L’esperto | Articoli

Consenso al trattamento dei dati personali: ultime sentenze

9 Luglio 2019
Consenso al trattamento dei dati personali: ultime sentenze

> L’esperto Pubblicato il 9 Luglio 2019



Trattamento dei dati personali e consenso dell’interessato; diritto all’accesso e alla conoscenza dei propri dati; trattamento illecito di dati personali; comunicazioni di natura commerciale; Autorità garante per la protezione dei dati personali; ripartizione dell’onere della prova.

Quali sono i presupposti di liceità per il trattamento dei dati personali? E’ consentito realizzare interviste televisive con la telecamera accesa all’insaputa del soggetto? Per scoprirlo, leggi le ultime sentenze.

Diritto all’accesso e alla conoscenza dei propri dati: quando può essere esercitato?

Il diritto all’accesso e alla conoscenza dei propri dati può essere esercitato dall’interessato indipendentemente dalla prova di aver subito un danno o anche solo di essere esposto al pericolo di un pregiudizio, costituendo un’anticipazione della tutela a fronte di sempre possibili illeciti trattamenti al fine di prevenirli, impedendoli, o di farli cessare.

A tal fine sono riconosciuti all’interessato il diritto di conoscere in ogni momento chi possiede i dati personali, come li adopera ed il potere di incidere su tale uso, bloccandolo; chiedendone la conformità ai criteri di pertinenza, esattezza, aggiornamento, o chiedendone la rimozione, anche in eventuale assenza di profili di illegittimità. I menzionati diritti sono incontestabilmente attivabili anche nelle ipotesi in cui il trattamento sia avvenuto in seguito al consenso formalmente espresso dall’interessato.

Tribunale Milano sez. I, 07/02/2019, n.606

Interviste televisive con riprese occulte

È censurabile la pratica delle interviste televisive con “riprese occulte”, ovvero tenendo la telecamera accesa all’insaputa del soggetto che, dunque, non sa né di essere registrato né tantomeno che verrà mandato in onda. Il trattamento dei dati personali per finalità giornalistiche, invero, “può essere effettuato anche senza il consenso dell’interessato (articolo 137, comma 2, del Dlgs. 196/2003), ma pur sempre con modalità che garantiscano il rispetto dei diritti e delle libertà fondamentali, della dignità dell’interessato e del diritto all’identità personale, nonché il rispetto del “Codice di deontologia” che ha valore di fonte normativa”.

Questo è quanto affermato dalla Cassazione che ha così respinto il ricorso della Rai contro la decisione dei giudici di merito che nel 2014 l’aveva condannata, in solido con un giornalista free lance della trasmissione Report, a risarcire 25mila euro a un notaio filmato nel corso di un’inchiesta sui professionisti coinvolti nelle attività di riciclaggio e scommesse illegali.

Cassazione civile sez. I, 09/07/2018, n.18006

Internet e dati personali: quando è valido il consenso?

In tema di consenso al trattamento dei dati personali, la previsione dell’art. 23 del d.lgs. n. 196 del 2003, nello stabilire che il consenso è validamente prestato solo se espresso liberamente e specificamente in riferimento ad un trattamento chiaramente individuato, consente al gestore di un sito internet, il quale somministri un servizio fungibile cui l’utente possa rinunciare senza gravoso sacrificio (nella specie servizio di “newsletter” su tematiche legate alla finanza, al fisco, al diritto e al lavoro), di condizionare la fornitura del servizio al trattamento dei dati per finalità pubblicitarie, sempre che il consenso sia singolarmente ed inequivocabilmente prestato in riferimento a tale effetto, il che comporta altresì la necessità, almeno, dell’indicazione dei settori merceologici o dei servizi cui i messaggi pubblicitari saranno riferiti.

Cassazione civile sez. I, 02/07/2018, n.17278

Registrazioni sul luogo di lavoro

Il trattamento dei dati personali, ammesso di norma in presenza del consenso dell’interessato, può essere eseguito anche in assenza di tale consenso, se volto a far valere o difendere un diritto in sede giudiziaria o per svolgere le investigazioni difensive; ciò a condizione che i dati siano trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento.
Le registrazioni di colloqui ad opera di una delle persone presenti e partecipi ad essi, effettuate all’insaputa dei soggetti coinvolti, posto che vengano adottate tutte le dovute cautele al fine di non diffondere le registrazioni, trattandosi di una condotta posta in essere dal dipendente per tutelare la propria posizione all’interno dell’azienda ritenuta pregiudicata dalla condotta altrui, sono legittime e come tali non integrano in alcun modo non solo l’illecito penale ma neanche quello disciplinare.

Cassazione civile sez. lav., 10/05/2018, n.11322

Mezzo di prova per violazione dei dati personali

L’articolo 47 della Carta dei diritti fondamentali dell’Unione europea deve essere interpretato nel senso che esso osta a che un giudice nazionale respinga, quale mezzo di prova di una violazione della tutela dei dati personali conferita dalla direttiva 95/46, un elenco presentato dalla persona interessata e contenente dati personali di quest’ultima, qualora tale persona si sia procurata l’elenco senza il consenso, richiesto per legge, del responsabile del trattamento di detti dati, a meno che tale rigetto sia previsto dalla normativa nazionale e rispetti al tempo stesso il contenuto essenziale del diritto ad un ricorso effettivo e il principio di proporzionalità.

In particolare, quand’anche tale restrizione sia prevista e sussistano elementi per riconoscere un interesse legittimo all’eventuale riservatezza dell’elenco di cui trattasi, i giudici nazionali devono verificare altresì se, nel singolo caso, tale interesse prevalga sull’interesse alla tutela dei diritti del singolo e se siano disponibili altri mezzi per garantire siffatta riservatezza, specificamente per quanto riguarda i dati personali di altre persone fisiche contenuti nell’elenco.

Corte giustizia UE sez. II, 27/09/2017, n.73

Dati personali usati per esigenza di difesa

In relazione al trattamento dei dati personali, ai sensi degli articoli 4 e 11 d.lg. n. 196 del 2003, questi vanno gestiti rispettando i canoni della correttezza, pertinenza e non eccedenza rispetto alle finalità del loro nuovo utilizzo, ma non è necessario, ai sensi dell’art. 24 d.lg. citato, il consenso dell’interessato ove i dati stessi siano impiegati per esigenza di difesa delle proprie situazioni soggettive e negli stretti limiti in cui ciò sia necessario (fattispecie in cui un correntista di un Istituto di Credito lamentava l’illegittima diffusione nel suo ambito familiare, e successiva segnalazione al sistema informatico creditizio, dei dati relativi alla propria posizione debitoria nei confronti dell’Istituto stesso).

Cassazione civile sez. I, 03/08/2017, n.19423

Produzione della banca

E’ corretta la decisione del Tribunale in merito alla carenza del contenuto prescritto dagli artt. 23 e 24 T.U.F. della produzione della banca, in quanto una è una richiesta di modifica delle condizioni contrattuali, con autorizzazione alla gestione senza preventivo assenso del cliente; né lo è la lettera di consenso al trattamento dei dati personali che non ha a che fare, peraltro, con il contenuto del contratto; né assume significato, ai fini che interessano, l’informativa rilasciata al promotore a firma dell’investitore che pure non riguarda il contenuto del contratto, come pure è irrilevante l’inciso nella lettera di chiusura del conto, sempre a stessa firma, circa la posizione esistente presso la banca.

Qualora vi si vogliano ravvisare ammissioni o dichiarazioni confessorie esse sarebbero insufficienti a superare l’incompletezza della forma scritta ad substantiam, perché non contengono alcun riferimento integrativo alle modalità pattizie della rendicontazione.

Corte appello Milano sez. I, 06/02/2017, n.460

Indirizzo IP: è un dato personale?

L’articolo 2, lettera a), della direttiva 95/46 del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati, dev’essere interpretato nel senso che un indirizzo di protocollo Internet dinamico registrato da un fornitore di servizi di media online in occasione della consultazione, da parte di una persona, di un sito Internet che tale fornitore rende accessibile al pubblico costituisce, nei confronti di tale fornitore, un dato personale ai sensi di detta disposizione, qualora detto fornitore disponga di mezzi giuridici che gli consentano di far identificare la persona interessata grazie alle informazioni aggiuntive di cui il fornitore di accesso a Internet di detta persona dispone.

L’articolo 7, lettera f), della direttiva 95/46 dev’essere interpretato nel senso che osta a una normativa di uno Stato membro ai sensi della quale un fornitore di servizi di media online può raccogliere e impiegare dati personali di un utente di tali servizi, in mancanza del suo consenso, solo nella misura in cui detta raccolta e detto impiego siano necessari per consentire e fatturare l’effettiva fruizione dei suddetti servizi da parte dell’utente in questione, senza che l’obiettivo di assicurare il funzionamento generale dei medesimi servizi possa giustificare l’impiego di tali dati dopo una sessione di consultazione degli stessi (la Corte si è così pronunciata nella controversia tra un cittadino tedesco e lo Stato in merito alla registrazione e alla conservazione, da parte di quest’ultima, dell’indirizzo di protocollo Internet dello stesso in occasione della consultazione fatta dal medesimo di vari siti Internet dei servizi federali tedeschi).

Corte giustizia UE sez. II, 19/10/2016, n.582

Finalità promozionali e commerciali

In tema di trattamento dei dati personali cd. comuni per finalità promozionali e commerciali mediante SMS su utenze telefoniche mobili, la regola dell’art. 23, comma 3, del d.lgs. n. 196 del 2003, secondo cui il consenso al trattamento è validamente prestato, tra l’altro, se è documentato per iscritto, attiene non alla forma di manifestazione del consenso in questione – come, invece, stabilito per il trattamento dei dati sensibili di cui al comma 4 dello stesso art. 23 – ma al contenuto dell’onere probatorio gravante sul titolare dei dati personali, al quale, quindi, è imposto di documentare per iscritto l’assenso, anche orale, esplicitato dall’utente del servizio al trattamento dei suoi dati per scopi promozionali aggiuntivi rispetto al servizio di telefonia mobile, e potendo tale documentazione essere integrata anche dalle riproduzioni meccaniche o informatiche di cui all’art. 2712 c.c., effettuate dal titolare del trattamento, salva l’eventuale successiva verifica dell’idoneità del contenuto dell’acquisita annotazione.

Cassazione civile sez. I, 16/05/2016, n.9982

Telefonate commerciali pre-registrate o mute senza il consenso dell’interessato

In conformità alla direttiva comunitaria n. 58 del 2002, relativa alla vita privata e alle comunicazioni telefoniche, l’art. 130, comma 3 bis, del codice della privacy, che consente, in deroga al principio del consenso espresso previsto dall’art. 129, comma 2, il trattamento dei dati personali mediante l’impiego del telefono per le comunicazioni di natura commerciale nei confronti di chi non abbia esercitato il diritto di opposizione mediante iscrizione della propria numerazione nel registro pubblico delle opposizioni (cd opt-out), non trova applicazione nel caso in cui l’autore del trattamento abbia inviato telefonate senza operatore (cd telefonate con contatto abbattuto o mute) né in quello in cui l’utenza chiamata non risulti inserita in uno degli elenchi cartacei o elettronici a disposizione del pubblico di cui all’art. 129, comma 1, del codice 8come avviene per i telefoni cellulari).

Cassazione civile sez. I, 04/02/2016, n.2196

Posizione processuale dell’Autorità Garante

L’Autorità garante per la protezione dei dati personali, convenuta dal titolare del trattamento nel giudizio di opposizione proposto ai sensi dell’art. 151 del d.lgs. n. 196 del 2003 a seguito dell’accoglimento del ricorso proposto ex art. 145, assume la medesima posizione processuale delle parti private e soggiace al regime dell’onere della prova desumibile dall’art. 15 del menzionato decreto, sicché, ove la titolarità del trattamento derivi da un rapporto contrattuale, è sufficiente che l’Autorità dimostri che l’accesso ai dati sia avvenuto in assenza di specifica autorizzazione preventiva, essendo onere del titolare del trattamento fornire la prova che l’accesso ed il trattamento contestati siano riconducibili alle finalità per le quali sia stato prestato il consenso dall’interessato.

Cassazione civile sez. I, 07/10/2015, n.20106


Lascia un commento

Usa il form per discutere sul tema. Per richiedere una consulenza vai all’apposito modulo.

 



NEWSLETTER

Iscriviti per rimanere sempre informato e aggiornato.

CERCA CODICI ANNOTATI

CERCA SENTENZA