Omessa informativa privacy? La sanzione è dietro l’angolo

Nonostante si riferisca alla sanzione dell’articolo 161 Codice privacy (in materia di “Omessa o inidonea informativa all'interessato”), la sentenza che esaminiamo mantiene i suoi tratti di interesse anche in vigenza del GDPR e anzi ci offre utili spunti di riflessione.

L’omessa informazione sul trattamento dei dati comporta infatti palese violazione del principio di trasparenza di cui all’articolo 5 del Regolamento UE privacy.

 

1. Il caso in esame

Nel caso di specie una impresa aveva intestato interi lotti di schede a clienti ignari, i cui dati erano stati raccolti senza informativa.

Il Garante pertanto aveva sanzionato detta pratica con ordinanza di ingiunzione, che, su opposizione dell’impresa, veniva annullata dal Tribunale di Padova. Secondo quest’ultimo l’Autorità aveva erroneamente esteso la norma che sanziona la sola ipotesi della raccolta dei dati senza informativa (prevista dall’articolo 161 in relazione all’articolo 13, obbligo di informativa), all’utilizzo dei dati stessi.

Il Garante ha, quindi, proposto ricorso per Cassazione contro la sentenza del Tribunale di Padova, ritenendo che non aveva tenuto conto del verbale di contestazione della Guardia di finanza sugli interi lotti di schede telefoniche intestate a persone del tutto ignare e che, quindi, i dati personali dei clienti non erano stati raccolti ed utilizzati con il consenso degli interessati, in violazione degli articoli 4, 13 e 161 del Decreto Legislativo n. 196 del 2003.

 

2. Decisione della Cassazione in merito all'omessa informativa privacy

Secondo la Suprema Corte dal verbale di contestazione elevato dalla Guardia di finanza emerge che:

“oggetto di contestazione alla società resistente è stata l’avvenuta intestazione a persone del tutto ignare di numerosissime schede telefoniche e che quindi, pare del tutto logica la contestazione dell’avvenuta violazione del Decreto Legislativo n. 196 del 2003, articoli 161 e 13, atteso che non è dubitabile che l’assunzione del dato personale, poi utilizzato per la intestazione delle schede telefoniche, sia avvenuta senza la previa informazione di cui all’articolo 13 citato”.

La Cassazione, quindi, ha ritenuto corretto, nel caso di specie, l’applicazione degli articoli 161 e 13 del Codice privacy, in quanto con l’utilizzo del dato da parte dell’azienda (senza informare il cliente) è indiscutibile il fatto che l’uso stesso sia stato preceduto da una raccolta, in tal caso senza informativa.

Dunque, ha proseguito la Corte, la contestazione dell’indebito utilizzo dei dati personali ha per presupposto l’accertamento dell’avvenuta acquisizione di quei dati in difetto della obbligatoria informazione da parte del responsabile del trattamento, il quale aveva l’onere di dimostrare di aver fornito la dovuta informativa a tutti i soggetti i cui dati sono stati acquisiti e poi utilizzati a loro insaputa.

Pertanto, la Cassazione cassa la decisione del Tribunale di Padova in quanto era fondata sul presupposto per cui l’Autorità aveva erroneamente sanzionato l’impresa per la condotta di utilizzo dei dati senza la dovuta informativa ai sensi dell’articolo 13 e non per la raccolta dei dati personali dei clienti senza l’obbligatoria informazione.

Del resto la Cassazione ricorda che, ai sensi dell’abrogato articolo 4 del menzionato Decreto Legislativo, il trattamento ricomprende: qualunque operazione o complesso di operazioni, effettuati anche senza l’ausilio di strumenti elettronici, concernenti la raccolta, la registrazione, l’organizzazione, la conservazione, la consultazione, l’elaborazione, la modificazione, la selezione, l’estrazione, il raffronto, l’utilizzo, l’interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati, anche se non registrati in banca dati.

La Suprema Corte afferma che la contestazione della mancata informativa di cui all’articolo 13, non può ritenersi esclusa per il fatto che il dato sia stato utilizzato, in considerazione del fatto che l’utilizzazione presuppone la raccolta dello stesso nelle dovute forme stabilite dall’articolo 13, e quindi nel rispetto dell’obbligo della necessaria informativa.

Pertanto, per i suesposti motivi, la Cassazione ha cassato la sentenza e rinviato la causa per un nuovo esame al Tribunale di Padova.

Per completezza ricordiamo che la definizione di trattamento del GDPR è del tutto analoga a quella del nostro Codice, ora abrogato.

L’articolo 4, punto 2), stabilisce infatti che è trattamento qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione.