Diffusione illecita dei dati personali: quando la violazione della privacy si risarcisce

In sintesi. Un’informazione che riguarda una persona – un debito, una condizione di salute, un procedimento, l’indirizzo di casa – arriva a chi non doveva conoscerla: il datore di lavoro, i vicini, i colleghi, chiunque visiti una pagina internet. L’ordinamento distingue la comunicazione, cioè la conoscenza data a soggetti determinati, dalla diffusione, cioè la conoscenza data a soggetti indeterminati, e richiede per entrambe una base giuridica e il rispetto del principio di minimizzazione. Quando questi presupposti mancano il trattamento è illecito, e l’art. 82 del regolamento (UE) 2016/679 riconosce il diritto al risarcimento del danno materiale o immateriale. Il punto decisivo è però un altro: dopo la sentenza della Corte di giustizia dell’Unione europea del 4 maggio 2023, causa C-300/21, è chiaro che la sola violazione non basta. Occorrono un danno effettivo e il nesso causale; il danno va allegato e provato, anche per presunzioni, ma non deve superare alcuna soglia minima di gravità. Sul versante della colpa, invece, la prova è a carico di chi ha trattato i dati, che si libera solo dimostrando che l’evento non gli è in alcun modo imputabile. Per far valere questi diritti ci sono due strade alternative – il reclamo al Garante e il ricorso al giudice ordinario – e solo la seconda porta al risarcimento.

Che cosa si intende per diffusione illecita dei dati personali?

Risposta diretta. Si ha diffusione illecita quando dati personali vengono resi conoscibili a un numero indeterminato di persone senza una base giuridica che lo consenta, oppure in misura eccedente rispetto allo scopo per cui erano stati raccolti. La definizione di diffusione è nell’art. 2-ter, comma 4, del d.lgs. 196/2003; i presupposti di liceità sono quelli del regolamento (UE) 2016/679.

Il dato personale, per il regolamento europeo, è qualsiasi informazione riguardante una persona fisica identificata o identificabile. Non serve che l’informazione sia intima o imbarazzante: il nome associato a un indirizzo, a un debito, a una sanzione disciplinare o a un esito di concorso è già un dato personale, e il suo trattamento – che comprende anche la comunicazione e la diffusione – deve rispettare le regole del regolamento.

Comunicazione e diffusione

Il Codice in materia di protezione dei dati personali, all’art. 2-ter, comma 4, fornisce due definizioni che conviene tenere distinte. La comunicazione è il dare conoscenza dei dati personali a uno o più soggetti determinati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione. La diffusione è il dare conoscenza dei dati a soggetti indeterminati, con le stesse modalità.

La differenza non è soltanto terminologica. La comunicazione ha un perimetro: si sa chi ha ricevuto il dato, e il danno si misura su quella cerchia. La diffusione ne è priva: il dato pubblicato su un sito, esposto in un luogo accessibile, condiviso in un gruppo aperto sfugge al controllo dell’interessato, che non sa – e spesso non potrà mai sapere – chi lo ha visto, copiato o conservato. Per questo la diffusione è la forma più invasiva di trattamento, e quella che il legislatore circonda di cautele maggiori.

Un’avvertenza pratica: nel linguaggio comune si parla di “diffusione” anche quando il dato è stato inviato a una sola persona, per esempio al datore di lavoro. In senso tecnico si tratta di comunicazione, ma ciò non la rende meno illecita: se manca la base giuridica, anche la comunicazione a un solo destinatario è un trattamento illecito, e può produrre un danno anche serio.

Quando manca la base giuridica

Ogni trattamento deve fondarsi su una delle basi giuridiche dell’art. 6 del regolamento: il consenso, l’esecuzione di un contratto, un obbligo di legge, il compito di interesse pubblico, il legittimo interesse, e le altre ipotesi previste. Chi comunica o diffonde un dato deve poter indicare quale di queste basi lo autorizza a quel destinatario e in quella forma.

Per i soggetti pubblici la regola è ancora più stringente. L’art. 2-ter del d.lgs. 196/2003 stabilisce che la base giuridica per i trattamenti svolti per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri è costituita da una norma di legge o di regolamento o da atti amministrativi generali, e il comma 3 ammette la diffusione e la comunicazione dei dati a soggetti che intendono trattarli per altre finalità solo se previste da quelle fonti o, nei limiti indicati dalla norma, se necessarie per l’esecuzione del compito. Un’amministrazione non può quindi rendere pubblico un dato perché lo ritiene opportuno: deve esistere la norma che lo consente.

La minimizzazione: anche il dato lecito può essere eccessivo

Anche quando una base giuridica esiste, il trattamento deve rispettare il principio di minimizzazione dell’art. 5, paragrafo 1, lettera c), del regolamento: i dati devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità. È il principio che si viola più spesso senza accorgersene.

L’obbligo di pubblicare un atto non autorizza a pubblicarne ogni allegato; l’esigenza di informare un soggetto di un inadempimento non autorizza a informarne altri; la necessità di documentare un fatto non autorizza a riportare la situazione familiare o sanitaria della persona. In tutti questi casi il trattamento è lecito nel suo nucleo e illecito nella parte eccedente, e il danno si produce proprio in quella parte.

I dati che non possono mai essere diffusi

Per alcune categorie di dati il legislatore ha stabilito un divieto netto. L’art. 2-septies, comma 8, del d.lgs. 196/2003 dispone che i dati genetici, biometrici e relativi alla salute non possono essere diffusi. Non si tratta di una valutazione caso per caso: la diffusione di questi dati è vietata in quanto tale, qualunque sia la finalità del trattamento a monte.

Il divieto riguarda anche le informazioni che rivelano indirettamente lo stato di salute: l’indicazione di un’assenza per una determinata patologia, la fruizione di benefici collegati a una condizione di invalidità, l’inserimento in una graduatoria riservata a persone con disabilità accompagnata da dettagli sanitari. Proprio perché il divieto è assoluto, la loro diffusione è una delle ipotesi in cui la prova dell’illecito è più agevole; resta però da provare, come si vedrà, il danno.

Regole particolari valgono anche per i dati relativi a condanne penali e reati, il cui trattamento è ammesso solo sotto il controllo dell’autorità pubblica o se autorizzato da una norma (art. 10 del regolamento).

Quali sono i casi più frequenti?

Risposta diretta. Le ipotesi che ricorrono più spesso sono quattro: la comunicazione di un debito o di un inadempimento a soggetti estranei al rapporto, a partire dal datore di lavoro; l’esposizione di dati negli spazi condominiali; la pubblicazione di atti contenenti dati personali da parte di una pubblica amministrazione; la perdita o l’accesso abusivo ai dati a seguito di una violazione di sicurezza. Lo schema giuridico è lo stesso, cambia il contesto della prova.

Il debito comunicato a chi non doveva saperlo

Chi vanta un credito ha il diritto di chiederne il pagamento al debitore, ma non quello di renderne nota la condizione ad altri. È il principio affermato da Cass. civ., sez. I, ord., 2 luglio 2021, n. 18783, in una vicenda in cui un’amministrazione aveva inviato all’indirizzo di posta elettronica certificata dell’istituto scolastico presso cui la persona prestava servizio alcune comunicazioni relative a un contenzioso nel quale era rimasta soccombente e al recupero delle spese: il dirigente e il personale addetto alla ricezione della corrispondenza avevano così avuto accesso a informazioni che non li riguardavano. La Corte ha ricondotto la vicenda alla violazione del diritto alla riservatezza, che si produce quando il creditore comunica a terzi l’inadempimento o utilizza modalità che lo rendono percepibile a osservatori esterni.

La lezione pratica è che non conta soltanto il contenuto della comunicazione, ma anche il canale. Un sollecito corretto nel testo, recapitato a un indirizzo condiviso, a un ufficio o a una casella letta da più persone, espone il dato a destinatari estranei. Il tema, con le sue varianti, è approfondito nella guida dedicata al moroso esposto in condominio e segnalato al datore di lavoro, dello stesso percorso.

La bacheca e l’assemblea di condominio

Il secondo contesto è lo spazio condominiale. La normativa impone all’amministratore di agire per la riscossione dei contributi e gli consente di comunicare i dati dei condomini morosi ai creditori non soddisfatti che ne facciano richiesta (art. 63 delle disposizioni di attuazione del codice civile), ma non autorizza l’esposizione dei nominativi in un luogo accessibile a chiunque, come la bacheca dell’androne. È il passaggio dal destinatario legittimo alla generalità delle persone che transitano nell’edificio a rendere illecito il trattamento: un orientamento che il Garante per la protezione dei dati personali ha espresso a più riprese.

La pubblicazione da parte della pubblica amministrazione

Il terzo contesto è quello pubblico: l’albo pretorio, la sezione del sito dedicata alla trasparenza, gli atti degli organi collegiali caricati online. La pubblicazione degli atti risponde a finalità di trasparenza e di conoscibilità legale, ha una durata definita e un contenuto che deve essere limitato a quanto necessario. Oltre quel perimetro – dati eccedenti, dati sanitari, pubblicazione protratta oltre il termine – il trattamento perde la base di legittimità.

Un caso molto vicino a quelli che si incontrano in Italia è stato deciso dalla Corte di giustizia con la sentenza 14 dicembre 2023, causa C-456/22, VX e AT contro Gemeinde Ummendorf. Un Comune aveva pubblicato sulla home page del proprio sito l’ordine del giorno di una seduta del consiglio comunale e una sentenza amministrativa che riportavano nome, cognome e indirizzo di due persone; i documenti erano rimasti online per pochi giorni. La Corte ha affermato che la breve durata della pubblicazione non esclude, di per sé, l’esistenza di un danno risarcibile. Il tema è sviluppato nella guida dedicata all’albo pretorio del percorso.

La violazione di sicurezza

Il quarto contesto è diverso, perché la diffusione non è voluta: è l’effetto di un attacco informatico, di un errore di configurazione, di uno smarrimento. Il regolamento chiama questa situazione violazione dei dati personali e impone al titolare di notificarla al Garante e, quando presenta un rischio elevato per i diritti delle persone, di comunicarla agli interessati (artt. 33 e 34).

Il fatto che l’accesso ai dati sia opera di terzi non esclude la responsabilità del titolare: la domanda, in questi casi, è se le misure tecniche e organizzative adottate fossero adeguate. Su questo terreno si colloca la sentenza 14 dicembre 2023, causa C-340/21, VB contro Natsionalna agentsia za prihodite, resa a proposito di un attacco ai sistemi informatici dell’amministrazione finanziaria bulgara, di cui si dirà a proposito del danno.

Il privato che diffonde dati altrui

La diffusione può venire anche da un privato: la persona che pubblica online il documento di un’altra, la chat di gruppo in cui si inoltra la fotografia di un certificato, il post che rende noto un debito. Il regolamento non si applica ai trattamenti effettuati da una persona fisica per l’esercizio di attività a carattere esclusivamente personale o domestico (art. 2, paragrafo 2, lettera c), ma la pubblicazione su internet accessibile a un numero indeterminato di persone esce da questo ambito. Quando alla diffusione si accompagna un’offesa, a questi profili si affianca la diffamazione, trattata nella guida sui commenti diffamatori e le recensioni denigranti online.

La violazione basta per ottenere il risarcimento?

Risposta diretta. No. La Corte di giustizia dell’Unione europea, con la sentenza 4 maggio 2023, causa C-300/21, UI contro Osterreichische Post AG, ha stabilito che la mera violazione delle disposizioni del regolamento non è sufficiente a conferire un diritto al risarcimento. Occorrono tre elementi cumulativi: la violazione, un danno materiale o immateriale e il nesso di causalità fra l’una e l’altro.

L’art. 82, paragrafo 1, del regolamento riconosce a chiunque subisca un danno materiale o immateriale causato da una violazione il diritto di ottenere il risarcimento dal titolare o dal responsabile del trattamento. La formula, letta con attenzione, contiene già la risposta: il diritto nasce dal danno causato dalla violazione, non dalla violazione in quanto tale. La Corte lo ha reso esplicito, chiudendo la discussione sull’esistenza di un danno “automatico” da violazione della privacy.

È il primo dei due errori che si commettono in questa materia: presentare la domanda come se bastasse dimostrare che il dato è stato diffuso illecitamente. Chi si ferma lì rischia il rigetto anche a fronte di una violazione evidente. La giurisprudenza interna, del resto, era già arrivata alla stessa conclusione per la lesione dei diritti della personalità: secondo Cass. civ., sez. III, ord., 26 ottobre 2017, n. 25420, il danno non è in re ipsa, perché il danno risarcibile si identifica non con la lesione dell’interesse tutelato ma con le sue conseguenze, che devono essere allegate e provate, anche attraverso presunzioni.

Nessuna soglia minima di gravità

La stessa sentenza C-300/21 ha affermato il principio complementare: l’art. 82 osta a una norma o a una prassi nazionale che subordini il risarcimento del danno immateriale al raggiungimento di un certo grado di gravità. Il danno deve esistere ed essere provato, ma non deve essere “serio” o “rilevante” per essere risarcibile.

La sentenza C-456/22 sul Comune di Ummendorf ha confermato il principio proprio in un caso di pubblicazione online, escludendo la soglia de minimis e precisando, nello stesso tempo, che l’interessato deve dimostrare che la violazione gli ha causato un danno distinto dalla semplice violazione. I due principi vanno tenuti insieme: nessuna soglia di gravità, ma nessun automatismo. Ne deriva che un danno modesto, se provato, è risarcibile; una violazione grave, se il danno non è provato, non lo è.

Che cosa deve provare chi chiede il risarcimento?

Risposta diretta. Chi agisce deve provare la violazione (il trattamento illecito), il danno subito e il nesso causale. Non deve invece provare la colpa del titolare: l’art. 82, paragrafo 3, del regolamento esonera il titolare o il responsabile solo se dimostra che l’evento dannoso non gli è in alcun modo imputabile.

La violazione

La prova della violazione è, di regola, la parte meno difficile. Consiste nel dimostrare che il dato è stato comunicato o diffuso, a chi e in quale forma, e che mancava una base giuridica o che il trattamento eccedeva lo scopo. Serve documentare il fatto: la copia della pagina pubblicata con data e indirizzo, la fotografia della bacheca, la comunicazione ricevuta dal terzo, la notifica della violazione di sicurezza. Nei contenuti online, che possono essere rimossi da un momento all’altro, conviene acquisire la prova subito e, nei casi di maggiore rilievo, in forma certificata.

Un aiuto importante può venire da un provvedimento del Garante che abbia già accertato l’illiceità del trattamento. Non vincola il giudice civile, ma costituisce un elemento di prova di notevole peso.

Il danno immateriale

È il cuore della causa. Il danno immateriale da trattamento illecito dei dati consiste nelle conseguenze negative che la persona ha subito: il turbamento, l’imbarazzo, l’ansia, il timore per l’uso che altri potranno fare delle informazioni, il deterioramento dei rapporti con chi ha appreso il dato, la perdita di considerazione nell’ambiente di lavoro o di vita.

Sul timore la Corte di giustizia ha fornito un’indicazione rilevante. Con la sentenza C-340/21 ha affermato che il timore di un possibile uso abusivo dei dati personali da parte di terzi, che l’interessato nutre a seguito di una violazione del regolamento, può di per sé costituire un danno immateriale, senza che occorra dimostrare che un uso abusivo si sia già verificato. Il giudice deve però verificare che quel timore sia fondato nelle circostanze concrete: non basta affermarlo, occorre allegare perché è ragionevole nutrirlo.

La prova per presunzioni

Il danno immateriale raramente si prova in modo diretto, e il ricorso alle presunzioni è la regola. Gli elementi da cui il giudice può desumerlo sono diversi e vanno allegati con precisione.

Il primo è la natura del dato: la diffusione di un’informazione sanitaria o di una situazione debitoria incide in modo diverso dalla diffusione di un indirizzo di posta elettronica. Il secondo è la platea raggiunta: il numero delle persone che hanno avuto accesso al dato e, soprattutto, il loro rapporto con l’interessato, perché il datore di lavoro, i colleghi o i vicini di casa non sono lettori qualsiasi. Il terzo è la durata della diffusione e la possibilità che il dato sia stato copiato o indicizzato. Il quarto è il contesto: la condizione della persona, le conseguenze visibili sui rapporti, le reazioni di chi ha appreso l’informazione.

Accanto a questi elementi possono avere rilievo le testimonianze di chi ha constatato il cambiamento nei rapporti o nello stato d’animo della persona, la documentazione di eventuali conseguenze sulla salute e le iniziative prese per limitare il pregiudizio, come le richieste di rimozione. La domanda che si limita a descrivere la violazione, senza allegare nessuno di questi elementi, è la domanda che si perde.

Il danno materiale

Quando la diffusione ha prodotto conseguenze economiche – la perdita di un incarico, di un rapporto commerciale, di un’opportunità di lavoro, le spese sostenute per rimediare – si aggiunge il danno materiale, che va provato nella sua esistenza, nel suo ammontare e nel collegamento causale con la diffusione del dato. Si tratta di una prova più rigorosa, perché occorre escludere che la conseguenza economica dipenda da altre cause.

La colpa: l’onere si rovescia

Sul piano della responsabilità, invece, la posizione dell’interessato è favorevole. L’art. 82, paragrafo 3, del regolamento dispone che il titolare o il responsabile del trattamento è esonerato dalla responsabilità se dimostra che l’evento dannoso non gli è in alcun modo imputabile. Non è l’interessato a dover dimostrare la negligenza di chi ha diffuso il dato: è quest’ultimo a dover dimostrare la propria estraneità.

L’impostazione è coerente con quella tradizionale dell’ordinamento interno, che ha costruito la responsabilità per il trattamento dei dati sul modello dell’art. 2050 del codice civile, relativo alle attività pericolose: chi le esercita risponde del danno se non prova di avere adottato tutte le misure idonee a evitarlo. Nelle violazioni di sicurezza la prova liberatoria riguarda l’adeguatezza concreta delle misure tecniche e organizzative; nella diffusione volontaria – la pubblicazione, la comunicazione al terzo – è di regola molto difficile da fornire, perché la condotta è direttamente riferibile al titolare.

Chi risponde del danno?

Risposta diretta. Risponde il titolare del trattamento, cioè il soggetto che determina le finalità e i mezzi del trattamento: l’amministrazione, l’impresa, il condominio attraverso il suo amministratore, il professionista. Il responsabile del trattamento risponde solo se non ha adempiuto gli obblighi che il regolamento pone specificamente a suo carico o ha agito in modo difforme dalle istruzioni ricevute (art. 82, paragrafo 2).

Quando più soggetti sono coinvolti nel medesimo trattamento e responsabili del danno, ciascuno risponde per l’intero, così da garantire all’interessato il risarcimento effettivo; chi ha pagato può poi rivalersi sugli altri per la parte di loro responsabilità (art. 82, paragrafi 4 e 5). Per l’interessato la conseguenza pratica è che non occorre ricostruire con esattezza la ripartizione interna delle colpe fra titolare e fornitori: è sufficiente agire contro chi ha partecipato al trattamento che ha causato il danno.

Nel caso di una pubblica amministrazione il titolare è l’ente, non il singolo dipendente che ha materialmente caricato l’atto o inviato la comunicazione. Nel caso del condominio, i profili di responsabilità dell’amministratore e del condominio vanno esaminati in relazione al caso concreto.

Come si liquida il danno?

Risposta diretta. Il risarcimento previsto dall’art. 82 ha funzione esclusivamente compensativa: deve ristorare integralmente il danno concretamente subito, senza funzione punitiva o deterrente. In mancanza di criteri stabiliti dal regolamento, la quantificazione spetta al diritto nazionale e, per il danno immateriale, avviene in via equitativa.

Solo compensazione, non punizione

La Corte di giustizia lo ha affermato con la sentenza 25 gennaio 2024, causa C-687/21, BL contro MediaMarktSaturn Hagen-Iserlohn GmbH: l’art. 82 non ha funzione dissuasiva o punitiva, e la gravità della violazione non può incidere sull’importo del risarcimento, che deve compensare pienamente il danno subito. La funzione sanzionatoria appartiene agli strumenti amministrativi degli artt. 83 e 84 del regolamento, cioè alle sanzioni che può irrogare il Garante.

Con la sentenza 20 giugno 2024, cause riunite C-182/22 e C-189/22, JU e SO contro Scalable Capital GmbH, la Corte ha ribadito il principio, precisando che non occorre tener conto della gravità o dell’intenzionalità della violazione e che un risarcimento anche di importo modesto è ammissibile, purché compensi integralmente il danno. È il secondo errore da evitare in questa materia: attendersi che la gravità della condotta del titolare si traduca automaticamente in un importo elevato.

La valutazione equitativa

Nel diritto interno la liquidazione del danno non patrimoniale avviene secondo equità (artt. 1226 e 2056 del codice civile), sulla base degli stessi elementi che ne fondano la prova: natura dei dati, ampiezza e qualità della platea, durata della diffusione, conseguenze sui rapporti personali e professionali, condotta del titolare dopo la segnalazione. Per orientare le valutazioni i giudici fanno riferimento a parametri tabellari, che secondo Cass. civ., sez. III, ord., 2 dicembre 2021, n. 38077 costituiscono per il giudice di merito un riferimento o un criterio di riscontro della diversa liquidazione alla quale sia pervenuto.

Non esistono importi predeterminati. Le somme riconosciute nella casistica variano molto in funzione degli elementi del caso concreto, e descrivono un ordine di grandezza, non un risultato prevedibile. Le regole generali di liquidazione sono illustrate nella guida sul risarcimento del danno alla reputazione, che apre questo percorso.

Che cosa si può fare prima di andare dal giudice?

Risposta diretta. Le iniziative stragiudiziali sono due e spesso si susseguono: la richiesta al titolare di cancellazione dei dati o di cessazione del trattamento, che deve ricevere risposta entro un mese (art. 12, paragrafo 3, del regolamento), e il reclamo al Garante per la protezione dei dati personali (art. 77 del regolamento), che può ordinare la cessazione del trattamento e irrogare sanzioni, ma non liquida il risarcimento.

La richiesta di cancellazione

Il diritto alla cancellazione dell’art. 17 del regolamento spetta, tra le altre ipotesi, quando i dati sono stati trattati illecitamente (paragrafo 1, lettera d). La richiesta va rivolta al titolare, che deve fornire le informazioni sull’azione intrapresa senza ingiustificato ritardo e comunque entro un mese dal ricevimento, termine prorogabile di due mesi in considerazione della complessità e del numero delle richieste, dandone comunicazione all’interessato.

La richiesta ha una doppia utilità. Serve anzitutto a far cessare il pregiudizio: il dato che resta online continua a produrre effetti, e ogni giorno di permanenza pesa. Serve poi a documentare la condotta del titolare, perché il rifiuto o l’inerzia dopo la segnalazione sono elementi che il giudice considera. Conviene formularla per iscritto, con l’indicazione precisa del dato, del luogo in cui si trova e delle ragioni per cui il trattamento è illecito, riservando espressamente la domanda di risarcimento.

Il reclamo al Garante

Il reclamo all’autorità di controllo è lo strumento con cui si chiede al Garante di accertare l’illiceità del trattamento. Il Garante dispone di poteri correttivi – può ordinare di conformare il trattamento, di limitarlo o di cessarlo, di cancellare i dati – e sanzionatori, con le sanzioni amministrative pecuniarie dell’art. 83 del regolamento.

Non può però riconoscere il risarcimento del danno, che spetta esclusivamente al giudice. La scelta fra reclamo e ricorso giudiziario va quindi fatta tenendo conto dell’obiettivo: se interessa soprattutto la cessazione del trattamento e l’accertamento dell’illecito, il reclamo è una strada efficace e meno onerosa; se interessa il ristoro del danno, la sede è il tribunale.

Due strade alternative

Il rapporto fra le due vie è regolato dagli artt. 140-bis e 152 del d.lgs. 196/2003: il reclamo al Garante non può essere proposto se, per il medesimo oggetto e tra le stesse parti, è già stata adita l’autorità giudiziaria, e la successiva proposizione del ricorso al giudice rende improcedibile il reclamo già presentato. Nulla impedisce, invece, di utilizzare nel giudizio risarcitorio il provvedimento con cui il Garante abbia accertato la violazione: è una sequenza frequente, a condizione che l’oggetto delle due iniziative sia correttamente delimitato.

Come si svolge la causa di risarcimento?

Risposta diretta. Le controversie in materia di protezione dei dati personali, comprese quelle sul risarcimento del danno dell’art. 82, appartengono al giudice ordinario (art. 152 del d.lgs. 196/2003) e sono regolate dal rito del lavoro (art. 10 del d.lgs. 150/2011). È competente, a scelta, il tribunale del luogo di residenza o sede del titolare oppure quello del luogo di residenza dell’interessato. La sentenza non è appellabile.

Il giudice e il rito

L’art. 152 del Codice attribuisce all’autorità giudiziaria ordinaria tutte le controversie che riguardano l’applicazione della normativa sulla protezione dei dati personali, nonché il diritto al risarcimento del danno ai sensi dell’art. 82 del regolamento. La giurisdizione è ordinaria anche quando il titolare è una pubblica amministrazione: l’art. 10, comma 10, del d.lgs. 150/2011 prevede che la sentenza possa prescrivere le misure necessarie anche in deroga al divieto per il giudice ordinario di annullare o modificare gli atti amministrativi, e disporre il risarcimento del danno.

La causa si introduce con ricorso e segue il rito del lavoro, che è strutturato per concentrare la trattazione e l’istruttoria: le allegazioni e i mezzi di prova vanno indicati fin dall’atto introduttivo, a pena di decadenza. È la ragione per cui la preparazione della prova – documenti, testimoni, elementi presuntivi del danno – va completata prima di depositare il ricorso, e non durante il giudizio.

Il foro dell’interessato

L’art. 10, comma 2, del d.lgs. 150/2011 prevede la competenza alternativa del tribunale del luogo in cui il titolare del trattamento risiede o ha sede e del tribunale del luogo di residenza dell’interessato. La possibilità di agire nel proprio luogo di residenza è un’agevolazione concreta, specie quando il titolare è un’impresa o un ente con sede lontana.

Una sentenza non appellabile

Il comma 10 dello stesso articolo stabilisce che la sentenza che definisce il giudizio non è appellabile. Contro di essa resta il ricorso per cassazione. Il giudizio si svolge quindi in un solo grado di merito, e questo accresce l’importanza di un’impostazione corretta fin dall’inizio: gli errori nella prova del danno non si recuperano in appello.

E la mediazione?

La controversia sul risarcimento del danno da trattamento illecito dei dati non rientra, in quanto tale, fra le materie per le quali l’art. 5 del d.lgs. 28/2010 prevede la mediazione obbligatoria. Il discorso cambia quando la domanda si fonda anche sulla diffamazione con mezzo di pubblicità, che è invece compresa nell’elenco: in questi casi la verifica della condizione di procedibilità va fatta con attenzione. Il funzionamento della procedura è spiegato nella guida sulla mediazione civile obbligatoria.

La diffusione illecita dei dati è anche un reato?

Risposta diretta. Solo in ipotesi circoscritte. L’art. 167 del d.lgs. 196/2003 punisce l’illecito trattamento dei dati quando la condotta è tenuta al fine di trarre per sé o per altri profitto ovvero di arrecare danno all’interessato e ne deriva un nocumento; la pena più elevata, da uno a tre anni di reclusione, riguarda il trattamento illecito delle categorie particolari di dati e dei dati relativi a condanne e reati (comma 2).

La gran parte delle diffusioni illecite avviene per negligenza, per superficialità o per un’errata interpretazione degli obblighi di pubblicità, senza il fine specifico richiesto dalla norma penale. In questi casi il rilievo penale manca, mentre restano integri il profilo amministrativo – le sanzioni del Garante – e quello civile del risarcimento, che non richiede il dolo. Quando la diffusione si accompagna a espressioni offensive può venire in rilievo la diffamazione, con i termini brevi della querela.

Quali termini vanno rispettati?

Risposta diretta. Il diritto al risarcimento del danno da trattamento illecito dei dati, di natura extracontrattuale, si prescrive di regola in cinque anni (art. 2947 del codice civile). Per la richiesta di cancellazione e il reclamo al Garante non è previsto un termine di decadenza, ma il tempo lasciato trascorrere indebolisce la tutela e la prova.

La permanenza del dato online rileva sotto due profili: da un lato consente di chiederne la rimozione in qualsiasi momento, perché il trattamento illecito è ancora in corso; dall’altro incide sulla quantificazione del danno. Nella pratica, però, il problema non è quasi mai la prescrizione: è la dispersione della prova. Le pagine vengono rimosse, i testimoni ricordano meno, i collegamenti fra la diffusione e le sue conseguenze diventano più difficili da dimostrare. Documentare subito il fatto e le sue conseguenze è il modo migliore per non compromettere la domanda.

Gli errori da evitare

Risposta diretta. Gli errori più frequenti sono tre: considerare il danno automatico e trascurarne la prova; confondere comunicazione lecita e diffusione illecita, contestando trattamenti che hanno una base giuridica; attendere troppo prima di documentare il fatto e di chiedere la rimozione.

Il primo errore è il più costoso, e dopo la giurisprudenza europea non ha più giustificazioni: una domanda che descrive con precisione la violazione e liquida il danno in una riga è destinata a non superare il vaglio del giudice.

Il secondo errore nasce dall’idea che qualunque circolazione di un dato sia illecita. Non è così: l’amministratore che comunica i dati del moroso al creditore che li richiede, l’ente che pubblica un atto nei limiti previsti dalla legge, il datore di lavoro che tratta i dati necessari al rapporto agiscono sulla base di una norma. Il lavoro preliminare consiste proprio nel verificare se la base giuridica esiste e se il trattamento è rimasto nei suoi limiti.

Il terzo errore è di ordine pratico. Chi scopre la diffusione tende a chiederne subito la rimozione, e fa bene; ma se prima non ha documentato il contenuto, la rimozione ottenuta cancella anche la prova. La sequenza corretta è sempre la stessa: acquisire la prova, chiedere la rimozione, valutare poi con calma la strada del reclamo o del giudice.

Domande frequenti (FAQ)

Che differenza c’è fra comunicazione e diffusione dei dati personali?
La comunicazione è il dare conoscenza dei dati a uno o più soggetti determinati; la diffusione è il dare conoscenza dei dati a soggetti indeterminati, anche mediante la loro messa a disposizione o consultazione (art. 2-ter, comma 4, del d.lgs. 196/2003). Entrambe richiedono una base giuridica; la diffusione è la forma più invasiva, perché fa perdere all’interessato il controllo su chi conosce il dato.

Basta la violazione della privacy per ottenere il risarcimento?
No. Con la sentenza 4 maggio 2023, causa C-300/21, la Corte di giustizia ha stabilito che la mera violazione del regolamento non è sufficiente: servono un danno materiale o immateriale e il nesso causale con la violazione. Il danno va allegato e provato, anche per presunzioni.

Il danno da violazione della privacy deve essere grave?
No. La Corte di giustizia (C-300/21 e C-456/22) ha escluso che il diritto nazionale possa subordinare il risarcimento del danno immateriale a una soglia minima di gravità. Anche una pubblicazione durata pochi giorni può produrre un danno risarcibile, purché effettivo e dimostrato.

Il timore che i dati vengano usati da altri è un danno?
Può esserlo. Con la sentenza 14 dicembre 2023, causa C-340/21, la Corte di giustizia ha affermato che il timore di un uso abusivo dei dati da parte di terzi, conseguente a una violazione del regolamento, può costituire un danno immateriale, senza che l’uso abusivo si sia già verificato. Il timore deve però essere fondato nelle circostanze concrete.

Chi deve provare la colpa di chi ha diffuso i dati?
Non l’interessato. L’art. 82, paragrafo 3, del regolamento esonera il titolare o il responsabile solo se dimostra che l’evento dannoso non gli è in alcun modo imputabile. All’interessato spetta la prova della violazione, del danno e del nesso causale.

Si può fare reclamo al Garante e anche causa civile?
Non per lo stesso oggetto e tra le stesse parti: gli artt. 140-bis e 152 del d.lgs. 196/2003 costruiscono due strade alternative. Il Garante accerta l’illiceità e adotta provvedimenti correttivi e sanzionatori; il risarcimento del danno lo riconosce solo il giudice ordinario.

Davanti a quale giudice si chiede il risarcimento?
Davanti al tribunale ordinario, con il rito del lavoro (art. 152 del d.lgs. 196/2003 e art. 10 del d.lgs. 150/2011). È competente, a scelta, il tribunale del luogo di residenza o sede del titolare oppure quello del luogo di residenza dell’interessato. La sentenza non è appellabile, ma resta il ricorso per cassazione.

Letture consigliate

• Risarcimento del danno alla reputazione: quando spetta, come si prova e come si calcola – la guida generale del percorso: diffamazione, trattamento illecito dei dati e lesione dell’immagine economica.
• Commenti diffamatori e recensioni denigranti online: rimozione, diffida e risarcimento – quando alla diffusione del dato si accompagna l’offesa, e come si chiede la rimozione alle piattaforme.
• Segnalazione in Centrale Rischi: cancellazione e risarcimento – un’altra forma di circolazione illegittima di informazioni sulla situazione debitoria, con i relativi rimedi.
• Privacy e videosorveglianza: la normativa – le regole sul trattamento delle immagini, una delle ipotesi più comuni di trattamento di dati personali.
• Cartella clinica: come ottenerla e quale valore probatorio ha – i dati sanitari, la categoria che la legge sottrae in modo assoluto alla diffusione.

Ultimo aggiornamento: settembre 2026. Guida aggiornata a settembre 2026.

Questo articolo ha finalità informativa e non costituisce parere legale. Ogni situazione va valutata nel caso concreto. Per una valutazione del proprio caso è possibile richiedere un appuntamento presso lo Studio.

Questo articolo è stato redatto con l’ausilio di un sistema di intelligenza artificiale. Segnalazioni: info@studiolegalemondello.it