26.09.2019
Studio Legale Mignone
Il sistema normativo di responsabilità civile delineato nel D.Lgs. n. 196/03 (Codice Privacy), imperniato, prima del D.Lgs. n. 101 del 10/08/18, sul combinato disposto degli artt. 15 D.Lgs. n. 196/03 e 2050 c.c., riconosceva al danneggiato una rilevante facilitazione probatoria, gravando il presunto danneggiante della prova di avere adottato tutte le misure idonee ad evitare il danno.
Alla luce della sopravvenuta normativa, comunitaria e nazionale (Reg. UE 2016/679 e D.Lgs. n. 101/18), la risposta all’interrogativo in merito alla natura, se pericolosa o meno, delle operazioni di trattamento presuppone alcuni cenni sull’evoluzione del quadro normativo in tema di privacy.
La Direttiva 95/46/CE, la fonte normativa più importante, nel diritto europeo, in materia di protezione dei dati dell’Unione, abrogata dal Reg. UE n. 679/16, delineava il regime comunitario di responsabilità in varie disposizioni e, in particolare, l’art. 23, par. 2 esonerava da responsabilità il “titolare” del trattamento nel caso in cui l’evento dannoso non gli era imputabile.
Il Regolamento europeo n. 2016/679, pur valorizzando, in numerose disposizioni, la rilevanza del grado di “rischio” delle operazioni effettuate, non contiene norme che definiscano espressamente come “pericolose” le operazioni di trattamento dei dati.
Il recente D.Lgs. n. 101 del 10/08/18, infine, entrato in vigore il 19/09/18, ha espunto dal nostro ordinamento l’art. 15, ponendo numerosi dubbi interpretativi in ordine alla possibilità di ricondurre, ancora oggi, alla responsabilità per esercizio di attività pericolose le operazioni di trattamento dei dati personali.
Nonostante l’abrogazione dell’art. 15 Codice Privacy, appare ancora ragionevole una ricostruzione che propenda per la (parziale) assimilazione della responsabilità civile relativa alle attività di trattamento dei dati personali al regime di responsabilità di cui all’art. 2050 c.c..
Invero, il Reg. UE 2016/679 non contiene riferimenti che giustifichino un’esegesi della norma diversa o innovativa rispetto alle interpretazioni coeve alla pregressa disciplina normativa e l’esame dell’art. 82 conferma questa interpretazione, mancando, in esso, elementi di differenziazione rispetto all’abrogato art. 15 D.Lgs. n. 196/03: l’art. 82, rubricato “diritto al risarcimento e responsabilità”, esonera da responsabilità il titolare o il responsabile del trattamento che dimostri che l’evento dannoso non gli è imputabile (art. 82, par. 3), limitandosi a specificare che al “responsabile” del trattamento non è ascrivibile alcuna responsabilità se ha adempiuto agli specifici obblighi del Regolamento o ha agito in modo conforme alle legittime istruzioni del “titolare” del trattamento (art. 82, par. 2).
Peraltro, il Regolamento, perseguendo gli obiettivi di assicurare “un livello coerente ed elevato di protezione delle persone fisiche”, non contiene un regime di attenuazione della responsabilità civile in materia di trattamento dei dati personali: il legislatore comunitario intende elevare la protezione dei dati in ragione della rapidità dell’evoluzione tecnologica della “società digitale”.
In definitiva, obiettivo comune del legislatore nazionale e di quello comunitario è la predisposizione di uno strumento di tutela risarcitoria idoneo a tutelare efficacemente i danneggiati, di talché non appare ragionevole un’interpretazione dell’art. 82 Reg. UE 2016/679 non coerente con l’obiettivo di piena ed efficace tutela dell’interessato.
Tanto premesso e chiarito, emerge, ad una più approfondita analisi, l’opportunità di una distinzione tra attività, connotate da un “alto rischio/pericolo”, meritevoli di specifica protezione, ed attività, prive di pericolosità, o connotate da un “grado minore di rischio”, implicanti minori esigenze di tutela: meritano una “specifica protezione” i dati personali “particolarmente sensibili” il cui trattamento potrebbe creare rischi significativi per i diritti e le libertà fondamentali; i rischi per i diritti e le libertà delle persone fisiche sono distinti in base ai diversi gradi di “probabilità” e “gravità”, determinati con riguardo alla natura, al contesto ed alle finalità del trattamento e valutati, in modo oggettivo, per stabilire “se i trattamenti di dati comportano un rischio o un rischio elevato”; le sanzioni per le violazioni del Regolamento rimandano al legislatore nazionale la graduazione in base al carattere “minore” o “maggiore” della violazione con specifico riferimento, tra l’altro, alla natura, alla gravità ed alla durata della violazione; i criteri di valutazione utilizzabili dal titolare ai sensi dell’art. 25 Reg. UE 2016/679, disciplinante la privacy by design, o protezione dei dati fin dalla progettazione, comprendono i “rischi aventi probabilità e gravità diverse” per i diritti e le libertà delle persone fisiche; la stessa previsione della tenuta del registro dei trattamenti a carico dei titolari e dei responsabili è volta a stimolare la costante vigilanza di tali soggetti sui livelli di rischio che i trattamenti iscritti nei registri possono comportare.
In linea generale, la valutazione del rischio, il termine “rischio” ricorre 81 volte nel Reg. UE 2016/679, e la correlata adozione di misure adeguate a ridurlo il più possibile, costituiscono il nucleo centrale della tutela dei dati personali.
D’altro canto, l’analisi del rischio, presupposto fondamentale della verifica della legittimità dei trattamenti, introduce una visione dinamica della tutela delle persone fisiche nella società digitale, quale obiettivo fondamentale del Reg. UE 2016/679.
La stessa necessità della “valutazione d’impatto sulla protezione dei dati” (D.P.I.A., Data Protection Impact Assessment) - allorquando la tipologia del trattamento presenti, tra l’altro, un “rischio elevato per i diritti e le libertà delle persone fisiche” e della “consultazione preventiva” dell’Autorità di controllo, qualora la valutazione d’impatto sulla protezione dei dati indichi che il trattamento presenterebbe un “rischio elevato” in assenza di misure adottate dal titolare del trattamento per attenuarlo - riflette l’approccio responsabilizzante, basato sul grado, maggiore o minore, del rischio che è proprio del Regolamento.
Infine, ai sensi degli artt. 33 e 34 G.D.P.R., rubricati, rispettivamente, “notifica di una violazione dei dati personali all’autorità di controllo” e “comunicazione di una violazione dei dati personali all’interessato”, nel caso in cui la violazione dei dati personali (c.d. data breach) presenti un “rischio elevato” per i diritti e le libertà delle persone fisiche, la valutazione in merito all’obbligo di comunicazione della violazione all’interessato, autonomo rispetto all’obbligo di notifica all’Autorità di controllo, si basa sugli aspetti “qualitativi” della violazione e, in particolare, sul livello di “pericolo” che l’interessato corre.
In conclusione, la sopravvenuta normativa europea ed il successivo adeguamento in sede nazionale confermano la ragionevolezza di una distinzione, da effettuare, secondo un approccio casistico, tra attività di trattamento dei dati “pericolose” e “non pericolose”.
La considerazione di plurime e peculiari criticità del settore induce a differenziare la responsabilità civile in materia di protezione dei dati in relazione alle attività esercitate: responsabilità oggettiva, configurantesi indipendentemente dalla sussistenza del dolo o della colpa, per le attività di trattamento “pericolose” e soggettiva, implicante l’accertamento del presupposto soggettivo dell’illecito civile, per quelle “non pericolose”.
La suesposta ricostruzione appare ragionevole sul piano sistematico, considerato che il legislatore comunitario è incline a disciplinare la responsabilità civile tenendo conto della natura pericolosa o meno delle attività effettuate e consente di ritenere pericolose tutte le attività di trattamento, indipendentemente dalle caratteristiche e finalità delle stesse e dalla rilevanza e tipologia dei diritti ed interessi eventualmente violati.