Privacy, autonoma responsabilità della persona giuridica in qualità di titolare del trattamento

Privacy - Privacy del lavoratore - Utilizzo di sistema di rilevamento biometrico dell'impronta digitale - Comunicazioni e notifiche al Garante - Obbligo della società datrice di lavoro - Responsabilità - Qualità di titolare del trattamento - Configurabilità
Legittima la sanzione amministrativa del Garante alla società che utilizzi un sistema di rilevamento biometrico dell'impronta digitale, al fine di registrare le presenze giornaliere dei propri dipendenti, integrante trattamento di dati biometrici, al di fuori dei casi di esonero prescritti, in assenza di presentazione di istanza della società di verifica preliminare ai sensi dell'art.17 d.lgs. 196/2003 e di notifica al Garante ai sensi degli artt.37 e 38 della stessa legge a nulla rilevando la giustificazione che si trattava di upgrade gratuita da parte della società venditrice, in quanto gravano esclusivamente sulla prima, in qualità di datore di lavoro titolare del trattamento ai sensi dell'art.4, comma 2, lett.f) e 28 del Codice (e dal Reg. UE n. 679/2016, in vigore nel maggio 2018 e non applicabile alla fattispecie), le «esigibili determinazioni in ordine al trattamento dei dati personali dei propri dipendenti» e, in tema di sanzioni amministrative, è sufficiente l'accertamento della volontarietà e consapevolezza della condotta, nella specie omissiva, almeno sub specie di colpa, da presumersi, essendosi la società comunque determinata a farne uso senza procedere alla richiesta di verifica preliminare ed alle necessarie notifiche al Garante.
• Corte di Cassazione, Sezione 1 Civile, Ordinanza 6 marzo 2023 n. 6642

Dati personali - Titolare del trattamento - In caso di persona giuridica - Individuazione - Responsabilità - Natura - Colpa di organizzazione - Definizione.
In tema di protezione dei dati personali, ai sensi dell'art. 28 del d.lgs. n. 196 del 2003 il titolare del trattamento è la persona giuridica e non il suo legale rappresentante o l'amministratore, venendo in rilievo un'autonoma responsabilità in deroga al principio dell'imputabilità personale della sanzione di cui alla l. n. 689 del 1981. Tale responsabilità è fondata sul concetto di "colpa di organizzazione", da intendersi, in senso normativo, come rimprovero derivante dall'inosservanza da parte dell'ente dell'obbligo di adottare le cautele, organizzative e gestionali, necessarie a prevenire la commissione degli illeciti.
• Corte di Cassazione, Sezione 2 Civile, Ordinanza 3 settembre 2020, n. 18292

Dati personali - Illecito trattamento - Titolare del trattamento - Individuazione - Persona giuridica - Configurabilità - Affitto d'azienda
Ai fini della titolarità del trattamento dei dati sensibili, acquista autonomo rilievo la persona giuridica e non il legale rappresentante della stessa che solo temporaneamente la rappresenta. Nel caso di affitto d'azienda in cui la gestione di una società (nella specie una casa di cura) venga ceduta, gli oneri relativi alle comunicazioni per il trattamento delle informazioni da farsi al Garante della privacy vanno ripetuti. E ciò anche se il legale rappresentante delle due società sia rimasto uguale, e la società precedente abbia regolarmente effettuato la comunicazione.
• Corte di Cassazione, Sezione 6 Civile, Ordinanza 8 aprile 2014, n. 8184