Con ordinanza n. 17665/2018 del 4 maggio 2018 (dep. il 05/07/2018, proc. n. 27100/2015, ) la Corte di Cassazione Sezione II Civile si è pronunciata in tema di privacy, più precisamente in relazione ad una controversia sulla necessarietà o meno del consenso esplicito ai fini della raccolta dei dati personali tramite sito internet riguardanti anche gli indirizzi mails.
Si badi bene, tale ordinanza, emessa in data 4 maggio 2018, rappresenta uno degli ultimi provvedimenti normativi prima dell’entrata in vigore del Reg. UE n. 679/2016 (c.d. GDPR), in vigore dal 25 maggio 2018.
IL CASO CONCRETO.
La vicenda trae origine nel 2011, allorquando la Guardia di Finanza, nel corso di un’attività ispettiva, constatava che la società in questione effettuasse il trattamento dei dati personali dei clienti mediante la compilazione di un modulo contenente i seguenti dati: il cognome, il nome e l’indirizzo mail, conservando tali dati in un archivio informatico facente capo al sito internet societario. Ogni soggetto interessato da tale raccolta di dati, a cui non veniva richiesto uno specifico ed esplicito consenso al trattamento dei dati personali, diveniva un potenziale destinatario di “newsletters” al segnalato indirizzo e-mail.
Ritenendo che il titolare del trattamento dei dati non avesse fornito previamente all’interessato adeguata informativa ai sensi dell’art. 13 del d. lgs. n. 196/2003, gli operanti irrogavano una sanzione amministrativa pecuniaria (ordinanza-ingiunzione).
La società ricorrente opponeva il fatto che le persone interessate avessero fornito i loro dati personali volontariamente e spontaneamente, con la formazione di un consenso implicito al trattamento dei dati personali, mentre il Garante della Privacy, costituitosi in giudizio, chiedeva il rigetto delle istanze della ricorrente. Il Tribunale territorialmente competente (Pavia) rigettava l’opposizione della ricorrente, la quale ricorreva per Cassazione deducendo “la violazione ed errata/falsa applicazione degli artt. 4, 13 e 16 d. lgs. n. 196/2003 (cd. Codice privacy), con riferimento all’art. 360, co. 1, nn. 3 e 5, c.p.c., per aver il Tribunale omesso di valutare la distinzione legale tra dati “personali” e dati meramente “identificativi”, non tenendo conto, per l’effetto, che solo per i primi erano richiesti gli adempimenti previsti dall’art. 13.”
LA DECISIONE DELLA SUPREMA CORTE.
Con l’ordinanza n. 17665/2018 la Corte di Cassazione ha rigettato le istanze della ricorrente statuendo in particolare che la definizione di “dato personale” sia un concetto molto ampio (e diverso da quello di “dato identificativo“, che ne è una specie della categoria generale), in quanto ricomprensivo di qualsiasi qualsiasi informazione che consenta di identificare una persona fisica, tra cui senz’altro il nome, il cognome ma anche l”indirizzo di posta elettronica.
Mentre il dato personale è quel dato che consente di identificare, anche indirettamente una determinata persona fisica, i “dati identificativi” sono dati personali che permettono tale identificazione direttamente. In tale prospettiva si è infatti chiarito che (cfr. Cass. n. 1593/2013) ai sensi dell’art. 4 del d. lgs. 30 giugno 2003, n. 196, “dato personale”, oggetto di tutela, è “qualunque informazione” relativa a “persona fisica, giuridica, ente o associazione”, che siano “identificati o identificabili”, anche “indirettamente mediante riferimento a qualsiasi altra informazione”.
La Corte Suprema ha ricompreso nella propria giurisprudenza anche i dati personali presenti nelle banche dati costituite sulla base degli elenchi telefonici pubblici, per la cui utilizzazione è prescritta la previa informativa di cui all’art. 13 del d.lgs. n. 196 del 2003 per l’acquisizione del consenso degli interessati all’utilizzazione dei dati di loro pertinenza (cfr. (Cass. n. 17143/2016; Cass. n. 14326/2014, sulla necessità dell’informativa preventiva, per l’invio di un fax promozionale ad un numero estratto dagli elenchi telefonici).
Pertanto, la riconduzione nella categoria di dati personali ex art. 4 d. lgs. n. 196/2003 per cui era necessaria la preventiva informativa ex art. 13 del codice privacy predetto risulta fondata.
Scarica in pdf il testo del provvedimento: cass. civ., sez. II, ord. n. 17665-2018