Pronuncia della Corte di Cassazione stabilisce i parametri valutativi per l’applicazione delle sanzioni previste dal GDPR (“Regolamento Generale sulla Protezione dei Dati)
Con ordinanza n. 27189 del 22 settembre 2023, la Corte di Cassazione per la prima volta si pronuncia in materia privacy. La decisione ha avuto ad oggetto un provvedimento del Tribunale di Milano con cui era stata annullata, perché ritenuta di importo eccessivo, una sanzione amministrativa da 2.600.000 Euro, inflitta dal Garante della Privacy per violazioni del GDPR da parte di una società in relazione ai dati personali dei riders suoi dipendenti.
In occasione di tale pronuncia, la Corte di Cassazione, nel confermare la correttezza della sanzione emessa da Garante privacy, delinea i parametri valutativi per determinare il giusto ammontare delle sanzioni amministrative previste dall’art. 83 dal GDPR per violazioni dei dati personali.
La Corte di Cassazione precisa, innanzitutto, che le sanzioni amministrative pecuniarie, inflitte in conseguenza alle violazioni del regolamento, devono essere effettive, proporzionate e dissuasive; parametri tutti da valutarsi in relazione al singolo caso concreto.
Poi, posto che le sanzioni amministrative pecuniarie previste dall’art. 83 GDPR possono arrivare, a seconda dei casi, fino ad un ammontare di 10.000,00 o 20.000,00 Euro, ovvero fino al 2 % o al 4% del fatturato mondiale totale annuo dell’esercizio precedente, la Cassazione stabilisce che in caso di violazione, con dolo o colpa, di varie disposizioni del GDPR rispetto allo stesso trattamento o a trattamenti collegati, il totale della sanzione non deve superare l’importo specificato per la violazione più grave.
Da ciò deriva che il riferimento alla sanzione proporzionale (2% o 4% fatturato mondiale totale annuo dell’esercizio precedente) rappresenta un limite distinto. Pertanto, si dovranno applicare in primo luogo le sanzioni pecuniarie e, solo se la violazione è così grave da giustificare un aumento della sanzione, si dovrà fare ricorso a quelle proporzionali.
Infine, la Corte di cassazione stabilisce che il giudice di primo grado, può annullare in tutto o in parte il provvedimento del Garante Privacy o modificarlo, anche limitatamente all’entità della sanzione dovuta, ma non può annullare il provvedimento solo per il fatto che ritiene sproporzionata la sanzione irrogata.
Per una consulenza legale: info@iltuolegale.it – 02 94088188
Non si effettua consulenza legale gratuita.
È assolutamente vietata la riproduzione, anche parziale, del testo presente in questo articolo senza il consenso dell’autore. In caso di citazione è necessario riportare la fonte del materiale.