Garante Privacy: la complessità delle attività ispettive ed istruttorie determina la data dell'accertamento sanzionatorio

La mera acquisizione di documentazione o del ‘fatto’ nella sua materialità non coincide con il momento dell'accertamento sanzionatorio poiché i dati acquisiti devono essere elaborati al fine di individuare tutte le possibili violazioni.

Sul tema la Corte di Cassazione, Prima Sezione Civile, con la sentenza n. 14678/18, depositata il 6 giugno. La vicenda. A seguito della attività ispettiva del Garante, nei confronti di persone giuridiche che disponevano e cedevano banche dati a scopo di marketing, volta a verificare il rispetto della normativa sulla tutela dei dati personali, veniva emessa ordinanza di ingiunzione nei confronti di una impresa per il pagamento di sanzione amministrativa derivante dalla acclarata violazione della predetta normativa. Era emerso dagli accertamenti, infatti, che la suddetta impresa aveva ceduto ad una nota compagnia telefonica ben 15 milioni e 600mila anagrafiche, contenute nella propria banca dati, utilizzate senza specifico consenso degli aventi diritto. Il provvedimento di accertamento del trattamento illecito dei dati personali ivi convenuti era stato emesso il 28 gennaio 2010 ed opposto dalla società dinanzi al Tribunale competente. La Autorità Giudiziaria, tuttavia, aveva respinto l'atto di impugnativa con sentenza del 2011. Accadeva che, nel frattempo, il Garante aveva notificato alla medesima società un altro provvedimento con il quale le contestava ulteriore violazione con l'aggravante dell'art. 164- bis d.lgs. n. 196/2003. A seguito di quest'ultima notifica, la società aveva depositato memoria e, dopo aver espletato la doverosa istruttoria, il Garante aveva emesso l'ordinanza ingiunzione con la quale aveva irrogato la sanzione amministrativa di € 100.000,00. E’ questa somma, assieme alla propedeutica attività ispettiva e procedimentale, che diviene oggetto della controversia portata sino in Cassazione e sulla quale, come detto, il tribunale competente in unico grado si era pronunciato con la sentenza che aveva rigettato il ricorso della società che aveva violato la normativa privacy. La decisione di primo grado. Il Tribunale, alla stregua di una complessiva valutazione delle emergenze istruttorie, aveva ravvisato il momento dell'effettivo accertamento delle specifiche violazioni da parte del Garante in quello dell'adozione del provvedimento del 28 gennaio 2010. E, con riferimento alle difese della impresa opponente, aveva ritenuto infondata sia l'eccezione di omessa contestazione immediata sia la eccezione di mancata contestazione nei 90 giorni dall'accertamento, essendo intervenuta la notifica del provvedimento di contestazione entro quest'ultimo termine, id est il 20 aprile del 2010. Nell’adire – pertanto - la Suprema Corte, la società ricorrente, alla luce della cronologia dei fatti e dell'attività del Garante che era iniziata con l'accesso ispettivo in data 27-28 aprile 2009, e pervenuta alla notifica della contestazione della violazione amministrativa in data 20 aprile 2010 un anno dopo , sosteneva che il tribunale avrebbe dovuto verificare se il ritardo accumulato dal Garante fosse o meno giustificato o se fosse stato determinato dalla violazione delle norme procedimentali sopra riportate. Da qui prendeva le mosse il ricorso presso la Suprema Corte. Sanzioni amministrative e contestazione. Gli Ermellini per risolvere la controversia altro non fanno se non richiamare il proprio orientamento giurisprudenziale secondo cui, in tema di sanzioni amministrative, nel caso di mancata contestazione immediata della violazione, l’attività di accertamento dell'illecito non coincide con il momento in cui viene acquisito il fatto nella sua materialità ma deve essere intesa come comprensiva del tempo necessario alla valutazione dei dati acquisiti afferenti agli elementi, sia oggettivi che soggettivi, della infrazione. Quindi deve comprendere anche la fase finale di deliberazione, correlata alla complessità delle indagini tese a riscontrare la sussistenza della infrazione medesima o delle infrazioni e ad acquisire piena conoscenza della condotta illecita, in modo tale da valutarne la consistenza agli effetti della corretta formulazione della contestazione da sollevare. Spetta ovviamente, poi, al giudice di merito determinare il tempo ragionevolmente necessario alla amministrazione per giungere ad una simile, completa conoscenza, individuando il dies a quo di decorrenza del termine, tenendo conto della maggiore o minore difficoltà del caso concreto nonchè della necessità che queste indagini, anche nella assenza di limiti temporali predeterminati, avvengano entro un termine congruo, essendo il relativo giudizio sindacabile, in sede di legittimità, solo sotto il profilo dei vizio di motivazione. Ebbene, gli Ermellini rilevano che nel presente caso, il giudice di merito, rilevato che non si era proceduto alla contestazione immediata delle violazioni ipotizzate, aveva individuato il momento temporale in cui Garante aveva avuto piena consapevolezza delle norme violate nella data del 28 gennaio 2010, cioè quando era stato definitivamente ricostruito il rapporto tra questa società e la suddetta nota società di telecomunicazioni nonché erano state ricostruite le operazioni eseguite dagli stessi. Infatti, la mera acquisizione di documentazione non coincide con il momento dell'accertamento, atteso che i dati acquisiti devono essere elaborati per individuare tutte le possibili violazioni.

Corte di Cassazione, sez. I Civile, sentenza 22 marzo – 6 giugno 2018, numero 14678 Presidente Giancola – Relatore Tricomi Fatto e diritto rilevato CHE Con ricorso depositato in data 10/04/2013, proposto dinanzi al Tribunale di Treviso, la Edipro SAS chiedeva che fosse dichiarata illegittima l’ordinanza ingiunzione numero 54 emessa in data 07/02/2013 dal Garante per la protezione dei dati personali di seguito il Garante nei confronti della stessa Edipro, ordinanza comunicata a mezzo PEC il 13/03/2013 sosteneva, all’uopo, che era intervenuta l’estinzione dell’obbligazione di pagare la somma ivi indicata quale sanzione amministrativa, atteso che la violazione riscontrata non era stata contestata immediatamente e che vi era stata l’omessa notificazione nei termini di 90 giorni della comunicazione medesima in violazione delle norme che regolano il procedimento sanzionatorio del Garante fol. 1 della sent. imp. essendo intervenuta la notifica solo il 20/04/2010. L’ordinanza ingiunzione era stata emessa a seguito di un’attività ispettiva del Garante, nei confronti di soggetti che disponevano e cedevano banche dati a scopo di marketing, volta a verificare il rispetto della normativa sulla tutela dei dati personali, che aveva riguardato anche la Edipro. In particolare nei giorni 27 e 28 aprile 2009 d’ufficio era stato svolto un accertamento ispettivo presso la sede di Edipro e nei giorni 14 e 15 maggio 2009 altro accertamento ispettivo presso la sede di Fastweb SPA. Dagli accertamenti era emerso che Edipro aveva ceduto a Fastweb quindicimilioniseicentomila anagrafiche contenute nella propria banca dati denominata OMISSIS il provvedimento di accertamento del trattamento illecito dei dati personali ivi contenuti, utilizzati senza specifico consenso, era stato emesso il 28 gennaio 2010 e l’opposizione proposta da Edipro dinanzi al Tribunale di Treviso era stata respinta con sentenza numero 3 del 15/02/2011. Nel frattempo, in data 20 aprile 2010, il Garante aveva notificato ad Edipro altro provvedimento del 31 marzo 2010, con il quale le contestava la violazione dell’articolo 23 del d.lgs. numero 196/2003, irrogando la sanzione prevista dall’articolo 162, comma 2-bis con l’aggravante dell’articolo 164 bis del d.lgs. cit. A seguito di quest’ultima notifica la Edipro, in data 16 maggio 2010, aveva depositato memoria e, all’esito dell’istruttoria, il Garante aveva emesso l’ordinanza ingiunzione, con la quale aveva irrogato la sanzione amministrativa di Euro 100.000=, oggetto della presente controversia, sulla quale il Tribunale di Treviso, in unico grado, si è pronunciato con la sentenza in epigrafe indicata, rigettando il ricorso della Edipro. La società ricorre per cassazione con un mezzo, corroborato da memoria ex articolo 378 cod. proc. civ. Replica con controricorso il Garante, assistito dall’Avvocatura dello Stato. Il ricorso è stato fissato per l’adunanza in camera di consiglio ai sensi degli artt. 375, ultimo comma, e 380 bis 1, cod. proc. civ CONSIDERATO CHE 1. Con l’unico motivo si denuncia la violazione e falsa applicazione dell’articolo 14, comma 2, della legge numero 689/1981, dell’articolo 16 del Regolamento numero 1/2007 del Garante pubbl. su G.U. numero 7 del 09/01/2008 , nonché dell’articolo 115 cod. proc. civ La censura è rivolta alla statuizione del Tribunale che, alla stregua di una complessiva valutazione delle emergenze istruttorie, ha ravvisato il momento dell’effettivo accertamento delle violazioni specifiche da parte del Garante in quello dell’adozione del provvedimento del 28/01/2010 ed ha ritenuto infondata sia la eccezione di omessa contestazione immediata, sia quella di mancata contestazione nei novanta giorni dall’accertamento, essendo intervenuta la notifica del provvedimento di contestazione entro quest’ultimo termine il 20/04/2010 fol. 4 della sent. imp . Sostiene la ricorrente, alla luce della cronologia dei fatti e dell’attività del Garante, iniziata con l’accesso ispettivo in data 27/28 aprile 2009 e pervenuta alla notifica della contestazione della violazione amministrativa in data 20 aprile 2010, che il Tribunale avrebbe dovuto verificare se il ritardo accumulato dal Garante fosse o meno giustificato o se fosse stato determinato dalla violazione delle norme sopra riportate. Secondo la ricorrente il Tribunale avrebbe omesso la valutazione del profilo di doglianza relativo alla violazione anche della norma regolamentare che attribuiva al Dipartimento attività ispettive e sanzioni il potere di contestare la violazione ed irrogare la sanzione senza attendere la decisione del Collegio. 2. L’unico motivo è inammissibile. 3. Osserva la Corte che il quadro normativo evocato dalla ricorrente prevede quanto segue - articolo 14 della legge 24 novembre 1981, numero 689, rubricato Contestazione e notificazione 1 La violazione, quando e possibile, deve essere contestata immediatamente tanto al trasgressore quanto alla persona che sia obbligata in solido al pagamento della somma dovuta per la violazione stessa. 2 Se non è avvenuta la contestazione immediata per tutte o per alcune delle persone indicate nel comma precedente, gli estremi della violazione debbono essere notificati agli interessati residenti nel territorio della Repubblica entro il termine di novanta giorni e a quelli residenti all’estero entro il termine di trecentosessanta giorni dall’accertamento. . . - articolo 16, comma 1, del Regolamento numero 1/2007 del Garante della Privacy, rubricato Attività ispettive e applicazione di sanzioni 1. Il dipartimento attività ispettive e sanzioni cura l’istruttoria preliminare relativa ai controlli in loco effettuati d’ufficio ai sensi degli articoli 157 e 158 del Codice nel rispetto della programmazione dell’attività ispettiva disposta dal collegio ai sensi dell’articolo 4, comma 1, lett. c . Effettuati gli accertamenti relativi agli elementi idonei in ordine alle presunte violazioni, il dipartimento inoltra gli atti al segretario generale per l’assegnazione alla competente unità organizzativa ai sensi dell’articolo 14 del regolamento del Garante numero 1/2000, per il seguito di trattazione che concerne profili diversi dall’applicazione di sanzioni per i quali, invece, procede direttamente. . 4. Ai fini applicativi del termine di decadenza di cui all’articolo 14 cit., va innanzi tutto ricordato che questa Corte ha già affermato, che è irrilevante la suddivisione dell’Amministrazione in una pluralità di snodi organizzativi in materia di accertamento ed irrogazione di sanzioni amministrative e che la distinzione tra gli organi, deputati, rispettivamente, alla constatazione ed alla valutazione dei fatti costituenti violazioni amministrative, è ininfluente ai fini della decorrenza del termine da rispettare per la contestazione degli illeciti si è affermato - con specifico riferimento alla CONSOB, che svolge funzioni di controllo sull’intermediazione finanziaria - che tale termine va individuato nel giorno in cui la Commissione in composizione collegiale, dopo l’esaurimento dell’attività ispettiva e di quella istruttoria, è in grado di adottare le decisioni di sua competenza, senza che si possa tenere conto di ingiustificati ritardi, derivanti da disfunzioni burocratiche o artificiose protrazioni nello svolgimento dei compiti assegnati ai suddetti organi Cass. Sez. U, Sentenza numero 5395 del 2007 , e quindi anche che tale irrilevanza riguarda anche la segmentazione dell’attività tra le dette articolazioni dell’Organizzazione amministrativa, ma ha altresì stabilito ed enunciato il principio di giustificazione delle attività compiute per l’accertamento di violazioni complesse, e quindi del computo non meccanico del tempo trascorso, riservando il relativo giudizio al prudente esame compiuto dal giudice del merito. Infatti, a tal uopo, questa Corte ha stabilito che, in tema di sanzioni amministrative, nel caso di mancata contestazione immediata della violazione, l’attività di accertamento dell’illecito non coincide con il momento in cui viene acquisito il fatto nella sua materialità, ma deve essere intesa come comprensiva del tempo necessario alla valutazione dei dati acquisiti ed afferenti agli elementi oggettivi e soggettivi dell’infrazione e, quindi, della fase finale di deliberazione, correlata alla complessità delle indagini tese a riscontrare la sussistenza dell’infrazione medesima e ad acquisire piena conoscenza della condotta illecita sì da valutarne la consistenza agli effetti della corretta formulazione della contestazione compete, poi, al giudice di merito determinare il tempo ragionevolmente necessario all’Amministrazione per giungere a una simile, completa conoscenza, individuando il dies a quo di decorrenza del termine, tenendo conto della maggiore o minore difficoltà del caso concreto e della necessità che tali indagini, pur nell’assenza di limiti temporali predeterminati, avvengano entro un termine congruo essendo il relativo giudizio sindacabile, in sede di legittimità, solo sotto il profilo del vizio di motivazione Cass. Sez. 2, Sentenza numero 25916 del 2006 . 5. Tali condivisi principi sono stati confermati dalla Corte anche con specifico riferimento all’attività ispettiva e sanzionatoria di competenza del Garante per la Protezione dei Dati Personali Cass. numero numero 17143 del 17/08/2016 in fattispecie afferente alla medesima vicenda storica, anche se relativamente a parti diverse. 6. Orbene, nel presente caso, il giudice di merito, rilevato che non si era proceduto alla contestazione immediata delle violazioni ipotizzate, ha individuato il momento temporale in cui il Garante aveva avuto piena consapevolezza delle norme violate, quantomeno, nella data del 28/01/2010, cioè quando è stato definitivamente ricostruito il rapporto tra Fastweb ed Edipro s.a.s e sono state ricostruite le operazioni eseguite dagli stessi. La mera acquisizione di documentazione, infatti non coincide con il momento dell’accertamento, atteso che i dati acquisiti devono essere elaborati al fine di individuate tutte le possibili violazioni . In tal senso, come rilevato da parte opposta, il controllo di violazioni relative alla cessione da Edipro a Fastweb di 15.600.000 anagrafiche contenute nel server OMISSIS , circostanza questa non contestata specificamente da parte opponente, deve ritenersi logicamente aver richiesto un’attività istruttoria complessa anche tenuto conto che deve presumersi che Edipro non sia l’unico soggetto sottoposto ad accertamento dal Garante della Privacy . fol. 3 della sent. imp. ed ha soggiunto che il momento dell’effettivo accertamento doveva essere individuato proprio nella data del 28/01/2010, non potendosi ritenere, per la complessità dell’accertamento come sopra illustrato, che il Garante abbia accertato le violazioni specifiche al momento delle ispezioni e comunque prima dell’adozione del provvedimento predetto fol.4 , escludendo sulla scorta di tale specifico accertamento in fatto la ricorrenza delle violazioni sui tempi dell’adozione del provvedimento di contestazione amministrativa. 7. La censura proposta, con riferimento a tale statuizione, come violazione di legge e di regolamento, non coglie nel segno per molteplici ragioni. 8. Fermi i principi prima ricordati sub 4 e 5 , non può infatti condividersi quanto sostenuto dalla ricorrente, sulla scorta dell’articolo 16, comma 1, del Regolamento numero 1/2007, circa la sussistenza del potere/dovere del Dipartimento attività ispettive e sanzioni di compiere direttamente ed in totale autonomia le valutazioni circa la violazione delle norme e, in conseguenza, di comminare le sanzioni amministrative, senza dover attendere le valutazioni del Collegio del Garante fol. 8/9 del ricorso . Premesso che il Regolamento disciplina le procedure interne al Garante aventi rilevanza esterna, avviate su istanza di parte o d’ufficio e finalizzate allo svolgimento dei compiti demandati proprio al Garante articolo 1 , va considerato che l’articolo 16 scansiona appunto le procedure interne ispettive, istruttorie e sanzionatorie definendo le attribuzioni del Dipartimento. Invero da detta disposizione si evince che gli è demandata la cura di attività ispettive ed istruttorie che possono essere anche molto articolate, di guisa che l’ipotesi in cui la contestazione e l’irrogazione della sanzione possa avvenire immediatamente a cura del personale operante in loco, costituisce una fattispecie residuale che non ricorre nel caso in esame, connotato sia dalla complessità accertativa, riscontrata dal Tribunale, sia dalla gravità dei fatti contestati, tali da comportare l’applicazione di aggravanti. In realtà questa le situazioni più complesse cadono sotto la disciplina dei commi successivi dell’articolo 16 cit. e ricadono nell’ambito delle competenze esercitate o esercitabili direttamente del Collegio. 9. A ciò va aggiunto che il motivo in realtà sollecita un sindacato su quanto accertato in fatto dal Tribunale di Treviso e cioè un sindacato sulla motivazione - posto che propone una propria valutazione, circa la compiutezza dell’attività ispettiva ed il momento della definitiva ricostruzione delle operazioni intercorse tra Fastweb ed Edipro e della loro rilevanza ai fini sanzionatori, alternativa e opposta a quella prescelta dal Tribunale - che oramai compete, solo in misura ridotta, a questa Corte che, in riferimento alle sentenze come quella oggetto del presente giudizio pubblicate oltre il termine di trenta giorni successivo all’entrata in vigore della L. numero 134 del 2012 che ha convertito il D.L. numero 83 del 2012 , deve regolarsi sull’interpretazione così chiarita dalle SU civili nella Sentenza numero 8053 del 2014 . 10. Tale conclusione va ribadita anche con riferimento alla denunciata violazione dell’articolo 115 cod. proc. civ., atteso che la ricorrente lamenta che il Tribunale abbia considerato come fatto non contestato la circostanza che l’accertamento si riferiva alla cessione di quindicimilioniseicentomila anagrafiche, laddove sostiene di avere contestato, non tanto il numero delle anagrafiche cedute, ma la complessità dell’istruttoria, sostenendo che il controllo si fosse limitato all’esame del contratto intercorso con la Fastweb e non alla verifica sulle anagrafiche. Anche sotto tale profilo, sia pure denunciando una violazione di legge, la ricorrente critica la motivazione del Tribunale propugnando la propria valutazione dei fatti rilevanti per la valutazione di tempestività della notifica della contestazione amministrativa, in termini inammissibili alla luce del novellato articolo 360, primo comma, numero 5, cod. proc. civ 11. Conclusivamente, il ricorso va dichiarato inammissibile. Le spese del giudizio di legittimità seguono la soccombenza nella misura liquidata in dispositivo. Si dà atto, - ai sensi 13, comma 1 quater del d.P.R. del 30.05.2002 numero 115, della sussistenza dei presupposti per il versamento, da parte della ricorrente, dell’ulteriore importo a titolo di contributo unificato pari a quello dovuto per il ricorso, a norma del comma 1 bis dello stesso articolo 13. P.Q.M. - Dichiara inammissibile il ricorso - Condanna la ricorrente alla rifusione delle spese del giudizio di legittimità che liquida nel compenso di Euro 3.000,00=, oltre spese prenotate a debito - Dà atto, ai sensi 13, comma 1 quater del d.P.R. del 30.05.2002 numero 115, della sussistenza dei presupposti per il versamento, da parte della ricorrente, dell’ulteriore importo a titolo di contributo unificato pari a quello dovuto per il ricorso, a norma del comma 1 bis dello stesso articolo 13.