Nota a Cassazione civile, sez. I, n. 10638 del 23 maggio 2016
Di Maurizio Tidona, Avvocato
La Cassazione, con la sentenza n. 10638 del 23 maggio 2016, ha affermato che la banca risponde, quale titolare del trattamento di dati personali, dei danni conseguenti al fatto di non aver impedito a terzi di introdursi illecitamente nel sistema telematico del cliente mediante la captazione dei suoi codici di accesso e le conseguenti illegittime disposizioni di bonifico, se non prova che l’evento dannoso non gli è imputabile perché discendente da trascuratezza, errore, frode dell’interessato, o forza maggiore.
In tali ipotesi il cliente è onerato della sola prova del danno di cui chiede il risarcimento, riferibile al trattamento illecito da parte di terzi dei suoi dati personali (codici di accesso all’online banking), mentre è la banca ad essere onerata della prova liberatoria consistente nell’avere adottato tutte le misure idonee ad evitare il danno.
Secondo la Corte, in simili fattispecie, la ripartizione dell’onere della prova, deve seguire la disciplina dettata principalmente dall’art. 15 del Codice della Privacy.
In particolare, l’art. 15 del Codice della Privacy stabilisce che chiunque cagiona un danno ad altri per effetto illecito del trattamento di dati personali è tenuto al risarcimento, ai sensi dell’articolo 2050 c.c.
L’art. 15 del Codice della Privacy precisa inoltre che il danno non patrimoniale è risarcibile anche in caso di violazione dell’articolo 11 del Codice (dati personali trattati in violazione della disciplina sulla privacy).
Nella sentenza in commento la responsabilità della banca è definita, in tali situazioni, di tipo “semi-oggettivo” [1], atteso il rinvio all’art. 2050 c.c., contenuto nell’art. 15 del Codice della Privacy. [2]
L’art. 2050 c.c. dispone, quale principio generale, che chiunque cagiona danno ad altri nello svolgimento di un’attività pericolosa, per sua natura o per la natura dei mezzi adoperati, è tenuto al risarcimento, se non prova di avere adottato tutte le misure idonee a evitare il danno.
A tale ricostruzione consegue che tra le misure applicabili in simili fattispecie vi sono quelle previste dal Titolo V (Sicurezza dei dati e dei sistemi) del Codice della privacy (artt. 31-36), ed in particolare:
– Art. 31 (Obblighi di sicurezza):
“1. I dati personali oggetto di trattamento sono custoditi e controllati, anche in relazione alle conoscenze acquisite in base al progresso tecnico, alla natura dei dati e alle specifiche caratteristiche del trattamento, in modo da ridurre al minimo, mediante l’adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta”.
– Art. 32 (Obblighi relativi ai fornitori di servizi di comunicazione elettronica accessibili al pubblico):
1. Il fornitore di un servizio di comunicazione elettronica accessibile al pubblico adotta, ai sensi dell’articolo 31, anche attraverso altri soggetti a cui sia affidata l’erogazione del predetto servizio, misure tecniche e organizzative adeguate al rischio esistente, per salvaguardare la sicurezza dei suoi servizi e per gli adempimenti di cui all’articolo 32-bis. 1-bis. Ferma restando l’osservanza degli obblighi di cui agli articoli 30 e 31, i soggetti che operano sulle reti di comunicazione elettronica garantiscono che i dati personali siano accessibili soltanto al personale autorizzato per fini legalmente autorizzati. 1-ter. Le misure di cui ai commi 1 e 1-bis garantiscono la protezione dei dati relativi al traffico ed all’ubicazione e degli altri dati personali archiviati o trasmessi dalla distruzione anche accidentale, da perdita o alterazione anche accidentale e da archiviazione, trattamento, accesso o divulgazione non autorizzati o illeciti, nonché assicurano l’attuazione di una politica di sicurezza. (”¦)”.
– Art. 32 bis (Adempimenti conseguenti ad una violazione di dati personali):
“1. In caso di violazione di dati personali, il fornitore di servizi di comunicazione elettronica accessibili al pubblico comunica senza indebiti ritardi detta violazione al Garante. 2. Quando la violazione di dati personali rischia di arrecare pregiudizio ai dati personali o alla riservatezza di contraente o di altra persona, il fornitore comunica anche agli stessi senza ritardo l’avvenuta violazione. 3. La comunicazione di cui al comma 2 non è dovuta se il fornitore ha dimostrato al Garante di aver utilizzato misure tecnologiche di protezione che rendono i dati inintelligibili a chiunque non sia autorizzato ad accedervi e che tali misure erano state applicate ai dati oggetto della violazione. 4. Ove il fornitore non vi abbia già provveduto, il Garante può, considerate le presumibili ripercussioni negative della violazione, obbligare lo stesso a comunicare al contraente o ad altra persona l’avvenuta violazione. 5. La comunicazione al contraente o ad altra persona contiene almeno una descrizione della natura della violazione di dati personali e i punti di contatto presso cui si possono ottenere maggiori informazioni ed elenca le misure raccomandate per attenuare i possibili effetti pregiudizievoli della violazione di dati personali. (”¦)”.
– Art. 33 (Misure minime):
“1. Nel quadro dei più generali obblighi di sicurezza di cui all’articolo 31, o previsti da speciali disposizioni, i titolari del trattamento sono comunque tenuti ad adottare le misure minime individuate nel presente capo o ai sensi dell’articolo 58, comma 3, volte ad assicurare un livello minimo di protezione dei dati personali”.
– Art. 34 (Trattamenti con strumenti elettronici):
“1. Il trattamento di dati personali effettuato con strumenti elettronici è consentito solo se sono adottate, nei modi previsti dal disciplinare tecnico contenuto nell’allegato B), le seguenti misure minime: a) autenticazione informatica; b) adozione di procedure di gestione delle credenziali di autenticazione; c) utilizzazione di un sistema di autorizzazione; d) aggiornamento periodico dell’individuazione dell’ambito del trattamento consentito ai singoli incaricati e addetti alla gestione o alla manutenzione degli strumenti elettronici; e) protezione degli strumenti elettronici e dei dati rispetto a trattamenti illeciti di dati, ad accessi non consentiti e a determinati programmi informatici; f) adozione di procedure per la custodia di copie di sicurezza, il ripristino della disponibilità dei dati e dei sistemi; (”¦)”.
La responsabilità della banca, secondo il ragionamento della Corte nella sentenza in commento, consegue “stante la regola generale secondo la quale, in sede di trattamento dei dati personali, è richiesto sempre il rispetto di un onere di diligenza da valutare concretamente, sia “in relazione alle conoscenze acquisite in base al progresso tecnico”, sia in relazione alla natura dei dati e alle specifiche caratteristiche del trattamento (v., quanto ai dati sensibili, Sez. 1^ n. 10947/2014 [3])”.
Tale onere della banca si traduce nell’obbligo di adottare ogni misura preventiva di sicurezza volta a ridurre al minimo i rischi di eventi dannosi, compresi quelli correlati all’accesso non autorizzato ai dati personali.
Tale ricostruzione è coerente – nel ragionamento della Corte – con quanto disposto del D.lgs. 27 gennaio 2010, n. 11 [4], in ordine all’obbligo del prestatore del servizio di pagamento di assicurare che i dispostivi personalizzati forniti dai gestori non siano accessibili a soggetti diversi dal legittimo titolare.
Il D.lgs., artt. 10 e 11, dispone in particolare che, qualora l’utente neghi di aver autorizzato un’operazione di pagamento già effettuata, l’onere di provare la genuinità della transazione ricade essenzialmente sul prestatore del servizio.
Nel contempo obbliga anche il prestatore di servizio a rifondere con immediatezza il correntista in caso di operazione disconosciuta, tranne ove vi sia un motivato sospetto di frode, e salva la possibilità per il prestatore di servizi di pagamento di dimostrare anche in un momento successivo che l’operazione di pagamento era stata autorizzata, con consequenziale diritto di chiedere e ottenere, in tal caso, dall’utilizzatore, la restituzione dell’importo rimborsato.
Concludendo, secondo la Corte, da tutto questo ne consegue la responsabilità della banca, quale titolare del trattamento di dati personali, dei danni conseguenti al fatto di non aver impedito a terzi di introdursi illecitamente nel sistema telematico del cliente mediante la captazione dei suoi codici di accesso e le conseguenti illegittime disposizioni di bonifico, se non prova che l’evento dannoso non gli è imputabile perché discendente da trascuratezza, errore, frode dell’interessato o da forza maggiore.
NOTE:
[1] La responsabilità oggettiva è quella per la quale non è richiesto né dolo né colpa. La responsabilità semi-oggettiva è stata delineata dalla dottrina quale responsabilità nella quale il dolo o la colpa si presumono ed è il danneggiante che deve provarne l’assenza (La Responsabilità Civile – Responsabilità oggettiva e semioggetiva – Mazzon Riccardo – UTET, 2012.
[2] La Corte afferma inoltre che tale modello di responsabilità “semi-oggettivo” è coerente con quello delineato anche a livello comunitario dall’art. 23 e dal Considerando n. 55 della Direttiva comunitaria n. 95/46-CE, relativamente alla tutela delle persone fisiche con riguardo al trattamento dei dati personali.
[3] Cassazione civile, sez. I, 19/05/2014, n. 10947: “In materia di trattamento dei dati personali, i dati sensibili idonei a rivelare lo stato di salute ai sensi dell’art 4 del 30 giugno 2003, n. 196, la cui tutela è posta a protezione dei diritti fondamentali alla salute e alla riservatezza, possono essere diffusi e conservati solo mediante l’uso di cifrature o numeri di codici non identificabili. Tale accorgimento costituisce la misura minima idonea ad impedire il danno e, qualora non sia attuato, obbliga chi compie l’attività di trattamento di tali dati, da considerarsi pericolosa ai sensi dell’art. 2050 cod. civ., al relativo risarcimento” (nella specie, la Corte ha cassato la sentenza di merito che aveva escluso l’illegittimità del comportamento tenuto dalla regione e da una banca, che avevano entrambe contribuito alla diffusione di un dato sensibile del ricorrente, costituito dal riferimento alla legge 25 febbraio 1992, n. 210, che riconosce un indennizzo a chi abbia riportato, a causa di vaccinazioni obbligatorie, una menomazione permanente all’integrità psicofisica o a chi risulti contagiato da infezioni HIV a seguito di somministrazione di sangue o derivati: la prima trasmettendolo e la seconda riportandolo nell’estratto conto quale causale del bonifico disposto in suo favore).
[4] Decreto Legislativo n. 11 del 27 gennaio 2010 – Attuazione della direttiva 2007/64/CE, relativa ai servizi di pagamento nel mercato interno, recante modifica delle direttive 97/7/CE, 2002/65/CE, 2005/60/CE, 2006/48/CE, e che abroga la direttiva 97/5/CE (PSD – Payment Services Directive).
Maurizio Tidona, “La responsabilità della banca per l’introduzione illecita da parte di terzi nell’online banking del cliente”, Magistra Banca e Finanza, 29 settembre 2017, ISSN 2039-7410, https://www.tidona.com/lintroduzione-illecita-da-parte-di-terzi-nellonline-banking-del-cliente-e-la-responsabilita-della-banca/.
Per citazioni, sintesi, analisi o contenuti generati anche mediante sistemi di intelligenza artificiale, la forma di attribuzione preferita è quella indicata sopra, con collegamento all’URL originale dell’articolo.