art. 9 Trattamento di categorie particolari di dati personali

Superfluità del consenso al trattamento dati in caso di necessità a fini difensivi da aprte del lavoratore (anche se concernente un terzo non parte del giudizio)

Cass. sez. lav. 21/07/2025 n. 20.487, rel. Ponterio, circa il vecchio art. 24 cod. priv. (ora v. art. 6 § 1, sub f) – art. 9 § 2 legg. f) , GDPR), sulla registrazione di una conversazione tra datore e altro lavoratore, diverso dal registrante:

In generale:

<<Con orientamento costante questa Corte (v. per tutte Cass., n. 11322 del 2018) ha sottolineato come la rigida previsione del consenso del titolare dei dati personali subisca “deroghe ed eccezioni quando si tratti di far valere in giudizio il diritto di difesa, le cui modalità di attuazione risultano disciplinate dal codice di rito” (Cass., Sez. U., 8 febbraio 2011, n. 3034). Ciò sulla scorta dell’imprescindibile necessità di bilanciare le contrapposte istanze della riservatezza da una parte e della tutela giurisdizionale del diritto dall’altra e pertanto di contemperare la norma sul consenso al trattamento dei dati con le formalità previste dal codice di procedura civile per la tutela dei diritti in giudizio.

Si è quindi precisato che l’utilizzo a fini difensivi di registrazioni di colloqui tra il dipendente e i colleghi sul luogo di lavoro non necessita del consenso dei presenti e che la tale registrazione fonografica, rientrando nel genus delle riproduzioni meccaniche di cui all’art. 2712 c.c., ha natura di prova ammissibile nel processo civile del lavoro così come in quello penale (v. Cass. 29 dicembre 2014, n. 27424 ed i richiami in essa contenuti a Cass. 22 aprile 2010, n. 9526 ed a Cass. 14 novembre 2008, n. 27157).

È stato, altresì, chiarito che l’ipotesi derogatoria di cui all’art. 24 del D.Lgs. n. 196/2003 che permette di prescindere dal consenso dell’interessato sussiste anche quando il trattamento dei dati, pur non riguardanti una parte del giudizio in cui la produzione viene eseguita, sia necessario per far valere o difendere un diritto (Cass. 20 settembre 2013, n. 21612), a condizione che i dati medesimi siano trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento (cfr. la sopra richiamata Cass., Sez. U., n. 3033 del 2011 nonché Cass. 11 luglio 2013, n. 17204 e Cass. 10 agosto 2013, n. 18443).

Inoltre, il diritto di difesa non va considerato limitato alla pura e semplice sede processuale, estendendosi a tutte quelle attività dirette ad acquisire prove in essa utilizzabili, ancor prima che la controversia sia stata formalmente instaurata mediante citazione o ricorso (cfr. la già citata Cass. n. 27424 del 2014). Alla luce di tali premesse, si è giudicata legittima, cioè inidonea ad integrare un illecito disciplinare, la condotta del lavoratore che abbia effettuato tali registrazioni per tutelare la propria posizione all’interno dell’azienda e per precostituirsi un mezzo di prova, rispondendo la stessa, se pertinente alla tesi difensiva e non eccedente le sue finalità, alle necessità conseguenti al legittimo esercizio di un diritto ed essendo coperta dall’efficacia scriminante dell’art. 51 c.p., di portata generale nell’ordinamento e non limitata al solo ambito penalistico (Cass. 29 dicembre 2014, n. 27424). Si è sottolineato che l’applicazione degli anzidetti principi esige un attento ed equilibrato bilanciamento tra la tutela di due diritti fondamentali, quali la garanzia della libertà personale, sotto il profilo della sfera privata e della riservatezza delle comunicazioni, da una parte e del diritto alla difesa, dall’altra; esso si deve fondare su una valutazione rigorosa del requisito di pertinenza, nella prospettiva di una diretta e necessaria strumentalità, della registrazione all’apprestamento della finalità difensiva nell’orizzonte sopra illustrato, all’interno di una scrupolosa contestualizzazione della vicenda (così Cass. n. 31204 del 2021).>>

Sui fatti di casusa:

<< 3.1. Nel caso di specie, il ricorrente invoca la scriminante di cui all’art. 24 del D.Lgs. 196/2003 e di cui all’art. 51 c.p. adducenco che la registrazione per cui è causa era conseguente al rinvenimento il 18.3.2016, nel proprio fascicolo personale, di una nota di demerito del seguente tenore: “Se non ha voglia di lavorare che se ne vada…nessuno lo trattiene!!!”, attribuita al Direttore VII Tronco, geom. Marrone; tale nota di demerito, di cui gli era stata consegnata solo una copia parziale, era significativa del “clima” aziendale in essere nei suoi confronti e la stessa era stata poi dichiarata illegittima dalla Corte d’Appello di Ancona con sentenza n. 165/2022. Aggiunge che, all’epoca della registrazione, i precedenti disciplinari non erano limitati alle sanzioni irrogate nel 2012 ma comprendevano anche le sanzioni adottate nel 2014.

3.2. La Corte d’Appello ha accertato che la registrazione della conversazione tra il direttore del personale e la collega Or.Pa. (a cui era estraneo il Va.Do.) era stata effettuata (per la durata di circa due ore) il 18.3.2016; che all’epoca non vi era alcun contenzioso pendente tra il Va.Do. e la datrice di lavoro; che l’ultima sanzione disciplinare irrogata al predetto risaliva al 21.9.2012 ed era motivata dal mancato rispetto del turno lavorativo e dall’abbandono anticipato del posto di lavoro; che solo con il ricorso del 27.6.2018 il dipendente aveva impugnato la sanzione disciplinare del 2012 ed aveva anche chiesto il risarcimento dei danni da condotte vessatorie e prodotto la registrazione della citata conversazione.

Sulla base di tale ricostruzione in fatto, i giudici di appello hanno ritenuto che la registrazione, non realizzata in pendenza di un procedimento giurisdizionale o in vista di una sua imminente introduzione e al fine di precostituire mezzi di prova utili alla difesa in quella sede, aveva una finalità meramente esplorativa e in nessun modo interferiva con i fatti posti a base dell’infinito descritte modalità e finalità, detta registrazione non era in alcun modo pertinente e funzionale all’esercizio del diritto di difesa ma, al contrario, realizzava un notevole inadempimento degli obblighi contrattuali di correttezza e fedeltà, legittimando come proporzionata l’irrogazione della sanzione conservativa.

3.3. Ferma la ricostruzione in fatto come operata dai giudici di merito, non censurabile in questa sede di legittimità neppure ai sensi dell’art. 360 n. 5 c.p.c. in ragione della disciplina cd. della doppia conforme, deve rilevarsi come la Corte d’Appello si sia rigorosamente attenuta ai principi di diritto sopra richiamati e ciò comporta l’insussistenza della violazione di legge contestata. In particolare, i giudici di appello hanno evidenziato l’assenza di un qualsiasi nesso di pertinenza e strumentalità tra la registrazione del colloquio tra altri dipendenti della società e l’esercizio del diritto di difesa del Va.Do., sia rispetto alle sanzioni disciplinari del 2012 e sia rispetto ad altre rivendicazioni, non avanzate neppure in via stragiudiziale, in un orizzonte temporale plausibile; al contrario, la distanza temporale tra l’epoca della indebita registrazione (2016) e la proposizione del ricorso (2018) e l’inesistenza di un nesso di contenuto tra detta registrazione e l’oggetto del ricorso in giudizio del 2018, hanno condotto i giudici di appello, in consonanza con i precedenti di questa Corte, ad escludere i presupposti per poter considerare scriminata la violazione dell’altrui diritto alla riservatezza.>>

Trattamento di dati biometrici da parte dell’Università col software che controlla lo svolgimento delle prove di accesso (sul software Respondus usato da Bocconi in epoca pandemica)

Cass. sez. I, ord. 13/05/2024 n. 12.967, rel. Tricomi:

<<3.1. – In sintesi, per quanto interessa nel presente caso, il trattamento dei dati biometrici intesi a identificare in modo univoco una persona fisica in mancanza del consenso dell’interessato è vietato ai sensi del Regolamento 2016/6790; il divieto viene meno e il trattamento è ammesso quando è necessario per motivi di interesse pubblico rilevante, in specifiche materie, tra cui rientra l’istruzione e la formazione in ambito scolastico, professionale, superiore o universitario, secondo quanto previsto dal D.Lgs. n. 196/2003, con la precisazione che il trattamento “deve essere proporzionato alla finalità perseguita, rispettare l’essenza del diritto alla protezione dei dati e prevedere misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato”, in linea anche con il principio di “responsabilizzazione” dettato dall’art.5, par. 2 del Regolamento 2016/679.

3.2. – Il Tribunale ha affermato che Respondus, descritto come un software che “cattura le immagini video e lo schermo dello studente identificando e contrassegnando con un flag i momenti in cui sono rilevati comportamenti insoliti e/o sospetti mediante registrazione video e istantanee scattate a intervalli casuali per tenere traccia di comportamenti anomali… Al termine della prova, il sistema elabora il video, inserendo segnali di allerta in merito a possibili indici di comportamenti scorretti … affinché il docente … possa poi valutare se effettivamente sia stata commessa un’azione non consentita nel corso della prova” (fol.12), realizza la mera acquisizione di una foto (o una registrazione video) e non configura un trattamento di dati biometrici.

In questa sequenza, secondo il Tribunale, non vi sarebbe trattamento dei dati biometrici tesi a identificare in modo univoco una persona fisica, posto che lo studente esaminato dal software non sarebbe identificato attraverso i suoi dati biometrici raccolti e trattati dal sistema Respondus, ma dal docente chiamato a vagliare il video finale.

3.3. – La conclusione è in contrasto con le norme in materia di trattamento dei dati personali e l’errore che segna la ricostruzione del Tribunale riguarda la sussunzione della fattispecie concreta nella fattispecie astratta di trattamento di dati personali, genus nel quale rientrano i dati biometrici.

3.4. – Come si evince dalla descrizione del funzionamento del software Respondus (prima ricordata e desunta dalla sentenza impugnata), questo non si limita a registrare a video la prova di esame, ma nel corso della ripresa cattura immagini della persona fisica che svolge la prova di esame e seleziona, mediante la realizzazione di video, lo scatto di istantanee ad intervalli casuali e i momenti in cui rileva comportamenti insoliti. Proprio in ragione della contestuale selezione del materiale raccolto in merito a comportamenti anomali, al termine della prova, lo stesso software realizza un video in cui confluiscono gli elementi anomali (contrassegnati da flag) che possono attenere alla conferma o meno della corrispondenza fisica della persona esaminata con lo studente (già identificato dall’Università come da sottoporre alla prova) e a ulteriori anomalie registrate; video che viene sottoposto al docente, per la sua valutazione finale in ordine alla regolarità della prova sostenuta dalla persona.

Risulta da ciò palese che le riprese video e foto realizzate da Respondus non hanno solo la funzione di documentare la prova di esame, ma si connotano per la contestuale elaborazione e selezione del materiale, di momento in momento raccolto, selezione che converge nella individuazione ed alla segnalazione di comportamenti anomali, attraverso la produzione del video finale.

Il Tribunale ha mancato di considerare che questa complessiva attività integra un autonomo e articolato trattamento dei dati biometrici acquisiti ed elaborati dallo stesso software, e attiene anche alla conferma dell’identità della persona fisica esaminata, come previsto dall’art.4, n.14 del Regolamento, giacché l’esito di detta elaborazione risulta sottoposto solo ex post al docente per la sua valutazione in ordine alla regolarità della prova.

Come ricordato dallo stesso Tribunale, il ciclo di vita dei dati biometrici è costituito dalla sequenza in quattro fasi – secondo la Descrizione accreditata dal Garante per la protezione dei dati personali, Linee Guida in materia di riconoscimento biometrico e firma grafometrica, 12 novembre 2014 – che vede:

a) Una prima fase, con un rilevamento tramite sensori specializzati (ad es. scanner per il rilevamento dell’impronta digitale) o dispositivi di uso generale (ad es. videocamera) di caratteristiche biometriche (ad es. viso dell’individuo);

b) Una seconda fase: a seguito del rilevamento si acquisisce un campione biometrico (ad es. immagine del viso);

c) Una terza fase: dal campione biometrico vengono estratti tratti (ad es. specifici punti del viso) idonei a costituire il modello biometrico che sarà conservato in una banca dati;

d) Una quarta fase, cd. del confronto (o di match): il modello biometrico viene confrontato con le effettive caratteristiche dell’individuo ed il confronto in parola consente la identificazione univoca della persona fisica.

La decisione impugnata non risulta avere tenuto conto, rettamente, di tali indicazioni, perché ha trascurato di considerare che, nel procedimento attuato mediante l’utilizzo del software Respondus, per come descritto dalla stesso Tribunale, la quarta fase di confronto appare svolgersi nel corso di tutta la ripresa, sulla scorta della elaborazione informatica dei dati di volta in volta acquisiti ed elaborati mediante la creazione di flag relativi ai comportamenti anomali, che possono riguardare anche la conferma della corrispondenza identitaria della persona ripresa in video con quella dello studente da esaminare, proprio perché già identificato dall’Università, e che il controllo conclusivo della prova di esame, affidato al docente persona fisica non esclude (ne è incompatibile con) il trattamento automatizzato dei dati biometrici, ove già attuato mediante l’impiego del software, e non lo sottrae alla disciplina dettata dall’art.9 del Regolamento 2016/679.

3.5. – Il motivo, che è dunque fondato, va accolto e il Tribunale, in sede di rinvio, dovrà procedere al riesame, attenendosi al seguente principio di diritto:

“In tema di trattamento dei dati personali, ai sensi dell’art. 9 del Reg (UE) 2016/679, ricorre un trattamento di dati biometrici, come definiti dall’art. 4, n.14 del Regolamento 2016/679, quando i dati personali sono ottenuti mediante un trattamento tecnico automatizzato specifico, realizzato con un software che, sulla base di riprese e analisi delle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica, le elabora, evidenziando comportamenti o elementi anomali, e che perviene a un esito conclusivo, costituito da una elaborato video/foto che consente (o che conferma) l’identificazione univoca della persona fisica, restando irrilevante la circostanza che l’esito finale del trattamento sia successivamente sottoposto alla verifica finale di una persona fisica“>>.

La registrazione abusiva di telefonata può provare l’infedeltà matrimoniale: intorno al concetto di “prova illecita”

Di un certo itneresse Appello Reggio Calabria 11.05.2022, RG 760/2019, sent. n° 345/2022.

Il figlio aveva lasciato il suo cell. acceso nell’auto della madre, presumendo che avrebbe incontrato un amante e di poterla quindi registrare. Così fu.

Il padre utilizzo tale registrzione producendola come CD nel processo di dovorzio e trascrivendone il contenuto nell’atto introduttivo.

Particolarità processuale: aveva ritirato il fascicolo diparte (col CD) in udienza di precisazione delle concluisioni, per restituirlo solo dopo il termine per le conclusionali.

I problemi son due:

i) se tale registrazione è lecita o illecita;

ii) nel secondo caso, se sia producibile/utilizzabile nel giudizio divile.

Vecchi temi quello delle prove illecite e delle prove atipiche nel processo civile (scritti importanti di Ricci ed oggi di Passanante). Un tempo illecite erano spt. i documenti rubati, oggi i documenti informatici violanti la privacy.

La Corte ritiene utilizzabile tale prova come prova atipica, mancando una norma che ne sancisca l’inutilizzabilità come nel c.p.p.

<<Intanto, può escludersi che la condotta in questione abbia determinato la commissione di un reato, non ricorrendo, in particolare, tutti gli elementi costitutivi delle fattispecie di cui agli artt. 615 bis e 617 c.p..
In ogni caso, è opinione della Corte che anche la ravvisabile violazione della sfera di riservatezza altrui non impedisca l’acquisizione e la valutazione della prova nel presente procedimento.
L’ordinamento processuale civile, infatti, non prevede alcuna norma che, come l’art. 191 c.p.p. nell’ordinamento penale, sanzioni l’inutilizzabilità delle prove acquisite in violazione dei divieti stabiliti dalla legge.
Esso è, invece, governato dai principi della atipicità della prova e del libero convincimento del giudice, in virtù dei quali, in assenza di divieti di legge, quest’ultimo può formare il proprio convincimento anche, per esempio, in base a prove atipiche, come quelle raccolte in un altro giudizio tra le stesse o tra altre parti, senza che rilevi la divergenza delle regole, proprie di quel procedimento,
relative all’ammissione e all’assunzione della prova (ex plurimis, cfr. Cass. Civ., sez. I, n. 25067/2018; sez. III, n. 13229/2015).
L’applicazione di eventuali sanzioni – anche di carattere procedurale – conseguenti a condotte poste in essere in violazione delle norme contenute negli altri ambiti ordinamentali è a tali sede riservata e non incide sulla libera apprezzabilità della prova in ambito civile.
Ciò premesso, nel caso in esame si è comunque in presenza di una registrazione fonografica, riconducibile al disposto dell’art. 2712 c.c..
La giurisprudenza di legittimità è costante nell’affermare che la registrazione su nastro magnetico di una conversazione può costituire fonte di prova, ex articolo 2712 del c.c., se colui contro il quale la registrazione è prodotta non contesti che la conversazione sia realmente avvenuta, né che abbia avuto il tenore risultante dal nastro; il “disconoscimento” che fa perdere alle riproduzioni la loro qualità di prova deve essere però chiaro, circostanziato ed esplicito, nel senso che deve concretizzarsi nell’allegazione di elementi che attestino la non corrispondenza tra realtà fattuale e realtà riprodotta (ex plurimis: Cass. Civ., sez. II, n. 1220/2019; sez. II, n. 313/2019; sez. III, n. 1250/2018).
Nel caso in esame, nella memoria integrativa depositata dopo la costituzione in giudizio del marito, con la produzione della registrazione e della relativa trascrizione, la difesa della B. si è limitata ad affermare che le frasi riportate erano state pronunciate in un contesto burlesco tra amici, con espressioni forzate frutto di ironia, ed ha, solo in termini del tutto generici ed ipotetici, dedotto la necessità di opportuni riscontri e verifiche.
Solo, tardivamente, nella comparsa ex art. 183, comma VI, n. 3, c.p.c. la stessa difesa ha, in termini peraltro altrettanto generici, evidenziato la necessità della “esibizione” in giudizio dello smartphone utilizzato per la registrazione, al fine di “correlare” il compact disk con questo.
Va detto, ancora, che, rendendo l’interrogatorio formale deferitole, la stessa B____ ha espressamente riconosciuto la propria voce ed ammesso di aver parlato con un uomo di nome Angelo (“Ho ascoltato la registrazione prodotta in atti su c.d., riconosco la mia voce e riconosco di aver fatto più telefonate in quella circostanza…Riconosco che ho anche parlato con un uomo di nome Angelo”).
Infine, occorre evidenziare che il supporto contenente la registrazione, ritirato insieme al fascicolo di parte all’atto della assegnazione della causa a sentenza, è stato prodotto nuovamente in sede di giudizio di impugnazione, come pacificamente consentito (ex plurimis: Cass. Civ., sez. VI, n. 29309/2017; sez. III, n. 28462/2013; sez. II, n. 3466/1982).
Peraltro, e per inciso, correttamente il primo Giudice aveva utilizzato la trascrizione della conversazione riportata nella comparsa di risposta del resistente e, come visto, di fatto non contestata.
Ciò posto, le valutazioni compiute in sentenza circa la rilevanza causale della violazione dell’obbligo di fedeltà da parte della odierna appellante – chiaramente evincibile dal colloquio telefonico intrattenuto dalla B____ con un uomo di nome Angelo – appaiono pienamente condivisibili.
E’ vero, infatti, che nella memoria integrativa la ricorrente non ha contestato la circostanza del repentino mutamento di abitudini di vita a partire dal mese di giugno 2013 e, soprattutto, non ha adeguatamente allegato, né tanto meno provato che la crisi della coppia fosse preesistente e legata alla violazione dei doveri coniugali da parte del marito, del tutto generiche e non ricollegate a comportamenti ed eventi concreti risultando le relative deduzioni.
Il tenore della conversazione registrata il 27 febbraio 2014 lascia invece intendere, come sottolineato in sentenza, l’esistenza di un rapporto e di una consuetudine risalenti fra la B____ ed il suo interlocutore, con cui peraltro la donna parlava del Bar R____ proprio il luogo che, a partire dall’estate precedente, aveva preso a frequentare con assiduità nelle ore notturne (si rimanda ai brani riportati in sentenza)>>.

Manca però ogni accesso all’inquadramento tramite il GDPR , spt. trmite l’art. 9.1.lett. f) , secondo cui non applica il divieto di trattamento se <<il trattamento è necessario per accertare, esercitare o difendere un diritto in sede giudiziaria o ogniqualvolta le autorità giurisdizionali esercitino le loro funzioni giurisdizionali;>>.

Se vale per i dati biometrici , tale eccezione varrà anche per i dati meno “delicati”.

Dichiarazioni personali dei dirigenti pubblici e tutela della privacy ex art. 6.1.e ed ex art. 9.1 GDPR

Se ne occupa Corte di Giustizia 01.08.2022, C-184/20.

In Lituania i dirigenti di enti pubblici, o pubblicamente finanziati, devono presentare all’assunzione una dichiarazione di interessi privati, con questo contenuto:

L’articolo 6 della legge succitata, intitolato «Contenuto della dichiarazione», così recita:

«1. Il dichiarante indica nella sua dichiarazione le seguenti informazioni relative a sé stesso, al proprio coniuge, convivente o partner:

1) nome, cognome, numero identificativo personale, numero di previdenza sociale, datore/i di lavoro e mansioni;

2) persona giuridica di cui il dichiarante o il coniuge, convivente o partner riveste la qualità di associato o di socio;

3) attività indipendente, come definita nella legge della Repubblica di Lituania sull’imposta sui redditi;

4) appartenenza a imprese, enti, associazioni o fondi e funzioni ivi esercitate, fatta eccezione per l’appartenenza a partiti politici e a sindacati;

5) doni (diversi da quelli di parenti) ricevuti nel corso degli ultimi dodici mesi civili, se il loro valore supera EUR 150;

6) informazioni sulle operazioni concluse nel corso degli ultimi dodici mesi civili e sulle altre operazioni in corso, se il valore dell’operazione è superiore a EUR 3 000;

7) parenti o altre persone o dati noti al dichiarante idonei a far insorgere un conflitto d’interessi.

2. Il dichiarante può omettere i dati relativi al coniuge, convivente o partner se vivono separati, non formano un nucleo familiare comune ed egli non dispone pertanto di tali dati» (§ 29)-

Dichiarazione che viene resa poi pubblica in rete (§ 30).

Il giudice a quo chiede se ciò contrasti con le disposizioni in oggetto.

Riposta della CG:

<< 1) L’articolo 7, lettera c), della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati, e l’articolo 6, paragrafo 1, primo comma, lettera c), e paragrafo 3, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), letti alla luce degli articoli 7, 8 e 52, paragrafo 1, della Carta dei diritti fondamentali dell’Unione europea, devono essere interpretati nel senso che ostano a una normativa nazionale che prevede la pubblicazione in rete della dichiarazione di interessi privati che qualsiasi direttore di un ente percettore di fondi pubblici è tenuto a presentare, in quanto, in particolare, tale pubblicazione riguardi dati nominativi, relativi al coniuge, convivente o partner nonché ai parenti o conoscenti del dichiarante che possono dar luogo a un conflitto di interessi, nonché qualsiasi operazione conclusa nel corso degli ultimi dodici mesi il cui valore ecceda EUR 3 000.

2) L’articolo 8, paragrafo 1, della direttiva 95/46 e l’articolo 9, paragrafo 1, del regolamento 2016/679 devono essere interpretati nel senso che la pubblicazione, sul sito Internet dell’autorità pubblica incaricata di raccogliere le dichiarazioni di interessi privati e di controllarne il contenuto, di dati personali idonei a divulgare indirettamente l’orientamento sessuale di una persona fisica costituisce un trattamento di categorie particolari di dati personali, ai sensi di tali disposizioni>>.