Geolocalizzazione e notificazione al Garante: basta la potenziale riferibilità del dato

Massima

In materia di protezione dei dati personali, l’obbligo di notificazione al Garante previsto dall’art. 37, comma 1, lett. a), del d.lgs. n. 196/2003 (nel testo vigente ratione temporis) sussiste ogniqualvolta il trattamento riguardi dati idonei a indicare la posizione geografica di persone o di oggetti mediante una rete di comunicazione elettronica, indipendentemente dalla possibilità di identificare automaticamente l’interessato. È sufficiente, ai fini dell’obbligo, che dalla geolocalizzazione dell’oggetto (nella specie, il veicolo) sia possibile risalire anche solo indirettamente all’identità della persona che lo utilizza, restando irrilevante che l’identificazione richieda ulteriori attività deduttive o l’incrocio con altri dati.

Il caso

La controversia trae origine dall’utilizzo, da parte di una società operante nel settore del trasporto merci, di un sistema di geolocalizzazione satellitare (GPS) installato sui veicoli aziendali al fine di monitorarne la posizione e i percorsi. A seguito di un accertamento, il Garante per la protezione dei dati personali contestava alla società la mancata notificazione del trattamento, ritenendo applicabile l’obbligo previsto dall’art. 37 del d.lgs. n. 196/2003, nella formulazione vigente anteriormente alle modifiche introdotte dal d.lgs. n. 101/2018.

La società proponeva opposizione avverso il provvedimento sanzionatorio, sostenendo che il sistema adottato consentiva esclusivamente la localizzazione dei mezzi e non permetteva l’identificazione automatica dei conducenti, sicché i dati trattati non avrebbero dovuto qualificarsi come dati personali rilevanti ai fini dell’obbligo di notificazione. Il giudizio conosceva una prima definizione in sede di legittimità, nella quale la Corte di cassazione aveva già affermato la titolarità del trattamento in capo alla società, con conseguente rinvio al giudice di merito.

In sede di rinvio, il Tribunale di Sondrio, pur richiamando il principio di diritto enunciato dalla Cassazione, riteneva nuovamente insussistente l’obbligo di notificazione, valorizzando l’assenza di un meccanismo di identificazione diretta e automatizzata del conducente. Secondo il giudice di merito, la necessità di operazioni ulteriori di ricostruzione o deduzione avrebbe escluso la riconducibilità del trattamento all’ambito applicativo della disciplina sulla notificazione preventiva.

Avverso tale decisione veniva proposto nuovo ricorso per cassazione.

La questione

Ai fini dell’obbligo di notifica al Garante, è sufficiente che il trattamento consenta la geolocalizzazione di un oggetto (veicolo), ancorché l’identificazione della persona avvenga solo indirettamente?

Le soluzioni giuridiche

La Corte di Cassazione con l’Ordinanza n.9374 ha accolto il ricorso, cassando la sentenza impugnata   chiarendo, al contempo, che, nella disciplina vigente ratione temporis, l’obbligo di notificazione sussiste ogniqualvolta il trattamento riguardi dati idonei a indicare la posizione geografica di persone o di oggetti, indipendentemente dalla presenza di un sistema di identificazione automatica dell’interessato, essendo sufficiente la possibilità di una riferibilità anche solo indiretta del dato a una persona fisica.

La decisione muove, in primo luogo, dalla corretta individuazione della disciplina applicabile nel tempo. Poiché i fatti contestati alla società si collocano in un periodo anteriore all’entrata in vigore del d.lgs. n. 101 del 2018 e del nuovo assetto derivante dal GDPR, la Corte esclude qualsiasi lettura retroattiva o adeguatrice delle norme previgenti alla luce dei principi oggi vigenti. L’obbligo di notificazione, benché successivamente abrogato, deve dunque essere ricostruito e applicato secondo la sua originaria configurazione normativa, caratterizzata da una tipizzazione legale stringente delle ipotesi in cui la notifica era richiesta.

Su tale base, la Corte privilegia un’interpretazione aderente al dato letterale della disposizione, valorizzandone la struttura sintattica. L’art. 37, comma 1, lett. a), contempla, in modo disgiunto, il trattamento di dati genetici, biometrici o di dati idonei a indicare la posizione geografica di persone od oggetti. La formulazione disgiuntiva è intesa come espressione di una scelta legislativa consapevole, diretta a conferire autonomia alle singole ipotesi considerate, senza subordinare la rilevanza della geolocalizzazione di oggetti alla possibilità di ricondurre immediatamente il dato a una persona fisica identificata. In questa prospettiva, la Corte esclude che l’applicazione dell’obbligo di notificazione possa essere ristretta attraverso l’introduzione di requisiti non espressamente previsti dalla norma.

È proprio questo il punto su cui si innestava la motivazione della decisione di merito cassata, la quale aveva ritenuto decisiva l’assenza di un meccanismo di identificazione automatica dell’interessato. La Suprema Corte prende nettamente le distanze da tale impostazione, osservando come la disposizione non subordini in alcun modo l’obbligo di notificazione alla presenza di una identificazione diretta o automatizzata della persona. L’introduzione di un simile criterio selettivo viene qualificata come un’inammissibile integrazione giudiziale della fattispecie normativa, in contrasto con il carattere tassativo degli obblighi formali previsti dal legislatore e con l’esigenza di evitare interpretazioni restrittive fondate su presupposti estranei al testo di legge.

Nel proseguire il ragionamento, la Corte pur dando atto che, nel caso concreto, il sistema di geolocalizzazione non consentiva di associare automaticamente il veicolo localizzato a un soggetto nominativamente individuato, la Corte ritiene tale circostanza giuridicamente non decisiva. Ciò che conta è la possibilità, anche solo potenziale, di risalire all’identità del conducente o dell’utilizzatore del mezzo attraverso l’incrocio dei dati di localizzazione con altre informazioni legittimamente detenute dal titolare del trattamento, quali l’assegnazione dei veicoli, la documentazione organizzativa interna o altri sistemi di registrazione. Viene così ribadita una concezione del dato personale non atomistica, ma relazionale e contestuale, già emersa in precedenti arresti giurisprudenziali, secondo cui la qualificazione del dato non dipende dall’isolata considerazione del singolo elemento informativo, bensì dall’insieme delle informazioni e delle connessioni conoscitive disponibili nel contesto del trattamento.

Analoga irrilevanza viene riconosciuta alle modalità organizzative ed esecutive del trattamento. La Corte chiarisce che non assumono rilievo esimente né la gestione tecnica del sistema da parte di soggetti terzi, né il fatto che l’identificazione dell’interessato avviene attraverso operazioni deduttive e non automatizzate. Tali profili attengono al modo in cui il trattamento è concretamente realizzato, ma non incidono sulla natura dei dati trattati né sulla loro idoneità a incidere sulla sfera personale degli interessati. Ne deriva una conferma di un approccio sostanzialistico alla titolarità del trattamento e alle responsabilità che ne conseguono, coerente con un orientamento giurisprudenziale che, anche in altre fattispecie, ha privilegiato la realtà funzionale del trattamento rispetto alle sue mere modalità tecniche.

L’intero percorso argomentativo si chiude con una lettura sistematica dell’obbligo di notificazione, ricondotto alla sua funzione essenzialmente preventiva. La notifica al Garante era concepita come strumento di anticipazione del controllo pubblico su trattamenti potenzialmente rischiosi per i diritti e le libertà fondamentali degli interessati. In questa chiave, risulterebbe contraddittorio limitarne l’operatività ai soli casi di identificazione automatica, poiché proprio la possibilità di ricostruzioni indirette e di incroci informativi costituisce uno dei principali fattori di rischio che l’ordinamento intendeva intercettare ex ante. La soluzione accolta dalla Corte si inserisce, dunque, in una linea interpretativa coerente con precedenti conformi, che hanno costantemente affermato una nozione ampia e sostanziale di dato personale e di trattamento rilevante, e conduce, in modo consequenziale, alla cassazione della sentenza impugnata e al rigetto dell’opposizione proposta dalla società.

Osservazioni

La Corte affronta il tema dell’obbligo di notificazione al Garante in relazione al trattamento di dati idonei a indicare la posizione geografica, muovendo da una puntuale ricostruzione della disciplina applicabile ratione temporis, escludendo il ricorso a letture retroattive o adeguatrici fondate sul successivo sviluppo del diritto europeo della protezione dei dati.

Come noto, il sistema delineato dal d.lgs. n. 196/2003 nella sua versione originaria attribuiva alla notificazione al Garante una funzione di controllo preventivo generalizzato per determinate categorie di trattamenti ritenuti ex lege potenzialmente rischiosi. In tale quadro, la qualificazione del dato e l’individuazione dell’ambito applicativo dell’obbligo assumevano un rilievo decisivo, incidendo direttamente sulla sussistenza di un adempimento formale a carico del titolare.

Nel vigente assetto introdotto dal GDPR e dalla normativa nazionale di adeguamento, tale meccanismo è stato abbandonato in favore di un modello improntato alla responsabilizzazione del titolare del trattamento (accountability) e alla valutazione del rischio. L’eliminazione dell’obbligo di notificazione ha comportato il superamento di una logica fondata su categorie predeterminate di trattamenti soggetti a controllo preventivo, sostituita da strumenti diversi, quali la valutazione d’impatto, i registri delle attività di trattamento e, più in generale, il principio di accountability.

In tale prospettiva, la questione della qualificazione del dato personale e della sua riferibilità non rileva più ai fini dell’insorgenza di un obbligo formale di notificazione, ma assume una funzione diversa, incidendo sulla configurazione degli obblighi sostanziali e organizzativi del titolare, nonché sulla valutazione del rischio per i diritti e le libertà degli interessati. Il focus si sposta, quindi, dalla individuazione astratta delle categorie di trattamento alla concreta gestione dei rischi connessi alle operazioni svolte, secondo un approccio più flessibile e contestuale. In tal senso, la Corte adotta un metodo interpretativo fortemente ancorato al dato testuale, valorizzando la struttura della disposizione e, in particolare, la formulazione disgiuntiva dell’elencazione normativa. La lettura che ne deriva riconosce autonomia alle singole ipotesi previste, facendo discendere direttamente dalla struttura linguistica della norma l’ambito applicativo dell’obbligo di notificazione, senza introdurre ulteriori criteri selettivi. Questo approccio conduce a un’applicazione della disposizione coerente con la sua configurazione originaria, riducendo il ricorso a elementi integrativi esterni al testo.

Alla luce di tale evoluzione, la decisione in commento, pur riferita a una disciplina non più vigente, offre un utile spunto ricostruttivo delle logiche sottese al sistema previgente, mettendo in evidenza il ruolo centrale dell’inquadramento tipologico dei trattamenti e degli obblighi ad essi connessi. Essa consente altresì di cogliere, in chiave comparativa, il passaggio da un modello fondato su adempimenti formali predeterminati a uno basato su valutazioni dinamiche e responsabilizzazione del titolare, evidenziando le differenti modalità attraverso cui l’ordinamento ha inteso garantire la tutela dei diritti degli interessati nel tempo.