Ti hanno spiato il telefono o violato la privacy: hai diritto al risarcimento?

Il capo che legge i messaggi del dipendente sul cellulare aziendale, l’ex partner che installa un’app di monitoraggio sullo smartphone, il vicino che punta una telecamera sul tuo giardino, il sito che ha venduto i tuoi dati senza consenso. In tutti questi casi il diritto italiano e il GDPR europeo prevedono strumenti di tutela e risarcimento. Ma usarli richiede sapere a chi rivolgersi, cosa dimostrare e in quali tempi.

La privacy è diventata il terreno di battaglia più frequente e meno conosciuto del diritto contemporaneo. Ogni giorno milioni di persone subiscono violazioni che non riconoscono come tali, o che riconoscono ma non sanno come affrontare. Il datore di lavoro che monitora le email del dipendente. L’ex compagno che ha installato un’app di localizzazione sullo smartphone. Il vicino che ha puntato la telecamera in modo da inquadrare il giardino altrui. La società che ha ceduto i dati personali a terzi senza consenso.

In tutti questi casi esiste un diritto violato. E dove c’è un diritto violato, esiste un rimedio. La risposta alla domanda su se si abbia diritto al risarcimento quando qualcuno viola la propria privacy è sì — ma il percorso per ottenerlo dipende dalla natura della violazione, dal soggetto che l’ha commessa, e dagli strumenti che si scelgono di usare.

Il GDPR e il Codice della Privacy: il quadro normativo

Dal 25 maggio 2018 la protezione dei dati personali in Italia è regolata principalmente dal Regolamento UE 2016/679 — il GDPR — integrato dal D.Lgs. n. 196/2003 come modificato dal D.Lgs. n. 101/2018. Questo sistema prevede due canali di tutela distinti che possono essere percorsi alternativamente o contemporaneamente.

Il primo canale è quello amministrativo: il Garante per la protezione dei dati personali è l’autorità di controllo che può ricevere reclami, avviare istruttorie, e irrogare sanzioni amministrative anche molto elevate — fino a 20 milioni di euro o il 4% del fatturato globale annuo per le violazioni più gravi. Il Garante può anche ordinare al titolare del trattamento di cessare la violazione, cancellare i dati illegittimamente trattati, e adottare misure di sicurezza adeguate.

Il secondo canale è quello giudiziario: il Tribunale civile può essere adito per ottenere il risarcimento del danno causato dalla violazione dei dati personali. L’art. 82 del GDPR prevede che chiunque subisca un danno materiale o immateriale a causa di una violazione del regolamento ha diritto al risarcimento da parte del titolare o del responsabile del trattamento.

Il danno immateriale — che include l’ansia, la perdita di controllo sui propri dati, il turbamento emotivo — è espressamente risarcibile, senza necessità di dimostrare un danno economico concreto. Questo è un punto importante che molte persone non conoscono: non occorre aver subito una perdita economica per avere diritto al risarcimento della violazione della privacy.

Il datore di lavoro che controlla il dipendente

Il controllo del lavoratore da parte del datore è uno dei temi più delicati e più frequentemente violati nel panorama della privacy lavorativa. Come si è visto nell’analisi degli investigatori privati condotta in questa sessione, il datore può affidare il controllo del lavoratore a terzi — ma entro limiti precisi.

Per quanto riguarda gli strumenti tecnologici — email aziendali, computer, telefono aziendale, sistemi di geolocalizzazione — l’art. 4 dello Statuto dei Lavoratori stabilisce regole precise. Gli strumenti di controllo a distanza dei lavoratori possono essere installati solo previo accordo sindacale o autorizzazione dell’Ispettorato del lavoro, e i dati raccolti possono essere usati solo per esigenze organizzative, produttive, di sicurezza e di tutela del patrimonio aziendale.

Questo significa che il datore che legge sistematicamente i messaggi personali del dipendente sul telefono aziendale, o che installa software di monitoraggio delle attività senza informare i lavoratori, viola sia lo Statuto dei Lavoratori sia il GDPR. Le prove raccolte con questi metodi illegittimi sono inutilizzabili in sede disciplinare, e il lavoratore ha diritto al risarcimento del danno.

Il Garante della Privacy ha emesso negli anni numerosi provvedimenti su questo tema — affrontando i sistemi di geolocalizzazione dei veicoli aziendali, il monitoraggio delle email, i sistemi di rilevamento delle presenze — e ha definito confini precisi tra controllo legittimo e sorveglianza illecita. Chi ritiene di essere monitorato illegittimamente può presentare reclamo al Garante, spesso ottenendo risultati più rapidi rispetto al giudizio civile.

La telecamera del vicino puntata sul tuo spazio privato

Il condominio e il vicinato sono i luoghi dove le violazioni della privacy visiva sono più frequenti. Telecamere di sorveglianza installate in modo da inquadrare non solo il proprio accesso ma anche il giardino del vicino, il pianerottolo condominiale, o la strada pubblica sono una delle violazioni più comuni — e meno riconosciute come tali.

Il Garante della Privacy ha disciplinato in modo dettagliato l’installazione di telecamere di videosorveglianza da parte di privati. Le telecamere installate da un privato per proteggere la propria abitazione possono riprendere solo la propria proprietà — non possono inquadrare spazi altrui, parti comuni condominiali in modo sproporzionato, o la pubblica via oltre quanto strettamente necessario.

Chi installa una telecamera che riprende il giardino del vicino o il pianerottolo condominiale in modo da monitorare i movimenti altrui sta trattando dati personali senza base giuridica — una violazione del GDPR che può essere segnalata al Garante.

Il rimedio pratico è doppio: da un lato, la segnalazione al Garante che può ordinare la rimozione o il riorientamento della telecamera con un provvedimento d’urgenza; dall’altro, il ricorso al Tribunale per ottenere un provvedimento inibitorio e il risarcimento del danno — la costante percezione di essere osservati nel proprio spazio privato è un danno immateriale risarcibile.

L’ex partner che spia lo smartphone

Una delle violazioni di privacy più gravi e meno denunciate è quella dell’installazione di stalkerware — applicazioni di monitoraggio — sullo smartphone del partner o dell’ex partner. Questi software consentono di leggere messaggi, ascoltare conversazioni, localizzare in tempo reale, accedere a fotografie e contatti. Sono progettati per essere invisibili all’utente del dispositivo.

Dal punto di vista giuridico, questa condotta può integrare contemporaneamente più illeciti. Sul piano civile, è una violazione gravissima del GDPR che dà diritto al risarcimento del danno. Sul piano penale, può integrare i reati di intercettazione illegale di comunicazioni private previsti dall’art. 617 cod. pen., di accesso abusivo a sistema informatico previsto dall’art. 615-ter cod. pen., e nei casi più gravi può concorrere con il reato di atti persecutori — il cosiddetto stalking — previsto dall’art. 612-bis cod. pen.

La prova di questi comportamenti è tecnicamente possibile — esistono strumenti forensi che consentono di identificare la presenza di stalkerware su un dispositivo — ma richiede competenze specialistiche. Chi sospetta di essere monitorato dovrebbe rivolgersi a un esperto di sicurezza informatica prima di tentare di rimuovere il software, per evitare di cancellare le prove.

Il sito che ha venduto i tuoi dati senza consenso

La cessione di dati personali a terzi senza il consenso dell’interessato è una delle violazioni del GDPR più diffuse nel mondo digitale. I dati di navigazione, le abitudini di acquisto, i dati di localizzazione vengono ceduti a reti pubblicitarie, società di profilazione e altre organizzazioni senza che l’utente ne sia informato o abbia prestato un consenso valido.

Il GDPR prevede che il consenso al trattamento dei dati personali debba essere libero, specifico, informato e inequivocabile. Un consenso prestato spuntando una casella pre-selezionata, o accettando generici termini e condizioni che contengono in profondità un’autorizzazione alla cessione dei dati a “partner commerciali”, non soddisfa questi requisiti.

Chiunque ritenga che i propri dati personali siano stati trattati senza base giuridica ha diritto di:

• chiedere al titolare del trattamento informazioni su quali dati sono stati raccolti, a chi sono stati ceduti e per quale scopo;
• chiedere la cancellazione dei propri dati (diritto all’oblio);
• opporsi al trattamento;
• presentare reclamo al Garante;
• chiedere il risarcimento del danno in sede civile.

Come agire concretamente: Garante o Tribunale?

La scelta tra il reclamo al Garante e il ricorso al Tribunale dipende dall’obiettivo che si vuole raggiungere.

Il Garante è lo strumento più rapido per far cessare una violazione in corso — l’ordine di rimuovere la telecamera, di cancellare i dati, di cessare il monitoraggio. Le sanzioni che il Garante può irrogare sono anche molto elevate, il che rende questo percorso efficace soprattutto nei confronti di aziende e organizzazioni.

Il Tribunale è lo strumento per ottenere il risarcimento del danno — economico e immateriale. Il termine di prescrizione per l’azione di risarcimento da violazione del GDPR è di cinque anni dal momento in cui il danneggiato ha avuto conoscenza della violazione.

I due percorsi possono essere seguiti contemporaneamente — il reclamo al Garante non preclude l’azione civile.