Il Tribunale, la Cassazione e i ruoli privacy

Se il Tribunale non conosce la normativa sulla privacy…la Cassazione lo bacchetta!

Ieri ho letto l’estratto di un’ordinanza della Corte di Cassazione (26969/2023) nella quale il Giudice di primo grado viene (abbastanza sonoramente) “bacchettato” per non aver saputo riconoscere – tra due organizzazioni – quale fosse l’unico Titolare del trattamento. L’ho letta con un sorriso (un po’ amaro) sulle labbra.

In sentenza, il Tribunale ha sostenuto che un’azienda di autotrasporti che aveva installato sui suoi mezzi un sistema di geolocalizzazione non ricoprisse il ruolo di Titolare per due ragioni: 1) non aver sviluppato essa stessa il sistema, ma averlo acquistato da un fornitore terzo (questo sì, invece, indicato come Titolare) e 2) non aver mai utilizzato le credenziali di accesso ai dati generati dal sistema di geolocalizzazione, pur essendogli queste state fornite dal produttore.

La Suprema Corte ribatte così (suggerisco di leggere con tono un po’ piccato): “E’ abbastanza evidente che il Tribunale, nel rendere la motivazione appena sopra sintetizzata, non ha compreso il problema giuridico implicato dalla controversia“…”Il punto decisivo, completamente trascurato dal Tribunale, risulta di contro finanche affermato dalla stessa motivazione ed era costituito – invece – dall’aver avuto la (Omissis), esercente l’attività di trasporto delle merci su strada, la messa a disposizione delle credenziali di accesso ai dati di geolocalizzazione. Questa cosa di per sé rappresenta un indice significativo del fatto di essere stata trasferita su tale Società la possibilità di esercitare in maniera autonoma dalla fornitrice delle credenziali quel potere di decisionale sulla finalità e sulle modalità del trattamento al quale allude l’art. 28 del Codice Privacy (vigente al tempo dei fatti). E tanto basta per fare di essa il Titolare del trattamento“.

Credo di non fare spoiler se vi svelo che nella frase immediatamente successiva la sentenza di primo grado è stata cassata.