Ordinanza di Cassazione Civile Sez. 1 Num. 26969 Anno 2023
Civile Ord. Sez. 1 Num. 26969 Anno 2023
Presidente: GENOVESE NOME COGNOME
Relatore: COGNOME NOME
Data pubblicazione: 21/09/2023
ORDINANZA
sul ricorso iscritto al n. 12953/2021 R.G. proposto da:
GARANTE PER LA PROTEZIONE DEI DATI PERSONALI, domiciliato in INDIRIZZO, presso l’AVVOCATURA GENERALE DELLO STATO (P_IVA) RAGIONE_SOCIALE che RAGIONE_SOCIALE lo RAGIONE_SOCIALE rappresenta RAGIONE_SOCIALE e RAGIONE_SOCIALE difende STATO
-ricorrente-
contro
TABLE
-intimata-
i
RAGIONE_SOCIALE
Nurnero sezionale 3886f2023
avverso la SENTENZA del TRIBUNALE di SONDRIO 02/11/2020. écdog ì i f i gi e a 2E 7F 9,2023 ata pubblicazione 21.139f2023 omissis
Udita la relazione svolta nella camera di consiglio del 14/09/2023 dal Consi NOME COGNOME.
Fatti di causa
La RAGIONE_SOCIALE propose opposizione avverso l’ordinanza-ingiunzione notificatale dal Garante della privacy nel giugno 2018, per il pagamento della sanzione amministrativa di 8.000,00 EUR, conseguente alla violazione degli artt. 37 e 38 del d.lgs. n. 196 del 2 (codice privacy) per aver “omesso di provvedere alla notificazione prevista dall’art. 37 c. 1 lett. a)” in relazione all’uso di un siste geolocalizzazione installato sui propri mezzi di trasporto di merci s strada.
gli automezzi con gli autisti. fornito dalla RAGIONE_SOCIALE che ne aveva “autonomamente RAGIONE_SOCIALE propri clienti”; mentre la si era limitata a fornire alla Nella resistenza del Garante l’adito tribunale di Sondrio ha accolto l’opposizione sul rilievo che il sistema di geolocalizzazione era st ideato e sviluppato le funzionalità (..) per poter fornire i propri serviz
NOME Su tale base, comprovata dalle deposizioni testimoniali, il tribunale ha concluso nel senso che “solo ed esclusivamente aveva gestito il sistema di geolocalizzazione, avendo a disposizione il data base.
RAGIONE_SOCIALE la non aveva mai che lavorano con Ha aggiunto che sempre dalla prova per testi era emerso che sebbene fossero state create le credenziali di accesso “per tutte le dit effettuato alcun accesso e mai visualizzato i dati di geolocalizzazio “non avendo personale a ciò adibito”, e che in ogni caso la creazione delle credenziali era avvenuta “in modo automatico dal parte del sistema
RAGIONE_SOCIALE
Numero registro generale 129512021
Numero sezionale 3888,2023
Nurnero di raccolta generale NUMERO_CARTA
bbliffione 21,139,2023
informatico della RAGIONE_SOCIALE RAGIONE_SOCIALE · senza alcuna espressa richies i Ú ta vi senso”.
Per tali ragioni – ritenute “assorbenti” – ha quindi annullato l’ordina nza-ingiunzione.
Il Garante della privacy ha impugnato la sentenza (non notificata) con ricorso per cassazione affidato a un unico motivo.
L’intimata non ha svolto difese.
Ragioni della decisione
– Con l’unico motivo il ricorrente assume violazione e falsa applicazione degli artt. 4, primo comma, lett. f), e 28 del codice privac oltre che dell’art. 2, lett. d), della Direttiva 95/46-CE, perch circostanza enfatizzata dal tribunale non esclude che la RAGIONE_SOCIALE E.M. RAGIONE_SOCIALE abbia rivestito, nelle condizioni date, il ruolo di titolare del trattamento.
Difatti, avendo avuto per l’appunto la disponibilità delle credenziali di accesso ai dati di geolocalizzazione, essa stessa era divenuta titol del trattamento di cui si discute.
II. – Il ricorso è fondato.
E’ abbastanza evidente che il tribunale di Sondrio, nel rendere la motivazione appena sopra sintetizzata, non ha compreso il problema giuridico implicato dalla controversia.
L’art. 28 del codice privacy, vigente ratione temporis, dispone che quando il trattamento è effettuato da una persona giuridica, da una pubblica amministrazione o da un qualsiasi altro ente, associazione od organismo, “titolare del trattamento è l’entità nel suo complesso o l’unità od organismo periferico che esercita un potere decisionale del tutto autonomo sulle finalità e sulle modalità del trattamento, iv compreso il profilo della sicurezza”.
Questa Corte, con massima consolidata, va ripetendo che a fronte della norma citata il titolare del trattamento è per l’appunto la persona giuridica che in sé abbia a disposizione i dati e possa conseguentemente gestirli (v. Cass. Sez. 2 n. 18292-20, Cass. Sez. 6-2 n. 8184-14).
RAGIONE_SOCIALE
Numero registro generale 129512021
Numero sezionale 3888,2023
Nurnero di raccolta generale NUMERO_CARTA
III. – Non poteva il tribunale escludere l’illiceità della D e 8 rs a gic g ione 21,139,2023 contestata alla E.M. sulla mera e ininfluente considerazione che il sistema di geolocalizzazione era stato alla stessa fornito dalla RAGIONE_SOCIALE M.S.
; né poteva farlo sul rilievo che sempre la RAGIONE_SOCIALE> RAGIONE_SOCIALE aveva autonomamente ideato e sviluppato le funzionalità di quel sistema per la fornitura dei propri servizi.
Ciò non possiede alcuna rilevanza onde escludere in capo alla RAGIONE_SOCIALE.RAGIONE_SOCIALE. la qualifica di soggetto titolare del trattamento dei dati.
Il punto decisivo, completamente trascurato dal tribunale, risulta di contro fina nche affermato nella stessa motivazione, ed era costituit – invece – dall’avere avuto la I E.M. l, esercente l’attività di trasporto delle merci su strada, la messa a disposizione delle credenziali accesso ai dati di geolocalizzazione dei clienti.
Questa cosa di per sé rappresenta un indice significativo del fatto di essere stata trasferita su tale società la possibilità di esercit maniera autonoma dalla fornitrice delle credenziali quel potere decisionale sulle finalità e sulle modalità del trattamento al quale allu giustappunto l’art. 28 del codice privacy. E tanto basta per fare di ess il titolare del trattamento dei dati.
IV. – La sentenza va quindi cassata.
Emergendo dalla motivazione l’esistenza di questioni assorbite, alla cassazione deve seguire il rinvio.
Il tribunale di Sondrio, designato quale giudice del rinvio in diversa composizione, rinnoverà il giudizio attenendosi al seguente principio:
ai fini dell’art. 28 del codice privacy, titolare del trattamento dati personali, in caso di persona giuridica, associazione o ente, è l’ent nel suo complesso o l’unità od organismo periferico che esercita un potere decisionale autonomo sulle finalità e sulle modalità de trattamento, ivi compreso il profilo della sicurezza; ne consegue che, i caso di impresa esercente l’attività di trasporto di merci su strada pe conto terzi, la messa a disposizione delle credenziali di accesso ai da di geolocalizzazione dei clienti è condizione sufficiente ai fini d
RAGIONE_SOCIALE
COGNOME registro generale 12953,2021
Numero sezionale 3888,2023
Nurnero di raccolta generale NUMERO_CARTA
Data a ubblicazione 21,139,2023 attribuzione a tale impresa della qualificazione di soggetto titoiare a trattamento dei dati.
Il tribunale provvederà anche sulle spese della fase di legittimità
p.q.m.
La Corte accoglie il ricorso, cassa la sentenza impugnata e rinvia al tribunale di Sondrio anche per le spese del giudizio di cassazione.
Dispone che, in caso di diffusione della presente ordinanza, siano omesse le generalità e gli altri dati significativi.
Deciso in Roma, nella camera di consiglio della prima sezione civile, addì 14 settembre 2023.