APPROFONDIMENTI

GDPR: il registro delle attività di trattamento dei dati e la documentazione delle violazioni

18/01/2018

di Avv. Simone Moretti

Il 25 maggio 2018 diverrà applicabile il GDPR (Regolamento 679/2016) in materia di protezione dei dati personali, che come noto apporterà numerose novità e istituirà obblighi per società, aziende pubbliche e in generale per le organizzazioni che effettuano il trattamento di dati personali. Tra detti obblighi figura la tenuta del registro delle attività di trattamento: analizziamo in breve di cosa si tratta.

I titolari del trattamento dei dati personali dovranno tenere un registro in cui riportare le attività di trattamento svolte sotto la propria responsabilità, contenente le informazioni elencate all’art. 30 del GDPR. Si tratta di informazioni essenziali tra le quali troviamo l’indicazione del titolare del trattamento, le finalità dello stesso, le categorie di dati trattati e dei destinatari degli stessi, la base giuridica del trattamento (contratto, legge, etc.), le misure di sicurezza tecniche e organizzative adottate (es. pseudonomizzazione e cifratura) e i trasferimenti dei dati verso paesi non appartenenti all’Unione Europea.

Un registro avente pari contenuto dovrà essere tenuto dai responsabili del trattamento, ossia dai soggetti che compiono attività di trattamento per conto del titolare.

Il registro potrà essere tenuto sia in forma scritta che in formato elettronico e l’Autorità Garante potrà accedervi per le verifiche necessarie. La tenuta del registro è obbligatoria per le organizzazioni con più di 250 dipendenti e per quelle che, a prescindere dal numero dei dipendenti, effettuino un trattamento che possa presentare un rischio per i diritti e le libertà dell’interessato o includa il trattamento di categorie particolari di dati (elencati all’art. 9, par. 1 GDPR, ad es. sull’origine etnica, opinioni politiche, dati genetici e biometrici) o ancora informazioni sui precedenti penali degli interessati.

Nulla esclude, ovviamente, che anche le organizzazioni non sottoposte a tale obbligo tengano ugualmente il registro. Al contrario, la tenuta del registro può rivelarsi utile per dimostrare il rispetto della normativa GDPR, alla quale sono tenute indistintamente tutte le organizzazioni che effettuino il trattamento di dati (anche quelle con meno di 250 dipendenti).

Il Regolamento, inoltre, sebbene non preveda l’istituzione di un apposito ulteriore registro, prevede che vengano documentate le violazioni dei dati personali, notificate all’Autorità Garante o meno (in quanto non sufficientemente gravi), comprese le circostanze ad esse relative, le loro conseguenze e i provvedimenti adottati per porvi rimedio.

Varrà rammentare in proposito che la notifica delle violazioni al Garante (e in alcuni casi anche al diretto interessato, v. art. 33 GDPR) sarà obbligatoria qualora essa comporti il rischio probabile per i diritti e le libertà degli interessati. La comunicazione dovrà contenere le informazioni essenziali della violazione, come la natura della violazione, le categorie di interessati i cui diritti sono minacciati dalla violazione, i contatti del responsabile della protezione dei dati, le probabili conseguenze e le contromisure adottate.

La funzione della documentazione delle violazioni è chiarita dallo stesso Regolamento che stabilisce che essa “consente all’autorità di controllo di verificare il rispetto” delle disposizioni in tema di notificazione delle violazioni.

La tenuta di un apposito registro delle violazioni, sebbene non espressamente prevista dal Regolamento, potrebbe pertanto consentire al titolare del trattamento di chiarire in maniera puntuale all’Autorità le ragioni che hanno condotto a non notificare eventuali violazioni dei dati, ad esempio in quanto immediatamente risolte senza alcun rischio per i diritti dell’interessato, evitando eventuali sanzioni da parte dell’Autorità.

Pubblicazioni

Solamente qualche giorno fa – ordinanza n. 26805 del 12.09.2022 - la Corte di Cassazione è intervenuta per fare ancora una volta chiarezza sulle differenze semantiche e ontologiche esistenti tra il danno biologico, il danno morale e la personalizzazione. Termini polisemici e di frequente mal interpretati.

Nel richiedere la liquidazione del danno non patrimoniale spesso le parti incorrono in confusione nel nominare in modo diverso concetti uguali o nel richiedere più volte uno stesso nocumento indicandolo sotto diverse nomenclature.

Il corretto inquadramento di queste componenti che appartengono ad un unico genus – cioè quello del danno non patrimoniale - è indispensabile al fine di applicare in modo appropriato i criteri per la loro liquidazione, anche in virtù delle modifiche di recente apportate dall’Osservatorio di Milano alle tabelle meneghine.

Una prima precisazione va fatta con riferimento al danno biologico che i più fanno coincidere con il danno alla salute.

In realtà, come ben chiarito dalla Suprema Corte nella sentenza n. 7513 del 2018, il danno alla salute non va considerato, e in questo senso è d’accordo anche la medicina legale italiana, come nocumento fisico in re ipsa ma piuttosto quale compromissione delle abilità della vittima nello svolgimento di tutte le sue attività quotidiane.

Sotto tale profilo il Dott. Rossetti, relatore della citata pronuncia ricordava che “In questo senso si espresse già quasi vent'anni fa (ma inascoltata) la Società Italiana di Medicina Legale, la quale in esito al Congresso nazionale tenuto nel 2001 definì il danno biologico espresso nella percentuale di invalidità permanente, come "la menomazione (...) all'integrità psico-fisica della persona, comprensiva degli aspetti personali dinamico-relazionali (...), espressa in termini di percentuale della menomazione dell'integrità psicofisica, comprensiva della incidenza sulle attività quotidiane comuni a tutti".”

Pertanto per danno biologico è da intendersi il danno alla salute nei suoi riflessi dinamico relazionali. Prosegue la Cassazione “Non, dunque, che il danno alla salute “comprenda” pregiudizi dinamico-relazionali dovrà dirsi; ma piuttosto che il danno alla salute è un danno “dinamico relazionale”. Se non avesse conseguenzedinamico relazionali”, la lesione della salute non sarebbe nemmeno un danno medico-legalmente apprezzabile e giuridicamente risarcibile.”

Dunque l’incidenza di una menomazione permanente sulle quotidiane attività dinamico-relazionali della vittima non è un danno diverso dal danno biologico ma è proprio ciò che lo compone.

Nell’ambito della lesione della salute e dei suoi profili dinamico-relazionali vi possono essere conseguenze comuni a tutte i soggetti che hanno quel grado di invalidità e conseguenze peculiari che abbiano cioè reso il pregiudizio subito dalla vittima diverso e maggiore rispetto ai casi similari.

Mentre le prime vengono liquidate dietro mera dimostrazione del grado di invalidità, le seconde richiedono la prova concreta ed effettiva del maggior pregiudizio subito onde ottenerne il risarcimento mediante personalizzazione del danno. Ed infatti “In applicazione di tali princìpi, questa Corte ha già stabilito che soltanto in presenza di circostanze "specifiche ed eccezionali", tempestivamente allegate dal danneggiato, le quali rendano il danno concreto più grave, sotto gli aspetti indicati, rispetto alle conseguenze ordinariamente derivanti dai pregiudizi dello stesso grado sofferti da persone della stessa età, è consentito al giudice, con motivazione analitica e non stereotipata, incrementare le somme dovute a titolo risarcitorio in sede di personalizzazione della liquidazione (Sez. 3, Sentenza n. 23778 del 07/11/2014; Sez. 3, Sentenza n. 24471 del 18/11/2014).”

Il danno morale, infine, è costituito invece dai[1] “..pregiudizi che non hanno fondamento medico-legale, perché non aventi base organica ed estranei alla determinazione medico-legale del grado percentuale di invalidità permanente, rappresentati dalla sofferenza interiore (quali, ad esempio, il dolore dell'animo, la vergogna, la disistima di sé, la paura, la disperazione).”

Il danno morale è quindi una categoria autonoma[2] rispetto al danno biologico e si sostanzia nella rappresentazione di uno stato d'animo di sofferenza interiore del tutto autonomo e indipendente dalle vicende dinamico-relazionali della vita del danneggiato e che costituiscono come detto l’essenza del danno biologico.

L’autonomia di questa categoria – e il suo non automatico riconoscimento – si è riverberata nella revisione delle Tabelle di Milano che nella loro versione del 2021 specificano e distinguono nella liquidazione del danno non patrimoniale la componente biologico/relazionale e quella morale.

Nella pronuncia di settimana scorsa la Corte di Cassazione ha quindi chiarito l’operazione che gli operatori del diritto si trovano a dover fare nel momento della liquidazione delle poste risarcitorie e cioè dividere il danno non patrimoniale nelle sue componenti dinamico/relazionale (id est il danno biologico, se del caso personalizzato) e quella morale. Ed infatti “il giudice di merito dovrà:

1) accertare l'esistenza, nel singolo caso di specie, di un eventuale concorso del danno dinamico-relazionale e del danno morale;

2) in caso di positivo accertamento dell'esistenza (anche) di un danno da sofferenza morale, determinare il quantum risarcitorio applicando integralmente le tabelle di Milano, che preved(eva)ono la liquidazione di entrambe le voci di danno, ma pervenivano, per il danno biologico - prima dell'ultima, necessaria modificazione all'indicazione di un valore monetario automaticamente e complessivamente unitario (costituito dalla somma aritmetica di entrambe le voci di danno);

3) in caso di negativo accertamento, e di conseguente esclusione della componente morale del danno, considerare la sola voce del danno biologico (espressamente ed esclusivamente definito dal legislatore, fin dall'anno 2000, come danno dinamico/relazionale), depurata dall'aumento tabellarmente previsto per il danno morale secondo le percentuali ivi indicate, e liquidando, conseguentemente il solo aspetto dinamico-relazionale del danno;

4) in caso di positivo accertamento dei presupposti per la cd. personalizzazione del danno secondo gli stringenti criteri indicati dalla sentenza 7513/2018, procedere all'aumento fino al 30% del valore del solo danno biologico, depurato, analogamente a quanto indicato al precedente punto 3, dalla componente morale, automaticamente (ma erroneamente) inserita in tabella, giusta il disposto normativo di cui al già ricordato art. 138, punto 3, del novellato codice delle assicurazioni.”

4.15   Di conseguenza la personalizzazione del danno:

- andrà riconosciuta solo dietro specifica e concreta dimostrazione “di circostanze "specifiche ed eccezionali", tempestivamente allegate dal danneggiato, le quali rendano il danno concreto più grave, sotto gli aspetti indicati, rispetto alle conseguenze ordinariamente derivanti dai pregiudizi dello stesso grado sofferti da persone della stessa età.”[3]

- se dimostrata, andrà liquidata mediante aumento “fino al 30% del valore del solo danno biologico[4] e non prendendo a riferimento il danno non patrimoniale nella sua unitarietà. 

 

[1] Cass. Civ. sent. n. 7513 del 2018 

[2] Cass. Civ. ordinanza n. 15733 del 17.05.2022

[3] Civile Ord. Sez. 3 Num. 7513 Anno 2018

[4] Cass. civ. Sez. III, Ord., 12.09.2022, n. 26805


Leggi di più