Tribunale regionale di Lubecca: responsabilità del responsabile del trattamento ai sensi dell'art. 82 GDPR in caso di fuga di dati

Responsabilità del responsabile del trattamento in caso di perdita di dati da parte dell'incaricato del trattamento.
Categorie:

In una sentenza del 4 ottobre 2024, il Tribunale regionale di Lubecca si è occupato ampiamente della questione del Responsabilità civile ai sensi dell'art. 82 del Regolamento generale sulla protezione dei dati (GDPR) in caso di violazione della protezione dei dati. La decisione contiene principi chiave sull'imputabilità del trattamento illecito dei dati, sull'interpretazione del concetto di danno e sulle possibilità di esonero per i responsabili del trattamento. La questione centrale è stata quella di stabilire a quali condizioni un responsabile del trattamento è responsabile per le violazioni attribuibili alle azioni di un incaricato o subincaricato.

Fuga di dati da un elaboratore subappaltato

La convenuta, gestore di una piattaforma di streaming musicale in Europa, aveva trasferito i dati dei clienti a un incaricato del trattamento, che a sua volta collaborava con un subincaricato. Tuttavia, non esisteva alcun accordo sul trattamento dei dati tra l'incaricato e il subincaricato ai sensi dell'art. 28 del GDPR. GDPR accordo richiesto.

Dopo che la convenuta ha interrotto la collaborazione con il suo incaricato del trattamento, si è verificata una fuga di dati presso il sub-incaricato in cui Dati personali sono stati rubati e successivamente pubblicati sulla darknet. I dati in questione comprendevano nome e cognome, nome utente, data di nascita, indirizzo e-mail, dati sull'utilizzo del servizio D., sesso, lingua e Paese. È stata colpita anche la UserID, ossia una sequenza di numeri assegnata dal convenuto, che viene attribuita individualmente ai singoli utenti.

L'attore, un utente della piattaforma di streaming del convenuto, ha richiesto danni non materiali e ha sostenuto di temere un uso improprio dei propri dati a causa della fuga di notizie. Inoltre, la pubblicazione dei dati sulla darknet è stata considerata una violazione indipendente del diritto alla privacy. Autodeterminazione informativa da valutare.

Suggerimento di lettura: BSI aggiorna gli standard minimi per la registrazione degli attacchi informatici

Tribunale: trattamento illecito dei dati ai sensi dell'art. 82 GDPR da interpretare in senso lato

  1. Attribuzione del responsabile della violazione
    Il tribunale ha ritenuto che il concetto di partecipazione al trattamento illecito dei dati ai sensi dell'art. 82 GDPR deve essere interpretato in modo ampio. È sufficiente che il Persone responsabili nel senso di una conditio sine qua non è stato coinvolto nella serie di processi che hanno portato all'atto che ha causato il danno. "Il concetto di partecipazione al trattamento illecito dei dati ai sensi del GDPR non richiede necessariamente che il Persone responsabili è stata direttamente coinvolta nel processo che ha causato il danno", secondo il Tribunale Regionale.

    Nel caso in esame, il tribunale ha ritenuto che la convenuta fosse coinvolta nel trasferimento illecito di dati a un responsabile del trattamento non soggetto a obblighi sufficienti. Mancanza di un contratto ai sensi dell'art. 28, par. 4 GDPR giustificato l'illegalità del trasferimento dei dati.

  1. Possibilità di scagionare la persona responsabile
    Ai sensi dell'articolo 82, paragrafo 3 GDPR una parte responsabile può discolparsi dimostrando di non avere colpa. Tuttavia, il tribunale ha sottolineato che ciò vale anche per il proprio contributo alla causa. La convenuta non è stata in grado di dimostrare che il trasferimento dei dati all'incaricato del trattamento non era imputabile a lei. In particolare, è stato negligente, Dati personali senza un esame sufficiente degli obblighi di protezione dei dati del destinatario.

    "Se la consegna è stata effettuata in modo negligente, allora la Persone responsabili anche se non è stato direttamente coinvolto nell'evento che ha causato il danno", hanno concluso i giudici.

  1. Definizione di danno e risarcibilità del danno immateriale
    Il tribunale ha seguito la precedente giurisprudenza della Corte di giustizia europea (CGUE), secondo la quale il danno morale ai sensi dell'art. 82 del Codice civile non è un danno patrimoniale. GDPR potrebbe anche risiedere nella preoccupazione giustificata di un possibile uso improprio dei dati. Non esiste un limite de minimis. I timori e le preoccupazioni del querelante - ad esempio per gli attacchi di phishing - sono stati riconosciuti come danni immateriali risarcibili.


    Inoltre, il tribunale ha ritenuto che la pubblicazione di dati personali sulla darknet costituisse un danno in sé. Questa violazione del diritto di Autodeterminazione informativa è stata ritenuta una perdita di controllo sui dati dell'azienda, con conseguente risarcimento dei danni.

  1. Valutazione dei danni
    Il tribunale ha riconosciuto all'attore un risarcimento per dolore e sofferenza pari a 350 euro. Da un lato, ha tenuto conto della pubblicazione di dati personali sensibili e dell'ansia che ne è derivata. D'altra parte, non era stato subito un danno economico significativo e i dati avevano permesso di trarre solo conclusioni limitate sulla persona del ricorrente.

Persone responsabili hanno un rischio maggiore di Responsabilità civile

La sentenza del Tribunale regionale di Lubecca chiarisce i requisiti rigorosi del GDPR alla responsabilità delle aziende nel Elaborazione dei dati personali. L'ampliamento del concetto di partecipazione e l'ampia attribuzione di azioni da parte di terzi, comprese quelle contrarie alle istruzioni, aumentano i rischi di responsabilità per Persone responsabili considerevole.

Il riconoscimento del danno immateriale sotto forma di paure e preoccupazioni e la categorizzazione della perdita di controllo su Dati personali come perdita indipendente segnano un ulteriore passo avanti nello sviluppo della Responsabilità civile ai sensi dell'art. 82 GDPR. Ciò rende necessario per le aziende implementare misure tecniche, organizzative e contrattuali complete al fine di rispettare gli obblighi di protezione dei dati e ridurre al minimo i rischi di responsabilità.

Fonte: Sentenza del Tribunale regionale di Lubecca (15 O 216/23) del 04/10/2024

Avete bisogno di supporto per ottimizzare i vostri processi di protezione dei dati? Siamo a vostra disposizione. Contattateci e svilupperemo per voi soluzioni personalizzate nei seguenti settori Protezione dei dati e Conformità.

Mettetevi in contatto con noi:
Tel: +39 045 475 7198
E-mail:verona@2b-advice.com

Una novità: il chatbot intelligente Ailance
Risposte alle vostre domande sulla protezione dei dati & Conformità e le soluzioni Ailance™ con un semplice clic. Questo è ora possibile grazie al nuovo chatbot di Ailance™.
Tag:
Condividi questo post :