Violazione dei dati personali e risarcimento del danno

Tribunale Cagliari sez. II, 13/04/2026, n. 970, est. G. Latti

IL CASO E LA DECISIONE

P1 ha convenuto in giudizio P2 al fine di ottenere l’integrale risarcimento dei danni conseguenti alla violazione dei propri dati personali.

A sostegno della domanda, l’attrice ha esposto:

- di essere stabilmente residente in un determinato paese ed in cura presso il relativo Centro di Salute Mentale (CSM);

- che, in data 16 gennaio 2020, una propria compaesana, Y, anch’ella in cura presso il medesimo Centro, ivi si è recata per ritirare le copie della propria cartella clinica;

- che, all’interno della cartella, Y ha rinvenuto tre fogli appartenenti alla cartella clinica dell’attrice, riportanti la dicitura “Diari clinici/cliente. (…) Diari medico/psichiatrico”, nei quali sono annotati i colloqui avuti da quest’ultima dal 2016 al 2019 con gli psichiatri-psicoterapeuti del CSM, nonché le terapie farmacologiche somministrate e la diagnosi;

- che Y ha avvisato immediatamente l’attrice, consegnandole i fogli erroneamente inseriti nella propria cartella;

- che, a sua volta, l’attrice ha segnalato il giorno stesso l’accaduto a P2 manifestando il proprio disappunto;

- che l’avvenuta divulgazione a terze persone di dati sensibilissimi relativi alle proprie condizioni di salute ha cagionato all’attrice una grave crisi ansiosa ed una grave sofferenza psico-fisica, riconducibile alla diffusione di notizie inerenti alle proprie condizioni di salute presso la piccola comunità in cui vive e risiede;

- che, pertanto, l’attrice ha inviato in data 20 gennaio 2020 una diffida a P2 e, in data 30 aprile 2020, ha richiesto inoltre l’intervento del Garante per la protezione dei dati personali, il quale ha svolto un’accurata istruttoria diretta ad accertare la sussistenza del presupposto giuridico che ha permesso la diffusione dei dati sensibili riguardanti l’attrice;

- che a seguito di detta istruttoria, con provvedimento n. 370 del 14 ottobre 2021, il Garante ha rilevato la violazione da parte di P2 degli artt. 5-9 del Regolamento UE 2016/679 del Parlamento Europeo e del Consiglio del 27 aprile 2016, irrogando a quest’ultima sanzione pecuniaria pari ad € 8.000,00;

- che nonostante detto provvedimento, P2 non ha riconosciuto in sede stragiudiziale alcun risarcimento per il danno patito dall’attrice;

- che il medico neurologo, ha accertato un pesante stato ansioso in capo all’attrice, quantificando il danno biologico in punti 5% di invalidità, una ITT di giorni 30, una ITP al 75% di giorni 30 ed una ITP al 50% di giorni 40, con conseguente determinazione del quantum risarcitorio in misura pari ad € 17.142,50;

- di aver sostenuto spese mediche pari ad € 700,00 per compenso corrisposto al medico nonché spese legali per l’assistenza stragiudiziale pari ad € 1.086,75 oltre c.p.a. ed IVA. 

L’attrice ha pertanto domandato accertarsi la responsabilità dell’ente convenuto per i fatti descritti nella propria espositiva, nonché il risarcimento dei danni patrimoniali e non patrimoniali subiti nella misura richiesta, oltre interessi e rivalutazione monetaria. 

P2 ha domandato l’integrale rigetto delle domande attoree, ritenendole infondate in fatto e diritto.

In particolare, l’ente convenuto ha eccepito che:

- sotto il profilo dell’an della pretesa risarcitoria, non sarebbe stato dimostrato che i documenti riconducibili all’attrice e reperiti da Y, nonché il loro contenuto, siano stati divulgati ad ulteriori terze parti;

- ai fini del risarcimento dell’eventuale danno derivante dall’illecito trattamento dei dati sensibili dell’attrice, sarebbe necessaria la verifica della “gravità della lesione” e della “serietà del danno”;

- l’istruttoria svolta dal Garante per la protezione dei dati personali, pur essendosi conclusa con l’irrogazione di sanzione pecuniaria, ha rilevato che la violazione realizzata dall’amministrazione ha coinvolto unicamente due persone ed ha riguardato un arco temporale estremamente ridotto, ed inoltre che l’amministrazione ha fatto tutto il possibile per ridurre al minimo il danno cagionato dall’evento dannoso;

- sotto il profilo del quantum della pretesa risarcitoria, non vi sarebbe stata prova del fatto che il disagio psicologico dell’attrice sia riconducibile ai fatti descritti in citazione;

- considerata la già preesistente condizione patologica per la quale l’attrice è in cura presso il CSM di Assemini, non vi sarebbe stata prova del fatto che quest’ultima abbia subito un aggravamento delle proprie condizioni in conseguenza dell’evento descritto nell’atto di citazione, né potrebbe ritenersi sufficiente a tal fine la valutazione del consulente di parte, rendendosi invece necessario l’espletamento di una CTU. 

La convenuta ha concluso domandando il rigetto delle domande attoree, ovvero in via subordinata, la rideterminazione del quantum del risarcimento eventualmente dovuto in via equitativa. 

Il Tribunale ha ritenuto infondata la domanda di parte attrice, respingendola.

LA SOLUZIONE IN DIRITTO

La vicenda giudiziaria in commento ha ad oggetto una responsabilità da fatto illecito, consistente nella violazione della vigente normativa disciplinante il trattamento di dati personali sensibili dell’attrice, di cui l’ente convenuto era in possesso per ragioni inerenti al proprio ufficio.

In applicazione degli ordinari criteri di ripartizione dell’onere di prova ex art. 2043 c.c., applicabili anche in tema di risarcimento del danno non patrimoniale ex art. 2059 c.c., il danneggiato è tenuto a dimostrare non solo il fatto lesivo e la sua riconducibilità al dolo o alla colpa dell’agente, ma anche natura ed entità delle conseguenze pregiudizievoli derivanti dal suddetto fatto, dovendosi nettamente distinguere il danno-evento dal danno-conseguenza, nonché il relativo nesso di causalità.

In punto di fatto, il Tribunale ha rilevato che: 

- nel caso in esame, l’attrice ha rappresentato il fatto lesivo (l’avvenuto inserimento, all’interno della cartella clinica consegnata a Y, di documenti contenenti dati sensibili attinenti alle proprie condizioni di salute) ed ha allegato, quale conseguenza pregiudizievole, l’aggravamento della propria condizione patologica; 

- riguardo a tale allegazione, se da un lato è pacificamente emerso l’effettivo verificarsi del fatto lesivo (attestato dalle risultanze dell’attività istruttoria svolta dal Garante per la protezione dei dati personali culminato con l’irrogazione di sanzione pecuniaria all’ente convenuto, il quale peraltro non ha negato l’accadimento del fatto storico, né la propria responsabilità a titolo di colpa), non altrettanto può dirsi in merito alle conseguenze pregiudizievoli che l’attrice ha inteso ricondurre a tale evento.

Il Tribunale ha osservato che, per consolidato orientamento della giurisprudenza di legittimità (v. in particolare, Cass., n. 26992 del 17.10.2024; Cass. n. 16402 del 10.6.2021), il danno non patrimoniale risarcibile ai sensi dell’art. 82 del Regolamento UE n. 679/2016 del Parlamento europeo e del Consiglio del 27.4.2016 (c.d. Regolamento Generale sulla Protezione dei Dati o GDPR), pur determinato da una lesione del diritto fondamentale alla protezione dei dati personali tutelato dagli artt. 2 e 21 Cost. e dall’art. 8 della CEDU, non si sottrae alla verifica della “gravità della lesione” e della “serietà del danno” quali criteri oggetto di accertamento ai fini del risarcimento del danno non patrimoniale, in quanto anche per tale diritto opera il bilanciamento con il principio di solidarietà ex art. 2 Cost., di cui quello di tolleranza della lesione minima è intrinseco precipitato; sicché determina una lesione ingiustificabile del diritto non la mera violazione delle prescrizioni poste dal GDPR e dal c.d. Codice della Privacy (D.Lgs. 196/2003, come modificato e integrato dal successivo D.Lgs. n. 101/2018), ma solo quella che ne offenda in modo sensibile la sua portata effettiva, restando comunque il relativo accertamento di fatto rimesso al giudice di merito (v. Cass., 20 agosto 2020, n. 17383).

È stato altresì affermato che il danno alla privacy, come ogni danno non patrimoniale, non sussiste “in re ipsa”, non identificandosi il danno risarcibile con la mera lesione dell’interesse tutelato dall’ordinamento, ma con le conseguenze di tale lesione, seppur può essere provato anche attraverso presunzioni (v. Cass. n. 19434/2019; Cass. n. 29206/2019).

Il Tribunale ha ricordato che, ai fini della risarcibilità del danno non patrimoniale, è necessario:

a) che l’interesse leso, attinente a diritti inviolabili della persona, sia di rango costituzionale;

b) che sussista una lesione grave, con offesa che superi la soglia minima di tollerabilità;

c) che si tratti di danno non futile, cioè non consistente in meri disagi o fastidi;

d) che vi sia una specifica allegazione sulla natura e sulle caratteristiche del pregiudizio, non potendosi mai ritenere il danno “in re ipsa”.

Con riguardo al caso in esame, il Giudice ha rilevato come l’attore, pur avendo allegato le circostanze che avrebbero determinato l’illecito trattamento dei propri dati personali sensibili da parte dell’ente convenuto, abbia però omesso di produrre proprio i documenti che sarebbero stati erroneamente inseriti nella cartella clinica di Y e da quest’ultima ritirati in assenza di delega da parte dell’attrice.

Seppur incontestato l’avvenuto erroneo inserimento di detti fogli all’interno dell’altrui cartella clinica, l’assenza di tali documenti (il cui contenuto non è possibile evincere con chiarezza neppure dall’esame del provvedimento sanzionatorio emesso dal Garante, il quale, pur dando atto della loro acquisizione durante la sua istruttoria, si limita a riportarne una breve descrizione) non ha consentito di avere contezza del loro contenuto e di poter dunque valutare adeguatamente l’effettiva sussistenza di una seria compromissione del diritto di cui l’attrice ha domandato tutela.

Secondo il Tribunale, non rileva il solo fatto che l’illecito trattamento dei dati sensibili riferibili all’attrice sia stato sanzionato dal Garante per la protezione dei dati personali, in quanto il relativo provvedimento sanzionatorio non può avere alcun effetto preclusivo o vincolante nel giudizio civile promosso dall’interessato per il risarcimento dei danni, svolgendosi i due giudizi su piani diversi e dovendo il danno civile essere sempre allegato e dimostrato (v. ancora Cass., ord. n. 26992 del 17.10.2024).

Inoltre, dalle risultanze dell’attività istruttoria già compiuta dal Garante, come descritta nel provvedimento sanzionatorio in atti, la divulgazione dei dati personali sensibili contenuti nei documenti riferibili all’attrice risulta essere stata circoscritta ad un brevissimo lasso di tempo, nonché limitata alla sola Y, non essendo emerso che quest’ultima li abbia a sua volta divulgati a terzi, ma essendo anzi pacifico che ella abbia avvisato l’attrice il giorno stesso del ritiro, nonché consegnato immediatamente a quest’ultima i fogli erroneamente inseriti nella sua cartella clinica.

Secondo il Giudice, quindi, non si può ritenere accertata, neppure in via presuntiva, la sussistenza di un pregiudizio connotato da serietà e gravità, ed in particolare, il concreto verificarsi del pregiudizio al quale l’attrice riconduce lo stato di particolare sofferenza psichica da lei lamentato (e cioè il fatto che i propri dati sensibili attinenti alla propria condizione patologica sarebbero stati resi noti e diffusi indiscriminatamente nella comunità di Siliqua in cui vive ed abita).

In ordine al danno non patrimoniale, peraltro, secondo il Tribunale: 

- la mera allegazione da parte dell’attrice che l’illecito trattamento dei propri dati personali sensibili le avrebbe procurato una sofferenza costituisce un’asserzione generica, inidonea a far comprendere i reali motivi di tale turbamento; 

- non può ritenersi a tal fine sufficiente la valutazione offerta dal consulente di parte attrice, il quale, nel riportare un aggravamento della già preesistente condizione di “Depressione Maggiore Ricorrente ad andamento cronico” sofferta dall’attrice sin dall’anno 2002, non è stato in grado di ricostruire, sulla base di valutazioni scientifiche ed accertamenti tecnici, le circostanze che avrebbero dato origine a tale aggravamento, limitandosi a riportare quanto evidentemente riferito dalla stessa paziente riguardo al fatto che la sindrome ansiosa e gli attacchi di panico si sarebbero manifestati “…dopo essere venuta a conoscenza del fatto che i suoi documenti erano stati inseriti nella cartella della di Y".

- tra l’altro, nella relazione datata 28 settembre 2020 non è neppure riportato in quale momento il consulente di parte avrebbe sottoposto l’attrice a visita e se cioè le relative valutazioni siano state espletate a più o meno breve distanza dall’accadimento cui viene ricondotto il peggioramento dello stato psichico dell’attrice, avvenuto a gennaio dello stesso anno.

- gli elementi sopra esposti inducono pertanto a ritenere non riconoscibile in capo all’attrice il richiesto risarcimento di un danno non patrimoniale.

- di conseguenza, anche il danno patrimoniale inerente alle spese per la consulenza tecnica di parte (di cui peraltro non è documentato neppure l’effettivo esborso) non può essere riconosciuto, posto che le spese della consulenza di parte, la quale ha natura di allegazione difensiva, vanno comprese fra le spese processuali soggette all’applicazione del principio di soccombenza (v. Cass., n. 26729 del 15.10.2024).

- allo stesso modo, nulla è riconoscibile a titolo di danno patrimoniale inerente alle spese per l’attività stragiudiziale svolta dal difensore di parte attrice, le quali costituiscono, per consolidato orientamento giurisprudenziale (v. da ultimo, Cass., n. 9849/2025), voce di danno emergente, soggetto agli ordinari oneri di allegazione e prova, mentre l’attrice si è limitata a produrre una parcella pro-forma, alla quale non ha fatto seguito la produzione di documentazione attestante l’avvenuto esborso e l’emissione della relativa fattura.