In tema di sanzioni amministrative per la violazione delle norme in materia di trattamento dei dati, l’utilizzo dei dati personali di terzi inconsapevoli presuppone la preliminare raccolta degli stessi. Legittima dunque la contestazione della violazione degli articolo 161 e 13 cod. privacy.
Il fatto. La Corte di Cassazione, con la sentenza numero 10740/19, depositata il 17 aprile, ha accolto il ricorso presentato dal Garante Privacy avverso la sentenza del Tribunale di Padova che aveva annullato l’ingiunzione per il pagamento della sanzione comminata ad una S.r.l. per violazione dell’articolo 161 cod. privacy ratione temporis applicabile . La Guardia di finanza aveva scoperto che la società aveva intestato centinaia di sim telefoniche a persone inconsapevoli ma il Tribunale aveva negato la possibilità di sanzionare la condotta posto che l’articolo 161 cod. privacy sanziona la sola ipotesi della raccolta di dati personali senza informativa e non il loro utilizzo. Uso e raccolta dei dati. Come sostiene il Garante Privacy nel ricorso, deve essere escluso ogni dubbio sul fatto che l’uso dei dati personali sia stato preceduto dall’assunzione di tali dati senza la previa informazione di cui all’articolo 13, quale presupposto non solo logico ma anche effettivo. Appare dunque logica la contestazione dell’avvenuta violazione degli articolo 161 e 13. Il Collegio sottolinea inoltre che, ai sensi dell’articolo 4 cod. privacy nel testo ratione temporis applicabile , «deve intendersi per “trattamento”, qualunque operazione o complesso di operazioni, effettuati anche senza l’ausilio di strumenti elettronici, concernenti la raccolta, la registrazione, l’organizzazione, la conservazione, la consultazione, l’elaborazione, la modificazione, la selezione, l’estrazione, il raffronto, l’utilizzo, l’interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati». La contestazione dunque della mancata informativa di cui all’articolo 13 non può ritenersi esclusa per il solo fatto che il dato sia stato utilizzato, posto che l’utilizzazione presuppone la raccolta dello stesso. Per questi motivi, la Corte cassa la sentenza impugnata con rinvio al Tribunale.
Corte di Cassazione, sez. II Civile, sentenza 7 novembre 2017 – 17 aprile 2019, numero 10740 Presidente Petitti – Relatore Correnti Fatto e diritto Il Garante per la protezione dei dati personali propone ricorso per cassazione avverso la sentenza del Tribunale di Padova 17.6.2014, che ha annullato l’ordinanza ingiunzione 145/2013 per il pagamento di Euro 54.000 per la violazione dell’articolo 161 del codice di protezione dei dati personali irrogata a Compu Games srl. Parte opponente aveva dedotto l’illegittimità sotto vari profili mentre il Garante aveva chiesto il rigetto del ricorso. La sentenza riferisce di un verbale di contestazione della Guardia di finanza su interi lotti di schede, anche nell’ordine di centinaia di sim, intestate a persone inconsapevoli e sostiene che erroneamente l’autorità amministrativa pretende di estendere analogicamente la portata della norma, che sanziona la sola ipotesi della raccolta senza informativa dei dati personali prevista dall’articolo 161 in relazione all’articolo 13, alla diversa e non prevista ipotesi di utilizzo degli stessi, in palese violazione della normativa. Il Garante denunzia 1 violazione del D.Lgs. numero 196 del 2003, articolo 4, 13 e 161, perché è pacifico che i dati personali non sono stati raccolti ed utilizzati con il consenso degli interessati l’articolo 13 impone l’obbligo di informativa e l’articolo 161 sanziona la violazione 2 omesso esame di fatto decisivo per la affermata non corrispondenza tra il fatto contestato e la fattispecie considerata senza considerare il verbale di contestazione. Resiste controparte con controricorso, illustrato da memoria. Il ricorso è fondato. Dal non contestato contenuto del verbale di contestazione elevato dalla Guardia di finanza emerge, infatti, che oggetto di contestazione alla società resistente è stata l’avvenuta intestazione a persone del tutto ignare di numerosissime schede telefoniche. Orbene, appare del tutto logica la contestazione dell’avvenuta violazione del D.Lgs. numero 196 del 2003, articolo 161 e 13, atteso che non è dubitabile che l’assunzione del dato personale, poi utilizzato per la intestazione delle schede telefoniche, sia avvenuta senza la previa informazione di cui all’articolo 13 citato. Nel caso di specie, dunque, la contestazione dell’indebito utilizzo dei dati personali ha per presupposto, non solo logico ma anche effettivo e oggetto di specifica contestazione, l’accertamento dell’avvenuta acquisizione di quei dati in difetto della obbligatoria informazione da parte del responsabile del trattamento non è contestato, infatti, che le schede siano state intestate a persone ignare di tale intestazione informazione che, ovviamente, era onere del responsabile dimostrare di avere fornito ai soggetti i cui dati sono stati acquisiti e poi utilizzati a loro insaputa. Non può, quindi, essere condiviso il ragionamento della sentenza impugnata, che muove dal diverso presupposto per cui la fase della raccolta dei dati personali non avrebbe formato oggetto di contestazione e che l’Autorità abbia pertanto applicato alla condotta di utilizzazione dei dati la sanzione prevista per la mancata informativa ai sensi dell’articolo 13. D’altra parte, ai sensi del D.Lgs. numero 196 del 2013, articolo 4, nel testo ratione temporis applicabile, deve intendersi per trattamento , qualunque operazione o complesso di operazioni, effettuati anche senza l’ausilio di strumenti elettronici, concernenti la raccolta, la registrazione, l’organizzazione, la conservazione, la consultazione, l’elaborazione, la modificazione, la selezione, l’estrazione, il raffronto, l’utilizzo, l’interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati, anche se non registrati in una banca di dati. In sostanza, la contestazione della mancata informativa di cui all’articolo 13 articolo 161, applicato nella specie , non può ritenersi esclusa per il fatto che il dato sia stato utilizzato, posto che l’utilizzazione presuppone la raccolta dello stesso nelle dovute forme stabilite dall’articolo 13, e quindi nel rispetto dell’obbligo della necessaria informativa. In conclusione, la sentenza impugnata va cassata in quanto ha supposto come non contestata la condotta prevista dall’articolo 13, nel mentre dal verbale di contestazione elevato dalla Guardia di Finanza emerge - secondo quanto riportato in ricorso dalla difesa erariale senza che sul punto la resistente abbia sollevato specifiche contestazioni - che oggetto della contestazione è stata la omessa o inidonea informativa ai seguenti soggetti interessati al trattamento di dati personali . Deve, quindi, escludersi che il Garante abbia fatto applicazione analogica del D.Lgs. numero 196 del 2003, articolo 13, nel mentre costituirà oggetto di accertamento nel giudizio di opposizione, sulla base dei motivi addotti dall’opponente, la sussistenza delle condotte contestate. La causa va quindi rinviata, per nuovo esame, al Tribunale di Padova, in persona di diverso magistrato, il quale provvederà anche alla regolamentazione delle spese del giudizio di legittimità. P.Q.M. La Corte accoglie il ricorso, cassa la sentenza impugnata e rinvia la causa, anche per le spese del giudizio di legittimità, al Tribunale di Padova in persoa di altro magistrato.