Basta commissionare una app, anche senza aver mai visto un dato, per diventare titolari del trattamento e rischiare le sanzioni privacy anche per le operazioni svolte dal fornitore. È questa la corretta interpretazione del Gdpr secondo la sentenza del 5/12/2023, causa C-683/21, della Corte di giustizia dell'Ue.
Chiedere lumi al Dpo fa sempre bene al titolare del trattamento. Anche solo per abbassare l’importo della sanzione per violazione della normativa sulla protezione dei dati. Ma qual è il ruolo del Data Protection Officer? A ben vedere, in effetti, il Dpo si mette sempre in gioco e rischia, al di là di quanto gli competa, di diventare una posizione di garanzia o, altrimenti detto, un parafulmine. Sullo sfondo, il Considerando 77 del Gdpr, neppure tanto di sottecchi, ormai allunga la sua ombra: un “Considerando” che dota il Dpo di super poteri, ma che poi lo colloca su un piedistallo scivoloso; un “Considerando” che mette l’acceleratore a una priorità assoluta e cioè avere un repertorio delle “indicazioni del Dpo” per specifici settori.
Le imprese possono dribblare le responsabilità privacy quando le violazioni sono commesse dai dipendenti che abusano della loro posizione ed eccedono le loro mansioni. Ma per arrivare a questo risultato la strada è in salita e, comunque, ci vogliono apposite clausole nelle nomine dei dipendenti come autorizzati al trattamento, nelle informative rese agli stessi e nelle istruzioni e policy aziendali.
Nonostante l’arrivo “lungo” - era collegato al recepimento della IV direttiva antiriciclaggio dell’estate 2017 - l’imminente decreto del Mef, di concerto con il Mise, sul «Registro della titolarità effettiva delle imprese dotate di personalità giuridica, delle persone giuridiche private, dei trust e degli istituti e soggetti giuridici affini», non risolve tutti i problemi e i potenziali conflitti su un campo di gioco delicatissimo per definizione. Trasparenza del sistema finanziario e privacy dei suoi protagonisti, del resto, sono da sempre poli opposti del dibattito pubblico. La sintesi trovata dal regolatore non sembra però soddisfare le aspettative della platea, molto differenziata, dei destinatari.
Da un’indagine della Guardia di finanza emergeva che undici schede telefoniche fossero state intestate a cinque ignari cittadini in spregio della normativa che ne richiede l'obbligo di identificazione dell'assegnatario dell'utenza e l'obbligo di rendere agli interessati le informazioni relativamente al trattamento dei dati personali.
La qualificazione dei soggetti esterni destinatari di dati personali e la corretta individuazione del ruolo soggettivo loro attribuito è un processo complesso, che implica verifiche mirate e che continua a presentare non poche criticità. Nello svolgimento delle attività di trattamento che gli sono proprie, infatti, il titolare del trattamento si trova a dover comunicare i dati personali dell’interessato a diverse categorie di soggetti, o a doverli condividere con gli stessi:
Rebus sanzioni privacy in caso di estinzione della persona giuridica che ricopre il ruolo di titolare del trattamento. In materia di privacy la responsabilità delle sanzioni va attribuita, infatti, al titolare del trattamento e, quindi, quando si parla di un ente, all'ente stesso. Questa regola è seguita dalla giurisprudenza civile (si veda per esempio la Corte di cassazione, con le ordinanze n. 18292/2020 e n. 8184/2014 o, ancora la pronuncia n. 13657/16). Con esse si statuisce che, in materia di privacy, si deroga al principio della imputabilità personale della sanzione e si configura un'autonoma responsabilità della persona giuridica. Cioè risponde l'ente e non un trasgressore persona fisica.
Il recente provvedimento sanzionatorio dell’Autorità Garante per la Protezione dei dati personali (Provv. 10 Febbraio 2022 – registro dei provvedimenti n.50 – doc. web 9751362) emesso nei confronti della società statunitense Clearview AI offre diversi spunti di riflessione sull’applicazione del Regolamento (UE) 2016/679. Tra questi meritevole di attenzione è il tema della titolarità del trattamento di dati.
Outsourcing in linea con la privacy. Quando un'azienda esternalizza i propri servizi deve preoccuparsi di stendere un contratto con il fornitore esterno, che diventa un responsabile del trattamento. Attenzione, stendere il contratto è obbligatorio, altrimenti si rischia fino a 10 milioni di euro di sanzione pecuniaria amministrativa (articolo 83 regolamento Ue sulla privacy n. 2016/679 o Gdpr). Insomma quando i dati personali passano da un'impresa a un'altra o a un ente pubblico occorre capire se si può fare e a che condizione si può fare.
Rispondendo a 16 quesiti è possibile individuare chi è titolare e chi è responsabile del trattamento. È un dubbio che crea incertezze e contenzioso, anche a fronte della vaghezza dei parametri giuridico e della non esaustività delle indicazioni interpretative. Così se non c’è nessun problema nel caso in cui il soggetto è identificato titolare/responsabile da una norma o dall’Autorità di controllo, una relativa certezza (nel senso della titolarità del trattamento) c’è quando la legge affida a un determinato soggetto il compito, o imponga l'obbligo, a qualcuno, di raccogliere e trattare certi dati. La check-list nella Circolare 3/2019 di Federprivacy.
