N. R.G. 10/2023
REPUBBLICA ITALIANA
IN NOME DEL POPOLO ITALIANO
TRIBUNALE ORDINARIO di CROTONE
Sezione CIVILE
Il Tribunale, nella persona del Giudice dott.ssa Sofia Nobile de Santis ha pronunciato ex art. 429 c.p.c. la seguente SENTENZA nella causa civile di I Grado iscritta al n. r.g. 10/2023 promossa da:
(C.F. ) e (C.F. Parte_1 C.F._1 Parte_2
), con il patrocinio dell'avv. PONTIERI SALVATORE FABRIZIO, presso il C.F._2 cui studio sono elettivamente domiciliati, giusta procura in atti ATTORE/I contro
(C.F. ), con il patrocinio Controparte_1 P.IVA_1 degli avv.ti LAMMIRATO GIUSEPPE e FERRANTE GIULIA ( ) C/O C.F._3 CENTRO DIREZIONALE IL “GRANAIO” VIA M. NICOLETTA 88900 CP_1
CONVENUTO/I
CONCLUSIONI
Le parti hanno concluso come da verbale dell'odierna udienza.
pagina 1 di 7 Concisa esposizione delle ragioni di fatto e di diritto della decisione
1) Con ricorso depositato in data 3.01.2023, i coniugi e hanno Parte_1 Parte_2 convenuto in giudizio l' chiedendone la condanna al Controparte_1 risarcimento dei danni non patrimoniali subiti in conseguenza dell'illecita diffusione dei loro dati sanitari relativi alla positività al COVID-19.
I ricorrenti hanno esposto: di essere stati sottoposti nel marzo 2020 a tampone rinofaringeo presso le Cont strutture dell' di con esito positivo al virus;
che nei giorni immediatamente successivi è CP_1 stato diffuso sui circuiti social e di messaggistica istantanea un elenco contenente i nominativi, le date di nascita e lo stato di positività di cinquantanove pazienti della provincia di tra cui figuravano CP_1 anche i loro nominativi;
che tale elenco, formato PDF privo di qualsiasi protezione, riportava in chiaro tutti i dati identificativi degli interessati ed è stato ampiamente condiviso tramite WhatsApp, divenendo rapidamente di dominio pubblico.
Tanto premesso, hanno lamentato plurime e gravi violazioni del Regolamento UE 2016/679 (GDPR) da Cont parte dell' quale titolare del trattamento, consistite nell'omessa informativa al momento della raccolta dei dati, nella totale assenza di misure tecniche e organizzative di sicurezza, nell'inadeguatezza del Responsabile della Protezione dei Dati nominato, nell'omessa notifica del data breach al Garante
Privacy e nell'omessa comunicazione della violazione agli interessati.
Hanno dedotto di aver subito in conseguenza di tale diffusione grave emarginazione sociale, disturbi psicologici e lesione della dignità personale, chiedendo il risarcimento del danno in via equitativa.
1).1 Si è costituita in giudizio l' contestando integralmente la Controparte_1 domanda. Ha sostenuto che la diffusione sarebbe stata opera esclusiva di un singolo medico della task force COVID, per condotta personale e dolosa, e che nessuna misura organizzativa avrebbe potuto impedire tale diffusione, essendo il predetto medico legittimato ad accedere ai dati per ragioni di servizio.
Ha richiamato la sentenza del GUP del Tribunale di Crotone, n. 234/2022 del 12 dicembre 2022 che ha assolto il direttore dell'unità operativa e complessa di Igiene e Sanità Pubblica dell' CP_3
(Dott. ) e il Responsabile della Protezione dei Dati Personali (DPO, Dott. dai reati CP_4 Per_1 contestati, ritenendo che le cautele imposte dalla normativa europea non avrebbero comunque impedito la divulgazione. Ha infine eccepito il difetto di prova del danno concreto e del nesso causale, sostenendo che le sofferenze lamentate sarebbero indistinguibili da quelle dovute alla positività stessa e pagina 2 di 7 al lockdown, e che le relazioni psicologiche di parte sarebbero tardive, contraddittorie e prive di valore probatorio.
1).2 Il Tribunale, con ordinanza del 13 novembre 2023, ha ammesso le prove testimoniali e rinviato, per l'escussione dei testi, all'udienza del 30.05.2024.
Dopo alcuni rinvii d'ufficio, la causa è stata trattenuta in decisione in data odierna, a seguito di discussione orale.
2) La domanda è fondata e va accolta per le ragioni che seguono.
2).1 I ricorrenti lamentano un danno non patrimoniale determinato da una lesione del diritto fondamentale alla protezione dei dati personali tutelato costituzionalmente (artt. 2 e 21 Cost. e art. 8 della CEDU).
La rilevanza del rimedio risarcitorio è confermata dal GDPR, il cui art. 82 stabilisce che “chiunque subisca un danno materiale o immateriale causato da una violazione del presente regolamento ha il diritto di ottenere il risarcimento del danno dal titolare del trattamento o dal responsabile del trattamento”.
Ciò sta a significare che il soggetto danneggiato a seguito di un trattamento dei suoi dati in violazione delle norme del GDPR e di quelle nazionali di recepimento (cfr. il d.lgs. n. 101 del 2018 di aggiornamento del codice privacy) può ottenere il risarcimento del danno occorsogli;
e il titolare risponde per il danno causato dal trattamento in violazione del regolamento indipendentemente dall'eventuale concorso del responsabile specifico.
Deve altresì rammentarsi che la giurisprudenza di legittimità (v. ex multis Cass. Sez. 1, n. 207 del
8/1/2019) ha ricondotto l'illecito trattamento di dati personali ad un'ipotesi di responsabilità oggettiva;
pertanto, il danneggiato che lamenti la lesione dell'interesse non patrimoniale può limitarsi a dimostrare l'esistenza del danno e del nesso di causalità rispetto al trattamento illecito, mentre spetta al danneggiante titolare del trattamento, eventualmente in solido col responsabile, dimostrare di aver adottato tutte le misure idonee per evitare il danno.
La giurisprudenza ha poi chiarito che questo schema è confermato anche nel nuovo GDPR (articolo
82.3 GDPR) che, sulla base del principio di responsabilizzazione (accountability) addossa al titolare del trattamento dei dati - eventualmente in solido con il responsabile - il rischio tipico di impresa ex art. 2050 c.c. (v. in tal senso Cass. civ. Sez. I ordinanza n. 19328 del 17/09/2020).
Il titolare del trattamento, per non incorrere in responsabilità deve dimostrare che l'evento dannoso non pagina 3 di 7 gli è in alcun modo imputabile e non può limitarsi alla prova negativa di non aver violato le norme (e quindi di essersi conformato ai precetti), ma occorre la prova positiva di aver valutato autonomamente il rischio di impresa, purché tipico, cioè prevedibile, e attuato le misure organizzative e di sicurezza tali da eliminare o ridurre il rischio connesso alla sua attività (cfr. Cass., sez. 3, n. 16133 del 15/07/2014).
Ed ancora, la giurisprudenza più recente ha chiarito che in base alla disciplina generale del
Regolamento (UE) 2016/679, cd. GDPR, il titolare del trattamento dei dati personali è sempre tenuto a risarcire il danno cagionato a una persona da un trattamento non conforme al regolamento stesso, e può essere esonerato dalla responsabilità non semplicemente se si è attivato (come suo dovere) per rimuovere il dato illecitamente esposto, ma solo “se dimostra che l'evento dannoso non gli è in alcun modo imputabile” (v. Cass., Sez. 1, Ordinanza n. 13073 del 12/05/2023).
Applicando i suesposti principi giurisprudenziali al caso di specie, è pacifico e non contestato che nel marzo 2020 è stato diffuso sui circuiti social e di messaggistica un elenco contenente i nominativi, le date di nascita e lo stato di positività di cinquantanove pazienti della provincia di tra cui i CP_1
Cont ricorrenti, e che tale elenco proveniva dalle strutture dell' È altresì pacifico che la CP_3 era titolare del trattamento di tali dati, raccolti nell'ambito dell'attività di screening diagnostico per il
COVID-19.
La diffusione costituisce oggettivamente una violazione del Regolamento, trattandosi di comunicazione non autorizzata di dati sanitari sensibili ad un numero indeterminato di soggetti non legittimati a conoscerli. Cont In applicazione dell'art. 82 comma 3 GDPR, spettava quindi alla dimostrare che l'evento dannoso non le è in alcun modo imputabile, ossia che aveva adottato tutte le misure necessarie per evitare tale diffusione. Cont La non ha fornito tale prova, limitandosi ad addossare la responsabilità al comportamento di un singolo medico, per dolo o comunque per errore umano. Tale circostanza non possiede alcuna rilevanza, per la ragione che il titolare del trattamento dei dati risponde anche per il fatto illecito dei propri dipendenti, come del resto già sancisce in generale l'art. 2049 cod. civ. per tutta la materia della responsabilità civile.
Quanto alla sentenza penale versata in atti dalla parte resistente, anch'essa non assume alcun rilievo ai fini della prova liberatoria richiesta dal GDPR, in quanto l'assoluzione dei due medici coinvolti dai reati contestati non equivale alla dimostrazione, richiesta dall'art. 82 comma 3 GDPR, di aver adottato pagina 4 di 7 tutte le misure necessarie ai fini dell'esonero dalla responsabilità civile, che è oggettiva salvo prova liberatoria. Anzi, la stessa motivazione della sentenza penale riconosce implicitamente la carenza organizzativa laddove afferma che la diffusione dei dati sensibili è avvenuta “attese le particolari modalità della condotta diffusiva”. Cont In definitiva, la non ha fornito alcuna prova di aver adottato tutte le misure idonee per evitare il danno, come richiesto dall'art. 82 comma 3 GDPR, risultando pertanto tenuta al risarcimento del danno causato dalla diffusione non autorizzata dei dati sensibili dei ricorrenti.
2).2 Resta da accertare se i ricorrenti abbiano subito un danno e se sussista il nesso causale con la diffusione dei dati personali.
La giurisprudenza della Suprema Corte ha chiarito che in tema di onere della prova, in caso di illecito trattamento dei dati personali, il pregiudizio non patrimoniale non è in re ipsa, ma deve essere allegato e provato da parte dell'attore, a pena di uno snaturamento delle funzioni della responsabilità aquiliana.
La posizione attorea è tuttavia agevolata dal regime più favorevole dell'onere della prova, descritto all'articolo 2050 c.c., rispetto alla regola generale del danno aquiliano, nonché dalla possibilità di dimostrare il danno anche solo tramite presunzioni semplici e dal risarcimento secondo equità (v. Cass.
Sez. 1, 08/01/2019, n. 207; Cass. Sez. 1, 25/1/2017 n. 1931; Cass. Sez. 1, n. 10638 del 23/05/2016).
Per altro verso, il danno non patrimoniale in caso di illecito trattamento dei dati personali non si sottrae alla verifica della gravità della lesione e della serietà del danno, avendo la Suprema Corte puntualizzato che può non determinare il danno la mera violazione delle prescrizioni formali in tema di trattamento del dato, mentre induce sempre al risarcimento quella violazione che, concretamente, offenda la portata effettiva del diritto alla riservatezza (v. Cass., Sez. 1, Ordinanza n. 13073 del 12/05/2023).
Tanto premesso, il Tribunale ritiene che sia stata offerta la prova di un danno avente i caratteri della serietà della lesione, secondo il descritto regime probatorio agevolato proprio del danno non patrimoniale da illecito trattamento dati.
In particolare, i ricorrenti hanno prodotto le relazioni dei consulenti tecnici di parte dott.ssa e Per_2 dott. del 14 novembre 2021, che attestano per il sig. un “disturbo Persona_3 Parte_1 depressivo con altra specificazione (a seguito di evento traumatico), con ansia moderata, in remissione parziale” e per la sig.ra un “disturbo da stress post-traumatico senza sintomi dissociativi”. Parte_2
Le relazioni evidenziano disturbi del sonno, disorganizzazione del pensiero, pensieri intrusivi, e riportano le dichiarazioni dei ricorrenti: “gli amici non si avvicinavano! Mi salutavano da lontano!” e pagina 5 di 7 “vergogna! Ho provato tanta vergogna! E umiliazione...”.
Le consulenze di parte trovano riscontro nelle testimonianze acquisite. In particolare, il teste
[...]
ha dichiarato che “durante il periodo del lockdown sentivo il sig. piangere al Tes_1 Parte_1 telefono” e che “nel periodo post lockdown l'ho visto nervoso e deperito”. Ha ammesso: “io personalmente, che ero amico dei ricorrenti, ho allontanato il sig. per paura di Parte_1 prendere il coronavirus”; infine ha dichiarato di avere visto “anche altri amici che allontanavano il ricorrente” (v. verbale di udienza del 30.05.2024).
Tali dichiarazioni, riferendo circostanze concrete e temporalmente determinate, confermano l'alterazione psico-emotiva dei ricorrenti, l'emarginazione sociale subita e la rilevanza della sofferenza che non si è arrestata alla soglia di un mero disagio o fastidio.
Anche il teste ha dichiarato di aver incontrato i ricorrenti a maggio 2020 Testimone_2 affermando: “li ho visti cambiati nell'aspetto, piangevano ed erano nervosi”. Cont La ha obiettato che il danno subìto dai ricorrenti sarebbe indistinguibile dalla sofferenza per la positività stessa e per il lockdown. L'eccezione non può essere condivisa.
È indubbio che in quel periodo chiunque risultasse positivo al virus avrebbe subito preoccupazione e isolamento. Tuttavia, la diffusione della notizia relativa alla positività ha aggiunto un quid pluris costituente danno autonomo, innescando un sentimento di vergogna ed umiliazione determinato da una divulgazione indiscriminata della notizia con conseguente isolamento sociale.
In definitiva, a fronte di una obiettiva offesa al diritto alla riservatezza, i ricorrenti hanno provato di aver subito: sofferenza morale per umiliazione e perdita di controllo sui propri dati sensibili;
disturbi psicologici attestati dalle consulenze di parte versate in atti e riscontrati dai testimoni;
alterazione delle relazioni sociali. Cont 2).3 Accertata la responsabilità della e la sussistenza del danno e del nesso causale, il Tribunale procede alla liquidazione in via equitativa ex artt. 1226 e 2059 c.c.
Tenuto conto della gravità della violazione, trattandosi di dati sanitari ultrasensibili diffusi massivamente in un momento di elevato allarme sociale, nonché delle conseguenze psicologiche accertate - che le consulenze di parte e le testimonianze acquisite hanno comunque attestato essere di natura moderata -, considerato altresì il diverso grado di severità del danno patito (si vedano in proposito le relazioni di parte prodotte in atti), si stima equo liquidare il danno subìto in € 3.000,00 all'attualità in favore di ed in € 2.600,00 all'attualità in favore di Parte_1 Parte_2
pagina 6 di 7 2).4 Le ulteriori questioni sollevate dalle parti, anche di carattere istruttorio, devono ritenersi assorbite.
3) Le spese seguono la soccombenza di parte convenuta e sono calcolate ai sensi del D.M. n. 55/2014, come aggiornato dal D.M. n. 147/2022, tenuto conto del valore del decisum ed applicata la riduzione del 50 % in ragione dell'attività defensionale espletata.


P.Q.M.


Il Tribunale, definitivamente pronunciando, ogni altra istanza disattesa o assorbita, così dispone:
1. accoglie per quanto di ragione la domanda attorea e, per l'effetto, condanna l'
[...]
a corrispondere, a titolo di risarcimento del danno non Controparte_1 patrimoniale, la somma di € 3.000,00 all'attualità in favore di ed in € Parte_1
2.600,00 all'attualità in favore di Parte_2
2. condanna l' a rifondere a e Controparte_1 Parte_1 [...]
in via di solidarietà attiva, le spese di lite sostenute per il presente giudizio che si Pt_2 liquidano in € 545,00 per esborsi, € 2.540,00 per compensi, oltre 15% rimborso spese generali,
c.p.a. e i.v.a. alle rispettive aliquote di legge, da distrarsi in favore del procuratore costituito ex art. 93 c.p.c.
Sentenza resa ex articolo 429 c.p.c.
Crotone, 16 ottobre 2025
Il Giudice
dott.ssa Sofia Nobile de Santis
pagina 7 di 7