N. R.G. 2023 /29162

TRIBUNALE ORDINARIO DI MILANO
PRIMA SEZIONE CIVILE
Il Giudice dott.ssa RT CA DE OS,
a scioglimento della riserva assunta in data 24.10.2025 esaminate le note di trattazione scritta depositate dalle parti, ha pronunciato la seguente
ORDINANZA
Lette le memorie conclusive e le note sostitutive d'udienza depositate nei termini assegnati dalla difesa delle parti, pronuncia sentenza depositata contestualmente alla presente ordinanza.
Si comunichi alle parti costituite.
Milano, 7 novembre 2025
Il Giudice
RT CA DE OS

N. R.G. 2023/29162

REPUBBLICA ITALIANA
IN NOME DEL POPOLO ITALIANO
TRIBUNALE ORDINARIO di MILANO
PRIMA CIVILE
Il Tribunale, nella persona del Giudice dott. RT CA DE OS ha pronunciato la seguente
SENTENZA
nella causa civile di I Grado iscritta al n. r.g. 29162/2023 promossa da:

(C.F. ), con il patrocinio degli avv.ti Pietro Rocco Parte_1 C.F._1 di Torrepadula C.F. ) ed Enrico Romano (C.F. , C.F._2 C.F._3 elettivamente domiciliato presso il loro Studio in Napoli, alla Via Santa Lucia n.123. RICORRENTE/I contro

C.F./P.I. ), in persona del Funzionario procuratore Controparte_1 P.IVA_1 dott. con il patrocinio degli avv.ti Norberto Quieti (C.F. ) e CP_2 C.F._4
NN RR (C.F. , elettivamente domiciliata presso il loro Studio in C.F._5
Bollate (MI), Via Matteotti n. 11.
RESISTENTE/I
Oggetto: Responsabilità per lesione dei diritti relativi al trattamento dei dati personali - D.lgs.
n.196/2023 (Codice in materia di protezione dei dati personali)

Conclusioni: le parti hanno concluso come da fogli depositati telematicamente nel rispetto del termine assegnato.
FATTO

Con ricorso in riassunzione depositato telematicamente in data 28.07.2023, ha Parte_1 convenuto avanti questo Giudice la per sentire accertare la sua Controparte_1 responsabilità nel furto di dati personali subito dal ricorrente e nei conseguenti danni derivatigli, con condanna dell'Assicurazione al risarcimento degli stessi.
Parte attrice ha dedotto quanto segue.
In data 7.03.2022, il già cliente di acquistava uno scooter Pt_1 Controparte_1 marca Piaggio, modello Beverly 300, tg EZ24644 ed accedeva alla sua area riservata nella piattaforma on line di parte convenuta mediante l'inserimento delle proprie credenziali (e-mail e password), al fine di ottenere un preventivo per l'assicurazione del nuovo mezzo. Procedeva, pertanto, all'inserimento del numero di targa del motoveicolo e degli altri dati richiesti dalla piattaforma e rimaneva in attesa di ricevere il preventivo relativo alla polizza assicurativa. A distanza di pochi minuti, il veniva contattato da un numero telefonico avente prefisso del Pt_1 distretto di Milano (n. 02-87176685) e l'interlocutore, identificatosi come operatore di
[...]
, riferiva all'istante di aver appena ricevuto la richiesta di preventivo direttamente Controparte_1 effettuata nell'apposita area riservata del sito, indicando specificamente i dati anagrafici del Pt_1
e riferendogli che il costo del premio assicurativo per il nuovo veicolo, comprensivo di furto e incendio, si aggirava intorno ad euro 490,00. L'interlocutore comunicava al che, per accettare il preventivo, era necessario ricontattarli Pt_1 allo stesso numero di provenienza della chiamata. Su richiesta dello stesso circa le modalità di pagamento per l'accensione della polizza, Pt_1 l'interlocutore rispondeva che a causa di problemi del sistema, la compagnia era momentaneamente impossibilitata a ricevere bonifici bancari e quindi si rendeva necessario procedere tramite un sistema alternativo, mediante ricarica Mooney, indicando un codice fiscale e un codice utente specifico (C.F. intestatario carta [...], codice utente 521646944). L'attore, impossibilitato a procedere personalmente al pagamento, delegava il fratello, Per_1
ad effettuare presso una tabaccheria la ricarica Mooney.
[...] A causa di un errore di battitura del Tabaccaio, che digitava l'importo di 487,30 euro invece che quello richiesto di euro 487,90, l'istante veniva ricontattato dall'operatore di il Controparte_1 quale sottolineava l'errore d'importo e invitava ad effettuare un nuovo pagamento corretto, riferendo che, “per poter generare il certificato di assicurazione il sistema deve visualizzare l'intero importo” ed assicurando che il avrebbe ottenuto il rapido riaddebito di quanto versato indicando Pt_1 apposito IBAN.
Il provvedeva ad effettuare un secondo pagamento di euro 487,90 con un esborso totale Pt_1 pari ad euro 975,20, ricevendo il certificato di assicurazione.
Nessun pagamento veniva riaccreditato al che, a seguito di un controllo sulla copertura Pt_1 assicurativa, si rendeva conto della truffa subita e provvedeva a sporgere denuncia in data 14.03.2022.
La difesa del imputa alla una grave falla nel sistema di Pt_1 Controparte_1 protezione dei dati personali trattati, sistema non adeguato ai requisiti di sicurezza pretesi dal regolamento sulla privacy, con violazione dell'art. 15, comma 1, del D.lgs. n.196 del 2003.
Il procedimento, veniva incardinato avanti il Giudice di Pace di Milano, assumendo numero di ruolo generale 28283/2022; si costituiva in giudizio la società convenuta, eccependo preliminarmente l'incompetenza per materia del Giudice di Pace di Milano per essere invece competente, ai sensi di quanto disposto dal combinato disposto degli art.li 152 del Codice della Privacy e 10 del D. Lgs. 150/2011, il Tribunale secondo il rito lavoro;
il Giudice di Pace di Milano, preso atto dell'adesione del all'eccezione di pronunciava sentenza n. 2945/2023 del Pt_1 Controparte_1
28.04.2023 con la quale dichiarava la propria incompetenza a favore del Tribunale di Milano, avanti al quale la causa è stata riassunta nel rispetto dei termini di legge. Si è costituita, con comparsa depositata telematicamente in data 26.01.2024 la Controparte_1 eccependo la tardività della riassunzione del giudizio, la carenza di legittimazione in capo al
[...] ricorrente per essere legittimato il di lui fratello e, nel merito, Parte_1 Persona_1 l'infondatezza dell'azione per mancanza di qualsiasi comportamento colposo o negligente della resistente e per il concorso di colpa da parte dello stesso Pt_1 La difesa di ha concluso chiedendo l'integrale rigetto del ricorso. Controparte_1
All'esito della prima udienza il giudice accertava la tempestività della riassunzione del giudizio, onerava i difensori delle parti di depositare nel fascicolo telematico copie leggibili della documentazione allegata e la difesa di parte ricorrente di depositare nel fascicolo telematico documentazione comprovante l'avvenuta regolare notifica dell'atto introduttivo del giudizio e del decreto di fissazione udienza al Garante della Privacy, dando termine per il deposito di brevi memorie istruttorie. Esperita la fase istruttoria, con l'audizione dei testi sui capitoli di entrambo le parti ammessi, il Giudice rinviava per la decisione ex art. 127 ter c.p.c. assegnando termine perentorio per il deposito di note sostitutive d'udienza al 23.10.2025, assegnando altresì alle parti termine per il deposito di memoria conclusiva e nota spese fino al 15.10.2025. Lette le memorie conclusive e le note sostitutive d'udienza il giudice ha pronunciato sentenza depositata unitamente all'ordinanza di scioglimento della riserva assunta in data 24.10.2025.
DIRITTO
Le domande formulate dal non sono fondate e non possono trovare accoglimento per le Pt_1 seguenti motivazioni.
Preliminarmente si osserva che non può ritenersi fondata l'eccezione di carenza di legittimazione attiva in capo al ricorrente formulata dalla difesa di Parte_1 Controparte_1 sull'assunto che quest'ultimo non sarebbe il soggetto che ha subito il preteso danno legato alla truffa subita. Tale eccezione è del tutto infondata atteso che il giudizio verte sull'asserita responsabilità imputata alla società di assicurazioni per il furto di dati personali, dati inequivocabilmente riguardanti l' La circostanza, poi, che il pagamento sia stato effettivamente effettuato da un Parte_1 soggetto altro, su incarico temporaneo, non rileva nel determinare la carenza di legittimazione attiva.
Nell'instaurare il presente giudizio, il imputa alla negligenza della Pt_1 Controparte_1 nella conservazione e tutela dei dati personali dello stesso le conseguenze della truffa on line subita.
L'art. 15, comma 1, del Dlgs. n.196 del 2003 (Codice in materia di protezione dei dati personali) stabilisce che: “Chiunque cagiona danno ad altri per effetto del trattamento dei dati personali è tenuto al risarcimento ai sensi dell'art. 2050 del codice civile”. Il richiamato decreto legislativo detta anche norme in ordine alle modalità di gestione dei dati personali inseriti telematicamente ed in ordine alla responsabilità del relativo trattamento in capo al gestore.
La difesa del ha argomentato che il sito della non fosse adeguato ai Pt_1 Controparte_1 requisiti di sicurezza pretesi dal regolamento sulla privacy e che una “falla” evidente nel sistema abbia reso possibile a terzi di acquisire le informazioni che il sig. ha inserito nella Pt_1 piattaforma per ottenere il preventivo della polizza assicurativa, favorendo così la truffa perpetrata.
Quanto all'onere della prova rispetto alla norma citata (art. 2050 c.c.) il danneggiato deve dimostrare il danno subito e il nesso di causalità con l'attività pericolosa, ma non la colpa, mentre l'esercente l'attività deve provare di aver adottato tutte le misure idonee a evitare il danno, con una “prova liberatoria” che richiede un particolare rigore, perché deve essere dimostrato di aver adottato ogni cautela necessaria per prevenire l'evento dannoso.
Venendo all'esame della fattispecie concreta, alla luce della normativa e dei principi richiamati, questo giudice ritiene che nessuna responsabilità possa essere addebitata alla resistente
[...]
perché non è stata raggiunta la prova dell'effettivo accesso al sito dell'Assicurazione, CP_1 poi asseritamente violato. Il ricorrente ha sostenuto di essere acceduto al sito internet di in data 7 Controparte_1 marzo 2022, al fine di chiedere un preventivo per la copertura assicurativa di uno scooter da lui recentemente acquistato e di aver inserito in tale sito la propria username e password, in quanto già cliente di per la propria autovettura. Controparte_1
Secondo quanto dichiarato dallo stesso e confermato dalle allegazioni documentali, la Pt_1 richiesta di preventivo per l'assicurazione del nuovo scooter è stata formulata il 7.03.2022, alle ore 12,45, e la telefonata dal numero 0287176685 – non riconducibile alla resistente – sarebbe stata ricevuta alle 13,18 (cfr. pag. 1 denuncia). I pagamenti tramite ricarica Mooney sono stati effettuati sempre il 7.03.2022 il primo alle ore 16,39 e il secondo alle 16,52.
Tuttavia, dai documenti prodotti dalla difesa di si evince che la richiesta di Controparte_1 preventivo per l'assicurazione dello scooter è stata inoltrata per la prima volta all'assicurazione resistente in data 8.03.2022, quindi il giorno successivo a quello in cui la truffa si è concretizzata.
Dalle note esplicative depositate da parte resistente sub doc. 2 (a-b-c) si evince l'assenza di qualsiasi accesso da parte del in data 7.03.2022. In realtà il teste di ha chiarito Pt_1 Controparte_1 che in data 7.03.2022 risultano tre tentativi di accesso all'area riservata, non andati a buon fine e collocati temporalmente intorno alle 18,30 periodo di tempo in cui lo stesso ha dichiarato Pt_1 di essersi reso conto della truffa subita e di avere tentato l'accesso per controllare se vi fossero assicurazioni attivate o meno.
Questo giudice ritiene che quanto emerge di tabulati riferibili all'attività di - la cui CP_3 lettura è stata anche oggetto di prova testimoniale - debba prevalere rispetto alle contrastanti testimonianze fornire dai testi di parte ricorrente. Sia fratello del ricorrente, che Persona_1
hanno dichiarato di essere sicuri che parte attrice abbia effettuato l'accesso al sito Testimone_1 dell'Assicurazione resistente. Tuttavia, si rileva che dalla loro testimonianza si evince che l'accesso è stato effettuato tramite Google, digitando la parola “Prima”, circostanza che potrebbe aver portato all'apertura di siti non sicuri e in ogni caso non riferibili all'Assicurazione stessa;
l'email ed il numero telefonico tramite il quale si è perpetrata la truffa sono stati forniti dallo stesso su richiesta Pt_1 del non identificatosi “ ” dal quale è partita la richiesta di effettuare il pagamento con modalità CP_4 peraltro del tutto diverse da quelle usuali.
Il teste dell'Assicurazione, sig. che ai tempi dei fatti ricopriva il ruolo di Testimone_2
“Chief Technology Officer” della società ha dichiarato, riscontrando la documentazione prodotta e mostratagli in udienza, che “Da mie ricerche (al teste viene mostrato il doc. 2 – nota esplicativa), non risulta alcun accesso del al sito Prima in data 7.03.2022. In realtà risultano tentativi Pt_1 di accesso alle ore 18,39.03, 18,39.28 e 18.39,54 del giorno 7.03.2022. Il giorno successivo
(8.03.2022) il è acceduto al sito, ha visualizzato il premio come da preventivo ma non ha Pt_1 proceduto alla stipula della polizza.” Ed ancora, lo stesso teste ha chiarito che: “Gli unici dati rinvenuti nel sistema di Prima sono quelli relativi alla richiesta di preventivo del 8.03.2022. L'indirizzo e mail ed il numero di telefono del sono diversi da quelli indicati nella Pt_1 denuncia di truffa, ossia quelli indicati nella denuncia a noi non risultano in nessun luogo. Risultano i tentativi di accesso intorno alle 18,39 del giorno 7.03.2022.” Dalla documentazione agli atti (doc. 1 di parte ricorrente) emerge poi che gli scambi di informazioni e la documentazione fornita sono stati inoltrati all'indirizzo mail , indirizzo Email_1 non riferibile a tale indirizzo mail e il dominio “ ” non appartengono a CP_1 Email_2 [...] e sono riconducibili al sito internet “www.clientiprima.com”, sito web segnalato CP_1 dall'IVASS fin dal febbraio 2022, in quanto sito irregolare e potenzialmente foriero di condotte truffaldine.
Quanto emerso dalle evidenze documentali e dalle testimonianze assunte porta a ritenere provato che il non abbia effettuato un accesso all'area riservata del sito riferibile alla Pt_1 [...]
odierna convenuta, ma che sia stato, viceversa “dirottato” su un sito appositamente CP_1 approntato da soggetti terzi, non identificati, allo scopo di perpetrare truffe on line.
Il mancato accesso al sito riferibile alla comporta che nessuna violazione possa Controparte_1 essere imputata alla società, né alcuna compromissione dei dati personali dell'attore, che assieme ai suoi famigliari è stato indotto a consegnare i propri dati personali a persone sconosciute, attraverso la cosiddetta attività di “phishing”, ossia una frode espressamente finalizzata al furto d'identità degli utenti della rete. In particolare, il phishing è un illecito civile e penale che consiste in una truffa su internet, attraverso la quale si cerca di ingannare la vittima con lo scopo di carpire importanti informazioni sensibili (come numeri di carta di credito, password home banking, ecc.); la condotta del phisher integra, innanzitutto, il reato di trattamento illecito di dati personali, di cui all'art. 167 del
Codice della privacy, che punisce "chiunque, al fine di trarre per se' o per altri profitto ovvero di arrecare danno all'interessato" operando in violazione delle diverse prescrizioni della normativa a tute.
Alla luce delle risultanze dell'istruttoria e delle allegazioni documentali appare evidente come il comportamento che ha portato al danno subito dal non sia in alcun modo collegabile alla Pt_1 società resistente, che, stante il non dimostrato accesso al sito ufficiale della stessa, non ha posto in essere nessuna violazione di norme attinenti alla tutela della privacy, circostanza – questa – fondante il rigetto della pretesa del Pt_1
Tuttavia, e solo per completezza, si rileva che nella fattispecie de quo sussiste anche un evidente profilo quantomeno di contributo colposo della parte danneggiata. L'art. 1227 c.c., infatti, stabilisce che: “Se il fatto colposo del creditore ha concorso a cagionare il danno, il risarcimento è diminuito secondo la gravità della colpa e l'entità delle conseguenze che ne sono derivate. Il risarcimento non è dovuto per i danni che il creditore avrebbe potuto evitare usando l'ordinaria diligenza” Orbene, nella fattispecie occorsa al lo stesso ben avrebbe potuto rilevare che la procedura Pt_1 seguita non aveva nulla a che vedere con quella utilizzata da per la Controparte_1 preventivazione ed eventualmente solo successiva conclusione dei contratti. Si osserva, infatti, che parte attrice era già cliente della società d'assicurazione, con la quale aveva stipulato una polizza per un'autovettura e quindi doveva essere al corrente della procedura seguita. Senza contare che la richiesta di pagamento tramite ricarica Mooney, anziché tramite regolare bonifico, pagamento peraltro richiesto una seconda volta con una motivazione a dir poco discutibile, e l'indicazione di un codice fiscale estemporaneo, che poi è risultato essere intestato addirittura ad una persona fisica, avrebbero dovuto allertare il e i suoi familiari, evitando il verificarsi del pagamento Pt_1 dannoso o quantomeno la sua reiterazione, con limitazione del danno subito.
La società convenuta è completamente estranea ai fatti per cui è causa e non può essere ritenuta responsabile degli asseriti danni patiti dal ricorrente, con conseguente integrale rigetto della domanda.
Le spese di lite seguono la soccombenza ai sensi dell'art. 91 c.p.c. e sono liquidate nella misura direttamente determinata in dispositivo, avuto riguardo al valore della causa come ritenuto nel presente provvedimento, all'attività difensiva effettivamente prestata e all'articolazione delle questioni di fatto e di diritto affrontate.


P.Q.M.


il Tribunale, definitivamente pronunziando, ogni diversa istanza, difesa, eccezione, deduzione disattesa o assorbita, così dispone:
- rigetta integralmente le domande formulate da nei confronti di Parte_1 [...]
Controparte_1
- condanna parte ricorrente alla rifusione in favore della società resistente delle spese di lite che liquida in complessivi € 662,00 per compensi, oltre spese generali al 15% e oltra a IVA e CPA come per legge.
Milano, 7 novembre 2025
Il Giudice
RT CA DE OS