“Avvocato, ma non possiamo fare che siamo noi responsabili del trattamento e quegli altri titolari del trattamento, così non dobbiamo consegnare l’informativa?”.

Capita ancora, in contesti aziendali, quando è il momento di individuare e/o verificare i ruoli delle parti coinvolte nel trattamento di dati personali, di ascoltare idee di questo tipo, frutto di momenti di evidente spiccata creatività.

La soluzione apparentemente più semplice, però, non per forza è quella giusta. E quasi sempre non lo è in questi casi.

La qualificazione delle parti quali titolari o responsabili del trattamento ai sensi del Regolamento (UE) 2016/679 (GDPR), infatti, non può essere dettata da mere ragioni di convenienza o di opportunità, ma deve essere – come più volte ribadito dall’EDPB e dal Garante per la protezione dei dati personali – frutto di una accurata valutazione delle circostanze concrete relative all’ambito soggettivo del trattamento.

L’analisi del caso concreto, e di tutti gli elementi rilevanti ai fini dell’attribuzione dei ruoli delle parti, dovrebbe essere effettuata già in fase di progettazione dell’attività che darà luogo ai trattamenti di dati personali. Contrariamente, si parte subito fuori strada e, più si va avanti, più è difficile raddrizzare la rotta.

Ciò in quanto la corretta individuazione dei – mi si passi il termine approssimativo – “ruoli privacy” è un aspetto fondamentale, necessariamente propedeutico per la tenuta dell’intera politica aziendale di protezione dei dati. È proprio dall’individuazione dei ruoli, infatti, che scaturiscono e vengono allocati tra le parti, i numerosi e talvolta complessi obblighi previsti dal GDPR e, più in generale, dalla normativa in materia di protezione dei dati personali.

Il recente provvedimento sanzionatorio che il Garante per la protezione dei dati personali ha emesso nei confronti di Autostrade per l’Italia S.p.a.[1] (di seguito, il “Provvedimento”) non aggiunge nulla di nuovo al riguardo, ma è un importante reminder per tutte quelle aziende che intendono rispettare la normativa in materia di protezione dei dati personali, fungendo altresì da monito per chi alimenta e porta avanti iniziative come quelle di cui in incipit.

Il Provvedimento, inoltre, offre qualche spunto di riflessione su alcune particolari circostanze che possono talvolta trarre in inganno le parti nell’individuazione dei ruoli. E trae origine da una situazione di fatto abbastanza comune a molte aziende, pubbliche e private, operanti in Italia.

Vediamo, dunque, brevemente, di cosa si tratta.

Il fatto

Autostrade per l’Italia S.p.a., in qualità di concessionario della costruzione e dell’esercizio della rete autostradale, dando attuazione alle misure compensative stabilite con accordo transattivo stipulato con il MIMS, ha affidato interamente a Free To X S.r.l. – società interamente controllata dalla prima al momento degli accertamenti da parte del Garante – l’ideazione e la successiva gestione, tramite l’omonima app e secondo i criteri stabiliti da Autostrade, del c.d. servizio “Cashback”, ossia di un sistema che consenta agli utenti autostradali di ottenere il rimborso del biglietto autostradale per ritardi dovuti a cantieri per lavoro.
Contestualmente all’affidamento del suddetto incarico, Autostrade per l’Italia S.p.a. e Free To X S.r.l. hanno concluso un “atto di designazione del responsabile” individuando quest’ultima titolare del trattamento dei dati personali trattati per l’erogazione del servizio Cashback, e ciò, sostanzialmente, sulla scorta dell’ampio livello di autonomia in capo alla stessa nella gestione e nella realizzazione dell’app affidatale da Autostrade per l’Italia S.p.a. la quale, a detta della stessa, si sarebbe limitata alla sola determinazione dello scopo del servizio citato, senza intervenire in alcun modo sulle relative finalità e mezzi.
Tale configurazione, pertanto, si rifletteva nell’informativa che veniva fornita all’utente dell’app.

Spunti di riflessione offerti dal Provvedimento

Il Garante, in seguito agli accertamenti svolti, ha rilevato l’inesatta configurazione dell’ambito soggettivo del trattamento e, conseguentemente, l’inadeguatezza dell’informativa resa agli utenti, accertando quindi la violazione del principio di liceità, correttezza e trasparenza nei confronti degli interessati, oltre che dell’art. 28 del GDPR.

Con riguardo all’inesatta configurazione dell’ambito soggettivo del trattamento è utile segnalare che il Garante, oltre a ribadire quelli che sono i criteri da osservare per una corretta attribuzione dei ruoli delle parti coinvolte nel trattamento – sui quali non ci si soffermerà nel presente articolo – sottolinea che ai fini del corretto inquadramento dei ruoli di titolare e responsabile del trattamento, a nulla rileva quanto indicato da Autostrade per l’Italia S.p.a. e Free To X S.r.l. nell’atto di designazione del responsabile. Né, tantomeno, assume rilevanza l’avvenuto riconoscimento, da parte di Autostrade per l’Italia S.p.a., di alcuni margini di autonomia decisionale in capo a Free To X S.r.l. relativi alla ideazione e gestione dell’app. Giova riportare, a tal proposito, alcuni passaggi chiave del provvedimento in questione, nel quale il Garante osserva: “I poteri decisionali in capo a Free to X S.r.l., infatti, non afferiscono alle finalità e ai mezzi essenziali dei trattamenti relativi al servizio Cashback, quanto piuttosto allo sviluppo e alla gestione dell’App quale strumento di realizzazione concreta dello stesso”, e ancora “le scelte poste in essere da Free to X S.r.l. in ordine allo sviluppo dell’App e alla gestione del servizio Cashback per il tramite della stessa, riguardano pertanto i “mezzi non essenziali” del trattamento, in quanto afferenti ad “aspetti (..) pratici legati all’esecuzione del[lo stesso]” la cui portata e relative finalità sono state oggetto, a monte, di esclusiva determinazione da parte di ASPI”.

È facile intuire come quanto sopra abbia ampia rilevanza per tantissime aziende, sia pubbliche sia private: per tutte quelle aziende, cioè, che, nell’affidare lo sviluppo di specifici servizi e progetti, si affidano totalmente a società specializzate, dando loro ampia autonomia decisionale in merito a determinati aspetti. D’altronde, come sarebbe possibile il contrario, se la realizzazione di tali servizi richiede elevate competenze (ad esempio informatiche) che il committente non possiede?

Ebbene, tale – tutt’altro che eccezionale – circostanza, non deve esonerare il committente dallo svolgere tutte quelle analisi che sono richieste per configurare correttamente i ruoli delle parti nel trattamento dei dati personali. Ne va del rispetto del GDPR, come inizialmente illustrato, e – di conseguenza – del rispetto di tutte le persone coinvolte.

È interessante, infine, notare che per calibrare l’importo della sanzione amministrativa pecuniaria, il Garante ha tenuto conto, tra gli altri parametri, della voce di conto economico individuata nei c.d. “Ricavi da pedaggio” evidentemente legata al servizio di Cashback.

Per inciso, la sanzione ammonta a 1 milione di euro. Roba da far svegliare o’ cavaliere[2].

 

[1] Provvedimento del 22 giugno 2023 [doc. web n. 9909702], consultabile sul sito istituzionale del Garante per la protezione dei dati personali.
[2] Il riferimento è a una famosa scena del film “Così parlò Bellavista” (1984), di LUCIANO DE CRESCENZO, in cui “o’ cavaliere”, impersonato dall’attore Aldo Tarantino, si desta ogni volta che sente pronunciare la parola “milione”.

Immagine di copertina: Pexel.com