Dalla sentenza, già recensita, della Cassazione Civile, estrapoliamo e analizziamo alcune parti in tema di GDPR e clausole contrattuali tipo .
Il caso è quello del ricorso del Garante privacy con cui ha impugnato una sentenza del Tribunale di Milano che aveva parzialmente annullato il provvedimento adottato dal Garante all’esito di una attività di controllo.
L’attività ispettiva era stata svolta a seguito del reclamo di uno studente concernente l’impiego di un sistema di supervisione “proctoring”, nell’ambito dello svolgimento delle prove scritte d’esame degli studenti, al fine di identificare questi ultimi e/o di verificarne il corretto comportamento durante lo svolgimento della prova d’esame in video conferenza anche in tema di trattamento dati biometrici .
In quel contesto, era stato contestato anche l’illecito trasferimento di dati all’estero che il Tribunale aveva considerato corretto.
*
La Corte di Cassazione, al riguardo, in tema di clausole contrattuali tipo, ha innanzitutto premesso che la Decisione della Commissione del 5 febbraio 2010 relativa alle clausole contrattuali tipo per il trasferimento di dati personali a incaricati del trattamento stabiliti in paesi terzi a norma della direttiva 95/46/CE del Parlamento europeo e del Consiglio, rimarca, tra l’altro, la posizione centrale che assume l’interessato (e cioè la persona fisica i cui dati personali sono trattati) affermando, ai Considerando 19 e 20, che
«(19) È opportuno che le clausole contrattuali tipo possano essere fatte valere non solo dalle organizzazioni che stipulano il contratto ma anche dalle persone cui si riferiscono i dati, in particolare laddove l’eventuale violazione del contratto rechi ad esse pregiudizio.»
e che l’interessato deve poter agire in giudizio, anche ai fini del risarcimento dei danni, nei confronti dell’esportatore che è il responsabile del trattamento dei dati personali trasferiti e, a determinate condizioni, nei confronti dell’importatore o di un suo sub incaricato per violazione degli obblighi stabiliti dalla clausola 3 dell’Allegato.
Inoltre, all’art.1, è puntualizzato che
«Le clausole contrattuali tipo riportate in allegato costituiscono garanzie sufficienti per la tutela della vita privata e dei diritti e della libertà fondamentali delle persone, nonché per l’esercizio dei diritti connessi ai sensi dell’articolo 26, paragrafo 2, della direttiva 95/46/CE.»
*
Il relativo Allegato “Clausole Contrattuali Tipo («Incaricati Del Trattamento»)” espressamente introduce con la clausola 3 (clausola del terzo beneficiario) i diritti che l’interessato può far valere – a seconda dei casi – sia con riferimento alla medesima clausola 3, sia in relazione alla clausola 4, lettere da b) a i), alla clausola 5, lettere da a) ad e) e da g) a j), alla clausola 6, paragrafi 1 e 2, alla clausola 7, alla clausola 8, paragrafo 2, e alle clausole da 9 a 12 in qualità di terzo beneficiario, nei confronti dell’esportatore, dell’importatore o del sub incaricato, anche mediante la rappresentanza da parte di un’associazione o di altra organizzazione, ove siffatta rappresentanza corrisponda alla esplicita volontà dell’interessato e sia ammessa dalla legislazione nazionale.
*
La clausola 4, par. 1, lett. c) e la clausola 5, lett. c) delle clausole standard, prevedono espressamente che le misure di sicurezza debbano essere appunto “indicate nell’appendice 2” e che nella stessa appendice 2 si specifica che essa “costituisce parte integrante delle clausole contrattuali e deve essere compilata e sottoscritta dalle parti”, contemplando una specifica sezione, denominata «Descrizione delle misure tecniche e organizzative di sicurezza attuate dall’importatore in conformità della clausola 4, lettera d), e della clausola 5, lettera c) (o del documento/atto legislativo allegato)» e che tali disposizioni hanno efficacia anche con riferimento all’“interessato”, che non è parte contraente, ma terzo beneficiario.
*
Analizzando il caso di specie alla luce di tali disposizioni, la Cassazione ha giudicato errata al tesi del Tribunale secondo la quale il contenuto delle clausole contrattuali recanti le misure di sicurezza può essere determinato tramite rinvio ad un documento esterno al contratto stesso, considerato che tale principio nella specie non può trovare applicazione.
Difatti, la volontà contrattuale delle parti, lex specialis del rapporto sinallagmatico, si è espressa in senso ben diverso, proprio mediante l’integrale recepimento di quanto previsto dalla Decisione della Commissione del 5 febbraio 2010 e dai suoi allegati, in special modo dall’allegato due e dalle prescrizioni ivi contenute, tanto più che il contratto in esame assistito dalle clausole contrattuali tipo per il trasferimento di dati personali a incaricati del trattamento stabiliti in paesi terzi non obbliga solo i contraenti tra loro, ma regola anche i diritti del terzo beneficiario che potrebbero essere elusi e frustrati, ove gli obblighi in materia di sicurezza non fossero oggettivamente individuati o individuabili, a maggior ragione ove le misure di sicurezza fossero consultabili solo mediante ripetuti accessi a sito web del fornitore e potessero mutare senza una espressa rinegoziazione tra i contraenti adeguatamente accessibile al terzo beneficiario.
Pertanto, la mancata esplicitazione delle misure di sicurezza nell’allegato 2, in difformità da quanto da questo previsto, la complessità, non contestata, della modalità di accesso informatico alle misure di sicurezza e l’incertezza sul contenuto delle stesse, come evidenziate dall’Autorità di controllo, sono circostanze che avrebbero dovuto essere espressamente valutate dal Tribunale in ordine all’applicabilità dell’art.58, par. 2, lett. f) e j), del regolamento 2016/679.
Cassazione Civile 12967 del 13.05.2024
6 giugno 2024
