Corte di Cassazione, sez. II Civile, Ordinanza n.40635 del 17/12/2021

LA CORTE SUPREMA DI CASSAZIONE

SEZIONE SECONDA CIVILE

Composta dagli Ill.mi Sigg.ri Magistrati:

Dott. D’ASCOLA Pasquale – Presidente –

Dott. BERTUZZI Mario – Consigliere –

Dott. COSENTINO Antonello – Consigliere –

Dott. VARRONE Luca – rel. Consigliere –

Dott. OLIVA Stefano – Consigliere –

ha pronunciato la seguente:

ORDINANZA

sul ricorso 23216/2018 proposto da:

PROVINCIA DI VERCELLI, elettivamente domiciliata in ROMA, VIALE GIULIO CESARE, n. 14, presso lo studio dell’avvocato EMANUELA ROMANELLI, che la rappresenta e difende unitamente all’avvocato ANTONIO ROSCI;

– ricorrente –

contro

GARANTE PER LA PROTEZIONE DEI DATI PERSONALI, elettivamente domiciliato in ROMA, VIA DEI PORTOGHESI 12, presso l’AVVOCATURA GENERALE DELLO STATO, che lo rappresenta e difende;

– controricorrente –

avverso la sentenza n. 1001/2018 del TRIBUNALE di VERCELLI, depositata il 16/01/2018;

udita la relazione della causa svolta nella Camera di consiglio del 22/09/2021 dal Consigliere Dott. LUCA VARRONE.

FATTI DI CAUSA

1. La Provincia di Vercelli proponeva opposizione D.Lgs. n. 196 del 2003, ex art. 152, avverso l’ordinanza ingiunzione n. 492 del 24 novembre 2016 con la quale il garante per la protezione dei dati personali le aveva comminato la sanzione amministrativa di Euro 10.000 per violazione dell’art. 162, comma 2 bis, del codice in materia di protezione dei dati personali, in relazione alla prescrizione contenuta nell’art. 19, comma 3, del medesimo codice.

2. Il Tribunale di Vercelli rigettava l’opposizione, evidenziando che la Provincia opponente non aveva negato l’effettiva illegittimità del trattamento oggetto della contestazione ma si era limitata ad eccepire l’illegittimità del procedimento per l’inesistenza del potere del Garante di disporre un’attività di Ufficio.

L’eccezione di inesistenza del potere sanzionatorio dell’autorità era smentita dal tenore letterale dell’art. 154 del codice in materia di protezione dei dati personali. Tale norma attribuiva chiaramente all’Autorità Garante il compito di controllare il rispetto della disciplina in materia di trattamento dei dati senza subordinare l’esercizio di tale potere di controllo all’iniziativa di parte.

L’interpretazione dell’art. 154 nel senso indicato trovava conferma nei poteri ispettivi, esercitabili anche nei confronti di soggetti terzi, attribuiti per legge all’Autorità Garante e previsti senza necessità di impulso di parte (artt. 157 e 158).

La possibilità di esercitare il potere di controllo anche di ufficio era assorbente rispetto alla ulteriore doglianza circa la mancata qualifica di interessato in capo al segnalante.

3. La Provincia di Vercelli ha proposto ricorso per cassazione avverso la suddetta sentenza sulla base di due motivi di ricorso.

4. Il Garante per la protezione dei dati personali si è costituito con controricorso.

5. La ricorrente, con memoria depositata in prossimità dell’udienza, ha insistito nella richiesta di accoglimento del ricorso.

RAGIONI DELLA DECISIONE

1. Il primo motivo di ricorso è così rubricato: violazione e falsa applicazione dell’art. 112 c.p.c. e nullità della sentenza ex art. 157 c.p.c., in relazione alla parte della motivazione della sentenza del Tribunale di Vercelli in cui si omette di esaminare nel merito la questione esplicitamente prospettata nel ricorso in opposizione secondo cui a dolersi dell’illecito trattamento dei dati personali non è stato il soggetto direttamente interessato, secondo la definizione recata dall’art. 4, comma 1, del codice, ossia la persona fisica cui si riferiscono i dati personali, ma bensì un terzo estraneo con conseguente insanabile nullità del procedimento sanzionatorio intrapreso.

La censura della provincia di Vercelli si incentra sulla inesistenza del potere di impulso d’ufficio da parte del Garante per la protezione dei dati. Secondo la Provincia nella specie vi sarebbe una totale inesistenza delle condizioni per la contestazione dell’illecito Il procedimento, infatti, ha avuto inizio su iniziativa di tale V.G., che con una mail segnalava un illecito trattamento dei dati da parte della Provincia di Vercelli in relazione alla documentazione fornita dall’azienda agricola R.G. nel contesto di un procedimento autorizzativo ex D.Lgs. n. 387 del 2003 avente ad oggetto un impianto di cogenerazione alimentato a biogas e costruzione impianto di essiccazione reflui finali. Il Garante, anziché ignorare la segnalazione, aveva proceduto a fare dei controlli senza neanche accertare l’entità del segnalante e il suo rapporto con l’azienda agricola titolare dei dati mentre il codice incentra la tutela dei dati sui singoli interessati, sicché il potere di segnalazione non può provenire dal terzo. Il Garante avrebbe violato l’art. 1, art. 4, comma 1, lett. i), art. 141, comma 1, lett. b), del codice di protezione dei dati. Su tale aspetto il Tribunale di Vercelli non si sarebbe pronunciato, dichiarandolo assorbito o comunque subordinato rispetto alla esistenza di poteri ispettivi e di controllo conferiti al Garante. L’iniziativa del Garante sarebbe illegittima dovendosi tenere distinto il generale potere di controllo che il Garante può esercitare, diretto essenzialmente a fornire degli strumenti adeguati per agevolare lo svolgimento dei compiti assegnati dalla legge, con la tutela della riservatezza dei dati degli interessati. La sentenza impugnata avrebbe omesso di esaminare nel merito la questione esplicitamente prospettata nel ricorso in opposizione secondo cui a dolersi dell’illecito trattamento dei dati personali non è stato il soggetto direttamente interessato, secondo la definizione recata dall’art. 4, comma 1, del codice, ossia la persona fisica cui si riferiscono i dati personali, ma bensì un terzo estraneo con conseguente insanabile nullità del procedimento sanzionatorio intrapreso.

2. Il secondo motivo di ricorso è così rubricato: violazione e falsa applicazione del D.Lgs. n. 196 del 2003, art. 4, comma 1, art. 7, comma 4, lett. a), art. 19, comma 3, art. 141, comma 1, lett. b), art. 144 e art. 154, comma 1, lett. a) e b), artt. 157, 158, art. 162, comma 2 bis; violazione e falsa applicazione dell’art. 11, comma 1, lett. d), art. 13, commi 1, 2, 4; art. 15, comma 1, del regolamento n. 1 del 2007 per avere il Tribunale di Vercelli deciso la controversia confermando il provvedimento sanzionatorio nonostante che la segnalazione del trattamento illegittimo di dati personali provenisse da un terzo e non già dall’interessato e ciò in palese contrasto con il dato normativo regolamentare che legittima esclusivamente quest’ultima ad assumere l’iniziativa dinanzi all’autorità amministrativa. Violazione e falsa applicazione dell’art. 8 della Carta dei diritti fondamentali dell’Unione Europea e dell’art. 1 del codice per avere il Tribunale di Vercelli deciso la controversia in materia di diritti alla protezione dei dati personali nonostante l’esperimento di strumenti di tutela in sede amministrativa e giurisdizionale sia strettamente riservato all’interessato.

A parere della ricorrente la protezione dei dati personali è diretta a tutelare una posizione giuridica soggettiva e, dunque, ai sensi dell’art. 154 del codice, il Garante non avrebbe il potere di esercitare il controllo senza l’iniziativa di parte. Non rileverebbero in alcun modo gli artt. 157 e 158 del codice circa il potere ispettivo e di richiedere informazioni e documenti in quanto si tratta di attività funzionali all’accertamento delle violazioni commesse dai titolari del trattamento. In particolare, è necessario che ci sia un atto di impulso mediante la segnalazione che deve provenire dall’interessato e non da un terzo. In tal senso non rileverebbe in alcun modo l’art. 15 del regolamento n. 1 del 2007 che prevede il potere di avviare d’ufficio un’istruttoria preliminare per verificare la sussistenza di elementi circa una possibile violazione della disciplina in materia di protezione dei dati personali in quanto il presupposto è l’assenza del reclamo o della segnalazione mentre nella specie la segnalazione era effettivamente intervenuta ancorché da parte di un soggetto terzo.

2.1 I due motivi di ricorso, che stante la loro evidente connessione possono essere esaminati congiuntamente, sono infondati.

Il Tribunale di Vercelli ha espressamente motivato in ordine alle ragioni del rigetto del motivo di opposizione con il quale l’Ente Provinciale aveva eccepito la carenza di potere in capo al Garante per la protezione dei dati personali, perché l’atto di impulso del procedimento istruttorio proveniva da un terzo e non dall’interessato.

Sicché non vi è stata alcuna omessa pronuncia sulla questione sollevata con il ricorso in opposizione. Peraltro, la questione sottesa al motivo in esame è manifestamente infondata in quanto il Tribunale ha coerentemente ricostruito la normativa che regola il potere del Garante di agire anche di ufficio e, dunque, risulta pienamente coerente con tale statuizione il conseguente assorbimento della questione relativa alla segnalazione proveniente da un terzo e non dall’interessato.

Deve premettersi che la disciplina applicabile è quella antecedente alle modifiche di cui al D.Lgs. n. 101 del 2018. Ciò premesso, l’art. 154 nella versione in vigore al momento della consumazione dell’illecito nell’individuare i compiti del Garante prevedeva tra l’altro che il Garante doveva esaminare i reclami e le segnalazioni e provvedere sui ricorsi presentati dagli interessati o dalle associazioni che li rappresentano (lett. b); prescrivere anche d’ufficio ai titolari del trattamento le misure necessarie o opportune al fine di rendere il trattamento conforme alle disposizioni vigenti, ai sensi dell’art. 143 (lett. c); vietare anche d’ufficio, in tutto o in parte, il trattamento illecito o non corretto dei dati o disporne il blocco ai sensi dell’art. 143, e di adottare gli altri provvedimenti previsti dalla disciplina applicabile al trattamento dei dati personali (lett. d).

Inoltre, gli artt. 157 e 158 del codice, sempre nella versione ratione temporis applicabile alla fattispecie, prevedevano rispettivamente, il primo, che per l’espletamento dei propri compiti il Garante poteva richiedere al titolare, al responsabile, all’interessato o anche a terzi di fornire informazioni e di esibire documenti e il secondo, che il Garante poteva disporre accessi a banche di dati, archivi o altre ispezioni e verifiche nei luoghi ove si svolgeva il trattamento o nei quali occorreva effettuare rilevazioni comunque utili al controllo del rispetto della disciplina in materia di trattamento dei dati personali.

Dunque, il potere del Garante di agire di ufficio era previsto espressamente dal D.Lgs. n. 196 del 2003, citato art. 154 e i successivi artt. 157 e 158, nell’attribuire i poteri di accertamento e richiesta di informazioni subordinavano l’esercizio degli stessi all’iniziativa di parte.

Nello stesso senso il regolamento n. 1 del 2007 recante: procedure interne all’autorità aventi rilevanza esterna, finalizzate allo svolgimento dei compiti demandati al garante all’art. 15 prevedeva che: “Nell’esercizio dei compiti di controllo o comunque esercitabili dal Garante anche per legge, l’Autorità, valutati gli elementi in suo possesso e anche in assenza di ricorso, reclamo o segnalazione, può avviare d’ufficio un’istruttoria preliminare per verificare la sussistenza di idonei elementi in ordine a possibili violazioni della disciplina rilevante in materia di protezione dei dati personali”.

Dalla lettura delle norme indicate emerge la chiara previsione del potere ufficioso del Garante per la protezione dei dati personali, sicché la tesi della Provincia di Vercelli secondo la quale per attivare il potere di accertamento e il conseguente potere sanzionatorio fosse necessario un reclamo o una segnalazione dell’interessato e che, in presenza di una segnalazione di un terzo, fosse precluso al Garante di esercitare i suoi poteri di ufficio è del tutto destituita di fondamento.

3. Il ricorso è rigettato.

4. Le spese del giudizio seguono la soccombenza e si liquidano come da dispositivo.

5. Ai sensi del D.P.R. n. 115 del 2002, art. 13, comma 1 quater, si dà atto della sussistenza dei presupposti processuali per il versamento da parte della ricorrente di un ulteriore importo a titolo di contributo unificato pari a quello previsto per il ricorso a norma dello stesso art. 13, comma 1 bis, se dovuto.

P.Q.M.

La Corte rigetta il ricorso e condanna la ricorrente al pagamento delle spese del giudizio di legittimità che liquida in complessivi Euro 2.200 più spese prenotate a debito;

ai sensi del D.P.R. n. 115 del 2002, art. 13, comma 1 quater, inserito dalla L. n. 228 del 2012, art. 1, comma 17, dichiara la sussistenza dei presupposti per il versamento da parte della ricorrente del contributo unificato dovuto per il ricorso principale a norma dello stesso art. 13, comma 1 bis.

Così deciso in Roma, nella Camera di consiglio della Sezione Seconda Civile, il 22 settembre 2021.

Depositato in Cancelleria il 17 dicembre 2021