TRATTAMENTO DATI PERSONALI: la buona fede non sana le irregolarità del responsabile
Pubblicato il da Redazione - aggiornato il
Per integrare l’elemento soggettivo dell’illecito è sufficiente la semplice colpa, mentre l’errore sulla liceità della condotta, collegato alla buona fede, può rilevare in termini di esclusione della responsabilità amministrativa solo quando esso risulti inevitabile. A tal fine è necessario provare la sussistenza di un elemento positivo, estraneo all’autore dell’infrazione, idoneo ad ingenerare in lui la convinzione della liceità del comportamento posto in essere e dell’aver fatto tutto il possibile per osservare la legge, così che l’errore non sia suscettibile di essere impedito dall’interessato con l’ordinaria diligenza.
E’ uno dei principi che ha stabilito il Tribunale di Milano, Giudice Laura Massari, con la sentenza 9376 del 10.10.2018.
Nel caso di specie, una società si opponeva ad un’ordinanza di ingiunzione dell’Autorità Garante per la protezione dei dati personali, in riferimento alla violazione della normativa sul trattamento dei dati personali.
La società, infatti, aveva acquistato da un terzo un database di indirizzi aziendali, servendosene per l’invio di comunicazioni circa le sue offerte commerciali. Uno dei destinatari aveva inviato una segnalazione al Garante per aver ricevuto e-mail indesiderate dal contenuto promozionale. L’aver interrotto l’utilizzo del database da parte della società non era comunque bastato per evitare la sanzione da parte dell’Autorità Garante.
Nel corso del giudizio instauratosi dinanzi al Tribunale di Milano, la società aveva eccepito la sussistenza dell’esimente della buona fede nell’ambito del rapporto intercorso con il datore del database.
Nel caso di specie, la società spiegava di aver confidato nelle rassicurazioni date dalla venditrice in merito alla informativa, tale da ingenerare un apprezzabile livello di fiducia riguardo alle competenze e alle capacità di operare in modo corretto nel settore di riferimento.
L’Organo giudicante, riprendendo una serie di principi espressi già in precedenza dalla Cassazione (Cass.19759/2015, 16320/10, 13610/07, 11012/06, 9862/06, 5426/06 e 11253/04, Cass. ord. n.48/2018), ha sottolineato che la società non può legittimamente invocare l’esimente della buona fede non avendo provato la sussistenza di alcun elemento positivo idoneo a ingenerare il convincimento della liceità della condotta, né avendo dato dimostrazione di aver fatto tutto quanto possibile per conformarsi al precetto di legge così da andare esente da ogni rimprovero, limitandosi a confidare nelle rassicurazioni della venditrice del database e senza compiere alcuna verifica preventiva dell’effettività della informativa data e dell’acquisizione del consenso.
L’informativa, infatti, come prescritto dall’art.13 del Regolamento UE 2016/679, deve essere portata a conoscenza dell’utente nei suoi requisiti di completezza, esaustività e trasparenza, oltre a dover essere di immediata reperibilità e possibilità di visione da parte del destinatario della comunicazione. Per cui, non basta, come nel caso di specie, l’invio a mezzo di posta elettronica di un link che indirizzi al sito sorgente dal quale poi l’interessato avrebbe dovuto firmare l’informativa.
Per tali ragioni il Tribunale ha rideterminato la sanzione irrogata dal Garante per la Protezione dei dati personali con ordinanza ingiunzione del 18.1.2018, compensando le spese legali.