Con l’applicazione del regolamento europeo il prossimo 25 maggio si pongono anche nuovi quesiti sul piano risarcitorio relativo ai danni da parte dei cittadini, si pensi ai casi di data breach (c.d. violazione dei dati personali), diffusione illecita di dati, furti di identità. Spesso infatti si evidenziano solo gli aspetti relativi alle pesanti sanzioni amministrative previste dal regolamento, sebbene in quest’ultimo periodo sia sotto il riflettore anche gli aspetti penali relativi alla prospettata abrogazione del reato di trattamento illecito dei dati personali.
Queste recenti polemiche anche sollevate a livello istituzionale si riferiscono allo schema di decreto legislativo Gdpr approvato dal Consiglio di Ministri, dopo l’approvazione delle commissioni parlamentari e il parere del Garante privacy, darà attuazione dal regolamento europeo eliminando le disposizioni nazionali incompatibili, si tratta come è noto del decreto attuativo della legge di delega 163/2017, lo schema di decreto che prevede tra l’altro anche l’abrogazione del Codice della Privacy.
Tralasciando, altri aspetti, sebbene anch’essi rilevanti, ciò che più preme sottolineare in quest’articolo è la necessità di prevedere nel decreto legislativo un’inversione dell’onere della prova analoga a quella già prevista nel Codice della Privacy richiamando l’art. 2050 del codice civile che assimila il trattamento illecito alle attività pericolose.
Gdpr, perché abrogare il Codice Privacy è la scelta migliore e che cosa comporta
Perché invertire onere della prova
Questo articolo del codice civile richiamato espressamente nell’articolo 15 del Codice della Privacy consente al cittadino leso di ottenere il risarcimento del danno subito relativo alla lesione del suo diritto alla protezione dei dati personali, senza però dover dimostrare l’inadempienza del titolare del trattamento di qui l’importanza dell’inversione dell’onere della prova. Certamente, non sfugge a chi scrive che un’interpretazione rigorosa dovrebbe condurre comunque alla tesi della responsabilità semi-oggettiva (art. 2050 cc) dei soggetti passivi (titolare, contitolari, responsabili) in base all’art. 82 del regolamento europeo, ma l’esame della giurisprudenza in materia di questi 15 anni fa ritenere che sia necessario rafforzare tale disposizione europea a livello nazionale prevedendo espressamente l’inversione dell’onere della prova a carico del titolare e richiamare per esempio proprio l’art. 2050 del codice civile può essere la soluzione giusta.
Il pericolo non troppo remoto potrebbe essere infatti che interpretazione, non condivisibile, potrebbero potare ad interpretare l’art. 82 del regolamento come compatibile con la responsabilità per fatto illecito (art. 2043), in tal caso la strada per l’interessato sarebbe impervia e ancora più sarebbe assolutamente imprevedibile il risultato del processo dovendo l’interessato prova l’inadempimento e/o la condotta colposa del titolare, pertanto la maggior tutela dell’interessato richiesta dal Gdpr potrebbe frustrata proprio in contrasto con l’art.82 del Gdpr.
Si pensi infatti anche ai crescenti casi di criminalità informatica che ha visto una crescita esponenziale di furti di identità nei diversi settori, quello del credito e del settore bancario certamente sono i più colpiti ma non sono i soli. Così le vittime dei furti di identità, senza una tutela forte potrebbero trovarsi sforniti di tutela con un ritorno ad orientamenti giurisprudenziali più datati che vedevano fino al 2009 per esempio il correntista vittima di furto di identità quasi sempre soccombente.
In altri termini, si tratta di è un aspetto di non poco momento per il contenzioso in materia di protezione dei dati personali laddove la figura dell’interessato è spesso da considerarsi coincidente con la parte debole di un contratto (per scopi non riferibili all’attività imprenditoriale o professionale) e che pertanto si trova in situazione di forte svantaggio rispetto al titolare o al responsabile del trattamento. Nel testo del decreto, l’unica disposizione di interesse a tal riguardo sembrerebbe (condizionale d’obbligo dal momento che non vi è ancora un testo normativo definitivo) quella contenuta nell’art. 10 (testo provvisorio del decreto legislativo) che sanziona con l’inutilizzabilità dei dati la violazione della disciplina rilevante in materia. Il quadro che ne deriverebbe infatti allo stato attuale sembrerebbe penalizzare la responsabilità civile in favore della responsabilità amministrativa.
Peraltro, come accennato sopra quanto detto è certamente attenuato dal fatto che il regolamento europeo all’art. 82 in riferimento al diritto al risarcimento prevede espressamente la responsabile civile sia del titolare che del responsabile del trattamento, il primo con riguardo alla violazione degli obblighi previsti del regolamento ed il secondo per inosservanza dei propri obblighi e o delle istruzioni fornite dal titolare. Vi è da aggiungere anche specificamente il comma 3 dell’art. 82, in virtù del principio di responsabilizzane, prevede che tali soggetti sono esonerati dall’obbligo di risarcire i danni solo se dimostrano “che l’evento dannoso non gli è in alcun modo imputabile”.
In conclusione, gli orientamenti non certo monolitici della giurisprudenza italiana in ordine al riconoscimento di una responsabilità semi-oggettiva in capo al titolare fanno propendere per adottare una disposizione più specifica che indichi espressamente che l’interessato non sia tenuto a dimostrare l’inadempimento come parte debole del rapporto contrattuale, in vista anche e soprattutto del potere anche informativo dei grandi operatori in ambito digitale.
L’auspicio è pertanto che il testo normativo provvisorio venga integrato in sede di commissioni parlamentari o anche con il parere del Garante in modo da reintrodurre una tutela più specifica e di favore per l’interessato che avendo subito un danno anche rilevante non abbia i mezzi per dimostrare l’inadempimento del titolare o del responsabile, tale prova infatti richiede di frequente un’indagine molto difficile e costosa.
