Richiedi una consulenza in studio gratuita!

Principio di minimizzazione nel trattamento dei dati bancari e risarcimento danni


Nel rapporto di conto corrente la banca può trattare solo i dati personali effettivamente necessari
Principio di minimizzazione nel trattamento dei dati bancari e risarcimento danni

 

Si prende le mosse da un recente dictum della Suprema Corte, la quale ha così stabilito:

In tema di rapporto di conto corrente la banca può trattare solo i dati personali effettivamente necessari per la gestione del rapporto contrattuale con il cliente, il quale non può essere obbligato a consentire il trattamento di dati ulteriori che lo riguardano, specie se sensibili. In base alla normativa in materia di protezione dei dati personali, il principio di "minimizzazione dei dati" ha natura di norma imperativa ed è pertanto inderogabile. In particolare, esso è stato riconosciuto dalla disciplina sul trattamento dei dati personali come presidio di tutela dei diritti degli interessati dal D.lgs. 30 giugno 2003 n. 196, artt. 3 e 11, lett. d), e pienamente ribadito anche più recentemente nell'articolo 5, lettera c), del Regolamento generale in materia di protezione dei dati personali (Gdpr) e nella conseguente affermazione della sua inderogabilità dall'autonomia privata. Nel caso in specie è da ritenersi tutt'altro che legittima la condotta dell'istituto dì credito laddove essa ha inteso condizionare l'operatività del conto corrente bancario del cliente alla prestazione del suo consenso al trattamento dei propri dati sensibili che, nel caso specifico, non risultavano tra quelli necessari per la corretta e completa gestione del rapporto contrattuale. In conclusione, non può essere rimessa all'autonomia delle parti - con una apposita clausola contrattuale, ai sensi dell'articolo 1418 c.c. - l'operatività del conto corrente del cliente al consenso, da parte di questi, al trattamento dei propri dati sensibili (così Cassazione civile sez. I, 21/10/2019, n.26778).

La vicenda ha visto, come protagonista, un cliente italiano di una importante banca tedesca operante anche in Italia che, al momento della stipula del contratto di conto corrente bancario e deposito titoli, non aveva inteso prestare il consenso al trattamento dei propri dati sensibili.

L’istituto di credito aveva “comunque” avviato il rapporto, nonostante la mancata sottoscrizione della suddetta clausola, e ciò fino a quando, in seguito, la banca bloccava improvvisamente l’operatività del c/c e del servizio di deposito titoli, quale conseguenza del rifiuto iniziale del cliente.

Quest’ultimo - conseguentemente - adiva l’AGO chiedendo l’accertamento della responsabilità dell’istituto di credito, con richiesta di accertamento di responsabilità contrattuale e/o extracontrattuale, e con domanda di risarcimento del danno.

Sia in primo grado che in appello le domande del cliente erano state rigettate, essendosi ritenuto corretto il comportamento della banca.

La Corte, nel rovesciare l’esito della sentenza, riconosce con la sentenza de qua la natura di norma imperativa ai principi informatori del D.lgs. 30 giugno 2003 n. 196, con riferimento in particolare al principio di “minimizzazione dei dati” di cui agli artt. 3 e 11 lett. d) del citato codice.

Tale principio è dunque inderogabile, siccome orientato alla tutela di valori pregnanti, finalizzato al rispetto dei diritti e delle libertà fondamentali, quali la dignità, la riservatezza, l’identità personale, la tutela dei dati personali, il cui trattamento indiscriminato esporrebbe a rischio i diritti fondamentali degli interessati.

Conseguentemente, è affetta da nullità, ex art. 1418 c.c., secondo il ragionamento degli Ermellini, la clausola con la quale l’istituto di credito subordina l’operatività del c/c al consenso al trattamento dei dati sensibili (almeno non necessari all’espletamento dell’attività).

Il principio è stato ribadito poi dall’art. 5 lett c) del regolamento generale in materia di protezione dei dati personali.

Queste norme vengono affermate in particolare dalla S.C. come inderogabili da parte dell’autonomia privata.

La banca, conseguentemente non può mai condizionare l’operatività del c/c alla prestazione del suo consenso al trattamento di dati sensibili, non necessari per la gestione del rapporto.

Non vi sono dunque scelte gestionali o, come usano dire gli istituti di credito, “per una migliore gestione dei rapporti con la clientela” che possono derogare a siffatto principio.

Si veda, in proposito, in tema, nello stesso senso, anche il considerando 39 del GDPR che conferma il principio di “minimizzazione dei dati”, cioè la limitazione del trattamento a quanto strettamente necessario.

Il principio, peraltro, è risalente perché era già contenuto nella Direttiva cd. Madre 95/46/CE del Parlamento Europeo e del Consiglio del 24 ottobre 1995, abrogata poi dal GDPR a partire dal 25 maggio 2018.

Proprio la suddetta direttiva affermava l’ormai arcinoto principio secondo cui i dati dovevano essere “adeguati, pertinenti, e non eccedenti rispetto alle finalità per le quali vengono rilevati e/o per le quali vengono successivamente trattati”; concetto subito recepito dalla legge 675/1996 italiana, il cui art. 9 ribadiva il principio; nello stesso senso, si veda l’art. 11 del codice della Privacy D.lgs. n. 196/2003.

Con specifico riferimento al settore bancario si segnalano poi le linee guida del 25 ottobre 2007 adottate dal Garante della privacy, che costituiscono un punto di riferimento in materia.

Si segnalano alcuni passi salienti della motivazione per esteso della surrichiamata sentenza della S.C.:

9. I primi tre motivi, da esaminare unitariamente in relazione alla stretta connessione delle questioni trattate, sono fondati.

Va osservato che non è contestato tra le parti che la banca controricorrente, all'atto della stipula del contratto di conto corrente, con relativa apertura del deposito titoli, abbia sottoposto all'attenzione del cliente, con comunicazione controfirmata da quest'ultimo, la clausola che, in mancanza del consenso al trattamento dei dati sensibili, l'istituto di credito non avrebbe potuto dare corso alle operazioni ed ai servizi richiesti.

Proprio in virtù della circostanza che il cliente, con la predetta informativa, era stato pienamente reso edotto delle conseguenze previste dalla banca in caso di rifiuto a rilasciare il consenso al trattamento dei dati sensibili (e nonostante ciò, il cliente avesse comunque sottoscritto il contratto), entrambi i giudici di merito hanno ritenuto che l'istituto di credito non sia incorso in nessun inadempimento contrattuale, né nella violazione della legge sulla privacy, avendo la banca stabilito una tale regolamentazione nell'esercizio della propria autonomia contrattuale e gestionale, non soggetta a particolari limitazioni di legge, ai fini di una completa e migliore gestione dei rapporti con la clientela.

Questo Collegio non condivide l'impostazione giuridica della sentenza impugnata.

Va, in primo luogo, osservato che la clausola con cui la banca ha subordinato l'esecuzione delle proprie operazioni al rilascio del consenso al trattamento dei dati sensibili contrasta indubitabilmente con i principi informatori della legge sulla privacy, la quale ha natura di norma imperativa, contenendo tale normativa precetti che non possono essere derogati dall'autonomia privata in quanto posti a tutela di interessi generali, di valori morali e sociali pregnanti nel nostro ordinamento, finalizzati al rispetto dei diritti e delle libertà fondamentali, quali la dignità, la riservatezza, l'identità personale, la protezione dei dati personali.

Tra i principi che regolano la tutela della c.d. privacy rientra a pieno titolo quello di minimizzazione nell'uso dei dati personali, dovendo essere utilizzati solo i dati indispensabili, pertinenti e limitati a quanto necessario per il perseguimento delle finalità per cui sono raccolti e trattati.

In particolare, tale principio è ben espresso dal D.lgs. n. 196 del 2003, art. 3, recante il titolo "principio di necessità nel trattamento dei dati", dall'art. 11, lett. d) legge cit., che richiede la pertinenza, la completezza e non eccedenza dei dati rispetto alle finalità per cui sono raccolti e trattati ed è stato recentemente riaffermato con l'entrata in vigore dell'art. 5, lett. c) del regolamento Europeo sulla protezione dei dati personali 2016/679.

[…]

La stessa banca ha dato atto - e non poteva fare diversamente in considerazione della precisa nozione di dati sensibili, evincibile del D.lgs. n. 196 del 2003, art. 4, comma 1, lett. d) - di non aver bisogno di tali dati per operare. E' quindi evidente che il fondare, a scopo cautelativo, la richiesta obbligatoria al cliente di rilascio dell'autorizzazione al trattamento dei dati sensibili sulla eventuale (alquanto remota) possibilità che la Banca ne venga a conoscenza nel corso della sua attività assume la connotazione di un mero pretesto.

[…]

In conclusione, la clausola con cui la banca ha subordinato il dar corso alle operazioni richieste dal cliente al consenso al trattamento dei dati sensibili è affetta da nullità in quanto contraria a norme imperative, a norma dell'art. 1418 c.c.. Ne consegue che la condotta con cui lo stesso istituto di credito ha successivamente provveduto al "blocco" del conto corrente e del deposito titoli, proprio perché trova il proprio titolo in una clausola nulla dalla stessa inserita, non lo esonera da responsabilità per inadempimento contrattuale.

Anche la giurisprudenza successiva ed ancor più recente si muove nello stesso solco.

Il riferimento è a Corte di Cassazione, sez. 1 ord. 19 dicembre 2019 n. 34113, sempre in tema di criterio di minimizzazione; anche se la pronuncia pare favorevole in questo caso all’istituto di credito.

Si segnala il passo saliente anche di tale dictum:

Va preliminarmente osservato che non vi è dubbio che il trattamento delle informazioni personali effettuato nell'ambito dell'attività di recupero crediti sia lecito purché, avvenga nel rispetto del criterio di minimizzazione nell'uso dei dati personali, dovendo essere utilizzati solo i dati indispensabili, pertinenti e limitati a quanto necessario per il perseguimento delle finalità per cui sono raccolti e trattati. Tale principio era ben espresso dal D.lgs. n. 196 del 2003, art. 3, recante il titolo "principio di necessità nel trattamento dei dati", e dall'art. 11, lett. d) legge cit., richiedente la pertinenza, la completezza e non eccedenza dei dati rispetto alle finalità per cui sono raccolti e trattati (tali articoli sono stati recentemente abrogati a seguito dell'entrata in vigore del D.lgs. 10 agosto 2018, n. 101) ed è stato recentemente riaffermato con l'entrata in vigore dell'art. 5, lett. c) del regolamento Europeo sulla protezione dei dati personali 2016/679.

Non può quindi ritenersi che la Banca sia incorsa nella violazione della legge sulla privacy solo perché abbia fornito ai soggetti acquirenti del credito informazioni riguardanti la debitrice funzionali alla cessione del credito, quali la situazione debitoria, ubicazione dell'immobile vincolato alla garanzia del credito, etc., ove non venga fornita prova che la comunicazione a terzi sia avvenuta in violazione del principio sopra enunciato di "minimizzazione nell'uso dei dati personali".

Ancora una volta, il massimo organo della nomofilachia conferma che il trattamento dei dati non può andare oltre quanto strettamente necessario per le finalità del trattamento, in ambito bancario.

Un riferimento capitale nella dinamica delle tutele degli interessi in gioco si rinviene nelle premesse al regolamento n. 2016/679/UE (considerando n. 4), ove si legge che «il diritto alla protezione dei dati di carattere personale non è una prerogativa assoluta ma va considerato alla luce della sua funzione sociale e va contemperato con altri diritti fondamentali, in ossequio al principio di proporzionalità».

In forza di tale principio, conclude la Corte, non può ravvisarsi nel caso in esame, alcuna violazione della normativa sulla privacy, poiché l'istituto di credito ha, almeno nel caso in esame, fornito ai soggetti informazioni della debitrice funzionali all'attività di riscossione - previa cessione - del credito. Tali sono da considerarsi i dati ceduti, inerenti alla situazione debitoria e all'ubicazione dell'immobile vincolato alla garanzia del credito.

Il GDPR stesso conferma - si diceva - il principio della “minimizzazione dei dati”: l’art. 5 GDPR, al par. 1, lett c) espressamente annovera espressamente detto principio tra quelli che devono informare il trattamento dei dati in ogni ambito, prevedendo al paragrafo 2 che “il titolare del trattamento è competente per il rispetto del paragrafo 1 e in grado di comprovarlo” (cd. responsabilizzazione).

Il titolare del trattamento dovrà determinare, in maniera trasparente, le finalità che intende perseguire (v. principio di finalità posto dall’art. 5, paragrafo 1 lett b GDPR) e sulla base di questa dovrà valutare quali dati risultino indispensabili. Il titolare, oltre a dover garantire il rispetto dei suddetti principi, lo deve comprovare.

La violazione del principio di minimizzazione sarà, da ultimo, tanto più grave quanto l’istituto di credito cercherà di imporre irragionevolmente una situazione che esponga a rischio i diritti degli interessati, con particolare riferimento ai dati previsti dagli artt. 9 e 10 del Gdpr (dati sensibili e dati giudiziari).

 

Articolo del:



L'autore dell'articolo non è nella tua città?

Cerca un professionista con le stesse caratteristiche a te più vicino.

Cerca nella tua città o in una città di tuo interesse

Altri articoli del professionista

Risarcimento del danno dal Comune per "buche stradali"

Cosa fare nel caso di danni subiti in connessione con buche ed avallamenti ed insidia stradale

Continua

Preliminare di compravendita, quando è possibile la risoluzione causa

Le problematiche risolutorie e/o risarcitorie relative ai contratti in essere nel periodo di emergenza da Coronavirus

Continua

Responsabilità sanitaria: le sentenze di San Martino della Cassazione civile

Sulle sentenze di San Martino (11 Novembre 2019) della Cassazione civile in tema di responsabilità medica

Continua

La responsabilità della banca per concessione abusiva del credito

Cosa succede se la banca concede abusivamente credito a un suo cliente?

Continua

Responsabilità per danni da infiltrazioni provenienti da lastrico

Che scenari si aprono nell'ipotesi di danni derivanti da infiltazioni provenienti da lastrico solare in ipotesi di condominio?

Continua

Bullismo (e connesse responsabilità)

Quali sono le principali conseguenze civilistiche (e non) del fenomeno del bullismo

Continua

Risarcimento danni: danno da nascita indesiderata

Ecco quali sono le opzioni giuridiche in caso di nascita indesiderata per cui è possibile richiedere il risarcimento danni

Continua

Il recesso della banca dal contratto di apertura di credito

Anche un recesso giustificato esercitato con modalità arbitrarie ed improvvise potrebbe fondare la responsabilità della banca per brusca o brutale rottura del credito

Continua

Accordi interni fra conviventi, evoluzione normativa

Evoluzione normativa degli accordi interni fra conviventi fino alla recente Legge Cirinnà

Continua

Il risarcimento da infedeltà coniugale

Si può chiedere il risarcimento del danno per tradimento? In che termini? Cosa dice la giurisprudenza al riguardo?

Continua

Aspetti risarcitori nella tematica del servzio delle cassette di sicurezza

Aspetti risarcitori in relazione ai danni subiti da correntisti titolari di cassette di sicurezza degli istituti di credito

Continua

La responsabilità del chirurgo plastico

Sintesi della responsabilità risarcitoria del chirurgo plastico

Continua

La collazione ereditaria ex art. 737 c.c.: profili probatori

La Collazione Ereditaria, con particolare riferimento ai profili probatori

Continua

La responsabilità del datore di lavoro ex art. 2087 c.c.

L’imprenditore è tenuto ad adottare nell’esercizio dell’impresa le misure necessarie a tutelare l’integrità fisica e la personalità morale dei prestatori di lavoro

Continua

Il problema degli interessi commerciali in grado d'Appello

La domanda di restituzione degli interessi commerciali può essere proposta (facoltativamente) anche in sede di giudizio d’Appello?

Continua