CHIAMA
Il consenso generico prestato da un soggetto alla raccolta e all’utilizzo dei propri dati personali autorizza il responsabile ovvero il titolare del trattamento ad impiegarli per finalità alternative a quella per cui è stato dato?
Quando possono configurarsi fattispecie lesive della privacy personale tali da generare una lesione all’immagine ed all’integrità psicofisica di un soggetto?
La vicenda che ci occupa origina innanzi al Tribunale di Pisa, dove la parte ricorrente -asseritamente lesa nel proprio diritto all’immagine in conseguenza dell’illecito trattamento dei propri dati ad opera di un centro estetico- richiedeva al Tribunale il risarcimento del danno morale e patrimoniale.
Nello specifico, in occasione della prima seduta del pacchetto acquistato per trattamenti migliorativi del corpo, veniva richiesto alla cliente rimuovere i capi indossati, così da procedere alla misurazione della massa grassa corporea.
Nel prosieguo della visita, e subito dopo la misurazione, la dipendente del centro effettuava degli scatti fotografici integrali della persona senza indumenti, così da cagionare uno stato di ansia tale, da provocarne all’improvviso lo scoppio in lacrime; a fronte della insistente richiesta della cliente di cancellare le foto, l’addetta del centro estetico si limitava a trasferire il files digitale nel cestino del device, in luogo della rimozione totale.
Il Tribunale, esaurita l’istruttoria, rigettava la richiesta di risarcimento del danno formulata, ritenendo non sussistente la violazione della normativa europea concernente la raccolta ed il trattamento dei dati personali.
La parte attrice, incardinato Giudizio di Legittimità, chiedeva la cassazione della sentenza resa nel primo grado, mediante articolazione di otto motivi di ricorso.
Il Supremo Collegio, udita la relazione in camera di consiglio ad opera dell’Istruttore, ha statuito per la fondatezza del gravame, in virtù dell’accoglimento del terzo e quarto motivo di ricorso, ritenuti assorbenti gli ulteriori motivi.
La ricorrente, con il terzo motivo di ricorso, ha denunciato la violazione e falsa applicazione del Regolamento UE 679/2016, art.6 paragrafo 1 e art.7 (di seguito G.D.P.R.) – delle Linee Guida 2/2019 e del Considerando 43, con riferimento alla necessità di rilasciare specifico consenso al trattamento ed alla raccolta dei dati personali, laddove questi vengano impiegati per finalità diverse da quelle ricomprese nella prestazione contrattuale.
La ricorrente, con il quarto motivo di ricorso ha censurato l’omesso esame, da parte del Tribunale, di un fatto decisivo ai fini della causa, consistente nell’analisi dell’informativa e delle condizioni generali, depositate agli atti di causa, facenti riferimento, a pagina 5, all’effettuazione di scatti fotografici.
I giudici di Legittimità, nel richiamare la normativa europea, confermano l’ammissibilità delle censure innanzi prospettate, in quanto l’art.6 G.D.P.R. – nello stabilire le condizioni di liceità in merito alla raccolta ed al trattamento dei dati personali – evidenzia la necessità di prestare il consenso, specificamente, ai sensi della lettera a, se riferito ad una o più finalità, ovvero, ai sensi della lettera b, se necessario all’esecuzione della prestazione sinallagmatica.
In considerazione della richiamata normativa, risulta pacifico ed incontrovertibile come la parte danneggiata avrebbe dovuto prestare specifico consenso a tutte le prestazioni esenti dal pacchetto massaggi acquistato, configurandosi – in caso contrario – violazione delle norme comunitarie a tutela della raccolta e gestione dei dati personali.
La Corte di Cassazione, dunque, disposto l’accoglimento del terzo e quarto motivo, prosegue nella trattazione mediante disamina delle rimanenti censure.
Il primo motivo di ricorso lamenta violazione ex art 82 paragrafo 1 G.D.P.R. in riferimento al diritto del danneggiato ad essere risarcito in seguito alla violazione delle norme di cui al regolamento europeo.
Il secondo motivo di ricorso denuncia violazione ex art. 115 cpc in relazione all’onere probatorio ritenuto non assolto dal Tribunale inerente allo stato di ansia e angoscia patito dalla ricorrente.
Entrambi i motivi sono stati dichiarati assorbiti in funzione dell’accoglimento del terzo e quarto motivo.
Il quinto motivo di ricorso – concernente la violazione ex art 157 in relazione all’art.246 cpc – è dichiarato inammissibile per mancata produzione documentale tale da consentire l’apprezzamento della vicenda processuale ai Giudici di Legittimità.
Il sesto motivo di ricorso censura la violazione e falsa applicazione dell’art. 2729 c.c., laddove il Giudice ha escluso l’applicazione delle disposizioni in tema di presunzioni ai fini della valutazione dello stato di sofferenza interiore patito dalla ricorrente.
Il motivo di censura innanzi delineato viene dichiarato assorbito in funzione dell’accoglimento del terzo e quarto motivo e rinviato al Giudice del primo grado, il quale – anche in ossequio al principio espresso dalla giurisprudenza di legittimità mediante Ordinanza N°8115/2026 – dovrà operare un chiarimento in merito al criterio logico giuridico posto a base della statuizione al fine di valutare se, gli elementi raccolti ex art 2729 c.c., anche se sforniti di valenza indiziaria, non siano in grado di acquisirla, ove valutati nell’interezza del contesto.
Il settimo motivo di ricorso, con cui si denuncia violazione e falsa applicazione dell’art. 132, secondo comma, n. 3 c.p.c. e art. 118 disp. att. c.p.c. in riferimento alla nullità della sentenza per la mancata pronuncia del Giudicante in merito ad una testimonianza resa da un teste nel corso dell’istruttoria, è inammissibile per carenza di specificità.
L’ottavo motivo, teso a denunciare la violazione dell’art. 1362 cod. civ. e dell’art.112 c.p.c. -si sostiene che il giudice, nell’interpretare l’atto introduttivo del giudizio, non ha tenuto conto dell’effettiva volontà della ricorrente, la quale, da un lato aveva chiesto il risarcimento del danno morale e patrimoniale conseguente all’illecita acquisizione e trattamento dei suoi dati, dall’altro l’esercizio del diritto di recesso convenzionale con efficacia ex nunc, ai sensi dell’articolo 7 delle condizioni generali del contratto-, è assorbito in ragione dell’accoglimento dei motivi terzo e quarto.
Il Supremo Collegio, dunque, in accoglimento del terzo e quarto motivo di ricorso, dichiarato l’assorbimento di altri quattro motivi e l’inammissibilità di ulteriori due, ha disposto per il rinvio innanzi al Tribunale di Pisa, in diversa composizione, al fine di procedere alla rivalutazione della domanda di risarcimento del danno formulata a seguito delle lesioni subite in violazione delle disposizioni comunitarie in tema di trattamento e raccolta dei dati personali.
I punti cardine espressi dalla normativa europea, richiamati dalla Corte di Cassazione, e vincolanti per il Giudice del rinvio, possono così essere riepilogati:
- le disposizioni di cui al Regolamento UE 679/2016 (G.D.PR.), individuano il consenso dell’interessato in una manifestazione di volontà libera, specifica, informata ed inequivocabile dell’interessato (art. 4).
- Tale estrinsecazione assertiva deve essere prestata consapevolmente dall’interessato – ai fini della liceità del trattamento e della raccolta dei dati personali – per potersi eseguire la prestazione sinallagmatica ovvero per una o più specifiche finalità ad essa non riconducibili (art.6 lett. a e lett. b).
- Le condizioni generali di consenso indicate dalla normativa europea individuano l’onere in capo al titolare del trattamento di dimostrare che l’interessato ha acconsentito al trattamento dei propri dati personali e, qualora il consenso sia necessario all’espletamento di prestazioni diverse da quella principale, deve essere chiaramente distinguibile, espresso in forma comprensibile e facilmente accessibile, utilizzando un linguaggio semplice e chiaro, poiché la dichiarazione resa in violazione delle norme a tutela non è considerata vincolante (art.7).
- La inosservanza delle disposizioni in materia di raccolta e trattamento dei dati personali legittimano la parte danneggiata al risarcimento del danno nei confronti del titolare del trattamento ovvero del responsabile del trattamento (art.82).
I Giudici di Legittimità, nel delibare la questione, hanno dunque evidenziato, ancora una volta, la necessità per il soggetto che presta il consenso di essere adeguatamente edotto dal titolare ovvero dal responsabile del trattamento di raccolta e gestione dei dati personali circa le finalità della stessa, differenziando il consenso generico riferito alla prestazione principale da quello specifico diretto alla conoscenza delle prestazioni accessorie rispetto a quella principale (Corte di Cassazione, Sezione Prima Civile, Ordinanza 8 Settembre 2026, N. 25117)
Studio Legale Avv. Francesco Noto – Roma Napoli Cosenza
abogado italiano que habla español