TRIBUNALE DI MILANO, SEZ. I, SENT. DEL 20 OTTOBRE 2022 [Univ. Bocconi v. Garante Privacy]

di Giuseppe Cassano

Poiché il regime delineato dall’art. 9, par. 1, par. 2 lett. g) Reg. 679/2016 è applicabile unicamente al trattamento di dati biometrici intesi ad identificare in modo univoco una persona fisica, è possibile affermare che la mera acquisizione di una foto (o una registrazione video) non configura un trattamento di dati biometrici, bensì di dati comuni. Per contro, implica il trattamento in parola ricavare da una foto o da un video caratteristiche biologiche per derivarne un modello matematico del volto del soggetto ritratto, al fine del riconoscimento dello stesso.

In tema di garanzie per il trasferimento di dati personali, non osta né al diritto interno, né al diritto dell’Unione europea in materia di trasferimento internazionale di dati personali, l’indicazione per relationem del contenuto delle misure di sicurezza nell’accordo ex art. 46 del Reg. 679/2016 tra importatore ed esportatore (nel caso di specie, il Tribunale ha ritenuto idoneo, ai sensi dell’art. 1346 c.c. e dell’art. 46 del GDPR, il rinvio mobile operato tramite un collegamento ipertestuale, che rende flessibile il processo di variazione delle misure e consente la possibilità di un’automatica verifica del contenuto delle variazioni, tramite la semplice attivazione del collegamento).

Tanto nella sentenza Schrems II della CGUE, quanto nelle Raccomandazioni n. 01/2020 dell’EDPB, l’adozione di misure di sicurezza supplementari, rispetto a quelle prescritte dalle clausole contrattuali standard ex art. 46 lett. c) del Regolamento, costituisce una mera eventualità. L’adozione delle misure in questione, infatti, è subordinata all’ipotesi in cui le misure di sicurezza prescritte dalle cd. clausole contrattuali standard non siano idonee a garantire ai dati oggetto di trasferimento internazionale uno standard di tutela equivalente a quello prescritto dal diritto dell’UE.

Non contrasta con il diritto dell’Unione europea la scelta di procedere alla pseudonimizzazione dei dati oggetto di trasferimento in luogo dell’anonimizzazione, che peraltro – data la sua irreversibilità – non appare integrare una misura utile a consentire la verifica di eventuali anomalie nel corso degli esami. La necessità di identificare successivamente, da parte del docente, lo studente che ha tenuto comportamenti anomali è strettamente funzionale alla finalità della procedura che, in caso di anonimizzazione, non produrrebbe alcun risultato utile.

Nel giudizio di opposizione a sanzione amministrativa, l’onere di allegazione è a carico dell’opponente, mentre quello probatorio soggiace alla regola ordinaria di cui all’art. 2697 c.c.; pertanto, anche nei giudizi di opposizione ai provvedimenti del Garante per la protezione dei dati personali, quest’ultimo deve considerarsi attore sostanziale al fine di definire il regime di riparto dell’onere della prova, con la conseguenza che sullo stesso grava la prova dei fatti costitutivi posti a fondamento della sua pretesa e non sull’opponente, che li abbia contestati, quella della loro inesistenza.

Bocconi_Garante_Sentenza (1)