Titolare Del Trattamento

Un Ente Previdenziale è stato multato per 300.000 euro dall'Autorità Garante per la privacy. L'accusa era di aver violato il principio di minimizzazione dei dati durante i controlli sul 'bonus covid'. L'Ente aveva incrociato i dati di tutti i richiedenti, anche quelli con domanda respinta, con elenchi di titolari di cariche politiche per verificare incompatibilità. L'Autorità riteneva questo un trattamento eccessivo. La Corte di Cassazione ha però annullato la multa, dando ragione all'Ente. Ha stabilito che il metodo era giustificato dall'interesse pubblico a controlli rapidi ed efficaci in un contesto di emergenza, bilanciando la privacy con la necessità di prevenire frodi. Il trattamento di dati, anche su larga scala, è stato quindi ritenuto legittimo.

Un cittadino chiede a una banca l'accesso ai dati personali che lo riguardano, ma non riceve risposta. In tribunale, la banca nega di possedere i suoi dati e il giudice dà torto al cittadino, affermando che avrebbe dovuto provare l'esistenza di tali dati. La Corte di Cassazione ribalta la decisione: l'obbligo di rispondere a una richiesta di accesso ai dati personali spetta sempre all'azienda che la riceve. L'azienda deve rispondere entro un mese, anche solo per dire che non possiede alcun dato. L'onere della prova è a carico dell'azienda, non del cittadino.

La Corte di Cassazione ha stabilito un principio chiave sul consenso per email marketing. Un'azienda inviava comunicazioni promozionali a utenti che si erano solo registrati al sito per una prova gratuita, senza concludere un acquisto. L'azienda sosteneva che ciò fosse lecito come 'soft spam'. La Cassazione ha respinto questa tesi, chiarendo che l'eccezione del soft spam si applica solo ai clienti paganti, nel contesto di una vendita già perfezionata. Per i semplici utenti registrati o in prova, il consenso esplicito è sempre necessario. Di conseguenza, l'operato dell'azienda è stato giudicato illegittimo e il suo ricorso è stato rigettato.

La Corte di Cassazione, con l'ordinanza n. 26969/2023, ha chiarito un punto cruciale in materia di privacy: un'impresa di trasporti diventa titolare del trattamento dei dati di geolocalizzazione dei propri veicoli nel momento in cui le vengono fornite le credenziali di accesso al sistema, anche se non le utilizza mai. La mera disponibilità del potere decisionale sui dati è sufficiente per assumere tale qualifica e i relativi obblighi, ribaltando la decisione del tribunale di merito che aveva escluso la responsabilità della società.

Un ente pubblico viene condannato per aver pubblicato online per errore dati relativi al pignoramento dello stipendio di una dipendente. La Corte di Cassazione conferma la condanna, specificando che per il risarcimento danno privacy è necessaria una lesione seria e concreta del diritto alla riservatezza. L'errore umano del dipendente non esonera dalla responsabilità il titolare del trattamento, il quale può liberarsi solo fornendo la prova, molto rigorosa, che l'evento dannoso non gli sia in alcun modo imputabile.

A seguito di un data breach che ha permesso l'accesso non autorizzato a Fascicoli Sanitari Elettronici, la Corte di Cassazione ha chiarito la figura del titolare del trattamento. L'ordinanza stabilisce che l'ente pubblico che istituisce il sistema e ne determina le finalità e i mezzi di accesso (in questo caso la Provincia Autonoma) è il titolare del trattamento per le attività di autenticazione e accesso, e quindi responsabile della violazione, distinguendo il suo ruolo da quello dell'Azienda Sanitaria, titolare per le finalità di cura.

La Corte di Cassazione ha stabilito l'illegittimità del trattamento dati sanitari effettuato da un'azienda sanitaria locale. L'azienda aveva elaborato, tramite un algoritmo, i dati di migliaia di pazienti estratti dal Fascicolo Sanitario Elettronico per creare elenchi di soggetti vulnerabili. La Corte ha chiarito che il consenso prestato dal paziente per la consultazione del proprio FSE a fini di cura è strettamente individuale e non può essere esteso a operazioni di 'stratificazione statistica' su larga scala. Tale trattamento dati sanitari, che esula dalla finalità originaria, richiede una base giuridica autonoma e specifica, non ravvisabile nel semplice stato di emergenza pandemica. La Corte ha inoltre ribadito l'obbligo di effettuare una valutazione d'impatto (DPIA) per trattamenti così rischiosi.

Un cittadino ha impugnato una decisione del Garante Privacy, ritenendo troppo blanda la sanzione (un ammonimento) inflitta a un istituto sanitario per un ritardo nella fornitura dei suoi dati. Il Tribunale di Roma ha rigettato il ricorso, confermando che il ritardo, pur essendo una violazione, può essere classificato come 'minore' quando si tratta di un caso isolato, non vengono lamentati danni specifici e il titolare del trattamento coopera. La sentenza chiarisce l'importanza del principio di proporzionalità nell'applicazione delle sanzioni GDPR e la distinzione tra diritto di accesso dati GDPR e accesso ai documenti amministrativi.