La seconda sezione civile della Corte di Cassazione, con l’ordinanza n. 17665 pubblicata il 5 Luglio 2018, pronunciata su un ricorso proposto da una società italiana avverso una sentenza di condanna del Tribunale di Pavia, procedimento nel quale il Garante Privacy ha resistito con controricorso, spiega come si debba correttamente valutare la distinzione tra dati "personali" e dati meramente "identificativi", nonché chiarisce l’ambito di applicazione dell’obbligo di informativa all’atto di predisporre un form per la raccolta dei dati.
E anche se la Corte si basa ancora unicamente sul Codice Privacy D.Lgs. 196/2003, e non sul combinato disposto delle previsioni del Codice con quelle del GDPR (Regolamento UE 2016/679), fornisce comunque un chiarimento fondamentale anche per lo stesso GDPR, visto che questo riprende sia la nozione di dato personale contenuta nella Direttiva 95/96 su cui il Codice si fondava, sia l’adempimento della informativa di cui il GDPR ne ha esteso il contenuto minimo obbligatorio.
In particolare, la Corte di Cassazione ha affermato che la nozione di “dato personale” è un concetto molto ampio (e diverso da quello di “dato identificativo“, che ne è una specie della categoria generale), in quanto ricomprensivo di qualsiasi informazione che consenta di identificare una persona fisica, tra cui senz’altro il nome, il cognome ma anche lindirizzo di posta elettronica. Mentre il dato personale è quel dato che consente di identificare, anche indirettamente una determinata persona fisica, i “dati identificativi” sono dati personali che permettono tale identificazione direttamente.
In tale prospettiva si è infatti chiarito che ai sensi dell’art. 4 del d. lgs. 30 giugno 2003, n. 196, “dato personale”, oggetto di tutela, è “qualunque informazione” relativa a “persona fisica, giuridica, ente o associazione”, che siano “identificati o identificabili”, anche “indirettamente mediante riferimento a qualsiasi altra informazione”.
La Corte Suprema ha ricompreso nella propria giurisprudenza anche i dati personali presenti nelle banche dati costituite sulla base degli elenchi telefonici pubblici, per la cui utilizzazione è prescritta la previa informativa di cui all’art. 13 del d.lgs. n. 196 del 2003 per l’acquisizione del consenso degli interessati all’utilizzazione dei dati di loro pertinenza. Pertanto, la riconduzione nella categoria di dati personali ex art. 4 d. lgs. n. 196/2003 per cui era necessaria la preventiva informativa ex art. 13 del codice privacy predetto risulta fondata.
Avv. Flaviano Sanzari
