Chi riveste la qualifica di “titolare” del trattamento dei dati personali nelle procedure di selezione del personale?

Deve qualificarsi “titolare” del trattamento dei dati personali la società che incarica un’altra società di procedere alla selezione del personale allorché la stessa, come qualsiasi altro “datore di lavoro”, impartisca le iniziali istruzioni e concordi con l’incaricato della selezione le modalità di svolgimento della procedura selettiva

Lo ha stabilito la Corte di Cassazione nella pronuncia numero 12707 del 5 giugno 2014. Il caso. Il giudizio nasce dall’opposizione al provvedimento del Garante per la privacy che aveva dichiarato illecita la somministrazione di test ai candidati alla selezione di un dirigente tecnico da inserire nell’organico della società opponente. Nella specie, tale operazione era stata effettuata per conto dell’opponente da un’altra società. Il Garante aveva quindi vietato il trattamento dei dati personali anche sensibili e risultanti dai curricula ricavati dalla somministrazione dei test e aveva disposto la trasmissione del provvedimento adottato al Ministero del Lavoro ed all’Autorità Giudiziaria per quanto di loro competenza. L’opposizione veniva respinta in primo grado. In particolare, venivano rigettate le censure della società opponente fondate sull’assenza in capo a sé della qualifica di titolare del trattamento e, nel merito, sulla liceità del trattamento dei dati contenuti nei curricula inviati ad essa dagli interessati, stante l’applicazione della disciplina dell’articolo 13, comma 5-bis, d.lgs. numero 196/2003, così come modificato dal d.l. numero 70/2011, conv. con la l. numero 106/2011. La pronuncia veniva quindi impugnata in sede di legittimità. Il titolare del trattamento dei dati personali. La Suprema Corte, dopo aver rilevato l’inammissibilità di alcune censure sollevate dalla ricorrente in quanto comprensive di giudizi in fatto, richiama le nozioni di “titolare”, “responsabile” e “incaricati” del trattamento dei dati personali, così come enucleate dall’articolo 4 d.lgs. numero 196/2003. In particolare, quanto alla nozione di “titolare”, con essa si intendono la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalità e alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza. Ebbene, gli Ermellini – nel condividere sul punto la motivazione del Giudice di merito – ritengono che tale qualifica debba essere rivestita dalla società opponente, dal momento che la stessa, nell’incaricare l’altra società di procedere alla selezione di un dirigente tecnico da assumere, aveva agito come qualsiasi altro “datore di lavoro”, impartendo le iniziali istruzioni e concordando con l’incaricato della selezione le modalità di svolgimento della procedura selettiva. Diversamente, non avrebbe avuto giustificazione la richiesta della ricorrente alla società che aveva espletato i test di effettuare un colloquio integrativo e la successiva accordata integrazione del corrispettivo, proprio per tale ulteriore attività. Del resto, nel contratto di collaborazione stipulato tra le due società, vi erano diverse clausole da cui poteva evincersi un potere di direzione della società ricorrente nei confronti dell’altra ai fini dell’espletamento delle selezioni, che avrebbe dovuto individuare di volta in volta le specifiche modalità di selezione. Illeciti amministrativi e principio di irretroattività. La Suprema Corte prosegue dunque nell’esame dell’altra censura sollevata dalla ricorrente, avente ad oggetto l’applicazione, al caso di specie, della disposizione di cui al comma 5-bis dell’articolo 13 d.lgs. numero 196/2003, introdotta dall’articolo 6, comma 2, lett. a del d.l. 13 maggio 2011, numero 79, conv. con modif. dalla l. numero 12 luglio 2011, numero 106. Detta norma dispone che l’informativa sulla privacy contenente gli elementi indicati dal comma 1 dell’articolo 13 non è dovuta in caso di ricezione di curricula spontaneamente trasmessi dagli interessati ai fini dell’eventuale instaurazione di un rapporto di lavoro. La medesima norma altresì prevede che al momento del primo contatto successivo all’invio del curriculum, il titolare è tenuto a fornire all’interessato, anche oralmente, una informativa breve, contenente almeno taluni elementi di cui al comma 1. Al riguardo la Suprema Corte osserva che la modifica legislativa è successiva ai fatti oggetto del provvedimento del Garante, il quale ha appreso il procedimento da notizie apparse sulla stampa nel maggio 2011, in relazione alla selezione già espletata. Dunque, il trattamento illecito era avvenuto prima dell’entrata in vigore della norma invocata, come peraltro rilevato dal Tribunale, il quale aveva altresì evidenziato che non si trattava di curricula inviati di iniziativa degli interessati, ma solo a seguito di annuncio di lavoro pubblicato su quotidiani ad impulso dell’ente interessato all’assunzione. Invero, secondo un principio già affermato in giurisprudenza, in tema di illeciti amministrativi, l’adozione dei principi di legalità, irretroattività e divieto di analogia, di cui all’articolo 1 della l. numero 689 del 1981, comporta l’assoggettamento del fatto alla legge del tempo del suo verificarsi, con conseguente inapplicabilità della disciplina posteriore eventualmente più favorevole, a nulla rilevando che detta più favorevole disciplina, successiva alla commissione del fatto, sia entrata in vigore anteriormente all’emanazione del provvedimento di accertamento.

Corte di Cassazione, sez. I Civile, sentenza 8 maggio – 5 giugno 2014, numero 12707 Presidente Vitrone – Relatore Didone Ragioni in fatto e in diritto della decisione 1.- Con la sentenza impugnata depositata in data 11.8.2012 il Tribunale di Brescia ha rigettato l'opposizione proposta dall'Aler di Brescia contro il provvedimento in data 21 luglio 2011 con il quale il Garante per la protezione dei dati personali, ai sensi degli articolo 143 comma 1 lett. c e 154 comma 1 lett. d D.Lvo numero 196/03, aveva dichiarato illecita la somministrazione di test ai candidati alla selezione di un dirigente tecnico da inserire nell'organico della opponente, effettuata per conto di quest'ultimo ente dalla Cispel Lombardia Services srl e dalla Dott.ssa M.M. vietando il trattamento dei dati personali anche sensibili e anche risultanti da curricula ricavati dalla somministrazione dei test e disponendo la trasmissione del provvedimento adottato al Ministero del Lavoro ed all'Autorità Giudiziaria per quanto di loro competenza. In sintesi, il Tribunale ha disatteso le censure della società opponente la quale aveva dedotto l'assenza in capo a sé della qualifica di titolare del trattamento e, nel merito, la liceità del trattamento dei dati contenuti nei curricula inviati ad essa dagli interessati, stante l'applicazione, a suo dire, nel caso in esame, della disciplina dell'articolo 13 comma 5 bis D. L.vo numero 196/03, così come modificato dall'articolo 6 comma 2 lett. a del D.l. numero 70/11, convertito con la L. numero 106/11. Contro la sentenza del tribunale l'Azienda Lombarda per l'Edilizia della Lombardia ha proposto ricorso per cassazione affidato a tre motivi. Resistono con controricorso il Garante per la protezione dei dati personali e la s.r.l. Cispel quest'ultima intervenuta nel giudizio di merito, unitamente a M.M. , intimata, la quale non ha svolto difese . Nel termine di cui all'articolo 378 c.p.c. parte ricorrente ha depositato memoria. 1.1.- L'istanza di riunione al ricorso proposto dalla Cispel contro la sentenza del 22.11.2012 del Tribunale di Milano non può essere accolta, trattandosi di impugnazioni distinte contro provvedimenti diversi emessi da due diversi giudici del merito. 2.- Con il primo motivo parte ricorrente denuncia violazione e/o falsa applicazione degli articolo 2729 c.c. e 116 c.p.c Lamenta che il Tribunale abbia ritenuto l'Aler cotitolare del trattamento sulla base di presunzioni illegittime. Con il secondo motivo denuncia “omessa, insufficiente e contraddittoria motivazione circa un fatto controverso e decisivo per il giudizio articolo 360 numero 5 c.p.c. ” in relazione alla ritenuta qualifica della ricorrente quale co-titolare. In sintesi, lamenta che il tribunale avrebbe “completamente tralasciato di valutare delle prove decisive rectius fatti decisivi , omettendo ingiustificatamente di prendere in considerazione le risultanze istruttorie che confermavano come ALER non avesse avuto alcun potere decisionale sul tipo dei dati da raccogliere, sulle modalità, sulle finalità e sulle misure di sicurezza dei trattamenti dei dati personali”. Con l'ultimo motivo parte ricorrente denuncia violazione e falsa applicazione dell'articolo 6, comma 2, lett. a numero 2 del decreto legge numero 70 del 2011, convertito nella legge numero 106/2011” lamentando che il Tribunale abbia omesso di considerare che, trattandosi di curricula inviati spontaneamente dagli interessati, non trovava applicazione la disciplina sul consenso e sull'informazione circa il trattamento dei dati. 3.- Possono essere esaminati congiuntamente, perché connessi, i primi due motivi. Essi, là dove non sono inammissibili perché veicolano censure in fatto non deducibili in sede di legittimità, sono infondati. Giova premettere, invero, che l'oggetto del controllo di legittimità sulla motivazione concerne la giustificazione della decisione di merito e non la vicenda giudiziale nel suo complesso. Invero, è stato da tempo chiarito dalla giurisprudenza C., 18.11.2000 numero 14953 che in sede di legittimità il controllo della motivazione in fatto si compendia nel verificare che il discorso giustificativo svolto dal giudice del merito circa la propria statuizione esibisca i requisiti strutturali minimi dell'argomentazione fatto probatorio - massima di esperienza - fatto accertato senza che sia consentito alla Corte sostituire una diversa massima di esperienza a quella utilizzata potendo questa essere disattesa non già quando l'inferenza probatoria non sia da essa necessitata , ma solo quando non sia da essa neppure minimamente sorretta o sia addirittura smentita, avendosi, in tal caso, una mera apparenza del discorso giustificativo o confrontare la sentenza impugnata con le risultanze istruttorie, al fine di prendere in considerazione un fatto probatorio diverso o ulteriore rispetto a quelli assunti dal giudice del merito a fondamento della sua decisione. Invero, la deduzione di un vizio di motivazione della sentenza impugnata con ricorso per cassazione conferisce al giudice di legittimità non il potere di riesaminare il merito della intera vicenda processuale sottoposta al suo vaglio, bensì la sola facoltà di controllo, sotto il profilo della correttezza giuridica e della coerenza logico formale, delle argomentazioni svolte dal giudice del merito, al quale spetta, in via esclusiva, il compito di individuare le fonti del proprio convincimento, di assumere e valutare le prove, di controllarne l'attendibilità e la concludenza, di scegliere, tra le complessive risultanze del processo, quelle ritenute maggiormente idonee a dimostrare la veridicità dei fatti ad esse sottesi, dando, così, liberamente prevalenza all'uno o all'altro dei mezzi di prova acquisiti salvo i casi tassativamente previsti dalla legge . Ne consegue che il preteso vizio di motivazione, sotto il profilo della omissione, insufficienza, contraddittorietà della medesima, può legittimamente dirsi sussistente solo quando, nel ragionamento del giudice di merito, sia rinvenibile traccia evidente del mancato o insufficiente esame di punti decisivi della controversia, prospettato dalle parti o rilevabile di ufficio, ovvero quando esista insanabile contrasto tra le argomentazioni complessivamente adottate, tale da non consentire l'identificazione del procedimento logico - giuridico posto a base della decisione C., S.U., 27.12.1997 numero 13045 . Per converso, le censure motivazionali formulate dalla ricorrente, anche mediante deduzione di circostanze di fatto non risultanti dalla sentenza impugnata e senza indicazione del luogo e delle modalità in cui siano state sottoposte al giudice del merito, quindi in violazione del principio di autosufficienza sono inammissibili anche alla luce del testo dell'articolo 360 numero 5 c.p.c, come modificato nel 2006, applicabile ratione temporis. D'altra parte, non è possibile veicolare censure motivazionali attraverso la denuncia della violazione come norma di diritto sostanziale dell'articolo 2729 c.c., sostanzialmente lamentando, però, che la sentenza non abbia dato conto di tutte le risultanze probatorie. 3.1.- Ai sensi dell'articolo 4, d.lgs. numero 196/2003, per titolare del trattamento si intendono, la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza per responsabile del trattamento si intendono, la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento di dati personali per incaricati del trattamento si intendono, le persone fisiche autorizzate a compiere operazioni di trattamento dal titolare o dal responsabile. Nella concreta fattispecie il giudice del merito - con ampia e logica motivazione - ha accertato, in fatto, che, essendo stata l'Aler ad incaricare la Cispel di procedere alla selezione di un dirigente tecnico da assumere, è da ritenere che sia stato l'ente, come qualsiasi altro datore di lavoro , ad impartire le iniziali istruzioni ed a concordare con l'incaricato della selezione le modalità/ di svolgimento della procedura selettiva e a conferma di tale conclusione ha evidenziato la sussistenza della prova documentale in atti la comunicazione Aler-Cispel dell'1.2.11 e la mail 8.2.11 . Peraltro - ha correttamente rilevato - non si giustificherebbero altrimenti la richiesta della ricorrente alla Cispel di effettuare un colloquio integrativo comprendente reattivi psicologici e un colloquio opzionale sull'argomento e la successiva accordata integrazione del corrispettivo, proprio per tale ulteriore attività compiuta dalla Cispel, a favore di quest'ultima. Infine, nel contratto di collaborazione stipulato tra Aler e la Cispel srl le parti avevano espressamente convenuto che Aler incaricherà CLS in base alle proprie necessità, individuando di volta in volta le specifiche modalità di selezione. CLS provvedere ad attuare quanto indicato, secondo le esigenze di Aler Brescia, direttamente oppure avvalendosi di risorse qualificate nel rispetto delle disposizioni vigenti e che tutte le attività di selezione si sarebbero dovute svolgere in accordo con Aler Brescia . Nessun rilievo assumeva la circostanza che nel contratto menzionato fosse stata indicata la Cispel quale titolare del trattamento, sussistendo, per tutte le anzidette ragioni un'ipotesi di contitolarità. 4.- Quanto al terzo motivo, osserva la Corte che l'articolo 6, comma 2, lett. a del Decreto legge 13 maggio 2011, numero 70, convertito, con modificazioni, dalla legge 12 luglio 2011, numero 106, ha aggiunto all'articolo 13 d.lgs. numero 196/2003, il seguente comma 5-bis. L'informativa di cui al comma 1 non è dovuta in caso di ricezione di curricula spontaneamente trasmessi dagli interessati ai fini dell'eventuale instaurazione di un rapporto di lavoro. Al momento del primo contatto successivo all'invio del curriculum, il titolare è tenuto a fornire all'interessato, anche oralmente, una informativa breve contenente almeno gli elementi di cui al comma 1, lettere a , d ed f . . Con la stessa disposizione è stata modificata la norma articolo 26, comma 3, lett. b bis relativa al consenso al trattamento dei dati contenuti nei curricula spontaneamente trasmessi. La modifica legislativa è successiva ai fatti oggetto del provvedimento del Garante, il quale ha attivato il procedimento su notizie apparse sulla stampa nel maggio 2011, in relazione alla selezione già espletata. Dunque, il trattamento illecito è avvenuto prima dell'entrata in vigore della norma invocata, così come rilevato dal Tribunale, il quale ha altresì evidenziato che non si trattava di curricula inviati di iniziativa degli interessati, ma solo a seguito di annuncio di lavoro pubblicato su quotidiani ad impulso dell'ente interessato all'assunzione. Come ha ricordato il P.G., invero, secondo questa Corte in tema di illeciti amministrativi, l'adozione dei principi di legalità, irretroattività e divieto di analogia, di cui all'articolo 1 della legge numero 689 del 1981, comporta l'assoggettamento del fatto alla legge del tempo del suo verificarsi, con conseguente inapplicabilità della disciplina posteriore eventualmente più favorevole, a nulla rilevando che detta più favorevole disciplina, successiva alla commissione del fatto, sia entrata in vigore anteriormente all'emanazione del provvedimento di accertamento Sez. L, numero 1105/2012 . Il ricorso, dunque, deve essere rigettato. Le spese del giudizio di legittimità - nella misura liquidata in dispositivo - vanno poste a carico della ricorrente in favore del Garante mentre vanno compensate nei rapporti con la controricorrente Cispel, stante l'adesione al ricorso principale. Infine, sussistono i presupposti per il versamento dell'ulteriore importo a titolo di contributo unificato a norma del comma I-bis, dell'articolo 13 d.P.R. numero 115 del 2002. P.Q.M. La Corte rigetta il ricorso e condanna parte ricorrente al pagamento delle spese del giudizio di legittimità in favore del Garante che liquida in Euro 7.200,00 oltre le spese prenotate a debito. Compensa le spese nei rapporti con la resistente Cispel. Ai sensi dell'articolo 13 comma 1 quater del d.P.R. numero 115 del 2002, da atto della sussistenza dei presupposti per il versamento, da parte della ricorrente dell'ulteriore importo a titolo di contributo unificato pari a quello dovuto per il ricorso, a norma del comma 1-bis, dello stesso articolo 13.