Il trattamento illecito di dati personali e sensibili, anche se commesso su richiesta o per conto di terzi, comporta la responsabilità risarcitoria ai sensi dell'art. 15 del d.lgs. n. 196/2003, a carico di chiunque abbia materialmente effettuato tale trattamento, a prescindere dalla sua qualifica formale di "titolare" del trattamento. Tuttavia, perché tale responsabilità possa essere affermata, è necessario che il danneggiato alleghi e provi l'evento di danno e il nesso di causalità tra l'attività illecita di trattamento e il pregiudizio subito, mentre grava sull'autore dell'illecito l'onere di dimostrare di aver adottato tutte le misure idonee ad evitare il danno. L'utilizzo improprio dei dati personali acquisiti illecitamente non deve essere necessariamente dimostrato attraverso specifici atti o comportamenti, essendo sufficiente che il danneggiato provi l'avvenuto trattamento abusivo, salvo che il responsabile non dimostri che i dati non sono stati in alcun modo utilizzati. Il dies a quo per la decorrenza della prescrizione del diritto al risarcimento del danno non patrimoniale derivante dal trattamento illecito dei dati personali coincide con il momento in cui il fatto dannoso diviene conoscibile dall'avente diritto, non rilevando eventuali impedimenti di mero fatto al decorso della prescrizione. Perché l'atto interruttivo della prescrizione, quale la messa in mora, sia valido è necessario che contenga l'indicazione dell'importo richiesto e una espressa intimazione di pagamento.