Cassazione n. 26969/2023

![OSCURATO:PERSONA] La sentenza richiesta è in fase di oscuramento* d [OSCURATO:PERSONA] registro generale 12953/2021Numero sezionale 3886/2023Numero di raccolta generale 26969/2023Data pubblicazione 21/09/2023REPUBBLICA [OSCURATO:PERSONA] CIVILEComposta dagli * * [OSCURATO:PERSONA]*DATI * –* * Consigliere geolocalizzazionemezzi di trasposto* CC* * Consigliere* * Consigliereha pronunciato la seguenteORDINANZAsul ricorso iscritto al n. 12953/2021 * proposto da* [OSCURATO:PERSONA] * [OSCURATO:PERSONA] * domiciliato in [OSCURATO:PERSONA] * 12 presso l AVVOCATURA GENERALE DELLO STATO * che lo rappresenta e difende ricorrentecontro* * * intimata* d [OSCURATO:PERSONA] registro generale 12953/2021Numero sezionale 3886/2023Numero di raccolta generale 26969/2023avverso la SENTENZA del TRIBUNALE di SONDRIO n. 245/2020 depositata ilData pubblicazione 21/09/202302/11/2020.Udita la relazione svolta nella camera di consiglio del 14/09/2023 dal ConsigliereLa * * s.r.l. propose opposizione avversol ordinanza ingiunzione notificatale dal * della privacy nel giugno2018 per il pagamento della sanzione amministrativa di 8.000 00 *conseguente alla violazione degli artt. 37 e 38 del d.lgs. n. 196 del 2003 codice privacy per aver “omesso di provvedere alla notificazioneprevista dall art. 37 c. 1 lett. a ” in relazione all uso di un sistema digeolocalizzazione installato sui propri mezzi di trasporto di merci sustrada.* resistenza del * l adito tribunale di Sondrio ha accoltol opposizione sul rilievo che il sistema di geolocalizzazione era statofornito dalla * * s.p.a. che ne aveva “autonomamenteideato e sviluppato le funzionalità .. per poter fornire i propri servizi aipropri clienti” mentre la * si era limitata a fornire alla *gli automezzi con gli autisti.Su tale base comprovata dalle deposizioni testimoniali iltribunale ha concluso nel senso che “solo ed esclusivamente ** s.p.a.” aveva gestito il sistema di geolocalizzazione avendoa disposizione il data base.Ha aggiunto che sempre dalla prova per testi era emerso chesebbene fossero state create le credenziali di accesso “per tutte le ditteche lavorano con * * la * non aveva maieffettuato alcun accesso e mai visualizzato i dati di geolocalizzazione“non avendo personale a ciò adibito” e che in ogni caso la creazionedelle credenziali era avvenuta “in modo automatico dal parte del sistema* d [OSCURATO:PERSONA] registro generale 12953/2021Numero sezionale 3886/2023Numero di raccolta generale 26969/2023Data pubblicazione 21/09/2023informatico della * senza alcuna espressa richiesta in talsenso”.Per tali ragioni – ritenute “assorbenti” ha quindi annullatol ordinanza ingiunzione.Il * della privacy ha impugnato la sentenza non notificatacon ricorso per cassazione affidato a un unico motivo.L intimata non ha svolto difese.Ragioni della decisioneI. Con l unico motivo il ricorrente assume violazione e falsaapplicazione degli artt. 4 primo comma lett. f e 28 del codice privacyoltre che dell art. 2 lett. d della * 95/46 CE perché lacircostanza enfatizzata dal tribunale non esclude che la * abbiarivestito nelle condizioni date il ruolo di titolare del trattamento.* avendo avuto per l appunto la disponibilità delle credenzialidi accesso ai dati di geolocalizzazione essa stessa era divenuta titolaredel trattamento di cui si discute.* Il ricorso è fondato.E abbastanza evidente che il tribunale di Sondrio nel rendere lamotivazione appena sopra sintetizzata non ha compreso il problemagiuridico implicato dalla controversia.L art. 28 del codice privacy vigente ratione temporis dispone chequando il trattamento è effettuato da una persona giuridica da unapubblica amministrazione o da un qualsiasi altro ente associazione odorganismo “titolare del trattamento è l entità nel suo complesso ol unità od organismo periferico che esercita un potere decisionale deltutto autonomo sulle finalità e sulle modalità del trattamento ivicompreso il profilo della sicurezza”.* Corte con massima consolidata va ripetendo che a frontedella norma citata il titolare del trattamento è per l appunto la personagiuridica che in sé abbia a disposizione i dati e possa conseguentementegestirli v. * * 2 n. 18292 20 * * 6 2 n. 8184 14 .* d [OSCURATO:PERSONA] registro generale 12953/2021Numero sezionale 3886/2023Numero di raccolta generale 26969/2023Data pubblicazione 21/09/2023* Non poteva il tribunale escludere l illiceità della condottacontestata alla * sulla mera e ininfluente considerazione che ilsistema di geolocalizzazione era stato alla stessa fornito dalla ** s.p.a. né poteva farlo sul rilievo che sempre la *aveva autonomamente ideato e sviluppato le funzionalità di quelsistema per la fornitura dei propri servizi.* non possiede alcuna rilevanza onde escludere in capo alla* la qualifica di soggetto titolare del trattamento dei dati.Il punto decisivo completamente trascurato dal tribunale risultadi contro finanche affermato nella stessa motivazione ed era costituito– invece dall avere avuto la * esercente l attività di trasportodelle merci su strada la messa a disposizione delle credenziali diaccesso ai dati di geolocalizzazione dei clienti.* cosa di per sé rappresenta un indice significativo del fattodi essere stata trasferita su tale società la possibilità di esercitare inmaniera autonoma dalla fornitrice delle credenziali quel poteredecisionale sulle finalità e sulle modalità del trattamento al quale alludegiustappunto l art. 28 del codice privacy. E tanto basta per fare di essail titolare del trattamento dei dati.* – La sentenza va quindi cassata.* dalla motivazione l esistenza di questioni assorbitealla cassazione deve seguire il rinvio.Il tribunale di Sondrio designato quale giudice del rinvio in diversacomposizione rinnoverà il giudizio attenendosi al seguente principio ai fini dell art. 28 del codice privacy titolare del trattamento deidati personali in caso di persona giuridica associazione o ente è l entitànel suo complesso o l unità od organismo periferico che esercita unpotere decisionale autonomo sulle finalità e sulle modalità deltrattamento ivi compreso il profilo della sicurezza ne consegue che incaso di impresa esercente l attività di trasporto di merci su strada perconto terzi la messa a disposizione delle credenziali di accesso ai datidi geolocalizzazione dei clienti è condizione sufficiente ai fini della* d [OSCURATO:PERSONA] registro generale 12953/2021Numero sezionale 3886/2023Numero di raccolta generale 26969/2023Data pubblicazione 21/09/2023trattamento dei dati.Il tribunale provvederà anche sulle spese della fase di legittimità.[OSCURATO:PERSONA] La sentenza richiesta è in fase di oscuramento* d [OSCURATO:PERSONA] registro generale 12953/2021Numero sezionale 3886/2023Numero di raccolta generale 26969/2023Data pubblicazione 21/09/2023REPUBBLICA [OSCURATO:PERSONA] CIVILEComposta dagli * * [OSCURATO:PERSONA]*DATI * –* * Consigliere geolocalizzazionemezzi di trasposto* CC* * Consigliere* * Consigliereha pronunciato la seguenteORDINANZAsul ricorso iscritto al n. 12953/2021 * proposto da* [OSCURATO:PERSONA] * [OSCURATO:PERSONA] * domiciliato in [OSCURATO:PERSONA] * 12 presso l AVVOCATURA GENERALE DELLO STATO * che lo rappresenta e difende ricorrentecontro* * * intimata* d [OSCURATO:PERSONA] registro generale 12953/2021Numero sezionale 3886/2023Numero di raccolta generale 26969/2023avverso la SENTENZA del TRIBUNALE di SONDRIO n. 245/2020 depositata ilData pubblicazione 21/09/202302/11/2020.Udita la relazione svolta nella camera di consiglio del 14/09/2023 dal ConsigliereLa * * s.r.l. propose opposizione avversol ordinanza ingiunzione notificatale dal * della privacy nel giugno2018 per il pagamento della sanzione amministrativa di 8.000 00 *conseguente alla violazione degli artt. 37 e 38 del d.lgs. n. 196 del 2003 codice privacy per aver “omesso di provvedere alla notificazioneprevista dall art. 37 c. 1 lett. a ” in relazione all uso di un sistema digeolocalizzazione installato sui propri mezzi di trasporto di merci sustrada.* resistenza del * l adito tribunale di Sondrio ha accoltol opposizione sul rilievo che il sistema di geolocalizzazione era statofornito dalla * * s.p.a. che ne aveva “autonomamenteideato e sviluppato le funzionalità .. per poter fornire i propri servizi aipropri clienti” mentre la * si era limitata a fornire alla *gli automezzi con gli autisti.Su tale base comprovata dalle deposizioni testimoniali iltribunale ha concluso nel senso che “solo ed esclusivamente ** s.p.a.” aveva gestito il sistema di geolocalizzazione avendoa disposizione il data base.Ha aggiunto che sempre dalla prova per testi era emerso chesebbene fossero state create le credenziali di accesso “per tutte le ditteche lavorano con * * la * non aveva maieffettuato alcun accesso e mai visualizzato i dati di geolocalizzazione“non avendo personale a ciò adibito” e che in ogni caso la creazionedelle credenziali era avvenuta “in modo automatico dal parte del sistema* d [OSCURATO:PERSONA] registro generale 12953/2021Numero sezionale 3886/2023Numero di raccolta generale 26969/2023Data pubblicazione 21/09/2023informatico della * senza alcuna espressa richiesta in talsenso”.Per tali ragioni – ritenute “assorbenti” ha quindi annullatol ordinanza ingiunzione.Il * della privacy ha impugnato la sentenza non notificatacon ricorso per cassazione affidato a un unico motivo.L intimata non ha svolto difese.Ragioni della decisioneI. Con l unico motivo il ricorrente assume violazione e falsaapplicazione degli artt. 4 primo comma lett. f e 28 del codice privacyoltre che dell art. 2 lett. d della * 95/46 CE perché lacircostanza enfatizzata dal tribunale non esclude che la * abbiarivestito nelle condizioni date il ruolo di titolare del trattamento.* avendo avuto per l appunto la disponibilità delle credenzialidi accesso ai dati di geolocalizzazione essa stessa era divenuta titolaredel trattamento di cui si discute.* Il ricorso è fondato.E abbastanza evidente che il tribunale di Sondrio nel rendere lamotivazione appena sopra sintetizzata non ha compreso il problemagiuridico implicato dalla controversia.L art. 28 del codice privacy vigente ratione temporis dispone chequando il trattamento è effettuato da una persona giuridica da unapubblica amministrazione o da un qualsiasi altro ente associazione odorganismo “titolare del trattamento è l entità nel suo complesso ol unità od organismo periferico che esercita un potere decisionale deltutto autonomo sulle finalità e sulle modalità del trattamento ivicompreso il profilo della sicurezza”.* Corte con massima consolidata va ripetendo che a frontedella norma citata il titolare del trattamento è per l appunto la personagiuridica che in sé abbia a disposizione i dati e possa conseguentementegestirli v. * * 2 n. 18292 20 * * 6 2 n. 8184 14 .* d [OSCURATO:PERSONA] registro generale 12953/2021Numero sezionale 3886/2023Numero di raccolta generale 26969/2023Data pubblicazione 21/09/2023* Non poteva il tribunale escludere l illiceità della condottacontestata alla * sulla mera e ininfluente considerazione che ilsistema di geolocalizzazione era stato alla stessa fornito dalla ** s.p.a. né poteva farlo sul rilievo che sempre la *aveva autonomamente ideato e sviluppato le funzionalità di quelsistema per la fornitura dei propri servizi.* non possiede alcuna rilevanza onde escludere in capo alla* la qualifica di soggetto titolare del trattamento dei dati.Il punto decisivo completamente trascurato dal tribunale risultadi contro finanche affermato nella stessa motivazione ed era costituito– invece dall avere avuto la * esercente l attività di trasportodelle merci su strada la messa a disposizione delle credenziali diaccesso ai dati di geolocalizzazione dei clienti.* cosa di per sé rappresenta un indice significativo del fattodi essere stata trasferita su tale società la possibilità di esercitare inmaniera autonoma dalla fornitrice delle credenziali quel poteredecisionale sulle finalità e sulle modalità del trattamento al quale alludegiustappunto l art. 28 del codice privacy. E tanto basta per fare di essail titolare del trattamento dei dati.* – La sentenza va quindi cassata.* dalla motivazione l esistenza di questioni assorbitealla cassazione deve seguire il rinvio.Il tribunale di Sondrio designato quale giudice del rinvio in diversacomposizione rinnoverà il giudizio attenendosi al seguente principio ai fini dell art. 28 del codice privacy titolare del trattamento deidati personali in caso di persona giuridica associazione o ente è l entitànel suo complesso o l unità od organismo periferico che esercita unpotere decisionale autonomo sulle finalità e sulle modalità deltrattamento ivi compreso il profilo della sicurezza ne consegue che incaso di impresa esercente l attività di trasporto di merci su strada perconto terzi la messa a disposizione delle credenziali di accesso ai datidi geolocalizzazione dei clienti è condizione sufficiente ai fini della* d [OSCURATO:PERSONA] registro generale 12953/2021Numero sezionale 3886/2023Numero di raccolta generale 26969/2023Data pubblicazione 21/09/2023trattamento dei dati.Il tribunale provvederà anche sulle spese della fase di legittimità. *La Corte accoglie il ricorso cassa la sentenza impugnata e rinviaal tribunale di Sondrio anche per le spese del giudizio di cassazione.Dispone che in caso di diffusione della presente ordinanza sianoomesse le generalità e gli altri dati significativi.* in Roma nella camera di consiglio della prima sezionecivile addì 14 settembre 2023.Il Presidente* **La Corte accoglie il ricorso cassa la sentenza impugnata e rinviaal tribunale di Sondrio anche per le spese del giudizio di cassazione.Dispone che in caso di diffusione della presente ordinanza sianoomesse le generalità e gli altri dati significativi.* in Roma nella camera di consiglio della prima sezionecivile addì 14 settembre 2023.Il Presidente* *