{"id":38709,"date":"2025-06-16T15:37:28","date_gmt":"2025-06-16T15:37:28","guid":{"rendered":"https:\/\/2b-advice.com\/?p=38709"},"modified":"2026-04-14T15:55:02","modified_gmt":"2026-04-14T13:55:02","slug":"volkswagen-si-difende-con-successo-da-multe-e-avvertimenti-elevati-del-dsgvo","status":"publish","type":"post","link":"https:\/\/2b-advice.com\/it\/2025\/06\/16\/volkswagen-wehrt-sich-erfolgreich-gegen-hohes-dsgvo-bussgeld-und-verwarnungen\/","title":{"rendered":"Volkswagen si difende con successo dall'elevata multa e dagli avvertimenti del GDPR"},"content":{"rendered":"
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Il procedimento GDPR contro Volkswagen si conclude in modo piuttosto curioso. Il gruppo automobilistico ha presentato ricorso contro una multa di 4,3 milioni di euro e diversi avvertimenti da parte del Commissario di Stato per la protezione dei dati. Protezione dei dati<\/a> Bassa Sassonia (LfD). Il tribunale regionale di Hannover ha annullato la multa in quanto non \u00e8 stato in grado di stabilire una grave violazione del GDPR. L'ufficio del pubblico ministero ha infine dovuto ritirare il ricorso contro la sentenza a causa di una firma mancante. Pi\u00f9 interessante dal punto di vista legale \u00e8 invece la sentenza del Tribunale amministrativo di Hannover. Il tribunale si \u00e8 pronunciato a favore di VW in due casi su cinque.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Rivalutazione dello scandalo del diesel con conseguenze sulla protezione dei dati<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Nell'ambito delle indagini sullo scandalo diesel, Volkswagen AG (VW) ha raggiunto diversi accordi con le autorit\u00e0 penali e civili degli Stati Uniti per porre fine ai procedimenti in corso e prevenire ulteriori rischi legali. Parte di questi accordi \u00e8 stata l'istituzione di una cosiddetta \"monitorship\": A tal fine, l'ex vice procuratore generale degli Stati Uniti Larry Thompson \u00e8 stato nominato controllore esterno della conformit\u00e0. A lui \u00e8 stato affidato il compito di rivedere e sviluppare ulteriormente i sistemi di conformit\u00e0 e controllo esistenti nel Gruppo e di monitorarne l'attuazione.<\/p>

Per adempiere a questo compito, il monitor ha avuto accesso a tutti i documenti e i dati della VW, comprese le informazioni personali su ex dipendenti e dipendenti attivi. Si trattava di informazioni che spaziavano dai nomi reali e dai numeri di matricola alle valutazioni relative al servizio. Secondo il Commissario di Stato per la protezione dei dati della Bassa Sassonia (LfD), questo accesso ai dati costituiva una grave violazione della legge sulla protezione dei dati. Di conseguenza, l'LfD ha avviato un procedimento di vigilanza nei confronti di Volkswagen e ha individuato cinque casi specifici di violazione del GDPR. La LfD ha emesso avvertimenti nei confronti di VW ai sensi dell'art. 58 par. 2 lett. b del GDPR.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Avvertenza 1: elenco dei nomi chiaro con \"conoscenza diretta\" - inammissibile?<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

VW aveva inviato al controllore statunitense un elenco di 22 nomi chiari, etichettati come \"conoscenza diretta\". Nell'ambito del processo di corsia preferenziale, VW ha trasmesso dati pseudonimizzati tramite e-mail criptate per il trasporto. Tuttavia, la LfD ha richiesto la crittografia end-to-end. Il tribunale ha respinto questa richiesta. I dati non erano particolarmente bisognosi di protezione e, senza un nome chiaro, non c'era un rischio concreto di re-identificazione, soprattutto perch\u00e9 la chiave di assegnazione non veniva trasmessa.<\/p>

Il tribunale specifica il livello tecnico di protezione ai sensi dell'art. 32 del GDPR e sottolinea la proporzionalit\u00e0 dei dati pseudonimizzati. Tuttavia, occorre considerare che lo stato dell'arte e quindi anche le misure tecniche e organizzative ragionevoli sono in continua evoluzione. La decisione non deve quindi essere generalizzata, ma deve sempre essere intesa alla luce della valutazione del rischio specifico.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Avviso 2: Dati pseudonimizzati nel \"processo di corsia preferenziale\" - nessun obbligo di crittografia end-to-end<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Nell'ambito del processo di corsia preferenziale, VW ha trasmesso dati pseudonimizzati tramite e-mail criptate per il trasporto. Tuttavia, la LfD ha richiesto la crittografia end-to-end. Il tribunale ha respinto questa richiesta. I dati non erano particolarmente bisognosi di protezione e, senza un nome chiaro, non c'era un rischio concreto di re-identificazione, soprattutto perch\u00e9 la chiave di assegnazione non veniva trasmessa.<\/p>

Il tribunale specifica il livello tecnico di protezione ai sensi dell'art. 32 del GDPR e sottolinea la proporzionalit\u00e0 dei dati pseudonimizzati. Tuttavia, occorre considerare che lo stato dell'arte e quindi anche le misure tecniche e organizzative ragionevoli sono in continua evoluzione. La decisione non deve quindi essere generalizzata, ma deve sempre essere intesa alla luce della valutazione del rischio specifico.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Avviso 3: violazione dell'obbligo di informazione nella trasmissione dei dati al monitor<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Il tribunale ha valutato diversamente l'avvertimento a causa delle informazioni insufficienti fornite ai dipendenti. VW aveva trasmesso i dati personali dei dipendenti, comprese le informazioni pseudonimizzate, come parte del processo di monitoraggio. Il tribunale ha chiarito che anche questi dati erano considerati dati personali ai sensi dell'art. 4 n. 1 del GDPR, in quanto il monitor sarebbe stato in grado di richiedere la chiave di assegnazione per identificare gli interessati con uno sforzo ragionevole. Contrariamente all'opinione di VW, non vi era quindi alcuna anonimizzazione.<\/p>

Il tribunale ha inoltre ritenuto che il trasferimento dei dati da parte di Volkswagen al controllore statunitense costituisse un cambiamento di finalit\u00e0 ai sensi dell'articolo 6 (4) del GDPR. La raccolta originaria dei dati aveva avuto finalit\u00e0 lavorative, ma il trasferimento nel contesto del monitoraggio non aveva lo scopo diretto di attuare il rapporto di lavoro. VW non \u00e8 stata inoltre in grado di dimostrare che l'ulteriore trattamento fosse nel legittimo interesse del datore di lavoro senza violare contemporaneamente i diritti dell'interessato.<\/p>

Infine, il tribunale ha criticato il modo in cui sono state informate le persone interessate. Sebbene VW avesse pubblicato informazioni sul monitoraggio nell'intranet, mancavano informazioni specifiche, mirate e personalizzate per i dipendenti interessati. Il tribunale ha ritenuto che la mera pubblicazione di informazioni generiche senza una comunicazione attiva fosse insufficiente in termini di obblighi di trasparenza ai sensi degli articoli 13 e 14 del GDPR.<\/p>

Valutazione: la decisione sottolinea i requisiti rigorosi degli obblighi di trasparenza ai sensi dell'art. 13 GDPR. Nel caso di trasferimenti a terzi, come il monitor statunitense, pu\u00f2 essere rilevante anche l'art. 14 GDPR, soprattutto se le informazioni non sono state raccolte direttamente dagli interessati. Diventa chiara anche l'interpretazione restrittiva del principio di limitazione delle finalit\u00e0 ai sensi dell'art. 5 par. 1 lett. b GDPR. Dal punto di vista dell'autorit\u00e0 di controllo, si deve anche riconoscere che la re-identificabilit\u00e0 cumulativa attraverso la combinazione di diversi set di dati pseudonimizzati rappresenta un rischio da non sottovalutare.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Avviso 4: informazioni mancanti durante l'audit EPA<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Il quarto avvertimento riguardava il trattamento dei dati nell'ambito di un audit supplementare effettuato sulla base di un accordo amministrativo tra VW e l'Agenzia statunitense per la protezione dell'ambiente (EPA). L'obiettivo di questa misura era quello di garantire l'accesso a lungo termine ai contratti pubblici negli Stati Uniti. A tal fine, \u00e8 stato nominato un auditor per sviluppare ulteriormente il sistema interno di gestione della conformit\u00e0 e verificarne il rispetto.<\/p>

Tuttavia, la LfD ha contestato il fatto che VW abbia nuovamente trasmesso dati personali a questo revisore, in parte pseudonimizzati e in parte con nomi reali, senza informare adeguatamente i dipendenti interessati sul tipo, la portata e lo scopo del trattamento dei dati. Anche in questo caso, l'autorit\u00e0 di controllo si \u00e8 basata sul parere che la pseudonimizzazione non porta alla spersonalizzazione se un terzo \u00e8 in grado di assegnare i dati a persone reali con uno sforzo ragionevole. Il tribunale ha seguito questo ragionamento e ha giudicato inadeguate anche le informazioni fornite da VW. Secondo il tribunale, un'informazione generica o tardiva non soddisfa i requisiti degli articoli 13 e 14 del GDPR.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Avviso 5: directory di elaborazione mancante all'inizio dell'audit<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Il quinto avvertimento riguardava la mancata creazione da parte di VW di un registro del trattamento indipendente ai sensi dell'articolo 30 del GDPR all'inizio dell'audit dell'EPO. VW ha sostenuto che il registro gi\u00e0 esistente dal monitoraggio era sufficiente. Tuttavia, la corte ha respinto questa argomentazione: sebbene vi fossero sovrapposizioni tematiche, si trattava di due operazioni di trattamento dei dati formalmente indipendenti con finalit\u00e0 e destinatari diversi.<\/p>

Sebbene il successivo completamento dell'elenco sia stato preso in considerazione nella sentenza per attenuare la sanzione, il tribunale ha comunque ritenuto legittimo l'avvertimento. L'autorit\u00e0 di controllo \u00e8 stata quindi autorizzata a emettere un avvertimento per richiamare l'attenzione sull'obbligo di documentazione e sulla sua importanza per la verificabilit\u00e0 dei processi di protezione dei dati.<\/p>

Conclusione: il tribunale chiarisce che un registro separato ai sensi dell'art. 30 del GDPR \u00e8 necessario anche in caso di vicinanza formale con altre operazioni di trattamento dei dati, se la finalit\u00e0 o la struttura del trattamento differiscono. Dal punto di vista delle autorit\u00e0 di controllo, la mancanza di tale registro \u00e8 anche un'indicazione di deficit strutturali nella gestione della protezione dei dati.<\/p>

Suggerimento di lettura: BfDI impone a Vodafone multe per un totale di 45 milioni di euro<\/a><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Standard differenziati per i processi di conformit\u00e0 internazionali<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

La sentenza illustra il difficile equilibrio tra i requisiti di protezione dei dati e gli obblighi di conformit\u00e0 internazionale. Da un lato, il tribunale concorda con l'autorit\u00e0 per quanto riguarda gli obblighi di trasparenza e documentazione; dall'altro, mostra i limiti dell'autorit\u00e0 nell'intervenire su misure tecnicamente e legalmente giustificabili da parte delle aziende.

La sentenza significa per le aziende:<\/p>