DPIA

L'attesa è finita
Ailance™ DPIA è qui!

Volkswagen si difende con successo dall'elevata multa e dagli avvertimenti del GDPR

Volkswagen è riuscita a respingere in tribunale l'accusa di violazione del GDPR.
Categorie:

Il procedimento GDPR contro Volkswagen si è concluso in modo piuttosto curioso. Il gruppo automobilistico ha presentato ricorso contro una multa di 4,3 milioni di euro e diversi avvertimenti del Commissario di Stato per la protezione dei dati della Bassa Sassonia (LfD). Il tribunale regionale di Hannover ha annullato la multa perché non è stato in grado di stabilire una grave violazione del GDPR. L'ufficio del pubblico ministero ha infine dovuto ritirare il ricorso contro la sentenza a causa di una firma mancante. Più interessante dal punto di vista legale è invece la sentenza del Tribunale amministrativo di Hannover. Il tribunale si è pronunciato a favore di VW in due casi su cinque.

Rivalutazione dello scandalo del diesel con conseguenze sulla protezione dei dati

Nell'ambito delle indagini sullo scandalo diesel, Volkswagen AG (VW) ha raggiunto diversi accordi con le autorità penali e civili degli Stati Uniti per porre fine ai procedimenti in corso e prevenire ulteriori rischi legali. Parte di questi accordi è stata l'istituzione di una cosiddetta "monitorship": A tal fine, l'ex vice procuratore generale degli Stati Uniti Larry Thompson è stato nominato controllore esterno della conformità. A lui è stato affidato il compito di rivedere e sviluppare ulteriormente i sistemi di conformità e controllo esistenti nel Gruppo e di monitorarne l'attuazione.

Per adempiere a questo compito, il monitor ha avuto accesso a tutti i documenti e i dati della VW, comprese le informazioni personali su ex dipendenti e dipendenti attivi. Si trattava di informazioni che spaziavano dai nomi reali e dai numeri di matricola alle valutazioni relative al servizio. Secondo il Commissario di Stato per la protezione dei dati della Bassa Sassonia (LfD), questo accesso ai dati costituiva una grave violazione della legge sulla protezione dei dati. Di conseguenza, l'LfD ha avviato un procedimento di vigilanza nei confronti di Volkswagen e ha individuato cinque casi specifici di violazione del GDPR. La LfD ha emesso avvertimenti nei confronti di VW ai sensi dell'art. 58 par. 2 lett. b del GDPR.

Avvertenza 1: elenco dei nomi chiaro con "conoscenza diretta" - inammissibile?

VW aveva inviato al controllore statunitense un elenco di 22 nomi chiari, etichettati come "conoscenza diretta". Nell'ambito del processo di corsia preferenziale, VW ha trasmesso dati pseudonimizzati tramite e-mail criptate per il trasporto. Tuttavia, la LfD ha richiesto la crittografia end-to-end. Il tribunale ha respinto questa richiesta. I dati non erano particolarmente bisognosi di protezione e, senza un nome chiaro, non c'era un rischio concreto di re-identificazione, soprattutto perché la chiave di assegnazione non veniva trasmessa.

Il tribunale specifica il livello tecnico di protezione ai sensi dell'art. 32 del GDPR e sottolinea la proporzionalità dei dati pseudonimizzati. Tuttavia, occorre considerare che lo stato dell'arte e quindi anche le misure tecniche e organizzative ragionevoli sono in continua evoluzione. La decisione non deve quindi essere generalizzata, ma deve sempre essere intesa alla luce della valutazione del rischio specifico.

Avviso 2: Dati pseudonimizzati nel "processo di corsia preferenziale" - nessun obbligo di crittografia end-to-end

Nell'ambito del processo di corsia preferenziale, VW ha trasmesso dati pseudonimizzati tramite e-mail criptate per il trasporto. Tuttavia, la LfD ha richiesto la crittografia end-to-end. Il tribunale ha respinto questa richiesta. I dati non erano particolarmente bisognosi di protezione e, senza un nome chiaro, non c'era un rischio concreto di re-identificazione, soprattutto perché la chiave di assegnazione non veniva trasmessa.

Il tribunale specifica il livello tecnico di protezione ai sensi dell'art. 32 del GDPR e sottolinea la proporzionalità dei dati pseudonimizzati. Tuttavia, occorre considerare che lo stato dell'arte e quindi anche le misure tecniche e organizzative ragionevoli sono in continua evoluzione. La decisione non deve quindi essere generalizzata, ma deve sempre essere intesa alla luce della valutazione del rischio specifico.

Avviso 3: violazione dell'obbligo di informazione nella trasmissione dei dati al monitor

Il tribunale ha valutato diversamente l'avvertimento a causa delle informazioni insufficienti fornite ai dipendenti. VW aveva trasmesso i dati personali dei dipendenti, comprese le informazioni pseudonimizzate, come parte del processo di monitoraggio. Il tribunale ha chiarito che anche questi dati erano considerati dati personali ai sensi dell'art. 4 n. 1 del GDPR, in quanto il monitor sarebbe stato in grado di richiedere la chiave di assegnazione per identificare gli interessati con uno sforzo ragionevole. Contrariamente all'opinione di VW, non vi era quindi alcuna anonimizzazione.

Il tribunale ha inoltre ritenuto che il trasferimento dei dati da parte di Volkswagen al controllore statunitense costituisse un cambiamento di finalità ai sensi dell'articolo 6 (4) del GDPR. La raccolta originaria dei dati aveva avuto finalità lavorative, ma il trasferimento nel contesto del monitoraggio non aveva lo scopo diretto di attuare il rapporto di lavoro. VW non è stata inoltre in grado di dimostrare che l'ulteriore trattamento fosse nel legittimo interesse del datore di lavoro senza violare contemporaneamente i diritti dell'interessato.

Infine, il tribunale ha criticato il modo in cui sono state informate le persone interessate. Sebbene VW avesse pubblicato informazioni sul monitoraggio nell'intranet, mancavano informazioni specifiche, mirate e personalizzate per i dipendenti interessati. Il tribunale ha ritenuto che la mera pubblicazione di informazioni generiche senza una comunicazione attiva fosse insufficiente in termini di obblighi di trasparenza ai sensi degli articoli 13 e 14 del GDPR.

Valutazione: la decisione sottolinea i requisiti rigorosi degli obblighi di trasparenza ai sensi dell'art. 13 GDPR. Nel caso di trasferimenti a terzi, come il monitor statunitense, può essere rilevante anche l'art. 14 GDPR, soprattutto se le informazioni non sono state raccolte direttamente dagli interessati. Diventa chiara anche l'interpretazione restrittiva del principio di limitazione delle finalità ai sensi dell'art. 5 par. 1 lett. b GDPR. Dal punto di vista dell'autorità di controllo, si deve anche riconoscere che la re-identificabilità cumulativa attraverso la combinazione di diversi set di dati pseudonimizzati rappresenta un rischio da non sottovalutare.

Avviso 4: informazioni mancanti durante l'audit EPA

Il quarto avvertimento riguardava il trattamento dei dati nell'ambito di un audit supplementare effettuato sulla base di un accordo amministrativo tra VW e l'Agenzia statunitense per la protezione dell'ambiente (EPA). L'obiettivo di questa misura era quello di garantire l'accesso a lungo termine ai contratti pubblici negli Stati Uniti. A tal fine, è stato nominato un auditor per sviluppare ulteriormente il sistema interno di gestione della conformità e verificarne il rispetto.

Tuttavia, la LfD ha contestato il fatto che VW abbia nuovamente trasmesso dati personali a questo revisore, in parte pseudonimizzati e in parte con nomi reali, senza informare adeguatamente i dipendenti interessati sul tipo, la portata e lo scopo del trattamento dei dati. Anche in questo caso, l'autorità di controllo si è basata sul parere che la pseudonimizzazione non porta alla spersonalizzazione se un terzo è in grado di assegnare i dati a persone reali con uno sforzo ragionevole. Il tribunale ha seguito questo ragionamento e ha giudicato inadeguate anche le informazioni fornite da VW. Secondo il tribunale, un'informazione generica o tardiva non soddisfa i requisiti degli articoli 13 e 14 del GDPR.

Avviso 5: directory di elaborazione mancante all'inizio dell'audit

Il quinto avvertimento riguardava la mancata creazione da parte di VW di un registro del trattamento indipendente ai sensi dell'articolo 30 del GDPR all'inizio dell'audit dell'EPO. VW ha sostenuto che il registro già esistente dal monitoraggio era sufficiente. Tuttavia, la corte ha respinto questa argomentazione: sebbene vi fossero sovrapposizioni tematiche, si trattava di due operazioni di trattamento dei dati formalmente indipendenti con finalità e destinatari diversi.

Sebbene il successivo completamento dell'elenco sia stato preso in considerazione nella sentenza per attenuare la sanzione, il tribunale ha comunque ritenuto legittimo l'avvertimento. L'autorità di controllo è stata quindi autorizzata a emettere un avvertimento per richiamare l'attenzione sull'obbligo di documentazione e sulla sua importanza per la verificabilità dei processi di protezione dei dati.

Conclusione: il tribunale chiarisce che un registro separato ai sensi dell'art. 30 del GDPR è necessario anche in caso di vicinanza formale con altre operazioni di trattamento dei dati, se la finalità o la struttura del trattamento differiscono. Dal punto di vista delle autorità di controllo, la mancanza di tale registro è anche un'indicazione di deficit strutturali nella gestione della protezione dei dati.

Suggerimento di lettura: BfDI impone a Vodafone multe per un totale di 45 milioni di euro

Standard differenziati per i processi di conformità internazionali

La sentenza illustra il difficile equilibrio tra i requisiti di protezione dei dati e gli obblighi di conformità internazionale. Da un lato, il tribunale concorda con l'autorità per quanto riguarda gli obblighi di trasparenza e documentazione; dall'altro, mostra i limiti dell'autorità nell'intervenire su misure tecnicamente e legalmente giustificabili da parte delle aziende.

La sentenza significa per le aziende:

  • Rafforzare il bilanciamento degli interessi e le misure tecniche di protezione, purché siano ben documentate e proporzionate.
  • Chiarimento degli obblighi di informazione anche per i dati pseudonimizzati, in particolare in caso di ulteriore trattamento per nuovi scopi.
  • Obbligo di documentazione indipendente in contesti di elaborazione delimitabili.


Il VW può richiedere l'autorizzazione a presentare ricorso al Tribunale amministrativo superiore della Bassa Sassonia.

Il tribunale regionale riscuote un'elevata multa per il GDPR contro Volkswagen

In un procedimento parallelo davanti al Tribunale regionale di Hannover, VW ha presentato ricorso contro una multa di 4,3 milioni di euro inflitta dalla LfD. La multa è stata comminata in particolare perché Volkswagen avrebbe violato gli obblighi di trasparenza nei confronti dei dipendenti.

"Il tribunale regionale di Hannover ha chiarito che, contrariamente a quanto sostenuto dalla LfD, la divulgazione di informazioni nell'ambito del monitoraggio non ha comportato rischi significativi per i dipendenti interessati", riferisce il rappresentante legale di VW Tim Wybitul in un post sul blog di LinkedIn.

Curiosità: l'ufficio del pubblico ministero ha presentato un ricorso contro la sentenza del tribunale regionale presso la Corte regionale superiore di Celle. Tuttavia, le motivazioni dell'appello mancavano della firma autografa del pubblico ministero responsabile, quindi l'appello è stato ritirato. La sentenza del tribunale regionale di Hannover è quindi definitiva e VW non deve pagare alcuna multa.

Fonte: VW ha parzialmente violato la protezione dei dati nella gestione dello scandalo diesel - Comunicato stampa del Tribunale amministrativo della Bassa Sassonia

Tag:
Condividi questo post :
it_ITItalian