Con decisione del Caso C-768/21 la Corte di giustizia Europea si è pronunciata in merito all’obbligo o meno delle Autorità Garanti nazionali di applicare misure correttive e sanzioni in ogni ipotesi di data breach.
Il caso di specie trae origine dalla condotta di un dipendente di una banca di risparmio tedesca, il quale ha più volte acceduto ai dati personali di un determinato cliente senza essere stato a tal fine autorizzato. La banca, una volta accertata tale condotta, ha immediatamente provveduto a consultare il proprio DPO, secondo il cui giudizio non era necessario notificare all’interessato l’avvenuto data breach, mentre di contro è stata effettuata la notifica all’Autorità Garante locale. Inoltre, la banca si è fatta rilasciare una dichiarazione scritta dal dipendente, ove lo stesso ha dichiarato di non aver ceduto i dati consultati a terzi, di non avere intenzione di farlo in futuro e di non aver neppure copiato o in qualsiasi modo conservato simili informazioni.
L’ interessato, venuto a conoscenza del data breach relativo ai propri dati personali, ha adito l’Autorità Garante locale, al fine di veder condannata la banca almeno al pagamento di una sanzione, soprattutto a causa della mancata comunicazione all’interessato stesso.
L’Autorità Garante locale, però, ha deciso di non adottare nessuna misura correttiva e neppure comminare una qualsivoglia sanzione alla banca.
L’interessato pertanto ha adito il competente tribunale, chiedendo che l’Autorità Garante della privacy locale venisse condannata ad adottare misure correttive. Il Tribunale locale ha deciso di rimettere alla Corte di Giustizia dell’unione Europea la questione relativa all’obbligatorietà per le Autorità garanti locali di stabilire misure correttive o comminare sanzioni nell’ipotesi di data breach.
La Corte di Giustizia Europea ha stabilito che nel caso in cui sia stato accertato un data breach, l’Autorità garante locale non è tenuta a comminare sanzioni o prevedere misure correttive nel caso in cui ciò non sia necessario per garantire la corretta applicazione del GDPR e rimediare alla carenza riscontrata. Questa può essere l’ipotesi in cui appena il titolare, venuto a conoscenza del data breach, abbia adottato tutte le misure necessarie per interrompere la violazione e impedirne il ripetersi. Il GDPR, infatti, lascia alle autorità locali un’ampia discrezionalità sulle misure da adottate per rimediare alla situazione accertata e l’unico limite che tale discrezionalità incontra consiste nel garantire il più alto livello di protezione dei dati personali.
La pronuncia in esame, dunque, costituisce un importante spunto di riflessione circa l’importanza dell’adozione di misure tempestive e ben ponderate nell’ipotesi in cui si verifichi una violazione di dati personali. Ma non solo. Di fondamentale importanza restano sempre e comunque le misure adottate per prevenire il verificarsi di tale situazione, la cui idoneità viene attentamente valutata da qualsiasi Autorità Garante della privacy.
Il caso qui riportato, infatti, probabilmente avrebbe avuto un epilogo molto diverso se fossero state adottate solo ed esclusivamente misure, se pur valide ed efficaci, solo dopo l’avvenuta violazione. La possibilità, infatti, di poter dimostrare l’adozione di misure preventive, come l’autorizzazione al trattamento di determinati dati piuttosto che di altri, sicuramente può incidere di molto sulla valutazione circa la comminazione di misure correttive, incluse le sanzioni.