Svolgimento del processo

T. I. s.p.a., alternativamente denominata T. SPA, (di seguito, anche, la società) propone ricorso con due mezzi illustrati da memoria nei confronti del Garante per la protezione dei dati personali, chiedendo la cassazione della sentenza del Tribunale di Milano in epigrafe indicata. Il Garante ha replicato con controricorso.

La controversia concerne l'opposizione proposta dalla società ai sensi dell'art.152 del d.lgs. n.196/2003 e delll'art.10 della d.lgs. n.150/2011, avverso il provvedimento n. 439 del 26 ottobre 2017 con il quale il Garante ha dichiarato illecito il trattamento effettuato sui dati personali del segnalante M., riservando ad un autonomo procedimento la verifica della sussistenza dei presupposti per contestare la violazione amministrativa prevista dal Codice della Privacy .

La segnalazione aveva riguardato l'indebita attivazione unilaterale dell'opzione X, che M. riferiva di non avere mai richiesto.

Nel corso dell'istruttoria svolta dal Garante era emerso che M. aveva contattato telefonicamente il servizio clienti T. per ottenere informazioni amministrative su detta opzione. Secondo la società, "probabilmente per un fraintendimento", l'operatore che aveva gestito la chiamata aveva erroneamente attivato il servizio, con conseguente invio al cliente della documentazione contrattuale: questi, ricevutala, aveva chiesto l'immediata disattivazione del servizio a cui T. aveva provveduto, senza oneri.

Richiesta dal Garante di fornire il vocale, la società aveva evidenziato che l'attivazione dell'opzione non prevedeva la registrazione del vocal order e che la chiamata di M. del 25/10/2016 era individuata nei sistemi T. come richiesta di "informazioni amministrative", con particolare riferimento alla domiciliazione.

All'esito dell'istruttoria, il Garante aveva adottato il provvedimento impugnato perché non risultava comprovato che il segnalante avesse in alcun modo prestato il proprio consenso per l'attivazione del servizio e che, pertanto, il trattamento dei dati del segnalante doveva ritenersi illecito in violazione del principio di correttezza di cui all'art.11, comma 1, lett. a) nonché in assenza di uno dei presupposti degli artt.23 e 24 del Codice della privacy.

Nel proporre l'impugnazione dinanzi al Tribunale, la società aveva dedotto che l'attivazione del servizio era stata frutto di un "fraintendimento" tra l'operatore ed il cliente e che il trattamento erroneo dei dati personali integrava una fattispecie distinta rispetto al trattamento degli stessi senza il consenso, non applicabile nel caso in esame.

Il Tribunale ha respinto l'opposizione, condannando la società anche alla rifusione delle spese.

Innanzi tutto, il Tribunale ha accertato la mancanza di prova in - ordine alla circostanza - dedotta da T. - che il trattamento fosse avvenuto per "mero fraintendimento" dell'operatore del call center e che lo stesso fosse da ritenersi erroneo.

Ha, quindi, soggiunto che, la mera affermazione della ricorrenza di un "fraintendimento" quale causa del trattamento illecito non può comportare l'inapplicabilità della disciplina riguardante gli obblighi di previa informativa e di consenso, in materia di protezione di dati personali, perché, l'errore, in quanto riferibile all'elemento soggettivo dell'agente, può rilevare solo nella valutazione della responsabilità e dell'applicabilità del provvedimento sanzionatorio.

Ha, quindi affermato che «l'obbligo di previa informativa circa il trattamento dei dati personali non può che riguardare le finalità lecite e preordinate del trattamento, essendo volto ad offrire un quadro conoscitivo chiaro e completo circa il trattamento che si intende effettuare e dunque ottenere il libero consenso informato dell'interessato (art.23 d.lgs. n.196/2003). Sarebbe, per contro, illogico - oltre che antigiuridico - richiedere ai titolari del trattamento di fornire agli interessati una informativa vertente su un eventuale trattamento illecito dei rispettivi dati personali, seppure per errore o negligenza del titolare stesso; l'acquisizione del consenso ad un trattamento illecito, invero, non solo non sarebbe in linea con i principi in materia di tutela dei dati personali, finalizzati a garantire un trattamento corretto e lecito, ma non esimerebbe affatto l'agente da responsabilità» (fol. 6 della sent. imp.)

Motivi della decisione

1. In via preliminare è opportuno precisare che, poiché si discute di un provvedimento del Garante di declaratoria di illeceità del trattamento dei dati personali emesso il 26/10/2017, al caso in esame si applica il codice della privacy (d.lgs. n.196 del 30 giugno 2003) nella stesura anteriore alle modifiche introdotte con il d.lgs. n.101 del 10 agosto 2018 di adeguamento dell'ordinamento nazionale al regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, entrato in vigore il 25 maggio 2018 (art.99, comma 2, del Regolamento).

2.1. Con il primo motivo si denuncia la nullità della sentenza per violazione dell'art.132, secondo comma, cod.proc.civ. e si sostiene che la sentenza sarebbe afflitta da nullità per la sua insanabile ed evidente contraddittorietà.

La ricorrente si duole che la decisione impugnata avrebbe recepito l'equazione prospettata nel provvedimento del Garante "trattamento dei dati personali avvenuto per errore = illiceità del trattamento per mancata acquisizione del consenso".

Sulla premessa che il trattamento dei dati posto in essere da ( qualsiasi titolare deve, prima di tutto, essere coerente con i principi fissati dall'allora vigente art.11, segnatamente con i canoni di "liceità e correttezza" fissati dal comma 1, lett.a), la ricorrente assume che solo in riferimento ai trattamenti leciti e corretti che abbiano passato il vaglio dell'art.11, il titolare del trattamento è tenuto ad un ulteriore livello di legittimazione, dovendosi premurare di acquisire un consenso a norma dell'art.25, al quale è interamente connesso e funzionale l'adempimento della previa informativa completa di tutti gli elementi previsti dall'art.13.

Quindi, prospetta che nel caso in esame il trattamento sarebbe stato ontologicamente illecito, perché frutto dell'errore umano dell'operatore di call center che aveva frainteso la volontà del cliente, dando il via alla procedura per l'attivazione di un servizio che in realtà non era mai stato richiesto; ne deduce che, nel caso specifico, il tema dell'acquisizione del consenso era estraneo al perimetro di indagine di chi doveva valutare la illiceità del trattamento.

Tanto premesso la ricorrente sostiene che la sentenza sarebbe contraddittoria perché, pur avendo riconosciuto che per un trattamento illecito per violazione dell'art.11 sarebbe illogico ipotizzare che il titolare possa dare delle informative ed acquisire il consenso, ha tuttavia ritenuto che un trattamento che nasceva illecito, doveva invece ritenersi illecito perché non era stato richiesto il consenso.

2.2. Con il secondo motivo, proposto anche in via subordinata, si denuncia la violazione degli artt. 23, 24 e quindi, indirettamente, dell'art. 167 del d.lgs. n.167/2003.

La ricorrente sostiene che il Tribunale ha errato, violando le norme anzidette, laddove ha ritenuto il trattamento de quo illecito per mancata acquisizione del consenso.

La ricorrente assume che nel caso di un trattamento ab origine ed insanabilmente illecito per violazione dell'art.11 lett.a) del Codice della Privacy, non può ipotizzarsi la violazione degli altri adempimenti previsti, come l'acquisizione del consenso dell'interessato, che postulano invece la sussistenza di un trattamento lecito, quale appunto non era e non poteva essere in alcun modo quello verificatosi per effetto di un errore. Sostiene che, diversamente opinando, si attuerebbe "un allargamento incontrollato dell'area applicativa dell'art.23, onerando dell'acquisizione del consenso ogni Titolare del trattamento anche in relazione a trattamenti, lo si ripete, frutto di meri errori, rispetto ai quali appare difficile anche solo immaginare che un interessato possa essere chiamato ad esprimere il proprio consenso" (fol. 12 del ric.).

2.1. I motivi, da trattarsi congiuntamente, vanno respinti.

2.2.1. Le censure sono svolte sulla scorta di una non condivisibile lettura formale e atomistica delle norme invocate e prescindono, anche, dall'accertamento di fatto - compiuto dal Tribunale e non impugnato - in merito alla mancanza di prova circa il fraintendimento tra l'operatore ed il cliente e la conseguente erroneità che avrebbero connotato il trattamento, oltre sulla possibile incidenza di tali aspetti - ove accertati - , ridondante per il Tribunale esclusivamente sull' elemento soggettivo della condotta e non sulla sua illiceità oggettiva.

2.2.2. Non è in discussione che le informazioni di cui si discute – le generalità e gli altri dati riferiti agli abbonati e ai titolari di schede prepagate (ivi compreso il loro numero di telefono), in quanto riferiti a soggetti identificati o identificabili - debbano considerarsi "dati personali", rientrando in tale nozione «qualunque informazione relativa a persona fisica, identificata o identificabile, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale», ai sensi dell'art.4, lett. b) del d.lgs. n.196/2003 e che siano come tali assoggettate alla disciplina dettata dal menzionato d.lgs. 2.2.3. Sul piano normativo va rammentato che, alla stregua delle previsioni contenute nel d.lgs. n.196/2003, i dati personali oggetto del trattamento debbono essere: a) trattati in modo lecito e secondo correttezza; b) raccolti e registrati per scopi determinati, espliciti e legittimi, ed utilizzati in altre operazioni del trattamento in termini compatibili con tali scopi; c) esatti e, se necessario, aggiornati; d) pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono raccolti o successivamente trattati; e) conservati in una forma che consenta l'identificazione dell'interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati (Cass. n. 1593 del 23/1/2013, in motivazione).

2.2.4. La liceità del trattamento, inoltre, trova fondamento pure nella finalità del medesimo, quest'ultima costituendo un vero e proprio limite intrinseco del trattamento lecito dei dati personali, che fonda l'attribuzione all'interessato del potere di relativo controllo (tanto con riferimento alle finalità originarie che ai successivi impieghi), con facoltà di orientarne la selezione, la conservazione e l'utilizzazione (cfr. Cass. n. 4475 del 19/02/2021; Cass. n. 16133 del 15/7/2014).

2.2.5. Fissati i principi generali dall'art. del d.lgs. n.196/2003, l'art.13, inoltre, stabilisce che la raccolta dei dati deve avvenire previa informativa dell'interessato e l'art.25, comma 3, in tema di rilascio del consenso informato da parte dell'interessato.,. precisa che «Il consenso è validamente prestato solo se è espresso liberamente e specificamente in riferimento ad un trattamento chiaramente individuato, se è documentato per iscritto, e se sono state rese a/l'interessato le informazioni di cui all'articolo 13.».

Dalla lettura di queste norme si evince lo stretto collegamento funzionale tra le stesse e risulta evidente che le previsioni di cui agli artt. 13 e 25 del d.lgs. n.196/2003 costituiscono espresse modalità di raccolta e trattamento dei dati che integrano alcuni dei profili di liceità e correttezza del trattamento previsti dall'art:.11 lett. a), anche se non li esauriscono, con l'effetto che risulta smentita la tesi della ricorrente che propugna una lettura atomistica ed autonoma dell'art.11, lett. a) cit.

2.3. Nel caso di specie il Tribunale non solo ha accertato che la società ebbe ad attivare il servizio telefonico X senza che il segnalante avesse manifestato la volontà di addivenire alla stipula del relativo accordo contrattuale - aspetto sul quale la ricorrente sembra focalizzare la propria attenzione, laddove insiste nel prospettare la ricorrenza di un fraintendimento da parte dell'operatore del call center, nonostante il Tribunale abbia escluso che tale circostanza sia stata effettivamente provata - , ma soprattutto - per quanto interessa il presente giudizio - ha accertato che la connessa procedura afferente il trattamento dei dati personali non venne affatto svolta secondo le rammentate previsioni, e cioè mediante la previa informativa e l'acquisizione del consenso informato al trattamento dei dati a cura del titolare del trattamento, connotandosi così di palese illiceità.

I due profili, a differenze di quanto sembra ritenere e/o suggerire la ricorrente, mantengono la loro evidente autonomia, afferendo l'uno alla valida conclusione del contratto e l'altro al rispetto della disciplina dettata in tema di trattamento dei dati personali.

La eventuale nullità/annullabilità del contratto per vizio nella prestazione del consenso (indipendentemente dalle ragioni che ciò abbia determinato), non esonera, né può esonerare il titolare del trattamento dei dati dal rispetto della disciplina a ciò prevista, e la ricorrente nel prospettare la doglianza confonde e sovrappone inammissibilmente i possibili piani di illiceità presenti nella fattispecie complessa.

Ne consegue che, rettamente, il Tribunale ha respinto l'impugnazione, attesa la riscontrata illiceità del trattamento compiuto - giova sottolinearlo - per indiscussa mancanza della previa informativa e dell'acquisizione del consenso al trattamento dei dati, come riscontrato nel provvedimento del Garante, e nessuna contraddittorietà si evince nella decisione impugnata, al di là di una sintesi esplicativa po' farraginosa, che - contrariamente alla lettura proposta dalla ricorrente - va inserita ed interpretata nel complessivo contesto argomentativo.

Invero la ricorrente laddove sostiene che il trattamento sarebbe stato illegittimo ab origine evidentemente confonde la questione della mancata prestazione del consenso alla conclusione del contratto da parte del segnalante, con la distinta - anche se collegata- questione dell'illiceità del trattamento dei dati, conseguente al mancato assolvimento da parte del titolare del trattamento - anche mediante persona a ciò delegata - dell'onere di previa informativa e di acquisizione del consenso (allo specifico trattamento dei dati) e, sulla scorta di questo erronea prospettazione ravvisa i vizi prospettati.

Invero il fraintendimento in merito alla volontà del cliente di concludere un contratto per l'ampliamento dei servizi a propria disposizione, risulta essere - anche ove accertato - del tutto neutro rispetto al trattamento dei dati personali connesso e necessariamente da esplicare nei termini di legge e la ricorrente non ha affatto illustrato, nemmeno in fase di merito, perché ciò non era avvenuto.

3. In conclusione, il ricorso va rigettato.

Le spese seguono la soccombenza nella misura liquidata in dispositivo.

Va dato atto della sussistenza dei presupposti processuali per il versamento, da parte della ricorrente, ai sensi dell'art.13, comma 1 quater, d.P.R. 30 maggio 2002, n.115, nel testo introdotto dall'art.1, comma 17, della legge 24 dicembre 2012, n.228, di un ulteriore importo a titolo di contributo unificato, in misura pari a quello, ove dovuto, per il ricorso, a norma del comma 1 bis dello stesso art.13 (Cass. Sez. U. n. 23535 del 20/9/2019).

P.Q.M.

- Rigetta il ricorso;

- Condanna la ricorrente alla rifusione delle spese processuali, che liquida in euro 6.000,00=, oltre spese prenotate a debito;

- Dà atto, ai sensi dell'art.13, comma 1 quater del d.P.R. del 30 maggio 2002, n.115, della sussistenza dei presupposti processuali per il versamento, da parte della ricorrente, dell'ulteriore importo a titolo di contributo unificato pari a quello, ove dovuto, per il ricorso, a norma del comma 1 bis dello stesso art. 13.