Avv. Antonino Attanasio

attanasio@studiofas.net

La responsabilità civile per danni conseguenti alla raccolta dei dati
ed alla loro conservazione

E-privacy 2005

data retention: da regola ad eccezione

Firenze, 27 - 28 maggio 2005

Copyright 2005, Antonino Attanasio

È garantito il permesso di copiare,

distribuire e/o modificare questo documento

seguendo i termini della GNU General Public

License, Versione 2 od ogni versione successiva

pubblicata dalla Free Software Foundation.

Una copia della licenza è acclusa come nota a

questa slide, ed è anche reperibile all’URL

http://fly.cnuce.cnr.it/gnu/doc.it/gpl.it.html

La raccolta e la conservazione dati:
modalità di svolgimento dell’attività

La responsabilità civile: elementi costitutivi

La raccolta dati come attività pericolosa e la
natura giuridica della responsabilità per danno

La prova del danno

L’esonero da responsabilità

Il risarcimento del danno.
Esemplificazione di casi di danno alla persona conseguente a conservazione di dati non corretta

Il problema della prevenzione del danno

L'articolazione del problema

WWW

Attraverso il sito web vengono memorizzate informazioni che consentono di rilevare il numero degli accessi, le pagine visitate ed altre informazioni.

Strumenti di raccolta automatica della informazioni:

variabili di sessione
cookies
web beacons
log files

La raccolta e la conservazione dati

R.F.ID.
Radio Frequency IDentification

Insieme di tecnologie che consentono l'identificazione delle merci tramite radiotrasmettitori.

Caratteristiche

Funzionano senza supervisione per lunghi periodi di tempo

Trasmettono il contenuto della loro memoria quando ne ricevono l’ordine da un lettore.

(http://www.i-dome.com/docs/pagina.phtml?_id_articolo=5022)

La raccolta e la conservazione dati

Le centrali rischi

Il caso delle informazioni sui “cattivi pagatori”

Prima del 1996
Mancanza di certezza nei tempi di conservazione ed esattezza delle informazioni. Effetti negativi: lesione della dignità e della reputazione; difficoltà di accesso al credito; difficoltà alla modifica dei propri dati.

Dopo il 1996
Codice deontologico vincolante sul piano normativo fissa nuove garanzie. Maggiore distinzione tra informazioni relative a lievi indebitamenti e sovraesposizioni finanziarie o artifizi e raggiri.
Tempi più brevi di conservazione in rete dei dati. Informazioni più selezionate. (www.garanteprivacy.it)

La raccolta e la conservazione dati

D. Lgs. 196/2003, articolo 2

"trattamento", qualunque operazione o complesso di operazioni, effettuati anche senza l'ausilio di strumenti elettronici, concernenti la raccolta, la registrazione, l'organizzazione, la conservazione, la consultazione, l'elaborazione, la modificazione, la selezione, l'estrazione, il raffronto, l'utilizzo, l'interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati, anche se non registrati in una banca di dati

"dato personale", qualunque informazione relativa a persona fisica, persona giuridica, ente od associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale

La raccolta e la conservazione dati

La responsabilità civile: elementi costitutivi

Articolo 2043 codice civile
Risarcimento per fatto illecito

Qualunque fatto, dolo o colposo, che cagiona ad altri un danno ingiusto obbliga colui che ha commesso il fatto a risarcire il danno

Articolo 2050 codice civile
Responsabilità per esercizio di attività pericolose

Chiunque cagiona un danno ad altri nello svolgimento di un'attività pericolosa, per sua natura o per la natura dei mezzi adoperati, è tenuto al risarcimento se non prova di aver adottato tutte le misure idonee a evitare il danno

D.Lgs. 196/2003, articolo 15
Danni cagionati per effetto del trattamento

1. Chiunque cagiona danno ad altri per effetto del trattamento di dati personali è tenuto al risarcimento ai sensi dell'articolo 2050 del codice civile.

2. Il danno non patrimoniale è risarcibile anche in caso di violazione dell'articolo 11 (relativo alle modalità del trattamento e requisiti dei dati)

La responsabilità civile: elementi costitutivi

La raccolta dati come attività pericolosa

La raccolta di dati, per le sue caratteristiche intrinseche di facilità nella manipolazione, elaborazione e circolazione dei dati, è uno strumento che interferisce con posizioni soggettive in maniera del tutto nuova rispetto al passato

Il trattamento dati quindi è naturalmente idoneo a ledere situazioni giuridiche soggettive relative alla personalità dell'individuo, oltre la sua dimensione fisica

Il trattamento dei dati è pericoloso in sè, indipendentemente dal mezzo adoperato (informatico o cartaceo)

Natura giuridica responsabilità per danno

La giurisprudenza e la dottrina hanno individuato tre possibili interpretazioni della natura giuridica della responsabilità da attività pericolosa:

a) inversione dell'onere della prova che deve essere fornita dall'esercente l'attività pericolosa

b) colpa lievissima come fondante la responsabilità

c) ipotesi di responsabilità oggettiva speciale, rispetto al principio generale dell'imputazione della responsabilità almeno per colpa

Sistema bipolare

Natura giuridica responsabilità per danno

Danno non patrimoniale
biologico
morale
esistenziale

Danno patrimoniale

La prova del danno

Il danneggiato deve fornire la prova

del danno

del nesso di causalità
tra il comportamento (attivo o omissivo) dell’esercente l’attività ed il danno subito.

L’esonero da responsabilità

D.Lgs. 196/2003, Art. 31
Obblighi di sicurezza

I dati personali oggetto di trattamento sono custoditi e controllati, anche in relazione alle conoscenze acquisite in base al progresso tecnico, alla natura dei dati e alle specifiche caratteristiche del trattamento, in modo da ridurre al minimo, mediante l'adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta.

Art. 32 D.Lgs. 196/2003
Particolari titolari

1. Il fornitore di un servizio di comunicazione elettronica accessibile al pubblico adotta idonee misure tecniche e organizzative adeguate al rischio esistente (...)

2. Quando la sicurezza del servizio o dei dati personali richiede anche l'adozione di misure che riguardano la rete, il fornitore del servizio di comunicazione elettronica accessibile al pubblico adotta tali misure congiuntamente con il fornitore della rete pubblica di comunicazioni. (...)

3. Il fornitore di un servizio di comunicazione elettronica accessibile al pubblico informa gli abbonati e, ove possibile, gli utenti, se sussiste un particolare rischio di violazione della sicurezza della rete, (...)

L’esonero da responsabilità

Il comportamento virtuoso

Il titolare del trattamento deve:

- comportarsi con la diligenza dovuta
- adottare tutte quelle misure che appaiono idonee a fronteggiare il rischio, ed eventualmente anche solo a ridurlo.

Prova da fornire con riferimento al momento in cui il danno si è verificato: aspetti organizzativi sull’esistenza delle misure più opportune in base al progresso tecnico, alla natura dei dati ed alle specifiche caratteristiche del trattamento.

L’esonero da responsabilità

Il risarcimento del danno

Danno patrimoniale: lesione di un interesse protetto e suscettibile di valutazione economica. Si riferisce al pregiudizio economico determinato dall'esborso di somme (danno emergente) e dal mancato beneficio economico futuro (lucro cessante)

Danno biologico: lesione dell'integrità psicofisica della persona

Danno esistenziale: danno derivato dalla forzosa rinuncia allo svolgimento di attività remunerative, fonte di compiacimento o benessere per il danneggiato, come le attività realizzatrici della persona umana, la reputazione commerciale-imprenditoriale, la reputazione personale

Danno alla professionalità: danno da cui derivano ridimensionamenti dei vari aspetti della vita professionale

Danno morale o danno non patrimoniale: si concretizza nello stato psichico dato dal patimento della vittima o dei suoi stretti congiunti in caso di decesso, per l'ingiusto pregiudizio subito

Il risarcimento del danno

Giudice di pace di Napoli - Sezione prima - sentenza 7-10 giugno 2004 Giudice Contrada - ricorrente Pisani

(...) Tenuto conto del fatto che l'attore ha fornito prova del danno materiale e morale derivatogli dall'illecito trattamento dei propri dati e dall'invio illegittimo da parte della società convenuta (...) di un messaggio pubblicitario a grandi caratteri che proponeva l'acquisto di numerosi articoli sportivi nella casella di posta elettronica (...) utilizzata a scopi personali e professionali per l'attività di avvocato, (...) la società convenuta va condannata al risarcimento dei danni materiali e morali (...) tenuto conto delle spese generali e degli inconvenienti e perdite di tempo subite, derivante dall'illecito invio di corrispondenza elettronica a scopo pubblicitario non effettuato sulla base del consenso preventivo ed informato dell'attore, oltre interessi legali dalla domanda.

Il risarcimento del danno

Giudice di pace di Napoli - Sezione prima - sentenza 26 giugno 2004 Giudice Di Noia - ricorrente Lubrano c. Telecom Italia

(...) l'attrice ha diritto al risarcimento del danno patrimoniale e non patrimoniale. In ordine al primo vanno considerate le attività compiute, con dispendio di tempo ed energie, e le spese sostenute dall'istante, prima del giudizio, per opporsi al trattamento non consentito dei dati personali (...). Non è riconducibile invece al danno patrimoniale l'arresto delle attività dell'istante, non suscettibili di diretta valutazione economica, il quale può rilevare solo sotto il profilo del danno non patrimoniale in relazione ai patemi morali derivanti dalle indesiderate interferenze nella sfera privata e dalla sospensione delle proprie abitudini.

Il risarcimento del danno

Cass. pen., sez. III, 09-07-2004 (28-05-2004), n. 30134

In tema di trattamento illecito dei dati personali, mentre il reato a pericolo presunto, di cui al previgente art. 35 della legge n. 675 del 1996, prevedeva come circostanza aggravante il nocumento per la persona alla quale i dati illecitamente trattati si riferiscono, l'art. 167 del D.Lgs. n. 196 del 2003 ha tipizzato il citato nocumento, da intendersi sia riferito al soggetto stesso che al suo patrimonio, come condizione obiettiva di punibilità ed ha introdotto anche un dolo specifico di danno; di conseguenza, non costituisce reato quella violazione della normativa sulla tutela dei dati personali che produce un "vulnus" minimo all'identità personale del soggetto passivo ed alla sua "privacy", non in grado di determinare un danno patrimoniale apprezzabile.

Il risarcimento del danno

Tribunale Orvieto, 23-11-2002 n. 254 - M.P. e R.P. c. BNL (massima 1)

Costituisce illecito civile il trattamento di dati relativi alla affidabilità commerciale di persone fisiche da parte dell'istituto di credito cui esse hanno chiesto l'erogazione di un mutuo in mancanza del consenso degli interessati. Il trattamento non autorizzato dei dati personali che configuri anche i reati previsti e puniti dagli artt. 35 e 36 della legge 675/96 comporta il risarcimento del danno non patrimoniale ai sensi sia del combinato disposto degli artt. 9, 18 e 29 c.c. legge 675/96 sia dell'art. 2059 c.c. (nel caso di specie è stato liquidato il danno nella misura, determinata equitativamente, di € 25.000).

Il risarcimento del danno

Tribunale di Roma, sez. IX, Sentenza n. 31848/2004 depositata il 25-11-2004

La Banca Monte dei Paschi di Siena è stata condannata a pagare un maxi risarcimento di € 1.200.000 circa, comprensivo di sorte, interessi e rivalutazione ad oggi.

(Da avv. Augusto Principi - Adusbef Rieti - studioprincipi@libero.it)

Il risarcimento del danno

(...) la difficoltà di accesso al credito bancario, e il nesso causale tra questo e la segnalazione in contestazione, sono provati dalle dichiarazioni dei (...) direttori di agenzie di banca, per effetto della segnalazione la banca respinse la richiesta di allargamento del fido e (...) per effetto del medesimo fatto, l’affidamento fu revocato (...)

(...) la consulenza, ha accertato “un crescente degrado” dei “margini di tesoreria ovvero l’indice di liquidità primaria” anche nell’esercizio successivo alla vicenda in contestazione (1998) e “l’abbandono del suo disegno programmatico di sviluppo che poteva sorreggersi soltanto sull’incremento dei finanziamenti necessari per la copertura del suo fabbisogno finanziario durevole”.

Il risarcimento del danno: segue...

(...) il danno emergente è stato quantificato sulla base della “diminuzione del valore economico della Gesis determinata in base alla differenza tra il “valore attuale di rendita” calcolato al termine dell’esercizio 1998 e quello dell’esercizio 1999;

(...) il lucro cessante è stato determinato sulla base dell’ “accrescimento patrimoniale che la Gesis avrebbe potuto conseguire” a mezzo del credito bancario sulla base della “entità media del valore economico della società stimato al termine dei due esercizi” di cui sopra.(...)

Il risarcimento del danno

Il problema della prevenzione del danno

Il patrimonio informativo è essenziale per lo svolgimento delle attività economiche. Le regole che tutelano la privacy NON hanno carattere proibizionista: vige la libertà di raccogliere dati, purchè si osservi il meccanismo del consenso informato.

Ogni diritto ha come “pendant” naturale un onere, intenso come serie di attività da realizzare allo scopo di esercitare il diritto stesso.

Possiamo parlare di “posizione responsabile” della persona, perchè ogni sua azione giuridcamente rilevante ha riflessi sui rapporti con altri soggetti

La rilevanza strategica del patrimonio informativo non è dato di oggi, ma esperienza di sempre.

Formazione di tutti i soggetti coinvolti ovvero: quelli che raccolgono dati e quelli che li forniscono

Formazione e sensibilizzazione a tutti i livelli, da quello giudiziario a quello amministrativo

Creazione e sviluppo di una autentica cultura della condivisione dei saperi

Elaborazione di codici deontologici e di una cultura della qualità e di bilancio sociale delle imprese

Creazione di meccanismi assicurativi

Il problema della prevenzione del danno

Per finire

Il mito dell'anello di Gige

... era un anello che dava il dono dell'invisibilità. Con questo anello Gige, pastore della Lidia che lavorava alle dipendenze del sovrano locale, sfruttando l'invisibilità garantitagli dall'anello, gli sedusse la moglie e col suo aiuto lo assalì, lo uccise, e si impadronì del potere al suo posto...

Se due anelli di questo tipo venissero dati a una persona giusta e a una ingiusta, entrambi, essendo al riparo dalla vista e quindi dalla punizione degli altri, ne approfitterebbero per comportarsi secondo i loro capricci, "come un dio fra gli uomini". Questo dimostra che si è giusti solo se si è costretti, e privatamente tutti giudicano più vantaggiosa l'ingiustizia, piuttosto che la giustizia...

(da Platone, “Repubblica”, http://lgxserver.uniba.it/lei/personali/pievatolo/platone/gige.htm)

evoluzione dell'etica della responsabilità:

da obbligo di risarcimento a condivisione/rispetto di interessi

Serena Focaccia

2005-04-27T17:54:11