Privacy violata e telefono spiato: quando spetta il risarcimento
Un telefono controllato di nascosto, un accesso non autorizzato all'email aziendale, dati personali diffusi da un ex partner o rivenduti da una società. Sono condotte che possono generare responsabilità sanzionatoria e risarcitoria. Vediamo quali strumenti offre l'ordinamento, quali termini rispettare e come muoversi in modo concreto per tutelare i propri diritti.
Il quadro: privacy, illecito civile e reato
La violazione della riservatezza si muove su tre piani distinti ma cumulabili. Il primo è amministrativo, con le sanzioni che il Garante per la protezione dei dati personali può irrogare per trattamenti illeciti. Il secondo è civile, con l'azione risarcitoria a favore di chi subisce un danno. Il terzo è penale, quando la condotta integra una fattispecie di reato.
Questi piani non si escludono. La sanzione del Garante non assorbe il diritto al risarcimento, così come un procedimento penale non impedisce l'azione civile per il danno.
Il risarcimento civile ex art. 82 GDPR
L'art. 82 del Regolamento UE 2016/679 (GDPR) riconosce il diritto al risarcimento a chiunque subisca un danno materiale o immateriale da un trattamento illecito. Attenzione, però: il danno non è automatico. Chi agisce deve allegarlo e provarlo in concreto, indicando in cosa consiste il pregiudizio (patrimoniale o non patrimoniale) e il nesso con la condotta contestata. La Corte di Giustizia UE ha ribadito che la semplice violazione delle norme, di per sé, non basta a far sorgere il diritto al risarcimento.
Sul termine per agire: trattandosi di responsabilità di natura extracontrattuale, si applica in via ordinaria la prescrizione quinquennale (art. 2947 c.c.). Il termine va comunque verificato in concreto in relazione alla natura del rapporto e al fatto specifico.
I profili penali: i riferimenti che contano
Quando qualcuno accede al telefono o alla casella di posta altrui senza autorizzazione, la condotta può integrare il reato di accesso abusivo a un sistema informatico o telematico (art. 615-ter c.p.). L'intercettazione o l'impedimento illecito di comunicazioni informatiche o telematiche è invece punito dall'art. 617-quater c.p.
Sul versante della disciplina dei dati, rileva il trattamento illecito di dati personali previsto dall'art. 167 del D.Lgs. 196/2003 (Codice della Privacy), che sanziona chi tratta dati in violazione delle regole per trarne profitto o arrecare danno.
Per i reati procedibili a querela occorre muoversi nei termini. La regola generale è di tre mesi dalla notizia del fatto (art. 124 c.p.). La riforma Cartabia (D.Lgs. 150/2022) ha ampliato l'area della procedibilità a querela e portato a sei mesi il termine per una serie di reati. Poiché la procedibilità dipende dalla fattispecie contestata, è opportuno verificare caso per caso quale termine si applichi, evitando di lasciarlo maturare.
Il controllo sul lavoro: art. 4 Statuto dei Lavoratori
Nel rapporto di lavoro il datore è titolare del trattamento dei dati dei dipendenti. I controlli a distanza tramite strumenti tecnologici sono disciplinati dall'art. 4 dello Statuto dei Lavoratori (L. 300/1970), che subordina l'installazione di impianti da cui derivi la possibilità di controllo all'accordo sindacale o all'autorizzazione dell'Ispettorato del lavoro.
Qui si colloca una distinzione di rilievo. I cosiddetti controlli difensivi in senso stretto — quelli mirati ad accertare condotte illecite già in atto, sospettate su base concreta e non genericamente volte a verificare la prestazione — restano secondo la giurisprudenza più recente fuori dal perimetro autorizzatorio dell'art. 4. Diverso è il controllo tecnologico sistematico e preventivo sull'attività lavorativa, che richiede le garanzie procedurali dello Statuto. La linea di confine è sottile e va valutata sul singolo caso: un controllo etichettato come "difensivo" ma esteso all'intera prestazione può risultare illegittimo, con conseguente inutilizzabilità delle prove raccolte.
Implicazioni pratiche
Per il dipendente, questo significa che non ogni monitoraggio è di per sé lecito, ma neppure ogni sospetto del datore giustifica un controllo indiscriminato. Per chi subisce condotte in ambito privato — ex partner, vicini, società che rivendono dati — restano aperte sia la via del reclamo al Garante sia quella risarcitoria e, ove ricorra un reato, la querela.
Cosa fare in concreto
- Documentare subito ogni elemento: screenshot, log di accesso, messaggi, testimonianze, indicando date e circostanze.
- Verificare i termini applicabili: tre o sei mesi per la querela a seconda della fattispecie; il termine prescrizionale per il risarcimento.
- Presentare reclamo al Garante per il profilo amministrativo, valutando in parallelo la strada civile e quella penale.
- Conservare i dispositivi e i supporti nello stato in cui si trovano, senza alterarli, per preservare il valore probatorio.
- Farsi assistere per inquadrare correttamente la fattispecie e impostare la richiesta risarcitoria, che va allegata e provata.
Disclaimer
Contributo informativo a cura di Tamburro & Partners - Avv. Giuseppe Tamburro. Non costituisce parere legale.
Ogni storia di lavoro ha i suoi tempi.
Se gestisci HR e vuoi un confronto su contenzioso, ispezioni o licenziamenti, scrivi allo studio. Ti rispondiamo entro un giorno lavorativo.