Trattamento dei dati personali: profili evolutivi della responsabilità dal "Right to privacy" al Regolamento UE 2016/679

Sotto il profilo soggettivo abbiamo già accennato alla ripartizione dell’onere probatorio previsto dalla normativa in commento. Rimane da indagare, sempre sotto il profilo soggettivo, l’ambito della legittimazione attiva e passiva.
Sotto il primo aspetto, qualsiasi persona fisica può essere lesa nel corso di un trattamento di dati personali e può pertanto chiedere il risarcimento del danno ai sensi dell’art. 15 Codice Privacy, rivolgendosi all’Autorità Giudiziaria ordinaria, competente in materia. Nulla vieta, in via preliminare, di ricorrere ex art. 145 comma 1 Codice Privacy al Garante per ottenere la cessazione del comportamento illegittimo, anche in via cautelare (art. 150 comma 1).
Sotto il profilo della legittimazione passiva, invece, l’art. 15 comma 1, statuisce la responsabilità di chiunque cagioni danno ad altri per effetto del trattamento dei dati personali; l’ampia portata della norma richiamata ha aperto un dibattito in merito all’effettiva portata della dettato normativo.
Infatti, secondo parte della dottrina essa non limita il novero dei soggetti responsabili al titolare o al responsabile del trattamento, ben potendo investirne altri come qualunque soggetto che si trovi ad aver accesso alla banca dati o che sia in grado di diffondere questi dati e di darne conoscenza. Inoltre, nell’ipotesi di cessione di dati personali, dal momento che anche la cessione è un aspetto del trattamento, il cedente è tenuto a risarcire i danni derivanti dalla cessione non conforme al dettato legislativo, configurandosi una responsabilità solidale del cessionario. Da ultimo si è sostenuta in dottrina anche la responsabilità degli incaricati del trattamento.
Al di là della interpretazione più o meno estesa che si vuole abbracciare, un dato rimane fermo; nella maggioranza dei casi, obbligati al risarcimento saranno il titolare o il responsabile, mentre difficilmente l’incaricato del trattamento sarà chiamato a rispondere del danno. Inoltre, tali soggetti ben possono essere enti pubblici e, in caso di trattamento non legittimo, nulla fa ritenere che non sia applicabile l’ordinaria responsabilità del Codice Privacy. Dunque, nel caso in cui un soggetto pubblico violi le disposizioni contenute nella legge, dovrà risponderne ai sensi dell’art. 2050 c.c. e, ove sia stato cagionato un danno non patrimoniale, ai sensi dell’art. 15 comma 2 Codice Privacy.