su supporto informatico del sito mediante un archivio. L’interessato, al quale non veniva richiesto specifico ed esplicito consenso al trattamento dei dati, risultava potenziale destinatario di "newsletters" inviate all’indirizzo e-mail precedentemente comunicato.

Emergeva inoltre che il titolare del trattamento non informava previamente l’interessato circa i punti di cui all’art. 13 d.lgs. 196/2003 (informativa), con la conseguenza che il trasgressore si era reso responsabile della violazione amministrativa di cui all’art. 161 del d.lgs. 196/2003, per l’inottemperanza a quanto previsto dall’art. 13 dello stesso decreto. Pertanto, nei confronti del titolare del trattamento dei dati personali veniva emessa ordinanza-ingiunzione con la quale veniva ordinato di pagare il complessivo importo di euro 14.400,00 a titolo di sanzione amministrativa pecuniaria.

Il titolare del trattamento impugnava l’ordinanza-ingiunzione, evidenziando che le persone che avevano fornito i loro dati personali lo avevano fatto volontariamente e spontaneamente, dimostrando così di fornire un consenso implicito al trattamento dei dati personali, e che inoltre buona parte dei dati in questione erano stati acquisiti sotto il vigore della precedente versione dell’art. 161 d.lgs. 196/2003, che prevedeva una sanzione di importo inferiore.

Si costituiva in giudizio il Garante convenuto, chiedendo il rigetto della proposta opposizione e la conferma dell’ordinanza-ingiunzione.

Il Tribunale di primo grado rigettava l’opposizione ritenendo che:

1) dalla lettera dell’art. 13, d.lgs. 196/2003 risultava evidente che l’informativa dovesse essere fornita oralmente o per iscritto, salve alcune eccezioni espressamente previste dalla normativa;

2) non vi era dubbio che la fattispecie oggetto del giudizio rientrasse nella sfera di applicazione dell’art. 13 citato, atteso che, ai sensi dell’art. 4, comma 1, lett. b), è definito "dato personale" "qualunque informazione relativa a persona fisica, identificata o identificabile anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale";

3) non vi era dubbio sul fatto che la fattispecie oggetto del presente giudizio non rientrasse in alcuna delle ipotesi escluse dall’applicabilità dell’art. 13 in esame;

4) parte opponente non aveva contestato nel merito la sussistenza dei tre trattamenti effettuati dei dati personali, in assenza della prescritta informativa, essendosi limitata ad allegare che le persone avessero fornito i loro dati personali volontariamente e facoltativamente, con ciò dimostrando in via implicita un consenso al trattamento dei dati personali;

5) premesso che l’informativa di cui all’art. 13 richiedeva un preciso contenuto, che doveva essere fornito all’interessato, nessuna prova era stata raggiunta sul punto;

6) quanto alla deduzione secondo cui, relativamente ai dati acquisiti fino all’entrata in vigore del D.L. 207/2008 (convertito in legge27.02.2009 n. 14), doveva ritenersi applicabile la previgente e meno penalizzante sanzione amministrativa, a prescindere dal fatto che parte opponente non aveva chiesto di provare quali e quante violazioni dell’art. 13 fossero state commesse prima dell’entrata in vigore del citato D.L., risultava fatto non contestato il protrarsi della violazione almeno fino all’anno 2011, ovvero fino al momento dell’accertamento eseguito dalla Guardia di Finanza.

La società proponeva contro tale decisione ricorso per cassazione e il Garante per la protezione dei dati personali resisteva con controricorso.

Dati personali e dati identificativi: LA DECISIONE DELLA CASSAZIONE

La decisione della Suprema Corte è di particolare interesse in quanto viene trattata la distinzione legale tra dati personali e dati identificativi con riferimento agli effetti derivanti dall’art. 13 del Codice Privacy.

Come premessa appare opportuno evidenziare cosa debba intendersi per “dato personale” e per “dato identificativo”: il "dato personale" comprende qualsiasi informazione che consenta di identificare – anche indirettamente – una persona fisica e comprende il nome, il cognome e l’indirizzo di posta elettronica; i "dati identificativi" sono dati personali che permettono tale identificazione direttamente, per cui il dato identificativo non è che una species all’interno del genus principale.

Già in precedenti pronunce della Corte di piazza Cavour (cfr. Cass. n. 1593/2013) si era chiarito che, ai sensi dell’art. 4 del d.lgs. 30 giugno 2003, n. 196, "dato personale", oggetto di tutela, si deve intendere "qualunque informazione" relativa a "persona fisica, giuridica, ente o associazione", che siano "identificati o identificabili", anche "indirettamente mediante riferimento a qualsiasi altra informazione".

Peraltro in un'altra e più recente sentenza (cfr. Cass. n. 17143/2016) la Cassazione se era espressa facendo rientrare tra i dati personali anche i dati presenti nelle banche dati costituite sulla base degli elenchi telefonici pubblici, per la cui utilizzazione è prescritta la previa informativa di cui all’art. 13 del d.lgs. n. 196 del 2003 per l’acquisizione del consenso degli interessati all’utilizzazione dei dati di loro pertinenza.

Per i giudici di legittimità quindi non può porsi in dubbio che elementi quali il nome, il cognome e l’indirizzo di posta elettronica dell’interessato rientrino tra i dati personali di cui all’art. 4 del Codice Privacy per i quali si impone la preventiva informativa di cui all’art. 13; ha quindi concluso ritenendo non accoglibile la tesi della società ricorrente (titolare del trattamento dei dati personali) che riteneva invece inapplicabile alla fattispecie della previsione di cui all’art. 13 del predetto Codice Privacy.

La Corte ha quindi rigettato integralmente il ricorso, condannando anche la ricorrente al rimborso delle spese di giudizio.

Avv. Augusto Careni

LA MASSIMA

Ai fini della preventiva informativa di cui all’art. 13 del D. Lgs. 196/2003, elementi quali il nome, il cognome e l’indirizzo di posta elettronica dell’interessato rientrano tra i dati personali di cui all’art. 4 del Codice della Privacy. Cass. civ. n. 17665 del 5 luglio 2018.

SEI INTERESSATO AL CODICE PRIVACY CON GIURISPRUDENZA E FORMULARIO?

ACQUISTALO SU EDITORIA.MONDODIRITTO.IT

Il Codice della privacy è pensato per essere di facile consultazione da pc, cellulare o tablet.

E' implementato con la più recente e rilevante giurisprudenza e con un formulario utile agli operatori del diritto e ai consumatori.

Il codice è aggiornato al:

- D. lgs. 10 agosto 2018 n. 101 in tema di disposizioni per l'adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2016/679 del parlamento europeo e del consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonchè alla libera circolazione di tali dati e che abroga la direttiva 95/46/ce (regolamento generale sulla protezione dei dati);

- D.L. 14 giugno 2019 n. 53 conv.  con modif. dalla legge 8 agosto 2019, n. 77 in tema di disposizioni urgenti in materia di ordine e sicurezza pubblica.