Il Tribunale di Torino, con la sentenza del 12 marzo 2019, che ci accingiamo a commentare, ha condannato uno studio professionale, nella qualità di Amministratore di un Condominio, a risarcire la somma di Euro 3.000,00 ad una condòmina a titolo di risarcimento del danno immateriale causato dall'Amministratore per aver comunicato alla madre della condòmina, anch'essa peraltro condòmina, la «situazione debitoria» della figlia verso il Condominio, dopo averla incontrata casualmente per strada.
Il danno causato, provato dalla condòmina ricorrente, è consistito nella rottura del legame familiare, posto che i genitori della condòmina hanno inteso interrompere ogni rapporto con la stessa in seguito alla conoscenza della sua situazione debitoria da parte dell'Amministratore.
Partiamo dicendo che, nella fattispecie concreta, il ruolo fondamentale è stato giocato dalla prova testimoniale resa dai soggetti convocati dalla condòmina ricorrente, i quali hanno confermato l'allegata rottura del legame familiare tra la stessa ed i genitori (l'evento di danno) ed anche che detta rottura fosse avvenuta come conseguenza della comunicazione della morosità da parte dell'Amministratore (il nesso di causalità).
Tuttavia, per noi operatori del mondo immobiliare e condominiale, così come per il nostro lettore, la domanda nasce spontanea: se la madre della condòmina, che abbiamo detto essere anch'essa condòmina, avesse appreso della morosità della figlia in seguito
a) a sua (della madre) richiesta, ai sensi dell'art. 1130, 1°c., n. 9), c.c. oppure
b) a seguito di lettura (da parte della madre) del rendiconto annuale, in occasione della convocazione dell'Assemblea per l'approvazione
e se, in seguito alla presa d'atto di questa notizia, avesse interrotto i rapporti con la figlia, avremmo avuto il medesimo risultato?
La risposta che (si ritiene) abbiamo tutti pensato è no, dato che abbiamo indicato due contesti di comunicazione 'lecita', mentre, invece, la sentenza ha affrontato un caso di comunicazione 'con modalità illecite', cioè una comunicazione vis - à - vis ed avvenuta nella pubblica via.
La sentenza, va detto, è un po' scarna di particolari: per esempio, il lettore potrebbe domandare se sia stato accertato che la comunicazione 'per pubblica via' abbia determinato una divulgazione del dato 'morosità' a tutti coloro che stavano accanto o nelle vicinanze dell'Amministratore e della madre della condòmina ricorrente o passavano di lì oppure ancora se la comunicazione fosse stata resa di spontanea iniziativa dall'Amministratore, il quale, parlando con la madre della condòmina (rammentiamo che è anch'essa condòmina) abbia spostato egli stesso il discorso sulla situazione della figlia o se invece sia stata la madre della condòmina a chiedere conto della morosità.
Infatti, se la comunicazione fosse stata resa in ossequio ad una sollecitazione della madre della condòmina, allora riteniamo che la situazione sarebbe alquanto cambiata per l'Amministratore, così come l'esito del giudizio. Ma tant'è, la sentenza non si dilunga a descrivere dette circostanze.
Pertanto, dobbiamo lavorare con il materiale fornitoci: e allora vediamo quali sono i punti interessanti della pronuncia di Torino e, in fondo all'articolo, cerchiamo di dare un suggerimento agli Amministratori per la corretta gestione del dato personale, a fronte di quanto emerso nel caso che ci occupa.
Controllo e rendiconto: i mille volti del diritto di accesso ai dati condominiali
Partiamo, proprio come fa il Giudice, dall'esame delle disposizioni di legge in materia di 'conoscibilità' dei dati dei morosi in materia condominiale.
L'art. 1130, 1° comma, n. 9), c.c. prevede che l'Amministratore debba «fornire al condomino che ne faccia richiesta attestazione relativa allo stato dei pagamenti degli oneri condominiali e delle eventuali liti in corso».
Tuttavia, a ben vedere, l'accessibilità al dato 'morosità' può essere dedotta anche in altro modo: infatti, l'art. 1129, 2° comma, c.c. obbliga gli Amministratori, sia quando accettano la (prima) nomina, sia ad ogni rinnovo di incarico, a comunicare giorno, luogo e ora in cui OGNI INTERESSATO può prendere visione ed estrarre copia dei 4 Registri condominiali - Anagrafe, Verbali, Nomina e Revoca e Contabilità.
Nel Registro della Contabilità dovrebbero essere annotate tutte le entrate e le uscite, secondo il disposto dell'art. 1130, 1° comma, n. 7), c.c. («Nel registro di contabilità sono annotati in ordine cronologico, entro trenta giorni da quello dell'effettuazione, i singoli movimenti in entrata ed in uscita»), per cui, laddove io dovessi accedere al Registro della Contabilità nel mese di marzo 2020 e visionare le voci di entrata, che dovrebbero corrispondere anche ai versamenti, da parte dei condòmini, delle rate di gestione ordinaria o straordinaria, non vedendo alcuna entrata - e perciò versamento - da parte di un condòmino, ne dovrei poter dedurre che costui è moroso.
Da lì, potrei poi fare l'istanza ai sensi dell'art. 1130, 1° comma, n. 9), c.c. affinché l'Amministratore, per mia comodità, mi fornisca un elenco dei morosi, i quali peraltro possono essere dedotti ampiamente dal suddetto Registro di Contabilità.
Quindi, il primo momento di 'esposizione' della morosità di un condòmino è in fase di controllo di legittimità dell'operato dell'Amministratore da parte degli altri, i quali facciano accesso ai sensi dell'art. 1130, n. 9), c.c., chiedendo lo 'stato' dei pagamenti oppure chiedendo di visionare il Registro della Contabilità, ai sensi degli artt. 1129, 2° comma e 1130, n. 7), c.c.
Il secondo momento, che non è 'a sollecitazione' del condòmino, ma è insito nello svolgimento del mandato dell'Amministratore, è la fase di rendicontazione annuale: ancora l'art. 1129 c.c., 12° comma, n. 1) c.c., ci fa comprendere che essa dovrebbe appunto essere annuale, mentre l'art. 1130 bis c.c. detta le caratteristiche del rendiconto, tra le quali il Registro della Contabilità.
E sul versante privacy ?
Il 10 ottobre 2013, il Garante per la Protezione dei Dati Personali, Autorità Amministrativa indipendente deputata, per l'Italia, a sovrintendere e sanzionare ove necessario i trattamenti di dati personali, nonché a ricevere segnalazioni e reclami dagli interessati, aggiornava il suo Provvedimento del 2006, concernente il trattamento dei dati da parte del e nel Condominio, noto ormai come Vademecum del Palazzo.
In tale documento, al quale il Giudice di Torino rinvia, il Garante si esprime così:
«SE UN CONDOMINO È IN RITARDO CON I PAGAMENTI L'AMMINISTRATORE PUÒ INDICARLO COME MOROSO CON UN AVVISO AFFISSO NELLA BACHECA CONDOMINIALE?
No. Tuttavia eventuali inadempienze possono essere comunicate dall'amministratore agli altri condòmini al momento del rendiconto annuale oppure a seguito della richiesta effettuata da un condomino nell'esercizio del potere di vigilanza e controllo. Le singole morosità possono anche essere oggetto di discussione nel corso dell'assemblea.»
E ancora:
«QUALI INFORMAZIONI PUÒ CONOSCERE IL SINGOLO CONDOMINO?
Oltre alle informazioni che lo riguardano (vedi "diritto di accesso"), può conoscere le spese e gli inadempimenti degli altri condòmini, sia al momento del rendiconto annuale, sia facendone richiesta all'amministratore.
A prevalere, in questo caso, è il principio della trasparenza nella gestione condominiale: l'eventuale richiamo alla privacy per impedire la conoscenza di queste informazioni è fuori luogo.»
A questo punto, il ragionamento logico - deduttivo del Giudice di Torino segue un percorso - apparentemente - tracciato: poiché l'ordinamento prevede che il condòmino possa apprendere della morosità dei suoi 'colleghi' ESCLUSIVAMENTE nelle due occasioni ritualmente e formalmente codificate negli artt. 1129, 1130 e 1130 bis c.c., allora OGNI ALTRA MODALITA' con cui egli apprenda della morosità altrui è ILLEGITTIMA.
Essendo detta 'altra' modalità illegittima, essa reca altresì i caratteri dell'ANTIGIURIDICITA', ovvero dell'elemento essenziale del danno risarcibile, che, per esserlo, deve essere INGIUSTO, cioè contra ius ovvero (appunto) antigiuridico - infatti, laddove un'attività lecita crei danni, si parla di indennizzo, non di risarcimento.
Liquidata così la questione dell'an debeatur, ovvero dell'esistenza del comportamento antigiuridico che ha causato il danno, il Giudice ha mano libera per passare a parlare del quantum debeatur, cioè della misura economica del danno - quanto liquidare alla condòmina danneggiata.
Tuttavia, proviamo a riflettere un attimo su quanto affermato.
Il Giudice ci sta dicendo che, a fronte della normativa nazionale in materia condominiale nonché, per quanto attiene alla tutela della riservatezza o privacy, le linee - guida del Garante, l'Amministratore condominiale può fornire i dati dei morosi solamente per iscritto e su sollecitazione del singolo condòmino oppure in sede di rendiconto annuale.
Ma noi sappiamo bene che la prassi quotidiana dell'amministrazione condominiale deve poter essere libera di organizzarsi nel modo più efficace per il perseguimento dell'obiettivo principale, ovvero la gestione dello stabile, la quale, a sua volta, significa, principalmente, se non esclusivamente, la corretta erogazione dei contributi sia in entrata (pagamento degli oneri condominiali) sia in uscita (pagamenti dei fornitori e creditori con gli oneri condominiali raccolti).
Ebbene, a fronte delle numerose pronunce della Cassazione, le quali hanno affermato, in apparente contrasto con il nuovo onere imposto all'Amministratore dall'art. 1129, 9° comma, c.c., che spetta a lui ed a lui solo valutare SE AGIRE TRAMITE AZIONE GIUDIZIALE per il recupero del credito o se affidarsi ad una semplice telefonata o ad una lettera, allora comprendiamo come la pronuncia in commento rischi di 'legare le mani' alla gestione quotidiana, che è fatta anche e spesso di contatti verbali ed informali.
Non potrebbe l'Amministratore convocare una riunione dei cc.dd. Consiglieri per informarli della grave situazione di morosità - con elenco dei morosi alla mano - e chiedere loro, appunto, un'indicazione, un consiglio su come procedere a fronte della situazione globale del Condominio? Non potrebbe ancora l'Amministratore, durante un colloquio con un condòmino, discutere della morosità di un altro condòmino?
Certamente ciò è possibile.
Allora, chiederà il lettore, la sentenza di Torino è errata? No, la sentenza di Torino getta luce su un altro punto che, dall'avvento del GDPR è divenuto l'aspetto principale del trattamento dei dati, ovvero il RISCHIO del trattamento per i diritti e le libertà dell'interessato - nel nostro caso, la condòmina morosa - e, specularmente ad esso la PROTEZIONE DEI DATI durante l'intera durata del loro trattamento.
Il ruolo centrale oggi non è occupato più tanto o solo dalla riservatezza, bensì dalla sicurezza del trattamento.
La resipiscenza del Titolare nell'era del GDPR
Immaginiamo che il nostro lettore abbia spesso sentito parlare, anche su queste pagine, della nota e ormai famigerata 'accountability ' del Titolare del trattamento, prevista 'tra le righe' dell'art. del Regolamento (UE) 2016/679 (di seguito, GDPR - General Data Protection Regulation ), rubricato "Responsabilità del Titolare del trattamento " (il testo italiano del GDPR è scaricabile dal sito del Garante).
Cosa significa tale parola? "Accountability " è la nuova condizione dell'essere Titolari dal 2018 in poi: prima del sistema disegnato dal GDPR, il Titolare si limitava ad adottare le misure minime e gli accorgimenti ritenuti essenziali dalla propria Autorità di Supervisione nazionale - per noi, il Garante - e, in caso di trattamento che causava danni, era tranquillo perchè aveva fatto come TUTTI GLI ALTRI TITOLARI, come gli aveva suggerito il Garante tramite provvedimenti e autorizzazioni ed altri documenti di indirizzo.
Nel 2018, i Titolari si sono improvvisamente risvegliati in un sistema che dice loro 'Fate come ritenete sia meglio per voi, ma, se ne derivano conseguenze, siate pronti ad affrontarle'.
Ecco allora che ci permettiamo di tradurre "accountability " - che tutti hanno tradotto con 'responsabilizzazione' - con parola forse desueta e sconosciuta, ma carica di significato, come 'resipiscenza ', cioè la capacità, di fronte al proprio errore, di assumerne la paternità e di fare ciò che è possibile per ridurne le conseguenze.
Quindi, il Titolare, oggi, decide da solo le finalità del trattamento dei dati personali ed i mezzi per attuarlo e, per quel che ci interessa, sceglie anche la figura del Responsabile del trattamento.
Chi è costui? Secondo l'art. 28 GDPR, è un soggetto, esterno al Titolare, al quale costui delega l'esecuzione di un trattamento per suo conto.
Dicevamo, il Titolare sceglie Responsabili che, continua l'art. 28 GDPR, siano in grado di dimostrare che eseguono trattamenti in linea con la normativa privacy - quindi con il GDPR.
Ma cosa vuol dire 'essere in linea con la normativa privacy'?
Innanzitutto, significa che il nostro Responsabile dovrà essere esperto del settore in cui opera (la materia condominiale), dovrà aver mappato, cioè individuato i RISCHI dei trattamenti che gli vengono affidati, non solamente i rischi 'generali' del trattamento in sé e per sé, ma anche quelli particolari' e precipui della SUA organizzazione, che dipendono appunto da come EGLI esegue il trattamento; una volta individuati i rischi, il Responsabile deve aver posto in essere tutte le MISURE TECNICHE ed ORGANIZZATIVE che gli consentano di 'abbassare' il livello di rischio - il rischio, in quanto tale, non può mai essere ridotto a zero o eliminato.
Caliamo adesso lo schema così tratteggiato nella realtà condominiale.
Secondo il Vademecum del Palazzo su citato, nel Condominio, il Titolare è il Condominio (tutti i condòmini insieme) e il Responsabile è l'Amministratore. È poi evidente che l'Amministratore, quale legale rappresentante del Condominio, assume anche le vesti di rappresentante del Titolare ai fini del GDPR, per cui avrà un ruolo proattivo, insieme all'Assemblea, per adeguare i trattamenti del Condominio al GDPR.
Mentre nel 2013 il Garante si limitava a dire che l'Assemblea POTEVA nominare l'Amministratore quale Responsabile del trattamento, oggi appare chiaro, sebbene il Garante non si sia ancora espresso in tal senso, che, a fronte del dettato dell'art. 28 (3) GDPR, TUTTI I RESPONSABILI devono essere nominati formalmente con ATTO O CONTRATTO avente FORMA SCRITTA.
L'Atto di Incarico del Responsabile, inoltre, deve contenere le istruzioni su come eseguire il trattamento che il Titolare gli affida.
Ora, comprendiamo bene che non è possibile immaginare una realtà in cui i condòmini, convocati in Assemblea, procedano a discutere e deliberare sulle modalità di esecuzione del trattamento da parte del proprio Amministratore, non basterebbe una notte a venirne a capo!
È invece maggiormente corrispondente alla realtà, come peraltro avviene in altri settori economici, che l'Amministratore in carica - o quello che presenta la propria offerta per ottenere la nomina - presenti una bozza di Atto di Incarico, allegandola alla convocazione assembleare, dove elencherà i trattamenti che lo stesso eseguirà per conto del Condominio e gli altri elementi previsti come obbligatori dall'art. 28 (3) GDPR.
Sarà peraltro interesse del medesimo Amministratore circoscrivere l'ambito del suo operato con questo Atto, poiché, in assenza, l'art. 28 (10) GDPR prevede che il Responsabile venga considerato a tutti gli effetti Titolare, con ciò che ne consegue, per ciò di cui stiamo trattando, in materia di responsabilità per il danno cagionato.
Quindi, cosa deve fare l'Amministratore per essere 'in linea con la normativa privacy' ed ottenere l'Atto di Incarico a Responsabile del trattamento?
Partiamo da un presupposto: il trattamento di cui al caso di Torino - comunicazione dei nominativi dei condòmini morosi - è un trattamento la cui Base Giuridica, ai sensi dell'art. 6 GDPR, è l'OBBLIGO DI LEGGE.
In quanto tale, l'Amministratore è obbligato a comunicare i dati e i condòmini non possono opporsi a detta comunicazione.
Non solo. Come precisato dall'art. 2 ter del D. Lgs. 30 giugno 2003, n. 196 (Codice Privacy, come abrogato e modificato dal D. Lgs. 10 agosto 2018, n. 101), l'obbligo di legge per cui un trattamento va eseguito potrà essere imposto al Titolare solamente tramite Legge o Regolamento, quindi il Titolare, nel mappare i propri trattamenti, dovrà porre attenzione anche ad individuare se la norma impositiva sia di rango primario o secondario.
Inoltre, l'art. 2 quater del Codice Privacy aveva previsto che il Garante emanasse delle Regole deontologiche sul trattamento basato su obbligo di legge, le quali, ad oggi, non sono ancora state pubblicate.
i dati dei condòmini morosi chiesti dai creditori devono essere completi
Pertanto, l'Amministratore, nella veste di Responsabile del trattamento, dovrà assicurarsi che la propria organizzazione esegua trattamenti che diminuiscano il rischio e rispettino i principi del trattamento enucleati dall'art. 5 GDPR, soprattutto quanto specificato al paragrafo (1) dell'art. 5, lettera f), cioè che i dati siano «trattati in modo da garantire un'adeguata sicurezza , compresa la protezione da trattamenti non autorizzati o illeciti» e che siano in linea con le Regole deontologiche, allorquando verranno pubblicate.
Nel caso che ci occupa, l'Amministratore - Responsabile del trattamento, nell'adeguare la sua struttura al GDPR, avrebbe dovuto prevedere e informare, tramite la formazione del personale - e di sé stesso - che il trattamento dei dati 'comunicazione morosità' avvenisse con modalità idonee a scongiurare la diffusione accidentale o la perdita di protezione del dato.
In questo contesto, il consulente privacy avrebbe certamente sconsigliato di comunicare i dati di una morosità quando si incontrava un condòmino per strada.
Può apparire ovvio, scontato, infantile persino, ma ci stupiremmo di quanti comportamenti teniamo ogni giorno, sul nostro luogo di lavoro, che non sono rispettosi della privacy e che pongono a rischio la riservatezza dei dati.
Approfittiamo dell'occasione di approfondimento per fare una riflessione.
Nel caso che ci occupa, è stato punito l'Amministratore - Responsabile del trattamento ed è stato punito facendo utilizzo della normativa nazionale attinente il risarcimento del danno immateriale.
Attenzione però: il GDPR non è competenza esclusiva del Garante o della altre DPA (Data Protection Authorities, Autorità Nazionali per la protezione dei dati).
Il Giudice avrebbe ben potuto applicare quanto previsto dal GDPR, in base al principio iura novit curia, nonché in virtù del disposto dell'art. 152 Codice Privacy, come modificato dal D. Lgs. 101/2018, il quale prevede che «TUTTE LE CONTROVERSIE che riguardano le materie oggetto dei ricorsi giurisdizionali di cui agli artt. 78 e 79 GDPR [cioè i ricorsi avverso le decisioni delle DPA oppure i ricorsi contro le violazioni dei diritti dell'interessato, N.d.r.] e quelli COMUNQUE riguardanti l'APPLICAZIONE DELLA NORMATIVA IN MATERIA DI PROTEZIONE DEI DATI PERSONALI, nonché il DIRTTO AL RISARCIMENTO DEL DANNO ai sensi dell' art 82 GDPR , sono ATTRIBUITE all'Autorità Giudiziaria Ordinaria ».
Cosa sarebbe accaduto laddove il Giudice avesse applicato le norme del GDPR in materia di responsabilità del Titolare e del Responsabile per i danni causati dal trattamento?
Non possiamo affermarlo con certezza, in quanto, ad oggi, i nostri Giudici di merito non hanno ancora avuto modo di sperimentare la suddetta applicazione, ma possiamo tracciare un'ipotesi.
L'art. 82 GDPR afferma che chiunque subisca un danno materiale o immateriale causato da una violazione del GDPR stesso ha il diritto di ottenere il risarcimento del danno dal Titolare o dal Responsabile.
Il paragrafo (2) della stessa norma precisa poi che, mentre il Titolare risponde del danno cagionato dal SUO trattamento - cioè, il Titolare risponde solamente se il danno deriva direttamente dal trattamento che ha eseguito da solo, senza fare ricorso al Responsabile - il Responsabile risponde SOLAMENTE se non ha adempiuto gli obblighi imposti alla sua figura dal GDPR (v. art. 28) oppure se ha agito in modo difforme o contrario alle legittime istruzioni del Titolare.
A questo punto, è ovvio che il nostro Responsabile - l'Amministratore - ha agito violando gli obblighi impostigli dal GDPR, in particolare l'obbligo di adottare - e mettere in pratica - le misure tecniche e organizzative necessarie a scongiurare un trattamento illecito del dato.
Tuttavia, siamo sicuri che i condòmini che lo hanno nominato - tra i quali, verosimilmente, anche la condòmina danneggiata e la madre di lei, pure condòmina - si siano 'liberati' da ogni responsabilità?
Infatti, nell'impianto del GDPR, è SEMPRE IL TITOLARE l'unica interfaccia dell'Interessato quando si tratti di violazione dei suoi diritti o di risarcimento del danno. L'Interessato proporrà l'azione verso il Titolare, il quale poi, ricorrendone i presupposti, chiamerà in causa in manleva il suo Responsabile.
Quindi il Titolare risponde a titolo di responsabilità (in caso di danno) extra - contrattuale verso l'Interessato, mentre il Responsabile risponde nei confronti del Titolare a titolo di responsabilità contrattuale, posto che si era dichiarato in linea con la normativa GDPR (salva sempre la prova che il fatto non sia dipeso da lui).
Sappiamo bene che il Condominio, nella sua qualità di committente, risponde per culpa in eligendo e per culpa in vigilando, quando il suo appaltatore reca un danno ai condòmini o a terzi.
E allora, nel nostro caso, laddove il Giudice avesse fatto applicazione del paradigma GDPR, avremmo potuto leggere una condanna al risarcimento del danno inflitta al Condominio, a titolo di culpa in eligendo e /o in vigilando ?
Come dicevamo, non abbiamo ancora pronunce in merito, ma possiamo consultare provvedimenti del Garante che, in passato, nell'era pre - GDPR, non aveva esitato a condannare anche il Titolare affermando proprio che costui non si libera delle proprie responsabilità in ordine alla liceità del trattamento affidandolo al Responsabile, perché rimane in capo al Titolare un onere di VIGILARE sull'operato del proprio Responsabile - come oggi previsto anche dall'art. 28 (3), lett. h) GDPR.
Il risarcimento del danno immateriale: tutto come prima?
C'era una volta il Codice della Privacy, ovvero il D. Lgs. 30 giugno 2003, n. 196; 'c'era una volta' perché, con buona pace di chi fra noi ancora ne piange le opime spoglie, il Codice Privacy è oggi l'ombra di sé stesso, dopo che il D. Lgs. 10 agosto 2018, n. 101, con mossa alquanto confusa, ha provveduto ad intervenire con l'accetta sul Codice, abrogando espressamente tutta la parte 'sostanziale' che già era nei fatti abrogata per effetto dell'entrata in vigore, già dal 2016, e dell'applicazione dal 2018 del GDPR, nonché modificando alcune norme che fanno parte di quel piccolo spazio che il GDPR ha affidato ai Legislatori nazionali.
C'era una volta, nel Codice Privacy, l' art., denominato " Danni cagionati per effetto del trattamento ", disponeva che «Chiunque cagiona danno ad altri per effetto del trattamento di dati personali è tenuto al risarcimento ai sensi dell'art. 2050 c.c.».
L'art. 2050 c.c. disciplina la responsabilità per l'esercizio di attività pericolose: così, il nostro Legislatore dell'epoca aveva equiparato il trattamento dei dati personali ad attività pericolosa.
Cosa comporta applicare il paradigma dell'art. 2050 c.c. al danno da trattamento illecito?
Significa che il danneggiato dovrà provare sia il verificarsi del danno che il nesso di causalità, cioè che, in assenza della condotta del danneggiante, il danno non si sarebbe prodotto. Il danneggiante, dal canto suo, per liberarsi, deve provare di aver adottato tutte le misure idonee a scongiurare il danno poi prodottosi.
Ciò che può risultare arduo, perché a volte, nonostante tutte le misure adottate, viene realizzato un comportamento illecito che mette a rischio l'intero sistema.
L'art. 15 oggi non esiste più, è stato infatti abrogato dal D. Lgs. 101/2018, come detto sopra; da oggi in avanti il nostro punto di riferimento sarà solamente l' art. 82 GDPR, sopra citato, il quale prevede che Titolare e Responsabile possano liberarsi provando che il danno non è a loro imputabile.
Il problema che attanaglia i protagonisti del trattamento dei dati - Titolare e Responsabile - rimane tuttavia l'ineludibile strettoia della responsabilità oggettiva, ove il danneggiante è tale per il solo fatto che l'evento di danno si è verificato, certo, egli potrà tentare di dare una prova liberatoria, ma sarà sempre molto difficile uscirne indenne.
Non solo. Assistiamo ad una divaricazione tra il sistema di sanzione amministrativa pecuniaria, dettato dall'art. 83 GDPR e riservato al Garante, laddove di vera e propria responsabilità oggettiva si tratta, in quanto la SAP viene applicata, per espressa previsione dell'art. 83 (2) GDPR, IN AGGIUNTA o IN LUOGO dei provvedimenti correttivi, quindi SEMPRE e il sistema della risarcibilità del danno causato dal trattamento.
In buona sostanza, se il Titolare viene portato dinnanzi al Garante, egli riceverà sempre una sanzione pecuniaria se la violazione del GDPR viene accertata come esistente; mentre, laddove detta violazione abbia anche creato un danno, il risarcimento per questo danno sarà ottenibile solamente dietro la prova dello stesso e potrà avere un'entità anche molto inferiore alla sanzione amministrativa pecuniaria comminata dal Garante.
Nel nostro caso, il Giudice invece, dopo aver premesso l'antigiuridicità del comportamento dell'Amministratore, passa ad esaminare il quantum da liquidare, affermando che, sebbene il danno non si possa dire in re ipsa, cioè provato per il solo fatto che esiste, esso può essere desunto anche in base a presunzioni semplici.
Sembra però che il Giudice consideri presunzioni semplici le affermazioni dei testimoni, che invece, laddove oggettive ed univoche, dovrebbero formare, secondo le regole procedurali, una prova piena e non presuntiva; salvo poi rimproverare al resistente Amministratore di non aver prodotto prove contrarie (alle presunzioni?) ad esempio circa cause diverse del dissidio familiare, il chè ci pare un po' arduo da provare …
Subito dopo, il Giudice sottolinea che nemmeno la condòmina ricorrente ha avuto cura, dopo averlo allegato, di provare in modo preciso l'ammontare del proprio danno, per esempio spiegando che cosa ha comportato nella realtà dei fatti l'essere esclusa dal legame con i suoi genitori da quel momento in poi, ma questa osservazione è superflua, posto che in tali casi il Giudice è quasi giocoforza costretto a procedere alla liquidazione in via equitativa.
Ci permettiamo poi di evidenziare che i dati divulgati dall'Amministratore non sono dati 'sensibili' - i quali oggi vengono chiamati 'Dati Particolari' (art. 9 GDPR) - bensì dati personali comuni, a meno che, a causa delle informazioni cui non possiamo attingere, non essendo parti del giudizio, essi non abbiano comportato la rivelazione di stati di salute, di vita sessuale, di orientamento politico o religioso della condòmina danneggiata, laddove sarebbero sì stati Dati Particolari.
Suggerimento su come 'trattare' il dato del moroso
Come promesso in apertura, alcuni suggerimenti sul trattamento del dato personale in generale, applicabile anche al dato sulla morosità:
· adeguare la propria struttura al GDPR, facendo ricorso a consulenti privacy non solamente esperti di privacy, ma anche dell'ambito condominiale, così da andare ad individuare i soli trattamenti da eseguire ed i dati coinvolti, in modo tale da non violare la normativa nazionale e la riservatezza;
· fare formazione 'vera', cioè spiegare bene ai collaboratori (ed apprendere l'Amministratore stesso) cosa fare e come farlo per non incorrere in 'errori' dal punto di vista della protezione del trattamento;
· verificare, a ciclo periodico, che le istruzioni e la formazione vengano messe in pratica realmente e da tutte le risorse coinvolte nel trattamento;
· per quanto possa sembrare che ciò porti via tempo e risorse, scrivere le proprie Policies, cioè dei piccoli manualetti su come lo studio affronta il trattamento dei dati, così che ogni risorsa possa attingere informazioni, laddove sia in dubbio sul da farsi.
