Contratto di agenzia e adempimenti privacy

Il contratto di agenzia e gli adempimenti privacy dell’agente: la responsabilità solidale tra responsabile e titolare del trattamento.

1. Il contratto di agenzia: gli interventi del giudice europeo e nazionale

Dal punto di vista normativo, il contratto di agenzia deve essere necessariamente provato per iscritto ai sensi dell’art. 1742 c.c. ^[1], ed è lo strumento a cui fa frequentemente ricorso l’imprenditore (preponente) per la distribuzione e la promozione dei suoi prodotti verso la potenziale clientela, affidando all’agente l’incarico per il “procacciamento” di contratti con terzi in una specifica zona territoriale. Quest’ultimo, almeno di regola, non è chiamato a stipulare direttamente i contratti con i clienti per conto dell’imprenditore, ma si limita a trasmettere gli ordini che riceve nella specifica zona di sua competenza; inoltre, sia l’agente che il preponente hanno il diritto di esclusiva, ex art. 1743 c.c., non consentendo al primo, di assumere molteplici incarichi di diverse aziende in concorrenza tra loro, mentre l’imprenditore non può nominare altri agenti nella medesima zona.
La retribuzione dell’agente, ai sensi dell’art. 1748 c.c., è costituita da una provvigione sugli affari conclusi e può essere chiamato a restituirla soltanto nel caso in cui sia certo che il contratto in questione non avrà esecuzione per causa non imputabili al preponente; tuttavia, è nullo qualsiasi patto più sfavorevole all’agente ^[2].
Dal punto di vista giurisprudenziale, la Cassazione ha precisato che per gli affari promossi o conclusi dall’agente, spetterà a quest’ultimo la provvigione come compenso ^[3] e, con sentenza n. 16432 del 27 settembre 2012 ^[4], che la provvigione è dovuta anche per gli affari conclusi direttamente dal preponente che devono avere esecuzione nella zona riservata all’agente, salvo che sia diversamente pattuito ai sensi dell’art. 1748 c.c., e per gli affari conclusi anche dopo lo scioglimento del contratto di agenzia se è l’effetto della sua attività.
In rapporto agli obblighi dell’agente, questi sono espressamente sanciti negli artt. 1746 e 1748 c.c., ricomprendendo l’obbligo di lealtà, la buona fede nel curare gli interessi del preponente, informarlo sulle condizioni del mercato nella zona assegnatagli a la conformità alle istruzioni ricevute; diversamente, gli obblighi dell’imprenditore sono sanciti nell’art. 1749 ^[5] c.c.
Inoltre, la durata del contratto di agenzia può essere sia a tempo determinato che indeterminato, ai sensi dell’art. 1750 c.c., e, alla cessazione del rapporto, l’agente può avere diritto ad un’equa indennità, secondo le misure previste nell’art. 1751 c.c.
Sebbene l’art. 9 della legge n. 204 del 3 maggio 1985 aveva previsto che gli agenti dovessero iscriversi obbligatoriamente ad un “ruolo” istituito presso ciascuna camera di commercio e l’orientamento giurisprudenziale dell’epoca aveva stabilito che i non iscritti stipulavano contratti invalidi, la Corte di Giustizia europea ^[6] ha dichiarato, poiché la normativa nazionale era in contrasto con la Direttiva 86/635/CE ^[7], che per la mancata iscrizione ad un albo si possono applicare soltanto sanzioni amministrative, e non si può incidere sulla validità del contratto stipulato ^[8].

2. Gli adempimenti privacy dell’agente: i suoi obblighi nei confronti del titolare del trattamento

Prima di analizzare gli adempimenti privacy ^[9] dell’agente nei confronti del preponente è importante soffermarsi su alcune definizioni, espressamente sancite nell’art. 4 del Regolamento 679/2016 ^[10], secondo cui: per responsabile esterno, in questo caso l’agente/agenzia è «una qualsiasi persona fisica o giuridica che tratta dati personali per conto del titolare del trattamento», mentre il preponente assume le “vesti” di titolare del trattamento  inteso come «qualsiasi persona fisica o giuridica che determina le finalità e i mezzi del trattamento di dati personali dei propri utenti»; più precisamente è colui che stabilisce “perché” e “come” devono essere trattati i dati personali raccolti.
Per questo motivo deve sottoscrivere un contratto ad hoc, il c.d. Data processing agreement o atto di nomina del responsabile, ex art. 28 del Regolamento 679/2016, in cui sono indicati i requisiti minimi contrattuali, tra cui la durata del trattamento, la natura e la finalità del trattamento, il tipo di dati personali e le categorie di interessati, gli obblighi e i diritti del titolare del trattamento.
Diversamente, per quanto riguarda gli obblighi dell’agente nei confronti del titolare del trattamento sono i seguenti:
–    trattare i dati personali solo su istruzione documentata del cliente. Conseguentemente, deve attenersi rigorosamente alle istruzioni di trattamento fornite dal cliente e, una volta terminata la prestazione dei servizi relativi al trattamento, l’agenzia dovrà cancellare o restituire i dati personali al cliente, a seconda della scelta effettuata da quest’ultimo;
–    i dati personali vanno trattati con la massima riservatezza, attraverso personale autorizzato, tenuto a suddetto obbligo;
–    garantire l’adozione di tutte le misure di sicurezza richieste;
–    assistere e cooperare con il cliente nel dare seguito alle richieste di esercizio dei diritti da parte degli utenti;
–    assistere il cliente negli obblighi derivanti da un data breach ^[11] con una valutazione di impatto o in sede di consultazione preventiva presso la competente autorità garante;
–    mettere a disposizione del cliente tutte le informazioni in proprio possesso e che sono necessarie per dimostrare la conformità di quest’ultimo agli obblighi di legge.

Potrebbero interessarti anche

• La responsabilità precontrattuale per vizi informativi tra imprenditore e agente
• Contratto di agenzia: profili operativi tra diritto nazionale ed europeo

3. Il profilo di responsabilità civile nel trattamento dei dati personali: il principio di accountability

Con l’abrogazione dell’art. 15 del codice della privacy, con il D.Lgs. n. 101/2018, la norma principale sulla responsabilità civile nel trattamento dei dati personali e sul conseguente risarcimento è l’art. 82 del GDPR secondo il quale: «Chiunque subisca un danno materiale o immateriale causato da una violazione del presente regolamento ha il diritto di ottenere il risarcimento del danno dal titolare del trattamento o dal responsabile del trattamento. 2. Un titolare del trattamento coinvolto nel trattamento risponde per il danno cagionato dal suo trattamento che violi il presente regolamento. Un responsabile del trattamento risponde per il danno causato dal trattamento solo se non ha adempiuto gli obblighi del presente regolamento specificatamente diretti ai responsabili del trattamento (art. 28 Regolamento) o ha agito in modo difforme o contrario rispetto alle legittime istruzioni del titolare del trattamento ^[12]».
Con questa modifica normativa, possiamo constatare una configurazione ben definita della figura del soggetto danneggiante, che deriva dal c.d. principio di accountability ^[13], connesso ad una più efficace gestione del rischio, a causa della maggiore complessità del trattamento dei dati; inoltre, nel caso in cui vi sia un responsabile che effettui il trattamento per conto del titolare, questo deve essere individuato solo tra i soggetti che prestino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate, per prevenire il danno ^[14].
Tuttavia, il titolare o l’agente/agenzia possono essere esonerati dalla responsabilità solo se riescono a dimostrare che il danno non è a loro imputabile e, nel caso lo sia, sussiste la responsabilità solidale, al fine di garantire il risarcimento all’interessato. Conseguentemente, nel caso di più responsabili del trattamento con titolare, il soggetto che ha risarcito per intero per primo, ha diritto di richiedere agli altri titolari un risarcimento corrispondente alla loro parte di responsabilità.
In relazione alla ripartizione interna della responsabilità si dovrà verificare se il mancato rispetto da parte del responsabile di obblighi posti a suo carico o delle legittime istruzioni del titolare sia dovuto anche a una condotta di quest’ultimo e, nel caso in cui, diversamente il titolare ha posto il responsabile nella posizione di rispettare tutti gli obblighi a suo carico, si potrà rivalere per l’intero sul responsabile.
Per quanto riguarda i presupposti della risarcibilità del danno non patrimoniale, determinato dalla lesione del diritto fondamentale alla protezione dei dati personali tutelato rispettivamente dagli artt. 2 e 21 Cost. ^[15], nonché dall’art. 8 della CEDU ^[16], questi consistono nella: gravità della lesione, intesa nella violazione delle prescrizioni poste a tutela dei dati personali ingiustificato, offendendo in maniera sensibile la portata del diritto stesso, e la serietà del danno, quale perdita di natura personale effettivamente patita dall’interessato ^[17].

4. L’esclusione degli agenti/outsourcer come titolari del trattamento: il provvedimento n. 230 del 15 giugno 2011 del Garante della Privacy

Il Garante per la protezione dei dati personali, con provvedimento n. 230 del 15 giugno 2011 non ha riconosciuto l’autonoma titolarità nel trattamento di dati personali per gli agenti di alcune società che agiscono in carenza dei seguenti imprescindibili presupposti:
–    i contatti a carattere promozionale sono effettuati in nome, comunque per conto e nell’interesse della società preponente; con l ́effetto che negli interessati si ingenera un legittimo affidamento, dal momento che essi percepiscono di essere destinatari di iniziative pubblicitarie condotte direttamente dalla società per conto della quale viene formulata la proposta di vendita di prodotti o servizi;
–    i preponenti forniscono agli agenti dettagliate istruzioni sulle finalità del trattamento, sui mezzi da impiegare per il conseguimento di tali finalità e sui compiti assegnati, che sono specificamente e rigorosamente definiti;
–    gli agenti sono, inoltre, contrattualmente tenuti anche al rispetto della normativa vigente in materia di privacy;
–    il mandato, spesso con rappresentanza, di volta in volta conferito vincola l’agente alla presentazione di offerte ed alla conclusione di contratti in nome, comunque per conto del preponente utilizzando, peraltro, la modulistica predisposta da quest’ultimo. Tali modalità sono strettamente connesse ai concetti giuridici di “procura” e di “delega”, con ogni riflesso anche in ordine alla ripartizione delle responsabilità in materia di trattamento dei dati personali;
–    agli agenti vengono fornite, per il tramite di circolari informative ovvero di incontri, convention, istruzioni etc., anche le specifiche indicazioni operative da seguire per lo svolgimento dell’attività di marketing, spesso aggiornate con riferimento alle nuove modalità connesse all ́entrata in vigore del Registro pubblico delle opposizioni;
–    a seguito dell’intervento dell’Autorità, con il dichiarato fine di evitare futuri, indesiderati contatti telefonici o via telefax verso i segnalanti, i preponenti, nella quasi totalità dei casi, hanno provveduto ad inserire quei nominativi e le connesse utenze telefoniche all ́interno di una propria black list a disposizione delle strutture anche esterne alle società (gli outsourcer) ^[18].