Con la sentenza del 18 dicembre 2024, il Tribunale regionale superiore dello Schleswig-Holstein (OLG) ha emesso una decisione di ampia portata sulla Responsabilità civile del responsabile del trattamento ai sensi del Regolamento generale sulla protezione dei dati (GDPR). La decisione era incentrata sulla questione della misura in cui un'azienda che invia una fattura via e-mail è responsabile dell'uso improprio di tale fattura da parte di terzi. Terza parte è responsabile se non ha adottato misure di sicurezza sufficienti per proteggere i dati personali.
L'e-mail con la fattura viene intercettata e manipolata
L’attore, un imprenditore edile, ha eseguito per conto della convenuta, una cliente privata, i lavori concordati e, al termine dei lavori, le ha emesso una fattura finale relativa al compenso ancora dovuto. Tale fattura è stata inviata alla convenuta tramite e-mail.
Inosservata dalle parti, l'e-mail è stata inviata da Terza parte intercettata e manipolata. Gli autori hanno modificato le coordinate bancarie della fattura e hanno trasmesso la versione falsificata all'imputato. In buona fede, il convenuto ha trasferito l'importo della fattura di 15.385,78 euro sul conto indicato sulla fattura, che apparteneva a una persona sconosciuta. La frode è stata scoperta solo in un secondo momento, quando il querelante ha notato il pagamento mancante e lo ha segnalato al convenuto.
L'attore ha quindi chiesto al convenuto di pagare nuovamente il salario, poiché il pagamento originario non era stato accreditato sul suo conto e quindi non vi era alcun effetto di adempimento ai sensi dell'articolo 362 (1) BGB. Il convenuto, invece, riteneva di aver adempiuto ai propri obblighi di pagamento in quanto aveva pagato la fattura come ricevuta. Ha inoltre sostenuto che il ricorrente non aveva adottato misure di sicurezza adeguate per proteggere i dati personali trasmessi, in particolare le proprie coordinate bancarie. Questo è stato il motivo principale della frode. La ricorrente ha invocato una richiesta di risarcimento danni ai sensi dell'articolo 82 del Codice civile. GDPR e ha sostenuto che il querelante aveva agito per negligenza inviando la fattura via e-mail senza una protezione sufficiente. In particolare, la crittografia di trasporto utilizzata non era sufficiente a impedire la manipolazione dell'e-mail.
Si trovavano quindi di fronte due questioni giuridiche fondamentali: da un lato, se il versamento sul conto errato avesse estinto il debito della convenuta e, dall’altro, se l’attrice fosse responsabile del danno subito a causa di misure di sicurezza insufficienti.
La Corte afferma il risarcimento dei danni ai sensi dell'art. 82 del GDPR
Sebbene la Corte d’appello abbia confermato l’orientamento giuridico secondo cui il pagamento su un conto manipolato non costituisce adempimento ai sensi dell’articolo 362, comma 2, del BGB, è determinante che l’importo dovuto sia definitivamente a disposizione del creditore. Il ricorrente potrebbe quindi, in linea di principio, richiedere nuovamente il compenso per il lavoro svolto.
Allo stesso tempo, tuttavia, il tribunale ha precisato che alla cliente potrebbe spettare un diritto al risarcimento dei danni pari all’importo del bonifico effettuato sul conto di terzi, che ella può opporre alla domanda di risarcimento avanzata dall’appaltatore in base all’eccezione di “dolo agit” ai sensi dell’articolo 242 del BGB.
Tale richiesta di risarcimento danni può derivare in particolare dal GDPR luogo. Il tribunale ha dichiarato che i dati personali del convenuto (nome, indirizzo, credito residuo) ai sensi dell'art. 4, n. 1, del Codice di procedura civile. GDPR sono stati elaborati e il Trasmissione la fattura via e-mail Elaborazione ai sensi dell'art. 4 n. 2 GDPR costituiscono. Di conseguenza, il convenuto potrebbe far valere una richiesta di risarcimento danni ai sensi dell'art. 82 del Codice Civile. GDPR contro il querelante.
La manipolazione della fattura da parte di Terza parte non costituisce di per sé un Responsabilità civile del ricorrente. È stato invece necessario esaminare se le misure tecniche e organizzative dell'azienda per proteggere le comunicazioni via e-mail fossero sufficienti.
Requisiti relativi alla sicurezza della trasmissione dei dati ai sensi dell’articolo 32 del GDPR
L'OLG ha inoltre dichiarato che, ai sensi dell'art. 32 GDPR sono obbligati a prendere le opportune precauzioni di sicurezza al fine di Dati personali proteggere da accessi non autorizzati.
Secondo l'OLG, la semplice crittografia del trasporto tramite TLS (Transport Layer Security) non soddisfa i requisiti dell'art. 32 del GDPR. GDPR. Si tratterebbe piuttosto di una soluzione end-to-end-Crittografia necessario per garantire un livello adeguato di protezione. Il Tribunale ha fatto riferimento, a tal proposito, alle linee guida della Conferenza sulla protezione dei dati nonché alle sentenze della Corte di giustizia dell’Unione europea (CGUE) che sottolineano l’elevata responsabilità del titolare del trattamento in materia di sicurezza dei dati (CGUE, C-687/21 e C-340/21).
Anche se il GDPR nessuna disposizione esplicita sull'obbligo di Crittografia di posta elettronica, tuttavia, dalla visione complessiva della normativa si evince che le aziende sono tenute a minimizzare il rischio di accesso non autorizzato a Dati personali riducendo al minimo il rischio attraverso misure adeguate. Secondo il tribunale, la crittografia durante il trasporto non è sufficiente, poiché non offre una protezione adeguata contro i cosiddetti attacchi «man-in-the-middle».
Onere della prova e presunzione di colpa in caso di fatture manipolate
Art. 82 comma 3 GDPR prevede una presunzione di colpa a favore dell'interessato. Il Persone responsabili deve dimostrare di non avere alcuna colpa. Il ricorrente non è riuscito a fornire tale prova, poiché non aveva adottato ulteriori misure di protezione. Il tribunale ha chiarito che le imprese non solo devono rispettare gli standard minimi previsti dalla legge, ma devono anche tenere conto degli attuali sviluppi tecnologici. Alla luce dei rischi noti relativi alla Trasmissione Per quanto riguarda l'invio di dati sensibili tramite e-mail, un'azienda che agisca in modo responsabile deve adottare le migliori misure di protezione possibili.
Il tribunale ha negato l’esistenza di una corresponsabilità della convenuta ai sensi dell’articolo 254 del BGB. È vero che la convenuta non si è accorta di un codice bancario diverso da quello riportato nelle fatture precedenti. Tuttavia, non è ragionevole pretendere che una cliente privata verifichi ogni fattura ricevuta per individuare un’eventuale manomissione. Poiché la frode è stata resa possibile solo dalle misure di sicurezza insufficienti dell’attore, quest’ultimo è l’unico responsabile del danno subito.
Suggerimento di lettura: La Corte di giustizia dell’Unione europea rafforza la trasparenza: le agenzie di informazioni creditizie devono rendere pubblici i propri processi decisionali
Conseguenze della sentenza per le normali attività commerciali
La sentenza ha conseguenze di ampia portata sulla prassi della corrispondenza commerciale via e-mail e sui requisiti relativi alla Sicurezza informatica da parte delle aziende. Le aziende che inviano fatture o altri documenti sensibili via e-mail devono rivedere radicalmente i propri standard di sicurezza.
Una delle conclusioni principali della sentenza è che la semplice crittografia durante il trasporto non è riconosciuta come misura di sicurezza sufficiente. Il tribunale raccomanda invece l'uso di una crittografia end-to-end-Crittografia, per evitare manipolazioni da parte di Terza parte per evitare che ciò accada. Le aziende sono quindi invitate a rivedere la propria infrastruttura informatica e, se necessario, a passare a canali di comunicazione sicuri, ad esempio utilizzando portali digitali per i clienti sui quali le fatture vengono fornite in un ambiente protetto.
Inoltre, la sentenza dimostra che le aziende devono investire in modo proattivo nelle misure di sicurezza informatica. Tra queste figurano corsi di formazione per i dipendenti, al fine di renderli Phishing-sensibilizzare sulle minacce e su altri tentativi di manipolazione, nonché sull’uso dell’autenticazione a più fattori e delle e-mail firmate per proteggere le transazioni commerciali. Le aziende che non adottano queste misure rischiano non solo violazioni della protezione dei dati, ma anche gravi conseguenze finanziarie e di responsabilità civile.
Infine, la sentenza chiarisce che l'obbligo di rendiconto ai sensi dell'art. 5, comma 2, del Codice di condotta è un obbligo di responsabilità. GDPR devono essere presi sul serio. Le aziende dovrebbero quindi valutare e documentare regolarmente i loro concetti di protezione e sicurezza dei dati, per poter dimostrare di aver adottato misure adeguate per proteggere i dati personali in caso di controversia. La sentenza è quindi un chiaro segnale per le aziende che Protezione dei dati e Sicurezza informatica devono costituire elementi fondamentali per garantire la conformità giuridica delle attività aziendali.
Conclusione
Con questa sentenza, la Corte Regionale Superiore dello Schleswig-Holstein ha innalzato in modo significativo gli standard per la protezione dei dati personali nel traffico di e-mail aziendali. Le aziende sono obbligate a garantire il massimo livello di sicurezza per prevenire le violazioni della protezione dei dati. La decisione sottolinea che non solo la protezione dei dati personali, ma anche la protezione contro i danni economici ai clienti svolge un ruolo centrale nella protezione dei dati personali. GDPR gioca. Le aziende dovrebbero quindi esaminare criticamente le proprie misure di protezione dei dati e aggiornarle, se necessario, per evitare casi di responsabilità analoghi.
Fonte: Sentenza del Tribunale superiore dello Schleswig-Holstein 12 U 9/24 del 18/12/2024
Volete evitare complicazioni e rendere la vostra azienda idonea alla protezione dei dati e Conformità fare? Lo affronteremo insieme! I nostri esperti saranno lieti di consigliarvi. Chiamateci o scriveteci:
Tel: +39 045 475 7198
E-mail: verona@2b-advice.com
German 
English 
Italian 
French