Un agente di polizia che effettua un'interrogazione di una banca dati senza motivo ufficiale è un responsabile del trattamento ai sensi del Regolamento generale sulla protezione dei dati (GDPR)? Il Tribunale superiore di Stoccarda ha esaminato la questione in dettaglio ed è giunto a una conclusione chiara. Perché l'eccesso di dipendenti può essere davvero costoso.
Un agente di polizia utilizza il sistema informativo della polizia per scopi privati
Il colpiti Gli agenti di polizia hanno avuto accesso al sistema informativo della polizia "POLAS" presso la stazione di polizia. Questo sistema viene utilizzato per memorizzare e recuperare i dati personali di sospetti, accusati e altre persone rilevanti nell'ambito delle indagini di polizia.
Il 2 marzo 2021, verso l’1:41, il funzionario ha utilizzato il proprio computer di servizio per consultare informazioni su un ex collega che, in quel momento, si trovava in custodia cautelare. Il funzionario non ha agito per motivi di servizio, bensì per interesse privato, cosa di cui era consapevole. Secondo quanto accertato dal tribunale distrettuale, il funzionario aveva cercato in modo mirato, senza alcun motivo di servizio, dati personali e rilevanti dal punto di vista penale relativi al suo collega.
L'incidente è stato scoperto dai meccanismi di controllo interno e il dipartimento responsabile ha avviato un'indagine. Di conseguenza, l'agente è stato accusato dal tribunale distrettuale di Stoccarda di aver commesso un reato intenzionale e illegale. Elaborazione dei dati personali ai sensi dell'art. 83 cpv. 1, 2, 5 lett. a GDPR condannato a una multa di 1.500 euro. L'agente di polizia ha presentato ricorso contro questa decisione.
Suggerimento di lettura: Rischi per la protezione dei dati del portafoglio clienti
Eccedenza del dipendente: il dipendente come parte responsabile
Il Tribunale superiore di Stoccarda ha affrontato in modo approfondito la questione se un agente di polizia che recupera dati senza autorizzazione sia un responsabile del trattamento dei dati ai sensi della legge. GDPR si può notare come risultato.
Il tribunale ha innanzitutto accertato che il funzionario aveva effettuato, consapevolmente e intenzionalmente, una consultazione della banca dati che non rientrava nelle sue mansioni di servizio. A questo proposito, la Corte d’appello ha sottolineato che il funzionario aveva oltrepassato i propri poteri d’ufficio, agendo così al di fuori del proprio ruolo professionale. Il funzionario avrebbe quindi agito al di fuori del controllo delle autorità. La sua consultazione non sarebbe pertanto imputabile all’ambito di responsabilità di servizio della polizia.
Il Senato si è basato in questo caso sulla cosiddetta “teoria dell’eccesso dei dipendenti”. Tale teoria sostiene che i dipendenti che agiscono di propria iniziativa e senza ricevere istruzioni Dati personali elaborare, in modo autonomo Persone responsabili ai sensi dell'art. 4 n. 7 GDPR applicazione. La Corte ha sottolineato che la responsabilità personale in questi casi deriva dal fatto che il dipendente ha l'autorità di decidere lo scopo e i mezzi del lavoro. Elaborazione decide.
L'OLG di Stoccarda ha seguito la Linee guida del Comitato europeo per la protezione dei dati (EDPB). Questi stabiliscono che i dipendenti come Persone responsabili si applicano se Dati personali per scopi privati e senza istruzioni ufficiali.
I giudici hanno respinto l'idea che sia necessaria una normativa speciale per le aggressioni da parte dei dipendenti e hanno sottolineato che la responsabilità per tali atti deriva direttamente dalla società. GDPR ne deriverebbe. L'agente di polizia non poteva nemmeno invocare un'eccezione privilegiata, poiché le sue azioni non erano né attribuibili al datore di lavoro né coperte da istruzioni ufficiali.
L'OLG ha ritenuto la multa di 1.500 euro adeguata e dissuasiva. In particolare, il funzionario aveva agito in modo doloso e deliberatamente noncurante dei suoi doveri. In conclusione, il tribunale ha sottolineato l'importanza di sanzioni coerenti in caso di violazione della protezione dei dati, al fine di garantire gli obblighi di protezione dei dati di cui all'art. 83, par. 1, del Codice civile. GDPR per ottenere l'effetto deterrente richiesto.
Multa a seguito di un comportamento eccessivo da parte di un dipendente
La sentenza del Tribunale regionale superiore di Stoccarda chiarisce che le violazioni della protezione dei dati non devono essere attribuite esclusivamente a un’istituzione o a un’azienda. Esse possono anche comportare una responsabilità individuale dei dipendenti. In particolare, i dipendenti che, di propria iniziativa e senza motivi di servizio, Dati personali agiscono, secondo il tribunale, sotto la propria responsabilità e possono essere chiamati direttamente a rispondere delle proprie azioni.
Nella sua decisione, il tribunale ha espressamente confermato la cosiddetta "teoria dell'eccesso di dipendenti". Secondo questa interpretazione giuridica, un dipendente che agisce deliberatamente e intenzionalmente al di fuori dei suoi doveri ufficiali non è più vincolato alle istruzioni del suo datore di lavoro e diventa la persona responsabile ai sensi dell'art. 4, n. 7. GDPR. Questa categorizzazione significa che Parti interessate non solo rischiano conseguenze disciplinari o di diritto del lavoro in caso di violazioni, ma possono anche essere multati.
La sentenza del Tribunale regionale superiore di Stoccarda fa così chiarezza sulla questione della responsabilità in caso di violazioni della normativa sulla protezione dei dati da parte di singoli individui e dimostra che le violazioni di tale normativa non sono imputabili esclusivamente all’organizzazione in quanto responsabile essere attribuita. Per le aziende e le autorità ciò significa che dovranno formare e sensibilizzare ancora di più i propri dipendenti in materia di protezione dei dati, poiché l’attribuzione di comportamenti scorretti a singoli individui può comportare conseguenze finanziarie e legali significative.
L'irrogazione di una sanzione pecuniaria pari a 1.500 euro evidenzia inoltre l'effetto deterrente che le violazioni della protezione dei dati esercitano anche sui singoli Persone responsabili dovrebbe avere. Questo riflette l'intenzione del GDPRper sanzionare efficacemente le violazioni della protezione dei dati e ottenere un effetto deterrente.
Raccomandazioni pratiche
In questo contesto, le organizzazioni dovrebbero prendere in considerazione le seguenti misure:
- Formazione e sensibilizzazione: È fondamentale garantire una formazione periodica dei dipendenti in materia di normativa sulla protezione dei dati e sulle conseguenze di un trattamento dei dati non conforme alla legge.
- Misure tecniche e organizzative: L'accesso alle banche dati sensibili dovrebbe essere rigorosamente regolamentato e documentato. Misure tecniche quali meccanismi di registrazione e controlli di accesso possono contribuire a impedire interrogazioni non autorizzate dei dati.
- Linee guida e meccanismi di controllo interni: Sono essenziali chiare linee guida interne sul trattamento dei dati e un efficace monitoraggio della conformità a tali requisiti.
La decisione del Tribunale Regionale Superiore di Stoccarda sottolinea la necessità di sanzioni coerenti per le violazioni della protezione dei dati, al fine di adempiere agli obblighi previsti dall'art. 83 (1) del GDPR. GDPR per attuare la richiesta di sanzioni "efficaci, proporzionate e dissuasive".
Fonte: Decisione del Tribunale regionale superiore di Stoccarda del 25 febbraio 2025 (2 ORbs 16 Ss 336/24)
Il nostro consiglio: Ailance™ definisce nuovi standard nella gestione integrata del rischio e si adatta facilmente alle esigenze della vostra azienda. Contattateci e vi mostreremo tutte le potenzialità di Ailance™.
☎️ +49 (228) 926165-100
📧 verona@2b-advice.com
German 
English 
Italian 
French