Dati personali: consenso validamente prestato solo se riferito a un trattamento specifico

In tema di dati personali, la legittimità del trattamento presuppone un consenso validamente prestato in modo espresso, libero e specifico, in riferimento a un trattamento chiaramente individuato.

In virtù di tale principio, si ritiene che un determinato trattamento non possa considerarsi giustificato da un consenso funzionalmente diverso, come quello espresso nel contesto di maggioranze necessarie ad approvare deliberati assembleari nella specie il deliberato assembleare di una società cooperativa, della quale il soggetto, a cui si riferisce il dato personale, sia socio. E' questo il principio enunciato dalla Corte di Cassazione con sentenza n. 17911/2022 depositata il 1 giugno, nell'ambito di una controversia in cui il Garante per la protezione dei dati personali aveva accertato l' illiceità del trattamento effettuato da una società cooperativa nei confronti dei soci lavoratori, di cui aveva pubblicato in bacheca dati , valutazioni e contestazioni disciplinari. Il Tribunale respingeva l'opposizione della cooperativa avverso la decisione del Garante, ritenendo che, nel caso di specie, non fosse stato prestato alcun consenso dai lavoratori , se non per la sola pubblicazione tra i soci della valutazione settimanale. Al contrario, la cooperativa aveva realizzato la ben più invasiva e sistematica pubblicazione dei volti dei dipendenti associata a delle faccine e accompagnata da giudizi sintetici su assenteismo, simulazione di malattia e altro, visibili anche da persone diverse dal lavoratore interessato. La società cooperativa propone ricorso in Cassazione adducendo diversi motivi, respinti uno ad uno. Chiariscono in proposito i Giudici Supremi che il consenso al trattamento di dati personali è validamente prestato solo se liberamente e specificamente espresso in riferimento ad un trattamento chiaramente individuato. Rapporto di natura associativa, non giustifica qualsiasi trattamento dei dati. Il principio sopra enunciato, di portata generale, prevale in ogni rapporto, non potendo quindi condividersi l'assunto di parte ricorrente, secondo cui il trattamento in questione sarebbe stato comunque giustificato dal consenso espresso in seno al rapporto associativo, venutosi a costituire liberamente tra i soci e la cooperativa e tra i soci stessi. La circostanza che il rapporto abbia natura associativa - per cui tutti i soci contribuiscono alla gestione e alla volontà dell'ente - non comporta affatto che ogni trattamento di dati divenga per ciò solo consentito dai singoli secondo le forme stabilite in assemblea. Trattasi, in altri termini, di un consenso non delegabile alla formulazione maggioritaria adottata in un deliberato assembleare. Né può tacersi, concludono i Giudici di legittimità, la messa a disposizione di dati personali dei lavoratori a soggetti diversi dalle parti del rapporto non solo gli altri soci ma persino a terzi occasionalmente presenti nella sede della cooperativa. Per tutto ciò, il trattamento va dichiarato illegittimo in assenza di un consenso specificamente prestato. La Corte rigetta dunque il ricorso e condanna il ricorrente alle spese processuali.

Presidente Genovese Relatore Terrusi Fatti di causa Su segnalazione di alcuni soci lavoratori della società omissis a r.l., il Garante per la protezione dei dati personali d'ora in poi solo Garante accertava l'illiceità del trattamento effettuato attraverso la pubblicazione in bacheca di dati relativi a contestazioni disciplinari e valutazioni dei soci lavoratori stessi, in violazione dell'art. 5, par. 1, lett. a e c , artt. 6 e 7 del Regolamento UE 2016/679 cd. GDBR , e ne vietava l'ulteriore pratica secondo le modalità oggetto di segnalazione. La società proponeva opposizione dinanzi al tribunale di Firenze. Il tribunale ha respinto l'opposizione con ordinanza ex art. 702-ter c.p.c. , osservando, nei limiti di ciò che rileva, che la condotta della società, integrata da valutazioni di sintesi sull'operato dei dipendenti, espresse con informazioni rese pubbliche in bacheca e con l'uso delle cd. faccine smile associate alle fotografie dei lavoratori interessati, era da considerare sproporzionata rispetto al risultato del concorso qualità denominato guardiamoci in faccia approvato dall'assemblea dei soci. Ha aggiunto che la pratica in questione non era stata autorizzata dal consenso prestato, giacché codesto non aveva avuto a oggetto la pubblicazione tra i soci delle valutazioni e delle sanzioni emesse, ma solo l'esito della valutazione settimanale riportato sul planning generale mentre la condotta della cooperativa era stata ben più invasiva, avendo realizzato la sistematica pubblicazione, giustappunto, dei volti dei dipendenti associata alle faccine e accompagnata da giudizi sintetici su assenteismo, simulazione di malattia e altro, visibili anche da persone diverse dal lavoratore interessato. La società omissis ha proposto ricorso per cassazione contro l'ordinanza del tribunale di Firenze, sulla base di tre motivi, illustrati da memoria. Il Garante ha replicato con controricorso. La causa, inizialmente avviata alla trattazione in Camera di consiglio, è stata rimessa in pubblica udienza con ordinanza di questa sezione n. 23519 del 2021. La società ha depositato una memoria. Ragioni della decisione I. - L'eccezione di inammissibilità del ricorso per cassazione, sollevata dall'avvocatura erariale per una presunta tardività del medesimo, non è fondata. Al pari di quel che accade in fattispecie analoghe - di tipo non lavoristico ma soggette al rito del lavoro - anche le controversie in materia di protezione dei dati personali, per quanto regolate dal rito del lavoro D.Lgs. n. 150 del 2011, ex art. 10 , sono soggette alla sospensione feriale dei termini. E questo perché l'esclusione prevista dalla L. n. 742 del 1969, art. 3, per le controversie di lavoro si riferisce alla natura della causa e non al rito da cui è disciplinata v. già Cass. n. 22389-15 . II. - Col primo motivo la ricorrente assume la nullità del provvedimento e la violazione del D.Lgs. n. 150 del 2011, art. 10, per avere il tribunale erroneamente seguito il procedimento di cui agli artt. 702-bis c.p.c. e segg., e pronunciato, quindi, il provvedimento conclusivo in forma di ordinanza ex art. 702-ter, fuori dei casi previsti dalla legge, volta che le controversie di cui al D.Lgs. n. 196 del 2003, art. 152, sono per l'appunto regolate dal rito lavoro e definite con sentenza. III. - Il motivo è inammissibile. E' vero che il tribunale di Firenze ha deciso la causa di opposizione con ordinanza ex art. 702-ter c.p.c. , in contrasto con la previsione di cui al D.Lgs. n. 150 del 2011, art. 10, che estende alle controversie previste dal D.Lgs. n. 196 del 2003, art. 152, il rito del lavoro e che stabilisce, soprattutto, che le dette controversie siano decise con sentenza non appellabile. Tuttavia è decisivo che nessuna concreta lesione del diritto di difesa è stata dedotta da parte della ricorrente come da ciò derivata. E questa Corte, a sezioni unite, ha in generale chiarito che è inammissibile per difetto di interesse la doglianza, dedotta come motivo di impugnazione, relativa alla esattezza del rito col quale il provvedimento giurisdizionale è stato pronunciato. Ciò in quanto l'esattezza del rito non è mai fine a sé stessa, ma può essere invocata solo per riparare una precisa e apprezzabile lesione che, in conseguenza del rito seguito, sia stata subita sul piano pratico processuale v. Cass. Sez. U. n. 3758-09 . Questo principio - deve precisarsi convive e impone di esser coniugato con quello, recentemente affermato dalle medesime Sezioni unite, della intrinseca offensività della nullità derivante - invece - da violazione del contraddittorio Cass. Sez. U. n. 36596-21 . Poiché nel caso concreto nessuna lesione di tal genere è derivata, secondo la stessa silente postulazione della società omissis , ne segue che la questione sollevata dal primo motivo va risolta nell'esatto solco del principio di irrilevanza dell'errore sul rito che non abbia avuto riflessi sul diritto di difesa della parte. IV. - Occorre anche puntualizzare che non rientra nell'alveo della censura la questione della pronuncia non concretizzata dalla lettura del dispositivo. Per tale ragione la Corte non deve occuparsene. In base a un certo indirizzo interpretativo, nelle controversie nelle quali si applica il rito del lavoro, l'omessa lettura del dispositivo all'udienza di discussione determina, ex art. 156 c.p.c. , comma 2, la nullità insanabile della sentenza per mancanza del requisito formale indispensabile per il raggiungimento dello scopo dell'atto, correlato alle esigenze di concentrazione del giudizio e di immutabilità della decisione rispetto alla successiva stesura della motivazione v. ex aliis Cass. n. 38521-21 in tema di opposizione a sanzione amministrativa, Cass. n. 25305-14 in ordine al rito locatizio . Nondimeno una simile questione non rileva nel caso concreto, perché non dedotta a presidio dell'odierna censura, la quale è limitata a denunziare che il tribunale non abbia deciso la causa con sentenza , sebbene l'abbia fatto con ordinanza ex art. 702-ter c.p.c. . E codesta, in quanto avente natura sostanziale di sentenza, è stata come tale identificata dalla stessa ricorrente ai fini del mezzo di impugnazione il ricorso per cassazione concretamente - e ammissibilmente - spiegato ai sensi del D.Lgs. n. 150 del 2011, art. 10, u.c., e art. 111 Cost. . V. - Col secondo motivo la ricorrente denuncia la violazione dell' art. 132 c.p.c. , per motivazione apparente. Il motivo è all'evidenza infondato, poiché il tribunale di Firenze ha motivato il convincimento espresso nei termini sopra riportati, in tal modo consentendo l'individuazione di una ben precisa ratio decidendi. VI. - Col terzo motivo, infine, la ricorrente denunzia la violazione e falsa applicazione dell'art. 5, par. 1, lett. a e c , artt. 6 e 7 Regolamento UE 2016/679 e dell'art. 24 del codice privacy D.Lgs. n. 196 del 2003 , dal momento che - si dice - all'atto dell'assunzione era stata sottoscritta dai soci una dichiarazione specifica in ordine all'esser stati informati sull'utilizzo dei dati anagrafici e sensibili, con consenso al trattamento e con sottoscrizione del regolamento del concorso per la qualità del lavoro, unitamente alla descrizione della relativa procedura integrata dalle valutazioni settimanali affisse presso la sede. Cosicché tutto il sistema delle valutazioni era stato legittimato dal consenso, e giustificato dal rapporto associativo liberamente costituitosi tra i soci e la cooperativa, oltre che tra i soci stessi. VII. - Il motivo è in parte inammissibile e in parte infondato. Secondo la ricostruzione in fatto evinta dal provvedimento impugnato, la società omissis tratta i dati personali dei dipendenti mediante la pubblicazione in bacheca delle valutazioni espresse settimanalmente su ciascuno dei soci lavoratori, identificato con fotografia, nome e cognome. Tanto fa attraverso immagini grafiche le faccine affiancate da specifiche motivazioni riferite al giudizio espresso assenteismo , simulazione malattia e via seguitando. A tali tipologie di valutazioni, negative come anche, naturalmente, positive, corrisponde poi, per quel che si comprende pure dal ricorso, l'attribuzione di un punteggio nell'ambito di un concorso a premi istituito dalla società. Il tutto è affisso in una bacheca accessibile sia ai soci che ai soggetti estranei al rapporto. VIII. - Ora il tribunale, condividendo la posizione del Garante, ha ritenuto illecito il trattamento dei dati, perché sproporzionato rispetto al risultato del concorso e non autorizzato dal consenso prestato, anche in relazione allo scopo mutualistico connaturato all'essenza della società cooperativa. In particolare, quanto al consenso, il tribunale ha ritenuto che codesto fosse stato manifestato solo per l'esito della valutazione settimanale, non anche invece per la più invasiva prassi attuata dalla società con la ripetuta sistematica pubblicazione dei volti dei dipendenti associata alle faccine e ai giudizi sintetici per ciascuno operati. La ricorrente sostiene che invece diverso doveva ritenersi l'oggetto del consenso. In tal modo però essa traduce la censura in un sindacato di fatto, oltre tutto neppure assistito dal necessario livello di autosufficienza, volta che nel ricorso la dichiarazione corrispondente non è riportata. IX. - La ricorrente aggiunge - e tale è il punto qualificante del ricorso - che in ogni caso il trattamento doveva considerarsi legittimo in forza della natura del rapporto nel quale si inseriva e del consenso prestato al momento dell'approvazione del deliberato assembleare. Per questa parte la tesi - che pone una questione per certi aspetti nuova, al punto da avere indotto alla trattazione del ricorso in pubblica udienza - è infondata. X. - Questa Corte ha già affermato che in tema di trattamento di dati personali il consenso è validamente prestato solo se espresso liberamente e specificamente in riferimento a un trattamento chiaramente individuato v. Cass. n. 14381-21 , Cass. n. 17278-18 . Qui occorre aggiungere che si tratta di un principio di portata generale che prevale in ogni rapporto. Non può quindi condividersi l'assunto secondo il quale il trattamento sarebbe stato comunque, nella specie, giustificato dal consenso espresso in seno al rapporto associativo venutosi a costituire liberamente tra i soci e la cooperativa e tra i soci stessi . La circostanza che il rapporto abbia natura associativa o anche organizzativa , sì che alla gestione e alla formazione della volontà dell'ente contribuiscano gli stessi soci nelle forme assembleari previste, non comporta affatto che ogni trattamento di dati divenga per ciò solo consentito dai singoli secondo le forme stabilite in assemblea. Ne' può prescindersi dalla circostanza che nel caso concreto le operazioni sanzionate dal Garante hanno configurato in base alla ricostruzione operata il trattamento di dati personali di soci lavoratori , e anche mediante la messa a disposizione dei dati a soggetti diversi dalle parti del rapporto, sia di lavoro che societario, instaurato tra la società cooperativa e ciascuno di essi. E' invero pacifico, in base all'accertamento di fatto, che tutti i dipendenti che accedono al locale ove è collocata la bacheca siano stati in grado di verificare i dati così come trattati. E non è senza significato che lo abbiano potuto fare perfino i terzi occasionalmente presenti nella sede della cooperativa. Tutto questo implica un trattamento legittimo solo se correlato a un consenso specifico, libero e informato espresso da ciascun interessato. Un consenso, dunque, non delegabile alla formulazione maggioritaria adottata in un deliberato assembleare. L'effettività di questo tipo di consenso è stata motivatamente esclusa dal tribunale di Firenze, in base a un accertamento istituzionalmente riservato al giudice del merito e non sindacabile in questa sede. XI. - Il ricorso è rigettato. Deve essere affermato il seguente principio - in tema di dati personali, la legittimità del trattamento presuppone un consenso validamente prestato in modo espresso, libero e specifico, in riferimento a un trattamento chiaramente individuato tale principio, di portata generale, rileva e prevale in ogni rapporto, e osta a ritenere che un trattamento possa considerarsi giustificato da un consenso funzionalmente diverso come quello espresso nel contesto di maggioranze necessarie ad approvare deliberati assembleari, ed in ispecie il deliberato assembleare di una società cooperativa, della quale il soggetto, del cui dato personale si tratti, sia socio lavoratore. Le spese seguono la soccombenza. P.Q.M. La Corte rigetta il ricorso e condanna la ricorrente alle spese processuali, che liquida in Euro 6.200,00 oltre le spese prenotate a debito. Dispone che, in caso di diffusione della presente sentenza, siano omesse le generalità e gli altri dati significativi. Ai sensi del D.P.R. n. 115 del 2002, art. 13 , comma 1-quater, dà atto della sussistenza dei presupposti per il versamento, da parte della ricorrente, dell'ulteriore importo a titolo di contributo unificato pari a quello relativo al ricorso, se dovuto.