Cassazione Civile, Ordinanza n. 12967/2024 del 13/05/2024

Esito

La controversia

La controversia nasce da un provvedimento sanzionatorio del Garante, adottato all’esito di un controllo sul sistema di proctoring "Respondus" utilizzato dall’università per lo svolgimento a distanza degli esami scritti durante l’emergenza pandemica. Il Garante aveva ritenuto che il trattamento effettuato mediante il software violasse varie disposizioni del Regolamento (UE) 2016/679 e del Codice privacy, contestando in particolare il trattamento di dati biometrici, l’inadeguatezza dell’informativa, carenze in materia di privacy by design/by default, valutazione d’impatto e trasferimento dei dati verso gli Stati Uniti. Il Tribunale di Milano, in parziale accoglimento del ricorso dell’università, aveva invece escluso la configurabilità di un trattamento di dati biometrici, qualificando i dati come comuni e ritenendo sufficiente la disciplina di cui all’art. 6 GDPR; aveva inoltre ritenuto valido l’accordo di modifica con la società fornitrice e le clausole contrattuali tipo per il trasferimento internazionale, riducendo la sanzione. Il Garante ha proposto ricorso per cassazione con tre motivi: 1) violazione degli artt. 6 e 9 GDPR e dell’art. 2-sexies Codice, per avere il Tribunale erroneamente escluso che il software realizzasse un trattamento di dati biometrici; 2) violazione degli artt. 44, 45 e 46 GDPR e delle clausole contrattuali tipo, per avere il Tribunale ritenuto che il trasferimento negli USA fosse impedito dalle clausole allegate e che la pseudonimizzazione e le misure di sicurezza fossero adeguate; 3) omesso esame di un fatto decisivo in relazione alla rideterminazione della sanzione.

La decisione

La Corte di cassazione ha accolto il primo e il secondo motivo, ritenendo errata la qualificazione data dal Tribunale sia del trattamento effettuato dal software Respondus sia della disciplina applicabile al trasferimento internazionale dei dati. Ha affermato che il trattamento descritto integra un trattamento di dati biometrici, perché il software non si limita a registrare immagini, ma elabora tecnicamente le riprese e le istantanee, segnala anomalie e produce un esito finale idoneo a consentire o confermare l’identificazione univoca della persona fisica, restando irrilevante la successiva verifica umana del docente. Ha inoltre ritenuto erronea la conclusione del Tribunale sulla idoneità delle clausole contrattuali standard e delle garanzie supplementari, osservando che il contenuto delle misure di sicurezza non poteva essere lasciato a rinvii esterni e che il giudice di merito avrebbe dovuto valutare l’effettiva applicabilità dei poteri di sospensione o divieto del trasferimento alla luce delle circostanze indicate dall’Autorità di controllo. Il terzo motivo è stato dichiarato assorbito. La sentenza impugnata è stata quindi cassata con rinvio al Tribunale di Milano, in diversa composizione, per nuovo esame attenendosi ai principi di diritto indicati dalla Corte.

Norme richiamate

• art. 4, n. 14, Reg. (UE) 2016/679

  dati biometrici ottenuti da un trattamento tecnico specifico che consentono o confermano l'identificazione univoca

  La Corte lo richiama per definire i dati biometrici come dati personali ricavati da un trattamento tecnico automatizzato specifico relativo a caratteristiche fisiche, fisiologiche o comportamentali che consentano o confermino l’identificazione univoca della persona.

• art. 5, par. 1, Reg. (UE) 2016/679

  liceità, correttezza e trasparenza; minimizzazione; limitazione della conservazione

  La Corte ribadisce che il trattamento deve conformarsi ai principi generali di liceità, correttezza, trasparenza, minimizzazione, limitazione della conservazione, integrità e riservatezza.

• art. 5, par. 2, Reg. (UE) 2016/679

  Il titolare del trattamento è competente per il rispetto del paragrafo 1 e in grado di comprovarlo

  Il principio di responsabilizzazione impone al titolare di dimostrare la conformità del trattamento tramite misure preventive, politiche interne e meccanismi idonei a garantire il rispetto del GDPR.

• art. 6 Reg. (UE) 2016/679

  È richiamato come base generale di liceità per i dati personali comuni, ma la Corte afferma che nel caso concreto era invece applicabile la disciplina speciale dei dati biometrici.

• art. 9 Reg. (UE) 2016/679

  È vietato trattare dati biometrici intesi a identificare in modo univoco una persona fisica

  Il divieto si applica quando il trattamento è automatizzato e finalizzato a identificare o confermare in modo univoco una persona fisica; la verifica successiva di un docente non esclude la natura biometrica del trattamento già realizzato dal software.

• art. 9, par. 2, lett. g), Reg. (UE) 2016/679

  trattamento necessario per motivi di interesse pubblico rilevante

  Il trattamento di categorie particolari di dati è ammesso se previsto dal diritto dell’Unione o nazionale, proporzionato, rispettoso dell’essenza del diritto alla protezione dei dati e corredato da misure appropriate e specifiche.

• art. 13 Reg. (UE) 2016/679

  È richiamato fra le norme contestate in origine per carenza di informativa agli interessati.

• art. 25 Reg. (UE) 2016/679

  È richiamato quale parametro di privacy by design e by default nel controllo del trattamento.

• art. 35 Reg. (UE) 2016/679

  È richiamato come obbligo di valutazione d’impatto sulla protezione dei dati.

• art. 44 Reg. (UE) 2016/679

  Il trasferimento verso paesi terzi deve avvenire nel rispetto delle condizioni poste dal GDPR e delle garanzie adeguate.

• art. 45 Reg. (UE) 2016/679

  È richiamato nel contesto della verifica del livello di protezione nel paese terzo e delle decisioni di adeguatezza.

• art. 46 Reg. (UE) 2016/679

  Le clausole contrattuali tipo devono assicurare, anche in concreto, un livello di protezione sostanzialmente equivalente a quello garantito nell’Unione.

• art. 58, par. 2, lett. d), Reg. (UE) 2016/679

  Consente all’autorità di controllo di imporre prescrizioni per conformare il trattamento al regolamento.

• art. 58, par. 2, lett. f), Reg. (UE) 2016/679

  La Corte richiama il potere dell’autorità di sospendere o vietare un trasferimento verso il paese terzo quando le clausole non siano o non possano essere rispettate.

• art. 58, par. 2, lett. i), Reg. (UE) 2016/679

  È richiamato con riferimento alla pubblicazione del provvedimento sanzionatorio.

• art. 58, par. 2, lett. j), Reg. (UE) 2016/679

  La Corte richiama il potere dell’autorità di sospendere o vietare il trasferimento di dati verso il paese terzo.

• art. 78 Reg. (UE) 2016/679

  È richiamato come base del ricorso giurisdizionale avverso il provvedimento del Garante.

• art. 83, par. 5, Reg. (UE) 2016/679

  È richiamato quale base della sanzione amministrativa pecuniaria irrogata.

• art. 2-sexies d.lgs. n. 196/2003

  Consente il trattamento di categorie particolari di dati per motivi di interesse pubblico rilevante, tra cui l’istruzione e la formazione in ambito universitario, purché vi siano previsione normativa, tipizzazione dei dati e misure adeguate.

• art. 2-sexies, comma 2, lett. bb), d.lgs. n. 196/2003

  L’istruzione e formazione in ambito universitario sono indicate come materia di rilevante interesse pubblico.

• art. 1321 c.c.

  È evocato dal ricorrente nel secondo motivo in relazione all’accordo di modifica e alle clausole contrattuali tipo.

• art. 152 d.lgs. n. 196/2003

  È richiamato come norma processuale che consente l’impugnazione del provvedimento del Garante.

• art. 10 d.lgs. n. 150/2011

  È richiamato quale disciplina del rito applicabile al ricorso avverso il provvedimento del Garante.

• Decisione Commissione 2010/87/UE

  È richiamata come fonte delle clausole contrattuali tipo per il trasferimento di dati personali verso paesi terzi, che devono essere integralmente rispettate anche quanto alle misure di sicurezza indicate negli allegati.

Massime di principio

• Un trattamento effettuato mediante software che acquisisce immagini o video e li elabora tecnicamente per individuare anomalie, selezionare contenuti rilevanti e produrre un esito finale idoneo a confermare o consentire l’identificazione della persona rientra nel trattamento di dati biometrici se la finalità e gli effetti dell’elaborazione sono riconducibili all’identificazione univoca o alla conferma dell’identità.
• Ai fini dell’applicazione dell’art. 9 GDPR non è decisivo che la verifica finale sia compiuta da un essere umano: se il trattamento tecnico automatizzato ha già svolto la funzione di elaborazione biometrica, la successiva valutazione umana non esclude la disciplina speciale.
• Il trattamento di categorie particolari di dati può essere ammesso per motivi di interesse pubblico rilevante solo se la base normativa è specifica, il trattamento è proporzionato e sono previste misure appropriate e specifiche a tutela dei diritti dell’interessato.
• Nel trasferimento di dati verso paesi terzi fondato su clausole contrattuali tipo, il livello di protezione deve essere sostanzialmente equivalente a quello garantito nell’Unione e il contenuto delle misure di sicurezza non può essere lasciato a rinvii indeterminati o a documenti esterni non chiaramente accessibili all’interessato.
• L’autorità di controllo e il giudice devono valutare concretamente se, alla luce dell’assetto complessivo del trasferimento e del sistema giuridico del paese terzo, le clausole standard siano effettivamente rispettate e se sia necessario sospendere o vietare il trasferimento.

Come è indicizzato