Decisione di riferimento: cc • N° 11-26.099 • 2013-04-23 • Consulta la decisione →
Gestite un piccolo immobile ad Antibes e, come ogni anno, aggiornate il software di gestione locativa. Niente di complicato: una nuova versione, qualche correzione di sicurezza, l'interfaccia che cambia un po'. Ma improvvisamente il vostro commercialista vi avverte: «Attenzione, se modificate il trattamento dei dati dei vostri inquilini, forse dovete rifare una dichiarazione alla CNIL». Panico a bordo: bisogna ricominciare tutto? Quanto tempo? Quanto costa?
Questa domanda, centinaia di proprietari, amministratori e professionisti del settore immobiliare se la pongono ogni giorno. Perché la protezione dei dati personali è diventata una questione fondamentale, e il minimo errore può costare caro. Ma cosa è realmente considerato un cambiamento che richiede una nuova dichiarazione? La risposta è in una sentenza della Corte di Cassazione del 23 aprile 2013 (n. 11-26.099), che chiarisce un concetto chiave: la «modifica sostanziale».
In parole povere, la Corte ci dice che solo una modifica che riguarda le informazioni che sono state precedentemente dichiarate alla CNIL deve essere segnalata. Un semplice aggiornamento tecnico di un software non comporta l'obbligo di rifare una dichiarazione. Ma attenzione: bisogna ancora sapere cosa è «sostanziale» e cosa non lo è. Analizziamo insieme questa decisione, con esempi concreti per guidarvi.
I fatti: una storia come tante
Il caso riguarda una struttura di accoglienza per minori, gestita da un'associazione. Per il suo funzionamento, utilizza un software di gestione che registra dati sugli educatori e sui bambini accolti. Nel 2007, la direzione decide di passare da un software all'altro. Niente di eccezionale: un aggiornamento, un cambio di fornitore, funzionalità migliorate. Ma un dipendente contesta questa transizione, ritenendo che i dati raccolti siano nominativi e che il cambio di software avrebbe dovuto essere dichiarato alla CNIL preventivamente. Si rivolge al tribunale del lavoro per ottenere danni e interessi.
Il dipendente sostiene che i dati registrati (nomi, cognomi, età, ecc.) sono dati personali e che la modifica del trattamento richiedeva una dichiarazione preventiva. L'associazione, invece, difende che il passaggio da un software all'altro era solo un semplice aggiornamento tecnico, senza impatto sulla natura dei dati trattati. La corte d'appello dà ragione al dipendente, ritenendo che, essendo i dati nominativi, qualsiasi modifica del trattamento dovesse essere dichiarata. Ma l'associazione ricorre in cassazione.
La Corte di Cassazione cassa la sentenza d'appello. Rimprovera ai giudici di merito di non aver verificato se il cambio di software non fosse in realtà un semplice aggiornamento, che non richiede una nuova dichiarazione. In altre parole, non basta che i dati siano nominativi perché una modifica sia considerata sostanziale. Occorre ancora che tale modifica riguardi le informazioni che sono state dichiarate alla CNIL. Se il nuovo software tratta gli stessi dati nello stesso modo, si tratta solo di un'evoluzione tecnica, non di un cambiamento sostanziale.
Il ragionamento della giurisdizione — analizzato
Il ragionamento della Corte di Cassazione si basa sull'articolo 22 della legge del 6 gennaio 1978 relativa all'informatica, agli archivi e alle libertà (legge Informatica e Libertà), nella versione applicabile all'epoca. Tale articolo prevede che i trattamenti di dati personali devono essere dichiarati alla CNIL, salvo eccezioni. Ma precisa anche che «ogni modifica sostanziale delle informazioni contenute nella dichiarazione» deve essere portata a conoscenza della Commissione. La questione è quindi: cosa si intende per modifica sostanziale?
La Corte risponde distinguendo due cose: da un lato, la natura dei dati trattati (nominativi o meno); dall'altro, l'oggetto della dichiarazione (le informazioni dichiarate). Una modifica sostanziale è un cambiamento che incide sulle informazioni che avete fornito alla CNIL: la finalità del trattamento, le categorie di dati, i destinatari, la durata di conservazione, ecc. Al contrario, un semplice aggiornamento tecnico — come il passaggio da un software all'altro senza modificare questi elementi — non è sostanziale.
In altre parole, la Corte di Cassazione dice: «Non focalizzatevi sul nome del software o sulla sua versione. Guardate piuttosto cosa cambia concretamente nel trattamento dei dati». Se passate da Excel a un software professionale, ma continuate a raccogliere le stesse informazioni, per le stesse finalità, senza condividerle con nuovi destinatari, non c'è modifica sostanziale. Quello che pochi sanno è che questa decisione è stata resa sotto l'impero della vecchia legge, ma rimane pertinente oggi con il GDPR (Regolamento generale sulla protezione dei dati), che impone una valutazione d'impatto per le modifiche sostanziali.
Attenzione però: questa decisione non deve essere interpretata come un lasciapassare. Se l'aggiornamento implica una modifica sostanziale, ad esempio una nuova finalità o la condivisione dei dati con terzi, allora è necessaria una nuova dichiarazione. Inoltre, con il GDPR, l'obbligo di tenere un registro dei trattamenti e di effettuare una valutazione d'impatto per i trattamenti ad alto rischio rende la distinzione ancora più cruciale. In sintesi, la sentenza della Corte di Cassazione offre una guida preziosa: non confondete l'evoluzione tecnica con il cambiamento sostanziale. Ma in caso di dubbio, meglio consultare un esperto o la stessa CNIL.
