La Corte di Cassazione, con la sentenza 35256 del 18 dicembre 2023, ha precisato i profili di responsabilità, nel trattamento dei dati, di quei soggetti che trattano dati per conto del titolare ed assumono il ruolo di responsabile e sub-responsabile del trattamento dei dati.

La vicenda risale al 2021, quando il Garante della Privacy aveva comminato, con l’ordinanza del 22 luglio 2021, una somma complessiva di oltre un milione di euro ad un Comune capoluogo di Regione, in qualità di titolare, la società pubblica di trasporti quale Responsabile del trattamento e una società controllata da quest’ultima quale sub-fornitore, per non aver predisposto le tutele richieste dal Regolamento UE 679/2016 (anche GDPR) nei confronti degli automobilisti del territorio del Comune.

In sostanza, con riferimento alla gestione dei parcheggi e alla gestione del dato targa operata con i nuovi parcometri installati.

Il Garante ha rilevato numerose irregolarità tra cui, in particolare e per quanto di qui di interesse, la mancata nomina della società dei trasporti da parte del Comune, quale responsabile del trattamento (ai sensi dell’art. 28 GDPR) e la mancata indicazione di istruzioni su come trattare i dati raccolti.

Inoltre è stato accertato come nemmeno la società sub-fornitrice dei sistemi di gestione del parcheggio fosse stata incaricata formalmente ed istruita su come procedere al trattamento dei dati.

Come detto sia il titolare del trattamento, che il responsabile che il sub-responsabile sono stati sanzionati. Più precisamente il Titolare per 800.000,00 euro, il Responsabile del trattamento per 400.000,00 ed il subfornitore, di fatto sub-responsabile del trattamento, per 30.000,00.

Proprio quest’ultimo ha fatto ricorso avverso l’ordinanza ingiunzione dapprima avanti il Tribunale di Roma e poi, per l’appunto, avanti la Cassazione.

La decisione della suprema Corte, pubblicata il 18 dicembre 2023, consente di rimarcare alcune misure che devono essere adottate dalle Pubbliche Amministrazioni nella definizione delle catene di responsabilità nel trattamento dei dati.

La decisione della Corte di Cassazione

Proprio il subfornitore infatti ha impugnato la decisione del Tribunale di Roma che aveva confermato la sanzione comminata dal Garante.

La Corte di Cassazione ha invece ribadito che il trattamento dei dati in difetto della nomina a sub-responsabile (come lo sarebbe quello a Responsabile del trattamento dei dati), ha costituito una violazione degli articoli 5, 6 e 30 del GDPR e che, in definitiva, in assenza di detta nomina il trattamento deve essere considerato privo di condizioni di liceità. Pertanto anche se la nomina è stata disposta successivamente alla sottoscrizione del contratto, il trattamento dei dati sino al momento della nomina era da considerarsi illecito.

La Cassazione ha inoltre confermato che il semplice contratto di servizio stipulato come sub-appalto con l’appaltatrice non era sufficiente a determinare la designazione a sub-responsabile del trattamento.

Sull’obbligo di tenuta del registro dei trattamenti, poi, la Corte ha ugualmente riconosciuto l’obbligo in capo alla società ricorrente, non potendosi esimere anche se con dipendenti inferiori ai 250 in quanto i trattamenti dei dati erano massivi e, quindi, si rientrava pienamente nelle ipotesi previste dall’articolo 30 del GDPR, che prevede ipotesi alternative e non cumulative di obbligo di tenuta dei registri.

Le conseguenze operative applicabili

Dall’esame, per quanto succinto, della decisione della Corte di Cassazione, si possono dedurre le seguenti regole operative:

• Il difetto di nomina a responsabile ai sensi dell’art. 28 del regolamento è, sostanzialmente, insanabile e rende il trattamento dei dati illecito per difetto di condizione di liceità. Questo significa che l’ente, contestualmente alla sottoscrizione di un contratto di appalto o concessione con l’operatore economico terzo che debba trattare i dati per conto dell’Ente, deve contestualmente sottoscrivere (comunque prima dell’avvio del servizio e quindi del trattamento dei dati) il contratto di designazione a Responsabile del contratto.
• L’omissione della sottoscrizione comporta una responsabilità sia dell’Ente titolare del trattamento che del responsabile del trattamento dei dati, entrambi sottoposti a sanzione amministrativa in caso di trattamento illecito senza la designazione.
• L’organigramma privacy deve essere correttamente tracciato ed adeguatamente impostato in sede di impostazione della privacy by design. Conseguentemente deve essere indicato nell’atto di designazione a Responsabile del trattamento che l’appaltatore o concessionari debba comunicare al Titolare se si affida ad un soggetto che terzo che a propria volta (come nel caso esaminato dalla Cassazione), tratti i dati in esecuzione del contratto principale.