Il presente articolo trae spunto da un caso di violazione della normativa in materia di protezione dei dati personali, recentemente trattato dal nostro Studio, conclusosi positivamente per il nostro cliente.
Si è rivolto a noi un dipendente pubblico che ha visto violato il proprio diritto alla privacy attraverso la pubblicazione nell’albo pretorio dell’ente presso il quale prestava servizio, di una serie di informazioni personali attinenti al proprio stato di salute.
In linea generale, nel rispetto della normativa e delle indicazioni in materia di protezione dei dati personali, le amministrazioni pubbliche dovrebbero pubblicare sull’albo pretorio on line i documenti (integrali) che necessitano di pubblicità legale (quali ad esempio delibere e/o determine). Ciò significa che i soggetti pubblici possono diffondere dati personali, ma con l’obbligo di rispettare i principi fondamentali in materia di protezione degli stessi come la minimizzazione: vale a dire che i dati devono essere sempre e comunque adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati (art. 5 GDPR).
Il GDPR (Reg. UE n. 679/2016 Regolamento europeo in materia di protezione dei dati personali), nonché la legge nazionale di recepimento (D.lgs. n. 196/2003 Codice Privacy e D.lgs. n. 101/2018) a tal proposito NON lasciano margini di dubbio laddove è letteralmente statuito il divieto di trattamento di alcune particolari categorie di dati, quali quelli che rivelino l’origine razziale o etnica della persona, le opinioni politiche, le convinzioni religiose o filosofiche, l’appartenenza sindacale, dati genetici e biometrici, dati relativi alla salute o all’orientamento sessuale della persona (art. 9 GDPR “dati particolari“, già “dati sensibili“).
Inoltre, i dati trattati possono essere resi pubblici con le modalità sopra descritte per un periodo limitato di tempo (15 giorni), decorso il quale, gli enti locali NON possono continuare a diffondere i dati personali in essi contenuti, poiché in caso contrario si avrebbe una diffusione illecita per il lasso di tempo eccedente.
Nel caso di specie, è stata quindi constatata una “doppia violazione” per così dire: non solo era stato reso identificabile l’interessato e resi pubblici i dati relativi alla sua salute, ma la pubblicazione dei dati nell’albo pretorio on line si era protratta ben oltre il termine quindicinale previsto dalla legge, raggiungendo addirittura i due anni!
Al fine di accertare la violazione ed inibirne la prosecuzione, il nostro Studio ha formulato un formale reclamo, ai sensi dell’art. 142 Codice Privacy, indirizzato all’Autority garante per la protezione dei dati personali, con il quale, oltre a denunciare l’occorso, ha richiesto l’irrogazione di una sanzione amministrativa pecuniaria a carico dell’ente responsabile della violazione.
L’Autority ha quindi accertato la sussistenza di una violazione nella condotta assunta dall’Ente, ma NON applicava sanzioni in quanto l’attività illegittima era comunque stata interrotta per iniziativa del titolare, il quale a seguito di diffida ha provveduto alla rimozione dei dati sensibili dall’albo pretorio.
Ricordiamo infatti che l’Autority NON ha competenza in materia risarcitoria, ma invece poteri
Sulla scorta del provvedimento ottenuto dall’Autority, lo Studio ha voluto comunque perorare la causa del cliente al fine di vedergli riconosciuto un congruo risarcimento dei danni subiti a seguito della violazione ed ha quindi dato impulso ad un procedimento giudiziale (secondo il rito del lavoro) ai sensi dell’art. 152 D.LGS. N. 196/2003, procedura prevista per il caso di tutte quelle controversie che riguardano l’applicazione della normativa in materia di protezione dei dati personali, nonché, appunto, il diritto al risarcimento del danno. La violazione della normativa privacy costituisce infatti un fatto illecito, fonte quindi di responsabilità risarcitoria in capo al soggetto che lo ha posto in essere, nella forma che attiene alle attività pericolose (Art. 15 codice privacy: “chiunque cagiona danno al altri per effetto del trattamento di dati persali è tenuto al risarcimento ai sensi dell’art. 2050 c.c.[…]“).
In punto alla competenza giurisdizionale, è appena il caso di ricordare che competente è il tribunale del luogo in cui ha residenza il titolare del trattamento, ovvero il soggetto ritenuto responsabile della violazione.
Ovviamente, è stato necessario dimostrare la sussistenza di tutti i danni subiti dal cliente ed aventi varia natura (danno emergente, danno morale, psicologico e simili) e soprattutto il nesso di conseguenzialità diretta con la violazione perpetrata dall’ente. A tale scopo, ci siamo avvalsi anche della consulenza di un perito medico legale (nello specifico, uno psicologo accreditato), il quale ha evidenziato nel proprio elaborato il danno psicologico che la condotta dell’ente ha cagionato al nostro cliente, nelle diverse declinazioni del danno esistenziale e del danno morale.
Ricordiamo che tra i danni risarcibili devono essere ricondotti all’alveo dei pregiudizi economicamente valutabili, quali quindi il danno patrimoniale (danno emergente e lucro cessante) e non patrimoniale, il danno morale, biologico ed esistenziale). Tra i danni risarcibili, a titolo di esempio, vi possono rientrare:
***
La causa si è conclusa favorevolmente per il nostro cliente, il quale ha conseguito un risarcimento del danno di poco inferiore rispetto alle richieste iniziali, ma realizzando la massima soddisfazione di poter mettere finalmente la parola “fine” ad un’incresciosa vicenda che lo ha segnato soprattutto dal punto di vista emotivo, ed ottenendo ovviamente il divieto di pubblicazione dei propri dati.
