Cass. sez. III del 25/07/2023 n. 22.338, rel. Dell’Utri:
<<21. Osserva il Collegio come, conformemente a quanto rilevato in corrispondenza della decisione relativa ai primi due motivi del ricorso principale, secondo il più recente insegnamento della giurisprudenza di questa Corte (che il Collegio condivide integralmente e fa proprio, al fine di assicurarne continuità), la responsabilità dei danni determinati dall’illecita divulgazione dei dati personali, ai sensi del d. lgs. n. 196 del 2003, art. 15, comma 1 (applicabile ratione temporis), dev’essere ascritta a carico di chiunque, con la propria condotta, li abbia provocati, indipendentemente dalla qualifica rivestita (cfr. Sez. 1, Ordinanza n. 11020 del 26/04/2021, Rv. 661185 – 01).
22. In breve, l’attribuzione della responsabilità per l’illecita divulgazione dei dati personali chiede d’essere declinata secondo il criterio della contribuzione causale (conformemente alla ratio che ispira la disciplina dell’art. 2050 c.c., richiamato dal d. lgs. n. 196 del 2003, art. 15, comma 1, applicabile ratione temporis, secondo cui “Chiunque cagiona danno ad altri per effetto del trattamento di dati personali è tenuto al risarcimento ai sensi dell’art. 2050 del codice civile”), nel senso che ciascun soggetto che, con la propria condotta (in qualunque modo interferente con il trattamento di dati personali), abbia contribuito causalmente alla divulgazione illecita di tali dati, deve ritenersi responsabile (o corresponsabile) di detta divulgazione; e tanto, indipendentemente dalla qualifica formale eventualmente rivestita in relazione alla titolarità, alla responsabilità del trattamento, alla relativa conservazione o al relativo controllo concreto.
23. Nel caso di specie, rispetto al fatto dannoso dedotto in giudizio dal G. (consistito nell’illecita divulgazione online, nel dicembre del 2007, anche dei dati relativi alla relativa residenza personale, non giustificata dalla pubblicazione delle fonti informative contenenti tali dati), l’accertamento dell’eventuale contributo causale fornito da tutte le parti convenute in giudizio non avrebbe dovuto essere trascurata dai giudici del merito, non potendo certamente escludersi, in via di principio, che ciascuno di essi potesse avere, in qualche misura, concorso o contribuito, sul piano causale, a tale illecita divulgazione.
24. Ciò posto, l’avvenuta limitazione della condanna pronunciata dalla corte territoriale a carico del solo (ritenuto) responsabile della testata online per l’illecito trattamento dedotto in giudizio deve ritenersi in tal senso ingiustificata: da un lato, per essersi il giudice d’appello sottratto all’obbligo di pronunciare sulla domanda proposta nei confronti degli altri convenuti e, dall’altro, per avere il giudice d’appello escluso (sia pure implicitamente) la responsabilità di questi ultimi nell’operazione di divulgazione dei dati personali, limitandosi immotivatamente a pronunciare la condanna del solo Z.V. in ragione della mera qualifica formale rivestita.
25. Nel rimettere al giudice del rinvio il compito di procedere all’indagine concreta sull’eventuale responsabilità risarcitoria di ciascuno dei convenuti nei confronti del G., varrà peraltro ribadire come la statuizione di rigetto pronunciata dalla corte territoriale in relazione alla domanda risarcitoria proposta dal G. nei confronti di M.E. non sia stata specificamente contestata dall’odierno ricorrente principale, essendosi quest’ultimo limitato in questa sede a censurare in modo espresso la limitazione della pronuncia di condanna nei confronti del solo Z.V. per non averla estesa nei confronti della GEDI Gruppo Editoriale s.p.a.; ciò che impone di ritenere come sul rigetto della domanda risarcitoria avanzata dal G. nei confronti di M.E. si sia definitivamente formato il corrispondente giudicato interno, con definitiva preclusione di ogni ulteriore questione sul punto specifico.
26. Con il secondo motivo, i ricorrenti incidentali censurano la sentenza impugnata per violazione e falsa applicazione del D.Lgs. n. 196 del 2003, artt. 137 e 139, nonché del c.d. codice deontologico dei giornalisti, per avere la corte territoriale erroneamente ritenuto illecito il trattamento dei dati personali relativi al G., essendosi i giornalisti del sito Internet de ‘(Omissis)’ nella specie limitati alla mera trascrizione integrale dell’informativa di reato elaborata dalla polizia giudiziaria su delega della magistratura inquirente, senza alcun intervento correttivo, nella sua integralità, senza ritocchi, rimaneggiamenti o censure, con la conseguente insussistenza di alcuna lesività di detta pubblicazione, trattandosi di informazioni annotate dagli stessi inquirenti (poiché ritenuti di evidente rilevanza ai fini dell’indagine) e, conseguentemente, dell’informazione di interesse pubblico relativa ai fatti narrati.
27. Il motivo è infondato.
28. Osserva il Collegio come i principi di diritto che governano il giudizio di liceità del trattamento dei dati personali impongano che tale trattamento avvenga sul presupposto della responsabilizzazione dell’autore del trattamento (sia esso titolare o responsabile) in relazione alle modalità di esecuzione di tale trattamento.
29. Fra tali principi, assume carattere decisivo in questa sede quello stabilito dal D.Lgs. n. 196 del 2003, art. 11, comma 1, lett. d) (applicabile ratione temporis al caso di specie), ai sensi del quale “i dati personali oggetto di trattamento sono: pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono raccolti o successivamente trattati”.
30. In breve, il trattamento dei dati personali in tanto può ritenersi lecito, in quanto le informazioni divulgate siano limitate ai soli dati strettamente indispensabili rispetto alle finalità informative perseguite: si tratta del medesimo principio successivamente formulato nell’art. 5, comma 1, lett. c), del Regolamento (UE) 2016/679 del Parlamento Europeo e del Consiglio, del 27 aprile 2016 (richiamato dal D.Lgs. n. 196 del 2003, art. 1, così come riformulato dal D.Lgs. n. 101 del 2018), secondo cui “i dati personali sono: (…) adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati (“minimizzazione dei dati”)”; principio pacificamente fatto proprio dalla giurisprudenza di questa Corte, là dove ha sottolineato come, in tema di tutela della riservatezza, il trattamento dei dati personali deve essere sempre effettuato nel rispetto del ‘criterio di minimizzazioné dell’uso degli stessi, dovendo cioè essere utilizzati solo se indispensabili, pertinenti e limitati a quanto necessario per il perseguimento delle finalità per cui sono raccolti e trattati (cfr. Sez. 1, Ordinanza n. 11020 del 26/04/2021, Rv. 661185 – 02).
31. Nel caso di specie, del tutto correttamente la corte territoriale ha rilevato come costituisse uno specifico dovere dell’autore dell’articolo intervenire sull’informativa di polizia giudiziaria ricevuta (e destinata alla pubblicazione) al fine di depurarla dei dati personali (nella specie dell’indirizzo della residenza del G.) che in nessun modo avrebbero sottratto o aggiunto alcunché di significativo al contenuto informativo dell’articolo.
32. Proprio la circostanza di aver trascurato tale dovere e di non aver provveduto alla divulgazione “responsabile” di quell’informativa di polizia giudiziaria (nella parte in cui riportava il dato della residenza personale del G.) ha determinato la manifesta eccedenza del trattamento, rispetto alle finalità della pubblicazione e, conseguentemente, la relativa illiceità>>.
sentenza esatta, anche tutto sommato relativa a questioni di facile soluzione