Una societa', tramite il suo sito, raccoglieva nome, cognome ed email dei clienti senza richiedere uno specifico ed esplicito consenso. 

La Guardia di Finanza riscontrava, nel corso di una ispezione per motivi fiscali, che la societa' raccoglieva i dati personali dei clienti attraverso la compilazione di una scheda comprendente il cognome, il nome e l'indirizzo mail. Questi dati "venivano trattati/conservati su supporto informatico del sito ..., creando un archivio". Gli interessati, a cui non veniva richiesto uno specifico ed esplicito consenso al trattamento dei dati, risultavano in seguito potenziali destinatari di "newsletters" a tale indirizzo e-mail, con conseguente sanzione amministrativa.

La Societa' impugnava l'ordinanza poiche' a sua giudizio "le persone che avevano fornito i loro dati personali lo avevano fatto volontariamente e spontaneamente, dimostrando così di fornire un consenso implicito al trattamento dei dati personali". 

Il Garante contestava tale interpretazione chiedendo il rigetto dell'opposizione. 

Il Tribunale rigettava l'opposizione per cui la societa' ricorreva in Cassazione sostenendo tra l' altro che il Tribunale aveva omesso di valutare la distinzione legale tra dati "personali" e dati meramente "identificativi", in quanto solo per i primi erano richiesti gli adempimenti previsti dalla norma

La Cassazione (ordinanza n. 17665-2018) respingeva questa tesi agomentando: "Premesso che la definizione di "dato personale" è molto ampia (contemplando qualsiasi informazione che consenta di identificare una persona fisica) e comprende senz'altro il nome, il cognome e l'indirizzo di posta elettronica, a ben vedere il concetto di "dato identificativo" non va tenuto distinto da quello di "dato personale", rappresentando una species all'interno del genus principale. Invero, mentre il "dato personale" è quel dato che consente di identificare, anche indirettamente una determinata persona fisica, i "dati identificativi" sono dati personali che permettono tale identificazione direttamente. 

In tale prospettiva si è infatti chiarito che (Cass. n. 1593/2013) ai sensi dell'art. 4 del d.lgs. 30 giugno 2003, n. 196, "dato personale", oggetto di tutela, è "qualunque informazione" relativa a "persona fisica, giuridica, ente o associazione", che siano "identificati o identificabili", anche "indirettamente mediante riferimento a qualsiasi altra informazione". 

Nella nozione de qua sono stati fatti pacificamente rientrare dalla giurisprudenza di questa Corte (Cass. n. 17143/2016) anche i dati personali presenti nelle banche dati costituite sulla base degli elenchi telefonici pubblici, per la cui utilizzazione è prescritta la previa informativa di cui all'art. 13 del d.lgs. n. 196 del 2003 (cd."codice della privacy") per l'acquisizione del consenso degli interessati all'utilizzazione dei dati di loro pertinenza (Cass. n. 14326/2014, circa la necessità dell'informativa preventiva, per l'invio di un fax promozionale ad un numero estratto dagli elenchi telefonici). Appare quindi confermata la riconduzione nel novero dei dati personali di cui all'art. 4 per i quali si impone la preventiva informativa di cui all'art. 13, anche del nome e del cognome dell'interessato nonché dell'indirizzo di posta elettronica, dati raccolti appunto dalla ricorrente, sicché risulta priva di fondamento la tesi sostenuta da parte ricorrente circa l'inapplicabilità alla fattispecie della previsione di cui all'art. 13 I. n. 196/2003".

Daniele Zamperini