In una sentenza del 4 ottobre 2024, il Tribunale regionale di Lubecca si è occupato ampiamente della questione del Responsabilità civile ai sensi dell'art. 82 del Regolamento generale sulla protezione dei dati (GDPR) in caso di violazione della protezione dei dati. La decisione contiene principi chiave sull'imputabilità del trattamento illecito dei dati, sull'interpretazione del concetto di danno e sulle possibilità di esonero per i responsabili del trattamento. La questione centrale è stata quella di stabilire a quali condizioni un responsabile del trattamento è responsabile per le violazioni attribuibili alle azioni di un incaricato o subincaricato.
Fuga di dati da un elaboratore subappaltato
La convenuta, gestore di una piattaforma di streaming musicale in Europa, aveva trasferito i dati dei clienti a un incaricato del trattamento, che a sua volta collaborava con un subincaricato. Tuttavia, non esisteva alcun accordo sul trattamento dei dati tra l'incaricato e il subincaricato ai sensi dell'art. 28 del GDPR. GDPR accordo richiesto.
Dopo che la convenuta ha interrotto la collaborazione con il suo incaricato del trattamento, si è verificata una fuga di dati presso il sub-incaricato in cui Dati personali sono stati sottratti e successivamente pubblicati sul Darknet. I dati interessati includevano, tra l’altro, nome e cognome, nome utente, data di nascita, indirizzo e-mail, dati relativi all’utilizzo del servizio D., sesso, lingua e paese. È stato interessato anche l’UserID, ovvero una sequenza numerica assegnata dalla convenuta e attribuita individualmente ai singoli utenti.
Die Klägerseite, ein Nutzer der Streaming-Plattform der Beklagten, machte immateriellen Schadensersatz geltend und trug vor, aufgrund des Datenlecks Angst vor Missbrauch ihrer Daten zu haben. Zusätzlich sei die Veröffentlichung der Daten im Darknet als eigenständige Verletzung ihres Rechts auf Autodeterminazione informativa da valutare.
Suggerimento di lettura: BSI aggiorna gli standard minimi per la registrazione degli attacchi informatici
Tribunale: il trattamento illecito dei dati ai sensi dell'art. 82 GDPR deve essere interpretato in modo ampio
- Attribuzione del responsabile della violazione
Il tribunale ha ritenuto che il concetto di partecipazione al trattamento illecito dei dati ai sensi dell'art. 82 GDPR deve essere interpretato in modo ampio. È sufficiente che il Persone responsabili nel senso di una conditio sine qua non è stato coinvolto nella serie di processi che hanno portato all'atto che ha causato il danno. "Il concetto di partecipazione al trattamento illecito dei dati ai sensi del GDPR non richiede necessariamente che il Persone responsabili “ha contribuito direttamente all’evento che, in ultima analisi, ha causato il danno», ha affermato il Tribunale regionale.Nel caso in esame, il tribunale ha ritenuto che la convenuta fosse coinvolta nel trasferimento illecito di dati a un responsabile del trattamento non soggetto a obblighi sufficienti. Mancanza di un contratto ai sensi dell'art. 28, par. 4 GDPR giustificato l'illegalità del trasferimento dei dati.
- Possibilità di esonero da responsabilità del responsabile
Ai sensi dell'articolo 82, paragrafo 3 GDPR una parte responsabile può discolparsi dimostrando di non avere colpa. Tuttavia, il tribunale ha sottolineato che ciò vale anche per il proprio contributo alla causa. La convenuta non è stata in grado di dimostrare che il trasferimento dei dati all'incaricato del trattamento non era imputabile a lei. In particolare, è stato negligente, Dati personali trasmettere senza aver verificato adeguatamente gli obblighi del destinatario in materia di protezione dei dati.„Se la consegna è avvenuta per negligenza, la responsabilità ricade quindi sul Persone responsabili “anche se non ha partecipato personalmente all’evento che ha direttamente causato il danno», recita la conclusione dei giudici.
- Nozione di danno e risarcibilità dei danni immateriali
Il tribunale ha seguito la precedente giurisprudenza della Corte di giustizia europea (CGUE), secondo la quale il danno morale ai sensi dell'art. 82 del Codice civile non è un danno patrimoniale. GDPR potrebbe risiedere anche nel legittimo timore di un possibile uso improprio dei dati. Non esiste una soglia minima. I timori e le preoccupazioni del ricorrente – ad esempio riguardo a Phishing-gli attacchi – sono stati riconosciuti come danno immateriale risarcibile.
Darüber hinaus stellte das Gericht fest, dass die Veröffentlichung personenbezogener Daten im Darknet einen eigenständigen Schaden darstelle. Diese Verletzung des Rechts auf Autodeterminazione informativa wurde als schadensersatzbegründender Kontrollverlust über die eigenen Daten gewertet.
- Valutazione dei danni
Il tribunale ha riconosciuto al ricorrente un risarcimento per danni morali pari a 350 euro. Da un lato, ha tenuto conto della divulgazione di dati personali sensibili e del conseguente turbamento. D'altro canto, non si è verificato alcun danno patrimoniale rilevante e i dati avrebbero consentito solo in misura limitata di risalire all'identità del ricorrente.
I responsabili sono esposti a un rischio maggiore di responsabilità civile
La sentenza del Tribunale regionale di Lubecca chiarisce i requisiti rigorosi del GDPR alla responsabilità delle aziende nel Elaborazione dei dati personali. L'ampliamento del concetto di partecipazione e l'ampia attribuzione di azioni da parte di terzi, comprese quelle contrarie alle istruzioni, aumentano i rischi di responsabilità per Persone responsabili considerevole.
Il riconoscimento dei danni immateriali sotto forma di paure e preoccupazioni, nonché la qualificazione della perdita di controllo su Dati personali come perdita indipendente segnano un ulteriore passo avanti nello sviluppo della Responsabilità civile ai sensi dell'art. 82 GDPR. Ciò rende necessario per le aziende implementare misure tecniche, organizzative e contrattuali complete al fine di rispettare gli obblighi di protezione dei dati e ridurre al minimo i rischi di responsabilità.
Fonte: Sentenza del Tribunale regionale di Lubecca (15 O 216/23) del 4 ottobre 2024
Avete bisogno di supporto per ottimizzare i vostri processi di protezione dei dati? Siamo a vostra disposizione. Contattateci e svilupperemo per voi soluzioni personalizzate nei seguenti settori Protezione dei dati e Conformità.
Mettetevi in contatto con noi:
Tel: +39 045 475 7198
E-mail: verona@2b-advice.com
German 
English 
Italian 
French