Corte di cassazione
Sezione II civile
Ordinanza 3 settembre 2020, n. 18288

Presidente: Manna - Relatore: Besso Marcheis

PREMESSO CHE

1. Con ricorso del 14 febbraio 2014 Postel s.p.a. proponeva opposizione avverso l'ordinanza ingiunzione n. 549 del 5 dicembre 2013 con cui il Garante per la protezione dei dati personali, rilevata la violazione degli artt. 162, comma 2-bis, 164 e 164-bis, comma 2, del d.lgs. n. 196/2003 (c.d. codice della privacy), aveva irrogato la sanzione di euro 340.000.

Con sentenza 21 gennaio 2016, n. 1314, il Tribunale di Roma - preliminarmente rigettata la questione di legittimità costituzionale degli artt. 162, comma 2-bis, e 164-bis del codice della privacy sollevata con riferimento all'art. 77 Cost. e al principio del ne bis in idem - in parziale accoglimento dell'opposizione, annullava l'ordinanza impugnata limitatamente alla sanzione di euro 100.000 per la violazione di cui all'art. 162, comma 2-bis, del codice; rigettava invece l'opposizione per i rimanenti motivi.

3. Contro la sentenza ricorre per cassazione Postel s.p.a.

Resiste con controricorso il Garante per la protezione dei dati personali, che propone altresì ricorso incidentale.

Postel resiste con controricorso al ricorso incidentale.

La ricorrente principale ha depositato memoria ai sensi dell'art. 380-bis.1 c.p.c.

CONSIDERATO CHE

1. La ricorrente principale Postel propone due questioni di legittimità costituzionale e tre motivi di impugnazione.

a) La prima questione di legittimità concerne la violazione dell'art. 77 Cost.: gli artt. 162, comma 2-bis, e 164-bis del codice della privacy, la cui applicazione ha condotto all'ordinanza ingiunzione del Garante per 300.000 euro (sui 340.000 euro complessivamente ingiunti), sono stati introdotti con il d.l. n. 207/2008 in assenza dei requisiti di necessità e di urgenza. La questione è manifestamente infondata. Come ha indicato la decisione impugnata, che ha respinto la questione già sollevata nella fase di merito, il sindacato del giudice costituzionale sulla legittimità del ricorso alla decretazione di urgenza è limitato ai soli casi di "evidente mancanza dei presupposti" richiesti dall'art. 77 Cost., o di "manifesta irragionevolezza e arbitrarietà della relativa valutazione" (da ultimo, oltre alle pronunce già menzionate dal giudice a quo, v. Corte cost. n. 170/2017, n. 22/2012, n. 93/2011, n. 355/2010). Condizioni, queste, che devono escludersi nella specie, in cui - come osserva il Procuratore generale nelle sue conclusioni scritte - "inasprimenti sanzionatori che riguardavano la disciplina del trattamento di dati personali in contesti di abuso di banche dati a fini di promozione commerciale e di telemarketing si presentavano come necessari, proprio in ragione della condizione di oligopolio di alcune aziende nella raccolta e nel trattamento, senza consenso degli interessati, di dati acquisiti presso archivi pubblici o di pubblico dominio"; oltre all'esigenza, già sottolineata dal giudice di merito, della funzionalità del Garante. Né vale ad escludere la manifesta infondatezza della questione il riferimento operato dalla ricorrente alla eterogeneità delle materie oggetto del decreto legge, rientrando le disposizioni in questione in quelle "di carattere finanziario" di cui alla rubrica del decreto.

b) La seconda questione di legittimità investe, attraverso il richiamo alla giurisprudenza della Corte europea dei diritti dell'uomo (a partire dalla sentenza del 2014 Grande Stevens c. Italia), la censura di incostituzionalità dell'art. 164-bis codice privacy per violazione del principio del ne bis in idem, derivabile dal protocollo 7 della Convenzione europea dei diritti dell'uomo e dall'art. 50 della Carta dei diritti fondamentali dell'Unione europea. La ricorrente lamenta come tramite l'art. 164-bis "le stesse identiche condotte che abbiano concretato la violazione delle norme presupposto (nel caso di specie l'omessa informativa ex art. 161 e il trattamento senza consenso ex art. 162, comma 2-bis) vengono dall'art. 164-bis, comma 2, sanzionate un'altra volta, soltanto perché a una violazione si è accompagnata l'altra, con evidente inosservanza del principio generale del ne bis in idem. La censura è manifestamente inammissibile, per evidente difetto di rilevanza: il Tribunale, optando per una lettura complessiva del sistema e del rapporto tra le due norme, ha escluso l'applicazione della sanzione prevista per l'art. 162, comma 2-bis, sulla base di un argomento (su cui cfr. infra in relazione al ricorso incidentale) di assorbimento di essa nella fattispecie più grave di cui all'art. 164-bis, così svuotando di interesse la proposizione della questione di legittimità. La censura di illegittimità costituzionale, comunque, è manifestamente infondata in quanto la questione - come rimarca il Procuratore generale nelle sue conclusioni scritte - "è del tutto eccentrica rispetto a quelli che sono i criteri che la Corte europea dei diritti dell'uomo ha elaborato per evitare una duplicazione sanzionatoria che abbia riguardo a ipotesi punibili al contempo sul piano amministrativo e su quello penale, in ciò consistendo la tematica del ne bis in idem convenzionale, laddove nel caso in esame non vi è traccia di applicazione di sanzioni penali né tantomeno di avvio parallelo di procedimenti penali per i medesimi fatti", laddove la censura posta dal ricorso è piuttosto quella dell'utilizzo di criteri (assorbimento, consunzione, specialità), che evitano l'applicazione cumulativa di sanzioni del medesimo tipo - nel caso in esame amministrative - per un medesimo fatto (su cui v. Cass. 17143/2016 e infra in relazione al ricorso incidentale).

c) Il primo motivo di impugnazione denuncia "violazione e/o falsa applicazione dell'art. 1 della l. n. 689/1981 e dell'art. 13, comma 4, e 161 del codice della privacy".

Il motivo è infondato. Esso si impernia sul rilievo che non potendo le violazioni (omessa informativa di cui al richiamato art. 161 e omessa acquisizione del consenso per i dati acquisiti dalle liste elettorali dei cittadini) essere sanate da un comportamento successivo, si sarebbero consumate uno actu (nel 2004, nel 2006 e nel maggio 2008), prima della vigenza del d.l. 207/2008, così che alla data degli accertamenti del Garante, nell'aprile del 2009, le sanzioni previste dalla novella non sarebbero state applicabili. La ricorrente non considera, come ha già sottolineato la sentenza impugnata, il carattere invece continuativo dell'illecito, "perdurante" fino agli accertamenti, in quanto la condotta di gestione, trattamento e conservazione dei dati si è protratta fino alla data indicata nel provvedimento del Garante, potendo la società fare cessare tali condotte in qualsiasi momento.

d) Il secondo motivo - rubricato "violazione e/o falsa applicazione dell'art. 14 l. n. 689/1981 in relazione all'art. 360, n. 3, c.p.c. nonché omesso esame di un fatto decisivo per il giudizio che è stato oggetto di discussione tra le parti in relazione all'art. 360, n. 5, c.p.c." - lamenta che il Tribunale non abbia considerato violato il termine di novanta giorni previsto dall'art. 14 della l. n. 689/1981 per la contestazione delle condotte della ricorrente a causa della ritenuta complessità delle indagini svolte nonché dell'incompletezza delle informazioni fornite da tale società.

Il motivo è infondato quanto alla violazione di legge, essendo consolidato l'indirizzo di questa Corte secondo cui, in tema di illeciti amministrativi di cui al codice della privacy, il dies a quo per il computo del termine di novanta giorni per la notificazione del verbale di contestazione decorre dall'accertamento della violazione, che non coincide con la generica e approssimativa percezione del fatto e con l'acquisizione della documentazione ad esso relativa, ma richiede l'elaborazione dei dati così ottenuti al fine di individuare gli elementi costitutivi delle eventuali violazioni (così, ex multis, Cass. 14678/2018). Il Tribunale, con accertamento in fatto ampiamente argomentato, ha affermato la complessità degli accertamenti ispettivi, anche dovuta al deficit collaborativo e informativo della stessa ricorrente, accertamenti che si sono conclusi solo nel marzo 2010. Non può quindi essere accolto il motivo pure ai sensi del n. 5 dell'art. 360 c.p.c., sostanziandosi in una inammissibile richiesta di rielaborazione di dati di fatto considerati dal Tribunale.

e) Il terzo motivo denuncia "violazione e/o falsa applicazione dell'art. 28 della l. n. 689/1981 e degli art. 13, comma 4, e 161 codice della privacy": gli illeciti ascritti alla società ricorrente hanno natura di illeciti omissivi "istantanei e non permanenti", così che al momento della irrogazione della ordinanza-ingiunzione il termine di prescrizione di cinque anni era ormai decorso da anni.

La ricorrente sostiene la prescrizione degli illeciti sulla stessa premessa del primo motivo, il carattere istantaneo delle fattispecie, così che anche questo motivo - per le medesime ragioni (supra, sub c) - non può essere accolto.

Il ricorso principale va quindi rigettato.

2. Il ricorso incidentale del Garante per la protezione dei dati personali è articolato in unico motivo con cui si contesta "violazione e falsa applicazione di legge in relazione agli artt. 164-bis, 161 e 162 del codice in materia di trattamento dei dati personali": il Tribunale ha erroneamente ritenuto che l'applicazione congiunta di tali norme al caso di specie determinasse una violazione del principio del ne bis in idem.

Il motivo è fondato. Il Tribunale ha erroneamente annullato la sanzione applicata dall'art. 162, comma 2-bis, del codice della privacy, ritenendola assorbita in quella dell'art. 164-bis stesso codice.

Come riconosce la stessa ricorrente principale in memoria, questa Corte ha infatti affermato che "in tema di illeciti amministrativi di cui al d.lgs. n. 196 del 2003, la fattispecie prevista dall'art. 164-bis, comma 2, costituisce non un'ipotesi aggravata rispetto alle violazioni semplici ivi richiamate, ma una figura di illecito del tutto autonoma, atteso che essa prevede la possibilità che vengano infrante dal contravventore, anche con più azioni e in tempi diversi, una pluralità di ipotesi semplici, unitariamente considerate dalla norma con riferimento a «banche di dati di particolare rilevanza o dimensioni», sicché, in caso di concorso di violazioni di altre disposizioni unitamente a quella in esame, ne deriva un'ipotesi di cumulo materiale delle sanzioni amministrative" (Cass. 17143/2016).

Il ricorso incidentale va quindi accolto.

3. L'accoglimento del ricorso incidentale comporta la cassazione del provvedimento impugnato in relazione al motivo accolto; la causa deve pertanto essere rinviata al Tribunale che deciderà attenendosi al principio di diritto sopra ricordato; il giudice di rinvio provvederà anche in relazione alle spese del presente giudizio.

Ai sensi dell'art. 13, comma 1-quater, del d.P.R. n. 115/2002, si dà atto della sussistenza dei presupposti processuali per il versamento, da parte del ricorrente principale, di un ulteriore importo a titolo di contributo unificato, pari a quello previsto per il ricorso a norma del comma 1-bis dello stesso art. 13, se dovuto.

P.Q.M.

La Corte rigetta il ricorso principale e accoglie il ricorso incidentale; cassa la sentenza impugnata in relazione al motivo accolto e rinvia la causa, anche per le spese del giudizio di legittimità, al Tribunale di Roma, in persona di diverso magistrato.

Sussistono, ex art. 13, comma 1-quater, del d.P.R. n. 115/2002, i presupposti processuali per il versamento, da parte del ricorrente principale, di un ulteriore importo a titolo di contributo unificato, pari a quello previsto per il ricorso a norma del comma 1-bis dello stesso art. 13, se dovuto.