In materia di violazione delle norme in materia di protezione dei dati personali, il giudice civile di legittimità, sulle caratteristiche che deve assumere il danno non patrimoniale per poterne statuire la risarcibilità, aveva evidenziato la necessità del requisito della gravità della lesione, nel senso che il giudice deve effettuare una ponderazione circa la serietà del danno, il quale non può ravvisarsi nella mera violazione delle disposizioni, ma deve essere valutato quale conseguenza a sé stante di dette violazioni.

la Corte di Cassazione ha dunque statuito il principio secondo cui il danno non patrimoniale risarcibile derivante dalla violazione della normativa in materia di protezione dei dati personali, pur determinando la lesione di un diritto fondamentale tutelato dagli artt. 2 e 21 Cost. e dall’art. 8 della CEDU, non può sottrarsi alla verifica della gravità della lesione e della serietà del danno, in quanto anche per tale diritto opera il bilanciamento con il principio di solidarietà ex art. 2 Cost., che si concretizza nella necessità di tollerare la lesione minima di tale diritto.

∠∠∠∠∠∠∠∠∠∠∠∠∠∠∠∠∠∠∠∠∠∠∠∠∠∠∠∠∠∠∠∠∠∠∠∠∠∠∠∠∠∠∠∠∠∠∠∠∠

Cass. civ. Sez. I, Ord., (ud. 16/07/2020) 17-09-2020, n. 19328

Svolgimento del processo

1. Con ricorso D.Lgs. n. 196 del 2003, ex art. 152 M.P.L. ha impugnato dinanzi al Tribunale di Latina il provvedimento del Garante per la protezione dei dati personali (di seguito: semplicemente Garante) n. 296 del 18/10/2012 con cui era stato respinto il reclamo da essa proposto per lamentare l'illecito trattamento di propri dati personali e sensibili commesso ai suoi danni dalla xxxxxxxxxxxx, xxxxxxxxxxxx, ex gestione xxxxxxxxxxxx, di Latina nel maggio-giugno del 2011. Secondo la ricorrente, la predetta xxxxxxxxxxxx aveva trattato dati personali riservati in modo illecito, disponendo che la comunicazione degli addebiti professionali mossi nei suoi confronti e contenuti nelle note dirigenziali n. 132 del 23/5/2011 e n. 149 del 3/6/2011, preliminari alla revoca della sua posizione di "capo area pensioni", avvenisse brevi manu e a vista, a mezzo di addetto alla segreteria non preposto al trattamento di dati personali, senza alcuna precauzione o cautela, come l'inserimento in un plico o in una busta, in violazione del D.Lgs. n. 196 del 2003, art. 11 del punto 5.3. delle "Linee guida in materia di trattamento dei dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico" del 14/6/2007 e delle norme xxxxxxxxxxxx, Protocollo relazioni sindacali, punto B.3. Inoltre la ricorrente aveva lamentato il fatto che la xxxxxxxxxxxx, in occasione di un incontro sindacale del 31/5/2011 per la discussione della bozza di un ordine di servizio per la riorganizzazione della sede, aveva dichiarato a verbale che l'ordine di servizio era stato preparato consultando alcuni soggetti coinvolti nella stesura del provvedimento, che erano quindi venuti a conoscenza di suoi dati personali e sensibili e di pesanti addebiti relativi alla sua professionalità. Tanto premesso, la ricorrente ha dedotto la nullità e l'ingiustizia del provvedimento del xxxxxxxxxxxx, chiedendone l'annullamento, l'accertamento dell'illegittimità del trattamento dei propri dati personali e la condanna dell' xxxxxxxxxxxx e dello stesso xxxxxxxxxxxx per la protezione dei dati personali al risarcimento dei danni. Si è costituito in giudizio l' xxxxxxxxxxxx, eccependo preliminarmente la tardività del ricorso e l'incompetenza del giudice adito, dovendosi ritenere competente il Tribunale di Roma, in relazione alla sede legale dell'Istituto titolare del trattamento e chiedendo nel merito il rigetto del ricorso. Si è costituito altresì il xxxxxxxxxxxx, eccependo il proprio difetto di legittimazione passiva e chiedendo la declaratoria di inammissibilità o il rigetto del ricorso nei propri confronti.

All'esito di istruttoria documentale e testimoniale, con sentenza del 9/9/2015, previa lettura del dispositivo all'udienza del 30/6/2015, il Tribunale di Latina ha annullato il provvedimento del Garante per la protezione dei dati personali n. 296 del 18/10/2012, ha accolto parzialmente la domanda risarcitoria, condannando l' xxxxxxxxxxxx a pagare a xxxxxxxxxxxx la somma di Euro 10.000,00, ha respinto la domanda risarcitoria nei confronti del xxxxxxxxxxxx e ha condannato l' xxxxxxxxxxxx a rifondere le spese di lite alla ricorrente, compensando le spese fra di essa e il xxxxxxxxxxxx.

2. Avverso la predetta sentenza, notificata in data 24/9/2015, con atto notificato con affidamento al servizio postale il 20/11/2015 ha proposto ricorso per cassazione l' xxxxxxxxxxxx, svolgendo quattro motivi. Con atto notificato il 30/12/2015 ha proposto controricorso xxxxxxxxxxxx chiedendo la dichiarazione di inammissibilità o il rigetto dell'avversaria impugnazione. Con atto notificato il 30/12/2015 ha proposto controricorso anche il xxxxxxxxxxxx per la protezione dei dati personali, proponendo altresì ricorso incidentale per la cassazione della sentenza impugnata sulla base di cinque motivi. Con atto notificato il 4/2/2016 la controricorrente xxxxxxxxxxxx ha proposto controricorso anche nei confronti del ricorso incidentale del xxxxxxxxxxxx per la protezione dei dati personali, chiedendone la dichiarazione di inammissibilità o il rigetto. Il ricorrente xxxxxxxxxxxx e la controricorrente M. hanno depositato memoria illustrativa.

Motivi della decisione

1. Con il primo motivo di ricorso, proposto ex art. 360 c.p.c., n. 2, l'Istituto ricorrente denuncia violazione delle norme sulla competenza e in particolare del D.Lgs. n. 196 del 2003, art. 152 e D.Lgs. n. 150 del 2011, art. 10 nonchè dell'art. 46 c.c. e art. 19 c.p.c., dei principi di cui all'art. 111 Cost. e del suo comma 2, in tema di relazione fra giusto processo e regole sulla competenza, in lettura integrata con l'art. 6 CEDU.

1.1. Il Tribunale di Latina ha ritenuto la propria competenza quale giudice del luogo di sede decentrata provinciale, dotata di direttore munito di poteri rappresentativi ex art. 19 c.p.c., comma 2. Secondo l'xxxxxxxx, la competenza attribuita al Tribunale del luogo ove risiede il titolare del trattamento dei dati ha invece natura funzionale e inderogabile e non era possibile invocare il D.Lgs. 30 marzo 2001, n. 165, art. 16, lett. f), privo di attitudine a modificare il criterio di determinazione dell'organo legittimato a rappresentare legalmente l'amministrazione.

Inoltre la ravvisata esigenza di avvicinare il giudice al luogo del trattamento dei dati si scontrava con il termine "residenza" contenuto nella norma, di carattere soggettivo e utilizzato in senso proprio.

1.2. La censura è infondata e il Tribunale di Latina ha ben giudicato ravvisando la propria competenza territoriale. Infatti, secondo il D.Lgs. 1 settembre 2011, n. 150, art. 10, comma 2, richiamato dal D.Lgs. n. 196 del 2003, art. 152 per le controversie in materia di applicazione delle disposizioni in materia di protezione dei dati personali è competente il tribunale del luogo in cui ha la sua "residenza" il titolare del trattamento dei dati, come definito dal D.Lgs. 30 giugno 2003, n. 196, art. 4. Il predetto, art. 4, alla lett. f), nel testo pro tempore applicabile prima delle modifiche apportate dal D.Lgs. 10 agosto 2018, n. 101, definisce "titolare" la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza.

Inoltre il D.Lgs. n. 196 del 2003, art. 28 precisa che quando il trattamento è effettuato da una persona giuridica, da una pubblica amministrazione o da un qualsiasi altro ente, associazione od organismo, titolare del trattamento è l'entità nel suo complesso o l'unità od organismo periferico che esercita un potere decisionale del tutto autonomo sulle finalità e sulle modalità del trattamento, ivi compreso il profilo della sicurezza.

1.3. Come correttamente osservato dal Tribunale latinense, il riferimento della legge al luogo di "residenza" del titolare del trattamento è evidentemente applicabile, in modo diretto e giuridicamente proprio, alla sola persona fisica. Quando il titolare del trattamento è una persona giuridica o una pubblica amministrazione si rende quindi necessaria l'interpretazione correttiva e integrativa, peraltro agevole, adottata nella sentenza impugnata, avuto riguardo al foro generale delle persone giuridiche, pubbliche e private, previsto dall'art. 19 c.p.c., secondo il quale, salvo che la legge disponga altrimenti, qualora sia convenuta una persona giuridica, è competente il giudice del luogo dove essa ha sede, nonchè il giudice del luogo dove essa ha uno stabilimento e un rappresentante autorizzato a stare in giudizio per l'oggetto della domanda.

Inoltre, ai sensi dell'art. 46 c.c. quando la legge fa dipendere determinati effetti dalla residenza o dal domicilio, per le persone giuridiche si ha riguardo al luogo in cui è stabilita la loro sede e nei casi in cui la sede stabilita ai sensi dell'art. 16 c.c. o la sede risultante dal registro sia diversa da quella effettiva, i terzi possono considerare come sede della persona giuridica anche questa ultima.

Per sede effettiva la giurisprudenza costante intende il luogo in cui hanno concreto svolgimento le attività amministrative e di direzione dell'ente ed ove operano i suoi organi amministrativi o i suoi dipendenti, ossia il luogo deputato o stabilmente utilizzato per l'accentramento dei rapporti interni e con i terzi in vista del compimento degli affari e della propulsione dell'attività dell'ente (Sez. L, n. 6021 del 12/03/2009).

1.4. Sulla base di queste complessive considerazioni e nella logica di individuare la regola di competenza in modo rispondente alle esigenze di tutela cui è finalizzato il Codice dei dati personali, deve quindi ritenersi che il luogo ove risiede il titolare del trattamento alluda a una nozione collegata ad una localizzazione "dinamica" e non "statica" del titolare, espressa quindi dal suo agire rilevante secondo il Codice.

Il luogo in cui risiede il titolare del trattamento si identifica pertanto in quello in cui il trattamento ha luogo in modo autonomo e quindi si manifesta in concreto. Questa Corte, allorchè ha escluso come manifestamente infondato il dubbio di legittimità costituzionale, in riferimento all'art. 24 Cost., del D.Lgs. n. 196 del 2003, art. 152, comma 2, ha ritenuto che la scelta di individuare il luogo di residenza del titolare del trattamento come foro territoriale esclusivo per le controversie in materia di protezione dei dati personali di cui al comma 1 rispondesse alla scelta di privilegiare l'esigenza di vicinanza del giudice al luogo di trattamento e diffusione dei dati, mediante non irragionevole esercizio della discrezionalità legislativa (Sez. 3, n. 12980 del 31/05/2006, Rv. 589931 - 01).

Inoltre, diversamente opinando, si perverrebbe al singolare risultato che una disciplina complessa come quella del D.Lgs. n. 196 del 2003, dettata in funzione dell'esigenza di tutela del soggetto come tale, sotto il profilo del luogo di svolgimento del processo e, quindi, della tutela giurisdizionale, avrebbe assunto come regola di radicazione della competenza un criterio diretto a tutelare precipuamente l'interesse del titolare del trattamento; infatti, è evidente che costringere il soggetto i cui dati sono trattati a litigare non già nel luogo in cui gli effetti del trattamento si evidenziano e, quindi rivelano la loro capacità lesiva, bensì nel luogo in cui risiede il titolare (magari lontanissimo dal luogo di emersione del trattamento) implicherebbe una grave ed irragionevole contraddizione con la ratio di protezione del soggetto leso.

1.5. Il Tribunale, con diversa e concorrente linea argomentativa, non ha mancato di precisare agli effetti di cui all'art. 19 c.p.c., comma 1, seconda parte, che secondo la giurisprudenza di legittimità l'estensione ad opera della L. 8 marzo 1985, n. 72 ai dirigenti degli uffici centrali e periferici degli enti pubblici economici della normativa di cui al D.P.R. 30 giugno 1972, n. 748 sullo stato giuridico dei dirigenti statali comporta l'applicazione ai primi della disposizione di cui al D.P.R. n. 748 del 1972, art. 2, comma 2 circa il potere di rappresentanza giuridica dell'amministrazione nei confronti dei terzi, con la conseguente legittimazione dei dirigenti provinciali degli enti previdenziali a promuovere e resistere alle liti, senza necessità di preventiva delega da parte del Presidente dell'Istituto (Sez. U, n. 11050 del 22/12/1994, Rv. 489357 - 01; Sez. L, n. 12262 del 20/08/2003, Rv. 566085 - 01; Sez. L, n. 12870 del 12/07/2004, Rv. 574471 - 01). Conclusione questa non scalfita dal nuovo contesto normativo (in seguito all'abrogazione dell'art. 2 e alle disposizioni del Capo 1 del D.P.R. n. 748 cit., e al D.Lgs. n. 29 del 1993, artt. 3 e 16 da parte del D.Lgs. n. 80 del 1998, art. 43 e successive modificazioni), atteso che il D.Lgs. 30 marzo 2001, n. 165, art. 4, comma 2, ha ribadito che ai dirigenti spetta l'adozione degli atti e provvedimenti amministrativi, compresi tutti gli atti che impegnano l'amministrazione verso l'esterno e il successivo art. 16, lett. f), ha confermato il potere dei medesimi dirigenti di promuovere e resistere alle liti, conciliare e transigere (Sez. L, n. 955 del 24/01/2012, Rv. 621250 - 01). Al riguardo l'Istituto ricorrente si limita a prospettare un diverso indirizzo giurisprudenziale (Sez. lav. 13/04/2012 n. 5885), che non appare pertinente poichè in quell'occasione era stata cassata la sentenza di merito che aveva escluso il potere di rappresentanza generale del rettore di una Università degli studi, attribuendo il potere di rappresentanza in giudizio al dirigente amministrativo dell'Ente.

1.6. E' infine il caso di ricordare che questa Corte, nel ritenere che in caso di dati personali nella disponibilità di un ufficio giudiziario (nella specie, relativi ad un procedimento disciplinare disposto nei confronti di un dipendente dell'ufficio), giudice territorialmente competente per l'azione di risarcimento per la loro indebita diffusione sia il tribunale del luogo di residenza del capo dell'ufficio giudiziario, che riveste la qualità di titolare del trattamento dei dati, ha avuto cura di precisare che tale luogo deve essere inteso in senso funzionale ed oggettivo, quale luogo di stanzialità e di stabile ubicazione e cioè quale luogo della sede dell'ufficio (Sez. 6 - 3, n. 22526 del 23/10/2014, Rv. 634404 - 01).

Da ultimo e per completezza, anche del Regolamento UE 27/04/2016 n. 679, art. 79, il comma 2 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali (regolamento generale sulla protezione dei dati - GDPR) comunque inapplicabile ratione temporis, a differenza della previgente Direttiva 24/10/1995 n. 46 1995/46/CE, prevede espressamente che le azioni nei confronti del titolare del trattamento o del responsabile del trattamento debbono essere promosse dinanzi alle autorità giurisdizionali dello Stato membro in cui il titolare del trattamento o il responsabile del trattamento ha uno stabilimento.

In alternativa, tali azioni possono essere promosse dinanzi alle autorità giurisdizionali dello Stato membro in cui l'interessato risiede abitualmente, salvo che il titolare del trattamento o il responsabile del trattamento sia un'autorità pubblica di uno Stato membro nell'esercizio dei pubblici poteri.

Il considerando 22 precisa che lo stabilimento implica l'effettivo e reale svolgimento di attività nel quadro di un'organizzazione stabile. A tale riguardo, non è determinante la forma giuridica assunta, sia essa una succursale o una filiale dotata di personalità giuridica. 2. Con il secondo motivo di ricorso, proposto ex art. 360 c.p.c., n. 3, l'Istituto ricorrente denuncia violazione o falsa applicazione di legge in relazione al D.Lgs. n. 196 del 2003, artt. 11, 18, 28, 30, 35 e 112 nonchè dei principi dell'art. 111 Cost., con riferimento in particolare al comma 7 in tema di controllo delle parti sulla corretta applicazione della legge ex art. 6 CEDU. 2.1. L'xxxxxxxxx critica in tal modo la decisione impugnata anche con riferimento alla ritenuta violazione della disciplina del trattamento dei dati personali da parte dell'Ente pubblico datore di lavoro della xxxxxxxxx, che sarebbe stata consumata per effetto, da un lato, delle modalità di comunicazione dell'ordine di servizio n. 2 del 2011, riguardante la revoca della sua posizione organizzativa di capo area pensioni, dall'altro, del coinvolgimento di soggetti chiamati alla gestione del documento.

Secondo il ricorrente, la gestione dei dati relativi alla sig.ra xxxxxxxxx (con particolare riferimento al mancato raggiungimento degli obiettivi prefissati dall'Ente), era avvenuta nel rispetto del D.Lgs. n. 196 del 2003, artt. 11 e 18 per scopi determinati e nello svolgimento delle funzioni istituzionali. L'affermazione che la materiale gestione dei documenti contenenti i dati personali sia stata affidata a soggetti non legittimati e privi di ruolo di responsabile e incaricato del trattamento è stata fondata su di un presupposto errato, ossia che presso la sede di Latina non fosse stata istituita la figura dell'incaricato e che tale carenza non fosse surrogabile dall'ordine di servizio n. 2/2009 che avrebbe semplicemente delineato i compiti amministrativi del personale di segreteria.

Come risultava invece da apposito elenco, trascritto nel ricorso "ai fini di completezza e autosufficienza", al punto 64 figurava il nome di xxxxxxxxxxx, ossia dell'addetta alla segreteria del dirigente che aveva provveduto materialmente alla consegna della nota come emergeva dalle dichiarazioni rese dal Direttore della Sede di Latina il 7/5/2012 in sede di ispezione della Guardia di Finanza. Inoltre dall'ordine di servizio n. 2 del 2009, depositato con il documento 13 dalla ricorrente, risultava che la predetta xxxxxxxxxxxx era preposta ad occuparsi della notifica e della conservazione di tutti gli atti della segreteria del personale e del dirigente ed era addetta all'archivio fascicoli del personale.

2.2. E' opportuno premettere che il motivo, al pari di quelli successivi, dedotti per violazione di legge ex art. 360 c.p.c., n. 3, contiene una clausola finale, rivolta a lamentare anche violazione dei principi dell'art. 111 Cost., con riferimento in particolare al comma 7 in tema di controllo delle parti sulla corretta applicazione della legge ex art. 6 CEDU. Si tratta peraltro di una sorta di formulazione di stile volta a rafforzare le censure svolte, ma priva di un autonomo contenuto, del resto neppur sviluppato nel ricorso sotto il profilo argomentativo.

2.3. Il ricorrente fonda la propria censura su alcuni documenti ossia l'elenco degli incaricati al trattamento dei dati trasmesso con missiva di posta elettronica dalla Direzione di Latina alla Direzione xxxxxxxxxxxxxxxxx del 18/9/2008 (doc. 6 del fascicolo di primo grado xxxxxxxxxxxxx), il verbale delle dichiarazioni rese dal Direttore della Sede di Latina in data 7/5/2012 alla Guardia di Finanza (doc. 3 del fascicolo di primo grado prodotto dall'xxxxxxxxxx con la memoria di costituzione) e infine l'ordine di servizio n. 2/2009 del 1/6/2009 relativo ai compiti assegnati al personale (allegato sub 13 al ricorso introduttivo). Il ricorso quindi contiene, come prescritto a pena di inammissibilità dall'art. 366 c.p.c., comma 1, n. 6, la specifica indicazione dei documenti sui quali si fondano le sue censure, documenti del resto depositati ex art. 372 c.p.c..

2.4. Il ricorso contiene non solo la sintesi dei passaggi rilevanti e l'integrale trascrizione dei documenti invocati, ma addirittura la loro incorporazione grafica nel testo: tecnica questa sovrabbondante e non raccomandabile, eppur priva di conseguenze sul piano dell'ammissibilità delle censure svolte. Secondo questa Corte, qualora il ricorrente, in sede di legittimità, denunci l'omessa valutazione di prove documentali, per il principio di autosufficienza ha l'onere non solo di trascrivere il testo integrale, o la parte significativa del documento nel ricorso per cassazione, al fine di consentire il vaglio di decisività, ma anche di specificare gli argomenti, deduzioni o istanze che, in relazione alla pretesa fatta valere, siano state formulate nel giudizio di merito, pena l'irrilevanza giuridica della sola produzione, che non assicura il contraddittorio e non comporta, quindi, per il giudice alcun onere di esame, e ancora meno di considerazione dei documenti stessi ai fini della decisione (Sez. 5, n. 13625 del 21/05/2019, Rv. 653996 - 01).

Sono infatti inammissibili, per violazione dell'art. 366 c.p.c., comma 1, n. 6, le censure fondate su atti e documenti del giudizio di merito qualora:

(a) il ricorrente si limiti a richiamare tali atti e documenti, senza riprodurli nel ricorso;

ovvero

(b) li abbia riprodotti ma senza fornire puntuali indicazioni necessarie alla loro individuazione con riferimento alla sequenza dello svolgimento del processo inerente alla documentazione, come pervenuta presso la Corte di cassazione, al fine di renderne possibile l'esame;

ovvero ancora

(c) non ne abbia precisato la collocazione nel fascicolo di ufficio o in quello di parte e la loro acquisizione o produzione in sede di giudizio di legittimità. (Sez. U, n. 34469 del 27/12/2019, Rv. 656488 - 01).

Pertanto in applicazione del principio di autosufficienza del ricorso per cassazione, qualora sia dedotta la omessa o viziata valutazione di documenti, deve procedersi ad un sintetico ma completo resoconto del loro contenuto, nonchè alla specifica indicazione del luogo in cui ne è avvenuta la produzione, al fine di consentire la verifica della fondatezza della doglianza sulla base del solo ricorso, senza necessità di fare rinvio od accesso a fonti esterne ad esso (Sez. 1, n. 5478 del 07/03/2018, Rv. 647747 - 01).

Non appare pertinente il tentativo della controricorrente di rinvenire una ragione di inammissibilità del ricorso dell'xxxxxxxxxxx nell'utilizzo della predetta tecnica con riferimento alla violazione dell'art. 366 c.p.c., n. 3 in ordine all'esposizione dei fatti rilevanti di causa mediante tecnica di cosiddetto "assemblaggio" (Sez. U, n. 5698 del 11/04/2012, Rv. 621813 - 01), dal momento che nella fattispecie l'xxxxxxxxx ha impiegato tale metodo di incorporazione grafica solo per produrre i documenti non adeguatamente valutati, dando tuttavia conto delle ragioni per cui ne invocava l'esame e non già per assolvere all'obbligo di sintetica esposizione dei fatti di causa.

2.4. Il predetto secondo motivo del ricorrente xxxxxxxx è stato dedotto ex art. 360, n. 3 per violazione e/o falsa applicazione di legge. A rigore, almeno quanto all'elenco dei soggetti abilitati al trattamento dati e forse anche quanto alle mansioni attribuite alla collaboratrice, non si evidenzia un errore nell'applicazione della legge e nemmeno nella sussunzione nella norma della fattispecie concreta, perchè la critica (come si dirà, fondatamente) l'accertamento del fatto a cui sono state applicate le norme: e cioè, diversamente da quanto sostenuto dal Tribunale, quanto alla sussistenza di un elenco dei soggetti autorizzati al trattamento dati e al fatto che la collaboratrice amministrativa incaricata della consegna della missiva aveva compiti precisi che implicavano la possibilità di conoscenza della contenuto della lettera. In realtà, a ben vedere, l'Istituto ricorrente lamenta, anche e soprattutto, un vizio di omesso esame di fatti decisivi, indica i documenti che li comprovavano, dice quando sono stati prodotti, ne trascrive integralmente il contenuto: quindi, almeno in parte, il motivo, pur non invocando l'art. 360, n. 5, deduce nella sostanza quel tipo di vizio. In applicazione del principio jura novit curia secondo cui "narra mihi factum, dabo tibi jus" compete a questa Corte la riqualificazione della la censura con il corretto nomen juris, avuto riguardo al suo contenuto sostanziale, come ritenuto da consolidata giurisprudenza di questa Corte, secondo la quale l'erronea intitolazione del motivo di ricorso per cassazione non osta alla sua sussunzione in altre fattispecie di cui all'art. 360 c.p.c., comma 1, nè determina l'inammissibilità del ricorso, se dall'articolazione del motivo sia chiaramente individuabile il tipo di vizio denunciato (Sez. 6 - 5, n. 26310 del 07/11/2017, Rv. 64419 01; Sez. 6 - 5, n. 25557 del 27/10/2017, Rv. 646414 - 01; Sez. 6 - 3, n. 4036 del 20/02/2014, Rv. 630239 - 01; nonchè Sez. U, n. 17931 del 24/07/2013, Rv. 627268 - 01).

…………………………………………………………………

…………………………………………………………………

4. Con il quarto motivo di ricorso principale, proposto ex art. 360 c.p.c., n. 3, il ricorrente denuncia violazione o falsa applicazione di legge in relazione al D.Lgs. n. 196 del 2003, art. 15 e dell'art. 2050 c.c. nonchè dei principi dell'art. 111 Cost., con riferimento in particolare al comma 7 in tema di controllo delle parti sulla corretta applicazione della legge ex art. 6 CEDU.

4.1. L'xxxxxxxxxxx sostiene che per potersi apprezzare una lesione ingiustificabile in tema di dati personali, suscettibile di risarcimento del danno non patrimoniale D.Lgs. n. 196 del 2003, ex art. 15 non è sufficiente la mera violazione ma occorre una violazione sensibilmente offensiva, in difetto di dimostrazione di un pregiudizio significativo sofferto in conseguenza. Nella fattispecie mancava in concreto la prova della gravità della lesione e della serietà del danno.

4.2. Il quarto motivo (erroneamente classificato quinto nel controricorso della sig.ra xxxxxxxxxxxxx) riguarda la risarcibilità del danno non patrimoniale da illecito trattamento dei dati personali ai sensi del D.Lgs. n. 196 del 2003, art. 15. L'orientamento giurisprudenziale più recente, condiviso anche dal Tribunale di Latina e conforme agli indirizzi di questa Corte (da ultimo Sez. 1, n. 207 del 8/1/2019), riconduce l'illecito trattamento di dati personali ad un'ipotesi di responsabilità oggettiva, anche alla luce dell'esplicito rinvio compiuto dalla legge (D.Lgs. n. 196 del 2003, art. 15 applicabile pro tempore) all'art. 2050 c.c..

Pertanto, il danneggiato che lamenti la lesione dell'interesse non patrimoniale può limitarsi a dimostrare l'esistenza del danno e del nesso di causalità rispetto al trattamento illecito, mentre spetta al danneggiante titolare del trattamento, eventualmente in solido col responsabile, dimostrare di aver adottato tutte le misure idonee per evitare il danno. Questo schema è parzialmente confermato anche nel nuovo GDPR (art. 82.3 GDPR) che, sulla base del principio di responsabilizzazione (accountability) addossa al titolare del trattamento dei dati - eventualmente in solido con il responsabile il rischio tipico di impresa (art. 2050 c.c.). Secondo la giurisprudenza di questa Corte, in tema di onere della prova, in caso di illecito trattamento dei dati personali, il pregiudizio non patrimoniale non è in re ipsa, ma deve essere allegato e provato da parte dell'attore, a pena di uno snaturamento delle funzioni della responsabilità aquiliana.

La posizione attorea è tuttavia agevolata dal regime più favorevole dell'onere della prova, descritto all'art. 2050 c.c., rispetto alla regola generale del danno aquiliano, nonchè dalla possibilità di dimostrare il danno anche solo tramite presunzioni semplici e dal risarcimento secondo equità (Sez. 1, 08/01/2019, n. 207; Sez. 1, 25/1/2017 n. 1931; Sez. 1, n. 10638 del 23/05/2016).

Per altro verso, il danno non patrimoniale risarcibile ai sensi del D.Lgs. 30 giugno 2003, n. 196, art. 15 pur determinato da una lesione del diritto fondamentale alla protezione dei dati personali tutelato dagli artt. 2 e 21 Cost. e dall'art. 8 della CEDU, non si sottrae alla verifica della gravità della lesione e della serietà del danno (quale perdita di natura personale effettivamente patita dall'interessato) alla stregua dei parametri generali scolpiti dalle sentenze gemelle delle Sezioni Unite n. 26972-26975 dell'11/11/2008; infatti anche per tale diritto opera il bilanciamento con il principio di solidarietà ex art. 2 Cost., di cui la regola di tolleranza della lesione minima costituisce intrinseco precipitato, sicchè determina una lesione ingiustificabile del diritto non la mera violazione delle prescrizioni poste dall'art. 11 del codice della privacy ma solo quella che ne offenda in modo sensibile la sua portata effettiva. Il relativo accertamento di fatto è tuttavia rimesso al giudice di merito e resta ancorato alla concretezza della vicenda materiale portata alla cognizione giudiziale ed al suo essere maturata in un dato contesto temporale e sociale (Sez. 3, n. 16133 del 15/07/2014, Rv. 632536 - 01; Sez. 3, n. 20615 del 13/10/2016, Rv. 642913 - 02; Sez.1, 8/1/2019 n. 227).

Il titolare del trattamento, per non incorrere in responsabilità deve dimostrare che l'evento dannoso non gli è in alcun modo imputabile e non può limitarsi alla prova negativa di non aver violato le norme (e quindi di essersi conformato ai precetti), ma occorre la prova positiva di aver valutato autonomamente il rischio di impresa, purchè tipico, cioè prevedibile, e attuato le misure organizzative e di sicurezza tali da eliminare o ridurre il rischio connesso alla sua attività. In ogni caso, come lo stesso Istituto ricorrente riconosce, l'accertamento del danno non patrimoniale è un accertamento di fatto, "rimesso al giudice di merito e resta ancorato alla concretezza della vicenda materiale portata alla cognizione giudiziale ed al suo essere maturata in un dato contesto temporale e sociale" (cfr. sent.16133/2014, citata).

4.3. La pronuncia impugnata non si è sottratta alla corretta applicazione dei principi illustrati, richiedendo l'allegazione e la prova da parte della parte danneggiata del danno-conseguenza, e ribadendo che il danno risarcibile non si identificava con la lesione dell'interesse tutelato dall'ordinamento ma con le sue conseguenze causali. Ciò ha condotto il Tribunale ad escludere un danno biologico per lesione dell'integrità psico-fisica ma a ravvisare un danno non patrimoniale da sofferenza morale, pure dedotto da parte attrice e ritenuto dimostrato sulla base di un ragionamento presuntivo fondato su regole di esperienza.

Se è pur vero che il Tribunale sembra aver ritenuto operante una presunzione di sussistenza della sofferenza morale in caso di indebito trattamento dei dati personali, in apparente contraddizione con i principi generali in tema di riparto dell'onere probatorio dapprima richiamati, il Giudice latinense non si è comunque sottratto a una valutazione in concreto, allorchè, a pagina 34, ha fatto leva sulla massima di esperienza secondo cui dalla diffusione di valutazioni negative relative al proprio operato professionale normalmente scaturisce sofferenza morale dell'interessato, salvo poi circoscriverne l'entità in concreto sotto il profilo quantitativo considerando, da un lato, l'assenza di prova di elementi di personalizzazione specifici del pregiudizio e, dall'altro, il carattere limitato dell'ambito soggettivo di divulgazione ristretto all'ufficio ove la xxxxxxxxxx prestava servizio. Con la stessa valutazione, non sindacabile in sede di legittimità, il Tribunale ha escluso, implicitamente ma inequivocabilmente, con l'apprezzamento di un pregiudizio di media entità, che si fosse in presenza di una lesione minima e bagatellare dei diritti della personalità dell'interessata e di un pregiudizio irrisorio, e pertanto da ritenersi tollerabile alla luce del principio di solidarietà sociale.

4.4. Naturalmente anche l'entità del pregiudizio dovrà essere rivista alla luce dell'accoglimento del secondo motivo e del possibile ridimensionamento oggettivo dell'illecito