8.1 La normativa
Un ulteriore profilo di responsabilità rilevante per tutti i professionisti riguarda la violazione dei principi che regolano la tutela dei dati personali, le cui disposizioni sono contenute nella Legge 31/12/1996, n. 675, abrogata dal D.lgs. 30/06/2003, n. 196 e successive modifiche e integrazioni fino al recente D.lgs. 14/03/2013, n. 33 (Riordino della disciplina riguardante gli obblighi di pubblicità, trasparenza e diffusione di infor- mazioni da parte delle pubbliche amministrazioni).
L'introduzione della tutela dei dati personali, c.d. Privacy, diviene necessaria per recepi- re la direttiva comunitaria n. 95/46/CE del 24/10/1995 e per rispettare gli obblighi inter- nazionali imposti dall'Accordo di Schengen del 14/06/1985 e dalla successiva Conven- zione n 108 adottata a Strasburgo il 28/01/1981 e resa esecutiva con la Legge 21/02/1989, n. 9862
.
La ratio della norma è garantire il rispetto dei diritti, delle libertà fondamentali e della dignità delle persone fisiche nel trattamento dei loro dati personali, con riferimento in particolar modo alla riservatezza e all'identità personale.
Il tema della privacy diviene sempre più di interesse, soprattutto a causa del continuo sviluppo dell'informatica, che permette di gestire, manipolare e controllare una mole di dati impensabile con i metodi precedenti e soprattutto con estrema facilità e velocità.
61 Centro Studi Ragionieri, Revisione degli enti locali, Milano, 1998, pag. 30 62 Cavalluzzo N. e Piccolo A., La responsabilità del commercialista, 2000, pag. 94
La tutela riguarda per lo più i dati c.d. “sensibili”, ossia i dati personali idonei a rivelare l'origine razziale ed etica, le convinzioni religiose, filosofiche o di altro genere, le opi- nioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo sta- to di salute e la vita sessuale.
8.2 L'informativa e gli obblighi imposti dalla normativa
L’informativa è la dichiarazione che il titolare dei dati dispone all’interessato, in forma scritta od orale, e riguarda le principali caratteristiche circa l’utilizzo delle infor- mazioni che lo riguardano. Deve essere chiara, essenziale, veritiera e il contenuto viene espressamente previsto dalla norma.
Il suo scopo è quello di permettere all’interessato di essere a conoscenza dell’ambito di circolazione delle informazioni che lo riguardano ed è sia una condizione di validità del consenso prestato dall’interessato al trattamento dei suoi dati che una condizione essen- ziale per poter esercitare i diritti di accesso e di opposizione al trattamento dei suoi dati. Tutta la normativa ruota attorno al seguente principio "chiunque cagiona danno ad altri per effetto del trattamento dei dati personali è tenuto al risarcimento ai sensi dell’art. 2050 del codice civile (attività pericolosa)", enunciato all'art. 15 del 30/06/2003, n. 196. Il trattamento dei dati personali è considerato, con il rinvio all'art. 2050 c.c., attività pe- ricolosa.
La Cassazione, in merito, ha stabilito che “si intendono per attività pericolose, in rela- zione al cui svolgimento opera la presunzione, oltre quelle prese in considerazione per la prevenzione degli infortuni e la tutela dell’incolumità pubblica, tutte quelle altre che, pur non essendo specificate o disciplinate, presentino una pericolosità intrinseca o di- pendente dalle modalità di esercizio e dai mezzi adoperati63
”.
Pertanto, il soggetto leso a seguito dell’attività di trattamento dei suoi dati personali non deve provare la colpa del titolare che ha trattato i suoi dati per essere risarcito.
L’interessato deve però dare prova del danno e il nesso di causalità; in altre parole deve dimostrare che il danno si è realizzato e, a sua volta, che il medesimo danno dipende dall’attività di trattamento dei dati.
Colui che ha effettuato il trattamento, invece, per sottrarsi da tale responsabilità, ha l’o- nere di provare di avere adottato tutte le misure idonee a evitare il danno. Questa prova è particolarmente gravosa perché il titolare non può limitarsi a fornire la prova negativa di non aver commesso alcuna violazione delle norme di legge o regolamentari, essendo, invece, onerato della prova positiva di aver impiegato ogni cura o misura volta ad impe- dire l’evento dannoso, alla luce dei più recenti risultati del progresso tecnico64
.
In caso di cessazione del trattamento dei dati personali, il titolare potrà solo distruggerli, cederli a terzi che, a loro volta, potranno utilizzarli unicamente per trattamenti finalizza- ti agli stessi scopi di quello cessato, conservarli per fini esclusivamente personali, con- servarli o cederli ad altro titolare, per scopi di ricerca storica, scientifica o statistica65
.
8.3 Il regime sanzionatorio
Nel caso di violazione delle predette norme, il professionista incorrerà nelle se- guenti sanzioni:
• multa da 3.000 a 18.000 euro per l’omessa o inidonea informativa per i dati per- sonali; oppure multa da 5.000 a 30.000 euro per l’omessa o inidonea informativa nei casi di dati sensibili o giudiziari o di trattamenti che presentano rischi speci- fici. In entrambi i casi, l’importo dovuto può essere aumentato fino al triplo qua- lora risulti inefficace in virtù delle condizioni economiche del contravventore66;
• pagamento di una somma da 5.000 a 30.000 euro per la cessione dei dati in vio- lazione della normativa67
;
64 Aina E., Brevi annotazioni sulla responsabilità da illecito trattamento dei dati personali – commento alla sentenza Cassazione civile, III Sezione, 26 giugno 2012, n. 10646, in Giurisprudenza Italiana, 03/2013, pag. 543
65 Art. 16, D.lgs. 196/2003 66 Art. 161, D.lgs. 196/2003
• multa da 4.000 a 24.000 euro per l’omessa informazione o esibizione dei docu- menti richiesti dal Garante68;
• reclusione da 6 mesi a 3 anni per la diffusione o comunicazione dei dati al fine di trarne profitto o recare danno ad altri, sempre che dal fatto derivi nocumento69
• reclusione da 6 mesi a 3 anni per falsità nelle dichiarazioni e notificazioni al Ga- rante nel corso di accertamenti70.