REPUBBLICA ITALIANA IN NOME DEL POPOLO ITALIANO LA CORTE SUPREMA DI CASSAZIONE SEZIONE PRIMA CIVILE SENTENZA

Transcript

1 Corte di Cassazione, Sezione 1 civile Sentenza 8 aprile 2016, n Data udienza 25 febbraio 2016 REPUBBLICA ITALIANA IN NOME DEL POPOLO ITALIANO LA CORTE SUPREMA DI CASSAZIONE SEZIONE PRIMA CIVILE Composta dagli Ill.mi Sigg.ri Magistrati: Dott. SALVAGO Salvatore - Presidente Dott. CAMPANILE Pietro - Consigliere Dott. SAMBITO Maria Giovanna Concetta - Consigliere Dott. VALITUTTI Antonio - Consigliere Dott. LAMORGESE Antonio - rel. Consigliere ha pronunciato la seguente: sul ricorso 20720/2009 proposto da: SENTENZA GARANTE PER LA PROTEZIONE DEI DATI PERSONALI, in persona del Presidente pro tempore, domiciliato in ROMA, VIA DEI PORTOGHESI 12, presso l'avvocatura GENERALE DELLO STATO, che lo rappresenta e difende ope legis; - ricorrente - contro (OMISSIS), (c.f. (OMISSIS)), in persona del legale rappresentante pro tempore, elettivamente domiciliata in (OMISSIS), presso l'avvocato (OMISSIS), che la rappresenta e difende unitamente agli avvocati (OMISSIS), (OMISSIS), giusta procura in calce al controricorso; - controricorrente - contro (OMISSIS) S.R.L., (OMISSIS) S.P.A.; - intimate - avverso la sentenza n /2007 del TRIBUNALE di ROMA, depositata il 20/06/2008; udita la relazione della causa svolta nella pubblica udienza del 25/02/2016 dal Consigliere Dott. ANTONIO PIETRO LAMORGESE;

2 udito, per il ricorrente, l'avvocato (OMISSIS) che ha chiesto l'accoglimento del ricorso; udito, per la controricorrente, l'avvocato (OMISSIS) che ha chiesto il rigetto del ricorso; udito il P.M., in persona del Sostituto Procuratore Generale Dott. PRATIS Pierfelice, che ha concluso per l'accoglimento del ricorso. SVOLGIMENTO DEL PROCESSO Con ricorso presentato il 2 febbraio 2007, la (OMISSIS) ha proposto opposizione al provvedimento emesso dal Garante per la Protezione dei dati personali il 21 dicembre 2006 che le aveva intimato, unitamente alla (OMISSIS), di cancellare i dati relativi a talune iscrizioni di assegni bancari a carico della società (OMISSIS) presso l'archivio C.a.i. (Centrale di allarme interbancaria). La società (OMISSIS) aveva dedotto l'illegittimità delle iscrizioni che si riferivano ad assegni che facevano parte di un carnet della (OMISSIS), del quale aveva denunciato il furto, posti all'incasso da ignoti con sottoscrizione palesemente falsa, imputando alla banca di averli inviati al protesto omettendo i dovuti controlli. La (OMISSIS), opponendosi al provvedimento del Garante, ha eccepito il proprio difetto di legittimazione passiva, indicando negli istituti di credito "segnalanti" gli esclusivi destinatari dell'ordine di cancellazione/rettificazione dei dati, e l'infondatezza della domanda avanzata dalla società, trattandosi di un trattamento di dati personali eseguito da un soggetto pubblico per finalità di interesse pubblico, in ragione del fine di assicurare il regolare funzionamento dei sistemi di pagamento. Il Garante ha chiesto il rigetto dell'opposizione. Il Tribunale di Roma, con sentenza 20 giugno 2008, ha accolto l'opposizione e ha dichiarato il difetto di legittimazione passiva della (OMISSIS), compensando le spese. Ad avviso del Tribunale, le operazioni di concreto trattamento dei dati personali sono riservate agli istituti di credito segnalanti, mentre alla (OMISSIS), pur formalmente indicata quale titolare del trattamento, riservata una funzione meramente esecutiva, affidata in concessione a un terzo soggetto, di tenuta dell'archivio e di verifica della regolarità formale delle segnalazioni, senza alcun potere di iscrizione, aggiornamento, rettifica e cancellazione dei dati. Avverso questa sentenza il Garante per la Protezione dei dati personali ha proposto ricorso per cassazione affidato a un motivo, cui si è opposta la (OMISSIS). MOTIVI DELLA DECISIONE L'unico motivo del ricorso denuncia violazione e/o falsa applicazione della L. 15 dicembre 1990, n. 386, articoli 10 bis, commi 2 e 3; Decreto Ministeriale 7 novembre 2001, n. 458, articolo 1, commi 1 e 4, 9 e 11; L. 31 dicembre 1996, n. 675, articolo 1, comma 2, lettera d) - e), articoli 8 e 13, articolo 14, comma 1, lettera d), sostituiti, rispettivamente, dal Decreto Legislativo 30 giugno 2003, n. 196, articolo 4, comma 1, lettera f) - g), articolo 7, comma 3, lettera a) - b), articolo 8, comma 2, lettera d), e articolo 29, (cod. privacy); articolo 145, comma 1, articolo 147, comma 1, e articolo 150 cod. privacy. Esso è corredato dal seguente quesito di diritto al quale si chiede a questa Corte di rispondere in senso affermativo: "se la (OMISSIS) debba essere qualificata come titolare del trattamento dei dati personali contenuti nell'archivio degli assegni bancari e postali e delle carte di pagamento (Centrale di allarme interbancaria - C.a.i.), istituita dalla L. n. 386 del 1990, articolo 10 bis, e disciplinata dal Decreto Ministeriale n. 458 del 2001, in quanto ente presso il quale è istituito l'archivio, con la conseguenza che l'interessato al trattamento di un dato ivi raccolto (nella specie, società apparente traente di un assegno privo di provvista) può rivolgere, ai sensi

3 dell'articolo 147, comma 1, cod. privacy, nei confronti della (OMISSIS), quale titolare, il ricorso al Garante inteso ad ottenere l'ordine di rettifica o cancellazione dell'iscrizione nell'archivio di un dato inesatto, restando irrilevante, al fine di escludere la legittimazione passiva della (OMISSIS), la circostanza che il dato inesatto fosse stato inserito nell'archivio su segnalazione della banca emittente dell'assegno, la quale a sua volta va qualificata come titolare del trattamento del dato, in quanto soggetto presso cui è istituita la sezione remota dell'archivio, e la circostanza che la gestione dell'archivio, in particolare per quanto attiene al controllo dell'esattezza e completezza dei dati inseriti, sia stata delegata dalla (OMISSIS) ad altro soggetto (Società interbancaria di automazione) che assume riguardo al trattamento dei dati la mera qualità di responsabile". Il motivo è fondato. Questa Corte ha avuto occasione di precisare che, nella gestione della Centrale dei rischi, che svolge una funzione informativa sull'indebitamento della clientela verso le banche e gli intermediari, la (OMISSIS) non si sottrae alla disciplina generale in tema di trattamento dei dati personali, dettata dal cod. privacy, in quanto non riconducibile all'ipotesi derogatoria prevista dall'articolo 8, comma 2, lettera d), cod. privacy che esclude soltanto l'applicabilità della tutela amministrativa e di quella definita "alternativa alla tutela giurisdizionale", ma non anche di quella giurisdizionale prevista dall'articolo 152, e di quella dinanzi al Garante di cui all'articolo 141, lettera a) e b): è pertanto configurabile una responsabilità civile della (OMISSIS) in relazione ai danni cagionati dal predetto trattamento, ai sensi dell'articolo 11 cod. privacy, con la conseguenza che spetta alla medesima Banca la legittimazione passiva in ordine all'azione proposta dall'interessato per ottenere la rettifica o la cancellazione della segnalazione erroneamente effettuata, in ordine alla quale il giudice può provvedere, ai sensi dell'articolo 152, comma 12 (v. Cass. n. 7958/2009). Un analogo principio vale per l'archivio informatizzato degli assegni bancari e postali e delle carte di pagamento, istituito dalla L. n. 386 del 1990, articolo 10 bis, mod. dalla L. 30 dicembre 1999, n. 507, e disciplinato dal Decreto Ministeriale n. 458 del 2011, (cd. Centrale di allarme interbancaria), che ha lo scopo di informare gli operatori sui mancati pagamenti di assegni bancari tratti senza provvista. La decisione impugnata, secondo la quale la (OMISSIS) non potrebbe essere destinataria dell'esercizio dei diritti di cui all'articolo 7 cod. privacy e dei conseguenti provvedimenti del Garante, in quanto, pur formalmente indicata quale titolare, le sarebbe riservata "una funzione meramente esecutiva di tenuta dell'archivio e di verifica della regolarità formale delle segnalazioni, funzione affidata in concessione ad un terzo soggetto", non è condivisibile. Il citato articolo 10 bis dispone che la (OMISSIS), quale titolare del trattamento dei dati, può avvalersi di un ente esterno per la gestione dell'archivio, secondo quanto previsto dalla L. n. 675 del 1996, articolo 8, comma 2, e che "il soggetto interessato ha diritto ad accedere alle informazioni che lo riguardano contenute nell'archivio e di esercitare gli altri diritti previsti dalla L. 31 dicembre 1996, n. 675, articolo 13"; quest'ultima disposizione, al comma 1, lettera c), nn. 2 e 3, prevedeva il diritto dell'interessato "di ottenere, a cura del titolare o del responsabile, senza ritardo:. 2) la cancellazione dei dati trattati in violazione di legge... 3) l'aggiornamento, la rettificazione dei dati" (identiche disposizioni sono contenute nell'articolo 7, comma 3, lettera a - b, cod. privacy); la stessa L. n. 675 del 1996, articolo 1, comma 2, lettera e), indicava come "responsabile" "la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento di dati personali"; l'articolo 4, comma 1, cod. privacy indica come "titolare" "la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od

4 organismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati" (lettera f) e indica come "responsabile" "la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento di dati personali" (lettera g); la Decreto Ministeriale n. 458 del 2001, articolo 1, comma 4, dispone che "qualora la (OMISSIS) si avvalga di un ente esterno per la gestione dell'archivio, questi è tenuto a presentare annualmente una relazione sull'attività svolta, alla (OMISSIS) quale titolare del trattamento"; l'articolo 11, del medesimo Decreto Ministeriale dispone che "i diritti di accesso ai dati personali e gli altri diritti dell'interessato previsti dalla L. 31 dicembre 1996, n. 675, articolo 13, sono esercitati secondo le modalita' di cui al Decreto del Presidente della Repubblica 31 marzo 1998, n. 501, articolo 17, anche presso le sezioni remote dell'archivio. Gli aggiornamenti, le rettifiche, le integrazioni e le cancellazioni da effettuare in conseguenza dell'esercizio di tali diritti sono disposti su comunicazione del soggetto che ha trasmesso i dati ovvero d'intesa con esso"; l'articolo 29, comma 5, cod. privacy dispone che "il responsabile effettua il trattamento attenendosi alle istruzioni impartite dal titolare il quale, anche tramite verifiche periodiche, vigila sulla puntuale osservanza delle disposizioni di cui al comma 2, e delle proprie istruzioni" (in tal senso era già la L. n. 675 del 1996, articolo 8, comma 2); l'articolo 145, comma 1, e articolo 150, del codice dispongono che "i diritti di cui all'articolo 7 possono essere fatti valere con ricorso al Garante" e che "il Garante, se ritiene fondato il ricorso, ordina al titolare, con decisione motivata, la cessazione del comportamento illegittimo". Dalla predetta ricostruzione del quadro normativo, come puntualizzato dal ricorrente, risulta che non è possibile distinguere tra un "concreto trattamento dei dati", consistente nel loro esame, valutazione, inserimento in banca dati, aggiornamento ecc., e una qualità meramente formale di titolare del trattamento, limitata alla tenuta della banca dati e alla verifica della regolarità formale delle segnalazioni. Infatti, la qualità di titolare non può essere scissa in un livello concreto e in uno formale, essa implicando sempre il potere di prendere tutte le decisioni in ordine alle finalità e modalità del trattamento, compreso il potere di delegare le attività esecutive del trattamento ad altro soggetto, ma il fatto che le abbia delegate non gli toglie quella specifica qualità che, anzi, costituisce un presupposto per la preposizione del responsabile (v. articolo 4, lettera g, cod. privacy). Di conseguenza, il titolare - e non v'è dubbio che tale sia la (OMISSIS) (v. L. n. 386 del 1990, articolo 10 bis, comma 2) - rimane soggetto all'esercizio dei diritti di cui all'articolo 7 codice (di rettifica e cancellazione dei dati inesatti) da parte dell'interessato, com'è dimostrato dall'articolo 8 cod. privacy che prevede che "i diritti di cui all'articolo 7 sono esercitati con richiesta rivolta senza formalità al titolare o al responsabile", senza dunque esonerare il titolare nel caso in cui abbia preposto un responsabile. Pertanto, sebbene la (OMISSIS) possa "avvalersi di un ente esterno per la gestione dell'archivio" (nel caso in esame, la (OMISSIS), (OMISSIS)), tale ente assume la qualità di responsabile, soggetto al controllo della (OMISSIS), come previsto dal Decreto Ministeriale n. 458 del 2001, (cfr. articolo 1, comma 4), senza alcuna limitazione dei diritti dell'interessato che possono essere fatti valere nei confronti del titolare. Analogo discorso vale per gli istituti segnalanti, nei cui confronti la (OMISSIS) rimane contitolare del trattamento e destinataria della tutela riconosciuta all'interessato, come risulta anche dal Decreto Ministeriale n. 458 del 2001, articolo 1, comma 2, che dispone che "l'archivio è costituito dalla sezione centrale presso la (OMISSIS) e dalle sezioni remote presso le banche, gli uffici postali, gli intermediari finanziari"; è significativo che il dato si consideri iscritto solo se e dal momento in cui figura in modo identico nella sezione remota di provenienza e nella sezione centrale (infatti, a norma dell'articolo 9, comma 3, Decreto Ministeriale citato, "gli effetti dell'iscrizione si producono dal momento in cui i dati inseriti nella sezione centrale dell'archivio sono consultabili presso le sezioni remote"; v., inoltre, l'articolo

5 9, comma 1, che prevede un diretto coinvolgimento della (OMISSIS) nella verifica della completezza dei dati trasmessi nell'archivio). Ne consegue che titolari del trattamento sono (OMISSIS) la (OMISSIS) (per i dati contenuti nella sezione centrale) (OMISSIS) i singoli istituti segnalanti (per i dati inseriti nella sezione remota) e, quindi, contrariamente a quanto ritenuto dal Tribunale, il ricorso al Garante volto ad ottenere la rettifica o cancellazione di un dato inserito nel C.a.i. dev'essere proposto dall'interessato nei confronti della (OMISSIS), quale titolare del trattamento, oltre che nei confronti dell'istituto segnalante, che riveste la ti qualità di titolare in relazione alla sezione remota. In conclusione, si deve rispondere in senso affermativo al quesito di diritto formulato in ricorso, che è accolto; la sentenza impugnata è cassata con rinvio al Tribunale di Roma, in diversa composizione, anche per le spese. P.Q.M. La Corte, in accoglimento del ricorso, cassa la sentenza impugnata e rinvia al Tribunale di Roma, in diversa composizione, anche per le spese del presente giudizio. In caso di diffusione del presente provvedimento, omettere le generalità e gli altri dati identificativi.